CrowdStrike 2026年版脅威ハンティングレポート：ハッカーは24時間以内に脆弱性を悪用、AIがさらに加速

脆弱性が公表されてから実際の攻撃が発生するまでの時間差は、ほぼ消滅した。CrowdStrikeの2026年脅威ハンティングレポート（上半期分）によると、概念実証（PoC）エクスプロイトが公開されたCVEのうち88％が、48時間以内に実際の攻撃に使用された。中国に関連する脅威グループ、VAULT PANDAやGENESIS PANDAは、重要なWebアプリケーション脆弱性について、24時間以内の対応を実現している。これは、大半の企業ITチームが評価すらできない速度であり、パッチ適用はなおさらである。

今年初めに発見されたReact2Shell脆弱性は、開示から4日間で800件の調査リードを生み出し、80を超える被害組織での侵害を確認した。別の中国関連グループであるUMBRAL BISONは、CVE-2026-31431の悪用を20時間以内に開始。関連する攻撃イベントの94％が初日に記録された。これらは孤立した事例ではなく、国家支援ハッキングの標準的な運用ペースとなったものを示している。

人工知能（AI）はこの傾向をさらに加速させている。ただし、SF的な意味ではない。最も測定可能なAI関連の脅威の変化は、攻撃チェーンの両側で起きている。AIエージェントがトリガーするセキュリティ検出は、手動による活動よりも2.5倍多くの脅威リードを生み出すが、同じ自動化が組織に対して利用されている。文書化されたあるLLMJackingキャンペーン（攻撃者がAIのAPI認証情報を盗み、利益を得るために実行する）では、単一の操作で2分間に20万件のAPIリクエストが発生し、自動化なしでは不可能なペースでコンピューティングの窃取が拡大した。

北朝鮮のSTARDUST CHOLLIMAは6月、スパイ活動からソフトウェアサプライチェーンへと移行した。AI搭載アプリケーションを構築する開発者に広く使用されているMastra AI開発フレームワークの131のパッケージに、悪意のあるnpm依存関係が注入された。このキャンペーンは、急速に採用され、セキュリティレビューがしばしば不十分なAIツールが、高い収益をもたらす汚染対象となるという計算された賭けを反映している。別のグループであるALTERED SPIDERは、1日で300以上のソフトウェア依存関係を侵害した。

ソーシャルエンジニアリングも同様のペースで進化している。攻撃者が電話でITサポートや経営者を装うボイスフィッシングは、2026年上半期に前年同期比で2倍に増加した。CrowdStrikeがSNARKY SPIDERとして追跡するグループは、文書化されたインシデントで、アカウント乗っ取りからデータ窃取の確認まで5分未満で完了した。デバイスコードフィッシングの試行は月間で過去6か月間に15倍に急増している。この手法は、スマートTVや入力制限のあるデバイスでアプリを認証するために使用されるOAuthフローを悪用する。

ソフトウェアを使用するすべての人（セキュリティ専門家だけでなく）にとっての実用的な意味は、効果的なパッチ適用の猶予期間が現在では時間単位で測定されるということだ。従来の30日間の脆弱性管理サイクルに依存していた企業のセキュリティチームは、すでに負けているレースを走っている。クラウドベースの電子犯罪は前年比171％増加しており、CrowdStrikeはこの数字を、深い技術的専門知識を持たない犯罪者への障壁を下げるコモディティAIツールの利用可能性に一部起因するとしている。

CrowdStrikeは現在、290の名前付き敵対グループを追跡しており、前年から大幅に増加している。報告書は、脅威アクターの特定自体がボトルネックになっていると指摘する。現代のキャンペーンのスピードは、何から防御しているのかを理解するために必要な帰属作業をしばしば上回る。2026年の報告書の数字は将来の脅威を説明しているのではなく、毎日、何千もの組織で既に測定されているものを説明している。

タグ: サイバーセキュリティ, サプライチェーン, AIセキュリティ, CrowdStrike, LLMJacking, 北朝鮮