前回からの変化
前回(2026-10-30)との比較である。本カテゴリは週次のため、比較対象は1週間前のレポートである。
変わったこと(変化・新規)
- 前回は扱っていなかった暗号資産取引所Binanceの大規模流出が、10月29日に発生し30日に公表された。FBIが北朝鮮系の関与を公表した(新規)
- 前回の国内の主題は予約システムとメール配信(ブラストメール)だったが、今回はアララ(アララ メッセージ)とユミルリンク(Cuenote)にも波及し、メール配信サービスの被害が広がった(新規)
- 前回は「当局の公表を確認できなかった」国家関与の項目で、今回はFBIの帰属公表と、外務省の侵入公表が加わった
- Ivanti Connect Secureの脆弱性2件がKEVに追加された(新規)
前回と同じこと(継続)
- 委託先やクラウド・配信事業者を経由して被害が広がる構図が続いている(前回のAmadeusとブラストメールに続き、今回はアララとユミルリンク)
- 境界のVPN・管理系製品の脆弱性が悪用される流れが続いている(前回のArista製品に続き、今回はIvanti)
- 前回の主題だったPHP2Shell、Amadeus、ブラストメールについては、今回の調査では新たな公表を確認できなかった
要因の連続性
- 継続要因: 修正版の公開前後で急速に悪用される構図。Ivantiも修正版の公開と並行して悪用が確認された
- 新規要因: 開発者へのなりすまし採用面接と供給網経由の侵入が、取引所の署名基盤の侵害につながったとされる(piyologの整理による)。メール配信基盤のWebサーバーやライブラリの脆弱性が侵入口になった
- 解消した要因: 前回の主題だったPHP2Shellの悪用状況に関する新たな動きは、今回は確認できなかった
今週の概観
最大の話題は、Binanceから約63億ドル相当の暗号資産が流出したことである。FBIは北朝鮮系のTraderTraitorによると公表した。国内では、メール配信サービスのアララ メッセージとCuenoteへの侵入で、多数の組織のメールアドレスなどが流出したおそれがあると公表された。外務省も外部接続ネットワークへの不正アクセスを公表した。脆弱性ではIvanti Connect Secureの悪用が確認され、国際的にはXCPEボットネットが解体された。
主な侵害・インシデント
Binanceの不正出金(約63億ドル)
Binanceは10月29日(米国時間)に不正な出金を受け、30日に公表した。推定被害額は約63億4千万ドル(およそ1兆円)で、ビットコイン約1万8千枚、イーサリアム約16万7千枚、XRP約2億3千万枚などが含まれる。うち約30億ドルは第三者により凍結されたとされる。Binanceは顧客への全額補償を表明し、会社の資金で約63億4千万ドルを確保した。11月4日までに98パーセントを補填したと伝えられ、出金は11月1日から段階的に再開している。侵入は、供給網への仕込みや、採用面接を装った開発者への働きかけ、内部ツールの侵害が段階的に重なったものと整理されている。金額と補填率は報道時点の値で、今後訂正される可能性がある(出典: piyolog)。
アララ メッセージへの不正アクセス
アララは10月28日に不正なメールの送信を検知し、31日にサービスを全面停止した。共有環境から約340万件、契約者の97台のサーバーを含めると最大約7,700万件のメールアドレスが流出したおそれがあると、11月2日の続報で説明している。一部の環境では、氏名、電話番号、生年月日、会員IDも対象になった。Webサーバーの脆弱性とシステム環境の問題が侵入口とされ、調査は継続中である。銀行、小売、自治体、報道機関など125以上の組織が影響を公表した(出典: piyolog)。
ユミルリンクのCuenoteへの不正アクセス
10月16日から26日にかけて、Cuenote FCの49システムとCuenote BASEが侵害された。メールアドレス、氏名、生年月日、都道府県、会員IDなどが対象で、約5,160万件規模とされる。侵入口はライブラリとプログラムの脆弱性で、サポート担当者の認証情報の窃取やマルウェアの設置を経て、データベースが持ち出された。当初「影響なし」と案内された組織の中にも、後から対象と判明した例があり、通知に混乱が出ている(出典: piyolog)。
NIKKEのPCランチャー経由のマルウェア配布
Level Infinite(ゲーム「勝利の女神:NIKKE」運営)は11月5日、PC版ランチャーが読み込む配信用スクリプトが改ざんされ、遠隔操作型のマルウェアが配られたと公表した。ドメインの乗っ取りは9月27日、配布の開始は10月30日とされる。パスワードや暗号資産のウォレットの復元用フレーズ、ブラウザーのデータを盗む機能があった。スマートフォン版は影響を受けていない。運営はスクリプトを差し替え、検出と削除のツールを配布した(出典: piyolog)。PC版の利用者は、ツールで確認した上で、別の安全な端末からパスワードを変更するとよい。
重大脆弱性
Ivanti Connect Secure(CVE-2026-111357、CVE-2026-118527)
SSL VPN製品であるIvanti Connect Secureの脆弱性で、複数の欠陥を連鎖させるゼロデイ攻撃(修正版が出る前に悪用される攻撃)が確認された。CISAは10月30日、CVE-2026-111357(重要機能の認証欠如による権限昇格)とCVE-2026-118527(予測可能な識別子の生成によるファイル送信)を、悪用済み脆弱性のカタログであるKEVへ追加した。連邦機関の対応期限は、前者が11月2日、後者が11月13日である。攻撃には、認証回避とコード実行の欠陥CVE-2026-104935も使われた。発見はVolexityで、Rapid7は、観測された活動がIvantiの整合性チェックツールを回避するため、「異常なし」の結果でも侵害を否定できないと指摘した。Ivantiは10月29日に修正版を出し、CVE-2026-111357はバージョン25.1.1.2以前から25.1.1.3への更新が対処とされる。対処は、修正版への更新に加え、ログと認証情報の点検と更新である(出典: Help Net Security)。
国家関与・APT
Binanceの流出とTraderTraitor
FBIは、約63億ドルの暗号資産の窃取について、北朝鮮が関与したと公表した。実行主体は「TraderTraitor」とされ、2025年2月に約15億ドルを奪ったBybitの事件と同じ集団と説明している。盗まれた資産を主にイーサリアムへ換え、分散型金融や即時交換サービスで洗浄するとみており、取引所や分析会社に関連アドレスの取引遮断を求めた。TraderTraitorはLazarusの一部とされる。公表の主体はFBIで、民間の分析会社TRM Labsも同様の見方を示している(出典: News4JAX)。
XCPEボットネットの解体
Googleは11月2日(米国時間)、警察庁などと連携し、主にAndroid TVのセットトップボックスに仕込まれたボットネット「XCPE」を解体したと発表した。感染は200以上の国と地域で約130万台とされる。製造元Videostrong Technologyが出荷時のファームウェアにバックドアを入れていた。Googleは、同社が利益のために意図して配布・運用したと高い確度で判断し、同社の認証端末の製造を禁じた。発端は、ネットバンキングの不正送金事件で日本の警察が見つけた感染端末である(出典: Help Net Security、piyolog)。
国内の動き
外務省の外部接続ネットワークへの不正アクセス
外務省は10月30日、外部接続ネットワークへの不正アクセスを公表した。侵入を検知したのは7月27日で、メールサービスの認証情報が第三者に取得されたことが原因とされる。約3,600件の情報(外部の連絡先約900件、職員約2,700件の氏名とメールアドレス)が対象である。機密情報を扱う内部システムと領事関連のデータベースは別系統で、影響はなく、二次被害の報告もない。外務省は、2027年までにネットワークを3層構造にする計画を示した(出典: piyolog)。
当局動向
警察庁がXCPEの解体に協力したことは、日本の捜査が国際的な対策の起点になった例である。個人情報保護委員会、国家サイバー統括室、JPCERT/CC、IPAの新たな注意喚起と、能動的サイバー防御の制度面の動きは、今回の調査では確認できなかった。
継続中の案件の進捗
- PHP2Shell、Amadeus、ブラストメール、GitLab(CVE-2026-97229)、Arista、FortiSIEM: 今回の調査では新たな公表を確認できなかった。該当製品を使っている場合は、修正版の適用状況を確認する
- Binanceの流出: 補填は98パーセントまで進み、出金は段階的に再開した。独立した監査も始まっている
次の定例更新は、11月10日(第2火曜日)のマイクロソフトの定例更新である。
読者への一言: メール配信やVPN、ゲームの配信基盤など、利用しているサービスから通知が来たら、公式サイトで内容を確かめ、パスワードの使い回しをやめて多要素認証を有効にしておくと被害を抑えやすい。VPN機器を管理している場合は、Ivantiの修正版への更新とログの点検を最優先にする。
