GitHub ‘OpenClaw Deployer’ Repo Delivers Trojan Instead ⭐
Severity: 84/100
Netskope Threat Labsは、TroyDen’s Lure Factoryと追跡するAI支援キャンペーンを確認した。攻撃者はOpenClawのDockerデプロイ用に見せかけたGitHubリポジトリを使い、開発者向けツール、ゲームチート、Robloxスクリプト、crypto bot、VPN crackerなどを餌に300超の汚染パッケージを配布した。中核のLuaJITベースのトロイの木馬はスクリーンショット取得、位置情報収集、機微情報の窃取を行い、FrankfurtのC2へ送信する。ペイロードは改名したLuaランタイムと暗号化スクリプトの二要素構成で、5つのアンチ解析チェックと約29,000年相当のスリープにより自動分析を回避した。記事は、改名されたインタプリタと不透明なデータファイルを組み合わせたGitHub配布物を高優先度でトリアージすべきだとしている。
Ransomware’s New Era: Moving at AI Speed ⭐
Severity: 82/100
ランサムウェア攻撃者は、AIと自動化で侵入からデータ窃取までを高速化し、EDR回避や有効な認証情報の悪用、ファイアウォール/VPNの脆弱性、フィッシング、ブルートフォース、インフォスティーラー、実行時の深層偽造音声を用いている。医療機器のようにEDR非対応の古い資産や、過剰権限IDを抱える企業が標的となり、Arctic WolfはIR案件の44%がランサムウェアと報告した。対策として、CISOや取締役への透明性ある報告、データ所在の把握、アクセス管理の強化、従業員教育の徹底が挙げられた。
Detecting IP KVMs - SANS Internet Storm Center ⭐
Severity: 40/100
本記事は、犯罪者や北朝鮮の遠隔作業者が利用した事例を踏まえ、現地設置型のrogue IP KVMによる隠密な遠隔アクセスを取り上げている。攻撃手法は、IP KVMをUSBのキーボード/マウスとHDMIの映像経路として接続し、社内PCや雇用主から送付されたノートPCを外部から操作するもので、正規の在宅勤務や初期侵入後の持続的アクセスにも使われ得る。検出指標として、NanoKVMではlsusb上の「sipeed NanoKVM」、PiKVMでは「Linux Foundation Multifunction Composite Gadget」「Generalplus Technology Inc. USB Audio Device」、HDMIのEDIDでは「VCS」「PiKVM V3」「LNX」などの文字列が挙げられる。対策として、USB接続機器の監視に加え、モニターのEDID情報も確認することが提案されている。ただし、より巧妙な攻撃者はこれらの文字列を変更して回避可能としている。
Microsoft Proposes Better Identity, Guardrails for AI Agents ⭐
Severity: 18/100
AIエージェントの普及により攻撃面が拡大し、従来のユーザーやアプリケーションに加えて非人間IDの管理が重要になっている。記事は特定の攻撃者ではなく、エージェント型AIそのものが新たな攻撃クラスを生む状況を取り上げる。MicrosoftはRSACで、Foundryのガードレール作成プレビュー、Security Copilotのエージェント機能、Entra IDによるエージェントIDを発表した。対象は企業のAIエージェントと、それがアクセスするデータやリソース全般で、agent registry、権限管理、行動ログ、モデルやエージェントに割り当てる制御群が用いられる。Security CopilotのTriage Agentと新しいSecurity Analyst agentはDefenderとSentinelのテレメトリを利用し、リスクの高い機能を検知する評価ツールも提供される。MicrosoftはZero Trust WorkshopへのAI項目追加と、autonomous agent保護の defense-in-depth 方針を示した。
CISO Leadership Gap - Why SMB Cybersecurity Is at Risk ⭐
Severity: 18/100
SophosとCybersecurity Venturesの2026 CISO Reportは、世界に約3万5000人のCISOしかいない一方で、対象となる企業は約3億5900万社に達し、10,000対1の比率という深刻な経営防衛の空白を指摘している。特にSMBでは専任のセキュリティ責任者がほぼ不在で、CISO不在は財務損失、業務停止、評判毀損への露出を拡大するとしている。報告書は、サプライチェーン侵害、AI駆動攻撃、進化するランサムウェアへの備えを含む意思決定機能の重要性を強調し、サイバー犯罪コストが2031年に年12.2兆ドル、ランサムウェア被害が2026年に740億ドルへ拡大すると見積もる。対策として、vCISO、MSP/MSSP、そしてSophosのCISO Advantageのような仕組みで、ガバナンス、コンプライアンス、戦略的リスク管理をスケールさせる方針を示している。
Zero Trust: Bridging the Gap Between Authentication and Trust ⭐
Severity: 18/100
この記事は、Zero Trustにおいて認証だけでは信頼判断が不十分だと指摘し、特にMFAや条件付きアクセスを通過した後のセッション信頼の欠落を論じている。攻撃者はインフォスティーラー、トークン窃取、セッションハイジャックを用いて、MFA後に発行されたCookieやトークンを盗み、正規ユーザーを装って侵入する。想定される対象はハイブリッドワーク環境の利用者端末やActive Directoryを含む企業アクセス経路で、未更新の個人端末、管理外デバイス、公共Wi‑Fi利用時のリスクが強調されている。対策として、認証に加えてデバイスの健全性と準拠状況をリアルタイムに検証し、セッション中も継続監視すること、リスク変化時にアクセスを再評価または制限すること、さらにフィッシング耐性のある認証と自動的な姿勢検査、ワンクリック修復を組み合わせることが挙げられている。
CISO Leadership Gap - Why SMB Cybersecurity Is at Risk ⭐
Severity: 15/100
SophosとCybersecurity Venturesの2026 CISO Reportは、世界で約35,000人のCISOが推定3億5,900万社を支える一方、10,000対1の比率で経営層のセキュリティ指揮が不足していると指摘する。特にSMBは影響が大きく、全企業の約90%を占めるにもかかわらず、専任セキュリティ責任者を置く企業はほぼないとされる。記事は、CISO不在の組織が財務損失、業務停止、評判毀損にさらされ、2025年には小規模企業の4社に1社ではなく5社に4社が侵害を経験し、3分の1超が50万ドル超の損失を被ったと述べる。対策として、MSP/MSSPによる支援、vCISOの活用、SophosのCISO Advantageのようにガバナンス、コンプライアンス、戦略的リスク管理を拡張するモデルが挙げられている。
How a Large Bank Uses AI Digital Twins for Threat Hunting ⭐
Severity: 12/100
JPMorgan ChaseのAndrew Plummer氏は、約32万人の従業員が生む大量のログの中から攻撃者を見つけるため、AIを使ったデジタルフィンガープリントとデジタルツインの仕組みを構築したと説明した。フィンガープリントは従業員の業務パターンや習慣に基づいて異常を検知し、ツインはその異常をリアルタイムデータとともにモデル化して、時間経過や外部要因も含めて悪意の可能性を評価する。対象は従業員と、銀行環境内の6000以上のアプリケーションで使われるAIエージェントで、現在は約1万9000ユーザーを監視している。目的は誤検知を減らしつつ、必要に応じてアナリストが脅威かどうか判断できるようにし、デモでは封じ込めと被害軽減の手順も示された。
CISO Leadership Gap - Why SMB Cybersecurity Is at Risk ⭐
Severity: 5/100
Cybersecurity VenturesとSophosの2026 CISO Reportは、世界で約3万5000人のCISOが推定3億5900万の企業を支えるという、10,000対1のリーダーシップ格差を指摘している。Fortune 500やGlobal 2000ではCISO定着が進む一方、SMBでは専任セキュリティ責任者不在が広がり、2025年には小規模企業の4社に3社が侵害を経験した。報告書は、ランサムウェアやサプライチェーン侵害、AI駆動攻撃への備えを含むCISO級の意思決定が不可欠とし、MSP/MSSPやvCISO、Sophosが提唱するCISO Advantageのような拡張モデルが不足を埋める手段になるとしている。
Oracle vulnerability (CVE-2026-21992) impacts core products
Severity: 88/100
Oracleは2026年3月20日、Oracle Fusion MiddlewareのOracle Identity ManagerとOracle Web Services Managerに影響する重大な脆弱性CVE-2026-21992を公開した。CVSSは9.8で、認証されていない攻撃者がHTTP経由でネットワークアクセスを取得し、リモートコード実行に至る可能性がある。ネットワークレベル認証の欠如により、製品の重要機能が露出している。現時点で活発な悪用の報告はない。Sophosの保護としてAttack_3bが関連付けられている。CTU研究者は、影響を受けるコンポーネントを特定し、環境に応じて適切なパッチを適用するよう推奨している。
HackerOne discloses employee data breach after Navia hack
Severity: 74/100
HackerOneは、米国の福利厚生管理会社Naviaが侵害された結果、同社従業員のデータが盗まれたと通知した。攻撃者は特定されておらず、Navia側ではBroken Object Level Authorization（BOLA）脆弱性により2025年12月22日から2026年1月15日までデータへ不正アクセスされたとされる。影響は287人の従業員とその扶養家族に及び、SSN、氏名、住所、電話番号、生年月日、メールアドレス、加入・有効・終了日が含まれる。Naviaは2026年1月23日に不審な活動を把握し、2月20日に通知した。流出情報はフィッシングやソーシャルエンジニアリングに悪用され得るため、不審なメッセージへの警戒、口座監視、12か月のID保護と信用監視の利用、関連する場合はパスワードや秘密の質問の変更が勧められている。
Infinite Campus warns of breach after ShinyHunters claims data theft
Severity: 57/100
データ窃取型の恐喝グループShinyHuntersが、Infinite CampusのSalesforceインスタンスを標的にした攻撃を主張し、同社は顧客向けに侵害通知を送付した。報道によると、攻撃者は従業員のSalesforceアカウントにアクセスし、学校職員の氏名や連絡先など、主に公開されている情報を取得したとされる。Infinite Campusは米国の3,200以上の学区に学生情報システムを提供し、1,100万人の学生データを管理しているが、現時点で顧客データベースへのアクセスは確認されていない。同社は、IP制限のない一部の顧客向けサービスを停止し、影響の可能性があるSalesforceデータの調査と、該当学区への連絡を進めている。
Dutch Ministry of Finance discloses breach affecting employees
Severity: 52/100
オランダ財務省は、先週検知されたサイバー攻撃により一部システムが侵害されたと公表した。第三者からの通報を受けて3月19日に調査を開始し、政策部門の主要業務向けシステムで不正アクセスを確認したとしている。影響は一部職員の業務に及んだが、税務、税関、給付関連の市民・企業向けサービスには影響はないという。攻撃者の帰属や侵入手法、盗難されたデータの有無は明らかにされておらず、現時点で犯行声明もない。省は該当システムへのアクセスを遮断し、引き続き調査を進めている。
Yanluowang ransomware access broker gets 81 months in prison
Severity: 48/100
ロシア国籍のAleksey Olegovich Volkov（chubaka.kor、netsとしても活動）は、Yanluowang ransomwareの初期アクセスブローカーとして有罪を認め、約7年の禁錮刑を言い渡された。彼は2021年7月から2022年11月にかけて米国の少なくとも8社の企業ネットワークへ侵入し、そのアクセスをYanluowangのRaaS運用に販売したとされる。アフィリエイト側は取得したアクセスを用いてデータを暗号化し、30万ドルから1,500万ドルの身代金を要求した。FBIは押収した関連サーバーからチャットログ、窃取データ、被害者のネットワーク認証情報、身代金交渉に使われたYanluowangのメールアカウントを回収した。捜査ではApple iCloudデータ、暗号資産取引記録、SNS情報も突き合わされ、Volkovの特定に至った。
Mazda discloses security breach exposing employee and partner data
Severity: 38/100
Mazdaは、タイから調達した部品の倉庫業務に使う管理システムへの不正な外部アクセスを検知したと公表した。攻撃者の特定はされておらず、同社はマルウェア感染やランサムウェア攻撃、業務への直接的影響も確認していないという。影響は692件に限定され、流出の可能性があるのはユーザーID、氏名、メールアドレス、会社名、取引先IDで、顧客データは含まれない。Mazdaは当局へ報告し、外部専門機関と調査を実施した。併せて、インターネット露出の削減、セキュリティパッチ適用、監視強化、アクセス制御の厳格化を行い、対象者にはフィッシングや詐欺への警戒を促している。
Firefox now has a free built-in VPN with 50GB monthly data limit
Severity: 15/100
MozillaはFirefox 149を公開し、Mozillaアカウント利用者向けに月50GBまでのブラウザ内蔵VPN機能を追加した。通信はブラウザ内のトラフィックのみを安全なプロキシ経由で中継し、位置情報とIPを隠せる。米英独仏で段階展開され、接続成否や利用量などの技術データを収集する。あわせて、SafeBrowsingが悪性と判定したサイトの通知を自動遮断し権限を取り消すほか、46件の脆弱性修正も含む。修正対象にはuse-after-free、out-of-bounds、JITエンジン欠陥、サンドボックス逃避が含まれる。
Strengthen Identity Resilience: Recover with Confidence using Microsoft Entra Backup and Recovery
Severity: 10/100
Microsoftは、Microsoft Entraの設定変更や安全でない運用ミスからの復旧を支援する「Microsoft Entra Backup and Recovery」のPublic Preview開始を発表した。対象は特定の脅威アクターではなく、誤ったConditional Access更新、HRシステムの設定不具合による大量の属性上書き、または侵害された特権アカウントによる悪意ある構成変更といった事象である。復旧対象にはユーザー、グループ、アプリケーション、サービスプリンシパル、Conditional Accessポリシー、認証方法ポリシー、認可ポリシー、名前付き場所が含まれる。Difference Reportで変更差分を確認し、対象を絞った回復ジョブを実行できるほか、バックアップは無効化・削除・改変できない保護付きで管理される。Entra ID P1/P2ライセンスが必要で、最大5日分の各日1件のバックアップから復元できる。
OpenAI rolls out ChatGPT Library to store your personal files
Severity: 8/100
OpenAIはChatGPT向けに「Library」機能の展開を開始し、ユーザーがアップロードした個人ファイルや画像をOpenAIのクラウドに保存できるようにした。対象はPlus、Pro、Businessで、EEA、スイス、英国を除く世界の利用者に順次提供されている。既定では、チャット内でアップロードまたは作成された文書、表計算、プレゼンテーション、画像などが専用の安全な保存領域に自動保管され、将来の会話で参照可能になる。削除はLibraryタブから個別に行う必要があり、チャットを削除してもLibraryに保存されたファイルは消えない。OpenAIは削除後30日以内にサーバーから除去するとしている。
Microsoft fixes bug causing Classic Outlook sync issues with Gmail
Severity: 8/100
Microsoftは、Classic OutlookでGmailとYahooのメール同期に障害を起こす既知の不具合を修正した。影響では0x800CCC0Fと0x80070057のエラーが発生し、2026年2月26日以降、対象アカウントの同期が停止し、サインイン促進も表示されなかった。Microsoft 365サービス側で修正済みだが、OAuthトークンの期限切れまで一部利用者に影響が残る可能性がある。同期できない場合は、WindowsレジストリのComputer\HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\Identity\Identities配下の該当メールアドレスのエントリ削除が暫定回避策として案内された。
External MFA in Microsoft Entra ID is now Generally Available
Severity: 2/100
Microsoft は Microsoft Entra ID における external MFA の一般提供を発表した。OpenID Connect ベースで、サードパーティの MFA プロバイダーを Entra ID の認証基盤に統合しつつ、Conditional Access とリアルタイムのリスク評価を継続できる。対象は、規制要件や業務要件で外部 MFA を使う組織、M&A 対応、認証体験の統合を求める環境である。External MFA は Custom Controls を置き換える位置づけで、Custom Controls は 2026年9月30日に廃止予定だが、移行期間中は既存設定が動作する。Microsoft は、Conditional Access のサインイン頻度やセッション制御を適切に調整し、再認証ガイダンスに従うよう推奨している。
ISC Stormcast For Tuesday, March 24th, 2026
Severity: 0/100
本記事はSANS Internet Storm CenterのStormcast告知ページであり、特定の脅威アクター、脆弱性、攻撃手法、被害対象、IOC、対策を説明する本文は含まれていない。掲載内容は番組タイトル、日付、運営情報、関連リンクのみで、インシデント分析やセキュリティ勧告として扱える技術情報は示されていない。したがって、攻撃対象の範囲や影響、MITRE ATT&CKへの対応付け、緩和策の記述も確認できない。