前回からの変化
前回(2026-09-25)との比較。本カテゴリは週次のため、比較対象は1週間前のレポートである。
変わったこと(変化・新規)
- 国内で、タイムズカーの会員情報約660万件の漏えいが9月25日に公表された。前回は国内の動きが警察庁によるWaterPlum公表とデジタル庁GSS事案の続報なしにとどまっており、今回は一般消費者向けサービスの大規模漏えいが新たに加わった
- 暗号資産取引所Bitgetで約3億8750万ドルの盗難が発生した。前回は暗号資産流出の話題はなく、今回は北朝鮮の攻撃者の関与が指摘される大型事案が新規に加わった
- 前回のF5・チェック・ポイントに続き、シスコ Catalyst SD-WAN Manager(CVE-2026-76504)、マイクロソフト SharePoint(CVE-2026-65660)、ミクロティクの RouterOS(CVE-2026-67279)などがKEVに追加された
- ランサムウェアグループKillSecの主要人物とされる16歳らが、欧州の当局により摘発された
前回と同じこと(継続)
- 境界防御機器・ネットワーク管理製品の脆弱性が悪用される傾向は、前回のF5・チェック・ポイントに続き今回も継続している
- 北朝鮮の関与が指摘される事案が続いている。前回は当局によるWaterPlumの公表、今回は民間調査会社によるBitget盗難の関連付けである
- デジタル庁GSS事案は、今回の調査期間中も新たな続報を確認できていない
要因の連続性
- 継続要因: VPN・SD-WANなど境界・拠点間ネットワーク機器の脆弱性を突く攻撃が、前回に続き中心的な背景要因になっている
- 新規要因: 第三者ベンダーのセキュリティ製品のゼロデイを突いた暗号資産取引所への攻撃、および会員データベースを狙った大規模な不正アクセスが新たに加わった
- 解消した要因: なし(前回のF5・チェック・ポイント・シトリックスについては今回新たな進捗を確認できていないため、解消ではなく情報未更新として扱う)
今週の概観
前回(9月25日)から今回までの1週間は、国内外で被害公表が目立った週だった。国内ではタイムズカーの会員情報約660万件が漏えいしたと公表された。海外では暗号資産取引所Bitgetが約3億8750万ドルを盗まれ、民間調査会社は北朝鮮の攻撃者との関連を指摘している。脆弱性ではシスコのSD-WAN管理製品の認証回避がCISAの悪用済み脆弱性カタログ(KEV)に追加された。ランサムウェアKillSecの摘発も明らかになった。
主な侵害・インシデント
タイムズカーの会員情報約660万件の漏えい
タイムズモビリティは、カーシェアリング「タイムズカー」のシステムへの不正アクセスにより、会員情報が漏えいしたと発表した。第1報は9月25日で、9月28日の発表で対象が約660万アカウントと示された。会員・退会済みの人に加え、入会手続きを完了しなかった人も含まれる。漏えいした情報は氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報、本人確認書類情報などで、約160万件では本人確認書類の画像が含まれる。クレジットカード情報の漏えいはなく、パスワードは復元できない形式で保管されていたとしている。同社は9月26日に不正アクセスの経路を遮断し、個人情報保護委員会と警察に報告した。9月29日から該当者へのメール通知を始めており、外部専門機関によるフォレンジック調査(原因や影響範囲の詳細調査)が続いている。数値は公表時点の値で、後日訂正される可能性がある。対象の可能性がある人は、通知メールを確認し、同じパスワードを使い回しているサービスがあれば変更し、不審なメールやSMSに注意する(出典: piyolog: タイムズカーWebサイトへの不正アクセスについてまとめてみた)。
Bitgetの暗号資産盗難(約3億8750万ドル)
暗号資産取引所Bitgetは、先週発生した約3億8750万ドルの盗難について、第三者のセキュリティ製品に存在したゼロデイ脆弱性(開発元が把握・修正する前に悪用される欠陥)が原因だったと確認した。被害は9月25日に発生し、同24日に最初の報告があった。Bitgetは該当ベンダーへ通知し、修正が済むまで影響を受ける機能を無効化した。SlowMistとマンディアントが調査にあたっている。攻撃主体について、調査会社のEllipticとTRM Labsは、過去の事件の資金洗浄に使われたウォレットとの重複を根拠に北朝鮮の攻撃者の関与を指摘しているが、これは民間調査会社の分析である。サークル、テザー、NEAR Intentsが約110万ドル相当を凍結した(出典: The Hacker News: Bitget Confirms Third-Party Zero-Day Behind $387.5 Million Cryptocurrency Theft)。
ランサムウェアKillSecの摘発
ランサムウェア(データを暗号化・窃取して身代金を要求する攻撃)グループKillSecについて、欧州の当局が9月30日に摘発したと発表した。スペインで16歳の主要な運営者とされる人物が逮捕され、英国とルーマニアでも逮捕者が出た。ドイツのハンブルク警察は少なくとも110テラバイトのデータを流出サイトから確保し、サーバー5台を停止させたという。スペイン当局は280人以上の被害者を把握している(出典: The Hacker News: Police Arrest 16-Year-Old Suspected of Running KillSec)。
重大脆弱性
シスコ Catalyst SD-WAN Managerの認証回避(CVE-2026-76504)
シスコの拠点間ネットワーク管理製品「Catalyst SD-WAN Manager」で、HTTPリクエスト中のURIエンコードの扱いに不備があり、認証なしでリモートから管理者権限のAPIにアクセスできる脆弱性(CVE-2026-76504、CVSSスコア9.8。CVSSは脆弱性の深刻度を示す10点満点の指標)が見つかった。シスコは実際の悪用を確認し、CISAがKEV(悪用が確認された脆弱性の一覧)に追加した。米連邦機関の対処期限は10月3日である。同製品のCVEがKEVに載るのは今年8件目とされ、攻撃者が継続的に狙っている。該当製品の利用組織は、シスコの修正版を速やかに適用する(出典: The Hacker News: CISA Adds Exploited Cisco Catalyst SD-WAN Manager Auth Bypass to KEV、Rapid7)。
Microsoft SharePointのコード注入(CVE-2026-65660)
マイクロソフトの SharePoint に、認可済みの攻撃者がネットワーク経由でコードを実行できる脆弱性(CVE-2026-65660、CVSSスコア8.8)があり、CISAが9月25日にKEVへ追加した。9月24日にはセンサーで悪用の試行が確認されている。マイクロソフトのアドバイザリに従い、修正プログラムを適用する(出典: The Hacker News: SharePoint RCE and MikroTik RouterOS Flaws Actively Exploited in the Wild)。
MikroTik RouterOSの手順強制不備(CVE-2026-67279)
ルーター用OS「RouterOS 7.x」で、未認証のクライアントがセッションを開いて実行要求を送れる不備(CVE-2026-67279、CVSSスコア6.9)が見つかった。関連するCVE-2026-86060との組み合わせで、パスワードなしに完全な管理者権限を得られるとされ、悪用が確認されている。CISAはKEVに追加し、米連邦機関の対処期限は9月28日だった。両CVEの修正版へ更新する必要がある(出典: CISA: CISA Adds Two Known Exploited Vulnerabilities to Catalog、The Hacker News)。
WordPress本体のリモートファイルインクルード(CVE-2026-87902)
CISAは9月25日、WordPress本体のリモートファイルインクルード(外部のファイルを読み込ませる種類の欠陥)の脆弱性(CVE-2026-87902)もKEVに追加した。WordPressを運用している場合は、最新版へ更新しているか確認する(出典: CISA: CISA Adds One Known Exploited Vulnerability to Catalog)。
国家関与・APT
Bitget盗難について、EllipticとTRM Labsが北朝鮮の攻撃者による関与を指摘した点が今週の国家関与に関する動きである。前回の警察庁などによるWaterPlumの公表と異なり、今回は政府当局の公式な帰属公表ではなく、民間調査会社の分析にとどまる。今回の調査期間では、当局による新たな共同勧告や制裁・起訴は確認できなかった(出典: The Hacker News: Bitget Confirms Third-Party Zero-Day Behind $387.5 Million Cryptocurrency Theft)。
国内の動き
国内ではタイムズカーの漏えいが最大の動きだった。同社は個人情報保護委員会と警察に報告済みで、今後は調査結果と再発防止策の公表が焦点になる(出典: piyolog: タイムズカーWebサイトへの不正アクセスについてまとめてみた)。制度面では、今回の調査期間に能動的サイバー防御などの新たな動きは確認できなかった。
継続中の案件の進捗
- デジタル庁GSSの不正アクセス事案(前回レポートより継続): 9月11日の公表で、VPN機器の脆弱性を突かれ、政府職員や関係事業者などの氏名約23.6万件などが漏えいした可能性が示されたまま、今回も当局からの新たな公表は確認できなかった(出典: piyolog: デジタル庁のガバメントソリューションサービス(GSS)への不正アクセスについてまとめてみた)
- F5・チェック・ポイントの脆弱性(前回レポートより継続): 今回の調査期間では新たな進捗は確認できなかった。未対応の場合は引き続き、修正版の適用状況を確認する
読者への一言: 今週は消費者向けサービスの会員情報漏えいが大きく報じられた。利用しているサービスから通知が届いたら内容を確認し、パスワードの使い回しをやめ、多要素認証(パスワードに加えて別の手段で本人確認する仕組み)を有効にしておくと被害を抑えやすい。
