チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「1年前に話題になったSharePointの脆弱性は、もう終わった話じゃないの？」
「セキュリティソフトを入れていれば、ランサムウェアは止められるんじゃないの？」
チップスボス！水道や通信の会社が、ランサムウェアにやられたって聞いたでしゅ！
ボス中国系とされるグループがWarlockというランサムウェアを使った攻撃だ。入口は、1年前に騒がれたSharePointの脆弱性。パッチを当てていないサーバーには、今も通用しているということだな
脆弱性は、公表から時間がたっても攻撃に使われ続けます。
この記事では、Symantecの報告をもとに、Warlockを使う攻撃グループの手口と、社内にSharePointを置く組織が確かめたい点を整理します。
3行で分かるニュースのポイントは以下の通りです。
Warlockは過去に日本の組織も狙っており、自社の備えを点検する材料になるはずです。
オススメ求人・フリーランス案件
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
【製造業向けセキュリティ運用支援】東京都・フルリモート／Zscaler・CrowdStrike・運用標準化
【Pマーク・ISMS認証取得支援】東京・東陽町（リモート併用）／セキュリティコンサルタント・PMO
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
Symantecは2026年10月1日、Warlockを使う攻撃の最新動向を報告しました。
Symantecの報告によると、攻撃グループは過去2か月で少なくとも4つの組織を攻撃しました。
報告の要点は以下の通りです。
| 項目 | 内容 |
|---|---|
| 攻撃グループ | Longlegs（Symantecの呼称）、MicrosoftはStorm-2603と呼ぶ |
| 被害組織 | 水道事業者、通信事業者、地方政府機関、大学 |
| 地域 | 欧州・アフリカ・中南米のポルトガル語圏とスペイン語圏 |
| 過去の標的国 | 米国、ブラジル、インド、ロシア、台湾、日本など |
4組織のうち2つは、水道と通信という重要インフラの事業者でした。
Warlockは2025年6月に登場し、その数週間後にSharePointのゼロデイ脆弱性「ToolShell」を悪用したことで注目を集めました。
Symantecは、これらの脆弱性が今もグループの手札に残っているとみています。
悪用されているとみられる脆弱性は以下の通りです。
対象は社内に設置するオンプレミス版のSharePoint Serverです。
チップス1年も前の脆弱性で、まだ入られちゃうんでしゅか？
ボスパッチを当てていないサーバーがある限り、攻撃者にとっては使える入口だ。古い脆弱性ほど、手順も確立されている。
攻撃者は、正規のツールや仕組みを使って守りをすり抜けていきました。
Symantecが追跡した重要インフラ事業者への攻撃では、セキュリティソフトを止める道具が約2時間で少なくとも40台に送り込まれました。
その後、Warlockが少なくとも33台に展開されています。
Symantecが報告したこのグループの主な手口は、以下の通りです（すべてが同じ侵入で確認されたわけではありません）。
複数バージョン向けのフォルダに同時に置き、ASP.NETのマシンキーを盗んでコード実行につなげる
Visual Studio Codeのトンネル機能をサービスとして動かし、目立たない遠隔アクセスの経路を作る
保護を止めるツールを送り込む。グループは署名付きだが脆弱なドライバー「K7RKScan」（CVE-2025-1055）を悪用し、カーネルレベルで保護を止めることが確認されている
ドメインのSYSVOL共有にランサムウェアを置き、通常の複製の仕組みで各端末へ届ける
どの段階でも、普段の管理作業に紛れる正規の仕組みが使われている点が特徴です。
今回の手口は、既知の脆弱性と一般的な管理ツールの組み合わせです。
確かめたい点は以下の通りです。
パッチだけで安心せず、盗まれた鍵や残された仕掛けまで確かめることが大切です。
Warlockを使う中国系グループは、SharePointの脆弱性を入口に、水道や通信の事業者を含む少なくとも4組織を攻撃しました。
脆弱なドライバーでセキュリティソフトを止め、ドメインの仕組みを使って一気に暗号化する手口です。
過去に日本も標的になっており、オンプレミスのSharePointを持つ組織は早めの点検が欠かせません。
チップスうちの会社のSharePoint、パッチを当てたか自信ないでしゅ……
ボス自信がないなら今すぐ確かめろ。当てたあとは鍵の入れ替えも忘れるな。
脆弱性対応やEDR運用、Active Directoryの防御を担えるエンジニアは、重要インフラの分野でも求められています。
その経験を生かせる案件は、以下から探せます。
オススメ求人・フリーランス案件
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
【製造業向けセキュリティ運用支援】東京都・フルリモート／Zscaler・CrowdStrike・運用標準化
【Pマーク・ISMS認証取得支援】東京・東陽町（リモート併用）／セキュリティコンサルタント・PMO
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
