Suppoza Daily Newsletter Backnumber
バックナンバー一覧 ／ 2026-09-16

2026-09-16（水）配信

セキュリティ脅威情報

■ 脅威動向
イラン系ハッカー、Telegram制御型マルウェアで諜報活動
イランの情報機関によるとされるサイバー攻撃グループが、Windows向けマルウェア「HEAVYGRAM（CHOSEN BRICK）」を用いて、国内外のジャーナリストや活動家などを標的にスパイ活動を行っています。本マルウェアはTelegramをコマンド＆コントロール（C2）チャネルとして悪用し、不正なデータ窃取や監視を行います。
主要なTTP
知人や著名アプリ（KeePassやAIツール等）を装ったファイル配信による標的型フィッシング
偽の画面を表示しつつバックグラウンドでマルウェアをインストールする二段階実行
Windowsのレジストリ「Run」キーへの登録による永続化
Microsoft Defenderの特定フォルダ除外設定によるスキャン回避
TelegramボットやVultr、Storj等のクラウドサービスを利用した機密情報・通信の外部持ち出し
対象となる組織・利用者
特定の政治的動向に関与する組織だけでなく、一般企業において業務端末や個人端末への標的型フィッシング・なりすまし攻撃の脅威に備える必要のあるすべての組織。
推奨される防御アクション
不審なメッセージ内のファイルや未知のリンクを開かない、公式ストア等以外からのソフトダウンロードを制限する
Windowsレジストリの「Run」キー（SMQDServiceやwinappx等）や不審なプロセス・Mutexの監視
api.telegram.orgや指定されたクラウドストレージ等への予期しない外部通信の検出
フィッシング耐性のある多要素認証（MFA）の有効化とアプリケーション許可リストの導入
出典：https://thehackernews.com/2026/09/iranian-hackers-use-telegram-controlled.html
KREMLINバンキングマルウェア、ブラウザを狙う手口
KREMLINは、マルチステージのローダーや悪用バイナリ、ブラウザ拡張機能を組み合わせて認証情報やセッショントークンを窃取するバンキングマルウェアです。Ethereumスマートコントラクトを中継点として利用し、C2サーバーのエンドポイントを動的に切り替えることで通信の遮断を回避する特徴を持っています。
主要なTTP
金融機関や請求書を装ったドキュメント形式のファイルを介したマルウェアの初期実行
Ethereumスマートコントラクトをデッドドロップリゾルバーとして悪用したC2エンドポイントの動的取得
仮想環境やサンドボックスの検知による実行回避（CPUコア数やメモリ容量、プロセス名のスキャン）
スケジュールタスクの作成による永続化の確立
正規のセキュリティバイナリを利用したDLLサイドローディングによる署名なしペイロードの実行
クロム系ブラウザのSecure Preferencesの改ざんやHMAC・ハッシュの再生成による、整合性機構のバイナリ回避と不正拡張機能の強制インストール
WebSocketおよび偽装されたCSSファイルフェッチリクエストを介したブラウザデータ（Cookie、ストレージ、タブ情報、スクリーンショット、HTMLソース）の窃取・C2送信
対象となる組織・利用者
Google ChromeやMicrosoft EdgeなどのChromiumベースブラウザを業務端末で利用している企業、およびエンドポイントの振る舞い監視や拡張機能の管理を行っている情シス・SOC部門。
推奨される防御アクション
ブラウザ拡張機能のインストールポリシーを厳格化し、組織で許可されていない拡張機能の導入をブロックする
エンドポイントセキュリティ（EDR）を活用し、未知のDLLサイドローディングや不審なスケジュールタスクの作成を監視・検知する
ブラウザのSecure Preferencesファイルや関連設定に対する不正な改ざんの有無を定期的に点検する
従業員に対し、偽装されたメールやドキュメントを開かないようフィッシング訓練や注意喚起を実施する
出典：https://thehackernews.com/2026/09/kremlin-banking-malware-hijacks-chrome.html
Windows DNSに複数の脆弱性情報、修正版公開
Windows DNSにおいて、CVE-2026-69730を含む複数の脆弱性情報が公開されました。これに対応する修正版も提供されています。
対象となる組織・利用者
Windows DNSサーバーを運用している組織・企業。
推奨される防御アクション
関連する脆弱性情報の確認
提供されている修正版（パッチ）の適用
出典：https://scan.netsecurity.ne.jp/article/2026/09/16/56239.html

この続きを、毎朝メールで受け取りませんか？

無料で購読する →
■ 注目事例
ホテル白菊の宿泊管理システムに不正アクセス、情報流出
ホテル白菊は、利用している宿泊予約・販売管理システムへの不正アクセスに関する調査結果を公表しました。パソコン1台がマルウェアに感染したことが原因でシステムへ不正アクセスが行われ、顧客の個人データが流出したほか、同館を装ったフィッシングメールが送信されたことが確認されています。
攻撃手法（確認済み）
同館のパソコン1台がマルウェアに感染し、そこを経由して宿泊予約・販売管理システムへの不正アクセスが行われました。
攻撃手法（推測）
マルウェア感染した端末に保存されていた管理システムの認証情報が窃取され、正規のアカウント情報を用いてシステムに侵入した可能性があります。
自組織チェックポイント
業務端末へのマルウェア対策ソフトの導入と常時稼働を確認しているか
予約管理システムなどの重要システムへのアクセス権限や認証情報が適切に管理されているか
端末の不審な挙動や通信を検知するEDR等を導入しているか
従業員に対する標的型攻撃やマルウェア感染に関する教育を定期的に実施しているか
出典：https://scan.netsecurity.ne.jp/article/2026/09/16/56247.html
大阪市、録画面接システムへの不正アクセスで情報漏洩
📰 過去報告：9/12
大阪市は、採用試験の動画選考で利用している録画面接システムが不正アクセスを受け、試験申込者106名の個人情報が漏洩した可能性があると発表しました。事業者が利用していたデータ分析ツールが不正アクセスの標的となりました。
攻撃手法（確認済み）
事業者が利用しているデータ分析ツールに対して第三者からの不正アクセスが行われた。
攻撃手法（推測）
データ分析ツールの脆弱性悪用、または認証情報の不備（推測されやすいパスワードや認証突破）により外部から不正侵入された可能性があります。
自組織チェックポイント
委託先やSaaS事業者が利用するデータ分析ツールや周辺システムのセキュリティ対策状況を確認しているか
サプライチェーン経由での不正アクセスに対するインシデントレスポンス手順を整理しているか
クラウドサービスや外部委託先のアクセス権限の最小化や多要素認証が徹底されているか
出典：https://www.city.osaka.lg.jp/hodoshiryo/gyouseiiinkai/0000687493.html
さくらさくみらい、委託先への不正アクセスで情報流出の可能性
📰 過去報告：9/15
保育園を運営するさくらさくみらいは、サービスを利用しているクラウドサービス事業者（委託先）が不正アクセスを受けたとの連絡を受けたと発表しました。メールサーバーのバックアップ環境やDNSサーバーのパスワード情報が流出した可能性があり、現時点で二次被害は確認されていません。
9/15報告の他社事例と同様に、委託先サービスへの不正アクセスを端緒とする情報流出リスクが続いています。利用中の外部サービスや委託先の管理体制の確認を推奨します。
攻撃手法（確認済み）
外部のクラウドサービス事業者（委託先）のシステムに対する不正アクセスにより、契約しているサーバのパスワード情報が保存されていた環境が侵害された。
攻撃手法（推測）
委託先のシステム管理画面や認証基盤に対して、漏洩した認証情報の不正利用、あるいは管理者のアカウントに対するブルートフォース攻撃やクレデンシャルスタッフィングなどの手法が用いられた可能性があります。
自組織チェックポイント
自社が利用している外部委託先のクラウドサービスやサーバーの管理体制を確認しているか
委託先システムの管理画面やアカウントに二要素認証（MFA）が導入されているか
メールサーバーやDNSサーバーなどの重要インフラのアクセスログを定期的に確認しているか
サードパーティに依存している認証情報やパスワードの管理状況を把握しているか
出典：https://scan.netsecurity.ne.jp/article/2026/09/16/56243.html
鳥取県モニタリングシステムにランサムウェア攻撃
鳥取県は、環境放射線モニタリングシステムの主監視局（主サーバ）がランサムウェア攻撃を受けたと発表しました。電子ファイルが暗号化されてシステムが停止しましたが、別系統の副監視局で監視を継続しており、放射線モニタリングや他の県庁システムへの影響はないとしています。
攻撃手法（確認済み）
公表文では庁内に設置された主監視局（主サーバ）へのランサムウェア攻撃と記載されていますが、詳細な侵入経路や手口は非公開です。
攻撃手法（推測）
インターネット等に接続された監視機器やリモート保守回線を足掛かりとした侵入、またはVPN機器の脆弱性や認証情報の不正利用を起点とした侵入の可能性があります。
自組織チェックポイント
サーバやネットワーク機器の管理画面がインターネットから直接アクセスできないようになっているか
外部からのリモートアクセス時にMFA（多要素認証）が強制されているか
バックアップデータがネットワークから切り離されたオフライン環境で保管されているか
業務システムと重要監視システムの間で適切なネットワーク分離とアクセス制御が実施されているか
出典：https://scan.netsecurity.ne.jp/article/2026/09/16/56244.html
■ レポート・解説
TD SYNNEX、「セキュリティ疲れ」に関する調査結果を発表
TD SYNNEXは、国内企業のセキュリティ運用の負荷に関する調査レポート「セキュリティ疲れ白書 2026」を発表しました。複数ツールの運用やアラート対応などにより、多くの企業が現場の疲弊や特定担当者への依存といった構造的な課題を抱えていることが明らかになっています。
発行元：TD SYNNEX株式会社
注目理由：国内企業におけるセキュリティ運用の実態や「セキュリティ疲れ」を引き起こす構造的要因が定量データで示されており、自社の運用体制やリソース配分を見直す際の参考になるため。
入手方法：TD SYNNEXの公式サイト（ニュースリリース等）より「セキュリティ疲れ白書 2026」を参照。
出典：https://scan.netsecurity.ne.jp/article/2026/09/16/56238.html
macOS 27起動時の初期ネットワークトラフィック分析
SANS Internet Storm CenterのJohannes Ullrich氏が、macOS 27の初回起動時にユーザーがログインするまでに発生するネットワークトラフィックを分析しました。IPv6近傍探索、DNS名前解決、TCP接続、マルチキャストDNSなどの挙動が報告されています。
出典：https://isc.sans.edu/diary/rss/33340
クラウドストライク、新AI「CrowdStrike SafeMind」発表
クラウドストライクは、攻撃モデルと防御モデルを統合した新しいセキュリティ向けAIシステム「CrowdStrike SafeMind」を発表しました。攻撃を実行するレッドチームモデル「Red Tempest」と防御を実行するブルーチームモデル「Blue Solano」を同一ループ内で競わせることで、防御能力の向上を図るとしています。
出典：https://scan.netsecurity.ne.jp/article/2026/09/16/56241.html

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →
この内容は 2026-09-16 に配信されました。