「正規ユーザー」を隠れみのに侵入 信頼された基盤を狙う最新サイバー脅威【調査】：IT調査ピックアップ

CrowdStrikeの最新報告書によると、攻撃者が信頼済みのユーザーやツールを悪用して重要資産へ接近する傾向が強まっている。AI環境の悪用や音声詐欺に加え、PoC公開から48時間以内の攻撃が88％に上るなど、悪用の高速化が顕著だ。

[ITmedia]

　CrowdStrikeは2026年8月3日（現地時間）、年次調査「2026 Threat Hunting Report」を公表した。同調査は、攻撃者がID基盤やクラウド、SaaS、AIサービス、サプライチェーン（ソフトウェア供給網）、開発環境において信頼済みのユーザーやツールを標的にし、正規の業務プロセスに紛れて重要資産へ接近する傾向を示している。

　特にAIの悪用、音声詐欺、脆弱性公開直後の迅速な攻撃、開発基盤を狙うサプライチェーン攻撃などが際立つ結果となった。

信頼されたAIや認証基盤が「格好の標的」に

　AI関連においては、LLMJackingキャンペーンによって2分間で約20万件のAPI要求が発生し、財務面と運用面に大きな影響が出た。北朝鮮系とされる脅威アクターのFAMOUS CHOLLIMAは、信頼済みのAI環境を足場に暗号資産企業やブロックチェーン企業へ侵入した。攻撃者の狙いは、秘密情報の窃取やAIモデル利用権の不正使用、計算資源の奪取にある。CrowdStrikeの観測では、AIエージェント起点の検知候補が手作業起点の2.5倍に達しており、防御側は悪意ある挙動と通常のAI処理との見分けがつきにくくなっている。

　ヴィッシング（音声詐欺）攻撃による侵入は、2026年上半期に2025年下半期の2倍に増加した。サイバー犯罪集団のCORDIAL SPIDERとSNARKY SPIDERは、音声詐欺を使ってシングルサインオンアカウントを侵害し、SaaSからデータを持ち出した。SNARKY SPIDERによる一例では、アカウントの乗っ取りからデータ窃取までが5分未満だった。また、端末コードを使うフィッシングの月間試行数も、過去6カ月で15倍に跳ね上がっている。

　脆弱性を悪用する速度も増している。2026年1〜6月に概念実証（PoC）が公開されたセキュリティ脆弱性のうち、攻撃の88％はPoC公開から48時間以内に確認された。中国系脅威アクターのVAULT PANDAとGENESIS PANDAは、重要なWebアプリケーション脆弱性の公開から24時間以内に攻撃を開始した。React2Shellの公表後、CrowdStrikeは4日間で80を超える被害組織に関する800件以上の調査候補に対応した。

　ベラルーシ系脅威アクターのUMBRAL BISONは、Linuxの権限昇格脆弱性（CVE-2026-31431）を素早く悪用した。2026年4月29日の情報公表およびPoC公開の翌日には、CrowdStrikeが広範な展開を検知している。最初の24時間に確認された事象のうち約94％は、公開PoCを基にした試験挙動であった。同社は公表から約20時間後にベラルーシ系の活動を特定した。先端AIが脆弱性発見や攻撃コード開発を加速させており、悪用までの時間が今後もさらに短縮する可能性を示している。

　サプライチェーン攻撃においては、攻撃者がCI/CDやコンテナレジストリ、パッケージリポジトリ、統合開発環境（IDE）の拡張機能へ侵入し、侵害した依存パッケージや信頼されたコンポーネントを足掛かりにして下流環境へ被害を広げている。脅威アクターのALTERED SPIDERはわずか1日で300を超える依存部品を侵害し、認証情報を収集してクラウド環境へ移動した。また、北朝鮮との関与が疑われる脅威アクターSTARDUST CHOLLIMAは2026年3月、盗み出したメンテナーの認証情報を使ってAxiosのnpmパッケージを侵害し、ZshBucketの各環境版を配布した。さらに6月には、悪質なnpmパッケージを少なくとも131個のMastra AIフレームワーク部品に依存関係として混入させた。

　2026年上半期に特定されたソフトウェアリポジトリにおける脅威の87％は、npm関連であった。JavaScriptの普及規模や複雑な依存関係、そして自動実行されるインストール処理が被害拡大に利用されている。CrowdStrikeは現在、追跡対象として290以上の攻撃者集団を命名している。今回の報告書は過去1年間の観測と実例を整理し、信頼関係を足場にする攻撃がAIや認証、クラウド、SaaS、開発基盤へ広がっている現状を描き出した。一連の事例は、攻撃者が正規の権限や部品を隠れみのに使う手口の広がりを如実に示している。