Monomi Digest

概要

N0vaフィッシングキットが、信頼されたサービスを偽装し正規の認証フローを悪用するフィッシングキャンペーンで、北米および欧州の組織を標的にしています。攻撃が成功すると、脅威アクターはマルウェアに頼らず正規のアカウントにアクセスし、機密データやビジネスシステムへの侵入を可能にします。

金融機関との関連

金融機関は顧客や従業員の認証情報を狙ったフィッシング攻撃の主要な標的となるため、本攻撃キャンペーンはIDセキュリティに対する新たな脅威として関係します。

確認すべきこと

• N0vaフィッシングキットが利用する可能性のある正規サービスや認証フローの悪用パターンについて情報収集する
• 従業員および顧客に対し、フィッシング攻撃の手口と正規の認証フローの確認方法について注意喚起と教育を強化する
• 認証ログやアクセスログを監視し、不審な認証試行やアカウント利用がないか確認する

概要

スペインの規制当局は、AIエージェントがログイン、脆弱性発見、個人データへのアクセスを連鎖的に実行し、データ侵害を引き起こしたと報告しました。これは自律型サイバー攻撃における潜在的な転換点となる可能性があります。

金融機関との関連

AIエージェントの利用が拡大する中で、金融機関においても同様のリスクが発生する可能性があります。現時点では直接的な影響は確認できませんが、将来的な脅威動向として注視が必要です。

確認すべきこと

• AIエージェントの利用状況とセキュリティ対策について、自社および委託先での現状を確認する
• AIエージェントのセキュリティリスクに関する最新動向を継続的に情報収集する

概要

オープンソースのユニファイドコミュニケーションPBXソフトウェアであるIssabel Frameworkのウェブベースフレームワークに存在する重大な脆弱性（CVE-2026-89026）が、現在活発に悪用されています。この脆弱性は、認証されていないリモート攻撃者がハードコードされた欠陥を利用して任意のOSコマンドを実行することを可能にします。

金融機関との関連

金融機関でIssabel Frameworkを利用している場合に限り、適用性確認の対象になります。記事からは金融機関での利用状況は確認できません。

確認すべきこと

• Issabel Frameworkの利用有無と影響バージョンを確認する
• ベンダーの一次情報や修正パッチ、緩和策を確認し、対応要否を評価する

概要

Kasperskyの報告によると、NightEagle、Hacking Cat、Toy Ghoulsという3つの脅威グループがロシア企業を標的としています。NightEagleは少なくとも2023年から活動しており、新たな永続化およびラテラルムーブメントの技術を使用していることが確認されています。

金融機関との関連

金融機関への直接的な影響は記事からは確認できません。ロシア企業を標的とした攻撃動向として、脅威インテリジェンスの参考情報となります。

概要

Mandiantによると、攻撃者がSaaSプロバイダーのAIコーディングアシスタントのセッションを乗っ取り、約100の内部コードリポジトリに「Shai-Hulud」というマルウェアを拡散しました。このマルウェアはリポジトリのシークレットとソースコードを窃取しました。

金融機関との関連

金融機関がAIコーディングアシスタントやSaaSプロバイダーを利用している場合、同様の攻撃を受けるリスクがあるため関係します。特に、開発環境におけるAIツールの利用状況を確認する必要があります。

確認すべきこと

• AIコーディングアシスタントやSaaSプロバイダーの利用状況を棚卸しし、セキュリティ設定を確認する
• AIツールが推奨するコードのレビュープロセスを強化し、悪意のあるコードが混入しないか評価する
• コードリポジトリのアクセス制御と監視体制を見直し、不審な活動がないか確認する

概要

Parallels Desktop for Macに、通常のローカルアカウントがroot権限でコードを実行できる脆弱性が発見されました。この攻撃はネットワーク経由ではなく、マシン上で通常のユーザーとして既に実行されているコードを必要とします。修正はParallels Desktop 27に含まれますが、Intel Macではこのバージョンをインストールできません。

金融機関との関連

金融機関でParallels Desktop for Macを利用している場合に限り、適用性確認の対象になります。特にIntel Macを利用している場合は、修正版の適用ができないため影響が大きくなる可能性があります。

確認すべきこと

• Parallels Desktop for Macの利用有無と、影響を受けるバージョンおよびIntel Macでの利用状況を確認する
• ベンダーの一次情報を確認し、利用可能な緩和策や代替手段の有無を評価する

概要

Googleは9月15日、Pixelモデムの特権昇格のゼロデイ脆弱性（CVE-2026-58704）に対するパッチを公開しました。この脆弱性は標的型攻撃で悪用されたことが確認されています。

金融機関との関連

金融機関でGoogle Pixelデバイスを業務利用している場合に限り関係します。記事からは金融機関での利用状況は確認できません。

確認すべきこと

• Google Pixelデバイスの業務利用状況と影響バージョンを確認する
• Googleからのパッチ適用状況を確認し、必要に応じて適用を検討する

概要

米国、英国、オランダの政府機関が共同で、イランの攻撃グループが使用する監視マルウェア「Chosen Brick」に関する詳細なレポートを公開しました。FBIは、このマルウェアがTelegramをC2通信に悪用していると説明しています。

金融機関との関連

金融機関への直接的な影響は記事からは確認できません。特定の製品やサービスを標的としたものではなく、一般的な脅威動向として情報収集の対象となります。

概要

WordPressプラグイン「The Events Calendar」に認証不要のリモートコード実行（RCE）の脆弱性が発見され、20万以上のWordPressサイトが乗っ取られる可能性があります。

金融機関との関連

金融機関がWordPressをウェブサイトや情報発信基盤として利用し、かつ「The Events Calendar」プラグインを使用している場合に影響する可能性があります。

確認すべきこと

• 自社および委託先でWordPressおよび「The Events Calendar」プラグインの利用有無を確認する
• 利用している場合は、ベンダーの一次情報を確認し、修正パッチの適用または緩和策の実施を検討する

概要

Googleは、Pixel Cellular Modemに存在する深刻度「高」の権限昇格の脆弱性（CVE-2026-58704、CVSSスコア8.0）が限定的な標的型攻撃で悪用されていることを公表し、パッチをリリースしました。

金融機関との関連

金融機関でGoogle Pixelデバイスを業務利用している場合に限り、適用性確認の対象になります。記事からは金融機関での利用状況は確認できません。

確認すべきこと

• Google Pixelデバイスの業務利用有無を確認し、該当する場合は影響バージョンとパッチ適用状況を棚卸しする
• Googleからの一次情報を確認し、推奨される緩和策や対応手順を評価する

概要

消費者データブローカーのRadaris.comが、ニュージャージー州のプライバシー法に違反し、州の法執行官の個人情報を公開したとして提訴されました。同社が情報削除要求を無視し続けた結果、裁判官はradaris.comを含む10以上のデータブローカー関連ドメインを原告側に移管するよう命じました。

金融機関との関連

金融機関がデータブローカーを利用している場合、委託先のプライバシー法遵守状況を確認する上での参考情報となります。直接的な影響は限定的です。

概要

EUのウルズラ・フォン・デア・ライエン委員長は、高度なAIが前例のない規模のハッキングを引き起こす可能性について警告しました。また、欧州ではソーシャルメディアによる子供たちの「囲い込み」に対する新たな保護策を準備しています。

金融機関との関連

AIによるハッキングの脅威は、金融機関を含むあらゆる組織にとって潜在的なリスクとなり得ます。ソーシャルメディア規制は、金融機関のマーケティング活動や顧客とのコミュニケーションに影響を与える可能性があります。

概要

AIUC社が企業向けAIエージェントの認証サービスで4,000万ドルの資金を調達しました。同社は、AIシステムをジェイルブレイク、プロンプトインジェクション、不正なアクションなどのリスクに対してテストし、標準を提供しています。

金融機関との関連

金融機関がAIエージェントの導入を検討する際、セキュリティ評価やリスク管理の参考情報となり得ます。直接的な影響は現時点では限定的です。

概要

漏洩した認証情報や脆弱性情報が悪用されるまでの時間が短縮されており、攻撃者はAIを活用してそのプロセスを加速させています。これにより、多くのセキュリティプログラムが悪用に対応するよりも早く侵害が発生する可能性があります。

金融機関との関連

金融機関は機密性の高い情報を扱い、サイバー攻撃の標的となりやすいため、脅威インテリジェンスの活用とAIを用いた攻撃への対策は重要です。しかし、この記事は一般的な動向の解説であり、特定の製品や脆弱性への直接的な関係は確認できません。

概要

SecurityWeekが本日、組織が拡大するアタックサーフェスを発見し、優先順位を付け、防御するために必要な戦略とツールを探求するバーチャルサミットを開催します。

金融機関との関連

金融機関への直接的な影響は限定的であり、アタックサーフェス管理に関する一般的な情報収集として参考になります。

概要

Hackuity社は、AIを活用した脆弱性運用プラットフォームの拡張と国際的な成長を支援するため、新たに1,900万ドルを調達しました。

金融機関との関連

金融機関への直接的な影響は限定的です。AIを活用した脆弱性管理ソリューションの市場動向に関する参考情報として位置付けられます。