英国、ランサムウェアグループへの身代金支払い禁止を計画　対象は公共部門・重要インフラ

7月23日：サイバーセキュリティ関連ニュース

英国、ランサムウェアグループへの身代金支払い禁止を計画　対象は公共部門と重要インフラの各組織

BleepingComputer – July 22, 2025

英政府はランサムウェアの脅威へ対抗するため、また企業や重要サービスを保護するための措置として、公共部門および重要インフラの各組織にランサムウェアグループへの身代金支払いを禁じる方針を示している。

対象となる組織には地方自治体や学校のほか、公的資金で運営されている国民保健サービス（NHS）が含まれる予定とのこと。対象外の組織に関しても、身代金の支払いに応じる場合、政府への通知に加え、制裁対象のサイバー犯罪グループ（その大半はロシアに拠点）への送金に関する法律違反がないかどうか指導を仰ぐことが義務付けられることになるという。また、法執行機関が攻撃者を追跡し、被害者を支援する際に不可欠な情報を提供するための強制報告システムも開発されるようだ。

今年1月には英国政府がパブリックコメントを実施しており、すべての公共機関と重要インフラを対象に、ランサムウェア攻撃後の身代金支払いの禁止や、ランサムウェアに起因する支払いの防止策、ランサムウェアインシデントの報告義務化に向けた措置が提案されていた。

ランサムウェアは英国のサイバー犯罪における最大の脅威とみなされており、国家サイバーセキュリティセンター（NCSC）と国家犯罪対策庁（NCA）から国家安全保障上のリスクとして扱われている。

シスコ、ISEの脆弱性が悪用されていることを確認　認証なしでrootアクセス許す恐れ（CVE-2025-20281、CVE-2025-20337、CVE-2025-20282）

The Hacker News – Jul 22, 2025

シスコは21日、最近公開されたIdentity Services Engine（ISE）およびISE Passive Identity Connector（ISE-PIC）の脆弱性が一部悪用されていることを確認し、アドバイザリを更新した。どの脆弱性が武器化されているのかや、これを悪用している脅威アクターの身元、活動の規模は明らかにされていない。

ISEはネットワークアクセス制御において中心的な役割を果たすセキュリティ製品で、企業ネットワークへのアクセスを許可するユーザーとデバイス、およびその条件を管理する。このレイヤーの侵害に成功した攻撃者は、認証制御とログ記録メカニズムを回避して内部システムに無制限にアクセスでき、ポリシーエンジンを無意味な状態にする可能性があるという。

今回のアラートで概要が示された脆弱性は、CVE-2025-20281、CVE-2025-20337、CVE-2025-20282として追跡されている。いずれもCVSSスコア10.0の重大なバグと評価され、未認証のリモート攻撃者にrootユーザーとして基盤OS上でコマンドを実行される恐れがあると説明された。

現在も悪用が続いていることを踏まえ、シスコは修正済みのソフトウェアリリースに早急にアップグレードするよう顧客に呼びかけている。

【無料配布中レポート】

各種レポートを無料配布中！バナー画像よりダウンロード可能です。

レポート『デジタル時代における世界の紛争 – 地政学情勢はサイバー作戦へどう影響を及ぼしているのか』

ランサムウェアレポート：『2024 Ransomware? What Ransomware?』

インテリジェンス要件定義に関するガイドブック：『要件主導型インテリジェンスプログラムの構築方法』