ゆるゆるにっき。

2026-09-02

2026年8月セキュリティニュースまとめ

セキュリティニュース

皆さんこんにちは！今月も個人的に気になったセキュリティニュースを備忘のためにまとめたので、気になる方は是非覗いて行ってください！

それでは、どうぞ～＼(^o^)／

インシデント
- 【続報】OpenAI社がHugging Faceへの不正アクセスに関する報告書を公開
政府・公的機関
脅威・攻撃者
- Operation Dream Job
調査報告書・blog
その他
- 日本オンライン詐欺対策アライアンスが発足
- Antholopic社がClaudeが生成した文章に電子透かし導入

インシデント

【続報】OpenAI社がHugging Faceへの不正アクセスに関する報告書を公開

7月にOpenAIのセキュリティ評価中に発生した不正アクセスの件で、報告書が出ました。無許可のチャネルで通信し、共有インフラの脆弱性を悪用してアクセス権を獲得、その後システムに侵入したとのこと。インシデントの詳細な技術レポートと、METRによる報告書も公開されています。

openai.com

政府・公的機関

防衛省が「令和8年度版防衛白書」を公開

ボリューム満点の610ページ。サイバーに関連するパートは「サイバー領域をめぐる動向」「サイバー空間における新たな任務」「サイバー安全保障」などなど。

www.mod.go.jp

警察庁が「令和8年版警察白書」を公開

特集として「深刻化するサイバー空間の脅威と警察の新たなる展開」。サイバー特別操作部の設置に至るまでの軌跡や、操作のための基盤整備、ACD導入に向けた取り組みなど。第3章では「サイバー空間の安全の確保」。

www.npa.go.jp

IPAが「企業組織を狙うメールを悪用した攻撃の手口とその対策」を公開

フィッシング、BEC、標的型攻撃メール、などなどの解説と対策。

IPAがSCS評価制度の基本規定を公開

NISTが"Human-Centerd Cybersecurity"を公開

HCCとは、システムやサービスの設計、ポリシー策定、意思決定を行う際に、技術ばかりに目を向けるのではなく、システムに関わる「人間」とそのニーズ、能力、限界を最優先に考えるアプローチ。技術中心の対策だと、人間の特性を無視した設計になってしまうという話。

csrc.nist.gov

CISAが"CISA Vulnerability Review"を公開

あとでちゃんと読む。

CISAが"Internet Exposure Reduction Guidance"を公開

あとでちゃんと読む。

https://research.checkpoint.com/2026/shattering-the-dream-when-a-job-offer-becomes-a-zero-day-attack/

トランプ大統領が民間企業によるサイバー作戦を認める

連邦政府の指揮監督の元で、サイバー監視作戦とサイバー効果作戦を実施できるようにするプログラム策定を各省庁に指示。対象となるのはサイバー技術を用いた国境を超えた犯罪組織とのこと。

www.whitehouse.gov

脅威・攻撃者

Operation Dream Job

Lazarusが主導する、政府機関や特定企業を狙った、偽の求人オファーを装ってターゲットに接近しマルウェア感染させる手口。

調査報告書・blog

Antholopic社が"Risk Report 2026"を公開

186ページのリスクレポート。Mythos5よりも高性能なのに外部公開していないモデルがある話など。

1passwordがAIの生成した脆弱性パッチに関するblogを公開

AIga生成したパッチの多くは不完全であり、新たなセキュリティ上の問題や脆弱性を混入させる傾向を報告。人間によるレビューの必要性について述べられています。

1password.com

クラウドストライクが2026 Threat Hunt Reportを公開

AI環境、ソフトウェアサプライチェーン、クラウドにおける信頼関係が攻撃者にどのように悪用され、回避型のサイバー脅威を加速させているかを解説。

www.crowdstrike.com

その他

日本オンライン詐欺対策アライアンスが発足

prtimes.jp

Antholopic社がClaudeが生成した文章に電子透かし導入

欧州連合のAI法（EU AI Act）が求める透明性規則に準拠するために導入。

8月はこんな感じでしょうか？8月はアニュアルレポートや上半期レポートが色んな組織・ベンダーから出て、積読が増えました（載せきれず）。

プライベートでは、ちいかわの映画を見てきました！推しはうさぎとモモカス。感想としては、ズバリ、後味が悪い！！完成度高い作品なのですが、なかなかに惨いオチで、終わった後の映画館が静まり返ってました(^_^;) 「東野圭吾の作品っぽい」という感想を見かけたのですが、同意ですｗ

ということで、9月も張り切って行きましょう！私はシルバーウィークに予備自補の訓練に行ってきます(￣^￣)ゞ

ではでは〜〜ﾉｼ

先月（7月）のセキュリティニュースまとめはこちら↓↓

https://disarmfoundation.github.io/disarm-navigator/

2026-08-15

偽情報の作成・拡散に関するDISARMフレームワークについてまとめました

セキュリティ文書・ツール

皆さん、こんにちは。

今回は、偽情報の作成・拡散方法に関するフレームワークであるDISARMについてまとめてみたいと思います。ご興味ある方は是非どうぞ～

はじめに
- 偽情報とは
- 偽情報の目的
DISARM Framework
偽情報に関するその他のフレームワーク
- RICHDATA Framework
まとめ

はじめに

偽情報とは

「偽情報」と聞いて皆さんは何を思い浮かべますか？偽情報の拡散という手法自体は昔からあるのですが、数年前頃より、AI技術の高度化と普及の影響で偽情報がSNSを中心に日常的に出回るようになりました。トピックとしては政治や都市伝説、ビジネス関連、テロなど多岐に渡りますが、共通して言える特徴としては、「本当の情報よりも偽情報の方が広く早く広がってしまう」ということが挙げられます。有名な事例で言うと、生成AIを使った岸田元総理の偽動画が拡散されたり、各国の大統領選での選挙工作、最近だと熊本地震に関連した偽情報が出回りました。そもそも、偽情報とは何でしょうか？

偽情報とは、英語だとDisinformationで「故意に作られた虚偽の情報」を指します。よく一緒に登場する単語として、誤情報や悪意の情報がありますが、誤情報とは英語でMisinformationで「間違っているが悪意はない情報」、悪意の情報とは英語でMalinformationで「事実に基づくが悪意のある情報」とされています。

今回は偽情報（Disinformation）についてまとめていきます。

偽情報の目的

偽情報（或いは影響力作戦：Influence Operation）を作成・実行する人・グループは、彼らにとって都合の良い情報を拡散することで、ターゲットの認知を歪めることを目的としています。後ほど、Tacticsでも出てきますが、「何のために偽情報を拡散するのか？」と考えた時に、愉快犯・嫌がらせのこともありますが、政治的な主義主張や人種・民族・宗教的な目的を達成するために、彼らはターゲットを絞り計画的に実行します。

DISARM Framework

DISARM Frameworkとは

DISARM Framework（Disinformation Analysis and Risk Management）とは、偽情報の作成・拡散手法に関する体系的なフレームワークです。偽情報の拡散を追跡し対抗するために設計され、また、MITRE ATT&CKフレームに基づいています。戦術段階別にリスト化され、偽情報作者のTTPがまとめられたDISARM REDと、それに対抗するカウンターがまとめられたDISARM BLUEの２つがあります。

フェーズとしては大きく、①計画②準備③実行④評価、の４つになります。

www.disarm.foundation

DISARM RED

まず、以下はDISARM RED（偽情報作成者のTTP）となります。TacticsとTechniquesは以下の通りです。

ナビゲーターはこちらのリンクから。

2026年8月現在、16のTacticsがあります。

Tactics（戦術）	Overview（概要）
Plan Strategy （計画戦略）	Define the desired end state, i.e. the set of required conditions that defines achievement of all objectives. （望ましい最終状態、すなわちすべての目標達成を定義する必要条件の集合を定義する。）
Plan Objectives （計画目標）	Set clearly defined, measurable, and achievable objectives. In some cases achieving objectives ties execution of tactical tasks to reaching the desired strategic end state. In other cases, where there is no clearly defined strategic end state, the tactical objective may stand on its own. The objective statement should not specify the way and means of accomplishment but rather the goal the threat actor wishes to achieve. （明確に定義され、測定可能で達成可能な目標を設定すること。場合によっては、目標達成が戦術的任務の実行を望ましい戦略的最終状態の達成に結びつけることもある。また、明確な戦略的最終状態が定義されていない場合には、戦術的目標がそれ自体で成立することもあります。目的声明は達成方法や手段を明示するのではなく、脅威アクターが達成したい目標を明示すべき。）
Target Audience Analysis （標的の分析）	Identifying and analyzing the target audience examines target audience member locations, political affiliations, financial situations, and other attributes that an influence operation may incorporate into its messaging strategy. During this tactic, influence operations may also identify existing similarities and differences between target audience members to unite like groups and divide opposing groups. Identifying and analyzing target audience members allows influence operations to tailor operation strategy and content to their analysis. （ターゲット層を特定・分析する際には、ターゲット層の居住地、政治的所属、経済状況、および影響工作がメッセージ戦略に取り入れる可能性のあるその他の属性を調査・分析する。この戦術において、影響工作はターゲット層の間に存在する類似点や相違点を特定し、同調するグループを結束させ、対立するグループを分断することもある。ターゲット層を特定・分析することで、影響工作は分析結果に基づいて作戦戦略やコンテンツを最適化することができる。）
Develop Narratives （物語開発）	The promotion of beneficial master narratives is perhaps the most effective method for achieving long-term strategic narrative dominance. From a ""whole of society"" perspective the promotion of the society's core master narratives should occupy a central strategic role. From a misinformation campaign / cognitive security perpectve the tactics around master narratives center more precisely on the day-to-day promotion and reinforcement of this messaging. In other words, beneficial, high-coverage master narratives are a central strategic goal and their promotion constitutes an ongoing tactical struggle carried out at a whole-of-society level. Tactically, their promotion covers a broad spectrum of activities both on- and offline. （有益なマスター・ナラティブの推進は、長期的な戦略的ナラティブの優位性を確立するための、おそらく最も効果的な手法である。「社会全体」という観点から見れば、社会の中核をなすマスター・ナラティブの推進は、戦略上の中核的な役割を担うべきである。誤情報キャンペーン／認知セキュリティの観点から見れば、マスター・ナラティブをめぐる戦術は、より具体的には、こうしたメッセージの日常的な推進と強化に焦点を当てている。言い換えれば、有益で広範な影響力を持つマスター・ナラティブは中心的な戦略的目標であり、その推進は社会全体レベルで行われる継続的な戦術的取り組みである。戦術的には、その推進はオンライン・オフラインを問わず、幅広い活動を網羅している。）
Develop Content （コンテンツ開発）	Create or acquire text, images, and other content. （テキスト、画像、その他のコンテンツを作成または取得する。）
Establish Assets （資産の確立）	Establishing information assets generates messaging tools, including social media accounts, operation personnel, and organisations, including directly and indirectly managed assets. For assets under their direct control, the operation can add, change, or remove these assets at will. Establishing information assets allows an influence operation to promote messaging directly to the target audience without navigating through external entities. Many online influence operations create or compromise social media accounts as a primary vector of information dissemination. （情報資産を確立することで、ソーシャルメディアアカウント、運用担当者、組織など、直接および間接的に管理される資産を含むメッセージ発信ツールが生み出される。直接管理下にある資産については、運用側は自由に追加、変更、削除を行うことができる。情報資産を確立することで、影響工作は外部組織を経由することなく、ターゲット層に対して直接メッセージを発信することが可能になる。多くのオンライン影響工作では、情報拡散の主要な手段として、ソーシャルメディアアカウントを作成したり、乗っ取ったりしている。）
Establish Legitimacy （正当性の確立）	Establish assets that create trust. （信頼を生み出す資産を確立する。）
Microtarget （マイクロターゲット）	Actions taken which help target content to specific audiences identified and analyzed as part of "Target Audience Analysis". （「ターゲットオーディエンス分析」の一環として特定・分析された特定のオーディエンスに対して、コンテンツを効果的に届けるために講じられた施策。）
Select Channels and Affordances （チャネルとアフォーダンスの選択）	Selecting platforms and affordances assesses which online or offline platforms and their associated affordances maximise an influence operation’s ability to reach its target audience. To select the most appropriate platform(s), an operation may assess the technological affordances including platform algorithms, terms of service, permitted content types, or other attributes that determine platform usability and accessibility. Selecting platforms includes both choosing platforms on which the operation will publish its own content and platforms on which the operation will attempt to restrict adversarial content. （プラットフォームとアフォーダンスの選定とは、影響工作がターゲット層にリーチする能力を最大化できるオンラインまたはオフラインのプラットフォームとその関連するアフォーダンスを評価することです。最適なプラットフォームを選定するために、影響工作は、プラットフォームのアルゴリズム、利用規約、許可されるコンテンツの種類、あるいはプラットフォームの使いやすさやアクセシビリティを決定づけるその他の属性など、技術的なアフォーダンスを評価することがあります。プラットフォームの選定には、作戦が独自のコンテンツを公開するプラットフォームの選択と、敵対的なコンテンツの拡散を制限しようとするプラットフォームの選択の両方が含まれる。）
Conduct Pump Priming （景気刺激策の実施）	Release content on a targetted small scale, prior to general release, including releasing seed. Used for preparation before broader release, and as message honing. Used for preparation before broader release, and as message honing. （一般公開に先立ち、ターゲットを絞った小規模な範囲でコンテンツを公開すること（シード配信を含む）。より広範な公開に向けた準備や、メッセージの磨き上げを目的として行われる。より広範な公開に向けた準備や、メッセージの磨き上げを目的として行われる。）
Deliver Content （コンテンツの配信）	Release content to general public or larger population. （一般の人々やより多くの人々に向けてコンテンツを公開する。）
Maximise Exposure （露出の最大化）	Maximise exposure of the target audience to incident/campaign content via flooding, amplifying, and cross-posting. （フラッディング、拡散、クロス投稿を通じて、ターゲットオーディエンスに対するインシデント／キャンペーンコンテンツの露出を最大化する。）
Drive Online Harms （オンライン上の害の推進）	Actions taken by an influence operation to harm their opponents in online spaces through harassment, suppression, releasing private information, and controlling the information space through offensive cyberspace operations. （影響工作によって、嫌がらせ、言論の抑圧、個人情報の流出、および攻撃的なサイバー空間作戦による情報空間の支配などを通じて、オンライン空間において敵対者を害するために講じられる行動。）
Drive Offline Activity （オフライン活動の推進）	Move incident/campaign from online to offline. Encouraging users to move from the platform on which they initially viewed operation content and engage in the physical information space or offline world. This may include operation-aligned rallies or protests, radio, newspaper, or billboards. An influence operation may drive to physical forums to diversify its information channels and facilitate spaces where the target audience can engage with both operation content and like-minded individuals offline. （インシデントやキャンペーンをオンラインからオフラインへと移行させる。ユーザーが、当初作戦コンテンツを閲覧したプラットフォームから離れ、物理的な情報空間やオフラインの世界で関与するよう促す。これには、作戦に沿った集会や抗議活動、ラジオ、新聞、看板などが含まれる。影響工作は、情報チャネルを多様化し、ターゲット層がオフラインで作戦コンテンツや志を同じくする人々と関わり合える場を促進するために、物理的な場へと誘導することがある。）
Persist in the Information Environment （情報環境での継続）	Persist in the Information Space refers to taking measures that allow an operation to maintain its presence and avoid takedown by an external entity. Techniques in Persist in the Information Space help campaigns operate without detection and appear legitimate to the target audience and platform monitoring services. Influence operations on social media often persist online by varying the type of information assets and platforms used throughout the campaign. （情報空間での継続とは、運営が存在感を維持し、外部の存在による停止を回避するための措置を講じることを指す。Persist in the Information Spaceの手法は、キャンペーンが発見されずに運営され、ターゲットオーディエンスやプラットフォーム監視サービスに対して正当に見えるようにする。ソーシャルメディアでの影響力作戦は、キャンペーン中に使われる情報資産やプラットフォームの種類を変えることで、オンライン上で持続することが多い。）
Assess Effectiveness （有効性の評価）	Assess effectiveness of action, for use in future plans. （今後の計画に役立てるため、取り組みの有効性を評価する。）

Techniquesまで触れると例によって量が膨大になるので、ご自身でご確認くださいませｗ

DISARM BLUE

上記、REDのTTPにどう対抗していくかまとめられているのがBLUEです。2026年8月時点で、10のTacticsに対抗するカウンターが整理されています。最も多いのは、「Plan Strategy：計画戦略」と「Establish Assets：資産の確立」に対するカウンターで、例えば、「Plan Strategy：計画戦略」への対策としては「Rating framework for news：ニュースの評価フレームワーク」があり、ニュースを消費する際に人々が求める証拠の基準を引き上げることを指し、情報源のリンクや全文書き起こしの実施等。「Establish Assets：資産の確立」への対策としては「Honeypot with coordinated inauthentics：組織的な偽造行為を伴うハニーポット」があり、明らかに偽の情報が出回っている場所に、偽のコンテンツを溢れさせ、蔓延する偽情報の拡散を弱める、等（もはやカオス！？）。

https://github.com/DISARMFoundation/DISARMframeworks-17/blob/main/generated_pages/disarm_blue_framework.md

上記のように、様々な対策手法がマッピングされています。また、これらカウンターを実施するにあたり整理された行動カテゴリとして、7つのDISARM Response Typeがあります。

カテゴリ名	概要
Detect：検知	Discover or discern the existence, presence, or fact of an intrusion into information systems.（情報システムへの侵入の存在、状況、または事実を発見または識別する。）
Deny：拒否	Prevent disinformation creators from accessing and using critical information, systems, and services. Deny is for an indefinite time period.（偽情報作成者が重要な情報、システム、サービスにアクセスしたり利用したりすることを阻止する。拒否期間は無期限である。）
Disrupt：妨害	Completely break or interrupt the flow of information, for a fixed amount of time. (Deny, for a limited time period). Not allowing any efficacy, for a short amount of time.（一定期間、情報の流れを完全に遮断または中断する。（一定期間、情報を拒否する）。短期間、一切の効果を認めない。）
Degrade：低下	Reduce the effectiveness or efficiency of disinformation creators’ command and control or communications systems, and information collection efforts or means, either indefinitely, or for a limited time period.（偽情報作成者の指揮統制システムや通信システム、情報収集活動や手段の有効性や効率性を、無期限に、または一定期間にわたって低下させる。）
Deceive：欺瞞	Cause a person to believe what is not true. military deception seeks to mislead adversary decision makers by manipulating their perception of reality.（人に真実ではないことを信じ込ませること。軍事欺瞞は、敵対国の意思決定者の現実認識を操作することによって、彼らを誤導しようとするものである。）
Destroy：破壊	Damage a system or entity so badly that it cannot perform any function or be restored to a usable condition without being entirely rebuilt. Destroy is permanent, e.g. you can rebuild a website, but it’s not the same website.（システムやエンティティに深刻な損傷を与え、完全に再構築しない限り、いかなる機能も実行できず、使用可能な状態に復元することもできない状態にすること。破壊は永続的なものであり、例えばウェブサイトを再構築することはできますが、元のウェブサイトとは全く異なるものになります。）
Deter：阻止	Discourage.（落胆させる。）

偽情報に関するその他のフレームワーク

RICHDATA Framework

DISARMフレームワーク以外にも、偽情報に関連したフレームワークがあります。それがRICHDATA Frameworkと呼ばれるDisinformation Kill Chainです。CSETが2021年に発表しました。こちらも、工作員が偽情報キャンペーンを構築する際に用いる段階と手法をまとめたもので、RICHDATAフレームワークは、偽情報キャンペーンの複数の段階を表すピラミッド構造になっています。

今回は詳細は触れないので、ご興味ある方は是非ドキュメントをダウンロードしてみてください。

cset.georgetown.edu

まとめ

今回は、偽情報の作成・拡散に関するフレームワークであるDISARM Frameworkについて整理しました。偽情報は昨今深刻な社会問題であり、生成AIの発展に伴い益々高精度になってきています。企業で偽情報にどう立ち向かうか、はあるのですが、万が一自組織に関する偽情報が拡散され、経営に影響が及んでしまう事態になってしまったら（或いはなる前に）、このような手法・対策があるということを知っておくだけで、何かしら手が打てることはあると思います。

ということで、本ブログがどなたかの参考になれば幸いです。ではでは～(*^^)v

2026-08-01

2026年7月セキュリティニュースまとめ

セキュリティニュース

皆さん、こんにちは！霜月です(๑˃̵ᴗ˂̵)

今月も個人的に気になったセキュリティニュースを備忘のためにまとめたので、気になる方は是非覗いて行ってください！

それでは、どうぞ〜(●^ω^●)

インシデント
- CISAの認証情報等がGitHub上で漏洩
- Anthoropic Claudeがテスト中に外部へ不正アクセス
政府・公的機関
脅威・攻撃者
- WordPressの深刻な脆弱性「wp2shell」
- Ruby on Railsの脆弱性「KindaRails2Shell」
調査報告書・Blog
- Googleが脅威アクターの命名規則を変更
その他
- 熊本地震に関わる偽情報

インシデント

CISAの認証情報等がGitHub上で漏洩

CISAの委託先の個人がGithub上にAWSのGov Cloudキー情報等を誤って公開していた模様。CISAはレポジトリの監視の強化など、本件からのLessons Learnedをあげています。

Anthoropic Claudeがテスト中に外部へ不正アクセス

サイバーセキュリティ能力の評価試験中に、実在する外部3組織のシステムへ不正アクセスしていたと発表。直接的な原因は、テスト環境における隔離設定の不備とのこと。

https://www.cas.go.jp/jp/gaiyou/jimu/nic_nib.html

piyolog.hatenadiary.jp

政府・公的機関

国家情報局が7月1日に設置

英語名は"Japan National Intelligence Bureau"でNIBと略すそうです。ロゴマークもいい感じでカッコいいです。

www.cnn.co.jp

サイバーセキュリティ戦略本部が第6回会合を開催

7月31日に高市総理は第6回サイバーセキュリティ戦略本部を開催し、以下の決定文書が公開されました（一部）。

https://www.kantei.go.jp/jp/105/actions/202607/31security.html

サイバーセキュリティ2026

2025年の振り返りと2026年に注力する分野。Project YATA Shieldは特に力を入れるとのこと。

https://www.cyber.go.jp/pdf/policy/kihon-s/260731decision1.pdf

重要インフラのサイバーセキュリティ対策のための統一基準

重要インフラのサイバーセキュリティ対策のための統一基準（以下「統一基準」という。）は、重要電子計算機に対する不正な行為による被害の防止に関する法律の施行に伴う関係法律の整備等に関する法律（令和７年法律第 43 号）において改正されたサイバーセキュリティ基本法（平成 26 年法律第 104 号。以下「基本法」という。）第 25 条第１項第３号に基づき、重要インフラ事業者等におけるサイバーセキュリティの確保に関し国の行政機関（以下「政府機関」という。）が実施する施策について統一的な基準を定めることにより、重要インフラ事業者等が分野・事業者横断的に講ずべきサイバーセキュリティ対策の実施の促進等を図り、重要インフラのサイバーセキュリティ強化のため政府機関としてより積極的な役割を果たし、もって深刻化の進むサイバー脅威に対する重要インフラの一層の防護を図ることを目的とする。

https://www.cyber.go.jp/pdf/policy/kihon-s/260731decision2.pdf

脅威ハンティングの普及促進・実施等に係る基本方針

基本方針なので、具体的に脅威ハンティングで何をどうやるべきか？の話は乗ってないですが、脅威ハンティングの目的や重要性についてや、官民連携して推進して行くことなど記載されています。

https://www.cyber.go.jp/pdf/policy/kihon-s/260731decision5.pdf

金融庁が「金融分野におけるITレジリエンスに関する分析レポート」を公開

ボリューム満点なので、後で読む。

www.fsa.go.jp

White HouseがGold Eagle Initiativeを開始

AIを活用して脆弱性情報の収集・優先順位付け・検証・修正支援を行うイニチアティブ。

www.whitehouse.gov

CISAが"2026 Minimum Elements for a Software Bill of Materials"を公開

2026年版のSBOMの最小要素に関するガイダンス。SBOMの最小要素は基本は全てのソフトウェアに求められるが、AIやSaaSなど一部の種別では追加要素あり。

https://www.meti.go.jp/press/2026/07/20260730001.html

経産省が日本語版を公開しています。

Five Eyesが"Advice for isolating vital systems"を公開

重要インフラの要塞化・隔離に関するアドバイザリ。

脅威・攻撃者

WordPressの深刻な脆弱性「wp2shell」

CVE-2026-63030/CVE-2026-60137の2つの脆弱性の組み合わせにより、RCEが可能となる。KEVカタログにも掲載。土日バタバタしましたね。

Ruby on Railsの脆弱性「KindaRails2Shell」

Ruby on RailsのActive Strage におけるRCE可能となる脆弱性。CVE-2026-66066。

www.jpcert.or.jp

調査報告書・Blog

Googleが脅威アクターの命名規則を変更

なんかまたよく分からなくなってしまった...（覚えられないﾖ）。あれ、ベンダー間でアクター名を共通にしようみたいな動きありませんでしたっけ？

その他

熊本地震に関わる偽情報

地震発生からまだ数日しか経ってないですが、すでに数十件以上の偽情報が確認されています。「◯◯に行けば物資がもらえる」「イオンに引火させたのは◯◯だ」などなど。生成AIによる偽画像が動画が出回り、真偽判断が困難になっています。やってる人の動機としては、インプ稼ぎや愉快犯など。

news.web.nhk

piyolog.hatenadiary.jp

7月はこんな感じでしょうか？7月末には熊本地震発生という、非常に辛い事が起きました。震災が起きるといつもそうですが、偽情報（disinformation：故意に作られた虚偽の情報）が出回りますよね。不要な不安を煽ったり、自衛隊の救助活動の妨げになったりするので、本当に辞めて欲しいですね。偽情報は拡散されやすい傾向があるそうです。また、偽の募金サイトやフィッシングメールにもお気をつけください。

プライベートではSANSのGCTI（GIAC Cyber Threat Intelligence）に合格しました！ここ数ヶ月勉強していたのですが、内容と本当に面白かったので、夢中で試験勉強してました。こちらに試験のことまとめてるので、良かったら覗いて見てくださいw

無事に終わったので、Switch版ポケモンファイアレッドを解禁しますww

毎日熱くて死にそうですが、8月はお盆の時期ですね。夏休みとられる方はしっかりリフレッシュしてください！

ではでは〜(●^ω^●)ﾉｼ

↓↓6月のセキュリティニュースまとめはこちら↓↓

2026-07-25

GCTI（GIAC Cyber Threat Intelligence）に合格したので振り返ります

セキュリティ資格＋α

みなさんこんにちは、霜月です！

GCTIというSANSのGIAC試験に合格したので、振り返りをしようと思います！これからトレーニングを受講する方や、GIACに興味がある方の参考になれば幸いです。

それでは、どうぞ〜〜⊂二二二(　^ω^)二⊃ﾌﾞｰﾝ

はじめに
- GCTIとは
- 受験のきっかけ
勉強方法
試験当日
- 当日の流れ
- 試験の感想
全体の感想

はじめに

GCTIとは

GCTIとは、GIAC Cyber Threat Intelligenceの略で、脅威インテリジェンスに特化した皆んな大好きSANS試験です。トレーニングはFOR578です。100万越えのお高いトレーニングを受講し、その後に皆んなが受けてる試験がGIACデス（トレーニング受けなくてもGIACは受けられます）。また、GIACが無いSANSトレーニングもあります。

また、FOR578は2026年に内容がメジャーアップデートされる予定とのことです。現時点版のシラバスはこちら↓リンクをご覧ください。

試験は3時間で全82問のうち、75問が通常の選択問題、7問が実技のCyberLiveとなります（後述）。71%が合格ラインとなっています。休憩は2回取れて、合わせて15分です。

www.sans-japan.jp

受験のきっかけ

インテル業務に携わる身として、これはチャレンジするしかない！と脳死で申し込みました。本当は数年前から狙っていたのですが、ようやく時間が取れました。これまでにもセキュリティ関連の試験はいくつか受けてきましたが、GCTIは個人的取りたい度合いが過去一でやる気満々でした！

勉強方法

事前準備

トレーニング受講まで時間がある方は、書籍「脅威インテリジェンスの教科書」を事前に読みまくっておくことを強く推奨します。GCTIは技術的分野はもちろん、非技術的分野も広くカバーされているのですが、正直、初見だと難しく感じるものが結構あると思います。例えば、「競合仮説分析」や「論理的誤謬と認知バイアス」はあまり馴染みのない分野だと思います。私は脅威インテリジェンスの教科書を100周(!?)くらいしていたので「あ、これ進研ゼミで見たやつだ！！」状態でかなり助かりました。

gihyo.jp

テキストを読み込む

まずは素直にテキストを精読していきます。シンプルに内容が面白いので、夢中で読んでしまいますね。大事なところは線を引いたりメモをしつつ、知らない単語が出てきたら都度調べます。SANSの他のコースも受講したことあるのですが、FOR578は英語がなんだか難しいような気がします。非技術的な要素が多いからだと思います。知らない単語も多いし、文章も何言ってるのかよく分からんものばかりw そんな時は「脅威インテリジェンスの教科書」と照らし合わせながら読み進めました（日本語翻訳的な位置付けw）。

インデックスを作る

GIAC受けたことある方はご存知と思いますが、GIACはオープンブックなので、テキストが持ち込めます。なのですが、何がテキストのどこに書かれていたかを暗記するのは不可能なので、どの単語がどのページに書かれているかのインデックスを自作して持ち込むのが一般的なGIAC対策となっています。そのため、テキストを読み込む際に「この単語重要そうだな」と思ったら毎回ちまちまとインデックスに蓄えていくことをお勧めします。

GCTIに関しては、GitHubで誰かが以前のバージョンのインデックスを公開してくれているので、それを元に、ページを修正したり、足りない用語を追加したりしました。ありがてえ。

ラボで手を動かす

GIACにはCyberLiveと呼ばれる、VM環境を用いた実技試験が設けられている場合があります。GCTIもその対象なので、ラボ環境で十分に練習しておく必要があります。やはり、手を動かしてる時間は1番楽しいですよね。とはいえ、既に使ったことのあるツールが多かったので、そこまで新鮮味はなかったのですが...笑。

GCTIは他のGIACと比較すると（話を聞く限り）そこまで技術ゴリゴリではないので、基本的な操作が出来れば大丈夫かなあと思ってます。YARAルール作りもありますが、基本的なとこしか触れないので、技術的なお仕事をしてる人は、ちょっと物足りないかも？

因みに、SANSの公式情報によると、CyberLiveは配点が高めになっているそうです。GIACの種類によって異なるかもですが、GCTIはCyberLive3倍くらい？な気がします（違ったらすみません責任負えませんw）。

各ツールのチートシートを集める

CyberLiveではどのツールについて問われるかわからないので、ラボで出てきたツールのチートシートを印刷しておきましょう。WireSharkやVolatilityがあると安心です（結果として使いませんでしたが）。SANSが公開してるGCTIチートシートもありますが、こちらはあまり役に立ちませんので、お守り程度にw

www.sans.org

模擬試験を受ける

テキスト読み込み、インデックス作成、チートシート印刷が終わったら、模擬試験を受けてみましょう。トレーニングを受けた方は模擬試験を2回受けられます。私は1回目は65%、2回目が68%で大泣きしましたw （えええん）。体感としては、模擬試験より本番の方がちょいと難しかったような気もします。出題傾向としては、模擬試験で問われるようなことを押さえておけば、大丈夫じゃないかと思います。

試験当日

当日の流れ

試験当日は、体調管理に気をつけて、時間に余裕を持ってテストセンターに向かいましょう。新宿（Daiwa西新宿ビル8F）の場合は駅からちょっと歩くのでお気をつけを。特に迷わず行けると思います。ビルの真隣にドトールがあるので、早くついたらコーヒーが飲めます。

持ち物は、身分証2つなのでそれもお気をつけを。事前にSANS事務局から当日に関するメールが来ると思うので、目を通しておきましょう。私はパスポートと予備自衛官補手帳を持ってきました。あと、大事な大事なテキストとインデックスやメモ、印刷したものも絶対に忘れずに。辞書が欲しい人は辞書も。私はテキスト丸ごと持ってくの忘れて、走って帰りましたwww。

テストセンターについたら、案内に従って、誓約書へのサインやオーブンブックのチェックなど済ませます。

試験の感想

試験のことを振り返って書いていきます。問題に関することは書けませんが、普通に難しかったなあという感想です。解いてて「え、知らんがな」となった問題も結構あり、試験中は「これ落ちたんじゃね？」と心配になりましたが、なんとかこうにか...。

あと、これマジで言いたいのですが、英語が本当に長いし何言ってるのかワカラナイ！「あれ、今日は英語の試験受けにきたんだっけ？」と思うくらい、何度も問題文を読んでじっくり回答しました...。

心配だったCyberLiveは、どれも比較的シンプルな問題だったので瞬殺しました。7問でしたが30分もかからなかったです。CyberLiveは配点も高いので、全問正解したようでとてもよかったデス。結果はこんな感じ。

時間に関しては、3時間の試験でしたが20分余りました。休憩は2回取りました。40問解いた時に1度お手洗いに行き、休憩の5分消化。2回目は75問終えてCyberLiveになったタイミングで残りの10分消化しました。いやあ、3時間って疲れますね...。私は絶対に朝じゃないと脳が疲れてしまって無理です。休憩時間中は、何もせずぼーっとして、脳を休ませました。

全体の感想

長い道のりでしたが、試験に合格した時は本当に本当に嬉しかったです。試験中にスキップしていた問題を全部解き終えて、最後の1問をSubmitした瞬間に結果の画面になったので、いきなり過ぎてビビりました！笑。そして、無事合格したのでご褒美に蒙古タンメン中本で北極食って帰りました(๑´ㅂ`๑)

これまでにもCISSPやCEHなど受けてきたのですが、脅威インテリジェンスは自分が1番好きな分野なので、何が何でも絶対に合格したいという気持ちが強かったです。ただ、試験受ける時はいつもそうなのですが、合格することだけが目的というよりは、試験を通して純粋にその分野のことを深く理解して楽しむ、というのも重視しているので、そう言った意味でも、今回GCTIの勉強をしてとても充実していたし、インテルのことをもっと知れて楽しかったです。

あと、些細なことですが。試験の前日はお客さんとの飲み会に行ってきて（流石にノンアルw）、脅威インテリジェンスの知見についてお褒めの言葉をいただきました。それがとても嬉しくて、絶対に受かってやるぞという気持ちが倍増したのも、今回合格できた要因だったかもしれないです。モチベーション大事。

GCTIは2026年のトレーニングから内容がメジャーバージョンアップするそうです。これから受ける方は、是非新しい内容で楽しんでください！

このブログがこれからGIACを受ける方の参考になれば幸いです。

ではでは〜〜( ^ω^ )ﾉｼ

2026-07-03

2026年6月セキュリティニュースまとめ

セキュリティニュース

皆さんこんにちは!(^^)!

6月も個人的に気になったセキュリティニュースを備忘のためにまとめてみたので、気になる方は是非見て行ってください★

それではどうぞ～

インシデント
- 生成AIでマルウェアを作成した会社員が逮捕
- 自衛隊がマルウェア感染したUSBを機密システムで使用
政府・公的機関
脅威・攻撃者
- Anthropicが"Mapping AI-enabled cyber threats: Insights from the LLM ATT&CK Navigator"を公開
- 独立研究者がFable5のジェイルブレイクに成功したと報告
調査報告書・blog
その他
- AnthoropicがMythos級のAI"Fable5"をリリース
- FBIがサイバー訓練施設"Kinetic-Cyber-Range"の内部を公開

インシデント

生成AIでマルウェアを作成した会社員が逮捕

関与した学生ら9名も立件。この手の人々、逐一把握するのは無理だろうなあ。。

www.yomiuri.co.jp

news.yahoo.co.jp

自衛隊がマルウェア感染したUSBを機密システムで使用

中国系マルウェアに感染したUSBを1年近く機密システムで利用していたとのこと。

https://www.cyber.go.jp/policy/group/general/kijun.html

news.yahoo.co.jp

政府・公的機関

NCOが「政府機関等の対策基準策定のためのガイドライン」を改訂

主な改定事項とその内容は下記。

1.脆弱性対策（セキュリティパッチ適用等）の強化

2.情報システム運用継続計画（IT-BCP）の確実な整備

3.インシデント発生時の対処強化

4.多要素認証等の主体認証の強化

5.DMARC対応によるフィッシング対策強化

防衛省が認知戦と戦略的コミュニケーションに関する分析資料を公開

ロシア・ウクライナでの偽アカウント活用、ディープフェイク動画、国内外への戦略的発信、などと対応サイクル。インテリジェンスの重要性についても解説されています。

www.mod.go.jp

フィッシング対策協議会が「フィッシング対策ガイドライン」を改訂

本ガイドラインは、こうした情勢の変化を踏まえ、フィッシング対策協議会技術・制度検討WGにおいて検討を重ね、改定を行ったものである。2025年度において項目構成の整理を行ったことを受け、2026年度版ではその枠組みを基礎として各項目の内容を精査・更新した。

前年度に整理した項目構成に基づき、各事項の詳細説明を更新

特定の技術や方策の単なる推奨よりも、それらが必要とされる背景や想定リスクの説明を簡潔に記述

www.antiphishing.jp

脅威・攻撃者

Anthropicが"Mapping AI-enabled cyber threats: Insights from the LLM ATT&CK Navigator"を公開

AIがサイバー攻撃でどのように悪用されているか分析した結果を公開。フィッシング文面作成やマルウェア作成は想像しやすいですが、侵害後にもAIを使っているとのことで、そのテクニックをまとめています。

独立研究者がFable5のジェイルブレイクに成功したと報告

報告したのはPliny the Liberatorを名乗る研究者。Anthropicの公式見解は無し。

gbhackers.com

調査報告書・blog

SANSが"Agentic AI Threat Map"を公開

OWASP Agentic Top 10に基づいており、脅威モデリングのチェックシートとして活用できるらしい。10の脅威のうち8つは、根本的にはIDと認証の不備に起因。

www.sans.org

KPMGが「サイバーセキュリティサーベイ2026」を公開

サイバーインシデントの被害金額やディープフェイクを用いた不正な送金指示による被害、IT投資に対するサイバーセキュリティ投資の比率、などなど。読み応えあります。

kpmg.com

PwCが「投資家目線で考えるサイバーセキュリティリスクへの経営者の対応」を公開

www.pwc.com

国際インテリジェンス戦略研究所が「日本のインテリジェンスとサイバーセキュリティはどこに進むべきか」を公開

www.igsi-inc.com

Akamaiが「金融サービス業界を狙う攻撃の産業化」を公開

www.akamai.com

その他

AnthoropicがMythos級のAI"Fable5"をリリース

リリース後、4日か5日で突然使えなくなりましたが...。色々ありましたが、また使えるようになるそうです。

FBIがサイバー訓練施設"Kinetic-Cyber-Range"の内部を公開

2000平米のサイバー捜査用の訓練施設の紹介。写真多めで面白い記事です。日本でもこういった施設できるんでしょうか！？

www.fbi.gov

こんな感じでしょうか？最近忙しすぎて（こいつ年中言ってるな？）、ニュースが入ってきては抜け、を繰り返してます。。。AI関連は相変わらず激しいです。Mythos関連、もっと色々載せたかったんですが力尽きて載せきれませんでした。あ、お腹いっぱいですかそうですか(´・ω・｀)

プライベートでは、今月は自衛隊関連で気になるニュースがたくさんありました。航空自衛隊が「航空宇宙自衛隊」に改称予定となったり、「豊かな子は自衛隊なんかにならない」という国会での問題発言(!?)が話題となったり、公務員が予備自衛官の訓練に参加しやすくなる制度が整備されたり、防衛装備庁が自爆型ドローンに対抗する迎撃ドローンを公募したり。夏の訓練に向けてそろそろ予習復習しなければ。。。

これから夏ですね！日焼け対策に水分補給、しっかりやっていきましょう！体が資本！

ではでは～(*^^)v

5月のセキュリティニュースはこちら↓↓

2026-06-02

2026年5月セキュリティニュースまとめ

セキュリティニュース

皆さんこんにちは( *´艸｀)

5月も個人的に気になったセキュリティニュースをまとめてみたので、ご興味ある方は是非どうぞ～！

インシデント
- マネーフォワードのGithubに不正アクセス
政府・公的機関
脅威・攻撃者
- WantToCry
調査報告書・blog
その他
- 脆弱性開示に関するアレコレ
  - Pwn2Own Berlin 2026
  - Microsoftの協力的脆弱性開示
- 生成AIの脅威に関するアレコレ
  - GoogleがGoogle AI Threat Defenseをリリース
  - NTTドコモビジネスがAI SOCをリリース

インシデント

マネーフォワードのGithubに不正アクセス

事の発端は、マネフォが使用していたGithubの認証情報が漏洩したことで不正アクセスされ、リポジトリがコピーされたとのこと。その結果、個人情報が漏洩し、そして銀行口座連携機能が停止する事態に。そもそも、なぜGithub上に個人情報が記載されていたのかなど、運用ポリシーに関する問題が指摘されました。

corp.moneyforward.com

政府・公的機関

国家情報会議設置法が可決

7月には発足する方針で動いているようです。

https://www.cyber.go.jp/pdf/press/20260518_AI_CS_Critical_Infrastructure.pdf

NCOが「AI性能の高度化を踏まえたサイバーセキュリティ対策の強化について」を公開

高度化するAIの脅威に対応するため「Project YATA-Shield」と題し、政府が一丸となって各施策の取りまとめを行う。

経産省が「サプライチェーン強化に向けたセキュリティ対策評価制度」を公開

SCS評価制度。

セキュリティ対策の段階を★3・★4（★5については今後検討）に区分し、★3の要求事項・評価基準を基礎として、★4ではより段階的に広い範囲や対策を含む要求事項・評価基準に基づき、自己評価（専門家の確認を経たもの）や第三者評価機関による評価を行います。

NCSCが"10 questions to ask when using AI models to find vulnerabilities"を公開

AIモデルを使って脆弱性を検出するときに確認すべき10の質問。こちは一読しておくべきと思います。

1. What are you trying to achieve by using AI?

2. Is using AI the best way to improve security?

3. Do I have a process to manage any vulnerabilities that AI finds?

4. How should I prioritise vulnerabilities?

5. What are the risks when using AI to find vulnerabilities?

6. What AI model should I use?

7. Where should I start?

8. What’s my long term plan to deal with new AI models?

9. Where do I need to invest in people?

10. Do I know how everything we develop or use is patched?

www.ncsc.gov.uk

JNSAが「CISOが押さえておきたいAIセキュリティの基本」を公開

www-sophos-com.translate.goog

脅威・攻撃者

WantToCry

SMBで初期侵入するが、侵入後はローカルで実行しないため検出範囲が限られるランサムウェア。自己増殖はしない。わなくらい？SMB？....うっ頭が...。

調査報告書・blog

SANSが"Cyber Threat Intelligence Survey Insight"を公開

毎年、設問を眺めるのも面白いんですよね。今年はCISOコーナーを設けたとか。あとは、AI 活用に関する設問や地政学・レギュレーションの重要性に関する設問などなど。

www.sans.org

Gartnerが"Magic Quadrant for CYberthreat Intelligence Technologies"を公開

LeadersにはCrowdstrike、Google、RecordedFuture、ZeroFox、Group-IB。

www.gartner.com

Verizonが"2026 Data Breach Investigation Report"を公開

www.verizon.com

その他

脆弱性開示に関するアレコレ

脆弱性開示（Vulnerability Disclosure）とは、その名の通り脆弱性を発見したときにその情報（脆弱性の存在や対策など）を一般に公開することを指します。最近、セキュリティリサーチャー/バグハンターが、自身の発見した脆弱性を一般公開するという事案が複数発生しています（今に始まったことではないですが）。

Pwn2Own Berlin 2026

ベルリンで開催された世界規模のバグバウンティコンテストでは、定員に達してしまい参加できなかった一部のリサーチャーが、見つけた脆弱性を公開する事態になりました。

hackread.com

Microsoftの協力的脆弱性開示

協力的脆弱性開示（Coodicated Vulnerability Disclosure）とは、脆弱性発見者と製品開発者が協力し、脆弱性の早期発見と修復に対応することでユーザーを保護することです。脆弱性発見者は、脆弱性を発見したら一般公開するのではなく、まず製品開発者に連絡し、解決策が準備出来てから情報開示することが望ましいとされます。Microsoftがセキュリティリサーチャーとこじれ（？）、ゼロデイの脆弱性を公開されたとのことで、以下のように、公開したリサーチャーを強く非難し、断固とした意思表示をしています。

www.microsoft.com

生成AIの脅威に関するアレコレ

Anthropic社のMythosの話は4月から継続してホットな話題ですね。日本では3メガバンクがMythosへのアクセス権を確保したりと動きがありました。

各ベンダーからもAI対策のソリューションが出始めています。

GoogleがGoogle AI Threat Defenseをリリース

脆弱性を高速で検出し自動で修復までしてくれる。なんかもうこれがあればよいのでは？

NTTドコモビジネスがAI SOCをリリース

ドコモビジネスさんからはSOCという形でのサービス提供。アラート相関分析〜対処まで自動で実施。元SOC要員のワイ涙目。

本サービスにより、AIを悪用した攻撃など高度化するサイバー攻撃に対して、AIを駆使した脅威の早期発見・対処を実現し、企業のセキュリティ対策を支援します。

www.ntt.com

5月はこんな感じでしょうか？4月に引き続き、Mythos祭りが凄かったですね。お客さんからたくさん問い合わせが来たり、色んなベンダーからもMythos対策ソリューションが発表されたりして、私もバタバタしてました。

プライベートでは、犬を飼おうかと悩んでいるところです！前にマイクロブタを飼うか悩んでいたんですが、ブタを実際に見に行ったり、飼い方や病院などなど調べた結果、なかなかの爆音で泣き叫ぶので、やっぱり難しそうだと断念しました。今は、チャウチャウを飼えないか検討中です。基本、犬は全部好き。

なんかもう早速暑すぎて熱中症のような症状が出る日があるのですが、皆さん水分しっかりとってくださいね。ではでは～

先月のセキュリティニュースまとめはこちら

2026-05-01

2026年4月セキュリティニュースまとめ

セキュリティニュース

皆さんこんにちは、霜月です( ͡° ͜ʖ ͡°)

4月も個人的に気になったセキュリティニュースをまとめてみたので、ご興味ある方は是非どうぞ〜〜！

インシデント
- Anthropic社のMythosに不正アクセス
- 銀行員がBerealで顧客情報を流出
政府・公的機関
脅威・攻撃者
- DDoS攻撃代行サービス53インフラがテイクダウン
- NICTがClickFix/FileFixの解析結果を公開
調査報告書・blog
その他
- 流通ISACが設立

インシデント

Anthropic社のMythosに不正アクセス

Mythosの件はどこのカテゴリに入れるか悩んだのですが。。。Mythosの登場により、脆弱性の検出が従来と比較しかなり高速に可能となるため、悪用を防ぐために、利用できるのは一部の企業のみ（MicrosoftやAppleなど）としてました。

今回、Mythosに不正アクセスされたとのこと。

Mythosの件は国としても早急な対応が検討されており、特に金融機関においては片山さつき金融担当相が3メガバンクと本件リスクに関して会合を行いました。

銀行員がBerealで顧客情報を流出

「ランダムな時間に通知が来て、2分以内に投稿するルール」であるアプリBeRealを利用した行員が、顧客情報を含む行内の様子をアップしたとのこと。従業員教育は改めて重要ですね。（というかこのアプリ、とっても危なっかしくないか？同様のケース多そうな。。。）

www.ncbank.co.jp

政府・公的機関

国家情報局の設置法案が可決

いよいよ本格的にインテリジェンス部隊が動き出しますね。国家情報局は内調（内閣情報調査室）が格上げされた組織です。

https://www.cyber.go.jp/pdf/policy/infra/NCO_enshu_20260331.pdf

NCOが全分野一斉演習および官民連携演習の実施結果を報告

個人情報保護委員会が「個人情報の保護に関する法律等の一部を改正する法律案」を公開

本法律案は、デジタル技術の急速な進展に伴い、個人情報を含むデータの利活用に対する需要が高まっている一方で、個人情報の違法な取扱いにより個人の権利利益が侵害されるリスクも高まっていることを踏まえ、個人情報の有用性に配慮しつつ、その一層の保護を図るため、身体の一部の特徴に係る情報が含まれる個人情報等について違法な取扱い等がなくとも本人による利用停止等の請求を可能とするとともに、個人情報の違法な取扱い等によって財産上の利益を得た場合に個人情報保護委員会が課徴金納付を命ずる制度を設けるほか、統計等の作成を行う第三者に個人情報を提供する場合等について本人の同意を不要とする等の措置を講ずるものであり、第221回特別国会に提出されました。

www.ppc.go.jp

NISTがNVDの今後の運用を発表

これまでは全てのCVEの詳細情報を公開してましたが、脆弱性の数が多すぎることから今後は優先度の高いものだけ対応することになりました。お気持ちお察しします。。

NISTのスコアのみをベースとした運用をしている組織には影響出るかなと。

www.nist.gov

FBIが"2025 Internet Crime Report"を公開

www.fbi.gov

MITREが不正対策フレームワークMITRE F3を公開

Fight Fraud Frameworkの略。Monetizationの手法が面白い！！

MITRE F3™ is an authoritative, analyst-developed knowledge base of fraud actor behavior as observed in cyber-based fraud incidents. These incidents involve the intentional use of deceptive or illegal practices to fraudulently obtain money, assets, or information from individuals or institutions, and include actions carried out over cyber channels. Grounded in real-world fraud tactics and created by fraud fusion analysts, it consolidates key fraud knowledge into a structured, transparent, and operationally relevant resource.

ctid.mitre.org

脅威・攻撃者

DDoS攻撃代行サービス53インフラがテイクダウン

警察庁も貢献したとのこと！

www.europol.europa.eu

NICTがClickFix/FileFixの解析結果を公開

CYNEX Co-Nexus Aの解析活動の一環として、ClickFix/FileFixを観測した結果の紹介。

cynex.nict.go.jp

調査報告書・blog

Gartner社が「日本におけるセキュリティ・インシデントの傾向」を公開

www.gartner.co.jp

JIPDEC社が「企業IT利活用動向調査2026」を公開

うわあ。回答のあった1107社のうち、被害に遭ったのは507社。身代金を支払った222社のうち、復旧できなかったのは139社って。。まあ、前から言われてましたが、戻る保証はないですね。

身代金の支払い状況を見ると、感染被害にあった企業のうち身代金を支払った割合は20.1%、支払わなかった割合は25.7%となっている。注目されるのは復旧の成否であり、身代金を支払っても復旧に成功した割合は20.2%にとどまる一方、復旧に失敗した割合は25.6%に上っている。

www.jipdec.or.jp

SIGQ社が「インシデント対応の属人化に対する実態調査2026」を公開

72.0%の組織がインシデント対応を「特定の1〜2名に依存」と回答し、更にその88.9%が「1〜2年以内の退職リスクあり」とのこと。属人化問題はいろんなところで起きますが、ベテランだけで回すのではなく、周りの育成もしなくちゃですね。。

incidentlake.com

その他

流通ISACが設立

流通業界でもできました。主な目的は以下3つ。

1. 脅威情報・インシデント情報の収集・分析・共有

2. 流通業界のベストプラクティスの整理

3. 情報セキュリティに関する啓発・人材育成

4月はこんな感じでしょうか？今月はMythosで世界中が大盛り上がりでした。。いろんなお客さんから対応方針の問い合わせが来ました（なんでもいいんだけど、ミトスなのかミソスなのかミュトスなのか）。あと、うちの会社ではClaude研修が始まりました。

プライベートでは、毎年恒例コナン映画を見にいきましたー！今年は神奈川県警の美人白バイ隊員、萩原千速が主役でした。自動運転がテーマで結構面白かったです。ランネー・チャン今年も大活躍（なぜ誘拐された）。青山剛昌先生、今からでも千速と重悟ペア撤回してください（松田派）。

GWが始まりましたが、皆さんはどんな予定がありますか？しっかりリフレッシュしましょうーーっ！

ではでは〜^_^

先月のセキュリティニュースまとめはこちら↓

2026-04-12

CTI-CMM（Cyber Threat Intelligence Capability Maturity Model）についてまとめます

セキュリティ文書・ツールインテリジェンス関連

こんにちは、霜月です！

CTI-CMMという団体が出している脅威インテリジェンスの成熟度モデルについて、最近1.3verがリリースされ内容が改善されたので、本ブログでまとめてみようと思います。脅威インテリジェンスをやっている方の参考になれば幸いです。

それでは、どうぞ〜( ^ω^ )

はじめに
成熟度評価が必要な理由
CTI-CMMとは？
アセスメント方法
設問の例
CRESTのアセスメントツールとの比較
最後に

はじめに

皆様ご存知の通り、サイバーセキュリティの分野では、目的に応じて業界ごと専門領域ごとに様々なアセスメントの種類があります。脅威インテリジェンスに特化した成熟度アセスメントも複数リリースされており、本ブログでも、CRESTからリリースされたアセスツールについて過去に紹介しました（下記参照）。

今回は、CTI-CMMが出している成熟度モデルを紹介します。前回まとめたCRESTとの比較もしていければと思っています。

unit42.paloaltonetworks.com

成熟度評価が必要な理由

脅威インテリジェンス分野に限りませんが、組織ごとにサイバーセキュリティにおけるゴール・目的があります。そのゴール・目的のために体制や施策、各運用がある訳ですが、自分たちが向かっている方向が正しいか、現在地の確認をすることは組織の成長のために非常に有意義だと考えています。また、実装している対策に抜け漏れがないかの観点を知る上でも、成熟度評価を実施する価値があります。

CTI-CMMとは？

CTI-CMM（Cyber Threat Intelligence-Capability Maturity Model：サイバー脅威インテリジェンス能力成熟度モデル）とは、CTI-CMMという団体がリリースしている、脅威インテリジェンスに特化した成熟度モデルです。

cti-cmm.org

公式ページの説明は以下です。

The CTI-CMM is a community-driven framework designed to provide CTI programs with a roadmap to improve stakeholder support. The cornerstone of an effective CTI program—and key to most program's maturation—is rooted in the ability to understand and service internal customer needs.

CTI-CMMは、CTIプログラムがステークホルダーの支援体制を強化するためのロードマップを提供することを目的とした、コミュニティ主導のフレームワークです。効果的なCTIプログラムの基盤であり、多くのプログラムが成熟するための鍵となるのは、内部顧客のニーズを理解し、それに応える能力にあります。

2024年8月にver1がリリースされ、その後ver1.1→ver1.2→ver1.3と改良されてきました。古いバージョンの時には、設問の意図が分かりにくかったり、そもそも脅威インテリジェンスの設問として適切なのか？と思えるものがあったりしたのですが、ver1.3で調整され、全体的にかなり改善されました。今後もレベルアップして行くことが公式から宣言されています。

エクセル形式で成熟度を評価するための設問が用意されています。現在（2026年4月時点）ver1.3では、全11ドメインの合計197問で構成されています。

項番.ドメイン名：設問数

Asset, Change, and Configuration Management (ASSET)：13
Threat and Vulnerability Management (THREAT)：31
Risk Management (RISK)：16
Identity and Access Management (ACCESS)：14
Situational Awareness (SITUATION)：8
Event and Incident Response, Continuity of Operations (RESPONSE)：24
Third-Party Risk Management (THIRD-PARTIES)：17
Fraud and Abuse Management (FRAUD)：27
Workforce Management (WORKFORCE)：23
Cybersecurity Architecture (ARCHITECTURE)：13
Cybersecurity Program Management (PROGRAM)：11

また、成熟度としては以下の4段階で評価されます。

CTI0(Pre-Foundational)：No Capability
CTI1(Foundational)：Partial Implementation
CTI2(Advanced)：Largely Implemented
CTI3(Leading)：Fully Implemented

アセスメント方法

アセスメントは、こちらのgitからエクセルをダウンロードして実施します。READMEもついているので、困ることなく実施可能と思います。

github.com

各設問に対して0〜3で採点していきます。できていなかったらNot Implementedの0、完璧にできていたらFully Implementedの3です。

各設問はこんな感じで、「SCORE」の列に点数を記入していくと「STATUS」の列が反映されます。

全設問への回答が完了したら、ダッシュボードから結果が見れます。

設問の例

設問ですが、テクニカルなことから組織体制的なことまで幅広くカバーされています。そのため、担当者1人で回答するのは難しいと思うので、設問ごとに適切なチームや担当者に割り振って回答するのが良いかと思います（この設問は誰が担当なんだ？となるものもあるかもしれません）。

設問の内容としては、全体的に結構具体的なことが書かれています。「IoCの収集・活用」に関する設問で例を挙げると、「主要カテゴリ（フィッシングインフラ・Botnet・C2等）ごとに収集できているか」「有効期限を設けて定期的な削除ができているか」「セキュリティ機器への取り込みを自動でできているか」「False Positiveの測定ができており、収集するIoCの質向上ができているか」などなど。

他に印象に残った設問としては、「Deception（欺瞞）としてカナリアトークンやハニーアカウントを活用しているか」や「フィッシングキットの使用状況の自動検知と無力化ができているか」や「攻撃者のプライベートチャットをツールを用いて能動的に追跡しているか」などなど。Threat Huntingの設問もいくつかありました。

勿論、どこまでやるか・やるべきかは組織によって異なります。

CRESTのアセスメントツールとの比較

過去に本ブログでも紹介した、CRESTがリリースしている"Cyber Threat Intelligence Maturity Assessment Tools"との違いをまとめていこうと思います。

www.crest-approved.org

結論から書くと、どちらかのツールでアセスするとしたらCTI-CMMの方が使いやすいと感じました。理由は、以下4つが挙げられます。

各成熟度レベルが定義されている
各設問の解像度が高く具体的
各設問の説明が丁寧で回答が容易
脅威インテリジェンスに関わる設問のみで構成されている

CRESTのアセスメントツールは、よりHigh-Levelな内容となっており、全体的に抽象度が高く、脅威インテリジェンス特化というよりは、セキュリティ対策の根本的な設問も多く含まれている印象でした。「脅威インテリジェンス色を強めに、だけどセキュリティの全体的な基礎アセスがしたい」といったケースでは活用できると感じます。あとは、設問数に応じて、Summary版、Intermediate版、Detailed版があるので、クイックにアセスしたい方もCRESTのツールを試してみても良いかもしれません。

最後に

昨今、脅威インテリジェンスの導入・運用が当たり前となり、インテリジェンスチームの拡大を図っている組織も増えてきました。脅威インテリジェンスに限らずですが、自組織の現在地の把握と、向かうべき方向の確認をするために、成熟度アセスメントはとても効果的なアプローチだと考えています。

本アセスが気になった方は、是非ダウンロードしてみてください。今回ご紹介したのはver1.3でしたが、将来的にはver2も出るそうなので、興味持ったタイミングでの最新版でお試しいただくのが良いかと思います！

ということで、本ブログがどなたかのお役に立つと幸いです。

ではでは〜♪( ´▽｀)

2026-04-01

2026年3月セキュリティニュースまとめ

セキュリティニュース

皆さんこんにちは、霜月です٩(๑❛ᴗ❛๑)۶

今月も個人的に印象に残ったセキュリティニュースを、備忘のためにまとめてみました。3月は年度末なのもあってちょっと多めです。ご興味ある方は是非どうぞ〜

インシデント
- アメリカ・イスラエルのイラン攻撃による中東情勢
政府・公的機関
脅威・攻撃者
- Europolがサイバー犯罪で使われたダークWEBのサイトを封鎖
調査報告書・blog
その他

インシデント

アメリカ・イスラエルのイラン攻撃による中東情勢

2月28日にアメリカ・イスラエルがOperation Epic Furyとしてイランを攻撃した事で、中東全域が緊迫した状態となりました。サイバー空間での戦争も活発化しています。

www.mod.go.jp

www.anzen.mofa.go.jp

各セキュリティベンダーからもブログ・レポートが出ています。

www.proofpoint.com

政府・公的機関

能動的サイバー防御の攻撃元の無害化を10月開始と閣議決定

攻撃元サーバーに入り込んで無害化する措置を10月1日から可能とすると決定。

https://www.cyber.go.jp/council/cs/ciip/yakuwari/index.html

NCOと経産省が「サイバーインフラ事業者に求められる役割等に関するガイドライン」を公開

サイバーインフラ事業者とその顧客を対象に、ソフトウェア・サプライチェーンのサイバーセキュリティに関するレジリエンス向上のために求められる責務と、責務を果たすための要求事項（具体的取組）について、6つのカテゴリで整理しています。

NCOと経産省が「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」を公開

サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化することで、委託元企業・委託先企業双方の負担を軽減しつつ、サプライチェーン全体のセキュリティ水準の底上げを図る仕組み

経産省が「中小企業の情報セキュリティ対策ガイドライン第4.0版」を公開

「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」もあわせて公開。

総務省が「AIのセキュリティ確保のための技術的対策に係るガイドライン」を公開

AI関連のガイドラインはいくつかありますが、それぞれの位置づけについても解説されています。

本ガイドラインにおいては、AIの「セキュリティ確保」として、「不正操作による機密情報の漏えい、AIシステムの意図せぬ変更や停止が生じないような状態」に対する脅威への対策を主な対象とし、この観点から脅威への技術的対策例を整理している。

www.soumu.go.jp

総務省が「地方公共団体における情報セキュリティポリシーに関するガイドライン」を改訂

www.soumu.go.jp

警察庁が「令和7年におけるサイバー空間をめぐる脅威の情勢等について」を公開

いつもの。AI情勢とAIを悪用した攻撃事案について特集されてます。

www.npa.go.jp

IPAが「ASM診断および事例集作成業務」の報告書を公開

JNSAが「X.1060サービスマップ」を公開

国内のセキュリティ製品・ソリューションの実態を調査し、X.1060の64サービスに対応付けた「X.1060サービスマップ」を作成。

※X.1060は日本のISOG-Jが取りまとめた『セキュリティ対応組織の教科書』を基に国際標準化されたもの

JNSAが「AIを利用したシステムに対する脅威モデリング手法の評価」を公開

AIの主な利用3パターン（内部にAI機能を有するアプリケーション、外部のLLMを用いたアプリケーション、エージェント型AIを用いたアプリケーション）を対象に、STRIDE、STRIDE+AI、MAESTROの3つの脅威モデリング手法を適用し、それぞれのメリットおよびデメリットをまとめています。

ISEPAが「セキュリティ人材および関連業務に携わる方へのアンケート調査」の結果を公開

みんなが持ってるセキュリティ関連資格を一覧化。保有資格の組み合わせと、その他の資格（危険物取扱、宅建、簿記などなど）の一覧も面白かったです。

米トランプ大統領が"Cyber Strategy for America"を公開

6つの柱。やっぱUSって表現が力強いし、書き出しもなんかエモかった。

1. Shape Adversary Behavior

2. Promote Common Sense Regulation

3. Modernize and Secure Federal Government Networks

4. Secure Critical Infrastructure

5. Sustain Superiority in Critical and Emerging Technologies

6. Build Talent and Capacity

Cyberspace was born in America. American talent, innovation, research, and powerful government capabilities combined to create a dynamic, thriving, digital world that every American relies on for information, economic opportunity, and our basic way of life. Indeed, the cyber domain is key to President Trump’s actions to ensure America leads the world in finance, innovation and emerging technology, military power, and manufacturing. Freedom and safety in cyberspace, however, cannot be taken for granted. Adversaries and cybercriminals exploit cyberspace to advance authoritarianism, suppress democracy, and undermine our national and economic security.

www.whitehouse.gov

Interpolが"Global Financial Fraud Threat Assessment 2nd edition"を公開

世界の金融詐欺の脅威に関する報告書です。金融詐欺の世界的動向、種類、地域別の違いなど。金融業界の人は一読あれ。

www.interpol.int

ODNIが"2026 Annual Threat Assessment of the US Intelligence Community"を公開

USの敵対国のアクターの話など。サイバーだけじゃないので、いろんな分野での脅威について載ってます。

www.odni.gov

ODNIが"Cybersecurity Investment and Modernization effort"を公開

インテリジェンス・コミュニティ過去最大規模での投資・近代化計画とのこと。

www.odni.gov

脅威・攻撃者

Europolがサイバー犯罪で使われたダークWEBのサイトを封鎖

37万3000以上のオニオンサイトを閉鎖したとのこと。

www.europol.europa.eu

調査報告書・blog

Mandiantが"M-Trend 2026"を公開

検知中央値が14日。検知方法は、内部での検知が52％（あれ、そんなもん？）、外部からの連絡による検知は34％、攻撃者の自己申告（身代金要求を含む）による検知が14％

Googleが"2025 Zero-Days in Review"を公開

https://www.rapid7.com/about/press-releases/rapid7-2026-global-threat-landscape-report-shows-exploited-high-and-critical-severity-vulnerabilities-surged-105-as-attack-timelines-collapsed/

RecordedFutureが"2025 Indentity Threat Landscape Report"を公開

www.recordedfuture.com

Rapid7が"2026 Global Threat Landscape Report"を公開

地経学研究所が宇宙におけるサイバー攻撃に関する記事を公開

宇宙システムにおけるセキュリティ対策の話など。壮大だけど、宇宙産業での日本は期待されている（乗り遅れちゃいけないのも含め）ので、セキュリティの話も見ていかないとなあ。

instituteofgeoeconomics.org

その他

IPAの情報処理技術者試験が再編

複数試験が1つに統合されたり、新しい試験が爆誕したり。ネスペもなくなり、生まれ変わりました。

Claude Codeのセキュリティ設定に関わるCheat Sheet

これは需要しかないやつ！

rsrch.jp

SCSKとネットワンシステムが合併

www.netone.co.jp

3月はイラン情勢で中東全域が緊迫しておりました。地政学リスク分析をせよ、とはこう言ったケースを指すのだと思いますが。。

また、年度末なのもあって官公庁からのリリースも多かったですね（正直追い切れていない）。

プライベートでは、仕事が落ち着いたのでPMPの勉強をしようかなと思っています（因みに、7月から試験改訂らしい）。今回、仕事でトラブって（爆弾渡されて無事爆発..）色々と学びがあったので、きちんとプロジェクトマネジメントについて体型的に理解を深めたいなと思います。今更ですが、PMって考えること多過ぎて本当に難しいなと痛感。。

ではでは、これから4月と言うことで新体制や新プロジェクトなど、新しい環境になる人も多いと思いますが、心機一転、頑張っていきましょー！

ではでは〜∩^ω^∩

先月のニュースまとめはこちら