Monomi Digest

概要

ハッカーが侵害されたAPIキーを利用し、Cloudflare Workerを展開して悪意のあるスクリプトを10万のウェブサイトに注入しました。

金融機関との関連

Brevoのサービスを利用している金融機関は、自社ウェブサイトへのマルウェア注入の有無を確認する必要があります。特に、顧客情報や決済情報を取り扱うウェブサイトの場合、情報漏えいや業務停止のリスクが高まります。

確認すべきこと

• Brevoのサービスを利用している場合、自社ウェブサイトへのマルウェア注入の有無を確認する
• Brevoからの公式発表やセキュリティアドバイザリを確認し、推奨される対応策を評価する
• 侵害されたAPIキーの利用状況を確認し、必要に応じてキーの無効化や再発行を検討する

概要

セキュリティ研究者が、ローカルユーザーがroot権限を取得できるLinuxカーネルの4つの脆弱性に対するエクスプロイトコードを公開しました。これらの脆弱性は過去数週間のうちに修正済みですが、古いカーネルを実行しているシステムは影響を受ける可能性があります。

金融機関との関連

金融機関でLinuxカーネルを使用しているシステムが存在し、かつカーネルが最新の状態に更新されていない場合に影響する可能性があります。特に、ローカルアクセスが可能な環境や、特権昇格が次の攻撃ステップとなるような環境では、適用性確認の対象となります。

確認すべきこと

• 自社および委託先でLinuxカーネルを使用しているシステムを棚卸しし、影響を受ける可能性のあるバージョンを確認する
• Linuxカーネルのバージョンが最新に保たれているかを確認し、必要に応じてアップデートを計画する

概要

WordPressは、ログイン中の管理者が細工されたウェブリンクを開くことで、WordPress.orgディレクトリからテーマを強制的にインストールさせることが可能な脆弱性に対するパッチを公開しました。この脆弱性は「Click2Shell」と名付けられ、単体ではテーマのインストールに留まりますが、コード実行に連鎖する可能性があります。

金融機関との関連

金融機関がWordPressをウェブサイトやブログ基盤として利用している場合に、適用性確認の対象となります。記事からは金融機関での利用状況は確認できません。

確認すべきこと

• 自社および委託先でWordPressの利用有無と影響バージョンを確認する
• WordPressのベンダー一次情報を確認し、公開されているパッチや緩和策の適用を検討する

概要

パキスタン関連の脅威グループTransparent Tribe（APT36）が、インドおよびアフガニスタンの政府・防衛機関を標的とした新たなサイバー攻撃を展開しています。この攻撃では、RUSTYSHADEやRUSTYMOVEといった未確認のRust製ツールが、プライベートGitHubリポジトリをコマンド＆コントロール（C2）に利用して展開されています。

金融機関との関連

金融機関への直接的な影響は記事からは確認できません。特定の標的型攻撃キャンペーンに関する情報として、脅威動向の把握に役立ちます。

概要

Microsoftは、Azure AI FoundryにおけるCVSSスコア10.0の最大深刻度の権限昇格の脆弱性(CVE-2026-85889)に対する修正をリリースしました。この脆弱性は、ネットワーク経由で認証されていない攻撃者が特権を昇格できるものです。

金融機関との関連

金融機関がMicrosoft Azure AI Foundryを利用している場合に限り、適用性確認の対象になります。記事からは顧客側での対応は不要とされています。

確認すべきこと

• 自社および委託先でMicrosoft Azure AI Foundryの利用有無を確認する
• Microsoftからの公式情報を確認し、顧客側での追加対応が不要であることを再確認する

概要

Hacktronの研究者が、OpenAIの従業員アカウントへのアクセスを実証し、バグバウンティを獲得しました。これはAIが生成したエクスプロイトとサインインの欠陥を利用したものです。

金融機関との関連

金融機関がOpenAIのサービスを業務で利用している場合、同様の脆弱性や攻撃手法が自社のシステムにも影響を及ぼす可能性を評価する上で参考になります。直接的な影響は確認できません。

確認すべきこと

• OpenAIのサービスを利用している場合、提供者からのセキュリティ情報や推奨事項を確認する
• AI関連サービスやプラットフォームの利用における認証・アクセス管理のセキュリティ設定を再評価する

概要

画像共有サービスGyazoの提供元であるHelpfeel社は、画像アップロードサーバーの脆弱性が悪用され、2,300万件のユーザー記録が不正アクセスにより侵害されたことを発表しました。

金融機関との関連

Gyazoサービスを業務で利用している金融機関や、委託先が利用している場合に情報漏えいの影響を受ける可能性があります。記事からは金融機関との直接的な関係は確認できません。

確認すべきこと

• 自社および委託先におけるGyazoサービスの利用有無を確認する
• Gyazoサービスを利用している場合、提供元からの公式発表や指示を確認し、必要な対応を検討する

概要

2025年7月、かつてコンテンツデリバリーネットワーク（CDN）に属していたドメインが再登録されました。このCDNは数年前に閉鎖され、ドメインは失効していましたが、数千のウェブサイト、コードリポジトリ、ドキュメントページが、そのドメイン下の

金融機関との関連

金融機関がウェブサイトやアプリケーションで、過去に利用していたCDNのドメインへのハードコードされた参照を残している場合、意図しないコンテンツの読み込みやセキュリティリスクに繋がる可能性があります。

確認すべきこと

• 自社および委託先のウェブサイトやアプリケーションで、過去に利用していたCDNドメインへのハードコードされた参照がないか確認する
• 参照が確認された場合、そのドメインが現在誰によって管理されているか、また悪意のあるコンテンツが配信されていないか調査する
• 不要な外部ドメインへの参照を削除または更新し、サプライチェーンリスクを低減する

概要

セキュリティ企業Air Securityによると、広く利用されている4つのAIコーディングエージェントに脆弱性があり、プラグインのリポジトリ所有者が、エージェントが特定のレビュー済みバージョンにロックしているプラグインを悪意のあるものにすり替えることが可能です。AnthropicとOpenAIは既にこの脆弱性を修正済みです。

金融機関との関連

金融機関がAIコーディングエージェントを開発・利用している場合に、サプライチェーンリスクとして関係します。記事からは金融機関での利用状況は確認できません。

確認すべきこと

• 自社でAIコーディングエージェント（Anthropic Claude Code、OpenAI Codex、GitHub Copilot、Cursor）の利用有無を確認する
• 利用している場合は、ベンダーの修正状況を確認し、最新バージョンへの更新または緩和策の適用を検討する

概要

Microsoftは、AzureおよびAI関連製品にわたる18件の脆弱性を修正しました。これらの脆弱性の大半は権限昇格の欠陥です。

金融機関との関連

金融機関でMicrosoft AzureやAI関連製品を利用している場合に限り、適用性確認の対象になります。記事からは具体的な製品名や影響範囲が不明なため、利用有無は確認が必要です。

確認すべきこと

• Microsoft AzureおよびAI関連製品の利用有無と影響バージョンを確認する
• Microsoftのセキュリティ更新プログラム情報を確認し、自社環境への適用要否を評価する

概要

サイバーセキュリティ研究者らは、これまで文書化されていなかったJavaScriptベースのマルウェア「WeaselBiscuit Stealer」を拡散する13個のnpmパッケージを発見しました。このマルウェアは、北朝鮮のContagious Interviewキャンペーンに関連するマルウェアと機能的な重複が見られます。

金融機関との関連

金融機関でnpmパッケージを利用した開発を行っている場合、サプライチェーンリスクとして関係します。また、従業員がChrome拡張機能を利用している場合、情報窃取の対象となる可能性があります。

確認すべきこと

• 自社および委託先で利用しているnpmパッケージに、記事で言及されている悪性パッケージが含まれていないか確認する
• 従業員が利用するChrome拡張機能について、不審なものがないか確認し、セキュリティ教育を強化する

概要

2022年から活動していたDDoS攻撃代行サービス「NightmareStresser」が、国際的な法執行機関の作戦により停止されました。同サービスは世界で最も長く運営されていたDDoS-for-hireサービスの一つでした。

金融機関との関連

金融機関はDDoS攻撃の標的となることが多いため、主要なDDoS攻撃サービスが停止されたことは脅威環境の変化として関係します。ただし、直接的な影響は限定的です。

概要

npmパッケージレジストリを通じてJavaScriptベースの情報窃取マルウェア「PhantomRaven」が配布されており、金銭目的の攻撃者が大規模言語モデル（LLM）を使用してこのマルウェアを開発した可能性が高いと指摘されています。

金融機関との関連

金融機関がnpmパッケージを利用してシステム開発を行っている場合、サプライチェーンリスクとして関係します。LLMの悪用事例として、今後の脅威動向を把握する上で参考になります。

確認すべきこと

• 自社および委託先におけるnpmパッケージの利用状況と、PhantomRavenの検出状況を確認する
• 開発プロセスにおけるサードパーティ製パッケージのセキュリティ評価基準を見直す

概要

Orkes Conductorに認証不要のリモートコード実行の脆弱性CVE-2026-58138が確認され、攻撃者がインラインワークフロー定義を介して悪用していることが報じられました。

金融機関との関連

金融機関でOrkes Conductorを利用している場合に限り、適用性確認の対象になります。記事からは金融機関での利用状況は確認できません。

確認すべきこと

• Orkes Conductorの利用有無と影響バージョンを確認する
• ベンダーからの一次情報や修正パッチ、緩和策を確認し対応要否を評価する

概要

ランサムウェア開発者の判決、AI攻撃「Plugin4Shell」、SAPの重大な欠陥など、見過ごされがちな注目すべきセキュリティニュースをまとめた記事です。

金融機関との関連

複数の異なるトピックをまとめた記事であり、金融機関への直接的な関係は限定的です。個々のトピックについては記事から詳細が確認できません。

概要

NISTは、8つの州におけるサイバーセキュリティ人材育成プロジェクトに対し、総額170万ドル以上の助成金を授与しました。これらのプロジェクトは、インターンシップや実習を含む実践的な学習機会を提供し、地域の人材ニーズに対応します。

金融機関との関連

金融機関への直接的な影響は限定的です。サイバーセキュリティ人材育成は業界全体の課題ですが、本記事は特定の金融機関に直接関係する規制や義務を伴いません。

概要

MIND社がAI搭載のデータ損失防止（DLP）プラットフォーム開発と主要エンタープライズ市場での事業拡大のため、7,200万ドルの資金調達を確保しました。

金融機関との関連

金融機関への直接的な影響は限定的です。AI搭載DLPソリューションの市場動向に関する参考情報として捉えられます。