今週のセキュリティニュース - 2026年05月15日

東証プライム上場の大手SaaS企業は5月上旬、開発プラットフォーム「GitHub」の認証情報が悪用され、第三者による不正アクセスを受けたと発表しました。

開発環境であるGitHubの認証情報が漏洩し、ソースコードを保管するリポジトリが第三者によってコピーされてしまい、ソースコードだけでなく自社ブランドカードの利用者370件の個人情報が流出した可能性があることが判明しました。

現時点でカード番号全桁やセキュリティコードの流出および情報の不正利用による被害は確認されていませんが、安全確認のため銀行口座連携機能を一時停止する措置をとっています。現在はアカウントの遮断や各種認証キーの再発行を完了しており、引き続き原因調査と再発防止策に向けた取り組みを進めるとしています。

パロアルトネットワークスの調査「State of Cybersecurity 2026 - 国内民間企業・公共機関のサイバーセキュリティ施策と投資動向2026年版」によると、国内組織の55％がサイバー攻撃を受け、特に身代金要求型攻撃では平均被害額が約6.3億円、業務停滞は54日間に及ぶという深刻な実態が判明しました。

この脅威に対し、同社はツールの乱立による運用負荷を解消する「プラットフォーム化」への移行を提唱しています。実例として東洋紡は、個別ツールの最適化から脱却し、シンプルで一貫した統制を目指すことで運用コストの適正化を実践しています。

今後はセキュリティを単なるIT予算の一環ではなく、経営継続を左右する「リスクマネジメント費用」として再定義し、組織全体で実効性を高める戦略が不可欠となっています。AIや自動化を最大限に活用できる防衛基盤を築くためにも、個別最適を脱し、グループ全体で一貫したガバナンスを効かせられる体制への刷新が急務といえます。

サイバーセキュリティ企業、Specops Softwareの解説によると、Active Directory（AD）が侵害された際、単にパスワードを変更するだけでは攻撃者の完全な排除には至らないと警鐘を鳴らしています。 これは、古い認証情報のキャッシュや同期のタイムラグにより、すべての認証経路が即座に無効化されず、セキュリティ上の「隙」が生じてしまうためです。

攻撃者はこの隙を突き、端末に残った古いパスワードデータの悪用や、一定期間パスワードなしでアクセスできる「認証チケット」を利用して侵入を維持します。

攻撃者を完全に排除するには、包括的な対応が不可欠です。パスワードの変更に加え、アクティブセッションの強制終了、認証の基盤となる「マスターキー」の再設定、およびサービスアカウントの更新を実施してください。さらに、不正な権限付与などを厳密に監査し、すべての潜伏経路を遮断する必要があります。

Google Cloud Blogは、AIが「ハッカーの武器」と「防御側の盾」という二面性を持つことを報告しています。

ハッカー側はAIの読解力を悪用して「仕組みの矛盾」を推理し、未知の弱点（ゼロデイ）を産業規模で量産。二要素認証を突破するような巧妙な攻撃を自動化しています。また、AIの周辺ツールにウイルスを仕込み、裏口から機密データを盗む手法も増加しています。

これに対し防御側は、AIを盾として導入し、攻撃を上回る速度で守ることが不可欠とされています。ハッカーより先に弱点を見つけ、自動で修正する「AIによる自律的な防御」こそが、量産される脅威に対抗するための鍵となる戦略となっています。