海の向こうの“セキュリティ”

サプライチェーンに重大な脅威をもたらす脆弱性はわずか。一方で、サプライチェーンはランサムウェアの主要な攻撃経路に

米Black Kiteの最新報告書から脅威の潮流を読み解く

山賀正人

2026年8月18日 06:00

　今回は米国のセキュリティベンダーBlack Kiteが公開した2つの調査報告書を簡単に紹介します。

莫大な数の脆弱性のうちサプライチェーンに重大な脅威をもたらすものはわずか

　Black Kiteは今年5月、年次報告書「2026 Supply Chain Vulnerability Report」を公開しました。最大の注目点は、2025年に公開された4万8000件以上のCVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）番号が振られた脆弱性のうち、企業のサプライチェーンに対する真の（genuine）、発見可能（discoverable）で悪用可能（exploitable）な脅威となるものはわずか58件にすぎなかったという点です。

　AIの急速な普及やAIを活用した脆弱性発見技術の進歩によって、公開される脆弱性の数は急増しています。しかし、それらの全てが重大なリスクをもたらすわけではなく、実際に悪用される脆弱性が限定的であることは確かです。それでも、4万8000件以上の脆弱性の中で、実際に該当したのが58件のみとの結果には、意外に感じる人も少なくないでしょう。

　Black Kiteがこの58という数字を算出した手順は以下のように説明されています。

ステップ1：OSINTによる発見可能性により、公開されているCVEのほとんどが即座に排除される

　 攻撃者は目に見えない標的を探し回ることはない。 彼らは、防御側も利用できるのと同じOSINT（Open Source Intelligence）ツールを使用して、既知の脆弱性を持つソフトウェアを実行している、外部にさらされたシステムをインターネット上で体系的にスキャンする。外部から脆弱性が発見できない場合、サプライチェーン全体で大規模に悪用されることはない。この単一のフィルターを最初に適用するだけで、公開されているCVEの圧倒的多数を、即座に「対応対象リスト」から除外することができる。2025年、Black Kite Research Groupは、この基準を満たす329件の脆弱性を特定し、（中略）グローバルな脅威と特定のベンダーの脆弱性との関連性を示した。この手順により、埋もれた内部ネットワークの欠陥という「ノイズ」が排除され、攻撃者が狙っている場所に正確に修正の労力を集中させることができる。

ステップ2：EPSSスコアが60％を超える場合は、ほぼ確実に悪用される可能性があると判断される

　発見可能性は「機会」を生み、悪用可能性は「緊急性」を生む。Exploit Prediction Scoring System（以降、EPSS） [*1] は、特定の脆弱性が今後30日以内に悪用される数学的な確率を推定するものであり、静的なCVSS深刻度評価よりも運用上はるかに有用な指標となる。 Black Kiteの2025年のデータセットに含まれる、OSINTで発見可能な329件のCVEのうち、EPSSスコアが60％を超えたのはわずか58件のみであり、 これらは「コードレッド（厳戒警報）」レベル、すなわち悪用が確実またはほぼ確実と分類された。これら58件をCISAのKEVカタログ [*2] と照合することで、実世界における悪用状況が確認される。EPSSの予測とKEVによる確認を組み合わせる組織は、理論上の深刻度を追いかけることをやめ、確認済みで差し迫った脅威への対応を優先し始める。

[*1]…… https://www.first.org/epss/

[*2]…… https://www.cisa.gov/known-exploited-vulnerabilities-catalog

　Black Kiteによる分析はあくまでCVE番号が振られた脆弱性に対して行われたものであり、実際にはCVE番号が振られていない脆弱性も存在するため、網羅性の点では十分とは言えないかもしれません。

　しかし、分析に「OSINTによる発見可能性」と「EPSSスコア」を使っているのは理にかなっており、「CVE番号が振られた脆弱性に対する分析」としては十分に信頼できるものと言えるでしょう。

　なお、この報告書では他にも注目すべき調査結果が掲載されており、プレスリリースでは以下が紹介されています。興味のある方は報告書本文をご覧ください。

AIが脆弱性の増加を加速させている

2025年には2130件のAI関連の脆弱性が報告され、2023年比で200％以上増加した。

悪用が早まっている

Mandiantによれば、2025年には脆弱性の公表より平均7日前に攻撃者はその脆弱性を悪用しており、AIによって悪用能力が加速するにつれて、悪用はさらに早まると予想される。Anthropicによる「2026 Project Glasswing」では、AIモデルが大規模かつ自律的にゼロデイ脆弱性を特定できることが実証された。これは、ゼロデイ攻撃の規模と速度が、いかなる事後対応プログラムでも吸収しきれないほど加速する可能性があることを意味する。

AIが攻撃対象領域を拡大している

AIコーディングアシスタントやエージェント型フレームワークが、積極的に標的とされる攻撃ベクトルとして台頭しており、深刻度の高いCVEが増加している。プロンプトインジェクションも、武器化可能な脆弱性の種類として認識されつつあり、エージェント型システムにとって事実上「新たなRCE（Remote Code Execution：リモートコード実行）」として機能している。

リスクは市場の下位層へと移行しつつある

大企業がAIを活用して検知および対応の平均時間を改善するにつれ、中堅企業や小規模ベンダーを標的とした脆弱性の悪用事例の割合は、近い将来、大幅に増加すると予想される。

先を見越した優先順位付けが不可欠である

現代のTPCRM（Third Party Cyber Risk Management）において、時間は究極の指標である。CISAのKEVカタログのみに依存している組織は、すでに積極的に悪用されている可能性のある脅威に対して後手に回っていることになる。

URL

Black Kite Press-Releases（2026年5月19日） Black Kite Research Finds Just 58 CVEs Posed a Critical Supply Chain Threat - Out of More Than 48,000 Published: https://blackkite.com/press-releases/black-kite-research-finds-just-58-cves-posed-a-critical-supply-chain-threat---out-of-more-than-48000-published
Black Kite（2026年5月19日） 2026 Supply Chain Vulnerability Report: https://blackkite.com/reports/2026-supply-chain-vulnerability-report
Black Kite（2026年5月19日） 2026 Supply Chain Vulnerability Report: Velocity Without Visibility Is the New Supply Chain Crisis: https://blackkite.com/report/2026-supply-chain-vulnerability-report/
SecurityBrief US（2026年5月22日） Black Kite says 58 CVEs pose critical supply threat: https://securitybrief.news/story/black-kite-says-58-cves-pose-critical-supply-threat

欧州におけるランサムウェアによるインシデントの傾向

　今年6月、Black Kiteは報告書「2026 European Cyber Risk Report」を公開しました。これは、2025年1月～2026年4月に、31カ国の欧州組織で発生した2066件のランサムウェア攻撃について分析した結果をまとめたものです。

　この中で特に注目すべきは、自組織が直接攻撃されて被害を受けるのではなく、サプライヤーなどの第三者を介して被害に遭う割合が増えているとの結果です。今回の調査対象となった欧州の被害組織のうち、そのような第三者経由での被害を受けたのは64の組織で、そのうち34の組織が2025年8月に発生したMiljödataのインシデントによるものでした。

　Miljödataは人事労務管理システムを提供しているスウェーデンのIT企業で、スウェーデン国内で広く採用されており、特に自治体の80％が使用しているとされています。

　このインシデントによって約250の顧客に影響が及び、その中には約200のスウェーデンの自治体や地域、25の企業や8つの大学などが含まれていました。100万人以上の個人情報が盗まれ、オンラインで公開されましたが、これらの被害組織はいずれも直接侵害されたわけではありません。この事例は、第三者を介した被害がどれほどの規模に及び得るかを示していると言えるでしょう。

　今回の調査報告書では他にも注目すべき調査結果が掲載されており、主な調査結果としてプレスリリースで紹介されているのは以下の4点です。

発生件数の増加

ランサムウェアの活動は加速しており、2026年の最初の4カ月間で発生件数は前年同期比55.1％増加している。

地理的な集中

ランサムウェア攻撃は欧州の5大経済国で特に多く、最も標的とされたのはドイツで370件（17.9％）が報告されており、次いで英国が347件（16.8％）、フランスが255件（12.3％）、イタリアが240件（11.6％）、スペインが203件（9.8％）となっている。

脅威アクターの活動

本調査で特定された最も活発なランサムウェアグループには、Qilin、Akira、SafePayが含まれていた。Qilinは、分析対象となった31カ国のうち26カ国で活動しており、その地理的な広がりが際立っていた。一方、SafePayははるかに集中した戦略を採っており、欧州での活動の半数以上がドイツの組織を標的としていた。

業種別の集中度

製造業が27.9％で最も大きな影響fを受けた業種となった。次いで、専門・科学・技術サービスが17.8％を占めた。この2番目のグループの中では、ITサービスプロバイダーが単一のサブ業界として最も標的とされており、これは戦略的なパターンである。主要な標的がサプライヤーである場合、そのサプライヤーがサービスを提供する全ての顧客が、サプライヤーを介して攻撃の危険にさらされることになる。

　今回の報告書で調査対象となっているのはあくまで公表されている被害だけであり、全ての被害を調査分析したものではないことに注意が必要です。それでも、2066件という統計的に十分に有意な数を対象としており、その結果は欧州に限らず、日本でも十分に参考になるはずです。特に第三者を介した被害は日本でも発生していますので決して対岸の火事ではありません。セキュリティ担当者の方は少なくとも概要だけでもよいので、目を通しておいた方が良いでしょう。

URL