Literacy – IoT OT Security News

Node.js 25.5.0 がリリース：パッケージング作業の簡素化や暗号化トラスト・チェーンなどに対応

Node.js 25.5.0 Released Update Root Certificates and New Command-Line Flags

2026/01/27 CyberSecurityNews — 2026年1月26日にリリースされた Node.js バージョン 25.5.0 は、開発者のための機能を大幅に強化し、セキュリティ更新を導入するものだ。具体的には、新たなコマンドライン・フラグによるアプリケーション・パッケージングの簡素化を重視すると同時に、認証局 (CA) の更新により、暗号化トラスト・チェーンの整合性とセキュリティ標準が維持されるようになった。

ビッシングとリアルタイム・フィッシングを組み合わせて MFA を突破：Okta Threat Intelligence が警告

Okta Flags Customized, Reactive Vishing Attacks Which Bypass MFA

2026/01/26 InfoSecurity — リアルタイムで内容を変更するフィッシング・サイトと、ビッシング攻撃を組み合わせるサイバー犯罪者が、被害者に対してソーシャル・エンジニアリングを仕掛け、多要素認証 (MFA) による防御を突破している。1月22日に Okta Threat Intelligence が発出したアラートは、ビッシング・キャンペーンにおけるフィッシング・キットの利用が拡大している実態を示すものだ。それらのサイバー犯罪者は、企業の Google／Microsoft／Okta アカウントならびに各種暗号資産サービスの、アカウント・ログイン情報へのアクセスを狙っている。

Microsoft Teams フィッシング・キャンペーン：12,866 通のメールが 6,135 人のユーザーに到達

Fake Microsoft Teams Billing Phishing Alerts Reach 6,135 Users via 12,866 Emails

2026/01/26 hackread — Microsoft Teams を巧妙な手法で悪用する詐欺師が、新たなフィッシング・キャンペーンを介してビジネス・アカウントへ侵入していく状況を、Check Point Research のサイバーセキュリティ専門家たちが明らかにした。同社の Harmony Email Security のレポートによると、すでに 12,866 通以上のフィッシング・メールが送信され、約 6,135 人のユーザーに到達しており、警戒が必要な事態となっている。

F5 のセキュリティ強化戦略：AI Guardrails と AI Red Team によるランタイム保護とは？

F5 Strengthens, Scales & Sustains AI Security With Integrated Runtime Protection

2026/01/26 SecurityBoulevard — エンタープライズ・テクノロジーは、より深い融合を模索する流動的な状態へと移行している。突如として、データ統合が重要になったわけではない (確かに重要ではあるが、依然として十分ではない)。また、情報ガバナンスにおける新たな世界秩序へ対応するために、破綻したデータ主権の問題を修正しているからでもない (ほぼその通りではあるが、本質ではない)。さらに言えば、Kubernetes やクラウドというコンテナ化された世界において、簡素な API が事実上の新たな受容フェーズへと到達したからでもない。

1Password が示すフィッシング対策：フィッシング URL 検知を強化する警告ポップアップ機能を追加

1Password adds pop-up warnings for suspected phishing sites

2026/01/25 BleepingComputer — 1Password のデジタル・ボールト／パスワード・マネージャに、フィッシング URL に対するビルトイン保護機能が追加された。これにより、ユーザーは悪意のページを識別し、アカウント認証情報を脅威アクターに漏らしてしまう事態を防止できる。サブスクリプション型のパスワード管理サービスである 1Password は、エンタープライズ環境の多様な組織で広く利用されている。最近の Windows は、1Password を通じたネイティブ Passkeys 管理をサポートしている。

AI で書いたハニーポット：Vibe Coding がもたらす脆弱性のケース・スタディとは？

What an AI-Written Honeypot Taught Us About Trusting Machines

2026/01/23 BleepingComputer — AI モデルを用いてコード作成を支援する Vibe Coding 手法が、多くのチームにとって日常的な開発プロセスの一部となっている。それにより、大きな時間短縮効果がもたらされるが、その一方では、AI が生成したコードを過度に信頼してしまうことで、セキュリティ脆弱性が入り込む余地を生み出す。AI 生成コードがセキュリティに及ぼす影響について、Intruder の経験は現実のケース・スタディとなっている。以下に示すのは、実際に起こったこと、そして、他の組織が注意すべき点である。

Zero-Day に関する 2025 年調査：30% の脆弱性が公開前に悪用されていた

Zero-Day Exploits Surge, Nearly 30% of Flaws Attacked Before Disclosure

2026/01/22 InfoSecurity — VulnCheck が特定した 2025 年の Known Exploited Vulnerability (KEV) の 28.96% が、公開前または報告当日に悪用されていた。つまり、サイバー攻撃者たちは、脆弱性の悪用速度を継続的に加速している状況にある。2026年1月21日に公開された VulnCheck の State of Exploitation 2026 レポートが示すのは、2025 年の Zero-Day／One-Day 脆弱性の悪用が、2024 年の 23.6% から大きく跳ね上がっている実態である。

ZEST の AI Sweeper Agents：過剰なパッチ要求を削減してセキュリティ・チームの負荷を軽減

ZEST Security Adds AI Agents to Identify Vulnerabilities That Pose No Actual Risk

2026/01/22 SecurityBoulevard — 今日 ZEST Security は、特定の脆弱性がアプリケーション環境に対して実際の脅威となるかどうかを識別する、人工知能 (AI) エージェント群を追加した。同社 CEO の Snir Ben Shimol によると、実際には悪用不可能な脆弱性の修正要求を AI Sweeper Agents が排除することで、作成すべきパッチ数を削減できるという。

LastPass を装うフィッシング・キャンペーン：マスター・パスワード窃取を狙う偽メンテナンス通知

LastPass Warns of Fake Maintenance Messages Targeting Users’ Master Passwords

2026/01/21 TheHackerNews — LastPass のパスワード管理サービスを装う、アクティブなフィッシング・キャンペーンの登場について、同社はユーザーに対して警告を発している。このキャンペーンは、ユーザーを欺いてマスター・パスワードを入力させることで、その漏洩を目的としている。このキャンペーンは、2026年1月19日頃に開始された。その手口は、今後に予定されているメンテナンス通知を装うフィッシング・メールを送信するものであり、パスワード・ボルトのローカル・バックアップ作成を、24 時間以内に実施するよう促すものである。

OPNsense 25.7.11 がリリース：接続デバイスとネットワークに対する可視性が向上

OPNsense 25.7.11 Enhances Network Visibility With Host Discovery Feature

2025/01/20 gbhackers — 2026年1月に、OPNsense チームはバージョン 25.7.11 をリリースした。このリリースでは、ファイアウォール全体にわたる接続デバイスの可視性が高められている。また、ポリシー制御を強化する注目すべきネットワーク機能強化として、ネットワーク可視性を向上させるネイティブ・ホスト検出サービスが追加された。このバージョン 25.7.11 における目玉機能は、”hostwatch” コンポーネントを基盤とした新しいホスト検出サービスである。

CrashFix マルウェア・キャンペーン：悪意のエクステンションによる偽ブラウザ警告表示の手法

CrashFix – Hackers Using Malicious Extensions to Display Fake Browser Warnings

2026/01/19 CyberSecurityNews — サイバーセキュリティ研究者が発見したのは、異例ではあるが効果的な戦術を用いる高度なマルウェア・キャンペーンである。このキャンペーンは、ユーザーのブラウザを意図的にクラッシュさせる手法を中核としている。この脅威は CrashFix と命名されており、正規の広告ブロッカー NexShield を装った悪意の Chrome エクステンションを通じて配布されている。ユーザーがオンラインでプライバシー・ツールを検索すると、悪意の広告により、Chrome Web Store 上で信頼できそうに見えるエクステンションのダウンロードへと誘導される。

NTLMv1 Admin パスワード・ハッキング：Mandiant の Rainbow Table による検証が不可欠

Mandiant Releases Rainbow Tables Enabling NTLMv1 Admin Password Hacking

2026/01/17 CyberSecurityNews — Google 傘下の Mandiant が公開したのは、Net-NTLMv1 向けの包括的な Rainbow Table データセットである。それにより、レガシー認証プロトコルが抱えるセキュリティ・リスクの実証が大幅に推進されることになる。このデータセットにより Mandiant が強調するのは、Net-NTLMv1 から直ちに移行する必要があるという、ユーザー組織に対する緊急のメッセージである。Net-NTLMv1 は、1999 年の時点で暗号学的に破られており、遅くとも 2012 年からは安全でないことが広く知られている、非推奨のプロトコルである。

GhostPoster エクステンションの長期潜伏キャンペーン：840,000 件のブラウザ・マルウェアを検出

GhostPoster Browser Malware Hid for 5 Years With 840,000 Installs

2026/01/16 hackread — 単一のブラウザ・エクステンションにおけるインシデントとして始まった事象は、多くのユーザーが予期しない大規模なサイバーセキュリティ上の懸念へと発展している。2025年12月に Koi Security が公開した分析結果によると、GhostPoster と名付けられた Firefox エクステンションは、ブラウザ・エクステンションの審査担当者が通常確認する警告サインを回避する悪意ある手法を採用していたことが明らかになった。

Go 1.25.6 がリリース：メモリ枯渇／不適切なセッション管理／認証バイパスの問題などに対処

Go 1.26 Released With Fixes for Multiple Vulnerabilities Causing Memory Exhaustion

2026/01/16 gbhackers — Go 開発チームが公表したのは、サービス拒否攻撃／任意のコード実行／不正なセッション再開を引き起こす可能性のある、６件の深刻なセキュリティ脆弱性を修正するバージョン 1.25.6／1.24.12 のリリースである。これらのマイナー・アップデートは Go セキュリティ・ポリシーに準拠しており、暗号化／ネットワーク／ツールチェーンといったコア・コンポーネント全体をカバーする重要な強化が含まれている。

偽の PayPal 警告に御用心：従業員の個人情報窃取から企業の侵害へとエスカレート

Hackers Use Fake PayPal Notices to Steal Credentials, Deploy RMMs

2026/01/15 InfoSecurity — 正規の Remote Monitoring and Management (RMM) ツールを悪用し、フィッシングによる侵入を試みる新たなキャンペーンが検出された。この攻撃者は、偽の PayPal アラートを介して、個人および企業へのアクセスを取得している。1月13日 (火) に Cyberproof が公開したアドバイザリによると、この活動は季節的にタイムリーなルアーから、緊急性の高い金融関連テーマへの移行を示しているという。信頼されるリモートアクセス・ソフトウェアが、検出回避のために依然として武器化されている状況を浮き彫りにしている。

LLM がランサムウェアを強化：攻撃の速度／規模／範囲が大きく変化している

LLMs Supercharge Ransomware Speed, Scale, and Global Reach

2026/01/14 gbhackers — LLM は、ランサムウェア攻撃を根本から変革するものではない。しかし、攻撃の速度／規模／多言語対応能力といった点での進化により、脅威のランドスケープを大幅に加速させている。SentinelLABS の調査によると、偵察／フィッシング／ツール支援、データトリアージ／身代金交渉といった複数の工程で攻撃者は LLM を活用しており、より高速でノイズの多い脅威環境を形成している。それにより防御側にとっては、新たな脅威に対する迅速な対応が不可欠となっている。

大規模な Magecart スキミング・キャンペーンを検出：オンライン決済時にクレジットカード情報を窃取

New Magecart Campaign Steals Credit Card Details During Online Checkouts

2026/01/14 gbhackers — 遅くとも 2022年1月から、e コマース Web サイトからクレジットカード情報を積極的に窃取する、大規模かつ高度な Web・スキミング・キャンペーンが展開されている。このキャンペーンは Magecart 攻撃の一種であり、American Express／Diners Club／Discover／Mastercard／JCB／UnionPay など、複数の主要決済ネットワークを標的としており、オンライン・ショッピング利用者および e コマース・プラットフォームの双方を深刻なリスクにさらしている。この活動は Silent Push Preemptive Cyber Defense のサイバーセキュリティ研究者により特定されたものであり、オンライン・コマースを標的とした高度に組織化され、技術的成熟度の高い脅威と言える。

AI Agent が作り出す権限昇格パス：ユーザーからエージェントに移行するアクセス権を把握するには？

AI Agents Are Becoming Privilege Escalation Paths

2026/01/14 TheHackerNews — AI エージェントは、実験的なツールから、セキュリティ／エンジニアリング／IT／運用にわたる日常的なワークフローの中核コンポーネントへと急速に移行し始めている。個人用コード・アシスタント／チャットボット／コパイロットといった、個別の生産性向上ツールとして始まったものが、組織全体で共有されるエージェントへと進化し、重要なプロセスに組み込まれようとしている。

エンタープライズにおける GenAI：セキュリティ・リスクを可視化できているだろうか？

Generative AI in Enterprises: Security Risks Most Companies Are Not Measuring

2026/01/11 SecurityBoulevard — GenAI は、実験段階から企業環境全体への広範な導入段階へと急速に移行している。社内コパイロットやカスタマーサポート・チャットボットから、コード生成やデータ分析に至るまで、組織は重要なビジネス・ワークフローに LLM を組み込んでいる。生産性向上は比較的定量化しやすい。その一方で、導入に伴うセキュリティ・リスクの測定は遥かに困難である。現時点で GenAI を導入している多くの組織は、これらのテクノロジーから生じる新たな攻撃対象領域を、特定／評価／軽減するための体系的フレームワークを整備していない。その結果、セキュリティ・インシデントが発生するまで、深刻なリスクが顕在化しないというケースも少なくない。

Fortinet VPN の偽サイトに要注意：AI 検索サマリーなどを介したフィッシング攻撃が横行

Fake Fortinet Sites Steal VPN Credentials in Sophisticated Phishing Attack

2026/01/09 CyberSecurityNews — Fortinet VPN の公式ダウンロード・ポータルを偽装し、リモートワーカーや IT 管理者を標的とする、巧妙なフィッシング攻撃キャンペーンが出現した。この攻撃の特徴は、検索エンジン最適化 (SEO：Search Engine Optimization) と、AI が生成した検索サマリーを悪用して被害者を誘導する点にあり、きわめて危険性が高い。この攻撃キャンペーンは、信頼できるドメインから始まる多段階のリダイレクト・メカニズムも採用しており、初期フェーズにおけるセキュリティ・フィルターを回避する。その結果として、VPN 認証情報の窃取とマルウェアの配布に至るという。

Cisco Small Business Switch の障害：DNS 解決失敗による再起動ループ

Cisco Small Business Switches Face Global DNS Crash Outage

2026/01/09 CyberSecurityNews — Cisco の Small Business Switch において、DNS クライアント・サービスの致命的なエラーが原因となり、広範囲にわたるクラッシュが発生したとの情報が報告された。2026年1月8日、世界中のネットワーク管理者から相次いで報告されたのは、デバイスが数分ごとに再起動ループに陥り、DNS 設定を削除するまで正常な動作が妨げられたという内容である。

Gmail に搭載される AI 受信トレイ：Gemini によるメールの抽出や要約の機能とは？

Gmail’s new AI Inbox uses Gemini, but Google says it won’t train AI on user emails

2026/01/09 BleepingComputer — 1月8日 (木) に Google が発表したのは、すべてのメールを要約する “AI 受信トレイ” という新機能である。この機能を展開するにあたり、Google が約束しているのは、ユーザーのメール内容に基づいてモデルをトレーニングしないことである。Google が目指すのは Gmail の新たなステップであり、デフォルトの受信トレイ画面で主役となるのは Gemini であるという。Google によると、Gmail が登場した 2004 年以降においてメールは変化し続けており、ユーザーは毎週のように配信される何百通ものメールに圧倒されており、その量は増加し続けている。

ChatGPT のマーケット・シェアが低下：Google Gemini ユーザーが急速に拡大

ChatGPT is losing market share as Google Gemini gains ground

2026/01/08 BleepingComputer — 新たなデータが示すのは、Web 上において ChatGPT のマーケット・シェアが Gemini に奪われ始めている状況である。ただし、モバイル分野でも Gemini がシェアを拡大しているかどうかは不明である。Web サイト分析会社 SimilarWeb の最新レポートによると、ChatGPT の市場シェアは 2026年1月に 65% まで低下した。この数値が示すのは、2025年1月の 86% と比べて約 20% の低下である。

VMware ESXi を標的とするエクスプロイト・ツールキット：複数の脆弱性を悪用する侵害チェーンとは？

Hackers Exploiting VMware ESXi Instances in the Wild Using zero-day Exploit Toolkit

2026/01/08 CyberSecurityNews — ゼロデイ・エクスプロイト・ツールキットを用いるハッカーたちが、VMware ESXi インスタンスを積極的に攻撃している。それにより、複数の脆弱性を連鎖的に悪用し、VMware エスケープを可能にしている。サイバーセキュリティ企業 Huntress が阻止した攻撃の一例では、侵害済の SonicWall VPN からイニシャル・アクセスが行われたと分析されている。

LockBit 5.0 が示す次世代 RaaS モデル：高度な暗号化技術と強化された解析回避手法

LockBit 5.0 Unveils Advanced Encryption and Enhanced Anti-Analysis Techniques

2026/01/07 gbhackers — LockBit は、世界で最も活発な Ransomware-as-a-Service (RaaS) 事業体としての地位を確立している。2021年から 2022年にかけては、記録されているランサムウェア攻撃全体の 30.25% を占め、2023年には約 21% を記録している。LockBit 5.0 の登場は、技術的洗練度が著しく向上したことを示しており、強化された暗号化手法と分析回避メカニズムの導入により、被害者による復旧およびフォレンジック分析の実行を極めて困難にしている。

新たな QR コード型フィッシング・キャンペーンを観測：HTML テーブルで画像を代替えする手法とは？

Hackers Using Malicious Imageless QR Codes to Render Phishing Attack Via HTML Table

2026/01/07 CyberSecurityNews — 最近観測されたフィッシング・キャンペーンでは、QR コードを新たな方法で悪用し、単純な HTML テーブルでコードを構成することで、ユーザーを悪意あるサイトへリダイレクトする手口が確認されている。攻撃者が構築するコードは、従来の QRコード画像ではなく、白／黒に設定された数百個の小さなテーブルセルを組み合わせたものである。この方法で生成されたコードをメール本文に埋め込むことで、通常の QR コードと同様にスキャンが可能となる一方、多くのメール防御機構では画像として認識／解析されない。

ChatGPT と DeepSeek の会話を窃取する２つの Chrome エクステンション：90 万人以上のユーザーに影響

Two Chrome Extensions Caught Stealing ChatGPT and DeepSeek Chats from 900,000 Users

2026/01/06 TheHackerNews — Chrome Web Store で配布されている２つの悪意あるエクステンションを、サイバー・セキュリティ研究者が発見した。これらのエクステンションは、OpenAI ChatGPT および DeepSeek の会話データに加え、閲覧データを窃取し、攻撃者が管理するサーバに送信するよう設計されている。これらのエクステンションは、合計で 90 万人以上のユーザーに拡散している。

Claude Chrome エクステンションの懸念：リクエストとログの読み取りや機密情報の漏洩

Researchers Warn of Data Exposure Risks in Claude Chrome Extension

2026/01/05 hackread — 2025年12月18日に Anthropic が公開したのは、Claude Chrome エクステンションのベータ版である。このエクステンション (拡張機能) は、AI がユーザーに代わって Web サイトを閲覧／操作し、高い利便性を提供するものである。その一方で、従来の Web セキュリティ・モデルでは対処できない深刻なリスクが存在すると、Zenity Labs の最新分析が指摘している。

Resecurity の AI ハニーポット：ShinyHunters に打撃を与えた巧妙な合成データ作戦とは？

Hackers Trapped in Resecurity’s Honeypot During Targeted Attack on Employee Network

2026/01/05 CyberSecurityNews — 合成データ・ハニーポットを展開することで脅威アクターを出し抜いた Resecurity は、偵察情報を実用的なインテリジェンスへと転換している。最近の作戦では、エジプトと関係するハッカーを罠に掛けただけではなく、ShinyHunters グループを欺き、虚偽の侵害報告を引き出すことに成功している。Resecurity は、対諜報活動を目的とした欺瞞技術を高度化し、企業環境を精巧に模倣することで脅威アクターを管理された罠へ誘引している。

米国によるベネズエラ侵攻：NetBlocks と Tor が示唆するサイバー空間の歪みとは？

What is happening to the Internet in Venezuela? Did the U.S. use cyber capabilities?

2026/01/04 SecurityAffairs —2026年1月3日、米国はベネズエラに対して大規模な攻撃を開始し、同国の指導者である Nicolas Maduro 大統領とその妻を拘束した。Nicolas Maduro 大統領夫妻はニューヨークへ連行された後、連邦法に基づく訴追に直面しているが、夫妻はこれらの容疑を否認している。Donald Trump 大統領は、米国が一時的にベネズエラを統治し、石油生産を回復させると述べた。こうして事態が進展する中、ベネズエラ国民の間では、インターネットへのアクセスが遮断されるのではないかという懸念と、通信や行動が監視されているのではないかという恐れが広がっている。

Cyber Risk In 2026：地政学的再編／重要サプライチェーンの兵器化／GenAI の急速な普及

Cyber Risk In 2026: How Geopolitics, Supply Chains and Shadow AI Will Test Resilience

2026/01/02 InfoSecurity — 2026 年においては、地政学的再編／重要サプライチェーンの兵器化／GenAI の急速な普及により、リスク管理の意味が再定義されるだろう。ユーザー組織にとって必要なことは、サイバー戦略／業務継続性／地政学的認識が深く絡み合った、プロアクティブでインテリジェンス主導のレジリエンスへの移行である。もはや、事後対応型のセキュリティ体制では、差し迫る脅威に対して対応しきれなくなる。2026 年のサイバーセキュリティ環境を特徴づける、３つの主要トレンドについて解説していく。

Mongobleed CVE-2025-14847 から学ぶべきこと：無効化した認証／暗号化／アクセス制御

Lessons From Mongobleed Vulnerability (CVE-2025-14847) That Actively Exploited In The Wild

2026/01/02 CyberSecurityNews — 2025年12月下旬に MongoDB が公表したのは、Mongobleed と呼ばれる深刻な脆弱性 CVE-2025-14847 (CVSS：8.7) の存在である。この脆弱性は、サイバーセキュリティ・コミュニティに強い警戒感をもたらす出来事である。この脆弱性を悪用する未認証の攻撃者は、サーバメモリから直接機密データを窃取できるため、高い深刻度が与えられている。グローバルに見て、87,000 台を超える潜在的に脆弱な MongoDB インスタンスが露出している状況にある。したがって、この未認証によるメモリ漏洩の脆弱性は、最も深刻なデータベース・セキュリティ脅威の一つへと急速に展開している。

ChatGPT Atlas のセキュリティが強化：プロンプト・インジェクションへの新たな対策とは？

OpenAI Hardened ChatGPT Atlas Against Prompt Injection Attacks

2025/12/29 CyberSecurityNews — ブラウザベースの AI エージェントである ChatGPT Atlas に、高度な防御機能を導入してプロンプト・インジェクション攻撃に対抗するという、重要なセキュリティ・アップデートがリリースされた。OpenAI による今回のアップデートは、エージェント型 AI システムを標的とする新たな脅威から、ユーザーを保護するための重要な一歩となる。

ランサムウェア 2025 統計：追跡 Web サイト Ransomware.live と RansomLook は何を示す？

Top Ransomware Trends of 2025

2025/12/24 InfoSecurity — 2025年におけるランサムウェアの摘発や、サイバー犯罪対策に関連する法執行活動は、2024年と比べて大きく減少した。その一方で、強固に組織化されていないグループである Scattered Spider／Lapsus$／ShinyHunters などが、2025年のニュースの見出しを占めた。ただし、従来型のランサムウェア・シンジケートも、年間を通じて活動を継続している。

2026 年のエンタープライズ・セキュリティ再構築：ID 戦略における５つの変化

Five identity-driven shifts reshaping enterprise security in 2026

2025/12/24 HelpNetSecurity — 2026 年は人工知能 (AI) がサイバー・リスクを根本的に再構築し始める転換点となる。数年にわたる広範な普及を経て、2026 年の AI は、働き方に影響を与える段階を超え、企業の構造や運営そのものを変革し始めるだろう。現在の AI は、組織のあらゆるレイヤーに組み込まれている。具体的には、ワークフロー／アプリケーション／カスタマー・エクスペリエンス／DevOps／IT 自動化／戦略的意思決定といった領域を網羅している。ただし、この変化の速度にガバナンス／セキュリティ管理／アイデンティティ保護は追いついていない。

AI が量産するコードを分析：プルリクエストで明らかになった問題の分布とは？

AI code looks fine until the review starts

2025/12/23 HelpNetSecurity — ソフトウェア・チームが発表したのは、AI コーディング・ツールにより生成されるプルリクエストの増加を精査するという、この１年間にわたる調査の結果である。この新たなレポートにより、数多くのレビュー担当者が日常業務の中で感じてきた状況が、数値として裏付けられた。この調査は CodeRabbit が実施したものであり、数百のオープンソース・プロジェクトを対象に、AI が共同作成したコードと人間が作成したコードを比較している。そこで追跡されたのは、問題の件数／深刻度／発生頻度の高い問題カテゴリなどである。結果として示されたのは、ロジック／正確性／可読性／セキュリティで繰り返し発生するリスクが、セキュリティ／信頼性を重視するチームに直接的な影響を与えていることである。

Spotify から 8,600 万曲の楽曲をスクレイピング：Anna’s Archive が主張する文化保護とは？

Spotify Music Library With 86M Music Files Scraped by Hacktivist Group

2025/12/23 CyberSecurityNews — Anna’s Archive として知られるシャドウ・ライブラリが公表したのは、Spotify を対象とする大規模スクレイピングの結果である。それによると、約 8,600 万曲のオーディオ・トラックと、2億 5,600 万曲分のメタデータを含むトレント・コレクションが窃取されたことになる。このグループの普段の活動は、学術論文や書籍のアーカイブ化に向いているが、今回のターゲットは音楽データである。この不正取得について、世界初の音楽向けオープン保存アーカイブであると Anna’s Archive は主張している。

Palo Alto の State of Cloud Security Report 2025：攻撃者の進化に追いつけない防御側のジレンマ

Cloud security is stuck in slow motion

2025/12/23 HelpNetSecurity — クラウド環境は、それを保護するはずのセキュリティ・システムよりも速いペースで進化している。Palo Alto Networks の新たな調査結果が示すのは、開発サイクルへの対応にセキュリティ・チームが苦慮している現状である。その結果として、クラウドにおけるスプロール化の拡大と、攻撃者の戦術の進化が生じ、侵害までの時間が数週間から数分へと大幅に短縮されている。現在の本番環境のワークロードは、主にクラウド環境で実行されている。パブリック・クラウドサービスが、機密性の高いシステムやデータを扱うという割合が増えている。

正規 VPN を装う Phantom Shuttle Chrome エクステンション：ユーザー・トラフィックから認証情報を窃取

Malicious Chrome Extensions as VPN Intercept User Traffic to Steal Credentials

2025/12/23 CyberSecurityNews — Phantom Shuttle と命名された 2 つの悪意の Chrome エクステンションが、正規の VPN サービスを装いながら数千人のユーザーを欺き、Web トラフィックを密かに傍受している。これにより窃取されるのは機密性の高いログイン情報である。これらの悪質なエクステンションは 2017年から活動しており、Chrome Web ストアを通じて 2,180 人以上のユーザーに配布されてきた。現在も検知されないまま、動作を継続している可能性が高い。

AI ブラウザの安全性：５項目のリスク・ケースを８種類のエージェントでテストした

Browser agents don’t always respect your privacy choices

2025/12/22 HelpNetSecurity — ブラウザ・エージェントの普及において、ユーザーによる継続的な入力を必要とせずにオンライン・タスクを処理できるという新たなセールスポイントが強調されている。AI モデルを用いて Web ブラウザを操作することで、ショッピング／予約／アカウント管理などのタスクが可能になる。しかし、新たな学術研究によると、こうした利便性にはセキュリティ上の懸念として無視できないプライバシー・リスクが伴うと警告されている。

Nissan が公表したデータ侵害：Red Hat インフラへの不正アクセスとサプライチェーン・リスク

Nissan Discloses Data Breach Linked to Compromised Red Hat Infrastructure

2025/12/22 gbhackers — Nissan が公表したのは、福岡に所在する販売店の顧客約 21,000人に影響を及ぼす、深刻なデータ漏洩に関する情報である。このインシデントは、販売店の顧客管理システムの開発に使用されていた、Red Hat マネージド・サーバへの不正アクセスにより発生した。この不正アクセスは、2025年9月26日に Red Hat が検知し、その後の詳細な調査と対応を経て、今回の Nissan による公表に至った。

主要ランサムウェアが同盟：DragonForce／Qilin／LockBit が犯罪エコシステムを再編

New Research Uncovers the Alliance Between Qilin, DragonForce and LockBit

2025/12/19 CyberSecurityNews — ３つの主要ランサムウェア・グループが連携を発表した。サイバー・セキュリティ専門家は、これを犯罪アンダーグラウンドにおいて最も懸念される動向の一つと指摘している。2025年9月15日、ランサムウェア・グループ DragonForce は、ロシアのアンダーグラウンド・フォーラムへの投稿を通じて、DragonForce／Qilin／LockBit による同盟 (カルテル) の結成を発表した。この連合は、近年、国際的な法執行機関の圧力により複数の主要ランサムウェア組織が壊滅的な打撃を受けた状況に対する戦略的対応であり、エコシステムが直面する課題に対処する目的で結成されたと明記されている。

PuTTY を悪用する LOL 攻撃：正規のトラフィックに紛れ込むバックドア戦術を分析

Hackers Using PuTTY for Both Lateral Movement and Data Exfiltration

2025/12/19 CyberSecurityNews — 人気の PuTTY SSH クライアントを悪用するハッカーたちが、侵入したネットワーク内でのステルス的なラテラル・ムーブメントやデータ窃取を活発化させているようだ。これらの攻撃のフォレンジック痕跡が示すのは、その巧妙な侵害の手口である。最近の調査で明らかになったのは、ファイル・システム上の大半の証拠を消去した後に、Windows レジストリに永続化のための痕跡 (アーティファクト) を残す手法へと移行する、脅威アクターたちの戦術の転換である。

React2Shell を悪用する大規模な攻撃：KSwapDoor／ZnDoor などの Linux バックドアを拡散

React2Shell Vulnerability Actively Exploited to Deploy Linux Backdoors

2025/12/16 TheHackerNews — React2Shell (CVE-2025-55182 ) として知られるセキュリティ脆弱性を悪用する脅威アクターたちが、KSwapDoor／ZnDoor などのマルウェア・ファミリーを拡散していることを、Palo Alto Networks Unit 42 と NTT Security の調査結果が示している。Palo Alto Networks Unit 42 の Senior Manager of Threat Intel Research である Justin Moore は、「KSwapDoor は、ステルス性を念頭に設計された、リモート・アクセス・ツールである」と述べている。

Microsoft バグバウンティが拡張：サードパーティ／オープンソースのコードも対象に

Microsoft Bug Bounty Program Expanded to Third-Party Code

2025/12/13 SecurityWeek — 12月12日 (木) に Microsoft が発表した “In Scope by Default” というアプローチは、バグバウンティ・プログラムを大幅に拡充し、サードパーティ製のコードとオープンソース・コードも対象にするものだ。対象となる深刻な脆弱性が、Microsoft のサービスに影響を与える場合に限り、その脆弱性を発見／報告した研究者はバグバウンティの対象となる。

Kali Linux 2025.4 がリリース：３つの新しいハッキング・ツール／デスクトップ環境の改善など

Kali Linux 2025.4 released with 3 new tools, desktop updates

2025/12/12 BleepingComputer — Kali Linux が発表したのは、今年最後のアップデートとなるバージョン 2025.4 のリリースである。このアップデートに含まれるのは、３つの新しいハッキング・ツール／デスクトップ環境の改善／NetHunter における Wifipumpkin3 のプレビュー／Wayland サポートの強化などである。サイバー・セキュリティ専門家や倫理的ハッカーたちが、レッドチーム演習／ペンテスト／セキュリティ評価／ネットワーク調査を実施するために設計されたのが、Kali Linux ディストリビューションである。

OpenAI が拡張する防御のモデル：AI の規模と精度が従来型の脅威と組み合わされる時代に

OpenAI Enhances Defensive Models to Mitigate Cyber-Threats

2025/12/12 InfoSecurity —12月10日 (水) に OpenAI が発表したのは、モデル性能の急上昇に伴い社内計画を再構築したという声明である。そのレポートによると、Capture The Flag (CTF) チャレンジを用いた能力評価は、2025年8月の GPT-5 における 27% から、2025年11月の GPT-5.1-Codex-Max の 76% へと向上しているという。OpenAI が警告するのは、今後登場するシステムの一部が、同社の Preparedness Framework における高能力レベルに達する可能性である。そのレベルに達すると、複雑な侵入作戦からゼロデイ・エクスプロイトの開発に至るまでの、さまざまなタスクが支援されてしまう可能性があるという。

React Server Components の脆弱性 CVE-2025-55182：64 万以上の Web サイトに影響？

644K+ Websites at Risk Due to Critical React Server Components Flaw

2025/12/11 gbhackers — Shadowserver Foundation が公表したのは、深刻な React2Shell 脆弱性 CVE-2025-55182 に関する情報の緊急アップデートである。そこで特定されたのは、依然として悪用される可能性のある大規模な攻撃対象領域である。この調査の一環として、2025年12月8日にスキャン・ベースの改善を実施した結果として、研究者たちが発見したのは、644,000 以上のドメインと 165,000 以上の固有 IP アドレスにおいて、依然として React Server Components の脆弱なインスタンスが稼働していることだった。