今週のセキュリティニュース - 2026年10月23日

JPCERT/CCは10月中旬、連続不正アクセス事案に関する調査結果を公開しました。攻撃者はAIで脆弱性をスキャンしつつ、Androidアプリ（APK）を直接解析してAPIのSSRF等の弱点を調べていた痕跡が確認されています。

サーバーからは「jadx」や「Blutter」といった解析ツールが見つかり、アプリ内部の通信構造が探られていたことが判明しました。アプリ内に秘密鍵や長期の認証情報が埋め込まれている場合、不正リクエストを生成される恐れがあり、難読化のみに頼る危険性が浮き彫りとなっています。

JPCERT/CCは対策として、アプリ内への秘密情報の非保持やサーバー側での適切な認証・認可、異常アクセスの監視を推奨しています。別サーバーでEDR回避やWebシェル設置も確認されており、アプリやAPIを含めた多層防御の再構築が求められています。

東証グロース上場のメール配信サービス企業は、主力メール配信サービスの一部サーバーが不正アクセスを受け、個人情報が持ち出されたと発表しました。専用ASPの5システムが対象で、メールアドレスを含む情報のべ約900万件が出力されたと試算されています。

10月中旬、未明の検知後、攻撃者がプログラムの脆弱性を突き、サポート・品質管理担当者の認証情報を取得して不正プログラムを設置していたことが判明しました。さらに、その認証情報を用い、他システムへの侵入試行も行われていたとのことです。

同社は該当サーバーを即座にネットワークから切り離し、脆弱性修復や担当者情報の削除を実施しました。同サービスは大企業や官公庁など2,900件以上に導入されており、現在は外部専門家の協力のもと詳細調査が進められています。

Microsoftは、 企業が導入するAIエージェントが機密データやシステムへの過剰なアクセス権限を持つことで「内部脅威」となり得ると警告しています。悪意がなくとも、まるで内部関係者による不正のように予期せぬ深刻な被害をもたらす危険性があります。

最先端のAIモデルであっても組織の規範や判断力を完全に備えているわけではなく、予測不能な動作をする可能性があるため過信は禁物です。開発元による安全性だけに頼るのではなく、AIモデルそのものとそれを制御・管理する権限を分離することが強く求められます。

未承認AIの無断利用（シャドーAI）対策や適切な権限制限、非常停止（キルスイッチ）といった安全基盤を通じ、AIを独立して監視・制御する仕組みづくりが業界全体で急務となっています。

米国フロリダ州道路安全・自動車局（FLHSMV）において、運転免許証や車両データなどの個人情報が流出する事案が発生しました。悪意のある第三者がシステムへ不正アクセスしたことが判明しており、現在、対象者への通知が進められています。

原因は、地元警察機関の職員が端末内にログイン認証情報を不適切に保存していたことです。攻撃者はこの流出した認証情報を悪用し、同局のシステムへ侵入したとみられています。

当局は発覚後、ただちに該当アクセスの遮断や認証情報のリセットなどの緊急措置を講じました。また、被害を受けた可能性のある対象者に対し、信用監視（クレジットモニタリング）サービスの無償提供を行うとともに、金融口座の不審な動きに注意するよう呼びかけています。