毎月お届けするこのニュースまとめでは、過去1か月の主なサイバーセキュリティ関連ニュースを紹介します。
サイバーセキュリティの主なニュース：新たなAIツールで明らかになった脆弱性の補強を進める銀行、学生データを狙ったハッカーとの合意、ワールドカップのサイバーリスクが明らかに。
世界経済フォーラムのサイバーセキュリティセンターは、サイバーセキュリティが戦略上不可欠であることの重要性を強調し、システミックなサイバーセキュリティ課題に取り組むための官民による世界的な行動を促進する、独立した公平なプラットフォームを提供しています。
1. 銀行、新たに明らかになったサイバー脅威への対策を急ぐ
銀行は米国、EUおよび日本で、AnthropicのMythos AIツールによって明らかになったサイバー上の欠陥の修正に奔走するとともに、同種のツールを悪意ある者に悪用される事態に備えています。
脆弱性を探し出すこのAIモデルは、現在、まず米国で限られた数の機関にのみ提供されていますが、その影響は世界中に及んでいます。銀行はこれまで知られていなかった弱点を発見しており、特にレガシーシステムの老朽化が進む機関では、修正やアップグレードを急ぐ圧力が高まっています。
大手銀行が共有した調査結果を通じて小規模銀行にも警告が伝えられる一方、欧州中央銀行（ECB）はユーロ圏の銀行に対し、サイバー攻撃への備えを至急進めるよう求めています。ECBのフランク・エルダーソン理事は、「［Mythosを］利用できないことは、何もしない言い訳にはなりません。むしろ、銀行が今すぐ行動することがいっそう重要になります」と述べました。
国際通貨基金も見解を示し、「急速に進展するAI主導のサイバーリスクは、慎重に管理しなければ金融システムを不安定化させる恐れがある」と述べています。世界経済フォーラムがKPMGと協力して発表した新たな報告書は、こうした慎重な管理をどのように実現できるかを示しています。防御側の力を高める：サイバーセキュリティのためのAIによると、組織はAIの自律性について4段階から選ぶ必要があり、どの段階にもトレードオフがあります。「機械の速度で行動すれば、サイバーセキュリティの専門家はAI主導の脅威に対抗できますが、誤りが被害をもたらす前に発見するために必要な、人間による責任と監督は弱まります」。
2. 学生データを狙ったサイバー犯罪者、「合意に達する」
広く利用されている教育プラットフォームCanvasを運営する企業は、5月初旬に米国、カナダ、オーストラリア、英国の数千の大学やカレッジに影響を及ぼした大規模な情報漏えいの背後にいるハッカーと、「合意に達した」と発表しました。
Instructureによると、この合意により、盗まれた学生および大学のデータ3.5テラバイトの公開を防ぎ、データが破棄されたことを「デジタル上で確認」できたとのことです。ただしBBCによると、金銭の授受があったかどうかについて、同社は明言を避けました。
盗まれたデータが実際に削除された保証はなく、前例となってさらなる攻撃を促す恐れもあるため、多くのサイバーセキュリティ専門家はこの合意を危険な妥協と見ています。
米国のサイバーセキュリティ企業が最近実施した調査では、最高情報セキュリティ責任者（CISO）の58%が、ハッカーに金銭を支払う意思があることが分かりました。その目的は「混乱を最小限に抑える」ことです。しかし、Cybersecurity Insidersによると、この対応は裏目に出る可能性があります。ランサムウェア攻撃では、まずデータを盗み、その後、組織が自らのネットワークにアクセスできないようにする「二重恐喝」がよく行われるようになっています。
フォーラムがリーダーによるサイバーリスクの理解とデジタル・レジリエンスの強化をどう支援するか
サイバーセキュリティセンターは、リーダーが集まり、変化するサイバーリスクとそのシステミックな影響を理解するための、信頼できるプラットフォームを提供しています。相互接続がますます進むデジタル世界で、理解と信頼を築くことに重点を置いています。
セクターを越えた協力と知見の共有を促すことで、同センターはパートナーのサイバー・レジリエンス強化を支援し、共同での対応が必要な課題に取り組んでいます。
3. 速報：今月の主なサイバーセキュリティニュース
ワールドカップ開催を控え、サイバー上の警告が相次ぐ：英国のサイバーセキュリティ専門家は、米国、カナダ、メキシコで開催される2026年のサッカー大会は、世界中から注目を集める大規模イベントであるため、「一時的な単一障害点」になり得ると警告しました。キングス・カレッジ・ロンドン・ビジネススクールのアイバルス・トゥンチドガン博士は、AIと地政学的緊張を追加のリスク要因に挙げました。また、あるサイバーセキュリティ企業は、犯罪者がファンの高揚感につけ込んでいると警告しており、偽のチケットやウェブサイト、フィッシング攻撃が増加しています。
ウクライナに対する新たなサイバー攻撃：Ghostwriterとして知られる脅威グループが、ウクライナの政府機関を標的とする最近相次いだサイバー攻撃に関与したとみられています。The Hacker Newsによると、攻撃にはおとりのPDF文書が使われ、フィッシングメールは現地の通信会社になりすましていました。
AIが生成した初のゼロデイ脆弱性攻撃を検出：Googleは、ゼロデイ脆弱性攻撃を特定したとSecurity Weekが報じています。これは、AIモデルを用いて開発されたサイバー攻撃で、ベンダーや開発者、一般の人々が認識していないものです。Security Weekによると、この攻撃は二要素認証の回避を狙ったもので、AIがこの種の攻撃の開発に使われたのは初めてです。Googleはハッカー集団の名前を明らかにしていませんが、この発見によって「大規模な脆弱性悪用の発生」を防げた可能性があると述べています。
サプライチェーン攻撃の被害に遭ったOpenAI：ChatGPTを開発するOpenAIは、TanStackへのサプライチェーン攻撃により、従業員の端末2台が影響を受けたと公表しました。このインシデントに関するブログ記事で、同社は「OpenAIユーザーデータへのアクセスがあった証拠は見つかっていないほか、本番システムや知的財産が侵害された証拠、ソフトウェアが改変された証拠も見つかっていません」と述べました。
サイバー犯罪ネットワーク、2度目の摘発：Security Weekによると、ドイツ警察は5月初旬、2024年12月に初めて摘発されたCrimenetworkの2代目を閉鎖しました。この犯罪マーケットプレイスでは、盗難データや麻薬、偽造書類などの違法な商品やサービスが犯罪者間で取引されていました。Security Weekによると、Security Week初代と2代目のいずれでも、Bitcoinなどの暗号資産を使った取引が行われていました。法執行機関の証拠からは、Crimenetworkの収益が420万ドルを超えていたことが示唆されています。
4. フォーラム・ストーリーズでサイバーセキュリティについてさらに読む
サイバーセキュリティ年次会合2026：AI主導で分断が進む世界で、サイバーセキュリティはシステミック、経済、戦略の各面で不可欠な課題となりました。これは段階的な進化ではなく、根本的な転換でした。こうした背景のもと、リーダーたちは、協力を前進させ、よりレジリエンスの高いデジタルの未来を形づくるため、ジュネーブで開催された世界経済フォーラムのサイバーセキュリティ年次会合2026に集まりました。
サイバー犯罪は、巨大で複雑なエコシステムへと進化しました。そこでは多様な関係者が、犯罪活動のあらゆる段階で取引し、協力し、専門化し、互いに依存しています。こうした活動に対抗するには、より高い透明性と情報共有が必要です。フォーラムのサイバー犯罪アトラスは、サイバー犯罪ネットワークへの共通理解を築き、より連携した行動を可能にすることで、こうした隔たりを埋める一助となります。この取り組みについて詳しくはこちらをご覧ください。
量子耐性セキュリティへの移行は着実に進んでいます。デジタル経済のあらゆる層に影響を及ぼすとともに、サイバー・レジリエンスを強化する機会をもたらしています。しかし、ある専門家によると、これは複雑なプロセスです。社会が日々依存するインフラ全体に、標準を組み込み、導入しなければなりません。このプロセスは、各層が明確さと足並みをそろえて進む場合にのみ機能します。
国家の支援を受ける悪意ある者は、病院、電力網、交通網などの重要インフラを積極的に妨害するため、サイバー攻撃を利用するようになっています。こうしたインフラを守る負担は、資金やリソースが限られた地方自治体にのしかかっています。防御のためのAIを導入すれば、攻撃者の速度に対抗し、物理的な運用技術とデジタルITネットワークの隔たりを埋められると、米国のサイバーセキュリティ企業のCEOは主張しています。
