2026年第16週 プライバシー脅威レポート
doc今週（2026年4月13日〜19日）は、Microsoft月例パッチで163件の脆弱性を修正、Rockstar Gamesへのランサムウェア攻撃、480万件を超えるSalesforce記録の流出など、7件の重大セキュリティ事件を確認しました。
2026年第16週 プライバシー脅威レポート
報告期間：2026年4月13日〜19日
公開日：2026年4月17日
概要
今週のサイバーセキュリティ情勢は大変緊張した状態にあります。Microsoftは過去の月例パッチの中で最大規模となるセキュリティ更新プログラムを公開し、163件の脆弱性を修正しましたが、その中に実社会で悪用されているゼロデイ脆弱性が2件含まれています。一方、ランサムウェアグループ「ShinyHunters」はRockstar GamesとRyan LLCの2社わずか数日の間に連続攻撃を行うなど、攻撃の手を緩めません。欧州委員会も、AQUA Security社のTrivyスキャナーの改ざんされたビルドを使用したサプライチェーン攻撃の被害を受けました。
🔴 緊急：Microsoft月例セキュリティ更新（2026年4月）
Microsoftの2026年4月セキュリティ更新プログラムでは、163件の脆弱性が修正され、そのうち**8件が重篤度「深刻」**となっています。特に、以下の2件のゼロデイ脆弱性が実社会で悪用されています：
実社会で悪用されているゼロデイ脆弱性
| CVE | 対象製品 | 重要度 | 説明 |
|---|---|---|---|
| CVE-2026-32201 | Microsoft SharePoint Server | 重要 | スプーフィングの脆弱性。CISAは2026年4月28日までの修正を義務付け |
| CVE-2026-33825 | Microsoft Defender | 重要 | 特権昇格の脆弱性、ローカル特権昇格が可能に |
危険なRCE（リモートコード実行）脆弱性
- CVE-2026-32157 — リモートデスクトップクライアントのUse-After-Free（RCE）
- CVE-2026-33826 — Windows Active Directory（的特殊的なRPCによるRCE）
- CVE-2026-33827 — Windows TCP/IP（的特殊的なIPv6パケットによるRCE）
- CVE-2026-33824 — Windows IKEサービス拡張（RCE）
- CVE-2026-32190 — Microsoft Office（RCE）
- CVE-2026-33114/33115 — Microsoft Word（RCE）
必要な対応： SharePointとDefenderの脆弱性が実社会で悪用されているため、各組織はこれらの修正を最優先で適用する必要があります。
🎮 Rockstar Gamesへのランサムウェア攻撃
ShinyHuntersグループは、Rockstar Games（GTA VIの開発元であり、注目作「Grand Theft Auto VI」を手がける企業）への攻撃を主張しました。攻撃者は4月14日という支払期限を設定し、要求が拒否された場合は機密データを公開すると脅迫しています。
Rockstar Gamesは侵入を認め、内部開発資料にアクセスされたことを明らかにしました。この事件は、ShinyHuntersが高名なゲームメーカーを標的にするパターンを繼続しています。
被害内容： 攻撃者はGTA VIの開発アセット、社内通信、ソースコードへのアクセスを主張しています。
🏢 Ryan LLC：480万件以上の記録が流出
4月12日、ShinyHuntersは米国系プロフェッショナルサービス企業Ryan LLCに対しても攻撃を行いました。攻撃者は480万件以上のSalesforce記録を盗出したと主張しており、その中には以下のデータが含まれています：
- 個人を特定できる情報（PII）
- 社内企業データ
- 顧客関係データ
この侵害は、2026年に入ってからの大規模なデータ流出事件の1つとなっています。
💪 Basic-Fit会員情報流失事件
オランダのフィットネチェーン「Basic-Fit」は、約100万人の会員に影響するデータ流失事件を発表しました。同社は、不正アクセスにより会員アカウント情報が取得されたことを明らかにしました。流失したデータの详细内容については、現在調査中です。
🏛️ 欧州委員会へのサプライチェーン攻撃
欧州委員会のクラウドインフラがサプライチェーン攻撃の被害に遭いました。攻撃経路は、AQUA Security社の脆弱性スキャナー「Trivy」の改ざんされたビルドを使用するというものです。問題のあるバージョンのTrivyは正規の経路を通じて配布されていたため、攻撃ウィンドウ期間中にこれを使用した組織は、システムは既に危険にさらされている可能性があります。
この事件は、サプライチェーン攻撃の高度化と、信頼できるサードパーティ製ソフトウェア配布経路に潜むリスクを示しています。
🌐 Chromeのセキュリティ更新（CVE-2026-6364）
GoogleはChromeのセキュリティ更新プログラムを公開し、CVE-2026-6364を修正しました。これはSkia Graphicsライブラリにおける境界外読み取りの脆弱性です。攻撃者は、細工されたHTMLページを通じてこの脆弱性を悪用し、許可された範囲を超えた操作を実行できる可能性があります。
影響を受けるバージョン： 最新の更新が適用されていないChrome
重要度： 中程度
必要な対応： ユーザーは直ちにChromeを最新バージョンに更新する必要があります。
🔒 Qilinランサムウェア：ドイツ与党を標的に
Qilinランサムウェアグループは、ドイツの主要政党**左翼党（Die Linke）**への攻撃を主張しました。この攻撃により同党はITシステムの停止を強いられ、機密政治データの流失を脅威としています。ランサムウェアグループが政治組織や重要インフラを標的にする傾向は繼続しており、警戒が必要です。
📊 プライバシー規制の動き：GDPRの執行
欧州データ保護委員会（EDPB）は、データ削除権の実施に関する協調執行行動を発表しました。2026年2月に開始されたこの行動は、GDPRに基づくデータ主体の権利に関する執行の強化をものです。
また、GDPRに基づく制裁金の累計総額は既に71億ユーロを超えており、2025年のみでも12億ユーロが課せられています。各組織は、2026年を通じて執行がさらに強化されることを予想する必要があります。
推奨される対応
- 即座にパッチを適用： Microsoftの4月更新プログラムを優先的に適用、特にSharePoint（CVE-2026-32201）とDefender（CVE-2026-33825）
- Trivyのインストールを確認： 環境内に改ざんされたAQUA Security Trivyバージョンがないか確認
- Chromeを更新： すべてのChromeインストールが最新バージョンで実行されていることを確認
- ShinyHuntersの活動を監視： Salesforceのアクセスログをレビューし、追加の監視を実施
- GDPRコンプライアンスを確認： データ削除要求が適切に処理されていることを確認
まとめ
今週のセキュリティ情勢は、パッチ適時の重要性、サプライチェーンセキュリティへの警戒、そして強力なインシデント対応能力の確保がいかに重要かを示しています。2件の主要なゼロデイ脆弱性が実社会で悪用され、ランサムウェアグループが引き続き高価値組織を標的にしている中、セキュリティチームは最高の警戒態勢を維持する必要があります。
以下のツールで保護対策を確認してください：
- ブラウザフィンガープリントチェッカー — ブラウザのセキュリティ状態を確認
- DNSリークテスト — DNSクエリがリークしていないことを確認
このレポートは、新しい情報が利用可能になり次第更新されます。