ニュースの見出しになるのは、たいてい最後の「影響」（データが暗号化された、情報が漏れた）です。しかし、次の被害を防ぐうえでいちばん大事なのは、「初期アクセス＝どこから入られたか」です。入口が分かれば、同じ入口をふさげるからです。

FortiBleed：FBI が警告した「締め出し」攻撃

米国の FBI とシークレットサービスは2026年10月6日、共同で注意喚起（JCSA-20261006-01）を出しました。対象は、Fortinet 社の VPN 機器「FortiGate」などを狙う攻撃キャンペーン「FortiBleed」です。VPN とは、社外から社内ネットワークへ安全につなぐための「専用の通り道」を作る仕組みのことです。FortiGate は日本でも多くの企業が使っています。

注意喚起は、攻撃者が誤って公開状態にしていた自分たちのサーバーから見つかった道具やデータをもとに、手口を次のように説明しています（ATT&CK の番号も注意喚起に書かれたものです）。

楽天ドライブ：管理者の鍵で7か月半

クラウドストレージ「楽天ドライブ」では、15,382アカウントの保存データ（写真や文書など）が閲覧・取得されていました。期間は2026年1月29日から9月17日まで、約7か月半です。報道によると、原因はシステム管理者アカウントの認証情報が不正に取得されたことでした。ほかに、313アカウントの暗号化されたパスワード（ソルト付き）も取得されています。

管理者として正規にログインしていたため、長いあいだ「いつもの管理作業」に紛れてしまったと考えられます。手口を当てはめると、T1078（正規アカウント）で入り、T1530（クラウドストレージのデータ取得）をした形です。なお、X で話題になった「楽天会員1億件の販売」の主張とは別の件で、販売の主張の真偽は確認されていません。

東洋紡せんいでは、9月24日に従業員のメールアカウントが不正アクセスを受け、PDF を添付した不審なメールが約1,500件、グループ内外に送られました。添付を開くと外部のサイトに誘導され、メールアドレスや ID、パスワードの入力を求められる仕組みです。このメールを受け取ったグループ会社・東洋紡エムシーの従業員2人が、実際に入力してしまい、アカウントを乗っ取られました。東洋紡は当日中にパスワード変更と認証セッションの失効を行っており、9月30日時点で、2人のアカウントからの不審メール送信は確認されていません。

日本経済新聞社でも、従業員の Microsoft 365 アカウントに第三者が不正にログインしたとみられ、9月30日に約9,000件のなりすましメールが社内や取材先に送られました。メールには悪質なサイトへ誘導する内容が含まれていました。入られた方法は公表されていません。

海外の例：ASOS は「お知らせ機能」を乗っ取られた

英国の通販大手 ASOS では、利用者のスマートフォンに、正規の ASOS アプリから「ASOS HACKED」というプッシュ通知が届きました。ASOS は、顧客との連絡に使っている外部のプラットフォームへの不正アクセスを認めています。通知には、ASOS の担当者に連絡するよう求め、応じなければ情報を公開すると脅す文面がありました。攻撃者は「Xuanye group」と名乗り、Snowflake（クラウドのデータ基盤）を完全に侵害したと主張しています。ただし、この主張は ASOS が確認しておらず、真偽は分かっていません。

顧客に直接届く「拡声器」を握ることで、会社への脅しを世間に見せつけた形です。ATT&CK にぴったり当てはまる技術はありませんが、近いのは T1491.002（外部向けの改ざん）と T1657（恐喝を含む金銭目的の行為）です。

Atlassian：攻撃コード公開から「試行」まであっという間

業務でよく使われる Jira や Confluence などを作る Atlassian は、10月5日に CVE-2026-21589 を公表しました。その後、セキュリティ企業がPoC（攻撃が可能なことを示す実証コード）を公開すると、おとりのサーバー（ハニーポット）に攻撃の試みが届き始めました。ある観測では、7日間で167件、送信元の IP アドレスは28個でした。ATT&CK では、まず T1595.002（脆弱性スキャン）で弱いサーバーを探し、T1190 で突く流れです。

この脆弱性で読めるのは「特定のファイル」に限られます。それでも、設定ファイルにデータベースのパスワードなどが書かれていれば、それが次の侵入の鍵になりえます（推測）。そうなると、手口①の「正規アカウント」型の攻撃につながります。

FortiMail と NetScaler：玄関の製品が続けて狙われた

メールを守る機器 FortiMail の脆弱性は、ログインなしで任意のファイルを書き込めるものでした。書き込まれたファイルがWeb シェル（外から遠隔操作するための裏口プログラム）として使われたと報じられています（T1505.003。報道ベース）。NetScaler の CVE-2026-88779 は機器を停止させるもので（T1499.004）、9月末に出た別の修正版では直らない点に注意が必要です。

PoeLLM：GitHub の「詩」に住所を隠す

Lumen 社の研究チーム Black Lotus Labs の報告によると、PoeLLM は、外部に公開されたり設定が甘かったりするツールを狙い、3,400台以上のサーバーに感染しました。AI 関連の LiteLLM や Ollama のほか、PDF 変換の Gotenberg、Git サーバーの Gitea も感染先に挙がっています。LiteLLM では、2つの脆弱性（CVE-2026-42271 と CVE-2026-48710）を組み合わせると、ログインなしで遠隔からプログラムを実行できたと報告されています。

感染したサーバーでは、XMRig などのソフトで暗号資産を勝手に採掘します（T1496）。狙いは AI 用の高性能な GPU だとみられています（BleepingComputer の報道による）。本体のファイルには「libgcrypt」という、実在する正規のライブラリと同じ名前が付けられていました（T1036.005 の偽装に当たると考えられます）。さらに、感染したサーバーから別のサーバーのポート3000番・4000番を探し、同じ脆弱性で感染を広げます（T1046 → T1210）。

ClingSTUN：IoT 機器を「中継地点」として貸し出す

FortiGuard Labs が報告した ClingSTUN は、ルーターやネットワークカメラなどの IoT 機器を狙う Linux 向けの裏口プログラムです。D-Link、TP-Link、Realtek など、約24件の脆弱性を使って侵入します。侵入後は、隠しファイルに自分をコピーし、起動時に動く設定ファイルに書き込んで居座ります（T1564.001 T1037.004）。

特徴的なのは通信の方法です。ビデオ通話などで使われる公開の STUN サーバー（家庭のルーター越しに通信相手を見つける仕組み）を使って、外から接続できるようにします。こうして感染機器を、攻撃者が他人の通信を中継させる「プロキシ」に変えます（T1090）。犯罪者の通信の出どころを一般の機器に見せかけるために使われる、と考えられます。

大きな事件ほど、発生直後に侵入口が公表されることはまれです。調査に時間がかかるうえ、手口を公表すると同じ穴を狙われるおそれもあるからです。分からない部分を推測で埋めず、「分かっていること」と「分かっていないこと」を分けて読むのが正しい付き合い方です。

IDCF：「同じ場所のバックアップ」は一緒にやられる

IDCF の件で注目すべきは、手口そのものより被害の形です。事業者は「復元は利用者自身のバックアップからしかできない」と説明しています。同じクラウドの中だけにバックアップを置いていた利用者は、元に戻す手段を失った可能性があります。一方、Movable Type クラウド版を運営するシックス・アパートは、別の IaaS 基盤にバックアップを置いていたため、別の環境への移行を進められました。

警察庁の統計でも、ランサムウェア被害を受けた組織のうち99件中79件がバックアップから復元できず、最も多い理由は「バックアップも暗号化された」でした。ATT&CK では、復旧の手段を壊す行為を T1490（システム復旧の妨害）と呼びます。IDCF で攻撃者が意図的にこれを行ったかは公表されていませんが、結果として同じ状況が起きています。

HIS：手口より「持ちすぎ」が被害を広げた

HIS の件では、タイの現地法人のファイルサーバーに、2017年にタイへ出発した客の旅券情報まで残っていました。HIS は、無関係なデータが大量に混ざっていて確認に時間がかかったと説明しています。どんな手口で入られたかにかかわらず、不要になったデータを消しておくことが、被害を小さくし、調査を早くする一番の方法です。

表を見ると、1つの対策ですべての手口は防げないことが分かります。パッチは「玄関の欠陥」には強い一方、「盗んだ鍵」にはほとんど効きません。逆に多要素認証は「盗んだ鍵」に強く、「玄関の欠陥」には効きません。今週の被害の多くは「盗んだ鍵」型だったので、パッチと多要素認証の両方がそろって初めて守りが固まります。

今週のいちばんのメッセージは、「パッチを当てていても、鍵を盗まれていれば入られる」ということです。FortiBleed も楽天ドライブも日経のメールも、ソフトの欠陥ではなく本物のログイン情報で入られました。一方で、明るい材料もあります。東洋紡は乗っ取りに当日中に対処し、9月30日時点で被害の広がりは確認されていません。別の基盤にバックアップを置いていたサービスは、クラウドが止まっても移行を進められました。正しい備えは、きちんと効いています。

ニュースを見るときは、「何をされたか」だけでなく「どこから入られたか」に目を向けてみてください。それが分かれば、自分が守るべき場所も見えてきます。