【ITニュース解説】Monday Cyber Brief — September 8 2025

2025年9月8日の週において、サイバーセキュリティの世界では、システムエンジニアが知っておくべき複数の重要な動向が予測されている。これらは、AI技術の安全な利用、金融機関を狙ったサイバー攻撃の巧妙化、そして我々の生活に身近なIoTデバイスが抱えるリスクなど、多岐にわたる。安全なシステムを構築・運用するためには、こうした最新の脅威と対策についての理解が不可欠である。

まず注目すべきは、米国サイバーセキュリティ・社会基盤安全保障庁（CISA）が発表した、AIのセキュリティに関する新しいガイドラインである。近年、AIは多くの分野で活用が進んでいるが、その裏側には特有のセキュリティリスクが存在する。例えば、AIの学習用データに意図的に不正な情報を混ぜ込み、AIに誤った判断を学習させる「データ汚染」や、AIモデルの判断の仕組みの弱点を突き、人間には認識できないような微細な変更を加えたデータで誤作動を引き起こす「敵対的攻撃」などが挙げられる。今回のガイドラインは、AIシステムを開発する段階から、こうした脅威にどう対処すべきかという具体的な指針を示すものである。システム開発者は、AIを単なる便利なツールとして利用するだけでなく、その内部構造や潜在的な脆弱性を理解し、設計段階からセキュリティを組み込む「セキュアバイデザイン」の考え方を持つことが、これまで以上に強く求められる。

次に、金融セクターを標的としたランサムウェア攻撃の活発化が報告されている。ランサムウェアとは、コンピュータ内のファイルを暗号化して使用不能にし、元に戻すことと引き換えに金銭（身代金）を要求する悪質なプログラムである。今回観測されている「FinLock」と呼ばれる攻撃グループは、特に中規模の金融機関を狙い、巧妙な手口を用いている。彼らはまず、従業員を騙して不正な添付ファイルを開かせたり、偽のウェブサイトへ誘導したりする「フィッシングメール」によって組織のネットワークへの侵入口を確保する。しかし、すぐにはデータを暗号化せず、ネットワーク内部を時間をかけて調査し、より重要なサーバーやデータを特定してから攻撃を開始する。このように、侵入したネットワーク内で他のコンピュータへ感染を広げていく動きは「ラテラルムーブメント」と呼ばれ、これを検知することが被害を防ぐ鍵となる。システムの管理者やエンジニアは、外部からの侵入を防ぐ入口対策だけでなく、万が一侵入された場合に、内部での不審な活動を早期に発見するための監視体制を強化する必要がある。

また、スマートホームデバイスや産業用センサーといったIoTデバイスの脆弱性を悪用した、大規模なDDoS攻撃も観測されている。DDoS攻撃とは、多数のコンピュータから標的のサーバーに対して一斉に大量のデータを送りつけ、サービスを停止に追い込む攻撃手法である。攻撃者は、インターネットに接続された無数のIoTデバイスに注目している。これらのデバイスは、出荷時の簡単なパスワードが変更されないまま使われていたり、ソフトウェアの更新がされずに脆弱性が放置されていたりすることが多い。攻撃者はこうしたセキュリティの甘いデバイスを乗っ取って「ボットネット」と呼ばれる攻撃用のネットワークを構築し、DDoS攻撃の踏み台として悪用する。システム開発や運用の現場では、自社のサーバーを守るだけでなく、自社が管理するIoTデバイスが攻撃に加担しないよう、適切なパスワード管理や定期的なアップデートを徹底することが社会的責務となっている。

さらに、ソフトウェア開発の過程を狙ったサプライチェーン攻撃の新たな手口も報告されている。サプライチェーン攻撃とは、ソフトウェアが開発されて利用者に届くまでの連鎖のどこかを標的にして、悪意のあるプログラムを仕込む攻撃である。今回注目されているのは「タイポスクワッティング」と呼ばれる手法で、開発者がよく利用するオープンソースのライブラリやパッケージの名前の、わずかなスペルミスを狙う。例えば、有名なライブラリ「requests」をインストールしようとして、誤って「reqeusts」と入力してしまった場合に、その間違った名前で登録された悪意のあるパッケージがインストールされてしまう。これにより、開発者のコンピュータがマルウェアに感染したり、開発中のソフトウェアに不正な機能が埋め込まれたりする危険がある。開発者は、外部のライブラリを利用する際には、公式サイトから正確な名称を確認し、信頼できるソースから入手することを徹底しなければならない。

最後に、地政学的な緊張の高まりを背景とした、国家が支援するハッカー集団によるサイバー攻撃も警戒が必要である。これらの集団は、電力網や水道施設といった国民生活に不可欠な重要インフラを標的とし、システムの情報を盗み出したり、将来の攻撃のために侵入経路を確保したりする活動を活発化させている。これは、物理的な破壊を伴わない、サイバー空間における新たな形の戦争準備と見なすことができる。社会インフラを支えるシステムの開発・運用に携わるエンジニアは、自らの仕事が国家の安全保障に直結しているという高い意識を持ち、極めて高度なセキュリティ対策を講じる責任を負っている。

これらの動向は、サイバー攻撃がますます多様化し、社会のあらゆる側面に影響を及ぼす脅威となっていることを示している。システムエンジニアは、プログラムを書いたりサーバーを構築したりする技術力だけでなく、自らが関わるシステムをいかにしてこれらの脅威から守るかという、セキュリティの視点を常に持ち続けなければならない。最新の攻撃手法や防御技術に関する情報を継続的に学び、それを日々の業務に活かしていく姿勢が不可欠である。