リード · サプライチェーン

1つの認証情報、173のテナント:ConnectWise、Cloud Backupを停止

ConnectWiseは、旧SkyKickのクラウドバックアップサービス「Cloud Backup」への顧客のアクセスを遮断し、7件のアプリケーションIDを無効化した。侵害されたMicrosoft 365の認証情報が、173の顧客テナントへのサインインに使用されたためである。

確度 0.85

これは173件の侵害の話ではない。最初の扉を開けた後は何も破る必要のない者が、1つの信頼関係を機械の速度で173回繰り返した話である。研究者らは、ConnectWise Cloud Backupに属する侵害されたM365認証情報が顧客環境への到達に悪用される、活発な攻撃キャンペーンを報告している。ConnectWiseは土曜日、調査中として7件のConnectWiseアプリケーションIDを無効化し、サービスへの顧客アクセスを完全に遮断したと明らかにした。

9時間以内に3つの独立したフィードがこれを伝えた。事実関係が確かであることは分かるが、自組織のテナントが173件のうちの1つであったかどうかについては何も分からない。今朝の大半の防御担当者にとって正直な立場は「分からない」であり、確かめる方法は、人ではなくサービスプリンシパルのサインインログを読むことしかない。それはEntraの中で、誰も学ぶ時間を与えられてこなかった領域である。

朝のミーティングに持ち込むべき見方はこうだ。バックアップ製品はバックアップ製品ではなく、すべての顧客拠点に常駐する、特権を持つ不可視の管理者である。そしてそれは「シームレス」という語を用いたデータシートを根拠に調達された。シームレスという表現は正しい。まさにそれが起きたのである。継ぎ目はなかった。

重要な理由ConnectWise Cloud BackupまたはSkyKickを利用している場合は、そのサービスプリンシパルを侵害済みとみなし、M365のサインインログとメールボックス監査ログで、ユーザーのログインではなく非対話型のアプリ活動を確認すること。

根拠

Today’s revelation

173の組織で通用する認証情報は、もはや認証情報ではない。それは気象現象であり、天気にパッチは当てられない。

— スタージョンの啓示 · Probably Fine Daily No. 22

§2

主要記事

過去24時間の主な動向を、根拠とともに伝える。

脆弱性

Webアプリケーションファイアウォールが侵入の足掛かりに

攻撃者は、SiteGuard Server EditionのOSコマンドインジェクションの脆弱性を積極的に悪用しており、影響を受けるサーバー上でrootまたはSYSTEM権限のコマンドを実行できる。これは、まさにそれを防ぐために購入された製品によってOS全体が明け渡されることを意味する。Drupalは別途、サポート対象のすべてのバージョンに影響する2件の重大な遠隔コード実行の脆弱性を修正し、悪用コードがまもなく出回る可能性があると警告した。JetBrainsはTeamCityについて3件のCVEを公表した。ビルドメッセージのホワイトリスト回避による認証済み遠隔コード実行のCVE-2026-111094(8.1)、および格納型XSS(8.0と6.7)で、オンプレミス版の修正は2026.2、2026.1.4、2025.11.8に含まれる。公開された概念実証コードはなく、悪用も報告されていない。

重要な理由本日朝のパッチ適用の優先順位は、現在悪用されているSiteGuardが第一、猶予が短いDrupalが第二、ビルドサーバーであり署名を担うTeamCityが第三である。

確度 0.80

根拠

ランサムウェア

N0nは土曜日に29件を投稿、最悪の被害は他社の顧客のものだ

N0nはほぼゼロから1日で29件のリークサイト掲載へと急増し、その傾向は第三者を狙うものである。Wolters Kluwer/CCH Axcessのテストラボとされる「SQA Services」は、従業員アカウント64件すべてのVPN接続認証情報と、グループポリシー、DNSゾーン、ネットワーク図を含むドメインコントローラー構成とともに掲載された。マサチューセッツ州の記帳・税務事務所「All Business Technologies」は、60社超の顧客企業の稼働中の会計ファイルと2014年から2026年までのバックアップとともに掲載された。「ECO USA」は生産・検査記録217,186件と平文パスワード付きの企業・パートナーアカウント33件、「Solid Trading B.V.」は顧客の注文・執行データとともに投稿され、「SMIC US」と「Telecom Egypt」はいずれも「NOT PAID — EXPOSED」と表示された。4件の被害組織は、早朝から15:26に名指しされるまで、Company #88から#91としてサイト上に掲載されていた。AtlasはN0nの米国での活動を、0.82で拡大傾向と評価している。

重要な理由会計士、品質保証ラボ、外部委託の記帳担当者がこの一覧に含まれていれば、自社の名前が出ていなくてもデータは漏えいに含まれている。

確度 0.70

根拠

1ransomware.liveN0n claimed Telecom Egypt (Technology · EG) — compu…

ランサムウェア

Helixはカウントダウンの時計を発見し、それはGoFileの中で進む

Helixは土曜夜、約4時間のうちに米国の大規模組織4社、Smith Douglas Homes、Bay Alarm、Personify Health、そして後にQuikreteを掲載した。それぞれにGoFileのリンクとパスワードが付され、12時間後、次いで6時間後に公開されると告知されていた。その後、年間売上高約90億ドルとされるSouthwireが加わった。掲載文は、営業資料が獲得可能市場規模を示すように売上高を記している。Smith Douglas Homesは約9億7,100万ドル、Personify Healthは約5億ドル、Bay Alarmは約2億5,600万ドルである。Atlasは、速度加重した国別の値を0.82として、HelixをIn米国製造業で拡大傾向にあると評価したが、このシグナルは生の掲載より約18.5時間遅れた。

重要な理由時間を区切った公開は、被害者の意思決定を意図的に圧縮する。米国の製造業に属するなら、インシデント対応の時計は契約中の支援先ではなく、攻撃者のウェブページが刻むものと想定すべきである。

確度 0.70

根拠

ランサムウェア

Qilinは1日に37件を投稿、新たな名称Stormが1時間で3件の被害者を掲載

10月18日のQilinのリークサイト掲載数は37件に達し、他の日の中央値1件を大きく上回った。名前が挙がったのはMastelli S.r.l.、Pergande、Pengurusan Aset Air Berhad、BRUTRA Logistek、Llano Independent School District、Belcorpなどである。2つのトラッカーはMastelliの業種で食い違い、一方は製造業、他方はヘルスケアサービスとしており、こうした細部が取締役会向け資料では事実として扱われがちである。これとは別に、Stormを名乗るグループがPatriot Maritime、Merit Financial Group、Baltimore Tank Linesとともに登場した。Mastodonで最初に確認され、約1.1時間後にransomlookで裏付けられた。海運、資産運用、燃料輸送という3業種が約1時間以内に並んだ。Qilinの急増は慎重に扱うべきである。Atlasは生の掲載より約39〜53時間先行しており、これは逆方向で、突然の活発化ではなく一括取り込みを示すのが通例である。

重要な理由月曜日に目にする被害件数は、攻撃者の活動ペースの計測値ではなく、週末をスクレイパーが捉えたものにすぎない。総数ではなく、名指しされた被害組織を基準にすべきである。

確度 0.55

根拠

マルウェアとIOC

VidarのC2基盤は数字と短いドメインで構成され、ハンティングが可能だ

ThreatFoxの直近1日分のVidar指標は、短いパスを持つ数字始まりのドメインに強く集中している。k3.9nawin.org、tp.988boss.orgに加え、9wing.org上のk9n/tx/xs/cva、l.9kio.org、j7.88idr.org、f.88qr.orgおよびn.88qr.orgなどである。同じ指標が末尾のスラッシュの有無の両方で現れており、これは1つの管理パネルからの自動一括投稿の特徴である。背景では、この期間にMoziの新規指標209件、Miraiの新規指標208件、さらにClearFake、AMOS、ValleyRATのインフラが引き続き出現している。

重要な理由2文字のURIパスを持つ短い数字始まりのホスト名に対するDNSログの正規表現は、10分で書け、今四半期に作る中で最も安価なVidar検知になる可能性がある。

確度 0.60

AIとセキュリティ

米国のセキュリティ求人が26%減少、誰もが情報漏えいの原因となる分野で採用を進める

CyberSNの求人レポートによれば、米国のサイバーセキュリティ求人は26%減少した一方、AIセキュリティエンジニアへの需要は急増している。これは人材不足でも過剰でもなく、真顔で語られる再配分の物語である。

重要な理由AIツールは今や、開発者の手元で認証情報を保持するデスクトップアプリケーションである。戦略資料で位置づける前に、まず資産台帳に範囲を定めて登録すべきである。

確度 0.75

根拠

脆弱性

ダイヤル式電話の時代を覚えている古いバグで、OpenBSD 7.9のroot権限を奪取できる

今週末に公開されたローカル権限昇格のエクスプロイトは、共有メモリにおける約37年前の整数オーバーフローと、別のカーネルの脆弱性を連鎖させ、KARLによるカーネルアドレスのランダム化、およびSMAPとSMEPのハードウェア保護を回避して、OpenBSD 7.9でroot権限を獲得する。セキュリティ企業のCalifが発見し、報告した。30年にわたって積み重ねられてきた緩和策は、そのすべてより古いバグによって突破された。

重要な理由最も堅牢化されたマシンでのローカル権限昇格こそ、封じ込められたウェブシェルを環境全体のインシデントへ変える連鎖である。

確度 0.70

根拠

1Security newsResearchers Demonstrate OpenBSD Root Exploit Chaini…

雑報

周囲の人々をコンテンツに変える75ドルのリストバンド

今週末に報じられたAmazonの「Bee」は、会話をメモに変え、有料のオプトインにより買い物の提案にも変える75ドルのリストバンドである。オプトインするのは装着者だが、会話を提供する周囲の人々にオプトアウトの手段はない。指摘した人物の言葉を借りれば、整然としたささやかなサプライチェーンである。

重要な理由組織内のあらゆる会議室は、処理者との契約もなく、当事者であると知るデータ主体もいない録音環境になり得る。

確度 0.70

根拠

1infosec.exchangeAmazon’s Bee turns conversations into notes and, wi…

§3

深層

今日の精読：フィードの表面ではなく、その下にあるものを読む。

フィードの下で:173の仕事を1つの認証情報がこなしたこと、一部は実態で一部はスクレイパーの息継ぎにすぎないリークサイトの週末、そして日曜朝に沈黙した2つの情報源。

Exception 01
ConnectWiseの事案は173件の侵入ではなく、MSPの信頼の悪用である
3つの独立したフィードが、侵害された1つのマルチテナントアプリケーションの秘密情報が多数の顧客テナントにサインインし、ConnectWiseの7件のアプリケーションIDが無効化されたことを裏付けている。影響範囲は顧客のM365データであり、アクセスの形態はベンダー自身の正規の連携によるものである。
確度 0.80
Wrong if
ConnectWiseが、173という数字は過大であった、またはサインインは契約上のベンダーアクセスに限られ顧客データには触れていないと報告する。
Watch
今後1〜3日のConnectWiseまたはMicrosoftによる続報と顧客向け通知。他のMSPのマルチテナントアプリが名指しされるかどうか。
根拠
Exception 02
N0nの土曜日は、主に下流の税務・会計の露出である
N0nはほぼゼロから1日で29件へと急増し、最も影響の大きい2件はサービス提供者である。CCH Axcessのテストラボと、60社超の顧客企業の稼働中の会計ファイルを保有する記帳事務所だ。名指しされた被害組織は、被害者の全容ではない。
確度 0.65
Wrong if
29件が、数週間にわたる元の日付の投稿を1つのスクレイパーが埋め戻したものであるとの証拠。
Watch
N0nが10月19〜20日も投稿を続けるか、およびWolters KluwerまたはCCHがテストラボについて何か述べるか。
Exception 03
Qilinの急増は、活動ペースではなく取り込みによるものかもしれない
10月18日のQilinは37件で、中央値の1件を大きく上回った。Atlasはリークサイトの生の掲載より約39〜53時間先行しており、通常とは逆の方向である。これは本物の急増ではなく、日付の遡及または一括スクレイピングを示唆する。
確度 0.50Speculative
Wrong if
リークサイトのタイムスタンプが、被害者の投稿が一括取り込みではなく、実際に10月18日を通じて公開されたことを示す。
Watch
Qilinの件数が10月19〜20日も高水準を保つか、および製造業の記事に新たな裏付けとなる被害組織が加わるか。
根拠
Exception 04
NVDとOTXはともに10月18日00:04で更新が止まる
両フィードとも2026-10-18T00:04以降のデータがなく、NVDのデータも大半が10月16日付の一括分であるため、18日と19日のCVEやOTXの動向は今回の読み取りでは見えない。実際の報告の減少ではなく、一括取り込みの挙動である可能性が高い。
確度 0.60
Wrong if
NVDとOTXの直接確認により、10月18〜19日を通じて公開が継続しており、このパイプラインが収集できていなかったことが示される。
Watch
次回の取り込みで両方が復旧するか。復旧しなければ、壊れているのは世界ではなく収集系である。
根拠

Nothing to seeChrome拡張機能の悪性度スコアの急増、信頼度0.43〜0.51の「単一の国に収束する複合的危機」というAtlasの記事、悪用の証拠がない週末のWordPress勧告の一括公開、そして1970年代のホラー映画をめぐる熱のこもった大規模なフェディバースのスレッド。いずれにも情報源をまたぐ構造は見られず、そのうち1つは、リフトでもある臓器についてのものだった。

Deep read: 483 処理件数

§4

予測

日付と検証条件を明示した予測。採点は公開の場で行う。

Today’s calls

DueMon 26 Oct7d
ConnectWiseまたはMicrosoftが、Cloud Backup/SkyKickのインシデントについて、テナント数の修正、データアクセスの範囲、顧客向け指針などを含む追加の公式更新を10月26日までに公表する。
Wrong if10月26日末までに、このインシデントに関するConnectWiseまたはMicrosoftの新たな声明が、これらのフィードに現れない。
根拠
f-2026-10-19-1
Confidence0.60
DueMon 26 Oct7d
Stormを名乗るグループが、10月26日までに少なくとも1件の新たな被害組織名をリークサイトのトラッカーに投稿する。
Wrong if10月26日末までに、ransomlookまたはransomware.liveのフィードにStormの新たな被害組織が現れない。
根拠
1. 1infosec.exchange🚨New ransom group blog posts!🚨Group name: Storm Pos…
f-2026-10-19-2
Confidence0.60
DueSun 1 Nov13d
Drupalの2件の重大な遠隔コード実行の脆弱性について、実環境での悪用または公開された概念実証コードの報告が、11月1日までに現れる。
Wrong if11月1日末までに、Drupalの遠隔コード実行の脆弱性に関する悪用報告や公開PoCが、これらのフィードに現れない。
根拠
1. 1RSSDrupal patches critical RCE flaws, warns exploits m…
2. 2Security newsDrupal patches critical RCE flaws, warns exploits m…
f-2026-10-19-3
Confidence0.35

Scorecard

2 right · 2 open

open
No official T-Mobile breach notification or verified data sample corroborating BYOD's claim appears in these feeds.
Called Fri 9 Oct · due Fri 16 Oct
Past due. No T-Mobile statement, filing or verified sample appears in any of today's items.
open
None of KFC, MoneyGram, Confluent, BigID or Placer AI publicly confirms a breach in these feeds by 18 October.
Called Tue 13 Oct · due Sun 18 Oct
Due 18 Oct passed. No confirmation from KFC, MoneyGram, Confluent, BigID or Placer AI appears in any item.
right
Qilin will not sustain yesterday's volume: at least one day between 17 and 21 October will show fewer than ten Qilin leak-site items on ransomware.live.
Called Fri 16 Oct · due Wed 21 Oct
On 18 Oct, ransomware.live shows only 5 Qilin claims (Mastelli, Pergande, Pengurusan, BRUTRA, Llano). On 17 Oct it shows 1. Both are under ten, though the feed may be a sample.
根拠
right
N0n posts at least one further numbered anonymised victim above #88 on its leak site.
Called Sun 18 Oct · due Fri 23 Oct
N0n posted Company #89 and #90 (5:52–5:53 UTC) and #91 (8:54 UTC) on 18 Oct. ransomlook shows the same listings.

用語解説

マルチテナントアプリケーション (n.): すべての顧客で同時に通用する1つの秘密情報。連携機能として売られ、インシデント通知では7件のアプリケーションIDと記され、土曜日に無効化された。

§5

自社エッジより

過去24時間に自社サーバーへ着弾した攻撃のリアルタイム記録。

当社のエッジでは24時間に敵対的な送信元53件を分類した。内訳はスキャナー42件、ボットクローラー9件、標的型オペレーター2件で、合計6,394件のリクエストを送信し、うち7件が偵察の域を超えて実際の悪用試行に及んだ。送信元は92か国の4,919アドレスで、本日初めて確認されたものは1,040件である。注目すべきは、34.53.212.113が/.env-example、/.aws/config、/.env.awsを順に探った後、/.env.anthropicを要求した点で、モデルAPIキーがクラウドの鍵と並ぶ標準的な標的リストに載ったことを意味する。ほかにも、35.240.58.49は約0.4秒で118件のリクエストを発し、LaravelおよびDockerの.envファイルを探した。11のアドレスはホストを入れ替えながら同一の挙動フィンガープリント(DNA dfef4501b216)を共有していた。20.196.193.222は1分に1件の一定ペースで470件のリクエストを送り、WordPressのHelloPressファイルマネージャーを探していた。2つのアドレスは依然としてCVE-2017-9841を当方に対して乱射しており、パッチ適用についてインターネットが実際にどう考えているかを物語っている。最も敵対性が高かった7.7/10は84.17.60.236で、わずか20件のリクエストで認証情報アクセスの段階に達し、xmlrpc.phpを探していた。生ログがサーバーから出ることはなかった。出したのは分析結果だけである。

53分類した敵対的送信元

6,394それらからのリクエスト

7悪用に至ったもの

6共有DNAのクラスター

7.7/10最高の敵対性

4,919エッジで確認したアドレス

1,040本日初確認

92国・地域

WTFリスト

WTF #1
AIキーを探す者
スキャナーの34.53.212.113(敵対性5.7/10)は、当社の2サイトに234件のリクエストを送り、/.env-example、/.aws/config、/.env.aws、/.aws/.envを探った。
なぜ異常かAIの認証情報である/.env.anthropicに直行した。モデルAPIキーは、スキャナーの標的リストでクラウドの鍵と並ぶ存在になった。
attribution: 独自の認証情報収集スキャナー(センサーの最有力一致、45%)Sun 18 Oct, 05:00 UTC
Detail
```
キルチェーン:偵察 → 武器化 · DNA 9427f6c77bf1
```
WTF #2
最も執拗な訪問者
標的型オペレーターの84.17.60.236(敵対性7.7/10)は、当社の1サイトに20件のリクエストを送り、/login/wp-includes/wlwmanifest.xml、/login/xmlrpc.php、/login/blog/wp-includes/wlwmanifest.xml、/login/web/wp-includes/wlwmanifest.xmlを探った。
なぜ異常か本日最高の敵対性であり、キルチェーンは認証情報アクセスに到達した。
attribution: 不明Sun 18 Oct, 05:00 UTC
Detail
```
キルチェーン:偵察 → 武器化 → 悪用 → 認証情報アクセス · DNA 82a939927b85
```
WTF #3
当社にCVE-2017-9841を試行
2つのアドレスが、CVE-2017-9841の悪用に似た形(/vendor/phpunit/phpunit/…)の16件のリクエストを送った。170.64.211.230と94.26.0.103を含む。
なぜ異常か既知で名前の付いたエクスプロイトが今なおインターネットに乱射されている。パッチ情報が何年のものであれ、当社のエッジは本日これを確認した。
attribution: 不明
Detail
```
プローブの系統:phpunit-rce
```
WTF #4
同じDNA、異なるアドレス
スキャナーの34.131.254.38(敵対性6.3/10)は、当社の1サイトに277件のリクエストを送り、/.git/config、/.env、/.env.local、/.env.productionを探った。
なぜ異常か11のIPが1つの挙動フィンガープリント(DNA dfef4501b216)を共有している。1つのツールまたは1人のオペレーターがアドレスを入れ替えているもので、20.194.96.223、20.207.202.183、74.225.146.100、2001:41d0:601:2000::166e、20.214.147.109などがある。
attribution: 不明Sun 18 Oct, 20:00 UTC
Detail
```
キルチェーン:偵察 → 武器化 · DNA dfef4501b216
```
WTF #5
最も奇妙な標的リスト
スキャナーの20.196.193.222(敵対性6.5/10)は、1分に1件のペースで当社の3サイトに470件のリクエストを送り、/wp-content/plugins/hellopress/wp_filemanager.php、/this_is_a_new_hello_world.php、/3PJcpMFsD8B.php、/sm.phpを探った。
なぜ異常かほとんど他者が求めないファイルを要求した:/wp-content/plugins/hellopress/wp_filemanager.php、/this_is_a_new_hello_world.php、/3PJcpMFsD8B.php、/sm.php、/ebkid.php。
attribution: WordPress HelloPress File Manager RCEスキャナー(センサーの最有力一致、55%)Sun 18 Oct, 05:00 UTC
Detail
```
キルチェーン:偵察 → 武器化 · DNA 8e306493632a
```
WTF #6
急ぐ者
スキャナーの35.240.58.49(敵対性5.5/10)は、当社の1サイトに118件のリクエストを送り、/.aws/.env、/.env、/.docker/.env、/.docker/laravel/app/.envを探った。
なぜ異常か約0.4秒で118件のリクエストを発した。
attribution: 自動化された認証情報・機密情報収集ツール(センサーの最有力一致、55%)Sun 18 Oct, 05:00 UTC
Detail
```
キルチェーン:偵察 → 武器化 · DNA 18e39c4b41fb
```

§6

同行取材

登録不要、営業連絡なし。無償のライブツール。

§7

奥付

本号の制作過程を、飾らずに記す。

第22号は機械が作成し、コードが検証した。12の公開脅威フィードが英国時間05:05までの24時間に公開した全483件を通読した。統計はコードで算出し、各区分をClaude Sonnetが読み、全体構成をClaude Opusが統合した。その後、Claude Opusが紙面を編集した。各記事は根拠とする項目を明示しており、出典が確認できなかった記事や、数値が出典に含まれていなかった記事は公開前に除外した(本日は0件)。予測は後の号で公開のもと採点する。「当社のエッジから」は、当社自身のサーバーで得たライブの攻撃データである。本号の費用は0.74ドル。『Everything Is Probably Fine』の著者ScottGの語り口で機械が執筆しており、人の手による編集は一切ない。それが狙いなのか、問題なのかは分からない。

483items read

24hour window

$0.74cost of this edition

04:05 UTCgenerated

本日の情報源

ThreatFox150ok
NVD100ok
infosec.exchange77ok
Signal Atlas56ok
ransomware.live26ok
RansomLook26ok
atlas20ok
Security news10ok
signal:ioc-family6ok
signal:actor6ok
RSS3ok
AlienVault OTX3ok

受信箱へ。毎朝。おそらく。

Webアプリケーションファイアウォールが侵入の足掛かりに

N0nは土曜日に29件を投稿、最悪の被害は他社の顧客のものだ

Helixはカウントダウンの時計を発見し、それはGoFileの中で進む

Qilinは1日に37件を投稿、新たな名称Stormが1時間で3件の被害者を掲載

VidarのC2基盤は数字と短いドメインで構成され、ハンティングが可能だ

米国のセキュリティ求人が26%減少、誰もが情報漏えいの原因となる分野で採用を進める

ダイヤル式電話の時代を覚えている古いバグで、OpenBSD 7.9のroot権限を奪取できる

周囲の人々をコンテンツに変える75ドルのリストバンド

ConnectWiseの事案は173件の侵入ではなく、MSPの信頼の悪用である

N0nの土曜日は、主に下流の税務・会計の露出である

Qilinの急増は、活動ペースではなく取り込みによるものかもしれない

NVDとOTXはともに10月18日00:04で更新が止まる

Today’s calls

Scorecard

用語解説

WTFリスト

AIキーを探す者

最も執拗な訪問者

当社にCVE-2017-9841を試行

同じDNA、異なるアドレス

最も奇妙な標的リスト

急ぐ者

受信箱へ。毎朝。おそらく。

本日の情報源