セキュリティニュース 2026年8月4日

キーワード: 個人情報漏えい, ランサムウェア, パスキー乗っ取り, サプライチェーン攻撃, Chrome, VPN機器

オープニング：2026年8月4日 — セキュリティニュース

今日は、英国警察の内部情報10万件超の流出、指紋もPINも使わずパスキーを乗っ取る新手口、そしてゲーム機やAI開発ツールにまで忍び寄るマルウェアまで、身近なところから企業の防御網まで幅広く取り上げます。

英国警察の内部データベースが攻撃され、警察官10万人超の情報が流出

• 英国の警察・法曹関係者向け内部データベース「PNLD(Police National Legal Database)」が「ExfilSquad」を名乗るハッカー集団の攻撃を受け、10万人を超える警察官・職員・刑事司法関係者の氏名、所属組織、業務用メールアドレスがダークウェブに公開された。
• 侵害は7月26日に確認されており、対象には警察だけでなく政府の連携機関や取引先の担当者も含まれていた。運営元は被害を確認したと発表している。
• 業務用の連絡先情報でも、大量に流出すると標的型フィッシング(相手の役職や組織名を知った上で送る詐欺メール)の材料にされやすい。組織に属する人は「知っている相手からのメールでも急かす内容なら疑う」という基本姿勢が重要になる。

ランサムウェア集団「INC」が企業向けVPN機器の脆弱性を集中攻撃

• ランサムウェア(身代金要求型ウイルス)集団「INC」が、SonicWall社の企業向けVPN機器「SMA 1000」シリーズで見つかった脆弱性を悪用する攻撃で、8月に入ってから最も活発な攻撃者になったとセキュリティ企業Resecurityが報告した。
• INCは被害企業の名前を次々と自らのリークサイト(身代金を払わない企業の情報を晒すサイト)に掲載しており、企業に心理的圧力をかける手口を続けている。
• VPN機器は社外から社内ネットワークに安全に接続するための入口だが、その入口自体に穴があると意味がない。該当機器を使う企業はメーカーが出す修正パッチの適用状況を至急確認する必要がある。

リモート監視ツールの認証回避脆弱性が悪用中——IT管理会社が緊急警告

• 多くの企業のIT部門やIT管理会社が使う遠隔管理ソフト「N-central」に、ログイン認証をすり抜けられる脆弱性(CVE-2026-18577)が見つかり、実際の攻撃で悪用されていることを開発元のN-ableが警告した。
• クラウド版・自社設置版の両方が対象で、悪用されるとパソコンやサーバーを遠隔操作する権限そのものを攻撃者に奪われる恐れがある。
• 「管理する側のツール」が乗っ取られると、そのツールが管理している全ての顧客企業に被害が広がる連鎖リスクがある。IT管理会社を利用している企業は、委託先が緊急パッチを適用済みか確認しておくと安心。

指紋もPINも使わず、パスキーを乗っ取る新手口が判明

• Googleのパスワード管理機能(パスキーの保管・同期を担うクラウド認証システム)に対する新しい攻撃手法が、セキュリティ企業Unit42により3種類報告された。最も強力な手法では、パソコンの一般ユーザー権限で動くマルウェアだけで、指紋やPIN、画面上の確認表示なしに、パスキーで守られたアカウントへ勝手にログインできてしまう。
• パスキーは「パスワードより安全」とされ普及が進んでいる認証方式だが、今回の手口は端末に侵入したマルウェアが裏で鍵の情報そのものを盗み出す仕組みで、パスキー自体の暗号技術が破られたわけではない。
• 対策の基本は変わらず、「怪しい添付ファイルやソフトを実行しない」というマルウェア感染の予防が最重要になる。パスキーを使っていても端末がウイルスに感染すれば意味がないことを覚えておきたい。

偽の「Roblox」改造ツールでゲーム好きの子どもが感染被害に

• 人気ゲーム「Roblox」向けの非公式スクリプト実行ツール「Xeno Executor」を装った偽インストーラーが配布され、実行すると情報窃取型マルウェアと遠隔操作型マルウェア(RAT)に同時感染する被害が確認された。
• Xeno Executorはゲームの改造(チート)に使われる非公式ツールで、公式には配布されていない。攻撃者はこの需要を悪用し、検索結果や動画サイトの説明欄などから偽サイトへ誘導しているとみられる。
• 子どもがゲームの「裏技ツール」を探して検索することは珍しくない。家庭では、公式ストア以外からのソフト導入は基本的に避けること、知らないうちにパソコンの動作が重くなった場合は相談してもらうことを伝えておくとよい。

ブラウザに保存された画像ファイルにマルウェアを隠す新手口「DOUBLECUP」

• ロシア語圏で提供されているマルウェア配布サービス「DOUBLECUP」が、ブラウザが自動保存する画像キャッシュ(表示済み画像の一時保存データ)の中に悪意あるコードを隠し、偽の「セキュリティ確認」画面(ClickFix手口)を使って被害者自身にコードを実行させる新手法を使っていることが判明した。
• 最終的にWindowsとmacOSの両方で動く「CountLoader」というマルウェアや、新型の遠隔操作ツール「DeviceManager」が仕込まれる。
• 「怪しいポップアップに出てきた手順(コピー&ペーストの指示など)を、言われるがまま実行しない」ことが最大の防御になる。正規のセキュリティ警告が、パソコンの操作をユーザーに指示することは基本的にない。

中国発のAI開発支援ツールを狙う偽パッケージ、遠隔操作マルウェアを仕込む

• ソフトウェア部品を配布する場「npm」上で、アリババ(中国大手IT企業)が提供する開発ツール利用者を狙った18個の悪意あるパッケージが発見された。中国語圏の開発環境を主な標的とし、WindowsでもMacでも動く遠隔操作マルウェア(RAT)を配布していた。
• 偽パッケージの一つ「lib-mtop」は、アリババの非公開パッケージと同じ名前を使い、開発者が誤ってインストールするよう仕向ける「なりすまし」の手口を使っていた。
• 便利なプログラム部品を無料で組み込めるこうした仕組みは開発の効率化に欠かせない一方、名前だけを信じてインストールすると偽物を掴まされるリスクがある。開発に関わる人は、配布元の公式リポジトリ名かどうかを必ず確認する習慣が求められる。

Chromeがついに週2回パッチへ——AIによるバグ発見が加速

• Googleのブラウザ「Chrome」で、6月の2回の更新だけでそれ以前の23回分の更新を上回る数の脆弱性が修正された。背景には、AIを使った自動バグ発見の急速な進歩があり、Googleは今後、通常より頻繁な週2回ペースでの修正配信を検討している。
• これまで人間の研究者が時間をかけて見つけていた脆弱性を、AIツールが大量かつ高速に発見できるようになったことで、「直すべき穴」の数自体が急増している状況。
• 利用者側にできることはシンプルで、Chromeの自動更新をオフにせず、再起動を促す通知が出たら早めに応じることに尽きる。更新頻度が上がるのは面倒に見えて、実際には守りが強化されているサインでもある。

まとめ

今日は、大規模な個人情報漏えい、企業の入口を狙うVPN機器の脆弱性、そして「安全なはず」のパスキーですらマルウェア感染には無力という現実まで見てきました。共通して言えるのは、どんなに強固な認証技術があっても、端末そのものがマルウェアに感染すれば無意味になるということ。怪しいソフトを実行しない、更新を後回しにしない——この2点が今日一番の教訓です。

参考ソース

• Bleeping Computer「ExfilSquad hackers leak info of over 100,000 UK police officers, staff」 https://www.bleepingcomputer.com/news/security/exfilsquad-hackers-leak-info-of-over-100-000-uk-police-officers-staff/
• The Hacker News「PNLD Breach Exposes U.K. Police and Government Contact Details on Dark Web」 https://thehackernews.com/2026/08/pnld-breach-exposes-uk-police-and.html
• The Hacker News「INC Ransomware Emerges as Dominant Actor Exploiting SonicWall SMA 1000 Flaws」 https://thehackernews.com/2026/08/inc-ransomware-emerges-as-dominant.html
• Bleeping Computer「N-able warns of N-central auth bypass flaw exploited in attacks」 https://www.bleepingcomputer.com/news/security/n-able-warns-of-n-central-auth-bypass-flaw-exploited-in-attacks/
• The Hacker News「Google Password Manager Attacks Could Let Malware Hijack Passkey-Protected Accounts」 https://thehackernews.com/2026/08/google-password-manager-attacks-could.html
• Bleeping Computer「Fake Roblox Xeno script launcher pushes infostealer, RAT malware」 https://www.bleepingcomputer.com/news/security/fake-roblox-xeno-script-launcher-pushes-infostealer-rat-malware/
• Bleeping Computer「New DOUBLECUP ClickFix service hides malware in browser cache images」 https://www.bleepingcomputer.com/news/security/new-doublecup-clickfix-service-hides-malware-in-browser-cache-images/
• The Hacker News「18 Malicious npm Packages Deliver Cross-Platform RAT to Alibaba Tool Users」 https://thehackernews.com/2026/08/18-malicious-npm-packages-deliver-cross.html
• Wired Security「Chrome Needs Twice-a-Week Patching Thanks to AI Bug Hunting」 https://www.wired.com/story/chrome-needs-twice-a-week-patching-thanks-to-ai-bug-hunting-for-now/