← ブログに戻る

セキュリティブリーフィング 2026年4月27日：Teams 経由の Snow マルウェア、Itron のユーティリティネットワーク侵害、App Store 上の FakeWallet、そして LMDeploy の13時間警告

今朝のパターンは醜く、それでいて一貫しています。信頼されたサポート経路、信頼されたインフラ、信頼されたアプリストア、信頼された AI ツールが、まとめて高速な攻撃経路へ変えられています。

---

---

1. Snow マルウェアは Microsoft Teams ヘルプデスクへの信頼をドメイン侵害の経路に変える

Google Mandiant によれば、UNC6692 はメール爆撃と偽の Microsoft Teams ヘルプデスク連絡を組み合わせ、被害者に偽のアンチスパムパッチをインストールさせています。そのパッチは Snow ツールセットを落とします。ブラウザ永続化の SnowBelt、トンネリングの SnowGlaze、コマンド実行の SnowBasin です。そこから攻撃者は LSASS をダンプし、横展開し、Active Directory 資料を持ち出します。これはもはや普通のフィッシングではなく、サポートへの信頼を深いネットワーク侵入に転換する攻撃です。

• Teams 上の予期しない IT サポートは、帯域外で確認できるまで敵対的とみなしてください。
• Quick Assist、スケジュールタスク、ブラウザ拡張、認証情報窃取のテレメトリを別々に見ず、まとめて相関分析してください。
• 偽パッチが実行されたなら、直ちに横展開リスクを前提に動くべきです。

---

2. Itron の内部 IT 侵害は、顧客影響未確認でも重要インフラへの警告だ

Itron は一部内部システムへの不正アクセスを開示し、当該活動は遮断済みで、調査を開始し、現時点では重大な運用停止は確認していないと述べています。これは良いニュースですが、安心材料ではありません。Itron はエネルギー・水道分野のユーティリティ技術に深く組み込まれています。これほど埋め込まれたベンダーが内部侵害を報告したなら、事業者はそれをセグメンテーション、サプライヤーアクセス、対応準備に関する警告として読むべきです。

• 企業 IT、ユーティリティ運用、ベンダー管理システム間の分離を再確認してください。
• ユーティリティ供給者や重要な第三者プラットフォーム向けのインシデント対応手順を見直してください。
• 内部 IT 侵害を運用リスクへ変え得る特権アクセスと遠隔アクセス経路を監査してください。

---

3. App Store 上の FakeWallet は、信頼されたモバイル配布が今も窃取チャネルであることを示す

研究者は Apple App Store 上で、リカバリフレーズや秘密鍵を狙う 26 個の FakeWallet アプリを確認しました。大手ウォレットの模倣も含まれます。中にはユーザーをトロイ化されたウォレット導入フローへ誘導するものもあり、中国リージョンの App Store での配布も報じられました。教訓は暗号資産だけに限りません。ブランド模倣とモバイル上の信頼が十分に巧妙なら、信頼されたアプリストアでさえ認証情報や資産窃取の配送経路になります。

• ユーザーには、いかなる“確認”フローや代替ウォレット案内でもシードフレーズを入力しないよう徹底してください。
• MDM とモバイル脅威対策で、危険なインストール、サイドロード、不審なプロファイルを制限してください。
• ホットウォレットとコールドウォレットの復旧フローを、フィッシングやオーバーレイ悪用の高価値標的として扱ってください。

---

4. 監視項目：LMDeploy は AI の悪用ウィンドウが崩壊していることを示した

LMDeploy CVE-2026-33626 は、オープンソース LLM サービング基盤の SSRF 脆弱性で、公開から 12 時間 31 分で悪用されたと報じられています。AI インフラを普通の社内ソフトウェアのように扱うチームにとって、これは十分に警戒すべき事実です。今やアドバイザリは exploit prompt に極めて近く、パッチ遅延そのものが露出になります。

---

セキュリティチームが今日やるべきこと

1. Teams ベースのサポートワークフローを再確認し、緊急ヘルプデスクリクエストには帯域外確認を必須にする。
2. 重要インフラと内部ネットワークの分離前提を見直し、特にベンダー接続と遠隔管理を重点的に確認する。
3. モバイルウォレットの衛生ルールを今すぐ周知し、端末管理で可能な範囲の危険なインストールパターンを遮断する。
4. AI サービング基盤を迅速にパッチし、モデル基盤からのメタデータ、ループバック、不要な外向き通信をデフォルトで遮断する。

---

---

結論： 今朝のパターンは醜く、それでいて一貫しています。信頼されたサポート経路、信頼されたインフラ、信頼されたアプリストア、信頼された AI ツールが、まとめて高速な攻撃経路へ変えられています。