← ブログに戻る

セキュリティブリーフィング 2026年4月17日: Cisco Webex対応、PowMixボットネット、ZionSiphonのOT破壊

今日のセキュリティブリーフィングは、追加の顧客対応が必要な Cisco の Webex SSO 修正、Talos が公開したステルス C2 を使う PowMix ボットネット、そして水インフラの塩素と圧力制御を狙う ZionSiphon の OT 破壊ロジックという3つの具体的なシグナルを追います。

---

---

1. Cisco は Webex を修正したが、顧客側の作業は残っている

Cisco は Webex Services の CVE-2026-20184 を修正しました。これは Control Hub との SSO 統合にある証明書検証の欠陥で、未認証の攻撃者がユーザーになりすませる可能性がありました。ただしサービス側の修正だけでは不十分で、SSO を使う組織は中断回避と完全な是正のため、IdP 用の新しい SAML 証明書もアップロードする必要があります。

• SSO を利用しているすべての Webex テナントを洗い出し、新しい証明書が実際に展開されたことを確認する。
• IdP メタデータや証明書ロールオーバーを単なる運用衛生ではなくセキュリティ作業として扱う。
• 高信頼のコラボレーションアカウントに不審なアクセスやトークンパターンがないか確認する。

---

2. PowMix はフィッシング側が通常トラフィックへの擬態をさらに強めていることを示す

Cisco Talos は、少なくとも 2025年12月から活動し、チェコの労働者層を狙う未文書化のボットネット PowMix を公開しました。このマルウェアはランダム化されたビーコン間隔を使い、暗号化された heartbeat データを REST API トラフィックのように見える URL パスに隠し、C2 ドメインを動的に更新できます。Talos は過去の ZipLine 活動や Heroku ベースの C2 基盤との戦術的な重なりも確認しています。

• HR、法務、採用、財務、物流の各チームに、コンプライアンス風の誘導文書がこのキャンペーンの一部であると知らせる。
• 不審なスケジュールタスク、PowerShell ローダー、Heroku 関連の外向き通信をハントする。
• 固定的なビーコン間隔検知だけに頼らない。PowMix はまさにその近道を壊すために作られている。

---

3. ZionSiphon は水処理と淡水化オペレーターへの警告弾だ

研究者によると、現行の ZionSiphon サンプルは検証不具合のため動作しませんが、意図は明確で危険です。このマルウェアはイスラエルの IP 範囲と水処理ソフトウェアを確認し、その後で塩素投与量、バルブ状態、ポンプ状態、逆浸透圧を変更しようとします。さらに USB 伝播も備えており、可搬メディアへの依存が残る産業環境では特に重要です。

• 機能する亜種が現れる前に、OT 環境の可搬メディア制御とエンジニアリング端末監視を今すぐ見直す。
• 塩素、圧力、ポンプ設定の変更が改ざん耐性のあるアラートを生むか検証する。
• 破壊ロジックが明確なら、初期段階の ICS マルウェアでも運用上重要な脅威として扱う。

---

セキュリティチームが今日やるべきこと

1. Cisco Webex SSO の証明書ロールオーバーを完了し、ベンダーのパッチ状態だけでなく実際に検証する。
2. メール、アイデンティティ、エンドポイントの各チームを集め、PowMix の誘導手口と PowerShell 実行パターンを共有する。
3. OT 運用者は、無許可の塩素や圧力変更を十分に早く検知できるかテストする。
4. 経営層には、コラボレーション信頼、従業員フィッシング、産業破壊を一つのリスク像として結ぶ簡潔な更新を出す。

---

Bottom line: 今日の最も強い教訓はシンプルです。攻撃者は、その弱点がアイデンティティにあるのか、ユーザーワークフローにあるのか、物理プロセス制御にあるのかを気にしません。信頼が乗っていれば、それは標的です。