※本リリースは、Lumen（本社：米国ルイジアナ州モンロー）が、2026年4月7日（現地時間）に発表した英文リリースに基づいて作成した日本語抄訳です。原文（全文）はこちらをご参照ください。 2026年4月7日、デンバー発 —脅威アクターが新しい巧妙な手法でネットワークを横断する中、Lumen Technologies (NYSE: LUMN)は「2026年版Lumen Defender脅威情勢レポート」を発表しました。本レポートは、サイバー環境における大きな変化を明らかにしています。すなわち、最も重要なシグナルはもはやエンドポイントではなく、ネットワーク自体の上流に存在しているということです。 Lumenの脅威調査・運用部門であるBlack Lotus Labsが作成した本最新レポートは、Lumenが世界最大級のインターネット・バックボーン事業者の1社であるという強みを活かし、サイバー犯罪者が、産業化されたオペレーションを行う「強盗団(heist crew)」へと進化した実態を追跡しています。特に、脅威アクターが偽装プロキシ、侵害されたエッジ・デバイス、生成AIを用いて、いかに攻撃を事前に準備しているかについて、重要な洞察を示しています。 主な調査結果 「2026年版脅威情勢レポート」では、攻撃者の手口における次のような重要な変化を明らかにしています。 生成AIが運用エンジンに 脅威アクターはAIを活用し、悪意あるインフラを機械並みの速度で反復・再生成しています。この自動化により、悪意あるキャンペーンの持続性が高まり、検知してから実際に影響が生じるまでの時間が短縮されています。 エッジにある「金庫の扉」が標的に エンドポイント検出・対応(EDR)技術の成熟に伴い、攻撃者の標的は、ルーター、VPNゲートウェイ、ファイアウォールなど、インターネットに露出したエッジ・デバイスへと移りつつあります。これらの資産は、特権的なアクセスを提供し、フォレンジック機能が限定的であり、通常は従来のエンドポイント・セキュリティの可視範囲外で稼働しています。 住宅用に偽装されたプロキシの台頭 犯罪組織や国家支援系アクターは、侵害されたSOHO (小規模オフィス/ホームオフィス)向けデバイスを利用して、プロキシ・ネットワークを産業化しています。攻撃者は、こうした「レンタル可能なアイデンティティ」を乗っ取ることで、正当な住宅用トラフィックに紛れ込み、ゼロ・トラストやジオロケーション制御を回避しています。 帰属の境界線が曖昧に 高度なスパイ・キャンペーンの多くは、近年「盗用された準備基盤」の上に構築されています。これは、国家支援系アクターが犯罪者のインフラを乗っ取り、ありふれた犯罪活動が飛び交う中に紛れて、自らの痕跡を隠す手法です。 LumenのSVP兼最高セキュリティ責任者であるNat Habtesionは、次のように述べています。「攻撃者がインターネットに露出したエッジ・インフラへと軸足を移すにつれ、防御側は攻撃の重要な局面で可視性を失いつつあります。LumenとBlack Lotus Labsのチームは、攻撃者がネットワーク層で攻撃用インフラを構築していく段階を捉えることで、脅威アクターの活動を早期に特定し、進行中のキャンペーンを阻止し、被害が発生する前にセキュリティ・チームの運用負担を軽減できます」 サイバー犯罪のプロフェッショナル化 本レポートは、「強盗団」モデルこそがサイバー作戦の新たな標準であると位置付けています。これらのアクターは、単体のマルウェアを展開するのではなく、物流企業のような精密さで活動します。生成AIを用いて、防御側が手動で追跡するよりも速いスピードでIPアドレスやドメイン名を切り替え、侵害された住宅用ルーターを通じて「レンタル可能なアイデンティティ」を利用し、日常の住宅用トラフィックに紛れ込みます。この高度にプロフェッショナル化された体制により、攻撃者はネットワークの「準備拠点」において姿を見せずに行動でき、標的と接触する時点では、すでに最も抵抗の少ない経路が切り開かれています。 上流インテリジェンスへの移行 従来の防御モデルの多くは、感染後にネットワーク内部で得られるシグナルに依存しています。しかし、2026年版レポートでは、エンドポイントでアラートがトリガーされた時点で、攻撃者による準備、すなわちスキャン、インフラの切り替え、プロキシの形成がすでに完了していることが示されています。 Lumenは、パブリックIPv4アドレスの99%に対する可視性を有し、毎日2,000億件を超えるNetFlowセッションと4万6,000件のC2を監視しています。この観測上の優位性により、Black Lotus Labsは、連携したインフラの挙