サイバー攻撃関連今週のセキュリティニュースへようこそ！
ここでは、過去数日間に起こった国内外のサイバーセキュリティ関連ニュースやレポートに加え、AIの急速な普及に伴う新たなリスクやAIセキュリティの最新動向など、皆様の情報資産を守るために知っておくべき情報をお伝えします。ぜひご覧ください。
今週は、サイバー脅威の急加速と組織ガバナンスの限界が同時に浮き彫りになりました。米国や英国を含めた情報同盟「ファイブ・アイズ」がAIによる攻撃の高速化を警告する一方、 世界194カ国に影響が及ぶ「FortiBleed」のような無差別な大規模攻撃が発生しています。こうした攻撃の起点は未知の手口ではなく、多要素認証（MFA）の未設定やパスワードの使い回しといった基本管理の綻びです。世界規模で迫る脅威に対し、認証の強化やパッチ適用といった足元の防御策を早急に徹底することが求められています。
国内独自の課題としても、事態の甚大化や管理の限界が目立ちます。システムに採用された第三者製ソフトウェアの脆弱性悪用により最大1422万件の漏洩疑いが発覚したほか、企業内では未許可の「シャドーAI」が蔓延し、IT部門による集権的な一括管理はすでに破綻しつつあります。全社共通のシステムはIT部門が統制し、部門固有のツールは現場に運用責任を持たせる「分業モデル」への速やかな転換が、これからの組織運営には不可欠です。
利用ツールや運用が各部門へ分散する「分業モデル」への移行が進むほど、アカウント管理の死角は生じやすくなります。こうした環境下で現場の利便性と全社的なガバナンスを両立するには、入り口となる「認証基盤の統合」が不可欠です。CloudGate UNOは、複数サービスへのログインを一本化しつつ、全ユーザーへパスワードレス認証やMFAを標準提供し、パスワード依存による被害リスクを根本から排除します。また、プロビジョニング機能によるアカウントの自動管理を活用することで、IT部門の運用負荷を抑えつつ、現場の柔軟なAI活用を安全に支えるガバナンス体制を確立できます。
認証セキュリティの強化をご検討中でしたら、ぜひ弊社までご相談ください。クラウドサービスへの多要素認証（MFA）導入やパスワードレス認証に関するオンライン無料相談を受け付けております。
Gartnerの2026年6月の調査によると、日本企業の75%が現場主体のAI導入を容認している一方、73%が有効な対策を取れておらず、IT部門がすべてを一括管理する旧来の集権モデルは限界を迎えています。
これに対し、全社共通の基盤はIT部門が統制し、部門固有のAIは現場の責任で運用させる「分業モデル」への移行が提言されています。さらに、未許可AIのトラフィック監視による即遮断や、四半期ごとの棚卸しといったサイクルの確立が求められます。
また、リスクの高い個人利用を一部の優秀な従業員に限定して認め、知見を蓄積する「実践者」として巻き込むことも有効です。IT部門は完全な管理という非現実的な方針を捨て、現場と役割を分担する新たなガバナンスを構築すべきだといえます。
大手通信事業者は23日、外部のインターネット接続事業者（ISP）6社向けに提供しているメールシステムが不正アクセスを受け、最大1422万件の個人情報が漏洩した可能性があると発表しました。
流出した恐れがあるのはメールアドレスやパスワードであり、最悪の場合、メール本文の閲覧や送信機能の悪用につながるリスクがあります。原因はシステムに採用していた第三者製ソフトウエアの脆弱性を悪用されたことであり、同社はすでに脆弱性への対策やシステムの改修を実施した上で、関係省庁への報告を済ませているとのことです。
今回の被害は、提携ISP6社のユーザーが対象であり、同社本体のメールサービスには影響がありません。しかし、2025年にも他社で約400万人分のメール情報漏洩が起きるなど、通信インフラを狙うサイバー攻撃は深刻化の一途をたどっています。同社はISP経由で対象ユーザーへ早急なパスワード更新を呼びかけており、今後は影響範囲の特定を急ぐとともに、さらなる防御策の徹底が求められます。
アメリカ、イギリス、カナダ、オーストラリア、ニュージーランドの5カ国からなる情報同盟「ファイブ・アイズ」は、最先端AIがサイバー攻撃能力を飛躍的に高め、数年ではなく「数ヶ月以内」に脅威が迫っていると警告し、緊急の対応を呼びかけています。
対抗策として、防御側にもAIを導入し、脆弱性の早期発見や迅速な対応力を強化することが急務とされています。背景には、Anthropic社の「Mythos」等最新モデルにより、複雑なハッキングが容易になる懸念があるためです。
こうした脅威への具体的な動きとして、米国では政府が外国籍者へのアクセス制限を命じた結果、一部AIモデルが提供停止となる事態が起きています。また政府当局者に対し、ネットワーク上の深刻な脆弱性への対処期限を3日間に短縮するなど防衛策が進んでいます。
Fortinet社と米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、FortiGate機器を狙う大規模な認証情報搾取攻撃「FortiBleed」に関する緊急警告を発しました。世界194カ国で最大8万6千台の機器に影響が及ぶ恐れがあります。
この攻撃は、システムの新たな脆弱性を突くものではなく、過去に流出した認証情報とAIによるブルートフォースを組み合わせたものです。そのため、パスワードの使い回しや多要素認証（MFA）の未設定が主な被害原因とされています。
企業は被害を防ぐための迅速な対応が求められており、管理者やVPN利用者のパスワードを直ちに変更し、すべてのアカウントに多要素認証を必ず導入するなどの対策が強く推奨されています。
