BSI は次のように警告しています。Ivanti 製品の Connect Secure (ICS)、Policy Secure、および ZTA Gateway には重大な脆弱性があります。メーカーはこれに対応するものを持っています

ThreatsDay Bulletin: fake apps, supply chain attacks, AI-fueled exploits, ransomware chaos, and the biggest cyber threats this week.

ポーランドのコンピュータ緊急対応チーム（CERT）は、ロシア関連のハッカーによる同国の送電網への最近の攻撃を詳述した報告書を公開した。 この攻撃は、熱電併給（CHP）プラントや、風力・太陽光施設の再生可能エネルギー給電指令センターを含む約30拠点の通信・制御システムを標的にした。 ハッカーは産業用制御システム（ICS）へのアクセスを得たが、稼働中の発電システムではなく、主として送電網の安全性と安定性の監視システムを狙った。一部のICS機器は恒久的に損傷したものの、この事案による停電は発生しなかった。 「ただし、攻撃者が得たアクセス権限のレベルを踏まえると、影響を受けた施設で発電が中断されるリスクがあったことは指摘しておくべきだ」とCERT.PLは報告書で述べた。「仮にそのような中断が起きていたとしても、分析によれば、30施設すべてにおける容量損失の合計は、当該期間におけるポーランドの電力システムの安定性に影響しなかったことが示されている」 ポーランドCERTによると、この攻撃は2025年3月という早い時期に開始され、7月にかけて偵察、不正なデータアクセス、認証情報の収集（ハーベスティング）を試みる動きが検知された。 CERTは、標的となった各施設でFortinet FortiGate機器がインターネットに露出しており、デフォルト認証情報が使用され、多要素認証も導入されていなかったと報告した。ファイアウォールとVPNインターフェースの両方として機能していたこれらのFortinetアプライアンスが、初期侵入経路となった。 ハッカーは12月29日に妨害および破壊的な行為を開始し、その一部は部分的に自動化されていた。 標的となったICS CERT Polskaの報告書は、攻撃で製品が標的となったICSベンダーとして、Hitachi Energy、Moxa、Mikronikaの3社を挙げている。 Hitachiのケースでは、標的となった機器にはRTU560リモート端末装置（RTU）が含まれ、脅威アクターはデフォルト認証情報を用いてアクセスした。このアクセスにより、攻撃者は悪意あるファームウェアをアップロードできた。調査担当者は、悪意あるファームウェア更新を防ぐためのセキュリティ機能が有効化されていなかったことを確認したが、仮に有効化されていたとしても、当該機器は署名のないファームウェア更新を可能にする既知の欠陥であるCVE-2024-2617の影響を受けていた。 脅威アクターはHitachiのRelion保護・制御リレーも標的にした。これらの機器へのアクセスは、デフォルトのFTPアカウントを無効化しなかったこと（ベンダーはこのアカウントの無効化を推奨している）と、デフォルト認証情報の使用により可能になっていた。 ロシア関連のハッカーは、ポーランド拠点の産業オートメーションソリューション企業Mikronikaが製造するRTUおよびヒューマン・マシン・インターフェース（HMI）も標的にした。いずれのICS機器もデフォルト認証情報で保護されており、攻撃者は悪意ある変更を加えることができ、最終的に破壊的行為を開始できる状態にした。 脅威アクターはHMIソフトウェアをホストするWindowsマシンにワイパーを展開し、デフォルトのローカル管理者認証情報で保護されていた機器では損害が発生した。 MoxaのNPortシリアルデバイスサーバーも標的となった。CERT.PLによると、攻撃者は露出したWebインターフェースとデフォルト認証情報を用いてシステムにアクセスし、その後、工場出荷時設定にリセットし、ログインパスワードを変更し、正規ユーザーがアクセスできないIPアドレスを割り当てた。 「分析した各ケースにおいて、施設でアクセス可能だったMoxa機器はすべて標的となった」とCERT.PLは説明した。 産業サイバーセキュリティ企業Dragosは以前、RTUは最終的に復旧したものの、特定されていない一部のICS機器は修復不能な損傷を受けたと報告している。 一部の脅威アクターはICS攻撃を実行するための高度な能力と豊富なリソースを有しているが、この事案は、産業システムが低スキルのハッカーにとっても侵入が容易であることを改めて示している。 ICSベンダーの対応 Hitachi Energyは金曜日、ポーランドのエネルギー送電網への攻撃で同社のRTU560およびRelion 650製品が標的となったことを顧客に知らせるためのアドバイザリを公開した。 同社は顧客に対し、機器の更新と一般的なサイバーセキュリティ対策の実施を促した一方で、攻撃者が同社機器を侵害できたのは「より広範なシステム環境におけるサイバーハイジーン（基本的な衛生管理）の不足」によるものだと指摘した。 Hitachiは、侵害された機器がデフォルト認証情報で設定され、推奨されるセキュリティ機能が無効化され、古いファームウェアを実行しており、脆弱なファイアウォールの背後に置かれていたと述べた。 MikronikaはSecurityWeekに対し、同社はインシデント調査でCERT Polskaと協力し、攻撃全体の分析にも積極的に参加したと語った。 同社のCSOであるTomasz Szała氏はSecurityWeekに対し、この攻撃でゼロデイ脆弱性が使用された証拠はないと確認した。「攻撃者が悪用したのはデフォルト認証情報だけだった」とSzała氏は述べた。 執筆時点でMoxaはアドバイザリを公開しておらず、SecurityWeekのコメント要請にも回答していない。 帰属 この事案が公になった直後、ポーランド当局はこのサイバー攻撃の責任はロシアにあると非難した。しかし、特定の脅威アクターに最初に帰属させたのはサイバーセキュリティ企業ESETだった。 ESETは、マルウェアおよび関連するTTPの分析に基づき、中程度の確度で、Sandwormが攻撃の背後にいたと報告した。同社の分析は、DynoWiperを含む、攻撃で使用されたワイパーマルウェアに焦点を当てている。 Dragosはこの攻撃を、同社がElectrumとして追跡しているグループによるものだと（こちらも中程度の確度で）帰属させた。同社はElectrumを、Sandwormと関連はあるが常に同一ではない存在だと説明している。 Sandwormはロシア軍情報機関との関係が指摘されており、2016年のウクライナ送電網攻撃を含む破壊的攻撃で主に知られている。 これに対し、CERT.PLはこの攻撃を、Static Tundra、Berserk Bear、Ghost Blizzard、Dragonflyとして追跡されている脅威アクターに結び付けており、同アクターは偵察とスパイ活動に重点を置いている。 翻訳元:

Hacktivists are escalating attacks on critical infrastructure in 2025. Discover top threat actors, sectors at risk, and strategies to defend ICS environments.

Claude AI guided a threat actor toward OT ICS SCADA systems in an attack on a water and drainage utility in Mexico.

Malware that targets ICSes and OT-specific machines is rare, but security researchers have recently identified two salient threats.

デジタルカレンダーは、デバイス上で最も安全なアプリのひとつに思えるかもしれませんが、新たな調査によると、強力で見過ごされがちな攻撃経路となりつつあります。 祝日、プロモーション、イベントリマインダーなどのために外部カレンダーを購読している数百万のユーザーが、今や乗っ取り可能な放棄されたドメインに知らず知らずのうちに接続している可能性があります。 攻撃者は「…有害なコンテンツを含む可能性のあるカレンダーファイル（URLや添付ファイルなど）を配信でき、便利なツールが予期せぬ攻撃経路に変わる」とBitsightの研究者は述べています。 Bitsightの研究者は、390以上のカレンダー関連ドメインをシンクホール化し、約400万台のiOSおよびmacOSデバイスからの毎日の同期トラフィックを観測しました。 これらのドメインはかつてスポーツイベントや祝日などの正規カレンダーをホストしていたため、ユーザーはその出所を疑うことがほとんどありません。 攻撃者がドメインを制御すると、URL、添付ファイル、またはソーシャルエンジニアリングの誘導を含む.icsファイルをカレンダーアプリに直接、静かにプッシュできます。 なぜカレンダーフィッシングは検知が難しいのか 従来のメールフィッシングとは異なり（ユーザーは見抜く訓練を受けていることが多い）、カレンダーを利用した攻撃は信頼と自動化を悪用します。 購読されたカレンダーは、デバイスがAccept: text/calendarヘッダーを使って定期的に更新をリクエストする原因となります。 もしドメインが悪意ある者の手に渡っていれば、攻撃者は細工したイベントを送り返すだけです。これには悪意のあるリンクやファイル、「セキュリティ警告」「Amazon通知」などの誤解を招くタイトル、あるいは詳細を隠す空白などが含まれます。 Bitsightの研究者は、これらの攻撃の背後にある2つの主要なインフラを特定しました： レガシーなbase64風のURIパターンと、数百のドメインで再利用されるフィンガープリントスクリプトの組み合わせ。 新しい「webcal」インフラでは、偽のCAPTCHAプロンプトのようなJavaScriptオーバーレイを使い、ユーザーに許可をクリックさせ、プッシュ通知や追加のカレンダー購読の権限を与えさせます。 多くのユーザーは、正規のWebサイトが侵害され、Baladaインジェクターキャンペーンに一致する高度に難読化されたJavaScriptが仕込まれたことで、これらの悪意あるドメインに誘導されました。 被害者から見ると、見慣れたページを読み込む前の通常のブラウザチェックのように見えますが、やがてカレンダーに悪意のあるイベントが現れ始めます。 攻撃者がカレンダーアクセスを収益化する方法 攻撃者が購読を制御できれば、デバイスに表示される内容も制御できます。Bitsightは、カレンダーイベントを武器化して以下のようなキャンペーンを観測しました： ユーザーをフィッシングページに誘導する。 住宅用プロキシとして機能する可能性のある悪意のあるVPNを宣伝する。 ゲームやツールを装ったAPKダウンロードをプッシュする。 ユーザーをさらに深い詐欺やマルウェアネットワークにリダイレクトするPDFを配信する。 一部の広告ネットワークは、iOS Pushやカレンダーベースのプロモーションを公然と販売しており、この攻撃経路を脅威アクターがユーザーのデバイスへのアクセスをレンタルできる商業エコシステムに変えています。 カレンダー攻撃はフィッシングを超える カレンダーの脅威は、単なるフィッシング攻撃にとどまりません。 Zimbraの脆弱性（CVE-2025-27915）は、特定のオープンソーススイートで適切にサニタイズされていない.icsファイルがストアドXSSを引き起こし、ユーザーの操作なしに任意のJavaScript実行を可能にすることを示しました。 別の研究では、研究者たちがカレンダーイベントをLLMプロンプトインジェクション攻撃に利用できることを示しています。 悪意のあるイベントにジェイルブレイクプロンプトが含まれ、ユーザーがAIアシスタントに今後のイベントを要約するよう依頼すると、LLMが有害なアクションを実行する可能性があります。 大規模に行われれば、乗っ取られた購読を通じて数百万台のデバイスに瞬時に到達する可能性があります。 組織をカレンダー悪用から守るには デジタルカレンダーは静かに高リスクな攻撃対象となり、期限切れや乗っ取られた購読を通じて脅威アクターにユーザーのデバイスへの直接的な経路を提供しています。 悪意のある.icsファイル、偽のブラウザチェック、毒されたリダイレクトが増加する中、従来のメール重視の防御ではもはや対応できません。組織は以下を含む多層的なアプローチを採用すべきです： 企業および個人デバイス上の見覚えのない、または不要なカレンダー購読を監査し削除する。 カレンダーイベントもメール同様に扱う — 不明なリンク、添付ファイル、緊急のプロンプトはクリックしない。 特に高権限または高リスクの役割に対して、サードパーティカレンダー購読を管理する明確なポリシーを策定する。 カレンダーベースのフィッシング、偽のブラウザチェック、ソーシャルエンジニアリング手法を含めたセキュリティ意識向上トレーニングを拡充する。 悪意のあるまたは期限切れの購読ドメインや疑わしい.ics同期リクエストをブロックするためにDNS、SWG、またはネットワークレベルのフィルタリングを利用する。 未知の構成プロファイルを制限し、自動購読プロンプトを可能な限り無効化し、MTD/MDM保護を強制することで、モバイルおよびエンドポイントデバイスを強化する。 異常なカレンダー同期の挙動、悪意のあるリダイレクト、注入されたJavaScriptや侵害されたWebサイトに一致するパターンを監視する。 カレンダーのセキュリティはもはやニッチな懸念ではなく、現代のサイバー防御に不可欠な要素です。 攻撃者が.ics購読や悪意のあるリダイレクトなど見落とされがちな経路を悪用し続ける中、組織は従来のメール重視のセキュリティを超えて保護を拡大しなければなりません。 カレンダーベースのサイバー攻撃の増加 かつてはちょっとした便利機能だったカレンダー購読が、メール防御を完全に回避するスケーラブルで低摩擦な攻撃チャネルへと進化しました。 脅威アクターが信頼ベースのシステムや自動化をますます悪用する中、組織は真の攻撃対象がどこにあるのかを再考する必要があります。 現代のセキュリティ戦略は、カレンダーを無害なユーティリティではなく、フィッシング、マルウェア、さらにはAIによる悪用の配信経路となり得るものとして扱うべきです。 一見無害に見える機能でも攻撃者に悪用され得ることを思い出させてくれるとともに、ゼロトラスト原則の重要性を強調しています。 翻訳元:

運用技術（OT）および産業制御システム（ICS）の脆弱性を引き続き悪用しているサイバー犯罪者により、産業組織を標的とするランサムウェアグループの数が急増していると、Dragosの研究者が警告しています。 Dragosが2月17日に発表したDragos Annual OT Cybersecurity Year in Review for 2026によると、2025年に産業組織を標的とするランサムウェアグループは合計119グループが追跡されました。この数字は2024年に追跡された80グループから49%の増加を示しています。 Dragosによると、2025年には世界中の3,300の産業組織がランサムウェアによる被害を受けており、2024年の1,693件と比較されています。最も狙われたセクターは製造業で、次いで輸送業です。 石油・ガス、電力、通信も最も狙われた重要インフラおよび産業システムのうち、上位に含まれていました。 正当なログイン認証情報の悪用 観察された攻撃中のネットワーク侵害の最も一般的な原因は、VPNポータル、ファイアウォールインターフェース、ベンダートンネルを含むリモートアクセスポータルおよび仮想化サービスを通じたものでした。攻撃者は検出を回避するため、実在するユーザーの正当なログイン認証情報を利用することが多くありました。 「ID悪用により、攻撃者はエンタープライズ環境を迅速かつ静かに移動することができた」とDragosは述べています。 これらの認証情報はフィッシング攻撃、情報窃取マルウェアの実行成功、またはダークウェブ上での初期アクセスブローカーを通じた購入により盗まれました。その後、サイバー犯罪者はこのアクセスを利用して、ITとOTの境界を越え、産業および運用システムへのアクセスを獲得しました。 このレポートは、1つのランサムウェアアフィリエイトが侵害されたVPNアクセスを使用してOT隣接のESXiハイパーバイザーに到達し、SCADAサポート仮想マシンにランサムウェアをデプロイした方法について詳述しています。 産業機器を直接制御するデバイスには影響を受けませんでしたが、仮想化層の喪失によりオペレーターの可視性と制御が失われました。これにより、システムが再構築されるまで運用遅延が発生しました。 ランサムウェアグループは産業ネットワーク上での秘密の永続性を維持することもできました。業界全体として、ランサムウェア攻撃がトリガーされる前にネットワーク内に検出または中断されることなく存在する時間であるOT環境でのランサムウェアの平均居住期間は42日でした 「ランサムウェアグループはより多くの運用妨害と、OT固有の回復を必要とする複数日の停止を引き起こしている」と、DragosのCEOおよび共同創設者であるRobert M. Leeは述べています。 「包括的なOT可視性を今確立することは重要です。組織が今日のシステムを監視できない場合、AI、バッテリーストレージ、分散エネルギーリソースなどの技術の将来の採用により、指数関数的にさらに大きなブラインドスポットが生じるでしょう」と彼は付け加えました。 このレポートはまた、昨年Dragosが特定した3つの新しい脅威グループについても詳述しました。 これらは米国の電力・水道公社を標的とした初期アクセスブローカーであるSylvanite、世界中の組織を標的とするOTシステムへの長期アクセスに注力しているグループであるAzurite、およびソーシャルエンジニアリングを通じたサプライチェーン侵害攻撃に従事し、産業ITおよびOTネットワークへのアクセスを獲得するグループであるPyroxeneでした。 翻訳元:

8月下旬、コロラド州の民間水道事業者2社が運用技術(OT)システムを標的にしたサイバー攻撃を受けたことが分かりました。攻撃者は業務の妨害を狙っていたとみられています。 技術的な詳細はほとんど明らかになっていませんが、攻撃者は人口200人未満の地域に水道サービスを提供するこれらの水道事業者の産業制御システム(ICS)を

JWマリオット・ハノイホテルにて、カスペルスキーは「重要インフラにおける産業サイバーセキュリティの脅威に対するレジリエンスの構築」をテーマに、公式イベント「Kaspersky OT Secure」を開催した。

CISA has also published several advisories describing vulnerabilities in ICS and other OT products.

In a second attack on the Poland’s power grid in 2025, hackers targeted ICS via a private APN and their objective was purely destructive.

セキュリティ研究者は、AIモデルの性能向上に伴い、産業機器を深部から攻撃する能力が高まり、PLCがより深刻な脆弱性にさらされるようになると予測しています。 この半年間で、LLMは脆弱性調査やエクスプロイト開発の能力を大きく向上さ

MTSI’s hands-on Cyber Attack Methods course returns to SecurityWeek’s ICS Cybersecurity Conference, October 6–8 at the W Nashville.

TrendAI™ Researchが、継続中のPLC悪用攻撃に関してCISAが更新した共同アドバイザリの変更点、本活動が2023年の類似キャンペーンよりも危険となり得る理由、そして組織が自らを守るために今すぐ実行できる対策を解説します。

この10月、SecurityWeekはMTSIとの提携により、第25回記念となるICS(産業制御システム)サイバーセキュリティカンファレンスの一環として、Cyber Attack Methods(CAM)コースを2年連続で提供します。 攻撃者がサイバー・フィジカルシステムをどのように侵害するかを理解するには、脅威レポ

産業用制御システム(ICS)のオペレーターに対し、脅威アクターがAIを使ってSiemens S7シリーズのプログラマブルロジックコントローラー(PLC)を標的にしているとの警告が発せられました。 攻撃者は、水道や電力といった重要分野の運用技術(OT)システムを侵害するための様々な悪意ある目的にAIを活用していま

Siemens, Schneider Electric, and Rockwell Automation have published July 2026 ICS Patch Tuesday advisories.

新たに公開されたインターネット露出分析により、米国内1,063か所のデータセンター周辺で、外部からアクセス可能な産業用制御システム(ICS)およびビル自動化デバイスが6,300台以上確認されました。これらは高い確度で存在が確認されたものです。 この結果は、これまであまり注目されてこなかった攻撃対象領域を浮き彫りにして

Dragosによると、産業環境を支えるITシステムを混乱させるだけで、ランサムウェアの攻撃者が産業制御システム(ICS)に直接アクセスできなくても、生産を停止させるのに十分な場合があります。 同社は2026年第2四半期に、産業関連組織を狙ったランサムウェア事案を1,140件確認しました。これは第1四半

In a second attack on the Poland’s power grid in 2025, hackers targeted ICS via a private APN and their objective was purely destructive.

情報処理推進機構（IPA）の「サイバーデセプション — 攻撃者心理を逆手に取る能動的防御戦略 —」に関する情報です。

GBHackersのサイバーセキュリティニュースレター今週号へようこそ。2026年7月27日から8月1日までの、最も重要な50本のニュースをお届けする週刊サイバーセキュリティ速報です。 今週を貫くテーマは、攻防両サイドにおけるAIの存在感でした。自律型AIエージェントがサンドボックスを脱出してHugging Face