セキュリティ研究者らは2026年10月を「ブラックオクトーバー」と名付けた。攻撃者により1億件以上のレコードが漏えいし、病院や地方自治体が機能停止に追い込まれ、インターネットの多くが依存するソフトウェアに重大な脆弱性が発覚した1か月だった。この期間は、Binanceのホットウォレットから盗まれた63億ドル——暗号資産ハッキング史上最大級の被害額——で幕を閉じた。

X上でBull Theoryが投稿したまとめによると、攻撃の多くは新しい侵入手法ではなく、ベンダー、クラウドログイン、証明書、レガシーシステムといった、すでに信頼されたアクセス経路に依存していた。月の最終週だけで3件の暗号資産盗難が報告された。インシデントは大学病院やファストフードチェーンから、国民番号登録やインターネットの基幹ソフトウェアにまで及んだ。

大量データ漏えいとソフトウェア脆弱性の1か月

漏えいは月の早い段階から始まり、さまざまな業界に及んだ。ランサムウェアがイリノイ大学シカゴ校医学部に到達した。日本の焼肉チェーン「焼肉キング」は1,079万件の会員レコードを漏えいし、デンマークのCPR登録——同国の国民登録制度——では880万件の身元レコードが不正にアクセスされた。

2026年10月31日、Bull TheoryはX上で次のように投稿した：

2026年10月は、サイバー空間史上最も恐ろしい月のひとつだった。セキュリティ研究者らはすでに「ブラックオクトーバー」と呼んでいる。数千万の人々の個人情報が漏えいした。インターネットの多くが稼働しているソフトウェアに重大な脆弱性が見つかった。…… pic.twitter.com/kzS9tH6vAH

— Bull Theory (@BullTheoryio) 2026年10月31日

日本は特に深刻な被害を受けた。IDCFクラウドへのランサムウェア攻撃により、495の企業と地方自治体のサービスが混乱した。日本のソフトウェア販売会社Sourcenextは、最大2,252万件の顧客レコードが漏えいした可能性があると報告した。バーガーキング・ジャパンとカプコンはそれぞれ1,118万件、1,177万件のレコードが漏えいした。漏えいした氏名、メールアドレス、ID番号は、詐欺メールや偽ログインページに悪用されることが多い。

ソフトウェアの脆弱性が被害を拡大させた。10月17日、インドに拠点を置くデジタル証明書提供企業eMudhraが発行した8件の証明書の秘密鍵が、解読可能なほど脆弱であることが研究者らによって判明した。同社の株価は約20%下落し、eMudhraはグローバルSSL証明書事業から撤退する。この一件は、証明書がウェブインフラの機密性の高い層に位置している理由を浮き彫りにしている。証明書は、ブラウザやOSがウェブサイトの真正性を確認するために依存する仕組みだからだ。

ウェブサーバーの約70%で稼働している広く利用されているサーバーサイドスクリプト言語PHPは、10月21日、攻撃者がパスワードなしでウェブサーバーを乗っ取れる2件の重大なバグに対する緊急修正をリリースした。その後米国政府は、積極的な悪用が確認されたとして、連邦機関に3日以内の修正適用を命じた。

AIエージェント、緊急ガイダンス、暗号資産盗難

AIエージェントが新たなリスクを加えた。10月15日、インドのサイバー緊急対応チームCERT-Inは、AIエージェントがインドの組織のライブシステムに不正にアクセスし、個人情報や機密ビジネスレコードに到達していたと警告した。米国では、JPモルガン、モルガン・スタンレー、チャールズ・シュワブが、顧客アカウントへの外部AIエージェントのアクセス遮断を開始している。

政府も潜在的なシステム障害に備えている。10月22日、英国は「Be Ready」キャンペーンを開始し、家庭に最低3日分の食料と水を備えておくよう勧めた。ドイツは最大10日間、スウェーデン、ノルウェー、エストニアは最低7日間を推奨している。

最終週にはさらに攻撃が続いた。ニューメキシコ大学ヘルスへのサイバー攻撃により診療予約が混乱し、救急車の搬送先変更を余儀なくされた。フロリダ州教育省は、最大490万人が影響を受ける可能性があると報告した。いずれのインシデントも医療・教育分野の機関に影響を与えた。

暗号資産プラットフォームも標的となった。CryptoBilisは、改ざんされたハードウェアウォレットにより最大9,300万ドルの損失を被ったと報じられている。インド最大手の暗号資産取引所のひとつCoinDCXは、旧式ウォレットインフラの侵害により約1,600万ドルを失った——月間を通じて見られた信頼済みシステム悪用のパターンと一致する。そしてBinanceが侵害されたホットウォレットから63億ドルを失い、史上最大級の暗号資産盗難でこの月の幕が閉じられた。ホットウォレットとは、取引所が出金や日常的な送金を処理するためにオンラインで運用しているインターネット接続ウォレットであり、大口の資金が公開インターネットから到達可能なシステムに集中することになる。この月の損失に加え、今後注視すべき具体的な項目としては、eMudhraのグローバルSSL証明書事業からの撤退、PHP脆弱性に対する連邦機関の3日以内という修正期限、金融機関による顧客アカウントへのAIエージェントアクセス制限のさらなる動きが挙げられる。

Bull Theoryは、ブラックオクトーバーの期間中、単一の侵害されたウォレットが数十億ドルをリスクにさらしうると指摘した。

この記事は最初に Blockonomi に掲載されました。