世界規模の詐欺摘発や決済SDKを狙うマルウェアなど、今週注目のサイバーセキュリティ脅威まとめ
要点
- INTERPOLなどの主導により、世界97カ国で5,811人が逮捕され、約2億9,300万ドル相当の不正資産が押収された。
- Paysafeなどの決済アプリSDKを模倣した17件の不正パッケージがnpmおよびPyPIで発見され、開発者の資格情報などを窃取していた。
- セキュリティ検知アラームを回避しながら他プロセスへコードを注入する新たな手法「Process Parameter Poisoning」が公表された。
- Esriの地理情報システムサーバー「ArcGIS Server」に、認証なしでシステム内の機密ファイルにアクセス可能となる深刻な脆弱性が確認された。
- ランサムウェア「Interlock」の運用アクターについて、他の既知の脅威アクター「TAG-124」とのツールやエコシステムの重複が特定された。
リード文
サイバーセキュリティ専門メディア「The Hacker News」は2026年7月9日、セキュリティ管理の些細な隙や設定ミスが悪用された、今週の注目すべきサイバーセキュリティ脅威に関するまとめ記事を公開した。記事では、世界規模の詐欺グループの一斉摘発から、開発者をターゲットとした悪意あるパッケージの配布、検出をすり抜ける最新のコード注入技術まで、多岐にわたるセキュリティ事象を紹介している。いずれも高度で巧妙な攻撃だけでなく、日常的な管理や信頼の隙を突いた攻撃が深刻な被害をもたらしている実態を浮き彫りにしている。
本文
世界97カ国が連携した国際的な詐欺組織の共同摘発
国際刑事警察機構（INTERPOL）の発表によると、2026年1月15日から4月30日にかけて実施された「First Light 2026」と呼ばれる世界的な詐欺対策作戦において、97の国と地域が協力し、5,811人の容疑者が逮捕された。この作戦により、2億9,300万ドル（約460億円相当）におよぶ不正な資産が差し押さえられたという。主な取り締まり対象は、ソーシャルエンジニアリング（人間の心理的な隙やだましを利用して機密情報を盗み出す詐欺手法）を用いた詐欺行為や、それに伴うマネーロンダリング（犯罪で得た資金の出所を分からなくする資金洗浄行為）活動である。
この共同作戦の過程で、世界中で142,000人以上の被害者が特定されており、ソーシャルエンジニアリング詐欺が企業や政府、個人に深刻な打撃を与える多国籍な脅威に発展している状況が示された。解決された事件は23,000件を超え、特定された容疑者は15,606人に上る。
具体的な摘発事例として、アフリカ南部のエスワティニでは、不法なオンラインギャンブルやマネーロンダリング、精巧になりすました詐欺を運営していた犯罪ネットワークが解体され、82人が逮捕された。また、タイの警察は2人の容疑者を逮捕し、ロマンス詐欺で得た不正資金を異なる種類の暗号資産ブロックチェーン間で直接交換する「クロスチェーン・トークンスワップ」によって追跡を困難にしつつ、多様な暗号資産へ変換するマネーロンダリングの手法を明らかにした。
決済アプリSDKを騙るタイポスクワッティングキャンペーン
ソフトウェアサプライチェーンの監視を行うSocketの報告によると、オンライン決済プラットフォームであるPaysafe、Skrill、およびNetellerのSDK（ソフトウェア開発キット）を模倣した、合計17個の悪意あるnpmおよびPyPI（プログラムを配布する公開パッケージ管理システム）パッケージが発見された。これらはタイポスクワッティング（スペルミスを悪用して偽のパッケージをインストールさせる手法）を利用して、開発者のシステム情報やアクセスキーなどの資格情報を窃取し、Ngrok（ローカルサーバーを一時的に外部へ公開する通信ツール）のエンドポイントへと送信していた。
このマルウェアは極めて慎重に動作するように設計されている。解析が行われるのを避けるため、実行環境のCPUコア数が2未満の場合や、ホスト名やユーザー名に「sandbox」「analyzer」「cuckoo」「virus」「malware」「vmware」「vbox」といった仮想環境やセキュリティ分析環境を想起させる文字列が含まれている場合は、動作を停止して自己をスキップする仕組みを備えていた。
Socketは、アクターがわざわざ決済アプリのSDKを標的に選んだ点について、財務的な目的や決済アカウントを直接現金化する狙いがあったのではないかと指摘している。さらに、攻撃者は難読化ツールを非常に巧妙に使いこなしており、パッケージのバージョンごとに異なる難読化キーを使用していた。これにより、ファイルのハッシュ値（データの同一性を識別するための値）がそれぞれ異なるものとなり、セキュリティ製品の定義ファイル（シグネチャ）による一括検出を防ぐ工夫が凝らされていたという。
検出を回避するコード注入技術「Process Parameter Poisoning」
セキュリティ研究者のMax Hirschberger氏とOgulcan Ugur氏は、セキュリティ製品のアラームを作動させずに、他のプロセス（プログラムの実行単位）内で任意のコードを実行させる新たな手法「Process Parameter Poisoning（P3、プロセス・パラメータ・ポイズニング）」の存在を公開した。
彼らが開発した「P3-Shellcode Loader」は、プロセスの実行設定を保持するプロセスパラメータ構造体を悪用し、そこをコードの実行および一時保存場所として利用することで、一般的な検知メカニズムに引っかかることなくリモートプロセスにシェルコード（システムで特定の命令を実行させるための機械語コード）を注入する。
この手法の最大の利点は、攻撃プロセスを一時停止状態で作成する必要がなく、実行中にもスレッドやプロセスを一切停止させない点にあるという。これにより、従来型の動作検知セキュリティツールによる監視の目をすり抜けることが容易になるとされている。
Esri ArcGIS Serverに存在する深刻な脆弱性
Horizon3.aiの調査により、Esri社が提供する地理情報システム（GIS）サーバー「ArcGIS Server 12.0」およびそれ以前のバージョンにおいて、認証を必要としないディレクトリトラバーサル（ファイルパスの指定を細工して想定外のディレクトリにアクセスする攻撃手法）の脆弱性（CVE-2026-9181、CVSSスコアは最高で9.8、最低で7.5）が確認された。
この脆弱性は、ArcGIS ServerのRESTアップロード機能に存在しており、外部から送信されるパスパラメータに対する検証が不十分であることに起因する。このため、認証されていないリモートの攻撃者が、設計されたディレクトリの境界を越えてシステム内の機密ファイルに不正アクセスすることが可能だという。
ランサムウェア「Interlock」と別脅威アクターの関連
セキュリティ分析において、新たに確認されたランサムウェア「Interlock」（別名 Hive0163）のインフラと攻撃エコシステムを調査した結果、既知の脅威アクター「TAG-124」（別名 KongTuke、Landupdate808）との関連が明らかになった。
このアクターは、主に独自開発したマルウェア群を運用していることが特徴である。具体的には、PHPをベースとしたリモートアクセスツール（RAT）である「Interlock RAT」、ダウンローダーの「JunkFiction」、および「NodeSnake」といった多様なカスタムツールを使用している。