The Hacker Newsは、脅威インテリジェンス（攻撃情報）そのものが不足しているのではなく、「インテリジェンスというシグナルを受け取った後に何が起きるか」という運用面の詰まりが、実際の脆弱性悪用を許す「悪用ギャップ（exploitation gap）」の本質だと指摘している。
事案の詳細
記事では、犯罪マーケットに漏えい認証情報（クレデンシャル）が出回ったり、脆弱性の公開アドバイザリが出されたりすると、それらが多くのセキュリティチームによるアラートの「優先度付け（トリアージ）」が終わる前に、実際の標的環境に対する攻撃手段として武器化され得ると説明している。攻撃者はこうしたインテリジェンスを、AI支援による脆弱性探索・攻撃コード生成などと組み合わせることで、露出から侵害までの時間を防御側の対応速度よりも速く短縮している。
一方、防御側では、漏えい認証情報や新しい脆弱性情報といった「高価値インジケータ」がキューの中で待たされ、実際にその組織環境において悪用可能かどうかを検証できる攻撃側スキル（オフェンシブスキル）を持つ人員が時間を割けるまで、具体的な検証・対応に進まないケースが多いと指摘する。記事は、問題の主因はインテリジェンスの不足ではなく、「シグナルを環境に対する実際の検証・証明に結び付ける処理能力の不足」であり、その滞留によって露出が蓄積されると論じている。
この「悪用ギャップ」は、(1)漏えい認証情報や脆弱性アドバイザリが公開されてから攻撃に利用されるまでの時間がAIによりさらに圧縮されていること、(2)組織側が認証基盤やインターネット公開資産など、自社環境のどこでその情報が悪用可能かを素早く答えられないこと、(3)その検証・テストを担う人材や時間が不足し、インテリジェンスが「キューの中で待つ」状態になりがちなことなどの運用事情によって拡大する。結果として、危険性を示す情報を持っていても、「その認証情報が今もログインに使えるのか」「その脆弱性が特定のシステム構成で本当に攻撃可能か」といった問いに十分な速度で答えられず、防御行動が後手に回る。
記事は特に、インターネットに公開された機器・サービスや、IDプロバイダなどの認証基盤が、漏えいクレデンシャルや既知の脆弱性を足掛かりにした侵入の「正面玄関」になりやすい点を問題視している。侵入後は、社内の別システムへ移動する横展開、データ窃取、業務妨害などの攻撃チェーンに発展し得るが、多くの組織では個々の露出点やテクニック単位の検証にとどまり、攻撃者が実際にたどる一連の攻撃チェーン全体を通した検証が十分に行われていないことも背景として挙げられている。
日本への影響
日本の中小企業でも、脅威情報の購読やニュース閲覧といった「インテリジェンス入手」だけで終わってしまい、それを自社のインターネット公開資産や認証基盤、クラウド設定の実環境に対する検証・更新・遮断などの具体的な行動に落とし込めていない場合、同様の悪用ギャップが生じる。海外で観測される漏えいクレデンシャルの悪用や新規脆弱性の攻撃コード公開は、数日〜数週間のうちに日本の公開機器やクラウド設定の不備を突く攻撃へ波及することがあり、注意喚起から時間が経過すると、探索スキャンや自動攻撃ツールにより中小企業の外部露出面が広くなぞられる状況が続く。
さらに、日本では情シス担当者が総務などと兼務し、専任のセキュリティチームやオフェンシブスキルを持つ人材が不足しがちなため、資産台帳の未整備や更新作業の先送り、外部露出面の把握不足が起きやすい。このような環境では、「どのシステムが漏えい認証情報や新たな脆弱性の影響を受け得るか」「そのリスクを今すぐ検証する担当は誰か」といった基本的な問いに対する回答が遅れ、結果として悪用ギャップが拡大しやすい。
対策・今後の展望
- 情報を「実行タスク」に変換する：脅威情報や漏えいクレデンシャル、脆弱性アドバイザリを受け取ったら、まず自社環境にその製品や認証情報が存在するかを確認し、該当機器・サービス・アカウントの棚卸し、悪用可能性のテスト、更新可否判断、緊急回避策（アクセス制御強化・一時的な公開停止・パスワードリセットなど）の適用までを一連の標準手順に落とし込む。
- 資産管理と露出面の把握を優先：インターネットに公開している機器・サービス、リモート接続口、管理画面、IDプロバイダなどへの外部からの入り口を一覧化し、それぞれの責任者と緊急時の連絡経路を明確にする。これにより、新たなインテリジェンスを受け取った際に、「どこを検証すべきか」「誰が検証・更新を行うか」を即座に判断できる体制を整える。
- パッチ適用と検証の優先度を定義：重要度・外部公開状況・業務影響・悪用の有無（すでに攻撃コードやスキャンが出回っているか）などの観点で判断基準を作り、緊急度の高いものは、パッチ適用だけでなく、実環境における悪用可能性の検証も短期間で行う運用に切り替える。人手による検証が追いつかない場合は、侵入テストや自動化された脅威主導型テスト（Threat-Led Penetration Testing）などの外部サービスを活用することも選択肢となる。
- 検知と初動対応を整備：ログの保全、認証基盤や管理者アカウントの不正利用の兆候、外部公開機器への異常アクセスを継続的に監視し、漏えい認証情報や既知の脆弱性を突いた侵害が疑われる際の遮断・隔離・復旧の流れをあらかじめ準備する。特に、管理者アカウントやVPN、リモート管理の入口については多要素認証や利用状況の監査を徹底し、不審なログインや設定変更に対する迅速な対応プロセスを持つことが重要である。
CSRIからの現場アドバイス
【現場で何が起きているか】MDRや診断の現場でも、「注意喚起は見たが、社内に該当機器や該当アカウントがあるか分からない」「更新や設定変更の担当が不明でキューのまま止まる」といった例が多く見られる。海外で漏えい認証情報や新規脆弱性の悪用が始まると、その探索スキャンや自動化攻撃が日本の中小企業にも広く届き、外部公開機器やVPN、リモート管理の入口などから一気に侵入されるケースが少なくない。
【セキュリティ専門家でない人への平易な解説】例えるなら、火事のニュースを見て消火器の種類を覚えても、実際に自宅の消火器が壊れていたり、設置場所が分からなかったりすれば意味がないのと同じである。脅威情報は「危ない場所の地図」であり、その地図を見て自宅や職場のどこが該当するかを確認し、扉の鍵を替える（更新・設定変更・公開停止など）行動が伴わない限り、被害は防げない。さらに、どの部屋に鍵が掛かっておらず、誰が鍵を持っているのかを把握していないと、「地図を読んでも具体的に動けない」という悪用ギャップが生じる。
【中小企業が今週中にできること】まず、インターネット公開の機器や管理画面、リモート接続の入口、IDプロバイダなど、外部から到達可能な資産を棚卸しし、それぞれの責任者と連絡先を決める。次に、OS・VPN・ルーター・クラウドサービス・ID基盤等の更新状況を確認し、重要更新や既知の悪用が報告されている脆弱性については、今週中に適用または緊急回避策を講じる方針を担当者に伝える。最後に、管理者アカウントと重要システムへのアクセスについて多要素認証を有効化し、不要な外部公開やテスト用アカウント・古い認証情報を停止・削除することで、漏えいクレデンシャルや新たな攻撃コードが悪用可能な入り口を減らすことができる。
参照: Threat Intelligence Alone Won’t Close the Exploitation Gap