セキュリティレポート 2026/6/24
長年使い続けているお気に入りのパスワードが、実は攻撃者にとって全ての扉を開く「親切すぎる合鍵」になってはいないでしょうか。
今週は国内1,420万件規模のシステム侵害や世界的な認証情報窃取キャンペーンなど、まさにその「鍵」の安全性を根底から揺るがす深刻なインシデントが相次いでいます。
大切なアカウントや機密データを不正アクセスから防衛するために、今週のレポートをぜひご一読ください。
■ 今週のエグゼクティブサマリー
2026年6月第4週は、国内のプロバイダー利用者最大1422万件に影響するメールシステムの侵害や、世界的な規模で進行しているFortinet製品を標的とした認証情報の窃取キャンペーン（FortiBleed）など、認証情報の安全性を根底から揺るがす脅威が複数報告されており、特に注意が必要です。
これらは、一度漏洩したIDやパスワードが他のサービスへの不正ログインに悪用される「二次被害」の点で非常に危険性が高いです。
また、ロシアの初期アクセスブローカーなど特定の攻撃グループの活動も活発化しており、国内では大手ISPへの不正アクセスによる大規模な情報漏洩インシデントも報告されました。
【最重要】直ちに確認すべき脆弱性と対策
今週は、特に以下の脆弱性と攻撃キャンペーンにご注意ください。これらはCVSSスコアが極めて高い、あるいは既に積極的に悪用が確認されています。お使いのシステムや製品が該当しないか確認し、速やかなアップデートまたは認証情報の変更を強く推奨します。
■ Ivanti Standalone Sentryの認証回避の脆弱性
- CVE-2026-020721 (CVSSv3.1: 9.8): 本製品において、代替パスやチャネルを使用することで認証を回避される恐れがあり、攻撃者にシステムを完全に制御される危険性があります。既に野外で悪用が確認されており、実証コード（PoC）も公開されています。
- 影響: Ivanti Standalone Sentry バージョン 9.9 および 10.0
- 対策: メーカーが提供する修正済みソフトウェアへのアップデートを直ちに実施してください。
■ Fortinet製品を標的とした「FortiBleed」キャンペーン
- 認証情報の大量保有 (深刻な脅威): 攻撃者がFortinet製のファイアウォールやVPN機器の認証情報をデータベース化し、これまでに1億1000万件以上の認証情報がキャプチャされたと報告されています。既に世界中の組織に対して、これらの盗まれた情報を用いた不正ログインが積極的に試みられています。
- 影響: Fortinet製の各種ゲートウェイ、VPN機器、およびそれらを利用するネットワーク環境
- 対策: 機器の管理者パスワードだけでなく、VPNを利用する全ユーザーのパスワードを速やかにリセットし、多要素認証（MFA）を強制的に導入してください。
【その他の脅威の動向】
■ KDDI提供のメールシステムへの不正アクセスと大規模漏洩の恐れ
KDDIがインターネットサービスプロバイダー（ISP）向けに提供しているメールシステムが不正アクセスを受け、BIGLOBE、J:COM、ニフティなど提携6社の利用者最大1422万件のメールアドレスやパスワードが流出した可能性があることが判明しました。原因はシステムへの不正侵入によるもので、攻撃者が利用者のアカウントを乗っ取るリスクがあります。対象となるISPの利用者は、速やかにメールアカウントのパスワードを変更し、他のサービスで同じパスワードを使い回していないか確認することが不可欠です。
■ ウェブサーバ「nginx」における複数のクリティカルな脆弱性
広く利用されているウェブサーバソフトウェア「nginx」において、リモートからコードを実行されたり、サービスを停止させられたりする恐れのある複数の深刻な脆弱性が修正されました。この脆弱性はオープンソース版と商用版の両方に影響を与え、ウェブサイトの基盤となるインフラに甚大な被害を及ぼす可能性があります。管理者は速やかに最新バージョンへのアップデートを適用する必要があります。
■ 生成AIプラットフォーム「Dify」におけるデータ露出の脆弱性
100万以上のアプリで利用されている生成AI開発プラットフォーム「Dify」に、他の利用者のチャット内容や機密文書、内部APIを閲覧できてしまう4つの脆弱性（DifyTap）が発見されました。このうち2つは極めて深刻で、認証なしでデータが窃取される恐れがありました。AIのビジネス活用が広がる中で、基盤となるツールの設定不備が組織の機密情報漏洩に直結するリスクを浮き彫りにしています。
最後に
今週は特に、「正規の認証情報を悪用した侵入」と「インフラ基盤への攻撃」が目立ちました。
技術的な脆弱性を突く攻撃だけでなく、盗まれたパスワードを使い回す攻撃（パスワードスプレー攻撃など）が猛威を振るっています。
貴社のシステムや従業員の個人アカウントがこれらの脅威に晒されていないか、特にパスワード管理の徹底と多要素認証の導入状況を今一度ご確認いただき、適切なセキュリティ対策を講じていただくようお願いいたします。
