欧州の銀行で発生した攻撃：サードパーティが管理するゲートウェイを介した WSUS 侵害試行

Attackers Breach European Bank Through Third-Party Gateway and Target WSUS Server

2026/10/14 CyberSecurityNews — 欧州の銀行が明らかにしたのは、セキュリティ対策が不十分なサードパーティ管理のゲートウェイを経由して攻撃者が侵入し、Windows Server Update Services (WSUS) インフラの脆弱性を悪用しようとしたことだ。この銀行のセキュリティ・チームは、中央 IT システムで不審な活動を検知したことをきっかけに、数カ月間にわたる VPN への不正なアクセス試行を発見した。調査の結果、厳格な認証が実施されていなかったサードパーティ管理のゲートウェイが侵入経路と判明した。

Palo Alto Networks の Unit 42 の研究者が、この侵入と不正なコード実行の試みを特定した。2026年10月13日に公開された調査報告では、今回の攻撃は高度な諜報活動によるものではなく、機会主義的な攻撃者が基本的なセキュリティ対策の不備を突いた事例とされているが、特定のマルウェア・ファミリーの存在は明らかにされていない。

この事例が示すのは、複雑な攻撃手法を用いなくても、窃取した認証情報と不十分なアクセス制御により、銀行の中核的なソフトウェア管理システムが危険にさらされ得ることである。

窃取された認証情報を用いた内部システムへの侵入

この攻撃者は、侵害された認証情報を悪用して外部ゲートウェイ経由で銀行の内部システムにログインしたが、Unit 42 が明らかにしていないものには、対象となったゲートウェイの製造元や認証情報の入手方法がある。確認された侵入経路は、サードパーティ管理のゲートウェイにおける認証の不備にあり、ゲートウェイ・ソフトウェアの脆弱性を悪用した攻撃は確認されていない。この事例が示すのは、有効なアカウントの認証情報が悪用されると、新たなソフトウェアの脆弱性を悪用しなくても、内部システムへのアクセスを許してしまう可能性である。

以前に Cybersecurity News が報じた、VPN に対するブルートフォース攻撃では、脆弱なパスワードが使用され、多要素認証が未導入のアプライアンスで問題が生じていた。今回の銀行への侵入とは別の事例だが、リモート・アクセス環境の認証設定を厳格に管理する必要性を示している。

数千台のシステムに対するスキャンと管理者アカウントの標的化

内部ネットワークへの侵入に成功した攻撃者は、複数のプロトコルを利用してホストやネットワークを繰り返しスキャンし、数千台のシステムと通信した。この攻撃者は、特定の侵入経路だけを静かに探索するのではなく、さらに多くのシステムにアクセスする機会を探るために、広範囲にわたる探索活動を行っていた。

Unit 42 によると、大量のスキャンや一般的なシステム識別子の使用状況から、この攻撃者は活動を隠蔽するための工夫をほとんど行わなかったとみられる。このような手法で、内部システムに対するパスワード推測攻撃を、数カ月にわたって繰り返していた。

一連の攻撃は、内部環境を探索しながら、さらに多くのシステムへのアクセス権限を獲得することを目的としていたが、特に管理者アカウントが標的となっていた。別の事例である VPN に対する自動ログイン攻撃でも、認証情報を繰り返し試すことでリモート・アクセス・サービスが脅かされることが報告されている。ただし、今回の銀行で確認されたパスワード推測攻撃は、侵入後の内部ネットワークで実施されたものだ。

内部文書やネットワーク共有へのアクセス

攻撃者の活動は、ログイン試行だけにとどまらず、自動化された Web リクエストを通じて内部 Web ページや添付ファイルに関する情報を収集したほか、業務用の共有領域も探索していた。

この活動により、銀行の内部文書が攻撃者に閲覧または取得される可能性がある状態となったが、Unit 42 の報告書では、窃取されたデータの量や影響を受けた顧客の詳細は明らかにされていない。また、顧客の銀行取引記録が実際に窃取されたことも確認されていない。そのため、内部文書へのアクセスが確認されたことと、顧客の金融情報が流出したことは区別して評価する必要がある。

WSUS のリモート・コード実行脆弱性を悪用する試みを阻止

その後、攻撃者は、銀行の中央構成管理サーバ上で稼働する Windows Server Update Services (WSUS) のリモート・コード実行脆弱性を標的にした。このサーバは組織全体へのソフトウェア配布を担当するため、権限の昇格や内部ネットワークへの持続的なアクセスを狙う攻撃者にとって、重要な標的となっていた。このような中央管理サービスが攻撃者の制御下に置かれると、インシデントの影響が拡大する可能性がある。今回、悪用が試みられた WSUS の脆弱性について、Unit 42 は CVE 識別子を公開していない。

Cybersecurity News は別の記事で、WSUS の脆弱性 CVE-2025-59287 の悪用について報じている。しかし、公開された情報だけでは、今回の銀行への攻撃で悪用された脆弱性が、CVE-2025-59287 だと判断することはできない。関連する技術的な脅威と、今回のインシデントで実際に確認された事実は区別する必要がある。

Cortex XDR が不正なコード実行の試みを検知

Unit 42 によると、攻撃者による永続的なアクセスの確立や、ネットワーク内の他システムへの侵害の拡大は阻止されたが、今回の封じ込めは、すでに以下の活動が発生した後に実施されたものだった。それでも、Palo Alto Networks の Cortex XDR が、WSUS に対する不正なコード実行の試みを検知し、脅威の拡大を防いだとされる。

• 内部ネットワークに対する大規模なスキャン。
• 内部システムへの認証試行。
• 管理者アカウントを狙ったパスワード推測攻撃。
• 内部文書や共有領域へのアクセス。
• WSUS を標的とした不正なコード実行の試み。

つまり、Cortex XDR が攻撃の拡大を阻止したが、初期侵入そのものを防いだわけではない。

数千台の端末と数十台のサーバーの記録を調査

インシデント対応チームは、数千台のシステムのエンドポイント記録と、数十台の Windows および Linux サーバーのログを調査した。その結果として、攻撃者による追加の活動や、永続的なバックドアの存在が確認されることはなかった。

この銀行の経営陣は、攻撃者がアクセスした内部文書を精査し、侵害されたすべての認証情報を変更した。さらに、Cortex XDR および Cortex XSIAM の適用範囲を拡大し、インシデント対応の支援体制を強化した。これらの対応により、攻撃者のさらなる活動が抑制され、被害の拡大が防がれた。

サードパーティ管理のアクセス経路にも厳格な認証が必要

今回の調査で強調されるのは、以下の対策の重要性である。

• 厳格な認証と ID 管理・アクセス制御。
• セキュリティ更新プログラムの迅速な適用。
• エンドポイントでの不審な活動の検知。
• インシデント発生後の継続的な調査と脅威ハンティング。
• サードパーティが管理するリモート・アクセス環境のセキュリティ確認。

外部ベンダーがゲートウェイを管理していたとしても、設定に不備があれば銀行自身の内部システムが危険にさらされる可能性がある。今回は攻撃に対する封じ込めと、その後の詳細な調査により、被害の拡大が抑えられたが、セキュリティ・チームに求められるのは、ベンダーが管理するアクセス経路についても、社内システムと同じ水準でセキュリティ対策を確認することだ。

特に、認証管理／ソフトウェア更新／エンドポイント監視を組み合わせて確認することが重要である。有効な認証情報が悪用されると、外部ゲートウェイが内部ネットワークへの侵入経路となる可能性があるためだ。

侵害の痕跡（IoC）

公開された報告書では、以下の侵害指標について具体的な情報は提供されていない。

指標のカテゴリ	公開状況
SHA-256／SHA-1／MD5 ハッシュ	非公開
攻撃者の IP アドレス	非公開
ドメイン／悪意のある URL	非公開
マルウェアのファイル名／ファミリー	特定されていない
悪用が試みられた WSUS の CVE	非公開

外部のサードパーティが管理するゲートウェイにおける認証の不備や、 Windows Server Update Services (WSUS) を備えた中央 IT システムにおけるセキュリティ管理の徹底が求められています。今回の事例では、管理の甘いアクセス経路を経由した不法侵入が発生し、内部ネットワークに対する大規模な探索や重要サーバを狙った不正なコード実行の試行へと繋がりました。被害の拡大を抑止するためには、認証管理／ソフトウェア更新／エンドポイント監視を組み合わせた多層的な防衛対策が求められます。