Signal
Signal、自動鍵検証を実装 暗号化通信の本人確認を強化
暗号化メッセージアプリSignalに、対面不要で暗号鍵の正当性を確認できる新機能が加わった。ロシア情報機関による攻撃が続く中、「プロトコル自体の弱点」に初めてメスが入る。
フィッシング
DEF CON
ハッカー会議帰りの機内で偽Wi-Fi。Deltaが連邦捜査を開始
世界最大のハッカー会議DEF CONが閉幕した翌日、参加者を乗せたDelta便の機内で不正Wi-Fiネットワークが検出された。乗員は即座に本物のWi-Fiを停止し、連邦当局への通報に踏み切っている。
セキュリティ
Google、電話で金融大手を侵害する犯罪集団の追跡報告書を公開
ウォール街の巨人たちが、電話1本で破られている。攻撃者が使うのはゼロデイでもAIでもない。人の声だ。
Windows
Windowsの人気アプリを装う偽サイト72件、開発者が組織的作戦を発見
Wintoys開発者がアプリ名を騙る偽ドメインを追跡したところ、同一の登録者が70以上のWindowsアプリを標的にした組織的なネットワークを運営していた。 自分のアプリが、知らないサイトに並んでいた Wintoysの開発者Bogdan_Xは、Google検索で自分のアプリ名を確認していたとき、wintoys.appという見覚えのないドメインに気づいた。WintoysはWindows向けのカスタマイズツールで、Microsoft Storeから配布されている。wintoys.appはBogdan_Xが取得したものではない。開くとWintoysの紹介ページが表示されるが、掲載情報は不正確で、ページ末尾には「Wintoysとは無関係。公式プロジェクトのドキュメントとリンクを提供する独立サイト」という免責事項が置かれていた。 ダウンロードリンクの接続先はMicrosoft Storeの正規ページだった。Chromeでアクセスすると、Cloudflareがフィッシングの疑いがあるとして警告を表示する。正規ストアへのリンク、フィッシング警告、免責事項が同居する奇妙な構成だった。 72
セキュリティ
教皇の祈りアプリで71万人の個人情報が閲覧可能な状態に
祈るためにメールアドレスと名前を預けた71万人のデータが、URLの数字を1つ変えるだけで取れる状態にある。半年以上、誰も直さない。 認証なしで全ユーザーの情報を返すAPI Click To Prayは、教皇が公認するカトリックの公式祈りアプリで、7言語に対応し、iOS、Android、Webで利用できる。2026年7月時点で71万9,517件の登録アカウントを持つ。運営は教皇の世界祈りのネットワーク（Pope's Worldwide Prayer Network）。 開発を担ったのはバルセロナ、ブエノスアイレス、ローマに拠点を持つコミュニケーション会社La Machiで、2019年にフランシスコ教皇がサン・ピエトロ広場でタブレットを掲げてダウンロードを呼びかけたアプリでもある。 そのClick To Prayに、セキュリティ研究者BobDaHackerが深刻な脆弱性を発見した。 アカウント登録時にユーザーへ割り振られるIDは連番の数字で、APIエンドポイント GET https://api.clicktopray.org/user/users/{id} に任意のIDを投げる
セキュリティ
Zimbraのゼロクリック攻撃、27機関が共同勧告 1年間継続
メールを開いただけで90日分のデータが抜かれる。ロシアの国家支援ハッカー集団がZimbraの脆弱性を突き、西側の政府機関や企業から情報を盗み続けていた。 開封した瞬間に終わっている リンクをクリックしなくていい。添付ファイルを開かなくていい。メールをプレビューした、それだけで攻撃は完了する。 米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、NSA、FBIが英国NCSCやFive Eyes諸国、欧州各国の情報機関と連名で現地時間7月23日に共同勧告を公表した。 ロシア国家の支援を受けるハッカー集団Laundry Bear（別名Void Blizzard）が、Zimbra Collaboration Suite（ZCS）のクロスサイトスクリプティング（XSS）脆弱性CVE-2025-66376を悪用し、2025年7月から西側の政府・商業組織に侵入を続けている。 ZCSはSynacor社が開発するWebメール・グループウェアで、日本でもZimbra Japan合同会社が販売している。政府省庁、軍、金融機関を含む世界の数十万の組織が利用する。 脆弱性はZC
セキュリティ
犯罪の3件に1件がサイバーに。INTERPOL報告書が示す現実
犯罪の3件に1件が、画面の向こうで起きている。INTERPOLが6月17日に発表したアジア太平洋地域のサイバー脅威評価レポートが、その現実を数字で示した。 犯罪の地図が塗り替わっている INTERPOLのサイバー犯罪局が、アジア・南太平洋サイバー脅威評価レポート2025/2026をシンガポールから公開した。18の加盟国から2024年1月〜2025年3月のデータを収集した報告書だ。浮かび上がったのは、地域の犯罪構造そのものの変質だった。 調査対象国の半数以上が、国内で記録された全犯罪のうちサイバー犯罪が30%以上を占めると回答した。画面越しの詐欺やランサムウェアが犯罪統計の主役になり始めている。かつて「犯罪」と聞いて思い浮かべた風景は、この地域ではもう通用しない。 数字が語る加速 報告書が並べるデータは、どれも一方向を指している。 最大の脅威はフィッシングとオンライン詐欺だ。1000人あたり月5.5人がフィッシングリンクをクリックしている。世界平均の約2倍。回答国の33%が年間1万件以上のオンライン詐欺を報告した。 ランサムウェアも止まらない。2024年に13万5000
セキュリティ
Googleが自社AI悪用の犯罪ネットワークを提訴。その中身が深刻だ
スマートフォンに届く「荷物を預かっています」「料金が未払いです」という見覚えのないSMS。日本でも日常化したこの手口の裏側に、AIで武装した巨大な犯罪インフラが存在する。Googleがその実態を訴状という形で明らかにした。 自社のAIが犯罪の道具になっている Googleは2026年6月12日、中国に拠点を置くとみられるサイバー犯罪ネットワーク「Outsider Enterprise」を、ニューヨーク南部地区連邦地方裁判所に提訴した。 訴状の核心は、この犯罪グループがGoogleのAIチャットボットGeminiを使い、フィッシングサイトのコードを生成していたという事実だ。Geminiに偽の「ギフト引き換えページ」のHTMLコードを書かせ、それを犯罪プラットフォームに取り込む。その過程を撮影したチュートリアル動画まで組織内で共有されていたと、Googleは訴状の中で主張している。 Geminiの悪用を理由にGoogleが法的措置を取るのは、今回が初めてだ。 週1万4000円で誰でも詐欺師になれる仕組み Outsider Enterpriseが提供していたのは、「フィッシン
AI
AIエージェントは人間より賢くて、人間より騙されやすい
セキュリティ企業バロニス（Varonis）の脅威研究チームが、AIエージェントフレームワークOpenClawで構築したメールエージェントにフィッシング攻撃を仕掛けた。技術的な罠には強く、古典的なソーシャルエンジニアリングには脆い。4つのテストが浮かび上がらせたのは、そんな不穏な非対称性だった。 脆弱性ではなく「信頼」の問題 OpenClawのセキュリティ問題といえば、今年に入ってからだけでもリモートコード実行（CVE-2026-25253）、スキルマーケットプレイスへのマルウェア混入、認証なしで公開されたインスタンスの大量露出と、技術的な脆弱性の報告が相次いできた。だが今回バロニスが突いたのは、それとは性質の異なる弱点だ。 コードにバグがあるのではない。エージェントが「信頼すべきでない相手を信頼する」。 研究を率いたのはバロニスのイタイ・ヤシャール（Itay Yashar）氏。OpenClaw上にPinchyと名付けたメールエージェントを構築し、Gmailの受信トレイ、ブラウザ操作、Google Workspace APIを接続した。社内のAWSクレデンシャル、データベース接
セキュリティ
ChatGPTの「共有リンク」がマルウェア配布に悪用される
Googleの検索広告からchatgpt.comの正規URLに誘導し、偽の障害画面を表示してマルウェアをインストールさせる攻撃キャンペーンが確認された。URLが本物でも中身が安全とは限らない、という新しい前提を突きつける手口だ。 正規ドメイン上に偽の障害画面 セキュリティ企業Push Securityが「LLMShare」と名付けたこのキャンペーンは、ChatGPTのコンテンツ共有機能を攻撃インフラとして転用する。 手口はこうだ。攻撃者はまず、Googleの検索広告を「ChatGPT」「ChatGPTデスクトップアプリ」「ChatGPTダウンロード」といったキーワードで出稿する。広告をクリックした利用者が飛ばされる先は、chatgpt.com/s/ で始まる 正規のChatGPT共有ページだ。ところが画面に表示されるのは会話内容ではなく、OpenAIの障害通知を模した偽のメンテナンス画面。「アクセスが集中しています。デスクトップアプリをダウンロードしてご利用ください」と書かれている。 chatgpt.comドメイン上にホストされているため、Webフィルタリングもファイアウォー
セキュリティ
Microsoft正規メールから届くフィッシング詐欺
Microsoftが2段階認証コードの送信に使っている正規のメールアドレスから、フィッシング詐欺メールが届いている。なりすましではない。Microsoftのサーバーが、正規の手順で送信した「本物の」メールだ。セキュリティ企業による技術分析では、この手口は2026年1月時点ですでに確認されていた。にもかかわらず5月下旬の時点でMicrosoftは根本的な修正を完了しておらず、被害の報告が続いている。 テナント名を書き換えるだけで「公式メール」になる 悪用されているのは [email protected] というアドレスだ。Microsoftアカウントの2段階認証コードやセキュリティアラートなど、重要な通知の送信元として使われている。このアドレスから普段メールを受け取っている人は多いはずだ。 手口はこうだ。 攻撃者はまず、使い捨てのMicrosoft 365テナントを作成する。無料トライアルでも構わない。次に、Microsoft Entra ID（旧Azure AD）のテナント設定画面を開き、テナント名を詐欺メッセージに書き換える。た
AI
AIが加速させる詐欺、米データ侵害が過去最多
身に覚えのない医療系学校から「入学おめでとう」の手紙が届いた米記者の話から、米国のデータ侵害が記録更新を続け、AIが本人確認の前提を崩しつつある現実が浮かぶ。日本にとっても他人事ではない。 知らない学校から「入学おめでとう」の手紙 Bloombergの記者ジェナ・ハック氏（Jennah Haque）のもとに、フロリダ州タンパのUltimate Medical Academyから入学を祝う手紙が届いたのは、ほんの数か月前のことだ。XLサイズの男性用ポロシャツとロゴ入りのバッグが同封されていた。彼女は女性のSサイズを着る。それ以前にこの学校に出願したこともなければ、名前を聞いたこともない。 何者かが彼女の名義で出願していた。 社会保障番号、住所、誕生日、すべて正しい。出願書類の高校履歴だけがアラバマ州ハンツビルの学校になっていて、彼女はその州に足を踏み入れたこともなかった。 調べを進めると被害は深く広い。13の大学 に彼女の名前で出願がなされ、複数のFAFSA（連邦学生援助無料申請）が提出され、5万ドル（約790万円）以上の学生ローンが彼女名義で承認されかけていた。一連の犯行を、
Microsoft
Microsoft、パスキー全面移行へ パスワードと決別
Microsoftが「パスワードはもはや十分ではない」と踏み込んだ。AIを使った大量フィッシング、ヘルプデスクを狙う本人なりすまし、ディープフェイク。攻撃者の道具立てが変わった以上、防御もパスワードのまま留まるわけにはいかない、というのが今回の論調だ。
セキュリティ
Claude偽サイトが開発者を標的に 新種バックドア「Beagle」を配布
「Claude-Pro Relay」を装う偽サイトclaude-pro[.]comが、新種のWindowsバックドアBeagleを開発者に配布している。ソフォスの解析で、感染チェーンはPlugXと酷似するがペイロードは別物と判明した。