セキュリティ・AI・テクノロジー 週次ニュースまとめ（2026年6月22日）
はじめに 2026年6月22日週のセキュリティ・AI・テクノロジーニュースをお届けします。今週はAIシステムそのものが攻撃の標的・踏み台になる事例が相次ぎ、「AIを使う」リスクが一段と具体的な形を取り始めた週でした。また、パッチが物理的に不可能なハードウェア脆弱性の公開など、従来 …
はじめに
2026年6月22日週のセキュリティ・AI・テクノロジーニュースをお届けします。今週はAIシステムそのものが攻撃の標的・踏み台になる事例が相次ぎ、「AIを使う」リスクが一段と具体的な形を取り始めた週でした。また、パッチが物理的に不可能なハードウェア脆弱性の公開など、従来の「アップデートで対処する」という前提が通用しないインシデントも発生しています。
今週の注目ポイント：
- 🔴 npmサプライチェーン汚染：北朝鮮系ハッカー集団 Sapphire Sleet が Mastra AI 関連の npm パッケージ 140 件以上にバックドアを埋め込み、AI 開発者のサプライチェーンを直撃
- 🔴 パッチ不可のBootROM脆弱性：Apple A12/A13 チップの SecureROM に脆弱性「usbliter8」が公開され、BootROM レベルでの任意コード実行が可能と判明。該当デバイスはファームウェア更新では対処不可
- 🟠 AIエージェント悪用手法「AutoJack」：Microsoft 研究者が、AI ブラウジングエージェントをリモートコード実行の踏み台にできる攻撃手法を実証。エージェント自律化の裏側にある攻撃面を浮き彫りに
今週の注目ニュース3選
北朝鮮ハッカー集団がAIフレームワークのnpmパッケージ140件以上を汚染（原題: Microsoft links Mastra AI supply chain attack to North Korean hackers）
概要 Microsoftは、AIエージェント開発フレームワーク「Mastra」のサプライチェーン攻撃を、北朝鮮系ハッカー集団「Sapphire Sleet（別名：BlueNoroff）」によるものと特定しました。この攻撃では140件を超えるnpmパッケージが侵害され、悪意あるコードが混入されました。Mastraは企業向けAIエージェントの構築に広く使われているOSSフレームワークであり、依存関係を通じて多数の開発環境・本番環境への侵入口になりえます。
注目ポイント Sapphire Sleetはこれまで主に仮想通貨窃取や金融機関への侵入で知られていましたが、今回はAI開発ツールのエコシステムをターゲットに選んでいます。npmパッケージへの汚染という手口自体は新しくありませんが、「AI開発者が使うフレームワーク」を狙った点が従来と異なります。AI関連ツールは現在、習慣的なセキュリティレビューが追いついていない組織で急速に導入が進んでおり、攻撃者はその「審査の甘さ」を意図的に突いています。140件以上という侵害パッケージ数は、単一の攻撃キャンペーンとして規模が大きく、広範な開発者への波及が考えられます。
押さえておきたい理由
自社の開発環境でMastraを含むAI関連のnpmパッケージを利用している場合、npm auditによる依存関係チェックと、lockファイル（package-lock.json）のバージョン固定状況の確認を早急に実施してください。また、Sapphire Sleetは侵害後に認証情報の窃取や持続的バックドアの設置を行うことが知られており、パッケージのインストール履歴だけでなく、CIパイプラインや開発者端末上の不審なプロセス・通信ログの確認も必要です。AI開発ツールをセキュリティレビューの対象外として扱っている組織は、今回の事例をきっかけにOSS採用ポリシーを見直す必要があります。
AIブラウジングエージェントを踏み台にしてホストPCでコード実行——Microsoftが「AutoJack」攻撃手法を詳説（原題: AutoJack Attack Lets One Web Page Hijack AI Agent for Host Code Execution）
概要 Microsoftの研究者たちは、AIブラウジングエージェントをリモートコード実行の踏み台として悪用するエクスプロイトチェーン「AutoJack」を発表しました。攻撃者が用意したWebページにエージェントを誘導すると、そのページ上のJavaScriptが同一マシン上の特権ローカルサービスに到達し、ホストOS上でプロセスを起動します。この一連の攻撃は、認証情報の入力もサインイン画面の操作も不要で、エージェントが当該ページを読み込んだ以降はユーザーの追加操作を一切必要としません。
注目ポイント 従来のWebベース攻撃は「ブラウザのサンドボックス」によってOS本体との隔離が保たれていましたが、AutoJackはその前提を崩します。AIエージェントはタスクを自律実行するために、通常のブラウザよりも広いシステムリソースへのアクセス権を持つことが多く、ローカルサービスとの連携もその一例です。攻撃者はこの「エージェントが持つ特権と外部Webコンテンツの接触点」を突くことで、ユーザーが気づかないうちにOS側のプロセス実行を達成しています。単一の悪意あるWebページだけで完結するエクスプロイトチェーンが成立するという点は、AIエージェントの設計上のリスク面として新たな基準を示すものです。
押さえておきたい理由 AIブラウジングエージェントを業務に導入しているチームや、Copilot・AutoGPT系ツールの検証・展開を進めているエンジニアは、エージェントがアクセスできるローカルサービスの権限スコープを今すぐ見直す必要があります。特に「エージェントが外部URLを自律的に開く」構成になっている場合、その経路が本攻撃のトリガーになります。セキュリティ担当者は、AIエージェントのプロセスを最小権限原則（PoLP）に基づいてサンドボックス化する設計が有効な対策となります。加えて、エージェントが訪問するURLのホワイトリスト管理や、ローカルサービスへのアクセスをエージェントプロセスから分離するアーキテクチャの採用も検討に値します。
AppleのA12/A13チップに永久修正不能な脆弱性、SecureROMへの任意コード実行が実証される（原題: Unpatchable ‘usbliter8’ Exploit Breaks Apple A12 and A13 SecureROM Boot Chain）
概要 セキュリティ研究チームParadigm Shiftが、AppleのA12・A13チップのSecureROMに対して任意コードを実行できる実証済みエクスプロイト「usbliter8」を公開しました。SecureROMはチップ製造時にシリコンへ直接焼き込まれるファームウェアであるため、ソフトウェアアップデートによる修正は原理的に不可能です。該当チップを搭載したデバイスは、使用を続ける限りこの脆弱性を抱え続けることになります。
注目ポイント SecureROMはiPhoneのブートチェーン全体の信頼の起点（Root of Trust）です。ここへの侵害が成立すると、OSより下のレイヤーで任意コードが動作するため、iOS本体のセキュリティ機構（Secure Enclave含む）が前提としている「安全な起動プロセス」そのものが崩れます。過去にも「checkm8」（A5〜A11対象）という同種の修正不能脆弱性が存在しましたが、usbliter8はその対象世代をA12・A13へ拡張するものです。iPhone XS/XR（A12）、iPhone 11シリーズ（A13）が該当し、現在も現役で使用されている端末が多数存在します。なお、元記事の抜粋には「リモート攻撃ではない」と明記されており、物理アクセスまたはUSB接続が攻撃の前提条件となっています。
押さえておきたい理由 企業のMDM管理下にあるiPhone XS〜11世代の端末は、物理的なアクセス機会がある環境（修理委託・紛失・内部不正など）においてjailbreakや改ざんされたブートチェーンのリスクにさらされます。Appleはソフトウェアパッチを配布できないため、組織としての対策は「該当世代の端末を計画的にA14以降の機種へ更新する」か「物理アクセスを管理・制限するポリシーを強化する」の2方向になります。セキュリティ担当者は保有デバイスのチップ世代を棚卸しし、リスク受容の判断を明示的に行う必要があります。
カテゴリ別まとめ
セキュリティ
世界中のD-Linkルーター4,000台以上が「AryStinger」ボットネットに乗っ取られ、悪意あるトラフィックの中継地点として悪用（原題: AryStinger botnet infected thousands of D-Link routers worldwide）
概要 これまで報告例のなかったマルウェアボットネット「AryStinger」が、世界中の旧型D-Linkルーター4,000台以上に感染し、攻撃者はそれらを悪意あるトラフィックを通過させるプロキシとして悪用していることが明らかになりました。
実務的な示唆 このケースが示すのは、EOL（サポート終了）済みのルーターがそのまま稼働し続けることで、感染端末のユーザー自身が「踏み台」として犯罪インフラの一部に組み込まれるという現実です。プロキシとして利用されると、外部からの不正アクセスやフィッシング攻撃の送信元がそのルーターのIPアドレスとして記録されるため、被害の追跡が困難になります。法人・家庭問わずD-Linkの旧型モデルを使用している場合は、メーカーのサポート状況を確認した上でファームウェアの最新化または機器の交換を優先してください。ネットワーク担当者は、アウトバウンドトラフィックの異常な増加や意図しない外部接続先への通信が発生していないかを定期的にログで確認する運用体制を設けることが、感染の早期発見につながります。
最近更新したファイルを優先的に暗号化する新型ランサムウェア「Prinz Eugen」が登場（原題: New Prinz Eugen ransomware prioritizes recent files for encryption）
概要 「Prinz Eugen」と名付けられた新しいランサムウェアが確認され、このマルウェアは直近で更新されたファイルを優先的に暗号化するという従来とは異なる戦略を採用しています。また、感染後にシステム上へ身代金要求メモ（ランサムノート）を残さないという特徴も持っています。
実務的な示唆 最近更新されたファイルを優先的に暗号化する戦略は、業務上最も価値が高く損失インパクトの大きいファイル、すなわち進行中のプロジェクトファイルや直近の顧客データを短時間で人質にできるという点で、攻撃の実効性を高めます。身代金メモを残さない設計は、感染した組織が「これがランサムウェア攻撃である」と即座に判断しにくくさせ、インシデント対応の初動を遅らせるリスクがあります。
現場での対策として、まずバックアップ戦略の見直しが必要です。最終更新日時が新しいファイルが集中するフォルダ（デスクトップ、ドキュメント、共有ドライブの作業ディレクトリ等）を対象に、バックアップ頻度を高めることで被害範囲を最小化できます。また、ランサムノートの有無だけでランサムウェア感染を判断する運用フローがある場合は、「ファイルの拡張子変更」「ファイルアクセスの急増」などのIoC（侵害の痕跡）を組み合わせた検知ルールに見直す必要があります。EDRやSIEMのアラート条件を確認し、ランサムノート生成以外のシグナルで検知できる体制を整えることが求められます。
EDRを組織的に無力化するランサムウェアサービス「The Gentlemen」が400以上のセキュリティプロセスを標的に（原題: The Gentlemen RaaS Uses GentleKiller EDR Framework Targeting 400 Security Processes）
概要 ランサムウェア・アズ・ア・サービス（RaaS）グループ「The Gentlemen」が、「GentleKiller」と呼ばれるEDR無効化フレームワークを中核に据えたツール群を開発・維持管理し、アフィリエイト（加盟攻撃者）に配布しています。このツール群はランサムウェアの暗号化処理を実行する前段階として、エンドポイントの防御機構を組織的に破壊することを目的としており、400以上のセキュリティ関連プロセスを停止対象として把握しています。
実務的な示唆 今回の事例が示すのは、EDRの「導入済み」という状態がそのまま防御の担保にはならないという現実です。GentleKillerのようなEDRキラーフレームワークが整備され、アフィリエイトに標準ツールとして配布される段階に至ると、高度な攻撃スキルを持たない攻撃者でもEDRを確実に無力化したうえでランサムウェアを展開できるようになります。
現場での対策として、まず確認すべきはEDRエージェント自身の保護設定です。多くのEDR製品は「タンパープロテクション（改ざん防止機能）」を備えていますが、デフォルトで無効になっているケースがあります。この機能が有効かどうかを即座に確認してください。次に、EDRプロセスの停止・アンインストールを試みる操作を検知・アラートする監視ルールを追加することで、攻撃の初期段階を捉えられる可能性が高まります。さらに、サードパーティ製ツールも組み合わせて使用されるとの情報があることから、正規の管理ツール（例：Process Hacker、BYOVD手法に悪用されやすい脆弱なドライバ）の使用状況についても定期的に棚卸しを行うことが有効です。
AI
アジア太平洋地域でAIを悪用したサイバー犯罪が急増、INTERPOLが実態報告（原題: INTERPOL Warns Phishing, Ransomware, and AI Scams Are Rising Across Asia-Pacific）
概要 INTERPOLは「2025/2026 アジア・南太平洋サイバー脅威評価レポート」を公開し、同地域におけるサイバー犯罪が「劇的に増加」していると警告しました。急速なデジタル化やインターネット普及率の上昇、AIを含む新技術の悪用、組織的犯罪ネットワークの拡大、そして国・地域間のサイバーセキュリティ成熟度の格差が、この急増を後押しする主な要因としてINTERPOLは特定しています。フィッシングはその中でも最も広範に確認された脅威として報告されています。
活用・注目ポイント このレポートが示す最大の論点は、AIツールがサイバー攻撃の「参入障壁を下げる」手段として組織的犯罪に取り込まれている点です。従来、高度な攻撃を実行するには技術的な専門知識が必要でしたが、生成AIを活用することで、ターゲットに合わせた精度の高いフィッシングメールの大量生成や、ディープフェイクを用いた詐欺（なりすまし音声・動画など）が低コストで実行可能になっています。
アジア太平洋地域はサイバーセキュリティ対策の成熟度に国家間で大きなばらつきがあるため、対策が手薄な国や組織が「踏み台」として悪用されるリスクも高まります。日本企業にとっては、海外拠点や取引先を経由した侵入経路への対策が直接的な課題となります。
セキュリティ担当者がこのレポートから実務に活かすべき視点は、「AIが生成したコンテンツをどう検知するか」という技術的対策に加え、フィッシング訓練の内容をAI生成文体に対応した形に更新することと、インシデント対応フローにディープフェイク詐欺のシナリオを組み込むことの2点です。
テクノロジー / 開発
WordPressプラグイン「Gravity SMTP」の脆弱性が悪用され、APIキーなど機密情報が漏洩（原題: Hackers Exploit Gravity SMTP WordPress Plugin Bug to Expose API Keys）
概要 約10万サイトに導入されているWordPressプラグイン「Gravity SMTP」に、認証不要で機密情報を取得できる脆弱性（CVE-2026-4020、CVSSスコア5.3）が発見され、脅威アクターによる悪用が既に確認されています。攻撃者はこの脆弱性を通じて、SMTPの設定データ、APIキー、シークレット、OAuthトークンといった認証情報を外部から抜き出すことができます。
開発者・技術者への示唆 CVSSスコア5.3は「中程度」の評価ですが、認証なしで外部から直接APIキーやOAuthトークンを取得できるという性質上、実際の被害規模はスコアが示す印象より大きくなります。これらの認証情報が漏洩した場合、メールサービスや外部APIへの不正アクセス、さらにはサプライチェーン上の他サービスへの横展開につながるためです。
このケースは、プラグインの設定値（特に外部サービスとの連携に使う認証情報）をWordPressのデータベースやレスポンスに平文で保持する設計リスクを改めて示しています。Gravity SMTPを導入しているサイトは直ちにパッチ適用と既存トークン・APIキーのローテーションを実施する必要があります。加えて、自社開発のプラグインや内製CMSにおいても、設定エンドポイントへのアクセス制御（認証・認可の有無）と機密値の保存方式を見直す契機として捉えてください。
市場情報プラットフォームKlueがOAuthトークン窃取被害を公式確認、新興恐喝グループ「Icarus」が犯行声明（原題: Klue OAuth breach victim list grows as Icarus hackers claim attack）
概要 市場情報プラットフォームのKlueは、攻撃者が顧客のSalesforce環境への接続に使用されるOAuthトークンを窃取したセキュリティインシデントを公式に認めました。新興恐喝グループ「Icarus」がこの攻撃の実行を主張しており、被害を受けた顧客の数は現在も増加中です。
開発者・技術者への示唆 今回の侵害が示すのは、「OAuthトークンそのものがクレデンシャルである」という事実が、実運用上まだ十分に扱われていないという現実です。パスワードの漏洩対策は多くの組織で整備されていますが、OAuthトークンの発行・失効・スコープ管理は見落とされがちです。特にSalesforceのような外部SaaSとの連携においては、接続トークンの有効期限を短く設定し、最小権限スコープを徹底することで、トークンが窃取された場合の被害範囲を限定できます。
また、連携先SaaSへのアクセスログを自社側でも収集・監視しているかどうかを見直す必要があります。Klueのような中間プラットフォームを経由する構成では、エンドユーザー企業がSalesforce側の異常アクセスを自力で検知できるかどうかが、インシデントの早期封じ込めを左右します。サードパーティ連携を含むOAuth接続の棚卸しと、トークン失効フローの自動化を整備しておくことが、同様の被害を防ぐ具体的な手立てになります。
今週の総括
今週を一言で表すなら、「AIが攻撃インフラの一部として組み込まれ始めた週」です。Sapphire Sleet による Mastra AI へのサプライチェーン攻撃は、標的が「AI フレームワークの開発者コミュニティ」という点で従来の npm 汚染より射程が広く、バックドア入りパッケージをインストールした開発者の本番環境やモデル学習パイプラインまで侵害が波及するリスクがあります。さらに AutoJack が示したのは、AIエージェントに「自律的にブラウザを操作する」権限を与えた時点で、その判断経路を乗っ取られればコード実行まで一本道になりうるという構造的な問題です。エージェントの便利さと攻撃面の拡大は今や表裏一体です。
一方、Apple の usbliter8 は別軸の深刻さを持っています。SecureROM への書き込みは製造時に行われるため、影響を受けた A12/A13 搭載デバイスはソフトウェアアップデートで修正する手段がありません。企業のMDM管理下にある旧型 iPad・iPhone が大量に残っているケースでは、デバイスを物理的に回収・廃棄するか、BootROM 侵害を前提とした運用設計に切り替えるかの二択を迫られます。「最新 OS
コメント