今週のセキュリティニュース - 2026年06月05日

大手転職エージェントは5月下旬、同社が運営する転職サイトのスマートフォンアプリに対し、第三者によるリスト型不正ログイン攻撃が発生したと公表しました。攻撃は3日間にわたる約114万件に及ぶ自動スクリプトによる高速なログイン試行の結果、ユーザー18,253名分の会員情報ページが閲覧された可能性があります。

今回の攻撃は、他サービスから流出した精度の高いID・パスワードリストが悪用されたとみられ、ログイン成功率は約3.4%に上りました。

転職サービスという性質上、氏名や連絡先だけでなく職歴や年収といったキャリアに関するセンシティブな情報が閲覧された可能性があり、同社は発覚後、速やかに外部アクセスを遮断し、全会員の強制ログアウトと対象者のパスワード初期化・再設定案内を実施。改正個人情報保護法に則り、個人情報保護委員会への報告も完了しているとのことです。

国内企業の34.5%が業務で生成AIを「活用している」と回答し、そのうち86.7%が「業務への効果が出ている」と実感していることが判明しました。利用目的は「文章の作成・要約・校正」（45.1%）や「情報収集」が中心で、業務判断の補助としての活用が定着しつつあります。

企業規模が大きいほど導入が進んでおり、従業員1,000人超の企業では63.6％が活用している一方、中小企業は32.4％にとどまる結果となりました。導入に伴う懸念としては「情報の正確性（50.4％）」や「情報漏えいリスク」が上位に挙がりました。一方で、実際の悪影響として最も多かったのは「AIを使いこなせる社員とそうでない社員の間での能力・成果の格差拡大（18.8％）」でした。

生成AIを「禁止している」企業はわずか0.4％と極めて少なく、世の中の関心は「導入すべきか」から「どう使いこなすか」へとシフトしています。同社は、成果を左右するのは仕組みづくりであるとし、今後は活用する業務範囲の明確化や、最終確認の責任を人が担うという運用ルールの整備が重要になると分析しています。

Red Hatの公式NPMアカウントが侵害され、30以上のパッケージにバックドアとして機能する悪意のあるワームが混入するサプライチェーン攻撃が発生しました。開発者が広く信頼する公式チャンネルが悪用された事案です。

このマルウェアはパッケージのインストール時に実行され、GitHubや各種クラウドサービスの重要な認証情報を窃取します。さらに、盗んだ認証情報を悪用して他のアカウントやリポジトリへ感染を広げる自己増殖機能を持っています。

現在パッケージは削除されており、Red Hatは顧客環境への直接的な影響はないと発表しています。しかし、該当パッケージに触れた環境は侵害されたとみなし、直ちにシステムや認証情報漏洩の調査を行うことが強く推奨されています。

パスワード管理ツールを提供するDashlaneにて、サイバー攻撃を受け、特定の顧客アカウントを標的としたサイバー攻撃が発生し、約20件の顧客アカウントから少なくとも12件の暗号化されたパスワード保管庫が盗まれたと発表しました。

攻撃者は自動化ソフトを用いて、短時間で無効になる二要素認証のコードへ高速で総当たり攻撃（ブルートフォース）を行い、既存アカウントに新規デバイスを不正登録して認証を突破しました。

同社の発表によると、自社システムが侵害された形跡はなく、盗まれた保管庫も顧客のマスターパスワードがなければ解読できない仕組みです。ただし、推測されやすいマスターパスワードを設定している顧客は、解読されるリスクが高まるとしています。同社は影響を受けた顧客に通知を完了し、今後のリスク軽減策を講じたとしています。