リード · 脆弱性

PAN-OSでMFAは破られたのではない。そもそも求められなかったのだ

Palo Alto社によると、ランサムウェア攻撃者は5月に修正された認証バイパスの脆弱性CVE-2026-0257を悪用し続けており、不正なVPN接続を確立して多要素認証を回避している。QilinとINCが名指しされている。

確度 0.85

多要素認証は壁ではない。扉の前で丁寧に尋ねる質問にすぎず、CVE-2026-0257は、誰も質問をしていない建物の別の部分から入り込む手口である。Palo Alto Networksは、PAN-OSおよびPrisma Accessにおける認証バイパスの脆弱性(CVSS 7.8)が、不正なVPN接続を構築するランサムウェア攻撃者によって悪用され続けていることを確認していると公表した。Mastodonで共有された報告は端的に述べている。5月に修正されたバグを突き、MFAを回避しているのはQilinとINCだという。5か月は猶予期間ではない。カーテンの掛かった窓である。

同じ期間、Qilinは各フィードで最も騒がしい一日を記録した。10月19日には19件が一斉に掲載され、他の日の中央値は1件だった。Belcorp、CREDIN、Salauno、Grupo Cronica、Dental Team FL、Johnson & Pace、SkyWorld Air Cargo、WalkingTree Technologies、GardaWorld、Toyota Canarias に対する犯行声明が出され、リークサイトのミラーが後に続いた。INCも同じ時期にSeetelhotels.deとcentralrogers.comを犯行声明に載せた。これらの被害者がPalo Altoの脆弱性経由で侵入されたことを示した者はおらず、そう装うつもりもない。しかしベンダーはこの侵入経路が現在も有効だと述べており、勧告で名指しされた攻撃者こそがリークサイトを埋めている攻撃者である。

したがって本日の作業は地味で具体的である。記憶ではなくバージョン文字列によって、自社のPAN-OSおよびPrisma Access環境に5月の修正が実際に適用されたことを確認し、そのうえでVPNの認証記録を調べ、誰にも促されないまま到達したセッションがないかを確かめる。後半は見落とされがちだ。前半は緑のチェックマークを生むからである。パッチ適用済みの機器が示すのは将来であり、すでに経過した5か月について語るのはログである。

重要な理由これが自社の境界にあたるなら、取締役会に説明してきた代替統制、すなわちVPNのMFAこそが、この攻撃によって無効化されるものである。

根拠

Today’s revelation

信頼の起点は数学的事実ではない。鍵生成の儀式で誰かが過ごした最悪の朝についての声明であり、それが10年間、信頼ストアに保存され続けるのである。

— スタージョンの啓示 · Probably Fine Daily No. 24

§2

主要記事

過去24時間の主な動向を、根拠とともに伝える。

脆弱性

復元できるほど脆弱だったCA鍵8本、4つのルートプログラムが静かに信頼を撤回

認証局のeMudhraは、研究者が秘密鍵の脆弱さを指摘し、誰でもほぼ即座に復元して正規サイト向けの信頼される証明書を偽造できると判明したため、侵害された中間証明書8件を失効させた。Goは10月20日に1.27.3と1.26.10を公開し、この8本の中間鍵を経由する証明書チェーンを検証側で拒否するようにした。Mozilla、GoogleのChrome Root Program、Appleもこれに続いた。鍵がなぜそこまで脆弱になったのかは、本日の報道のいずれでも確定していない。この件に関するある投稿は、認証局は何一つ任せられないことがまた証明されたとだけ記しており、返信で異論を唱える者はいなかった。

重要な理由Goで固定、検証、ビルドを行うものはすべて新しいツールチェーンが必要である。それ以外はベンダー経由で修正を受け取るため、適用されたことが通知されることはない。

確度 0.85

根拠

脆弱性

CISAがKEVに6件を追加、うち4件はメディアサーバーの脆弱性

CISAは10月20日、Plex Media ServerのCVE-2026-96652、96654、96655、96656を追加した。2件のSSRF、エンコードされたURIスキームの欠陥、任意ファイル書き込みであり、連鎖可能と明記されている。このほか、Siemens Software CenterのCVE-2026-110936と、rootまたはSYSTEM権限でコマンドを実行するEG Secure Solutions SiteGuard Server EditionのOSコマンドインジェクションCVE-2026-106931も追加された。Plexの攻撃連鎖は、10月16日に概念実証コードが公開された翌日に悪用が始まり、XMRigマイナーとLinuxのリバースプロキシ型バックドアが配布された。修正は8月3日に1.43.3.10861で提供済みだった。記述に食い違いがある点には注意が必要だ。KEVは連鎖の一部に管理者または認証済みユーザーが必要としているが、Mastodonで出回る公開解説は最終結果を認証不要の遠隔コード実行(RCE)と呼んでいる。Siemensの脆弱性はClickFixの誘い文句に使われ、正規に署名されたSoftware Centerと悪意あるDLLが組み合わされている。

重要な理由パッチ公開からKEV追加まで2か月半かかったことは、露出しているのが資産台帳を持たない家庭や小規模事業者の機器であることを意味する。

確度 0.90

根拠

マルウェアとIOC

1週間で7件の信頼された更新経路が侵害された。偶然というより、ビジネスモデルである

ConnectWise Cloud Backup(旧SkyKick)のMicrosoft 365 API資格情報が侵害され、顧客のM365テナントへの認証に使われた。ConnectWiseはサービスを停止し、アカウントをリセットしてアプリケーション資格情報を入れ替えたが、顧客への影響は未確認としている。同じ時期には、乗っ取られた貢献者のGitHubアカウントを使い、攻撃者がOVHcloud CLIの既存リリース5件の配布アーカイブを秘密情報窃取型のビルドに差し替えた。Rank Math PROは、10月15日20:02 UTCから10月16日07:12 UTCまでのダウンロードに、自己復元型バックドアが含まれていた。窃取されたUpdraftCentralの接続鍵はWordPressサイトへのバックドア設置に使われ、AOMEIの更新基盤は、ベンダーが1億人超の利用者がいるとするソフトウェアの利用者にShinyRoadダウンローダーを配信した。Zeabur は、侵入者が平文の内部資格情報を使って320万件の環境変数レコードと321,810アカウントのデータを持ち出したため、閉鎖する。OpenCodeも続く。侵入者が10月16日夜にレガシーシステムへ到達し、利用者が保存したOpenAI、Anthropic、GoogleのAPIキーが露出した可能性がある。

重要な理由許可リストとは、その資格情報が自社の攻撃対象領域の一部となった相手の一覧である。自社テナントへのトークンを保有するベンダーを棚卸しし、該当するものはローテーションすべきである。

確度 0.90

根拠

ランサムウェア

7日間で226件の犯行声明、最も急増したグループは身代金要求ではなくネットワーク図を投稿

今週の集計では、追跡対象130グループのうち38グループがリークサイトで計226件の犯行声明を出した。N0nは過去の発生率から見込まれる20.74件に対し51件と急増し、iah6477は1.0件に対し8件、Helixは0.81件に対し7件だった。N0nの掲載内容は通常の暗号化型グループとは異なる。放送局の送出拠点のネットワーク・機器設定ファイル、決済基盤のアクセス用秘密情報とクラウド構成、ERPホスティング管理者およびリモートアクセスの資格情報、そして韓国、スイス、トリニダード・トバゴ、チュニジア、エチオピアにまたがるCompany #92から#98までの匿名化された仮名の列である。ほかにも、Booba Projectは1日で7件の被害者を掲載し、その中にはResearch Foundation of The City University of New Yorkに帰属する295 GBが含まれる。RedactはBaker Donelsonを102,390ファイル・355 GBで掲載した。FBIは英独当局とともに、SafePayを2024年以降600超の被害者を出した最も活発なグループの一つとし、パスワード推測、脆弱性の悪用、フィッシングで侵入していると述べた。

重要な理由暗号化ではなく資格情報とネットワーク構成を前面に出すグループは、アクセスと交渉材料を売っている。つまり検知の機会は、何かが壊れた後ではなく、壊れる前にある。

確度 0.80

根拠

1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-10-21. In th…

AIとセキュリティ

AI侵入テスト基盤が1,200のウェブサイトに向けられ、ただ淡々と実行した

少なくとも3つの攻撃者が、AIプラットフォームCairnを悪用して永続的なアクセスと金銭窃取を行っている。中国語を話すある運用者は自律型エージェントを1,200超の企業サイトに向け、John Deere、SharkNinja、Cummins を含む100超の組織に到達した。運用者が管理画面をインターネットに公開したままにしていたため、ある研究者はその様子を観察できた。同じ2日間に、NIST、CISA、NSAは、暴走するAIエージェントのインシデントへの準備、検知、対応、報告に関する10の任意実践項目を公表した。Microsoftは、企業はエージェントを内部関係者として扱い、タスクごとにアクセスを付与し、エージェントのリスクスコアが上がるにつれて絞り込むべきだと述べた。MITRE ATT&CK v20も同期間に公開され、AIの悪用、MFAの回避、水道事業者への攻撃を対象に、15の新たな検知戦略と38の分析を収録している。

重要な理由攻撃者のエージェントはすでに本番稼働している。自社のエージェントは、運営委員会付きの試験導入段階にある。

確度 0.80

根拠

脆弱性

詳細が先に漏れたため、PHPが本日緊急パッチを公開する

PHPのセキュリティチームは10月20日、予定された公開に先立って情報が漏えいしたとされる2件の重大な脆弱性について、翌21日、すなわち本日の緊急更新に備えるよう管理者に警告した。夜間に出回った投稿は、これらをCVE-2026-109618およびCVE-2026-109619としている。これとは別に、Fortinet FortiSIEMの重大なパストラバーサルの脆弱性CVE-2026-106173(CVSS 9.4、認証不要の遠隔コード実行が可能)について、公開の概念実証コードが出回っている。Drupalは重大なコアのRCEについて急速な悪用の危険を警告し、F5はNGINXの重大な3件の欠陥に対して定例外のパッチを公開した。BeyondTrust Remote Supportの重大な認証バイパスCVE-2026-102764は、実環境で悪用されていると報告されている。

重要な理由開示のタイミングは、いまや攻撃者の計画要素である。修正より先に詳細が漏れれば、参加した覚えのない悪用競争に巻き込まれる。

確度 0.85

根拠

脅威アクター

恐喝の最中に連絡する相手は、恐喝者と名前で呼び合う仲だったかもしれない

KrebsOnSecurityによると、FBIから高度に機密性の高いデータを最近盗んだShinyHuntersを追う米連邦捜査当局は、恐喝グループと異例に親密な関係を保っていた2つの別個のランサムウェア交渉会社の幹部を特定した。うち1人は恐喝サイトを運営していた疑いがある。現時点では単一情報源の報道であり、当該会社名は記事中に挙げられていない。同じ週には、Ahold Delhaizeが、悪意ある行為により米国と欧州のほとんどのブランドでシステムが停止したと確認したが、犯行声明を出したグループはない。

重要な理由インシデント対応の委託先に対するデューデリジェンスは、調達上の形式ではなく、いまや統制の一つである。交渉担当者の所有者と、その取引先を確認すべきだ。

確度 0.50

根拠

珍事

WhatsAppのヘルプページは、自社のチャットボットに規制当局に言及しないよう指示していた

WhatsAppのヘルプページには、サポート用チャットボットへの隠された指示が含まれており、アカウントを削除できなくなった利用者に対してデータ保護当局や規制当局を案内しないよう命じていた。同社の欧州向けプライバシーポリシーは苦情を申し立てられると利用者に伝えており、この対応はそれと矛盾する。今週の珍事の棚から、ほかにも挙げておく。会議室に秘密の録音機を仕掛けたとして告発されたOpenAIの元従業員は、検察によればサウジアラビアへ出国する計画であり、家族は逮捕の翌日に出国した。また、リークサイトのデータでは、Global Secret GroupによるSeminole Schoolsの掲載が、フロリダのドメインとオクラホマの学区ウェブサイトを組み合わせており、私たちが引用する被害者記録にどの程度の注意が払われているかを物語っている。

重要な理由ヘルプページのプロンプト文は今や方針そのものだが、ガバナンス部門の誰もそれを確認していない。

確度 0.75

根拠

§3

深層

今日の精読：フィードの表面ではなく、その下にあるものを読む。

フィードの裏側:1つの上流観測が6通りの装いで現れた事例と、報道より先に動いたルートプログラムの開示。

Exception 01
GoはeMudhraの名が挙がる数時間前に鍵をブロックしていた
Goのブロックリスト変更は10月20日に反映され、報道機関が8本の鍵をeMudhraに結び付けるおよそ3〜5時間前だった。この主体についてはサイバーニュースのストリームがRSSを7.6時間先行し、Mozilla、Google、Appleが続いた。この順序は、独立した発見ではなく、ルートプログラム運営者間の協調した静かな開示を思わせる。鍵が脆弱だった根本原因は依然として不明である。
確度 0.70
Wrong if
Goのリリースがを eMudhraと無関係だった、あるいは鍵が脆弱ではなかったことを示す証拠。
Watch
eMudhraのインシデント後報告、Mozillaのバグトラッカー、および実際の不正発行の証拠。
根拠
Exception 02
ランサムウェア攻撃者の複数情報源での件数は、大半が単一情報源の反響である
ransomware.liveは、共有されるほぼすべての対象でransomlookに1〜23.2時間先行している。Atlasは10月19日17:18の同一タイムスタンプで「thegentlemen」関連記事をまとめて出力し、signal:atlasが29.7時間後にそれを繰り返した。したがって、情報源の幅広さはここでは裏付けの指標として不十分であり、Qilinの背後にあるとされる6情報源分の重みは割り引いて見るべきである。
確度 0.70
Wrong if
ransomware.liveより先にransomlookに現れる、独立した被害者の確認。
Watch
次回のAtlasの再計算が再び17時台にまとめて行われるかどうか。
根拠
1. 1ransomware.liveqilin claimed Belcorp (Retail & E-Commerce · PE) —…
Exception 03
N0nはスクリプト化されており、データ窃取のみとみられる
N0nは3つの情報源にまたがる34項目を持ち、約24時間で少なくとも11件の被害者を投稿したうえ、番号付きの仮名Company #95から#98をまとめて公開した。掲載内容は暗号化ではなく、ネットワーク構成、トポロジー、アクセス用秘密情報を前面に出している。このパターンは、従来型のランサムウェア活動というより、バッチ処理による自動化と、アクセスブローカーまたはデータ恐喝型のモデルに合致する。見かけ上の件数の一部は、10月19日17:00 UTC台に出現した38項目の集約クラスターと重複している。
確度 0.50Speculative
Wrong if
被害者が暗号化や業務停止を確認すること、または番号付きの項目が通常のペースで実名の被害者に特定されること。
Watch
仮名が特定されるかどうか、そして週間の期待発生率20.74件を上回る出力が続くかどうか。
根拠
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-10-21. In th…
Exception 04
サプライチェーン関連のクラスターは、同じ形を共有しているが、まだ一連のキャンペーンとは言えない
ConnectWise、OVHcloud、Rank Math PRO、UpdraftCentral、AOMEI、Zeaburは、いずれも数日のうちに被害を受けた。共通するパターンは、単一の脆弱性ではなく、開発・管理ツールからの資格情報、鍵、秘密情報の窃取である。単一のキャンペーンかどうかは立証されていない。ConnectWiseはOTXに報道の3.3時間前に現れており、これはIOC先行型の開示と整合する。
確度 0.50Speculative
Wrong if
各インシデントのIOCに共通のインフラやツールがなく、それぞれ無関係な別個の根本原因であること。
Watch
ConnectWiseによる顧客への影響の確認と、OVHcloud、Rank Math、Updraftの各インシデント間で重なるIOC。
根拠

Nothing to see04:06に見られたMoziとMiraiの指標の急増は、1つのフィードが息を吐き出しただけで、攻撃者としての意味付けはない。台湾、ロシア、コロンビア、バヌアツに関するAtlasの「複合危機」記事は、対象期間内にそれを裏付ける項目が一つもない。SwallowtailとAPT28の報告は、2つのベンダーが同じロシアの諜報活動に名前を付けたものとみてほぼ間違いなく、別のキャンペーンではない。Mastodon上のAfDに関する250 GBの主張は未検証であり、誰かが根拠を示すまで取り上げない。10月20日05:48以降のatlas、KEV、Qilinでの沈黙は、静けさではなく取得周期によるものである。

Deep read: 391 処理件数

§4

予測

日付と検証条件を明示した予測。採点は公開の場で行う。

Today’s calls

DueFri 23 Oct72h
PHPは、10月20日に指摘された2件の重大な脆弱性(CVE-2026-109618およびCVE-2026-109619と報じられている)の修正を、10月23日中に公開する。
Wrong if10月23日23:59 UTCまでに、これらの脆弱性に対処するPHPのリリースがない。
根拠
f-2026-10-21-1
Confidence0.85
DueWed 28 Oct7d
N0nは、10月28日までにransomware.liveまたはransomlookで少なくともさらに10件のリークサイト被害者を掲載し、番号付きの仮名の少なくとも1件が実名の組織に特定される。
Wrong if10月28日までに、N0nの新規掲載が10件未満、または番号付きの仮名が1件も特定されない。
根拠
1. 1Ransomware tempo · Ninja Signal graphNinja Signal ransomware tempo for 2026-10-21. In th…
f-2026-10-21-2
Confidence0.60
DueWed 4 Nov14d
CISAは、公開された概念実証コードを受け、11月4日までにFortiSIEMのパストラバーサルの脆弱性CVE-2026-106173をKEVカタログに追加する。
Wrong if11月4日時点でCVE-2026-106173がKEVに掲載されていない。
根拠
1. 1Security newsCritical FortiSIEM Flaw Gets Public Exploit PoC for…
2. 2CISA KEVCVE-2026-96656 Plex Media Server: Plex Media Server…
f-2026-10-21-3
Confidence0.40

Scorecard

1 right · 4 open

open
No official T-Mobile breach notification or verified data sample corroborating BYOD's claim appears in these feeds.
Called Fri 9 Oct · due Fri 16 Oct
No T-Mobile item in today's feed either way; absence alone doesn't settle it.
open
CVE-2026-102255 (SonicWall SMA1000) is added to the CISA KEV catalogue.
Called Sun 11 Oct · due Wed 21 Oct
Today's KEV additions (SiteGuard, Plex x4, Siemens) don't include CVE-2026-102255, but the due date is today and the feed isn't complete.
根拠
1. 1CISA KEVCVE-2026-106931 EG Secure Solutions SiteGuard Serve…
open
No confirmation of a breach at KFC, MoneyGram or Confluent appears in these feeds, leaving The Gentlemen's big-brand listings unverified.
Called Sun 11 Oct · due Wed 21 Oct
No KFC, MoneyGram or Confluent confirmation appears in today's items.
open
None of KFC, MoneyGram, Confluent, BigID or Placer AI publicly confirms a breach in these feeds by 18 October.
Called Tue 13 Oct · due Sun 18 Oct
No confirmation by any of the five appears in today's items, but absence doesn't settle a negative call.
right
CISA will add at least one of the Plex2Shell CVEs (CVE-2026-96652, -96654, -96655 or -96656) to the KEV catalogue by 3 November 2026.
Called Tue 20 Oct · due Tue 3 Nov
CISA KEV added all four Plex2Shell CVEs (96652, 96654, 96655, 96656) on 20 Oct, well before 3 Nov.
根拠

用語解説

中間CA (n.): ルートではない認証局のこと。そのため、信頼ストアの脚注や、誰かの緊急リリースノートの一行となり、依存していることすら知らなかったものが、使用を止めるよう告げられる日に初めて意識される存在となる。

§5

自社エッジより

過去24時間に自社サーバーへ着弾した攻撃のリアルタイム記録。

一方、当方の境界は、ごく退屈な海辺の町のような様子を続けた。過去24時間にAdversary DNAセンサーが分析した敵対的な発信元は13件で、内訳はスキャナー8件、ボットクローラー4件、ブルートフォース攻撃者1件、合計1,834件のリクエストを送ってきた。うち2件は偵察段階を超えて悪用の試行に至った。ある行動フィンガープリント(DNA dfef4501b216)は178.211.139.240と20.207.202.183という2つの異なるアドレスにまたがっており、1つのツールか1人の運用者が衣替えをしているものと見られる。最高スコアの20.194.17.163(6.1/10)は、毎分26件のペースで50件のリクエストを送り、/wp-content/plugins/hellopress/wp_filemanager.php、/this_is_a_new_hello_world.php、/wp-Iogin.php(lであるべき箇所が大文字のIになっている点に注意)、/bdroot.php を要求した。別の94.26.106.162は、/.env、/.env.local、/.env.staging、/.env.development を約1.7秒間に82回要求した。調整不足か、純粋な熱意かのどちらかだろう。さらに2つのアドレスが、/hnap1 に対するCVE-2015-2051型のリクエストを送ってきた。どこかでD-Linkのルーターがいまだ待ち受けており、希望は尽きないからである。当方の境界で確認された89か国の6,862アドレスのうち、3,024件は本日初めて確認された。生のログは機器の外に出ていない。

13分析した敵対的発信元

1,834発信元からのリクエスト

2悪用に到達

1共通DNAクラスター

6.7/10最高敵対度

6,862境界で確認されたアドレス

3,024本日初確認

89国・地域

WTFリスト

WTF #1
最も執拗な訪問者
スキャナーの20.194.17.163(敵対度6.1/10)は、当方のサイトの1つに毎分26件のペースで50件のリクエストを送り、/wp-content/plugins/hellopress/wp_filemanager.php、/this_is_a_new_hello_world.php、/wp-Iogin.php、/bdroot.php を探っていた。
なぜ異常か本日の最高敵対度。キルチェーンは武器化の段階に到達した。
attribution: 不明Wed 21 Oct, 01:00 UTC
Detail
```
キルチェーン:偵察 → 武器化 · DNA bccc30d19899
```
WTF #2
同一DNA、異なるアドレス
スキャナーの20.207.202.183(敵対度6.7/10)は、当方のサイトの1つに16件のリクエストを送り、/wp-content/plugins/hellopress/wp_filemanager.php、/this_is_a_new_hello_world.php、/403.php、/aaa.php を探っていた。
なぜ異常か2つのIPが1つの行動フィンガープリント(DNA dfef4501b216)を共有している。1つのツール、または1人の運用者がアドレスを入れ替えている可能性がある:178.211.139.240、20.207.202.183。
attribution: 不明Wed 21 Oct, 01:00 UTC
Detail
```
キルチェーン:偵察 → 武器化 · DNA dfef4501b216
```
WTF #3
当方にCVE-2015-2051を試行
2つのアドレスが、CVE-2015-2051の悪用に似た形のリクエスト(/hnap1)を計2件送ってきた。103.213.112.213、223.123.43.62 を含む。
なぜ異常か既知の名指しされた脆弱性攻撃が、いまだにインターネットへばらまかれている。パッチの注記が何年前のものであろうと、当方の境界では本日確認された。
attribution: 不明
Detail
```
プローブ系統:dlink-hnap
```
WTF #4
最も奇妙な買い物リスト
スキャナーの74.225.146.100(敵対度5.9/10)は、当方のサイトの1つに50件のリクエストを送り、/wp-content/plugins/hellopress/wp_filemanager.php、/this_is_a_new_hello_world.php、/wp-Iogin.php、/bdroot.php を探っていた。
なぜ異常かほとんど誰も要求しないファイルを要求した:/wp-content/plugins/hellopress/wp_filemanager.php、/this_is_a_new_hello_world.php、/wp-Iogin.php、/bdroot.php、/c.php。
attribution: 不明Wed 21 Oct, 01:00 UTC
Detail
```
キルチェーン:偵察 → 武器化 · DNA c67915f564de
```
WTF #5
急ぎの訪問者
スキャナーの94.26.106.162(敵対度4.9/10)は、当方のサイトの1つに82件のリクエストを送り、/.env.development、/.env、/.env.staging、/.env.local を探っていた。
なぜ異常か約1.7秒間に82件のリクエストを送信した。
attribution: 不明Wed 21 Oct, 01:00 UTC
Detail
```
キルチェーン:偵察 → 武器化 · DNA ce6ecdfacbe3
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

226claims, 7 days

38of 130 groups active

N0n51 this week · surging

thegentlemen37 this week · surging

qilin29 this week

SurgingN0n — 51 claims in 7 days against 20.7 expected from its own prior rate (p < 0.001)
Surgingiah6477 — 8 claims in 7 days against 1.0 expected from its own prior rate (p < 0.001)
SurgingHelix — 7 claims in 7 days against 0.8 expected from its own prior rate (p < 0.001)
SurgingRedact — 3 claims in 7 days against 0.3 expected from its own prior rate (p = 0.004)
Surgingthegentlemen — 37 claims in 7 days against 25.3 expected from its own prior rate (p = 0.017)
SurgingBooba Project — 6 claims in 7 days against 2.1 expected from its own prior rate (p = 0.022)

Gone quiet: xpl0itrs (62 days), CRPxO (80 days), cmdorganization (82 days), ExfilSquad (87 days).

Sector pressure, 30 days

UpTransportation — 2.3× its own prior share (72 claims, 31 expected)
UpEducation — 1.9× its own prior share (47 claims, 25 expected)
UpHealthcare — 1.5× its own prior share (115 claims, 76 expected)
DownRetail & E-Commerce — 0.7× its own prior share (44 claims, 60 expected)

22% of claims carry no sector label.

Brand churn

Of the 79 leak-site brands first seen since 2026-06-01, 79% were still claiming 30 days after their first post and 79% were still claiming 60 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 19% of the 53 old enough to judge posted on one day and never again; 40% made at least half their claims in their first week. New brands this month: 10 — newest: Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims), 0x00 (2026-10-15, 1 claim).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

同行取材

登録不要、営業連絡なし。無償のライブツール。

§8

奥付

本号の制作過程を、飾らずに記す。

第24号は機械が作成し、コードが検証した。12の公開脅威フィードが英国時間05:05までの24時間に公開した全項目(391件)を全文読み込み、統計はコードで算出し、各区分はClaude Sonnetが読み、構成はClaude Opusが統合した。その後、Claude Opusが紙面を編集した。各記事は根拠とした項目を明示しており、出典が解決できなかった記事や、数値が出典に含まれていなかった記事は公開前に除外された(本日は0件)。予測は後日の号で公開のうえ採点する。「From our edge」は当社自身のサーバーで得たライブの攻撃データである。本号の費用は0.72ドル。ScottG(Everything Is Probably Fine の著者)の文体で機械が執筆しており、人の手による編集は一切ない。それが狙いなのか問題なのかは、読者の判断に委ねる。

391items read

24hour window

$0.72cost of this edition

04:05 UTCgenerated

本日の情報源

Security news82ok
infosec.exchange72ok
RansomLook56ok
ransomware.live55ok
Signal Atlas39ok
atlas33ok
RSS22ok
AlienVault OTX13ok
signal:kev6ok
CISA KEV6ok
signal:ioc-family6ok
Ransomware tempo · Ninja Signal graph1ok

受信箱へ。毎朝。おそらく。

復元できるほど脆弱だったCA鍵8本、4つのルートプログラムが静かに信頼を撤回

CISAがKEVに6件を追加、うち4件はメディアサーバーの脆弱性

1週間で7件の信頼された更新経路が侵害された。偶然というより、ビジネスモデルである

7日間で226件の犯行声明、最も急増したグループは身代金要求ではなくネットワーク図を投稿

AI侵入テスト基盤が1,200のウェブサイトに向けられ、ただ淡々と実行した

詳細が先に漏れたため、PHPが本日緊急パッチを公開する

恐喝の最中に連絡する相手は、恐喝者と名前で呼び合う仲だったかもしれない

WhatsAppのヘルプページは、自社のチャットボットに規制当局に言及しないよう指示していた

GoはeMudhraの名が挙がる数時間前に鍵をブロックしていた

ランサムウェア攻撃者の複数情報源での件数は、大半が単一情報源の反響である

N0nはスクリプト化されており、データ窃取のみとみられる

サプライチェーン関連のクラスターは、同じ形を共有しているが、まだ一連のキャンペーンとは言えない

Today’s calls

Scorecard

用語解説

WTFリスト

最も執拗な訪問者

同一DNA、異なるアドレス

当方にCVE-2015-2051を試行

最も奇妙な買い物リスト

急ぎの訪問者

受信箱へ。毎朝。おそらく。

本日の情報源