Fortinetファイアウォール8万台認証情報流出・画像に隠れたAI攻撃指令「Ghostcommit」 セキュリティニュース【2026/07/12】

Fortinet製ファイアウォールの認証情報が大量流出「FortiBleed」

• 海外セキュリティ企業SOCRadarの調査により、Fortinet社の企業向けファイアウォール「FortiGate」などに関連する認証情報（ログインIDとパスワード）が大量に流出していたことが判明した。通称「FortiBleed」と呼ばれている。
• 影響は194の国と地域におよび、企業や政府機関が使う86,644台以上の機器のログイン情報が、攻撃者が運用するデータベースに含まれていたことが確認された。ファイアウォールは社内ネットワークを外部の攻撃から守る「門番」機器であり、この鍵が漏れると正面から侵入を許すおそれがある。
• 国内でもJPCERT/CCが注意喚起を発表。FortiGateなどを利用している組織は、パスワードの変更や多要素認証の導入など、認証情報の見直しを急ぐ必要がある。

FBIが220万台の家庭用テレビボックスを操るボットネットの司令塔を摘発

• FBIが、業界パートナーと協力し「NetNut」という住宅用プロキシサービス（一般家庭のネット回線を経由して通信を匿名化する仕組み）に関連する数百のドメインを差し押さえた。運営元はイスラエルの上場企業Alarum Technologies。
• NetNutは、少なくとも200万台の家庭用Android系テレビボックスに感染したボットネット「Popa」とつながっていたことが、複数のセキュリティ企業の調査で判明していた。持ち主の同意なく通信を中継させられ、広告詐欺やアカウント乗っ取り、大規模なデータ収集に悪用されていたという。
• 安価な海外製ストリーミングTVボックスを使っている家庭は、知らぬ間に自分の回線が犯罪の踏み台にされている可能性がある。心当たりがある人は、ファームウェアの出所や通信量を確認しておきたい。

人気ツール「jscrambler」がnpmで乗っ取られ、インストールしただけでウイルス感染

• ソフトウェア開発者向けの人気ライブラリ「jscrambler」の配布パッケージ（npm）が何者かに乗っ取られ、2026年7月11日公開のバージョン8.14.0にウイルス（情報を盗み出す「インフォスティーラー」型マルウェア）が仕込まれた。
• インストール時に自動実行される仕込みにより、Windows・Mac・Linuxそれぞれ専用の不正プログラムが密かに実行される仕組みだった。npmは、プログラムの部品（パッケージ）を配布・共有する仕組みで、多くのアプリやウェブサイトが依存しているため、一つが汚染されると被害が連鎖的に広がりやすい。
• セキュリティ企業Socketが公開からわずか6分でこの異常を検知して警告したため、被害拡大は限定的とみられる。とはいえ、自分では意識していないアプリの裏側でこうした部品が使われていることが多く、開発者以外にも影響が及びうる事例。

画像に隠したAIへの指令で秘密情報を盗ませる新手口「Ghostcommit」

• 研究者が、1枚のPNG画像の中に「AIへの指令」を隠す新手法「Ghostcommit」を実証した。文字だけでなく画像そのものが攻撃の道具になるという新しいタイプの脅威。
• AIによるコードレビューツール「CodeRabbit」や「Bugbot」は画像ファイルの中身を開いて確認しないため、この仕込みをそのまま素通りさせてしまう。
• ところがプログラム作成を代行するAIエージェントはその画像内の指示に従ってしまい、開発中のプロジェクトの秘密情報（パスワードやアクセスキーが書かれた設定ファイル）を読み取り、数字の羅列に変換してコードの中に書き出してしまった。AIを使った開発が広がる中、「画像1枚」が情報漏えいの入口になりうることを示した実例。

MetaのAIサポートを騙してパスワードリセット、要人アカウントが乗っ取り被害に

• オバマ政権時代のホワイトハウス公式Instagramアカウントと、米宇宙軍の最高位下士官のアカウントが週末に一時的に乗っ取られ、親イラン派の画像やメッセージに書き換えられた。
• 原因は、Meta社の「AIサポートボット」（問い合わせ対応を自動化するAI）をうまく話しかけて騙し、本人になりすましてパスワードをリセットさせる手口。この方法の具体的な手順がTelegram上で出回っていたことが発覚のきっかけとなった。
• 本来なら人間の担当者が本人確認をするはずの窓口を、AIが騙されて通過させてしまった格好。有名アカウントに限らず、AIによる自動サポート窓口を導入しているサービス全般に同様の穴が潜んでいる可能性があり、パスワード変更時は必ず二段階認証も併せて設定しておきたい。

ロンドン交通網を止めたハッカー集団「Scattered Spider」、裁判初日で罪を認める

• 2024年8月にロンドンの公共交通機関を運営するTransport for London（ロンドン交通局）を機能停止に追い込んだサイバー攻撃をめぐり、英国の男2人が今週、罪を認めた。6週間を予定していた裁判は、初日の有罪答弁で事実上決着した。
• 2人は「Scattered Spider」というハッカー集団の中心メンバー。この集団は英語ネイティブの若い世代が中心で、電話や対人心理戦（ソーシャルエンジニアリング、人の心理的な隙を突いて情報を聞き出す手口）を使った侵入を得意とし、過去にはカジノやアパレル大手も標的にしてきた。
• 公共交通機関という社会インフラも標的になりうる時代であること、そして攻撃者が必ずしも「凄腕プログラマー」ではなく、電話一本で人を巧みに騙す若者たちだったという点が示唆に富む事件。

スパイウェア「ペガサス」を調査していたEU議員、自分のスマホが感染していたと判明

• 「ペガサス」はイスラエル企業NSOグループが開発した、スマホを遠隔操作してメッセージや通話を盗み見できるスパイウェア（潜入型の監視ソフト）。各国政府がジャーナリストや反体制派、政治家の監視に使ってきたとされ、国際的に問題視されている。
• 欧州議会でこの問題を調査していた議員自身のスマホから、調査対象であるはずのペガサスの感染痕跡が、人権団体Citizen Labの調査により見つかった。
• 「法の支配そのものへの直接攻撃だ」と当該議員は強く非難している。一般利用者が直接狙われる可能性は低いが、政治家やジャーナリストなど「都合の悪い人物」を狙う監視ソフトが今も現役で使われている実例として重い意味を持つ。

服役中の男が、押収済みの暗号資産29万ドル分を盗んだ疑いで新たに起訴

• ブルガリア国籍の男が、米国の詐欺被害者から盗まれた数百万ドルのマネーロンダリング（資金洗浄、犯罪で得たお金の出どころを分からなくする行為）に関与した罪で懲役121か月（約10年）を言い渡され服役中だった。
• その服役中に、政府がすでに押収していた29万ドル（日本円で約4500万円）相当の暗号資産を何らかの方法で盗み出した疑いがあるとして、新たに起訴された。
• 暗号資産は「デジタルの財布の鍵（秘密鍵）」さえ分かれば、物理的に隔離された場所からでも移動できてしまう性質がある。押収された「証拠品」ですら安全に保管するのが難しいほど、暗号資産の管理には特殊な注意が必要であることを示す事件。

参考ソース

• https://www.jpcert.or.jp/at/2026/at260019.html
• https://krebsonsecurity.com/2026/07/fbi-seizes-netnut-proxy-platform-popa-botnet/
• https://krebsonsecurity.com/2026/06/popa-botnet-linked-to-publicly-traded-israeli-firm/
• https://thehackernews.com/2026/07/compromised-jscrambler-8140-npm-release.html
• https://www.bleepingcomputer.com/news/security/ghostcommit-hides-prompt-injection-in-images-to-fool-ai-agents-steal-secrets/
• https://krebsonsecurity.com/2026/06/hackers-used-metas-ai-support-bot-to-seize-instagram-accounts/
• https://krebsonsecurity.com/2026/06/scattered-spider-hackers-plead-guilty-on-day-1-of-trial/
• https://www.wired.com/story/eu-politicians-investigated-pegasus-spyware-then-it-ended-up-on-one-of-their-phones/
• https://www.bleepingcomputer.com/news/security/money-launderer-accused-of-stealing-seized-crypto-while-in-prison/