ホーム 2026/01/20
🏆 Today's Insight
🔐 Security
Google Geminiのプロンプトインジェクション脆弱性、悪意のある招待状経由で個人のカレンダーデータを漏洩
Google Geminiに間接的なプロンプトインジェクションを利用したセキュリティ脆弱性が発見されました。これにより、認可ガードレールを回避し、Googleカレンダーをデータ抽出メカニズムとして悪用することが可能でした。悪意のある招待状に潜むコマンドを通じて、ユーザーのプライベートなカレンダー情報が抜き取られる恐れがあったと報告されています。
AIアシスタントと既存アプリケーションの連携は、新たな攻撃ベクトルを生み出します。特に、自然言語を介したプロンプトインジェクションは、従来の入力検証では防ぎきれない可能性があり、サービス間の権限分離と厳格なAPI設計の重要性を改めて示しています。
何があった？ 誰に関係ある？ どこが重要？ 今後の注目点 ✍ Aya Aegis
参考：
Google Gemini Prompt Injection Flaw Exposed Private Calendar Data via Malicious Invites
🔐 Security
新種のWindowsマルウェア「PDFSider」、Fortune 100選出企業のネットワークで展開
Fortune 100に選出されている金融セクターの企業を標的としたランサムウェア攻撃で、新種のマルウェア「PDFSider」が使用されたことが明らかになりました。このマルウェアはWindowsシステム上で悪意のあるペイロードを配信する役割を担っていたと報告されています。
大企業を標的とした攻撃では、侵入後の横展開（ラテラルムーブメント）に特化した未知のマルウェアが使用されるケースが増えています。PDFSiderのようなペイロード配信ツールは、検知を回避しつつ、攻撃の最終段階であるランサムウェアの展開を確実に実行するために開発されたものと考えられます。
何があった？ 影響を受ける範囲 ポイント 今すぐやるべき対策 ✍ Aya Aegis
参考：
New PDFSider Windows malware deployed on Fortune 100 firm's network
🔐 Security
ChatGPT Health、セキュリティと安全性に大きな懸念
OpenAIが発表した「ChatGPT Health」は、堅牢なデータ保護を約束していますが、その展開方法にはユーザーのセキュリティと安全性に関する大きな疑問点が指摘されています。特に機微な医療情報を扱うため、データプライバシーや誤情報のリスクについて懸念の声が上がっています。
AIを医療のような規制が厳しく、人命に関わる分野に適用する際は、技術的な精度だけでなく、データガバナンス、プライバシー保護、倫理的な配慮が極めて重要になります。技術先行でサービスが展開されることへの警鐘であり、業界全体の標準策定が急がれます。
何があった？ 誰に関係ある？ どこが重要？ 今後の注目点 ✍ Aya Aegis
参考：
ChatGPT Health Raises Big Security, Safety Concerns
🔐 Security
Ingram Micro、ランサムウェア攻撃で42,000人に影響と発表
大手ITディストリビューターのIngram Microは、ランサムウェア攻撃により、42,000人以上の個人情報が漏洩したことを明らかにしました。同社は影響を受けた個人に対し通知を開始しており、事件の詳細な調査が続けられています。
サプライチェーンの重要な位置を占める大手ディストリビューターへの攻撃は、その取引先である多数の企業にも影響を及ぼす可能性があります。自社のセキュリティ対策だけでなく、サプライヤーやパートナー企業のインシデントが自社に与える影響も考慮したリスク管理が不可欠です。
何があった？ 影響を受ける範囲 ポイント 背景と文脈 ✍ Aya Aegis
参考：
Ingram Micro says ransomware attack affected 42,000 people
🔐 Security
英国政府、ロシア系ハクティビスト集団による継続的な攻撃に警告
英国政府は、国内の重要インフラや地方政府機関を標的とした、ロシアと連携するハクティビスト集団による悪意ある活動が継続しているとして警告を発しました。
国家が関与するハクティビズムは、単なる愉快犯的な攻撃とは異なり、地政学的な緊張を背景に持続的かつ大規模になる傾向があります。DDoS攻撃は古典的ですが、重要インフラを標的にされると社会的な影響は甚大であり、防御側には常時対応可能な体制が求められます。
何があった？ 誰に関係ある？ ポイント 今後の注目点 ✍ Aya Aegis
参考：
UK govt. warns about ongoing Russian hacktivist group attacks
🔐 Security
ハッカー、盗み出した最高裁判所のデータをインスタグラムで漏洩したことを認める
テネシー州の男が、米最高裁判所の電子ファイリングシステムにハッキングし、AmeriCorpsや退役軍人省のアカウントにも侵入した罪を認めました。盗み出したデータの一部は、インスタグラム上で漏洩させていたとされています。
政府機関、特に司法のような国家の根幹をなす組織が標的となることは、社会的な信頼を揺るがす深刻な事態です。攻撃の動機は様々ですが、システムの脆弱性だけでなく、職員のアカウント管理といった基本的なセキュリティ対策の不備が侵入を許すケースも少なくありません。
何があった？ 影響を受ける範囲 どこが重要？ 背景と文脈 ✍ Aya Aegis
参考：
Hacker admits to leaking stolen Supreme Court data on Instagram
🔐 Security
週刊セキュリティまとめ：Fortinetの脆弱性、RedLine Clipjack、NTLMクラック、Copilotへの攻撃など
最新のサイバーセキュリティ動向をまとめた記事。Fortinet製品の脆弱性悪用、クリップボードの内容を盗むRedLine Clipjack、NTLM認証のクラック手法、AIアシスタントCopilotを悪用した攻撃など、今週注目すべき複数の脅威とインシデントが解説されています。
セキュリティの脅威は多様化・複雑化の一途をたどっており、ネットワーク機器の脆弱性からエンドポイントのマルウェア、認証プロトコルの弱点、そしてAIを悪用した新たな攻撃手法まで、防御側は全方位への対応を迫られています。個別の事象を追うだけでなく、全体像を把握することが重要です。
何があった？ 誰に関係ある？ ポイント 私の視点 ✍ Aya Aegis
参考：
⚡ Weekly Recap: Fortinet Exploits, RedLine Clipjack, NTLM Crack, Copilot Attack & More
🔐 Security
Qt 6.5、2026年4月にサポート終了へ
GUIアプリケーション開発で広く利用されているフレームワーク「Qt」のバージョン6.5が、2026年4月をもって標準サポートを終了します。以降、セキュリティ修正などを受け取るには、有償の延長セキュリティメンテナンス（ESM）契約が必要となります。
オープンソースのライブラリやフレームワークのサポート終了は、開発者にとって重要なライフサイクルイベントです。サポートが終了したバージョンを使い続けることは、未修正の脆弱性を放置することになり、深刻なセキュリティリスクにつながります。計画的なバージョンアップが不可欠です。
何があった？ 誰に関係ある？ ポイント 今すぐやるべき対策 ✍ Aya Aegis
参考：
Qt 6.5 Reaches End-of-Support in April 2026
✒️ 編集後記
攻撃対象領域、いわゆるアタックサーフェスは、もはや物理的なサーバーやネットワークの境界線だけを指すのではない。今日のニュースが示すのは、AIモデルの『振る舞い』そのものが、新たな脆弱性の温床となり得るという厳然たる事実である。プロンプトという『言葉』がシステムを乗っ取る武器となり、カレンダーという日常のツールが情報漏洩のパイプラインと化す。これは、セキュリティの概念が、コードの脆弱性からシステムの『意図せざる利用』へと拡大していることの証左にほかならない。我々は、ロジックとコンテキストの次元で、新たな防御壁を築くことを迫られているのだ。
