SekoiaのTDRは、APT29によるものとされる大規模な水飲み場型攻撃を報告している。感染経路は3つある。正規サイトの侵害、著名ドメインを装う中間者攻撃型のなりすまし、ウクライナのウェブ分析サービスPlerdy SEO Trackerへのサプライチェーン侵害である。挿入されたスクリプトは、閲覧者に対しゼロクリックでn-dayのiOSおよびAndroidのエクスプロイトを配信し、DarkSwordとAndroSnitchを投下してブラウザのCookie、Wi-Fiパスワード、端末情報を窃取した。4種類の独立した情報源が5時間以内にこれを報じており、今回は収集元の反響ではなく実際の事象を反映している。
Brian Krebsによると、セキュリティ専門家の話として、ホワイトハウスの複数の職員が、自身のインターネットアドレスを他者に貸し出せるようにする住宅向けプロキシサービスを稼働させたコンピューターまたはモバイル端末を使用している。そのプロキシサービスの一つはロシア企業のもので、創業者のウェブホスティング事業は、Krebsの表現では、アリゾナ州の選挙システムに対するサイバー攻撃の「震源地」であった。この記事は同日朝、Telegramでも拡散された。
Nothing to seeランサムウェア各グループにまたがる組織的なキャンペーンの証拠はない。情報源間の重複は、同じ投稿が二重に複製されたものにすぎない。11月5日の04:00のクラスターは、通常の朝の投稿の波である。BreachForumsの「最終章」メッセージ、国連およびインド政治に関するハクティビストの主張、バヌアツの地震信号、AS35805のShodanの注記は、いずれも単一情報源のノイズであり、何も構築していない。11月4日00:31以降のNVDの沈黙は、障害ではなく一括取り込みによるものとほぼ断定できる。
Deep read: 572 処理件数
§4
予測
日付と検証条件を明示した予測。採点は公開の場で行う。
Today’s calls
DueCallConfidence
DueSat 14 Nov9 days
Amadeus IT Groupに起因する情報漏えいを、少なくとも1社の航空・旅行・ホスピタリティ企業がさらに公表する。
UpTransportation — 1.9× its own prior share (68 claims, 35 expected)
UpEducation — 1.9× its own prior share (53 claims, 28 expected)
UpEnergy & Utilities — 1.4× its own prior share (37 claims, 27 expected)
UpHealthcare — 1.2× its own prior share (107 claims, 89 expected)
DownAgriculture and Food Production — 0.6× its own prior share (20 claims, 35 expected)
25% of claims carry no sector label.
Brand churn
Of the 234 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 38% made at least half their claims in their first week. New brands this month: 3 — newest: Aoqin (2026-11-04, 4 claims), OBSOFT (2026-11-03, 6 claims), PixelLeaks (2026-11-03, 1 claim).
Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.
Targeting
Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.4× every other brand's share); N0n put 33% of its claims on Transportation (7.4× every other brand's share); genesis put 95% of its claims on the United States (2.6× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.
Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.
Posting clock
Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 60% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 1 of 195 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 33% quieter per weekend day than per weekday.
all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.
Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.
Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers