グーグルは、2025年に追跡したゼロデイ脆弱性の約半数が企業の技術を標的にしていたと発表しました。これは、ハッカーが大企業を狙いデータを盗む新たな手法を見つけていることを示しています。
グーグルの年次報告によれば、追跡されたゼロデイ脆弱性の48%は、企業や大規模なビジネスで使用されている技術に見つかったということです。これらのゼロデイの約半数は、デジタル侵入者から企業ネットワークを保護するために設計されたデバイス自体を標的にしていました。
グーグルは、シスコやフォーティネット製のファイアウォール、イヴァンティやヴイエムウェアのVPNおよび仮想化プラットフォームが、昨年最も攻撃を受けたベンダーであるとしています。これら四社はすべて、最近の数か月で顧客ネットワーク上で製品が悪用されたことを認めています。
グーグルの研究者によると、ハッカーは入力検証や不完全な認可プロセスなどの一般的な欠陥を利用し、ファイアウォールやVPNの防御を突破して顧客ネットワークへのアクセスを得ていたということです。このようなバグは一般的に悪用しやすいものの、通常はソフトウェアの更新が必要です。
また、グーグルは企業のゼロデイの残り半分を構成する他のバグのあるソフトウェアにも言及しました。オラクルのE-Business Suite顧客に対するクロップ恐喝団のキャンペーンが挙げられ、これによりハッカーは多くの企業の人事データを盗み出すことができました。この攻撃は、ハーバード大学やアメリカン航空の子会社エンヴォイ、ワシントン・ポストなどに影響を与えました。
残りの52%のゼロデイ脆弱性は、マイクロソフト、グーグル、アップルなどの消費者向けおよびエンドユーザー製品に見つかりました。消費者向けソフトウェアのゼロデイの多くはオペレーティングシステムに見つかり、モバイルデバイスも前年より多くのゼロデイが確認されています。
さらに、グーグルは監視ベンダーに起因するゼロデイが、従来の政府支援のスパイグループよりも増加していると述べました。監視ベンダーは通常、スパイウェアメーカーやエクスプロイト開発者であり、政府のために人々の電話をハッキングするために働いています。この変化は、政府がハッキングツールへのアクセスを求める方法における「緩やかではあるが確実な動き」を示しているということです。