Monomi Digest

概要

北朝鮮の脅威アクターLazarus Groupが、Microsoft Windowsのゼロデイ脆弱性を悪用し、フランス、ドイツ、ブラジル、インドの防衛・航空宇宙企業を標的とした新たなバックドアを展開しました。この活動は「Operation Dream Job」の一部とされています。

金融機関との関連

金融機関が直接の標的ではないものの、Windowsのゼロデイ脆弱性が悪用されているため、一般的なWindows環境を利用する金融機関においても、同様の攻撃手法が転用される可能性があります。

確認すべきこと

• 自社および委託先におけるWindows環境の脆弱性管理状況を確認し、最新のセキュリティパッチ適用状況を評価する
• Lazarus Groupの攻撃手法やIOCに関する情報を収集し、自社システムにおける侵害兆候の有無を監視する
• 防衛・航空宇宙産業を標的とした攻撃キャンペーンの動向を継続的に確認し、自社への影響可能性を評価する

概要

OpenAI、Anthropic、GoogleのAPIにおける新たな欠陥が明らかになりました。この欠陥は、APIコール間で隠されたAIの推論を伝達する方法に存在し、研究者らはセッションログから内部推論やAPIキー、パスワードなどの機密情報を復元できることを示しました。

金融機関との関連

金融機関がOpenAI、Anthropic、GoogleのAIモデルやAPIを業務で利用している場合、機密情報漏えいのリスクに関係します。特に、AIモデルの推論プロセスに機密情報が含まれる場合は影響が大きくなる可能性があります。

確認すべきこと

• 自社および委託先におけるOpenAI、Anthropic、GoogleのAIモデルおよびAPIの利用状況を確認する
• 各AIプロバイダーから公開されている本件に関する公式情報や推奨される緩和策を確認し、対応要否を評価する
• AIモデルの利用において、APIキーやパスワードなどの機密情報を推論プロセスに含めない運用を検討する

概要

JPCERT/CCが2026年8月のマイクロソフトセキュリティ更新プログラムに関する注意喚起を公開しました。この更新プログラムには複数の脆弱性に対する修正が含まれています。

金融機関との関連

多くの金融機関でマイクロソフト製品が基盤システムや業務システムに広く利用されているため、これらの脆弱性は情報漏えいや業務停止に繋がる可能性があります。

確認すべきこと

• 自社および委託先で利用しているマイクロソフト製品の棚卸しと、影響を受ける可能性のある製品・バージョンを確認する
• マイクロソフトが公開するセキュリティ更新プログラムの適用計画を策定し、速やかに適用を検討する
• 更新プログラムの適用が困難な場合は、代替の緩和策や回避策の有無を確認し、適用を検討する

概要

737個の無料VPNおよびプロキシChrome拡張機能が、主にロシア語圏のユーザーを標的に、ブラウザトラフィックを傍受しプロキシインフラ経由でルーティングしていたことが判明しました。これらの拡張機能は75,486件インストールされています。

金融機関との関連

金融機関の従業員が業務端末でこれらの悪意ある拡張機能を使用していた場合、機密情報が傍受されるリスクがあります。利用状況の確認が重要です。

確認すべきこと

• 従業員が業務端末にインストールしているChrome拡張機能の棚卸しと、記事に記載された悪意ある拡張機能の有無を確認する
• VPNおよびプロキシ拡張機能の利用に関する社内ポリシーを再確認し、必要に応じて周知・強化する

概要

英国NCSCは、安全でレジリエント、かつ展開可能なプライベート5Gの技術とアプローチを開発する組織に対し、将来の形成に向けた協力を呼びかけています。

金融機関との関連

プライベート5Gの導入を検討している金融機関にとっては、将来的なセキュリティ要件やベストプラクティスを理解する上で参考となる可能性がありますが、直接的な影響は限定的です。