クラウド連携の悪用や端末改ざんが相次ぐ——大規模詐欺網の摘発やゼロデイ悪用など最新脅威動向

要点

• IT管理ソフトウェア大手のConnectWiseが、未知の攻撃者によるMicrosoft 365テナント侵害の調査に伴いCloud Backupサービスを一時停止した。

• マイクロソフトが、世界7万5000以上の組織に10億通を超える詐欺メールを送っていた犯罪基盤「Yam Store」を解体した。

• 暗号資産ウォレット「Ledger」の一部端末にバックドアが埋め込まれ、推定1億ドルが流出したとして非正規業者での販売が停止された。

• BeyondTrustのリモートサポート製品に存在する深刻な脆弱性が、中国関連組織によってゼロデイ攻撃として悪用されたことが判明した。

• 日常的に信頼されているクラウド基盤や管理ソフトウェア、専用ハードウェアを狙ったサイバー攻撃が相次いで表面化している。セキュリティメディアのThe Hacker Newsが報じた最新の脅威動向によると、不正アクセスに伴うバックアップ機能の一時停止から、物理端末の改ざんによる多額の暗号資産盗難、10億通規模のフィッシング犯罪網の摘発まで深刻な被害が確認された。いずれも正規の仕組みやサプライチェーンの隙を突いた手口であり、関係各社が調査や遮断などの緊急対応を進めている。

ConnectWise、不正アクセス調査に伴いクラウドバックアップを停止

IT管理ソフトウェアを提供するConnectWiseは、自社のアプリケーション識別情報（アプリケーションID）に対する不正アクセスが確認されたことを受け、調査の一環として「Cloud Backup」サービスの提供を一時停止した。同社の発表によると、正体不明の攻撃者が7件のアプリケーションIDに不正アクセスし、顧客のMicrosoft 365テナントを侵害したことが判明したという。

同社は協定世界時（UTC）の2026年10月17日午前7時に該当する7つのアプリケーションIDを無効化する措置を講じた。さらに影響を受けた接続で使用されていた電子証明書を全ユーザー対象で失効させ、二次被害を防ぐためバックアップサービスの稼働を止めている。現在も侵害状況に関する調査が続けられている。

10億通超の詐欺メールを支えたフィッシング基盤「Yam Store」を解体

マイクロソフトは、世界7万5000以上の組織に向けて10億件以上の詐欺メッセージを送信していた犯罪市場「Yam Store」（別名 Storm-3119）を解体したと発表した。

Yam Storeは、攻撃者がフィッシング詐欺サイトを即座に構築・運用できる「PhaaS（サービスとしてのフィッシング。攻撃ツールを有料提供する形態）」を運営していた。具体的には「CoGUI（別名 NX／FA）」「Haozi（別名 Phoenix）」「Iron Man System」という3種類のキットを販売。アクセス元を制限するジオフェンシング機能や偽のCAPTCHA画面、IPアドレス制限など、セキュリティ検知を逃れる高度な回避機能を備えていた。さらに、不正に取得したマイクロソフトやGoogleのクラウド環境を攻撃インフラとして転売する初期侵入仲介役も担っていたとされる。

暗号資産ウォレットに不正なバックドア、推定1億ドルが流出

暗号資産ハードウェアウォレット大手のLedgerは、一部製品にバックドア（不正侵入用の裏口）が組み込まれていたとして、東南アジアやドイツの第三者再販業者（CryptoBilisなど）経由の販売を一時停止した。この改ざんにより、推定1億ドル相当の暗号資産が盗難されたという。

この不正インプラントは、セキュリティ研究者が2026年3月に同社へ報告していた欠陥の高度化版とみられ、サプライチェーンの侵害が疑われている。ブロックチェーン分析企業Chainalysisによると、架空レビューを強いる詐欺グループ自身も被害に遭い、480万ドル以上を失った。詐欺収益を保管していた3つのLedgerアドレスから資金が一斉に抜き取られ、同一ウォレットへ送金されていたという。また、非正規業者から販売された別の大手Trezor製ウォレットでも、攻撃者が推測しやすい事前設定済みのシードフレーズ（復元用単語列）を生成する改ざんが見つかっている。

BeyondTrustの深刻な脆弱性がゼロデイ攻撃に悪用

特権アクセス管理製品を手がけるBeyondTrustの「Remote Support」（旧Bomgar）において、深刻な脆弱性がゼロデイ（修正プログラム提供前の状態）で悪用されていたことが判明した。Google傘下のMandiantによると、中国関連のスパイ集団「Armory Castle」（旧称 UNC5221／Warp Panda）が2026年8月下旬から攻撃を展開していたという。

悪用された脆弱性「CVE-2026-102764」（CVSSスコア 9.3）は内部メッセージングの検証不備に起因し、遠隔から機器上のファイル操作を可能にする。攻撃者は遠隔操作用Webシェル「SAWFLY」やトンネリングツール「BARECLAW」を送り込んでいたが、被害組織はごく少数とみられる。このほか、セキュリティ競技会「Pwn2Own Ireland」で98件のゼロデイ脆弱性が実演されるなど、未知のリスクへの警戒が強まっている。