Claude Mythos時代の脆弱性対応…「パッチ後回し」が危ないワケと3つの計画(2/4)

【筆者検証】接続10分でBotが着弾…ハニーポットで見た実態

　改訂版WARNINGでは、国内で急増する不正アクセス被害を受け、事例1、事例2の脆弱性に関わる部分で、脆弱性対応について「速やかに」という文言が追加された。以前は脆弱性対応を求める記載はあったが、実施時期の指定はなかった。

　「速やかに」パッチを当てることが、今いかに重要であるか。これを調査するために、筆者は2026年10月11日からハニーポットの構築に着手した。

　IaaS（インターネット経由で仮想サーバなどを借りられるクラウドサービス）上にハニーポットを設置しインターネットに接続したところ、約10分後に偵察Botからのアクセスを観測した。

　IaaS事業者が所有しているIPアドレスプールなどは調査会社や攻撃者が監視対象としているため、「誰にも知られていない」はずのサーバであっても、自動的にスキャンされ存在が認識される。

　そして、「偵察係」の到達から4時間後には「調査担当の悪性Bot」からのアクセスが確認された。この時点ではIPアドレスのみの公開であり、到着する調査担当BotもIoT機器やネットワーク機器の存在や脆弱性を探知する偵察活動が主である。

　その後、DNSのAレコード（ドメイン名とIPアドレスを対応付ける設定）を追加すると、サーバやアプリケーションの設定不備を調査するBotの着弾が開始された。これもDNS Aレコード公開からわずか10分ほどの出来事であった。

　それ以降、1日に約500件の偵察活動が着弾し、そのうち1割程度が「調査担当の悪性Bot」であり、環境設定の不備などを調査していることが確認できた。筆者の環境ではこの脆弱性探索活動は1セッションあたり平均接続時間192.2秒で、約100回の試行があった。

　明らかに人間ではない挙動も確認できた。筆者のハニーポットには問い合わせフォームがあるが、ダミーであり送信ボタンをクリックすることはできない。そこにスパムBotが着弾し、HTMLを解析した上で3.3秒で送信を成功させていた。画面側の「押せない」制御は、攻撃者には何の制約にもならないのだ。

　これらの活動がAIによって行われているという確証はない。だが、インターネットに接続された機器をスキャンし、脆弱性を探索する方法がすでに仕組み化されていることは明らかだ。

　もはや、脆弱性対応の起点は、脆弱性の公表日ではなく、システムの公開日と考えるべきである。パッチ適用と設定確認は公開前に終えるべきで、公開後の対応の先延ばしは、すでに見つかった入口を開けたままにすることに等しい。

　では、改訂版WARNINGで新たに加わった事例は、どのような「入口」を示しているのか。 【次ページ】新設の事例9…設計図に載らない“シャドーAPI”が狙われる