今週のセキュリティニュース - 2026年03月27日

千葉県内の大学は2026年3月、IT業務およびネットワークシステムの保守を委託している外部事業者の社内ネットワークが第三者による不正アクセスを受け、卒業生約120名の個人情報が漏洩したと発表しました。

2025年11月上旬、委託先事業者において自社サーバーへの不審なアクセスが検知されました。これを受け、同社では被害拡大防止のため、ネットワーク隔離等の初動対応を速やかに実施しました。当初、大学側は委託先より「大学関連データの流出は見られない」と報告を受けていましたが、その後の追加調査により約3ヶ月が経過した2026年2月、卒業生の個人情報が記載された電子ファイルの流出が判明したとの報告を受けました。

現時点でこれらの情報の不正利用などの二次被害は確認されていませんが、同大は対象となる卒業生に対して個別に謝罪と注意喚起を行うとともに、外部委託先を含めた管理体制の見直しを図る方針です。

トビラシステムズ株式会社は3月上旬に、ビジネスメール詐欺の手口とそれに関するアンケート調査レポートを公開しました。

レポートによると、社長や役員になりすまして送金を指示する「ニセ社長詐欺（ビジネスメール詐欺）」の被害が急増しており、会社員の約4人に1人が自社内でその不審なメールを受信した経験があることが明らかになりました。法人を標的とした不正送金被害額は年間47億円と前年の約4倍に膨れ上がっていますが、従業員の認知度は約半数にとどまっています。

企業の対策は依然として「注意喚起」が中心であり、詐欺メール訓練などの実践的な教育を導入している企業は約3割にとどまるなど、組織的な防衛体制の強化が急務となっています。

サイバー脅威インテリジェンスを提供するRecorded Future社の2025年版レポートによると、認証システムを標的とした資格情報の窃取が増加していることが判明しました。2025年後半の流出数は前半に比べて5割増となっており、攻撃の6割以上が認証システムに集中しています。

情報窃取型のマルウェアであるインフォスティーラーによる攻撃では、2.76億件の資格情報に有効なセッションクッキーが含まれていました。同レポートはこれにより、攻撃者が多要素認証（MFA）をすり抜け、本人になりすましてシステムへ侵入できてしまう危険性を指摘しています。

こうした結果から、各組織にはMFAだけに頼らず、ログイン状態を維持できる時間の見直しや、異常なアクセスを素早く特定し、被害が出る前に対処する仕組みづくりが求められています。

サイバーセキュリティプラットフォームを提供する米SentinelOne社の2026年版報告書は、正規IDを悪用した大規模ななりすまし攻撃を警告しています。攻撃者はMFAを突破し、管理者権限で組織全体の認証設定を無効化するなどの被害を与えています。

AIディープフェイクによる「偽従業員」も新たな脅威です。攻撃者が偽の人物としてリモートワークの職を得ることで、正規のアクセス権を持ちながら内部から機密を盗み出す手口が多数確認されました。

同社は、ログイン時の認証だけでなく、認証後の振る舞いを継続監視する体制への移行が、こうしたIDベースの攻撃を防ぐ鍵になると提言しています。