おはようございます、かーでぃです。
本記事は、様々なネットニュースサイトからセキュリティ記事を集めて提供している”セキュリティ関連ニュースRSS”から、気になったニュースをピックアップして紹介しています。
情シスさんやサイバーセキュリティを担当されている方、逆に私のようにセキュリティ商材を取り扱う営業の皆様などに活用頂けると幸いです。
WordPressに認証不要でコード実行される緊急の脆弱性 即時更新を呼び掛け
1件は深刻度「Critical」（緊急）と評価された認証不要のリモートコード実行（RCE）の脆弱性（CVE-2026-63030）で、REST APIのバッチ処理エンドポイントを悪用されると、ログインやユーザーの操作なしに攻撃者が任意のコードを実行できる恐れがある。
WordPressを使われている方、早々に「WordPress 7.0.2」に更新しましょう。上記のように、攻撃者が任意のコードを実行できてしまう恐れがあります。
--
ニチレイも事業停止 ランサム復旧「3日」「50日」「73日」の分岐点 医療・港湾・物流のサイバー攻撃に学ぶ
＠IT編集部が個別に報じてきた3つのランサムウェア被害事例（大阪急性期・総合医療センター／名古屋港コンテナターミナル／総合物流企業 関通）の復旧プロセスにフォーカス。3組織の復旧スピードを規定した「分岐点」を整理するとともに、復旧プロセスの在り方をまとめる。
ニチレイとタイトルにありますが、ニチレイの記事ではないです💦
でも、復旧プロセスにフォーカスをあてる記事は少ないと思うので、是非一読されることをオススメします。
ランサムは、いつどこで起きるかわかりません。今も、あなたの知らないところで浸食が始まってるかもしれないのです。
だからこそ、他社がどう対応してきたのか？それがベストな対応だったのか？自分（自社）ならどう対応したのだろうか？
そんなことを考えなら記事を読んでもらうこと自体が、被害にあった時のイメージトレーニングになるかと思います。
中でも、やはりバックアップの有無が復旧速度の大きな違いになることがわかります。バックアップ、ちゃんと取ってるから大丈夫！
と安心する前に、そのバックアップ、正しく復元できるか確認してますか？
--
ニチレイへのサイバー攻撃はなぜ起きた？ 「たまたま選ばれる」被害の構造
日本の企業がサイバー攻撃を受け、サプライチェーンに影響が発生するという事件が起こりました。ニチレイは2026年7月13日付けでシステム障害の発生を公表し、本稿執筆時点では第2報が公開されています。
ニチレイの事件は、私も注視しており、なんどもこちらのセキュリティニュースに取り上げてきています。
こちらの記事は、ニチレイの現状ではなく、なぜサプライチェーン攻撃につながってしまったのか？ということを取り上げられています。
サプライチェーン攻撃といえば、来年春からスタートすると言われている「SCS評価制度」があります。
昨年のアサヒ、アスクル。今年のニチレイ以外にも、多くの企業がサプライチェーン攻撃を受けて被害にあっており、SCS評価制度への注目も高まった居ます。
ただ、セキュリティ対策が、SCS評価制度の★を取ることが目的とならないように意識して欲しいところではあります。
★取得を目標に、自社の状態を棚卸し、不足している箇所を補うロードマップを作成し、ロードマップに沿って対策をしていく。
★を取るためにSCS評価制度を「やる」のではなく、SCS評価制度を使って自社のセキュリティを高める、という意識が大事だと思っています。
「クリックフィックス（ClickFix）のこと、なめていませんか」。今回私が一石を投じて、皆さんとともに考えたいのはこの一言に尽きる。「クリックフィックス」と聞くと、「偽りのCAPTCHA（キャプチャ）画面をクリックさせてマルウェアに感染させるだけの単純な手口」と過小評価している人が多いのではないだろうか。しかし、それでは足りないのである。
なんのことだろ？と思って調べてみたら…下のような「ロボットではありません」画面の偽画面を準備して、「Windowsキー＋Rを押せ」、「Ctrl＋Vを押せ」、「Enterを押せ」とコマンド実行を強要させる手法のことらしいですね（知りませんでした💦）。
現在では「ファイルフィックス」や「ターミナルフィックス」のように「～フィックス」と呼ばれるバリエーションが多数登場している。単に「Windowsキー＋R」のショートカットを禁止するなどの小手先の対策では、エクスプローラーを利用するファイルフィックスを防ぐことはできず、完全な対策にはならない。これでは本質を捉えているとは言えない。
それが、上記のようにいくつかの派生版が出来ているようで、ちゃんと意識してないと引っ掛ってしまうよ、というものでした。
この辺りの「操作をさせる」というソーシャルエンジニアリングは、標的型メールと近しい感じがします。
急がせる、焦らせるなど、人のちょっとした油断や心の隙を突いてくる巧みな言葉。生成AIによる言語のローカライズが、言葉の壁を取り払ってしまったので、日本でもこの手の被害が多く発生していますので、注意しましょう！
--
「取りあえずAI導入」の末路 現場で深まる情報漏えい不安 IPAの意識調査で明らかに
同調査によると、業務におけるAI利用者の70％以上が、「AI経験3年未満」という結果となった。2025年以降にAI利用を開始した回答者が全体の30％を占めた。
職場におけるAI利用の課題については、「職場全体で利用知識・スキルが足りない」と「職場全体で利用知識・スキルの情報がない、または少ない」が最大の課題であるとの結果が得られた。前回調査との比較では、前者の割合は7％減少した一方、後者は10％増加しており、利用スキルは上がったものの情報が不足している状況が示唆されている。特に医療・介護業種の回答者は知識・スキルについて他業種より強い課題認識を示している。
何度か発信してますが、現在のAI活用はセキュリティ対策を一旦おいといて、他社に遅れないように……と、導入を急いで実施している傾向が多いと思われます。
コレ、コロナ禍でリモートワークをするためのリモート接続の導入が一気に広まったところと似ていると思っています。
その結果、どうなったかと言えば……ランサム被害の拡大です。
リモート接続用のVPNが正しく運用されてない、脆弱性が放置されたまま運用されてるなどで被害が拡大しています。
生成AIについても同様の事態になるんじゃないかと危惧してます。
特に日本の中小企業は、日本の屋台骨です。そこが持っている大事な情報が漏洩することで、多大な損失を被ることになりかねないと考えています。
生成AIの活用についても、しっかりとシステム的な面と、運用的な面の両面でセキュリティを確保しながら、利活用して頂きたいところです。
--
セキュリティニュースの選定には、こちらのRSSを利用していますので、よかったらご利用ください。
https://script.google.com/macros/s/AKfycbzjvRpp8WisgfMKBpSH_Om97XMCO9grM-JpGPPZQoh0hzqMtqhHutmNifm1PlupILL_/exec
RSSについては、👇の記事をご参照ください。
[PR]「セキュリティ対策、できてますか？」に答える本/SCS評価制度で始める、取引先に説明できる備え
なかなかセキュリティ投資ができずに、むずむずしてる情シスの皆さん。今年度末からSCS評価制度が始まります。
これをやらされ感で進めるのと、利用してやろう！という気持ちで進めるのとでは、結果がかなり異なると考えています。
無論、利用してやろう！！と考えた方が良い結果につながります。
ということを書いてますので、キニナル方は是非🙌