今週のセキュリティニュース - 2026年11月6日

大手ITグループは11月上旬に記者会見を開き、一連の不正アクセス問題についてトップが陳謝しました。侵入を受けたFX関連サービスでは2024年に脆弱性が指摘されていたものの経営陣まで共有されず、報告体制や統治の不備が被害を招いたとして制度を見直す意向を示しました。

同社は積極的なM&Aで150社超を抱える規模へ急成長しましたが、組織の複雑化により防御が後手に回りました。多数のセキュリティ専門人材を擁しながら知見の横展開が進まず、傘下企業でも相次いで顧客情報の漏洩が表面化するなど、グループ横断での資産把握や運用連携の不足が浮き彫りとなっています。

金融子会社では解約増加や新規申込減少といった影響が出始めており、被害顧客への補償や再発防止に向けた投資負担も懸念されます。トップは侵入前提の回復力（レジリエンス）重視への転換が遅れたことを認め、急拡大した企業グループにおける実効的なガバナンス再構築が急務となっています。

自律型AIエージェントの普及により、人間を前提としてきた従来のセキュリティ設計の限界が浮き彫りとなっています。エージェントは正規の権限内であっても高速でシステムを横断し、非決定性な挙動から想定外の処理を実行してリスクを生み出す恐れがあります。

従来の入口でのアクセス制御だけでは、自律して動くエージェントの暴走を防ぐことは困難です。一時的な認証情報の付与などで影響範囲を絞り込むとともに、アクセス後も行動をリアルタイムで監視し、目的から逸脱した際に自動停止や人間が介入できる仕組みが求められます。

また、プライベート環境へ移行しても設定ミスや挙動リスクは残るため、企業の運用責任はむしろ増大します。データやモデルの所在を問わず一貫したポリシーを適用し、「ルール通り動く」という過信を捨てて異常行動を検知・抑制できるゼロトラストの徹底が急務です。

英国の教育機関が「3AM」ランサムウェアによる攻撃を受け、約37台の端末が暗号化される被害が発生しました。今回の攻撃では、AIが生成したコマンドや自律型のループ処理が悪用された可能性が指摘されています。

攻撃者はバックアップサーバーなどから認証情報を窃取し、バックドア用の管理者アカウントを作成しました。さらに財務データを盗み出したほか、本来は独立していたActive Directoryドメイン間に信頼関係を不正に構築することで、侵害の範囲を拡大させました。

その後、セキュリティ機能の無効化やバックアップデータの削除が行われた上で、端末の暗号化が実行されています。攻撃者によるAI活用の動きが進む中、英国国家サイバーセキュリティセンター（NCSC）は、将来的なAI主導型攻撃に対して警戒を強めるよう呼びかけています。

欧州10カ国以上のスーパーマーケットにおいて、冷却システムを標的としたサイバー攻撃が相次ぎました。冷凍庫の温度がおよそ50度まで上昇する被害も報告されており、大量の食品廃棄を余儀なくされています。

被害店舗の多くは、インターネットに直接接続された旧式のシステムが稼働していたほか、認証の仕組みも不十分でした。その結果、外部の温度管理事業者などを経由する形でシステムの脆弱性を突かれたとみられています。

欧州連合（EU）当局はサプライチェーンを脅かす重大な事態と捉えており、関係組織へシステムの迅速な刷新や官民でのサイバー防御力強化を強く呼びかけています。