← ブログに戻る

セキュリティブリーフィング 2026年4月20日: Vercel侵害、Appleフィッシング通知、NISTのCVE減速

今朝のテーマは信頼の浸食です。クラウドプラットフォームは侵害主張への対応に追われ、Apple自身のメール経路はフィッシングに使われ、脆弱性パイプラインはNISTが低優先度案件のエンリッチメントを削るほど圧迫されています。

---

---

1. 攻撃者がデータ販売を始めた後、Vercelが侵害を認めた

BleepingComputerによると、攻撃者がシステム侵害と盗難データ販売を主張した後、Vercelはセキュリティインシデントを開示しました。影響範囲がまだ完全に公開されていなくても、防御側の教訓は明白です。クラウドや開発者向けプラットフォームへのアクセスは、そのまま本番アクセスです。

• Vercel関連トークン、APIキー、ビルドシークレット、最近の管理者操作を確認する。
• 環境がそのプラットフォームに触れているなら、デプロイパイプライン資格情報をローテーションする。
• ベンダーには曖昧な安心感ではなく、具体的な影響範囲、影響データ種別、時系列を求める。

---

2. Appleのアカウント変更通知が、より本物らしいフィッシングに悪用された

攻撃者はAppleの正規アカウント変更通知を悪用し、Appleインフラから送られる本物のメールの中にフィッシング内容を載せる方法を見つけました。重要なのは、ユーザーもメールフィルターも送信元を信頼してしまうことです。本物の送信元アドレスは安全なメッセージを保証しません。

• 信頼されたブランドでも攻撃者が形作った内容を運ぶ可能性があると利用者に伝える。
• メール防御と教育は送信元評価だけでなく、本文とリンクに重点を置く。
• Apple IDや購入、端末、リカバリーに関わるアカウントには耐フィッシングMFAを優先する。

---

3. NISTは低優先度脆弱性の完全スコアリングを縮小する

NISTは、報告件数の急増を受けて、低優先度CVEへの完全な深刻度スコア付与をやめると述べました。The Hacker Newsは2020年から2025年にかけて投稿件数が263%増えたと伝えています。つまりNVDのエンリッチメントに頼りすぎるチームは、内部トリアージを強化する必要があります。

• 攻撃経路が明確なら、NVDスコア欠如を理由にパッチ判断を止めない。
• ベンダーアドバイザリ、KEV状態、資産露出、悪用可能性を使って内部優先順位付けを強化する。
• バックログのノイズ増加を見込み、すべての新規CVEに完全スコアが付く前提のダッシュボードを修正する。

---

セキュリティチームが今日やるべきこと

1. 本番やCI/CDシステムがVercelに依存していないか確認し、露出したシークレットを先にローテーションする。
2. 正規のAppleメールも悪用されうると説明する短いフィッシング注意喚起を出す。
3. NVDスコア依存の脆弱性ワークフローを見直し、不要な待ち時間を削る。
4. 経営層には共通テーマを伝える。信頼チャネルそのものが攻撃面になっている。

---

要点: 今日は、防御側がクラウドプラットフォーム、公式メール、公開スコアリングに安易に信頼を委ねると安全性が崩れることを改めて示しました。もっと検証し、思い込みを減らすべきです。