X-Force Threat Intelligence Index 2026

X-Forceは過去2年間、業界や地域を問わず攻撃者が用いる主な初期侵入経路として、正規の認証情報の悪用を報告してきました。

インフラへのアクセスに正当な認証情報を使用する手法は、比較的容易で成功率が高いことから、攻撃者を引き付けてきました。しかし、2025年にはこの傾向が大きく変化しました。X-Forceは、外部に公開されたアプリケーションの悪用によるインシデントが44％増加したことを確認しました。外部に公開されたアプリケーションの悪用は全体の40％を占める一方、正規の認証情報の悪用は32％にとどまりました。外部に公開されたアプリケーションは、アプリケーションの展開、設定、またはその両方に関連する脆弱性や設定ミスを通じて悪用される可能性があります。

この傾向は、開発エコシステムや信頼されたインフラを狙うサプライチェーン攻撃の増加によってさらに加速しました。これにより、脆弱性はソフトウェア・ライフサイクルのより早い段階で、より大きな規模で悪用されるようになりました。この変化は、X-Force Redが確認したお客様環境の弱点（本レポート後半で説明）とも関連している可能性があります。具体的には、Common Attack Pattern Enumeration and Classification（CAPEC）のCAPEC‑180、CAPEC‑49、CAPEC‑242で示される設定ミス、脆弱な認証、セキュアでないコードが、一貫して容易な侵入経路になっていました。サプライチェーンエコシステムのシステム的な脆弱さと、こうした基礎的なCAPECの弱点の広がりが相まって、2025年を通じて脆弱性の悪用は大幅に加速しました。

さらに、2025年には発見と報告の取り組みが活発化したことも確認しました。X-Forceは脆弱性を継続的に追跡するデータベースを維持しており、データは新規脆弱性が前年比で顕著に増加していることを示しています。この傾向は、ソフトウェアエコシステムの複雑化と、AIシステムを含む攻撃対象領域の拡大を示しています。また、研究者と攻撃者の双方がAIや機械学習ツールを使用して脆弱性を特定していることが、脆弱性報告の増加に一部寄与している可能性もあります。

さらに、追跡した脆弱性は、悪用に認証が必要かどうかによって2つのカテゴリーに分類できます。データによれば、脆弱性の大半（56％）は認証なしで悪用可能であり、潜在的な攻撃対象領域を大きく広げています。これは重大なセキュリティー上の懸念を示しています。認証制御が欠如したシステムは不正アクセスや悪用にさらされやすく、組織には強固な認証メカニズムの導入と、厳格なアクセス・ポリシーの徹底が求められます。

主要な初期侵入経路ではなくなったものの、正規アカウントの悪用はケースの約3分の1を占めており、攻撃者が引き続き正当な認証情報に依存していることが分かります。正当な認証情報は、脆弱性悪用を必要とせず、通常の認証プロセスに自然に紛れ込めるため、攻撃者にとって依然として好まれる侵入手段の1つです。この傾向は、複数のIBM X-Force調査で明確に確認されています。

認証情報の窃取を起点とするキャンペーンでは、次のような共通点が見られます。

• Hive0145による2025年のドイツの組織への攻撃では、Microsoft OutlookとMozilla Thunderbirdのログイン情報を収集する目的でStrela Stealerが配布されました。入手した正規の認証情報により、攻撃者はメールボックスにアクセスし、ユーザーになりすますことができました。
  
  
• 同様に、フランスを狙ったスピア・フィッシング・キャンペーンでは、流出したISP（インターネット・サービス・プロバイダー）の顧客データを使用して被害者を誘導しました。被害者が偽のログインページにAmazonの認証情報を入力すると、技術的な悪用を伴わずに即座にアカウントを乗っ取ることができました。

フィッシングによる認証情報窃取キャンペーンにとどまらず、攻撃者は価値の高い認証情報を保管または管理するシステムも標的にしています。X-Force Red Adversary Servicesチームは、SCCM（MicrosoftのSystem Center Configuration Manager）の認証情報復号化に関する調査結果を公開しました。アナリストは、攻撃者がConfiguration Managerのサイト・サーバーに足掛かりを得ると、SCCMデータベースに保存されたサービス・アカウントのパスワードを抽出し、復号化できることを示しました。その後、攻撃者はこれらの正規の認証情報を利用し、組織の管理基盤と同等の信頼と到達範囲で環境内を横展開できます。この段階で脆弱性悪用は不要です。攻撃者は、ソフトウェアの展開を自動化し、広範なネットワーク権限を持つSCCMアカウントで単に「ログイン」します。その結果、1台の侵害されたサーバーが、企業全体へのアクセスにつながります。

フィッシングや窃取によって得た正当な認証情報を使用すれば、攻撃者は部外者から正規ユーザーへと立場を変え、制御を回避しながら、永続的で目立ちにくいアクセスを得られます。

認証情報が攻撃者にとっていかに価値が高いかを考えれば、サイバー犯罪者のマーケットプレイスで最も求められるアイテムの1つになっていることは不自然ではありません。X-Forceの分析では、2025年に被害組織が受けた影響の中で、認証情報の収集が最も多い項目でした。

ビジネス運用におけるAIチャットボットの普及は、インフォスティーラー・マルウェアを利用するサイバー犯罪者にとって新たな攻撃経路となりました。組織がワークフローにAIチャットボット技術を統合する動きが広がるにつれ、これらのプラットフォームの認証情報が保存されたシステムが感染するリスクが顕在化しています。さらに、AIチャットボットの認証情報の窃取が他のシステムへのアクセスを可能にする事例も確認されています。これは、攻撃者がDriftのOAuthトークンを窃取し、複数のSalesforce環境への侵入に利用したSalesloft/Driftインシデントが示すとおりです。チャットボットのトークンを介した他システムへのアクセスはすでに発生しており、より広範に起きている可能性があります。

上位5つのプラットフォーム（ChatGPT（OpenAI）、Microsoft Copilot、Google Gemini、Perplexity、Claude AI（Anthropic））について、これらのプラットフォームの認証情報を含むアカウントがダークウェブで販売されていないかを調査しました。把握できる度合いは、データ・セットに含まれるプラットフォームによって大きく異なります。シングルサインオン（SSO）やApple、Google、Microsoftなどのサードパーティーのプロバイダーを使用するものでは、プラットフォーム固有の認証情報が保存されないため、認証情報データから特定できません。2025年には、ChatGPTの認証情報が300,000件超販売されていることが確認されました。

さらに2025年2月、脅威アクターがBreachForumsにChatGPT認証情報の例を投稿し、2,000万件超のアカウントを盗んだと主張しました。投稿された例の認証情報はいずれも有効ではありませんでしたが、認証情報は2024年以前に確認されたインフォスティーラー感染と漏えい認証情報コレクションに一貫して対応していました。これは、過去のインフォスティーラー活動で窃取された大規模な認証情報が、改めて犯罪に利用され、以前に侵害されたデータが新たな悪用機会に変わる可能性を示しています。

2025年にはLummaやRhadamanthysなど、インフォスティーラー・マルウェアのインフラに対する大規模な摘発が実施されました。それでも、インフォスティーラー・マルウェアの利用は、脅威アクターがアクセスを得るための容易な手段であり続けています。

他の新技術を導入する場合と同様に、企業はまず、組織内でのAIチャットボットの利用方針と導入状況を評価することが重要です。次に、サイバーセキュリティー意識向上の教育と認証情報保護の強化を優先する必要があります。具体的には、多要素認証（MFA）やパスキーの使用、異常なログイン・パターンの検知、認証情報の漏えい状況の監視などです。