最新記事一覧
ランサムウェア攻撃を受けた企業は、どのような状況に陥り、何を判断しなければならないのか。実際の被害事例を基にしたシナリオを使い、企業が直面する意思決定を疑似体験するワークショップを取材した。そこから見えてきたのは、技術的な対策だけでは埋められない「備えのギャップ」だった。
()
メールアカウントはパスワードリセットや本人確認が集まる「デジタルライフの鍵」であり、攻撃者が最も狙う標的でもある。侵害の手口や急増するフィッシングの実態を知ることで、個人・企業それぞれの対策を講じられるようになる。
()
「公衆Wi-Fiは危険」という常識は、この10年で「HTTPSがあるから大丈夫」へと書き換わりました。ところが今、ホテルでWi-Fiにつないだ一瞬にMicrosoft 365のアカウントを奪われる攻撃が観測されています。どうすれば安全に利用できるのでしょうか。
()
Mythos 5やGPT-5.6-SolといったフロンティアAIモデルが人間の指示なく自発的な攻撃行動を取ったことが分かった。GitHubでの偽アカウント作成やコード挿入など19件の無許可行動が確認されたという。なぜそのような凶行に至ったのか。
()
バックアップの96％が標的とされる現代、単なるデータ復旧ではランサムウェアを防げない。被害額8億円超にも及ぶ脅威に、攻撃の7段階や二重脅迫への具体的な予防・初動対応手順を解説する。
()
AIを悪用したサイバー攻撃が増える一方、AIと自動化を防御に活用することで、データ侵害による損失を抑えられる可能性もある。企業が見直すべきポイントを整理する。
()
北朝鮮の国家ハッカー集団がaxiosなど主要なnpmライブラリを汚染し、短時間で10％のクラウド環境に影響を与えた。脆弱性ではなく仕様を悪用し、メンテナーの信頼を奪う「産業化」された攻撃の脅威に迫る。
()
英公共交通機関を運営するTfLは、ヘルプデスクへのソーシャルエンジニアリングを起点とするサイバー攻撃を受けた。データ流出や4000万ポンドの被害が発生したが、公共交通機関の運行は継続できた。その背景は。
()
ディープフェイク攻撃が生成AI時代の新たな脅威となっている。攻撃への備えとして訓練ツールを導入すべき企業とは。製品選定で確認すべき5つの機能とともに紹介する。
()
偽のエラー表示を見せ、利用者自身に不正な命令を実行させる「ClickFix」の検知が半年で108％増えた。日本の割合は14％で最も高い。攻撃の足場は生成AIの画面やブラウザ拡張機能、Microsoftアカウントのサインインへと広がっている。
()
Microsoftの正規サインイン画面でログインし、多要素認証（MFA）も正常に完了した。それでも攻撃者にアカウントへのアクセスを許してしまう──。Trend Microは、OAuth 2.0の正規機能を悪用する新攻撃の実態を公開した。なぜ従来の対策では見抜きにくいのか。攻撃の流れと有効な防御策を解説する。
()
Cisco Talosは、ランサムウェアグループ「Chaos」が利用する新型RAT「msaRAT」を確認したと発表した。マルウェア自身がインターネットに接続せず、ChromeやEdgeを乗っ取り“通信役”として悪用するのが特徴だという。
()
Microsoftが2026年4〜6月のメール脅威動向を公表した。フィッシング基盤への妨害作戦の効果でメール経由の攻撃は減った一方、Teamsを使う音声フィッシングは2025年半ばの約10倍に増えた。攻撃の入り口はどこへ移りつつあるのか。
()
「Claude」や「ChatGPT」「Gemini」など最新のLLMは強固なガードレールを備えるが、それだけで安心とは言えない。シスコの検証では、対話を重ねるだけで攻撃への耐性が低下するケースも確認された。AIはなぜ意図しない動作をしてしまうのか。攻撃者はその弱点をどう突くのか。
()
嘘のCAPTCHA画面をきっかけとし、通常と思われる指示を出して、ユーザー自らがマルウェアをインストールするように仕向けるなどの、「クリックフィックス」と呼ばれる攻撃が増えている。「こんな単純な手法に引っかかることはない」とたかをくくっている人はいないだろうか。実は、これは組織に重大な被害をもたらす非常に狡猾な手法だ。事例を織り交ぜて、クリックフィックスの怖さを解説する。
()
Microsoftは2026年9月1日から「Microsoft Entra ID」でパスキーの登録を順次促し、2027年2月1日に自社提供のSMS・音声認証サービスを終了する。企業の情シスが実施すべきことを整理する。
()
MicrosoftはEntra IDの標準認証方式をパスキーに変更する。AIを利用した攻撃の高度化を受け、SMS認証と音声認証への依存を減らす狙いだ。両認証はいつまで使えるのか。
()
企業の88％がAIを活用する中、従来型とは異なる攻撃手法が情シスの死角となっている。会話を通じた操作やRAG経由の漏えいなど、既存ツールでは防げない脅威の正体とは。被害を最小化する防御戦略の核心に迫る。
()
利用者自身に操作をさせて多要素認証をすり抜けるフィッシングが猛威を振るっている。こうした中、Appleが2026年秋公開予定の「iOS 27」で、人の心理を突く攻撃に対抗する新たな仕組みを用意していることが分かった。
()
AIエージェントは業務を効率化する一方、新たな攻撃対象にもなり始めている。ESETが約90万件のAIスキルを分析した結果、数千件の悪意あるスキルを確認した。さらにClickFixやQRコード型フィッシングも巧妙化しているという。2026年上半期の脅威動向から、攻撃者が次に狙うポイントを探る。
()
企業がAI活用を急ぐ中、従来型の防御モデルでは対応しきれないリスクが浮上している。Darktraceが実施したCISOらとの座談会から見えてきた、AIエージェントの暴走やシャドーAIのまん延など5つの主要課題とは。
()
MicrosoftはAIサービスを装う悪質な拡張機能を確認し、Googleに報告後削除されたことを明らかにした。利用者には導入元や権限の確認を促した。
()
自律型AIが持つ「データアクセス・外部通信・自律実行」の組み合わせは、企業に壊滅的被害をもたらす3大リスク特性だ。従来のセキュリティツールが通用しない中、情シスはどう立ち向かうべきか。現実的な防御策を提示する。
()
ESETは2026年6月29日、公式ブログでメールがサイバー攻撃の標的になり続ける理由を解説した。悪意あるメールの検出数は2025年後半に36％増加したという。
()
会社役員の声を模倣した数十億円規模の詐欺など、ディープフェイクが企業の存続を脅かしている。米国で進展する「NO FAKES法案」は、無断のAI複製に巨額の賠償金を課し、企業の管理責任を問うものだ。巧妙化する成り済ましから企業を守り、新たな法的リスクを回避するには？
()
AIが攻撃を自動化し、人間の判断速度では追い付けない時代が現実になりつつある。WithSecureは年次イベントで、従来の「検知して対処する」防御モデルの限界を指摘した。これに対して同社はどのような解決策を提示するのか。
()
ITの基礎理論から経営・マネジメントまで幅広い知識が問われる国家資格「基本情報技術者試験」。IT担当者が直面しやすいテーマを取り上げ、図解を交えながら実践的な知識を解説します。今回は、システムではなく「人」の弱点やミスにつけ込む「人的脅威」の手口や対策について取り上げます。
()
近年、ランサムウェア以上に深刻な脅威となっているのが、IDやパスワードをひそかに盗み出す「インフォスティーラー」だ。情シスが今すぐ講じるべき、組織の存続を揺るがすデータ流出を防ぐための具体策を解説する。
()
AIによって誰もがコードを書けるようになったが、開発者はソフトウェアサプライチェーン攻撃のリスクにさらされている。本稿では、そもそもソフトウェアサプライチェーンとは何なのかを振り返り、開発者が何に気を付け、どのような対策をとるべきなのかを分かりやすく解説する。
()
SNSや動画でよく見かけるセキュリティサービス「NordVPN」。本サービスを提供するNord Securityのセキュリティ担当者が来日するというので、いろいろ話を聞いてみた。
()
Trend Microは、Google広告を悪用したマルバタイジング攻撃を分析した。攻撃者はAI関連開発ツールを装う偽ページへ誘導後、Claudeの共有チャット機能も悪用し、認証情報窃取型マルウェア配布を図っている。アジア太平洋地域で被害が集中した。
()
Mythosの一般利用を想定して改善されたAnthropicの新モデル「Claude Fable 5」に対し、研究者が複数の手法を組み合わせて検証し、ガードレールを突破したと報告した。一体どのような手法を使ったのか。
()
ESETは、AIが中小企業で広がる半面、設定不備やプロンプト注入、不正スキルによる情報流出の危険が増していると報告した。利用規定未整備の企業も多く、機密情報保護や権限管理の徹底を呼びかけた。
()
Microsoftは、AIサービスの知名度を悪用したフィッシングや不正広告、検索結果悪用型攻撃の増加を報告した。ChatGPTやClaude、DeepSeekなどを装い、認証情報や決済情報の窃取、マルウェア配布につなげる手口が確認された。
()
Gartnerは、攻撃者が優位な深刻脅威としてディープフェイク、AIアプリ侵害、プロンプトインジェクション、ソフトウェアサプライチェーン攻撃を挙げ、優先投資、多層防御、監視強化、認証強化、開発段階での対策実装をCISO（最高情報セキュリティ責任者）に求めた。
()
人を介在させる従来型のサイバー防御が限界を迎えている。AI技術によって攻撃が自動化された今、脅威を検出して対処を促すだけのツールでは被害を防げないという。AI同士が戦う時代を生き残るための必須条件とは。
()
ESETの調査で、サイバー攻撃への警戒感や対応力への自信が高まる一方で、AI脅威への理解不足や基本対策の欠如が課題と判明した。被害はフィッシングなどが中心で、教育や保険の導入が対応力を支えている。
()
企業の情報システム部門やCISOは各国で異なるAI規制への対応を迫られている。Gartnerのバイスプレジデントアナリストは、各規制に場当たり的に対応するのではなく、AIレジリエンスの確立が重要だと指摘する。
()
ビジネスメール詐欺（BEC）は、技術的な脆弱性ではなく「人間の心理と信頼」を突く。GoogleやMeta、トヨタ子会社といった巨大組織すら、巧妙な偽請求書やCEO成り済ましに屈し、数十億円規模の損失を出している。情シスが講じるべき現実的な対策を浮き彫りにする。
()
ESETは、脅威アクターがAIを活用して攻撃を高速化している現状と防御側の対策について解説した。初期侵入から横展開までのブレークアウトタイムは平均約30分にまで短縮されていると警告している。
()
本物のZoom会議、実在する女性とのライブチャット、正常に動くソフトウェア。最新のサイバー攻撃は、ユーザーに「怪しい」と感じさせない“合法な体験”そのものを武器にし始めている。生成AIをフル活用した最新攻撃の実態に迫る。
()
2026年3月4日、「ITmedia Security Week 2026 冬」の「アタックサーフェス管理」セクションで、パネルディスカッション「やっぱり対象領域は明らかにしないといけないから」が行われた。
()
Cisco Talosが2025年のランサムウェア動向を分析したレポートを公開した。攻撃者は「PowerShell」など、企業が日常的に使うツールや機能を悪用しているという。その具体的な手口と、有効な対策とは。
()
Googleは音声通話で認証情報を盗む集団「BlackFile」の手口を公表した。標的を偽サイトへ誘導後、認証基盤へ侵入してクラウドの機密情報を大量取得、恐喝する流れが確認された。
()
AIは生産性を高める一方、攻撃者にも「自律的な武器」を与えてしまった。ディープフェイクによる詐欺事例や、0.001％のデータ汚染でAI精度を3割下げる攻撃など、脅威はかつてないほど高度化している。情シスが直面するこの危機を防ぐため、技術・組織・ガバナンスの3軸で構築すべき新たな防衛モデルを提示する。
()
「サイバー保険」は、企業がサイバー攻撃を受けた際の“最後のとりで”になり得る。しかし保険に加入してさえいれば全損害を補填できるわけではない。4つの漏えい事例から学ぶ、組織を追い詰める致命的な要素とは。
()
Mandiantは年次レポート「M-Trends 2026」を発表した。2025年に実施した50万時間以上のインシデント調査では、サイバー犯罪の分業化と連携の進展により、初期アクセスから攻撃実行グループへの引き継ぎ時間が2022年の8時間超から2025年には22秒に短縮されたことが明らかになった。
()
Microsoftはサイバーセキュリティ動向に関する年次レポート「Microsoft Digital Defense Report 2025」を公開した。サイバー攻撃の現状、主要な標的、国家が関与する攻撃の脅威、AI活用の動向に焦点を当て、組織に求められる10の取り組みを紹介したものだ。
()
厳格なマニュアルを持つはずのヘルプデスクが、いとも簡単に侵入を許してしまう。公開された「実際の詐欺音声」は、従来型セキュリティの限界を伝えている。担当者を欺く手口の全貌と、企業が取るべき対策とは。
()
GoogleはAIシステムの安全性を高めるため、攻撃者の視点からセキュリティの弱点を検証する専門チームの取り組みを公表した。AI特有の確率的な振る舞いや、ソーシャルエンジニアリングに近い攻撃特性に対応し、従来の防御を補完する。
()