Blueskyのアカウント侵害やAIインフラの認証情報流出など、見逃せない脅威事例が相次ぐ──The Hacker News報告

要点

• セキュリティ専門メディアのThe Hacker Newsが週刊レポート「ThreatsDay」を公開し、大々的な報道の陰に隠れがちなサイバーセキュリティ事例をまとめた。

• 分散型SNS「Bluesky」では、政府給付金を騙るフィッシングによって4,500件以上のアカウントが不正アクセスを受けた。

• シンガポールでは高齢者向けアクティビティ等の偽広告からAndroid端末に不正アプリを導入させる手口が多発し、約98万9,000シンガポールドルの被害が出ている。

• AIインフラを提供するAndromedaやソフトウェア企業のGenesysにおいて、認証情報や社内業務システムの侵害が確認された。

• オープンソースのWebメールクライアント「Roundcube」が、コマンドインジェクションなどを含む20件のセキュリティ不具合を修正する最新版をリリースした。

• セキュリティ専門メディア「The Hacker News」は2026年10月22日、直近に判明したサイバーセキュリティ関連の動向をまとめた週刊報告「ThreatsDay」を公開した。同週にはGitLabやPHPなどの深刻な脆弱性が大きな話題を集める一方で、報道規模は小さいものの警戒を要するインシデントが複数確認されている。本稿では、同レポートが取り上げた主要な侵害事例やセキュリティアップデートの事実関係を整理して伝える。

大規模脆弱性の陰で続く認証情報や設定不備のトラブル

同週のセキュリティ動向としては、PHPやGitLabにおけるリモートコード実行（RCE：遠隔から任意のプログラムを不正に実行される脆弱性）をはじめ、Linuxカーネル関連の重大なバグ、eMudhraの認証局キーの侵害、Node.jsの不具合、LiteLLMの侵害疑惑、Torリレーの乗っ取りといった重大インシデントが立て続けに表面化した。
しかしレポートによると、そうした大きな見出しの陰でも、パスワードの盗難、データベースの露出、ログイン検証の不備、信頼された正規ツールの悪用といった問題が頻発しているという。巧妙な手口による攻撃だけでなく、単純なセキュリティ上の隙を突かれた事例も少なくないと報告されている。

Blueskyで4,500件以上のアカウントが侵害、偽の給付金投稿で拡散

分散型SNSのBlueskyは、フィッシング攻撃によって4,500件以上のアカウントが侵害されたことを認めた。
同社によると、この攻撃は政府からの給付金や支払いの案内を装った偽の投稿を通じて拡散したという。Blueskyは影響を受けたアカウントを一時的に停止する措置を講じており、正規の所有者と協力しながらセキュリティの確保とアクセス権の復旧作業を進めている。アカウントが停止された利用者に対しては、専用のサポート窓口（moderation@blueskyweb.xyz）へ連絡するよう案内を出している。

シンガポールで約98万9,000ドルの詐欺被害、偽のSNS広告から悪意あるAPKへ誘導

シンガポール警察軍（SPF）は、ソーシャルメディア上の広告を起点とするAndroidマルウェア詐欺について注意喚起を行った。
発表によると、詐欺グループはFacebookなどのSNS上でシニア層向けのアクティビティや水上フィットネス、リサイクル関連の企画といった関心を引きやすい広告を掲載。被害者が参加登録や手続きを行おうとすると、正規のアプリストアを経由させず、AndroidのパッケージファイルであるAPK（端末へアプリを直接インストールする形式のファイル）をダウンロードするよう指示していた。
アプリのインストール後、被害者には政府高官や銀行担当者を装った人物から電話がかかり、「端末や銀行口座が犯罪行為に巻き込まれている」などと虚偽の説明が行われる。その結果、調査への協力名目で現金の送金、銀行認証情報や個人情報の開示、あるいは貴重品の引き渡しを迫られる構造となっていた。この手口による被害は2026年4月以降で少なくとも62件報告されており、被害総額は98万9,000シンガポールドル（S$989,000）に達しているという。

AIインフラのAndromedaで認証情報流出、Genesysでも社内システムが侵害

企業インフラを標的としたアクセス侵害も複数公表されている。
AIインフラストラクチャを提供するAndromedaは、2026年10月13日に自社環境内の認証情報に対する不正アクセスを検知したことを明らかにした。同社はその日のうちに対象アカウントを無効化し、以降の不正な活動は確認されていないと説明している。この侵入は10月9日頃に始まった業界横断的な攻撃活動の一環とみられており、一部の顧客アカウントにおいてAndromeda側および顧客側の認証情報が露出した。影響を受けた顧客にはすでに個別の連絡が行われている。なお、顧客のAIモデルやデータセット、トレーニングデータへの不正アクセスを示す証拠は見つかっていないとしている。
また、カスタマーエクスペリエンスプラットフォームを手がけるGenesysは、2026年10月16日に社内システムへの不正アクセス被害を開示した。不正な第三者によってLMS（受講状況や教材を管理する学習管理システム）やCRM（顧客情報や商談履歴を一元管理するシステム）を含む社内システムへのアクセスが許されたという。これにより、既存顧客および見込み顧客との関係管理に使用されていたビジネス情報やアカウント情報が、権限なく閲覧またはダウンロードされたことが確認されている。

Webメール「Roundcube」が20件の脆弱性を修正

オープンソースのWebメールソフトウェアであるRoundcubeは、セキュリティ更新版となるバージョン1.6.20および1.7.5をリリースした。
本アップデートでは、IMAP（メールサーバー上のメッセージを直接操作・閲覧する通信規約）コマンドインジェクションや、SSRF（サーバーを踏み台にして内部ネットワーク等へ不正アクセスさせる攻撃）フィルターのバイパス、安全でない添付ファイルの処理などを含む、合計20件のセキュリティ問題が解消された。開発側によると、今回修正された一連の脆弱性が実際に悪用された証拠は現時点で確認されていないという。

補足

本レポートで取り上げられた事例では、ゼロデイ攻撃のような高度な技術的脆弱性だけでなく、フィッシングや偽広告、認証情報の窃取といった古典的・複合的な攻撃手法が依然として高い被害をもたらしている実態が浮き彫りとなっている。