最新記事一覧
議事録作成や要約を自動化するAI会議アシスタントの普及が加速する一方、情シスが把握していない「シャドーAI」のリスクが深刻化している。社外秘データの流出や生体情報の無断収集による法的リスクをどう回避すべきか。利便性を損なわずに安全な運用を実現するための権限管理やリスクモデル構築のポイントを詳説する。
()
OAuthトークンの窃取、IT管理者へのなりすまし、正規管理ツールの悪用など、クラウド環境を狙う攻撃は高度化し、従来の多要素認証だけでは防ぎきれないフェーズに直面しています。最新の攻撃手口、明日からできる対策を整理します。
()
自律的に動くAIエージェントの普及によって、システムにおけるガバナンスの欠如や暴走が懸念されている。Red Hatが提唱する、人とAIを区別せずに管理するアプローチとは。
()
セキュリティベンダーのESETは、Microsoft 365を標的とするPhaaS「EvilTokens」に関する情報を公式ブログ「WeLiveSecurity」で公開した。本稿は、Microsoftの正規認証機能を悪用する仕組みや対策を紹介する。
()
AWSは、AIエージェントとコーディングアシスタントがAWSの全サービスに認証付きでセキュアにアクセスできるMCPサーバ「AWS MCP Server」の一般提供を開始した。
()
AIエージェントが話題になる昨今。ローカル環境で動作するエージェントにPCを操作させ、作業を効率化しようと試みる人も散見される。ただ、AIエージェントがフィッシング詐欺に引っ掛かったら、大変なことになるかもしれない。米セキュリティ企業Varonisが6月9日（現地時間）に発表した検証レポートによれば、エージェントもフィッシングに引っかかる場合があったという。
()
IBMのディスティングイッシュトエンジニアであるジェフ・クルム氏は、オープンソースのAIエージェントプラットフォーム「OpenClaw」を例に、AIエージェントで要注意な6つのセキュリティリスクと対策を紹介する。
()
＠ITで公開された記事の中から、特に注目を集めた10本をランキング形式で紹介します。何が読者の関心を引いたのでしょうか。
()
AIエージェントがWeb上の情報を直接取得、活用する動きが広がる中、Webサイト側の対応が課題となっている。こうした中、CloudflareがWebサイトのAI対応度を評価するスコアと評価ツールを公開した。4つの次元で採点し、改善に役立つプロンプトも提供するという。
()
Trend Microがバイブコーディングがセキュリティに与えるリスクやその対策について解説するブログを公開した。
()
2025年にアスクルを襲ったランサムウェアは甚大な損失をもたらした。その初期侵入を許したのは、高度なハッキング技術ではなくMFAが設定されていないアカウントだ。EDRだけでは防ぎ切れない脅威にどう対抗すべきか。
()
GoogleがGoogleアカウントのユーザー名変更機能を一般ユーザー向けにも拡大した。まずは米国の一般ユーザー向けに提供開始した。「Googleでログイン」を採用するプラットフォームにはどのような影響があるのか。
()
MFAを突破されていないのに、なぜ電子メールやクラウドが“乗っ取られる”のか。5週間で340超の企業が被害に遭ったMicrosoft 365を狙う新型フィッシングは、パスワードではなく「OAuth同意」を悪用していたという。
()
MCPサーバはAIツールの活用に欠かせない存在だ。しかし利便性を重視するあまり、クラウドサービスの完全な掌握を攻撃者に許す恐れがあるとトレンドマイクロは指摘する。深刻なリスクの実態とは。
()
Mandiantは年次レポート「M-Trends 2026」を発表した。2025年に実施した50万時間以上のインシデント調査では、サイバー犯罪の分業化と連携の進展により、初期アクセスから攻撃実行グループへの引き継ぎ時間が2022年の8時間超から2025年には22秒に短縮されたことが明らかになった。
()
「シャドーAI」は単なる社内ルールの違反にとどまらず、制御不能なデータ流出を引き起こす。正規の通信に紛れ、機密情報が気付かないうちに外部に漏れ出る“見えない脅威”は、どうすれば防げるのか。
()
従業員の個人的なAIツール利用「シャドーAI」がまん延し、深刻な情報漏えいを引き起こし始めている。一見正常な通信に紛れ込む未承認ツールの不審な挙動を示す、5つのサインとはどのようなものか。
()
2026年3月31日以降、Gmailの米国ユーザーは、ユーザー名変更ができるようになった。アカウントは維持したままメールアドレスが可変となり、複数アドレスを持つ状態が生まれる。この動きが企業に与える影響は。
()
2025年11月26日開催の「ITmedia Security Week 2025 秋」で、パロンゴ 取締役 兼 最高技術責任者 林達也氏が「ゼロトラストの真の意義とその環境 〜ゼロトラストっぽさとの決別〜」と題して講演した。
()
LLMの利用や外部サービス連携など、AIでは至るところでAPIが使われる。だが、APIの利用にはセキュリティリスクも伴う。そこで、サービスの開発者、利用者、管理者のそれぞれが知っておくべきAPIセキュリティの新常識を解説した、AI企業のCISOによる講演をレポートする。
()
API管理ベンダーZuploは、「MCP」の利用状況に関する調査結果を公開した。利用拡大への期待が高い一方で、セキュリティやアクセス制御の複雑さが最大の課題と認識されていることが分かった。
()
Slack新GMのロブ・シーマン氏は、同サービスをAIがSalesforceなどのデータを動かす基盤「Agentic OS」と再定義する。AIによるメッセージ数が過去最高を更新する中、人間とAIの主役交代が進行。新Slackbotが実現する業務革命と、両社の統合戦略の全貌を聞いた。
()
Microsoftが新たに発表した「Copilot Tasks」は、単なるチャットボットの枠を超え、複数アプリを横断する特定の手順に沿ったタスクをバックグラウンドで自律実行するAI機能だ。来るであろう“エージェントOS”時代の幕開けを予感させる本機能の仕組みと、PC操作にもたらすインパクトについて解説する。
()
Anthropicは公式ドキュメントを更新し、サブスク版のOAuthトークン利用を自社ツールに限定すると明記した。第三者製ツールやAgent SDKでの利用は規約違反となり、外部連携にはAPIキーの使用が必須となる見通しだ。
()
Huntressはサイバー犯罪の実態をまとめた「2026 Cyber Threat Report」を発表した。正規ツールの悪用やClickFixなどの巧妙な手口で組織化するサイバー犯罪の現状を明かした。攻撃者は効率化を優先し、ID窃取や信頼されたプロセスを悪用するという。
()
Oktaは新機能「Agent Discovery」を発表した。組織内のシャドーAIエージェントを検出し、権限やリスクを可視化することで、未承認のツールを管理下の資産に転換し、アイデンティティー統制を強化する。
()
Netskopeは、2025年のAI、クラウド、フィッシング、マルウェアに関する攻撃を分析した「クラウドと脅威レポート」2026年版を発表した。生成AI利用に伴うデータポリシー違反が前年比で2倍以上に急増した他、シャドーAIの常態化や個人用クラウド経由の漏えいリスクが浮き彫りとなった。
()
多くの組織で非人間アイデンティティーの数が人間のユーザーを大幅に上回る中、その管理が課題となっている。HashiCorpは公式ブログで、従来の静的シークレットの管理から「ワークロードアイデンティティー（ID）」への移行が必要だとの見解を示した。
()
「Microsoft Entra ID」は、Microsoftのクラウドサービスを利用する際に欠かせないIDおよびアクセス管理サービスです。今回は、Microsoft Entra IDを活用する上で重要な要素の一つである「アプリケーション管理」を取り上げます。Microsoft Entra IDにおけるアプリケーション管理の基本的な考え方を整理し、エンタープライズアプリやシングルサインオン、ユーザーやグループの割り当てといった、実務でよく利用するポイントを解説します。
()
Socketは、npmレジストリをホスティングおよび配布元として悪用した標的型フィッシング攻撃キャンペーンに関する調査報告を公開した。
()
サイバー攻撃の主戦場は、もはや電子メールでも脆弱性でもない――。攻撃者は“正規ユーザー”を装い、誰にも気付かれず内部に入り込む時代へと移行している。なぜアイデンティティーが狙われるのか。その変化の裏側と、次に起きるリスクの正体に迫る。
()
Netskopeの報告書によると、2025年は生成AI利用率が前年と比べて3倍になった一方で、この利用による情報漏えいリスクは2倍以上に増加したという。セキュリティとデータ保護がますます複雑化する中、企業取るべき対策とは。
()
開発者が何げなくたたくコマンドが、組織への侵入経路になる――。GitHubが警告する、npm環境を狙った自己増殖型ワーム「Shai-Hulud」。その狡猾な侵入プロセスと、情シスが講じるべき防衛策とは。
()
日常的に扱うIT用語の中で、“実は読み方を曖昧に記憶している”ものはないだろうか。本稿は、そのような用語を19語選出し、6つのカテゴリに分類して紹介する。
()
Stack Overflowは、企業向けナレッジプラットフォーム「Stack Internal」を発表した。AIと人による協働により、信頼性の高いナレッジの蓄積を支援するという。
()
MicrosoftはTeamsに外部の人物と直接チャットを開始できる新機能を搭載すると発表した。Teamsを利用していない相手にもチャットの招待を送信できる。しかしこの機能にはセキュリティ懸念が指摘されている。
()
Proofpointは、悪意あるOAuthアプリケーションによる永続的クラウド侵害の実態を公開した。パスワード変更やMFA適用後も攻撃者のアクセスは継続し、4日間続いた実例も確認された。
()
Socketは、npmで偽のライブラリーパッケージが多段階の難読化技術と偽CAPTCHAを使い、認証情報を窃取する攻撃を報告した。開発環境やクラウド資格情報が流出する恐れがあるため、再設定と鍵更新を推奨している。
()
DatadogはMicrosoft Copilot Studioを悪用した新たなOAuthフィッシング手法「CoPhish」を発見した。攻撃者はOAuthトークンを奪取し、ユーザーデータに不正アクセスを実行する。
()
Proofpointは、OAuthアプリを悪用してクラウド環境内で恒久的な不正アクセスを維持する攻撃を確認した。攻撃者は内部アプリを偽装し、パスワード変更後も権限を保持する。定期的なアプリ監査と権限管理が防御に不可欠としている。
()
Amazon Web Servicesは、AIエージェントの構築から本番運用までを支援するマネージドサービス群「Amazon Bedrock AgentCore」の一般提供を開始した。AIエージェント開発のライフサイクル全体を支援する7つのサービスが利用できる。
()
生成AIの業務活用は、人間を補助する「AI支援」から、AIが業務を主導する「AI駆動化」へと進化する。AI駆動化がもたらす生産性向上の可能性とは。具体的なユースケースを想定した検証結果を基に、成功の鍵と乗り越えるべき課題を明らかにする。
()
Googleの脅威インテリジェンスグループは、「UNC6040」として追跡している脅威アクターによる、高度なソーシャルエンジニアリング攻撃や認証情報の侵害から組織を守るための予防策を解説する記事を公開した。
()
Mandiantはサイバー攻撃グループ「UNC6040」によるSalesforce環境を標的とした攻撃の詳細を公表した。Salesforceの「Data Loader」を模倣した不正なアプリを使って、従業員を恐喝し、情報を窃取するという。
()
Salesforceは顧客情報の不正流用を巡り、集団訴訟を含む15件以上の訴訟に直面している。原告はデータ流出により詐欺被害を受けたと主張しており、法的責任が問われている状況にある。
()
生成AIツールと外部システムとの連携を促進する「Model Context Protocol」（MCP）。そのセキュリティリスクは、どのようなものなのだろうか。主要な5つのセキュリティリスクと、その対策を確認しよう。
()
オープンソースリレーショナルデータベースの最新バージョン「PostgreSQL 18」が公開された。
()
2025年8月29日、「ITmedia Security Week 2025 夏」で、日本サイバーディフェンスの最高技術責任者（CTO）である名和利男氏が「企業利益を蝕むインサイダー脅威 - 不可視化する最新手口」と題して講演した。
()
Palo Alto Networksは2025年9月2日、同社のSalesforce環境が不正アクセスを受けたと発表した。複数の企業が同様の被害を公表しており、被害は拡大する恐れがある。
()
Salesforceインスタンスを標的とした大規模なデータ窃取が発生した。本件で影響を受けたユーザーが取るべき対策は。ソフトウェアベンダー側の動向は。Googleの発表から整理する。
()