NHI – IoT OT Security News

MITRE ATT&CK と 2025 年の攻撃アクションをマッピング：検出回避と持続性確保が 80％を占める

80% of Att&Ck Mitre Techniques Now Dedicated to Evasion and Persistence

2026/02/17 SecurityBoulevard — Picus Labs の調査によると、攻撃者たちの戦術は、即時的な妨害や破壊から、長期的なアクセスの獲得／維持へと移行しているようだ。”The Red Report 2026 — The Top 10 Most Prevalent MITRE ATT&CK Techniques” は、110 万件以上の悪意のファイルを分析した結果である 2025 年の 1,550 万件超の攻撃アクションを、 MITRE ATT&CK にマッピングしたレポートである。これまでの 10 年間において、CISO の主要な懸念はランサムウェアによる業務中断であったとしながらも、リスク・プロファイルが反転したことを、今年の調査結果は示している。

Cursor AI Code Editor の脆弱性 CVE-N/A：Workspace Trust 無効化による悪意の自動実行

Cursor AI Code Editor RCE Vulnerability Enables “autorun” of Malicious on your Machine

2025/09/10 CyberSecurityNews — Cursor AI Code Editor に、リモート・コード実行の脆弱性が発見された。この脆弱性により、悪意のコード・リポジトリが自動的に開かれ、ユーザーのマシン上でコードが実行される可能性がある。この脆弱性を発見した Oasis Security の研究チームは、人気エディタのデフォルト・コンフィグの悪用による、一般的なユーザー・プロンプトのバイパスを実証している。

NHI は人間の 45倍規模：AI Agent の大規模展開の前に考えるべきセキュリティ原則とは？

AI Agents and the Non‑Human Identity Crisis: How to Deploy AI More Securely at Scale

2025/05/27 TheHackerNews — GitHub Copilot のコード補完から、社内のナレッジベースをマイニングして即答するチャットボットにいたるまで、AI は企業の生産性に大きな変化をもたらしている。そこで用いられる、それぞれの新たなエージェントは、他のサービスでの認証を得る必要があるため、企業クラウド全体における NHIs (Non‑Human Identities) の数が静かに増加している。

AI と NHI：増え続ける非人間 ID の管理がセキュリティの強化と効率化のカギになる

How agentic AI and non-human identities are transforming cybersecurity

2025/05/08 HelpNetSecurity — 平均的な企業において、NHI (non-human identities) の数と、従業員／請負業者／顧客の数を比較すると、10対1 〜 92対1 の割合で、前者が上回っているという。それに加えて、人間のアイデンティティ管理における断片化という問題もある。具体的に言うと、オンプレミス／クラウド／ハイブリッドなど複数の環境へのアクセスを、１人の人物に対して許可することで生じる問題であり、それにより、企業の IAM (identity and access management) は、きわめて困難な時代を迎えている。

Microsoft 警告：ViewState と ASP.NET マシン・キーを悪用するマルウェアを検出

Microsoft says attackers use exposed ASP.NET keys to deploy malware

2025/02/06 BleepingComputer — Microsoft が発したのは、オンラインで発見された静的な ASP. NET マシン・キーを悪用する攻撃者が、ViewState コード・インジェクション攻撃により、マルウェアを展開しているという警告である。

航空／旅行システムの OAuth 認証に脆弱性：数百万人のアカウントに乗っ取りの懸念

OAuth Redirect Flaw in Airline Travel Integration Exposes Millions to Account Hijacking

2025/01/28 TheHackerNews — API セキュリティ企業 Salt Labs が公表したレポートは、ホテルやレンタカーのオンライン予約サービスに存在する、アカウント乗っ取りの脆弱性に関するものだ。なお、この脆弱性は、すでに修正されているという。Salt Labs は、「この欠陥を悪用する攻撃者は、システム内のあらゆるユーザー・アカウントへのアクセス権を獲得し、被害者に成りすまして、さまざまな操作を実行する。具体的には、被害者のマイレッジ・ポイントによるホテルやレンタカーの予約や、予約情報のキャンセルや編集などである」と、The Hacker News に共有したレポートで述べている。

OWASP の Non-Human Identity (NHI) Top-10 とは？隠れたリスクを可視化する

Do We Really Need The OWASP NHI Top 10?

2025/01/27 TheHackerNews — 先日に OWASP (Open Web Application Security Project) は、新たな指針としての Non-Human Identity (NHI) Top-10 に取り組み始めた。長年にわたり OWASP は、広く利用される API Top-10 や Web App Top-10 などのプロジェクトを通じて、セキュリティの専門家と開発者に対して、重要なガイダンスと実用的なフレームワークを提供してきた。Non-Human Identity (NHI) セキュリティは、サイバー・セキュリティ業界で新たな関心を集めている。そこで OWASP は、NHI Top-10 により、API キー／サービス・アカウント／OAuth アプリ／SSH キー／IAM ロール／シークレットなどのマシン認証情報とワークロード ID に関連する、リスクと監視の欠如を指摘している。

“Sign in with Google” に深刻な問題：廃棄されたメアドでクラウドにログインできる？

Google’s “Sign in with Google” Flaw Exposes Millions of Users’ Details

2025/01/14 GBHackers —Google の認証システムである “Sign in with Google” に、重大な欠陥が発見された。この脆弱性の影響が及ぶ数百万人のアメリカ人が、データ窃取の危機に晒されているが、事業から撤退したスタートアップ企業の元従業員が、この欠陥の影響を受けやすいとされている。この欠陥の根本的な原因は、ドメイン所有権の変更に対して、Google OAuth ログインが適切に対応していない点にあると、Truffle Security は指摘する。

クラウド・ネイティブの時代：マシン ID を狙う攻撃者が増えてくるはずだ

Machine identities are the next big target for attackers

2024/12/30 HelpNetSecurity — これまでの１年以内に、クラウド・ネイティブ環境に関連するセキュリティ・インシデントに、86% の組織が遭遇していると Venafi は指摘している。その結果として、53% の組織が、アプリケーションのリリース遅延や、開発ペースのスローダウンを経験し、45% の組織は、アプリケーション・サービスの停止／中断に見舞われたという。さらに、30% の組織は、データ／ネットワーク／システムへの、攻撃者による不正アクセスの可能性があると回答している。