米政府によるAI悪用PLC攻撃への警告やGitLab深刻脆弱性の悪用など、国内外で相次ぐ最新脅威

要点

• 米政府機関は、AI生成スクリプトを用いて水道やエネルギーなどの重要インフラで使われるシーメンス製PLCを標的としたサイバー攻撃が進行中であると警告した。

• GitLabで公表されたばかりの深刻なコードインジェクション脆弱性（CVE-2026-19478）に対し、公開から数日以内で実際の悪用が確認された。

• 実用的なカレンダーツール等を装い、AI搭載のLinux向けバックドア「RedC2 4.0」を密かに展開する14個の不正なnpmパッケージが発見された。

• 物理的に有効期限が切れたVisaカードを用いて非接触決済を成立させる「ゾンビカード攻撃」の手法が研究者によって実証された。

• ロシア関与が疑われるサイバースパイ集団が、正規の認証フローを悪用して欧米の重要組織や公共Wi-Fi利用者を標的に攻撃を行っていることが判明した。

• 米政府機関や複数のセキュリティ研究者、主要テック企業などの報告により、産業用制御システムからソフトウェア開発基盤、決済インフラに至るまで、多岐にわたるサイバーセキュリティ上の脅威が相次いで明らかになった。攻撃者がAIを兵器化して攻撃コードの作成や標的探索を効率化させている実態や、正規の仕組みや信頼されたパッケージを隠れ蓑にする手口が確認されている。直近で判明した主な脅威と調査結果の詳細は以下の通りである。

米政府が警告：重要インフラを標的としたAI生成スクリプトによるSiemens製PLC攻撃

米政府機関は、水道、エネルギー、製造業といった重要インフラで広く採用されているSiemens（シーメンス）社製「S7シリーズ」のPLC（プログラマブルロジックコントローラ：工場や設備機器を自動制御する産業用装置）を狙う攻撃が発生しているとして注意喚起を行った。当局は「これは理論上のリスクではなく、現在進行形の脅威である」と強い調子で警告している。

判明した手口によると、攻撃者はまずCensysやZoomEyeといった正規のインターネットスキャンサービスを使い、外部ネットワークに露出しているかネットワークの分離が不十分なS7シリーズPLCを特定する。続いて、正規の監視ツールを装ったAI生成のエクスプロイトスクリプト（脆弱性を悪用するプログラム）を送り込み、脆弱性の探索を進めるという。攻撃者は特定のPLCモデルに対して攻撃技術のテストと改良を重ねており、現在は読み取り権限を利用して標的環境の把握を進めているとされる。これは将来的に制御コマンドの書き込み操作を行い、産業プロセスの停止や機器の損傷、データ侵害といった物理的・運用上の被害を引き起こすための足場固めとみられている。なお、この攻撃活動の背後にいる具体的な組織や人物は現時点で特定されていない。

公開直後のGitLab深刻脆弱性（CVE-2026-19478）に悪用攻撃が発生

セキュリティ企業のwatchTowrによると、DevOpsプラットフォーム「GitLab」で公表された重大な脆弱性に対し、情報公開からわずか数日以内に実際の悪用攻撃が観測された。

対象となっているのはコードインジェクションの脆弱性「CVE-2026-19478」で、深刻度を示すCVSS（共通脆弱性評価システム：脆弱性の危険度を数値で表す指標）スコアは9.4と極めて高い。この脆弱性を突かれると、未認証の第三者が公開アクセス可能なGitLabプロジェクトを変更・削除したり、特定条件下でデータを書き換えたりすることが可能になる。攻撃の成立にあたって事前のアカウント認証やユーザーによる操作、特殊な環境設定などは一切要求されないと報告されている。

AI搭載バックドア「RedC2 4.0」を仕込んだ14個の不正npmパッケージ

JavaScriptのパッケージ管理システム「npm」において、正規のカレンダー機能や習慣記録（ストリーク）管理ツールを装った14個の悪意あるパッケージが流通していることが判明した。

これらのパッケージは、表面上は正常なユーティリティとして動作しながら、水面下でAIを搭載したLinux向け不正プログラム「RedC2 4.0」をダウンロードして感染させる。RedC2 4.0はサイバー犯罪フォーラム上でWindows、macOS、Linuxに対応するクロスプラットフォームの攻撃キットとして販売されており、遠隔監視、認証情報の窃取、追加ペイロードの読み込み、感染端末の一括操作といった機能を備えている。2026年6月初旬には「MarlboroMan」と名乗る人物がハッカー向け掲示板で、検知回避に特化したC2（コマンド＆コントロール：感染端末に遠隔指示を送るサーバー機構）フレームワークとして宣伝を行っていた。

期限切れVisaカードで不正決済を行う「ゾンビカード攻撃」の実証

学術研究チームは、物理的に有効期限が切れたVisaクレジットカードを用いて店舗の非接触決済を成功させる新たな手法「ゾンビカード攻撃（Zombie Card attack）」を発表した。

この手法では、スマートフォンのリレー通信環境を利用し、カード本体が持つ暗号処理を破ることなく、POS（販売時点情報管理：レジ等で決済を行う端末）へ送信される有効期限データを改ざんして通信を中継する。研究チームの筆頭著者であるRaja Hasnain Anwar氏が明らかにしたところによると、端末側の検証設定であるCDCVM（消費者デバイスでのカード所有者検証方法）フラグを書き換えることで、実験対象となった大半の銀行において実店舗での決済処理が通ったという。ただし、現時点で実際の不正利用事例（イン・ザ・ワイルドでの悪用）は確認されていない。

ロシア関与が疑われるスパイ集団が正規認証フローと公共Wi-Fiを標的に活動

Googleの脅威分析によると、ロシアのサイバースパイ活動への関与が疑われる3つの脅威グループ（UNC6293、UNC7005、UNC5976）が、正規の認証プロセスを悪用した標的型攻撃を行っていることが明らかになった。

攻撃の対象となっているのは、欧州各国の学術機関、航空宇宙・防衛産業、政府機関、シンクタンク、および米国の学術機関やシンクタンクに所属する個人である。これらのグループは高度なソーシャルエンジニアリング（人間の心理的な油断を突く手法）を駆使したフィッシング攻撃を継続的に展開し、複数プラットフォームのアカウント侵害を狙っている。また、このうち「UNC7005」と呼ばれるグループは、ホテルや国際会議場、空港などに設置されたキャプティブポータル（公共Wi-Fi接続時に認証を求めるWeb画面）を標的とする攻撃活動「CaptiveCrunch」にも関与していると報告されている。