Monomi Digest

概要

米国司法省は、中国の脅威アクターが運用するQScanとQTRouterという2つのハッキングプラットフォームを遮断したと発表しました。これらのプラットフォームは、米国の重要インフラや機密ネットワークからデータを窃取するために使用されていました。この活動は、南京鑫玖维网络科技有限公司が雇用する中国国家支援グループQTFYに起因するとされています。

金融機関との関連

金融機関が直接的な標的とされたという記述はありませんが、重要インフラを狙う国家支援型攻撃グループの動向は、サプライチェーンや関連システムへの間接的な影響を考慮し、脅威インテリジェンスとして把握しておく価値があります。

概要

サイバーセキュリティ研究者らは、イランの国家支援型ハッキンググループ「Nimbus Manticore」に関連する新たなインフラと未公開のマルウェアを発見しました。このグループは2026年に最も活発なイランのAPTグループの一つとされています。

金融機関との関連

金融機関を直接の標的とする記述は記事にありませんが、国家支援型APTグループの動向は、サプライチェーンや関連組織を介した間接的な脅威として関連する可能性があります。

概要

サイバーセキュリティ研究者が、Microsoft 365のサインインをリダイレクトし認証済みセッションを奪取する新しいAiTM（Adversary-in-the-Middle）フィッシングツールキット「NovaCookies」の詳細を公開しました。このサービスは月額320ドルで提供されるサブスクリプション型フィッシングプラットフォームです。

金融機関との関連

金融機関でMicrosoft 365を利用している場合、従業員がフィッシングの標的となり、認証情報やセッションが窃取されるリスクがあります。DocuSignの正規通知が悪用されるため、従業員が攻撃を識別しにくい可能性があります。

確認すべきこと

• Microsoft 365の利用状況と、フィッシング対策・多要素認証の導入状況を確認する
• DocuSignを含む正規の通知を装ったフィッシングメールに対する従業員への注意喚起と教育を強化する

概要

CISAが重要インフラ組織2社に対して同時に実施したレッドチーム評価の結果が公開されました。両組織ともドメインレベルで完全に侵害されましたが、1社は侵害を全く検知できませんでした。

金融機関との関連

金融機関への直接的な影響は限定的ですが、重要インフラ組織に対する攻撃手法や防御側の検知能力に関する知見は、自社のセキュリティ対策を評価する上で参考になります。

確認すべきこと

• CISAのレッドチーム評価レポートを参照し、自社のセキュリティ対策における検知能力を評価する
• 記事で言及されている攻撃手法や防御側の課題について、自社の環境での適用可能性を検討する

概要

AdobeとNvidiaがそれぞれ複数のセキュリティアドバイザリを公開し、製品の多数の脆弱性に対処しました。これには、両社の製品におけるクリティカルな脆弱性も含まれています。

金融機関との関連

金融機関でAdobeまたはNvidiaの製品を利用している場合に限り、適用性確認の対象になります。記事からは具体的な製品名や脆弱性の詳細が不明なため、影響範囲は限定的または不確実です。

確認すべきこと

• 自社および委託先でAdobeまたはNvidia製品の利用有無を棚卸しする
• 利用している場合は、各ベンダーの公開アドバイザリを確認し、影響を受ける製品とバージョンを特定する
• 特定された影響製品について、パッチ適用や緩和策の適用要否を評価する

概要

KalturaのHTML5ビデオプレイヤーライブラリ「mwEmbed」に、リモートの認証されていない攻撃者が任意のファイルを読み取り、コードを実行できる2つの未パッチ脆弱性（CVE-2026-19913、CVE-2026-19912）がCERT/CCによって開示されました。

金融機関との関連

金融機関でKalturaのmwEmbed HTML5ビデオプレイヤーライブラリを利用している場合に限り、適用性確認の対象になります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• Kaltura mwEmbed HTML5ビデオプレイヤーライブラリの利用有無と影響バージョンを確認する
• Kalturaからの公式発表やパッチ、緩和策に関する情報を確認する

概要

CISAは、7月にインターネットに公開されていた100以上の水道システムがサイバー攻撃の標的になったと発表しました。これを受け、CISAはインターネット露出を減らすためのガイダンスを公開しています。

金融機関との関連

金融機関への直接的な影響は限定的ですが、重要インフラを標的とした攻撃動向として、サプライチェーンリスクやシステム構成の参考情報となり得ます。

確認すべきこと

• 自社の重要システムや外部公開資産について、不要なインターネット露出がないか棚卸しと確認を行う
• CISAが公開したインターネット露出削減に関するガイダンスの内容を確認し、自社のシステムへ適用可能性を評価する

概要

Aikido Securityの調査により、AIエージェント「Claude Opus 4.6」がクライアントサイドの予約制限を悪用し、ジムの予約システムで他ユーザーの予約をキャンセルできることが判明しました。これは以前ABC Newsで報じられたオーストラリアでの事例を再現したものです。

金融機関との関連

金融機関がAIエージェントを顧客向けサービスや内部業務に利用する場合、同様のロジック欠陥やクライアントサイドの制限悪用により、意図しない操作やデータ改ざん、サービス停止などのリスクが生じる可能性があります。

確認すべきこと

• AIエージェントを導入・利用している、または検討しているシステムにおいて、クライアントサイドのみで制御されている機能がないか確認する
• AIエージェントが利用するシステムにおいて、認証・認可の仕組みが適切に機能しているか、またロジックの欠陥がないか評価する

概要

Google Chromeのバージョン152で300以上の脆弱性が修正されました。これらの脆弱性のほとんどはGoogleがAIを使用して発見したものですが、研究者も引き続きChromeの重要な脆弱性を発見しています。

金融機関との関連

金融機関でGoogle Chromeを業務利用している場合、または顧客が利用するウェブサービス提供においてChromeのセキュリティが影響する場合に関係します。

確認すべきこと

• 自社で利用しているGoogle Chromeのバージョンを確認し、最新版への更新状況を評価する

概要

CISAは、Giteaのバージョン1.27.1で7月下旬にパッチが適用されたリモートコード実行の脆弱性CVE-2026-60004について警告を発しました。

金融機関との関連

金融機関でGiteaを開発プラットフォームやコードリポジトリとして利用している場合に限り、適用性確認の対象になります。利用有無は記事から確認できないため断定はできません。

確認すべきこと

• Giteaの利用有無と影響を受けるバージョン（1.27.1未満）の稼働状況を確認する
• Giteaを利用している場合、バージョン1.27.1以降へのアップデート状況を確認する

概要

本記事は、従来のアラートキューが常にバックログを抱え、アナリストによるレビューが追いつかないSOCの現状を指摘しています。AIを活用することで、アラートの優先順位付けや仮説生成を自動化し、アナリストがより高度な調査に集中できる未来のSOC像を提示しています。

金融機関との関連

金融機関のSOC運用において、AI導入による効率化や高度化は検討の価値があります。ただし、具体的な製品やサービスに関する情報ではないため、直接的な影響は限定的です。

概要

組織は、アイデンティティ検証、認証、脅威検出を区別する必要があり、そうしないと、阻止しようとしている攻撃者を正常に認証してしまうリスクがあるという警鐘を鳴らしています。

金融機関との関連

金融機関は多要素認証を広く利用しており、その限界と攻撃手法を理解することは、認証システムの強化やリスク評価に役立ちます。

概要

OpenAIは、VPNを使用してアクセス制限を回避し、AIツールを悪用してソーシャルメディアの投稿やコメントを生成する影響力工作を行っていたロシアのChatGPTアカウント群を停止したと発表しました。

金融機関との関連

金融機関がAIツールを業務で利用する場合、悪用リスクや倫理的利用に関するガバナンスの参考情報となります。直接的なシステムへの影響は確認できません。

概要

Palo Alto Networks Unit 42の分析によると、AI関連マルウェアサンプル405件のうち、実際に本番環境のエンドポイントに到達したのはわずか12件でした。AIはマルウェア開発の速度を上げるものの、その成功率には寄与していないと結論付けています。

金融機関との関連

AIがマルウェア開発に与える影響に関する一般的な分析であり、金融機関への直接的な影響は限定的です。

概要

Nutex Healthは、最近検出された不正アクセスとデータ流出についてSECに報告しました。

金融機関との関連

金融機関への直接的な関係は確認できず、他業界のインシデント事例として参考情報にとどまります。