英国、ランサムウェアグループへの身代金支払いを禁止へ　対象は公共部門・重要インフラ

7月23日：サイバーセキュリティ関連ニュース

英国、ランサムウェアグループへの身代金支払いを禁止へ　対象は公共部門と重要インフラの各組織

BleepingComputer – July 22, 2025

英政府が新法案を提出し、公共部門および重要インフラの各組織はランサムウェアグループへの身代金支払いを禁止されることになった。

対象となる組織には地方自治体や学校のほか、公的資金で運営されている国民保健サービス（NHS）が含まれるとのこと。対象外の組織も身代金の支払いを予定している場合、政府への通知に加え、制裁対象のサイバー犯罪グループ（その大半はロシアに拠点）への送金に関する法律違反がないかどうか指導を仰ぐことが義務付けられるという。また、法執行機関が攻撃者を追跡し、被害者を支援する際に不可欠な情報を提供するための強制報告システムも開発されるようだ。

今年1月には英国政府がパブリックコメントを実施しており、すべての公共機関と重要インフラを対象に、ランサムウェア攻撃後の身代金支払いの禁止や、ランサムウェアに起因する支払いの防止策、ランサムウェアインシデントの報告義務化に向けた措置が提案されていた。

ランサムウェアは英国のサイバー犯罪における最大の脅威とみなされており、国家サイバーセキュリティセンター（NCSC）と国家犯罪対策庁（NCA）から国家安全保障上のリスクとして扱われている。

シスコ、ISEの脆弱性が悪用されていることを確認　認証なしでrootアクセス許す恐れ（CVE-2025-20281、CVE-2025-20337、CVE-2025-20282）

The Hacker News – Jul 22, 2025

シスコは21日、最近公開されたIdentity Services Engine（ISE）およびISE Passive Identity Connector（ISE-PIC）の脆弱性が一部悪用されていることを確認し、アドバイザリを更新した。どの脆弱性が武器化されているのかや、これを悪用している脅威アクターの身元、活動の規模は明らかにされていない。

ISEはネットワークアクセス制御において中心的な役割を果たすセキュリティ製品で、企業ネットワークへのアクセスを許可するユーザーとデバイス、およびその条件を管理する。このレイヤーの侵害に成功した攻撃者は、認証制御とログ記録メカニズムを回避して内部システムに無制限にアクセスでき、ポリシーエンジンを無意味な状態にする可能性があるという。

今回のアラートで概要が示された脆弱性は、CVE-2025-20281、CVE-2025-20337、CVE-2025-20282として追跡されている。いずれもCVSSスコア10.0の重大なバグと評価され、未認証のリモート攻撃者にrootユーザーとして基盤OS上でコマンドを実行される恐れがあると説明された。

現在も悪用が続いていることを踏まえ、シスコは修正済みのソフトウェアリリースに早急にアップグレードするよう顧客に呼びかけている。

【無料配布中！】インテリジェンス要件定義ガイド

インテリジェンス要件定義に関するガイドブック：『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件（PIR）を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック『要件主導型インテリジェンスプログラムの構築方法』の日本語訳バージョンを無料でダウンロードいただけます。

＜ガイドブックの主なトピック＞

本ガイドブックでは、優先的インテリジェンス要件（PIR）の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

• 脅威プロファイルの確立
• ステークホルダーの特定・分析
• ユースケースの確立
• 要件の定義と管理
• データの収集と処理
• 分析と生産
• 報告
• フィードバック
• 実効性の評価