前回からの変化
前回(2026-10-02)との比較。本カテゴリは週次のため、比較対象は1週間前のレポートである。
変わったこと(変化・新規)
- 前回は一般消費者向けのタイムズカー漏えいが中心だったが、今回はクラウド基盤(IDCFクラウド)が丸ごとランサムウェア攻撃を受け、495の企業や自治体のサービスが止まる事案が新たに加わった(piyolog)
- 前回は海外の暗号資産取引所Bitgetの盗難が焦点だったが、今回は韓国の金融機関で不正アクセスが連鎖した。新韓銀行の約2万5千人をはじめ、7機関が被害を公表した(piyolog)
- 前回のシスコ、マイクロソフト、ミクロティクに続き、新たにFortinetのFortiMailとCitrixのNetScalerの脆弱性が悪用され、KEVに追加された
- 国内で、スカラコミュニケーションズ、ヤマト運輸、大阪公立大学の3件の被害公表が新たに加わった
前回と同じこと(継続)
- メールゲートウェイやADC(負荷分散・認証装置)など、境界のネットワーク機器の脆弱性を突く攻撃が続いている。前回のシスコ、F5、チェック・ポイントに続く流れである
- 暗号資産流出や北朝鮮関与の新たな進展は、今回の調査期間では確認できなかった。タイムズカー、デジタル庁GSS事案も新たな公表は確認できていない
要因の連続性
- 継続要因: 境界機器の脆弱性の悪用と、国内の大規模な個人情報漏えいという背景は、前回に続いている
- 新規要因: クラウド基盤の事業者や、外部委託先のFAQシステムが狙われ、1回の侵害が多数の顧客に連鎖する構図が新たに加わった。韓国当局は「AIを活用したハッキングの可能性も排除できない」と述べている
- 解消した要因: 前回のKillSec(ランサムウェアグループ)の摘発のような、当局による大きな摘発は今回確認できなかった
今週の概観
前回(10月2日)から今回までの1週間は、ランサムウェアによる業務停止が目立った。10月7日にIDCFクラウドが攻撃を受けて495の企業や自治体に影響が及び、大阪公立大学でも10月2日から全学の情報システムが停止している。情報漏えいでは、FAQシステムを運営するスカラコミュニケーションズの不正アクセスで、大和証券など複数社の問い合わせ情報が漏れた可能性が公表された。脆弱性では、FortiMailとNetScalerの悪用がKEVに追加された。
主な侵害・インシデント
IDCFクラウドへのランサムウェア攻撃
IDCフロンティアが提供する「IDCFクラウド」の東日本リージョン1が、10月7日午前3時40分ごろにランサムウェア(データを暗号化して身代金を要求する攻撃)を受けた。契約していた495の企業や自治体のサービスが影響を受け、UDトーク、シックス・アパート、SKIMAなどが停止した。10月7日20時18分の第2報でランサムウェア攻撃と判明した。多くの顧客で復旧の目処が立っておらず、シックス・アパートはGoogle Cloudにあるバックアップから、さくらのクラウドへの移行と復旧を進めている。個人情報の流出は確認中である。SNSでは暗号化したと主張する画像が出回ったが、同社は真偽を含めて調査中としている。数値は10月7日時点で、後日訂正される可能性がある。契約しているサービスの利用者は、事業者の公式案内を確認し、不審なメールに注意する(出典: piyolog: IDCFクラウドへのランサムウェア攻撃についてまとめてみた)。
大阪公立大学の全学システム障害
大阪公立大学は、10月2日未明0時20分ごろからの情報基盤システムの大規模障害を、ランサムウェア攻撃と判断した。約500台のサーバーが止まり、学内ネットワーク、メール、Webサイト、教務システムなど主要13項目のうち10項目が接続できない。仮想化基盤(複数のサーバーを仮想的にまとめる仕組み)に侵入され、バックアップの大部分も暗号化されて使えない。復旧の目処は立っていない。在学生・卒業生ら約13万人分の氏名、住所、メールアドレス、顔写真などを保管していたが、外部への流出は確認されていない。10月5日午後4時に記者会見で説明した(出典: piyolog: ランサム攻撃起因とみられる大阪公立大学のシステム障害についてまとめてみた)。
スカラコミュニケーションズ「i-ask」の不正アクセス
FAQ管理システム「i-ask」の管理サイトに第三者が不正ログインし、サーバーに不正プログラムを置いて、利用企業のデータベースから問い合わせ情報を取得した可能性がある。発生は10月2日20時30分ごろから3日8時ごろで、3日に検知して遮断した。対象は最大71万3,126件(問い合わせ単位の延べ件数)で、氏名、メールアドレス、問い合わせ内容などが企業ごとに異なる。公表した利用企業は、大和証券(約22万件)、シチズン時計(約10万名分)、損害保険ジャパン(約6万件)、オリックス生命保険(約2万6,500件)などで、東武鉄道は漏えいの形跡なしとした。パスワード変更、不正プログラムの隔離を実施し、外部専門機関による調査が続いている。件数は公表時点の値で、後日訂正される可能性がある。該当企業から通知が届いたら内容を確認し、不審なメールに注意する(出典: piyolog: スカラコミュニケーションズへの不正アクセスについてまとめてみた)。
ヤマト運輸「クロネコ代金後払い」への不正アクセス
ヤマト運輸は9月28日に不正アクセスを確認し、同日22時28分にサービスを停止した。初報は9月29日、第2報は10月2日である。漏えいした可能性のある情報は、利用者の氏名、住所、電話番号、メールアドレス、与信番号、請求金額、債権残高、商品明細と、加盟店名・加盟店コード、社員の氏名で、クレジットカード情報とパスワードは含まれない。件数は「一部の利用者」「一部の加盟店」とされ、具体的な数字は未公表である。加盟店には他の決済手段への変更を依頼している(出典: piyolog: ヤマト運輸のクロネコ代金後払いサービスへの不正アクセスについてまとめてみた)。
韓国の金融機関で相次いだ不正アクセス
9月27日から10月初めにかけて、韓国の複数の金融機関で不正アクセスが明らかになった。金融当局が攻撃元のIPを共有する過程で被害が連鎖的に判明した。公表分では、新韓銀行が約2万5千人(10月1日)、イェガラム貯蓄銀行が約4万人(10月2日)、現代キャピタルが146人(10月3日)、ウェルカム貯蓄銀行が2,117人(10月5日)などである。金融当局は10月4日に金融業界全体へ緊急点検を要請し、金融監督院は約500社に攻撃元のIPを伝え、10月6日から1か月間を二次被害への特別対応期間にした(出典: piyolog: 韓国の金融機関で相次いだ不正アクセスについてまとめてみた)。
重大脆弱性
Fortinet FortiMailの認証不要のファイル書き込み(CVE-2026-104286)
メールセキュリティ製品FortiMailに、認証なしの攻撃者が細工したHTTP(S)リクエストでシステム上に任意のファイルを書き込める脆弱性(CVE-2026-104286、CVSSスコア9.8)がある。CVSSは脆弱性の深刻度を示す10点満点の指標である。修正前に悪用されるゼロデイ(開発元が把握・修正する前に悪用される欠陥)で、CISAは10月1日にKEV(悪用が確認された脆弱性の一覧)に追加した。影響はFortiMail 8.0.0〜8.0.1、7.6.0〜7.6.6、7.4.0〜7.4.8、7.2.0〜7.2.9である。修正版の提供時期は明示されておらず、暫定対策は、アイデンティティベース暗号化(IBE)機能の無効化と、管理画面とWebメールのインターネットからの遮断である(出典: Cybersecurity Dive: Fortinet critical flaw in FortiMail under exploitation)。パッチ未提供の間は、暫定対策の適用状況を確認する。
Citrix NetScalerの脆弱性(CVE-2026-88779、CVE-2026-88771〜88778)
CISAは9月27日(10月2日改訂)、NetScaler ADCとGatewayの複数のゼロデイ(CVE-2026-88771〜88778の8件)が世界で悪用されていると警告し、うちCVE-2026-88771と88772をKEVに追加した。パッチ適用の前に、侵害の兆候を確認することを勧めている(出典: CISA)。さらに10月3日にCitrixが公表したCVE-2026-88779(CVSS v4.0で8.7)は、SAML認証(認証情報を連携する仕組み)を設定した機器で、認証なしにサービス拒否を起こせるメモリの不具合で、標的型の攻撃が確認された。CISAは翌4日にKEVに追加し、連邦機関の対処期限は10月7日だった。修正版は14.1-73.41と13.1-64.28である(出典: BleepingComputer)。該当製品の利用組織は、修正版への更新を速やかに行う。
国家関与・APT
今回の調査期間では、当局による新たな帰属の公表や共同勧告、制裁・起訴は確認できなかった。韓国の金融機関の事案では、金融当局が「AIを活用したハッキングの可能性も排除できない」と述べたが、攻撃主体の特定はされていない(出典: piyolog: 韓国の金融機関で相次いだ不正アクセスについてまとめてみた)。
国内の動き
国内では、IDCFクラウドと大阪公立大学のランサムウェア被害が大きい。ほかに、国税庁のe-Taxで9月24日のシステム改修の不具合により、贈与税の情報機能で他人の申告書等79人分が閲覧できる状態になり、203人分の個人情報が閲覧された可能性があると10月2日に公表された。外部からのサイバー攻撃ではなく、改修の不具合が原因とされる(出典: piyolog: e-Taxのシステム障害についてまとめてみた)。制度面では、能動的サイバー防御などの新たな動きは今回確認できなかった。
継続中の案件の進捗
- タイムズカーの会員情報漏えい(前回レポートより継続): 今回の調査期間では新たな公表を確認できなかった。通知が届いた場合は内容を確認し、パスワードの使い回しをやめる
- Bitgetの盗難(前回レポートより継続): 新たな進捗は確認できなかった
- Cisco Catalyst SD-WAN Managerの認証回避(CVE-2026-76504、前回レポートより継続): 前回の連邦機関の対処期限は10月3日で、今回新たな悪用の拡大は確認できなかった。未対応の場合は修正版を適用する
- WordPress本体のCVE-2026-87902(前回レポートより継続): 10月3日にpiyologが経緯をまとめている。運用中の場合は最新版への更新を確認する
次の定例更新は、10月13日(第2火曜日)のマイクロソフトのPatch Tuesdayである(定例日による推定)。
読者への一言: 今週は取引先やクラウドなど、外部に預けたシステムの被害が目立った。利用中のサービスからの通知を確認し、パスワードの使い回しをやめ、多要素認証(パスワードに加えて別の手段で本人確認する仕組み)を有効にしておくと被害を抑えやすい。
