今週のセキュリティニュース - 2026年05月22日

損保大手から事故調査業務などの委託を受けている外部機関は2026年5月、2025年11月に発生したサイバー攻撃に関する最終報告を公表しました。

本事象は昨年11月下旬にサーバーのデータ暗号化として発覚。攻撃者はネットワーク機器の脆弱性を悪用して内部ネットワークに侵入しました。その後、ドメイン管理者権限を不正に取得してネットワーク全体を支配し、データを窃取した上でランサムウェアを実行するという典型的な「二重脅迫型」の攻撃を行いました。調査の結果、業務関係者や従業員、採用候補者など計3万件を超える個人データが外部へ流出した可能性が高いと判断されました。

同機関は、国際貿易や事故調査の検定機関として約70社から業務を委託されているため、この報告を受けて、委託元である複数の大手損害保険会社が顧客情報の漏洩可能性を一斉に公表する事態へと発展しました。多くの取引先が絡むインシデントにおいて、影響の大きさが改めて浮き彫りになりました。

セキュリティ企業のCheck Point Researchは、2026年4月の世界的なサイバー脅威インテリジェンスの分析結果を公表しました。3月に一時的な鎮静化が見られたものの、4月に入りサイバー攻撃は再び加速へと転じています。

2026年4月、世界では1組織あたり週平均2,201件のサイバー攻撃が確認されました。この時期日本は1組織あたり週平均2,048件を記録しています。これは前年同月比で73%の大幅な増加であり、3月の週平均1,723件からも急加速しています。世界的な脅威の波が日本にも本格的に押し寄せており、アジア太平洋（APAC）地域内でも5番目に高い攻撃数となっています。

2026年4月、「教育・研究」分野が再び最も多く標的とされ、次いで「政府・軍関係」、「通信」と続きました。特に教育分野は個人のデバイスを持ち込むなどネットワークが分散している一方で、セキュリティに割ける予算が限られているため、攻撃者にとって侵入しやすい「防御の薄い環境」として標的となっています。このようにサイバー脅威が国内外で再び活発化する中、組織は「常にリスクが存在すること」を前提に、複数の対策を組み合わせた多層防御の徹底が急務となっています。

米サイバーセキュリティ・インフラセキュリティ庁（CISA）の委託業者が、GitHubの公開リポジトリ上に機密情報を誤って露出させていたことが判明しました。

対象には政府専用のクラウドの特権アカウント認証情報や、内部システムの平文パスワードが含まれており、現在CISAがデータの悪用や侵害の有無を調査しています。

この事象は、検知機能を無効化したリポジトリを私的なデータ同期目的で利用したことが原因とみられます。専門メディアらによるCISAへの通報直後に該当アカウントは閉鎖されたものの、露出したAWSキーはその後48時間も有効なままだったとのことです。

米国の公的医療機関NYC Health + Hospitalsで180万人以上に影響するデータ流出が発生しました。外部ベンダー経由で侵入したハッカーが数カ月間にわたりネットワークにアクセスし、ファイルをコピーしたと報告されています。

流出した情報には個人情報や医療記録、保険情報のほか、指紋や手のひらの紋様といった生涯変更不可能な生体認証データが含まれます。同機関のウェブサイトが一時オフラインになるなどの影響も確認されました。

FBIの2025年報告書でも医療分野はランサムウェアの主要な標的とされており、今回の事案は今年最大規模の医療データ流出の一つとなりました。現時点で攻撃者からの金銭要求の有無などは明らかになっていません。