Over Security

DeepSeekと同様に、Qwen2.5-VLもプレフィックスインジェクション・テクニック（大規模言語モデルの特性であるテキスト補完機能を悪用する手法）を使ってジェイルブレイクすることができることが判明しました。つまり、一見無害に見えるプレフィックスを使うように指示することで、Qwen2.5-VLをだまして有害な回答を出力をさせることができるのです。我々がQwen2.5-VLをテストしたところ、Qwen2.5-VLは詐欺メールテンプレートの詳細な策定手順を生成しました。このテスト結果からも、Qwen2.5-VLの安全対策が回避可能であることは明らかです。

China’s AI: Alibaba’s Qwen 2.5 Shows Structural Weaknesses Similar to DeepSeek. Qwen 2.5-VL can be jailbroken using prefix injection techniques, a method exploits the inherent text completion nature of the LLM. By asking to use a seemingly harmless prefix, they tricks the model into providing harmful outputs. In testing, Qwen2.5-VL provided detailed instructions on crafting fraudulent email templates—a clear indication that its safety measures can be circumvented.

Discover how automating Cyber Threat Intelligence (CTI) into SIEM and SOAR can strengthen your SOC without adding headcount. Learn the key benefits, from faster threat detection to cost savings, and how KELA’s integrations enhance security operations.

KELA investigated claims of 20 million compromised OpenAI credentials, uncovering that they stem from infostealer malware and data leaks—not an OpenAI breach. Learn the truth behind the claim and how to protect against credential theft.

Recently, a new ransomware group, dubbed Anubis, emerged. KELA has observed representatives of Anubis on both RAMP (using the moniker ‘superSonic’) and XSS (using the moniker ‘Anubis__media’). Read more in our blog.

Recently, a new ransomware group, dubbed Anubis, emerged. KELA has observed representatives of Anubis on both RAMP (using the moniker ‘superSonic’) and XSS (using the moniker ‘Anubis__media’). Read more in our blog.

2024 was a defining year for cybercrime. Infostealers fueled credential leaks at an unprecedented scale, ransomware gangs shifted their tactics, and AI-powered threats emerged as a new battleground. Read KELA’s newly released report, The State of Cybercrime 2024, for an in-depth look.

A major data leak has exposed the internal workings of Black Basta, revealing how one of the most active ransomware groups infiltrates and exploits its victims. KELA analyzed the leaked data to uncover the top five initial access and lateral movement tactics used by the group—including how stolen credentials from infostealer malware logs are fueling attacks.

Discover the latest findings on Black Basta leak's victim details and their ransomware strategies based on KELA's analysis.

Discover the latest findings on Black Basta leak's victim details and their ransomware strategies based on KELA's analysis.

KELAは、イエメンと関係があるサイバー犯罪グループ「Belsen Group」と「ZeroSevenGroup」のつながりを調査しました。Belsen Groupは、2025年1月に登場して以降、Fortinet社のデータをリークしたり、ネットワークのアクセスを販売していることが確認されています。一方ZeroSevenGroupは、Belsen Groupが登場する前から活動しており、企業のネットワークに不正アクセスしたり、窃取したデータを販売していたことが確認されています。今回我々は、両グループの文体や投稿の形式に類似点があることに着目しました。いずれの類似点も、両者のつながりを裏付ける決定的な証拠とまではいえないものの、なんらかの関係がある可能性を示唆しています。 Belsen Groupとは? Belsen Groupは2025年1月上旬に登場し、サイバー犯罪フォーラムやSNS上で活動を始めました。また2025年1月14日、同グループは「Belsen_Group」というハンドル名でBreachForumsに投稿し、大規模なデータリークを行いました（KELAが確認したかぎりでは、本件が同グループ最初の大規模リークです）。この投稿では、脆弱なFortinet FortiGateデバイス1万5,000台超から窃取した、1.6 GB相当の機密データ（IPアドレスや設定、VPNの資格情報など）を公開しており、またその後は、同グループがTor上で運営しているブログでも同じデータを公開していました。なおBelsen Groupは、当初同このデータを無料で公開しており、おそらくは他のサイバー犯罪者からの信頼を獲得する狙いがあったと思われます。またこのインシデントについては、Belsen GroupはFortiGateファイアウォールに存在する重大な認証回避の脆弱性（CVE-2022-406841）を悪用したものと考えられています（脚注１）。この脆弱性が公開されたのが2022年であることを考慮すると、同グループはBreachForumsでデータを公開する2年以上前から、（データに）アクセスしていた可能性があります。またこのデータを公開した後、同グループはアフリカや米国、アジアに拠点を置く組織（個人も含まれている可能性があります）のネットワークアクセスを売りに出していました。ただし、それらのアクセスが何者かに買い取られたという証拠は確認されておりません。 OSINTで確認された痕跡 Belsen Groupは、活動当初から複数の連絡先（Tox、XMPP、Telegram、X）を公開しています。また、被害組織の情報を公開するブログをTor上で運営しており、このブログにもそれら連絡先の大半を掲載しています。我々が同グループのXアカウントについて調査したところ、同アカウントは2025年1月10日に作成されたこと、そしてBelsen GroupがBreachForumsやブログで公開していた被害組織の情報を、Xにも投稿していることが判明しました。また完全なアドレスは特定できなかったものの、このＸアカウントが「 ad********@gmail.com」という電子メールアドレスを使って登録されていることが確認されました。 なお、Belsen GroupはTelegramアカウント「@BelsenAdmin (ID 6161097506)」も使用していますが、同グループがこのアカウントを連絡先として記載しているのは、ＸとBreachForumsの投稿のみとなっています（BerachForumsについては、同アカウントを記載している投稿は1件のみ）。我々が調査したところ、このアカウントは2023年に「K Y」という人物が作成したこと、そして過去には「@m_kyan0」や「@mmmkkk000000」などのユーザー名を使用していたことが判明しました。このアカウントは様々なTelegramチャンネルに登録しており、具体的にはサイバーセキュリティ認証関連のグループ(eWPTXv2やeWPTX)、成人向けのトピックを扱っているコミュニティ、イエメンのアラビア語話者が集う地元グループ、アニメをテーマにしたチャットグループなどが挙げられます。 ZeroSevenGroupとは? KELAは、Belsen Groupについて調査を行う中で、同グループと「ZeroSevenGroup」につながりがあることを発見しました。ZeroSevenGroupは、2024年7月から2025年1月にかけて活動していた脅威グループであり、2024年7月に「NulledTo」に登場し、その後はBreachForumsや、CrackedTo、Leakbaseでも活動するようになりました。同アクターは、窃取したデータやネットワークアクセスのリーク・販売を専門としており、ポーランドやイスラエル、米国、アラブ首長国連邦、ロシア、ブラジルの企業を標的にしていました。また、当初は無料でデータベースをリークしていましたが、その後は販売するようになりました。同グループがリーク・販売していたデータベースについては、そのほとんどが、TeraboxやMegaでホストされていたことが確認されています。そして2024年8月には、トヨタ自動車株式会社の米国支社に不正アクセスしたとの犯行声明を出し、240 GB相当の機密データをリークしました。当初トヨタ社は、このインシデントを軽微なものと見なしていましたが、後に自社のシステムではなく、サードパーティのシステムが侵害されていたことを公表しました（脚注２）。 その後の2024年11月、ZeroSevenGroupは、悪用不可能になっていたネットワークアクセスをランサムウェアグループ「Medusa」に売りつけ、詐欺行為を働いたとして告発されました。そして2025年1月、同グループは短期間活動を停止しましたが、その後すぐにフォーラム「Exploit」で活動を開始しました。それ以降、同グループはExploitでのみ活動しており、同フォーラムでは、イタリアの政府機関や米国企業、日本企業の「VPNアクセス」や、それら組織のシステムを制御する「C2サーバーのアクセス」を売りに出していました。 KELAは、ZeroSevenGroupが初期に行った活動を分析し、同グループの運営に関与していると思われる人物を特定しました。活動初期（2024年7月頃）、同グループはデータベースを無料で公開しており、閲覧したいユーザーは、同グループが提供する一意のパスワードを入力して、ファイルのロックを解錠する仕組みになっていました。そこで、KELA独自のデータレイク内でこのパスワードを検索したところ、過去に漏えいしたデータベースの中に、このパスワードを使用している電子メールアドレスが存在することが判明しました。また、情報窃取マルウェアに感染した端末が使用している別の電子メールアドレスも、同じパスワードを使用していることが判明しました。この2つの電子メールアドレスは、ソーシャルメディアを通じてつながっており、また両アドレスともにイエメンとつながりがありました。さらに後者（情報窃取マルウェアに感染した端末）のユーザーについては、ハッカーグループ「Yemen Shield」とも関連があることが判明しました。そこで我々がYemen Shieldの活動を調査したところ、同グループがRaidForumsでは「zerox296」というハンドル名を使い、「ZeroXGroup」として活動していることが判明しました。この調査の詳細については、KELAがプラットフォーム上で公開している「脅威アクタープロファイル「ZeroSevenGroup」にてご覧いただけます。ご興味をお持ちの皆様は、ぜひ無料トライアルにご登録ください。 浮上したつながり KELAのデータベースで、Belsen GroupとZeroSevenGroupの投稿を調査したところ、両グループが投稿のタイトルを同じ形式で記載していることが判明しました。両グループともに、タイトルとなる用語を角括弧とスペースで挟んで記載していました（例：Accessの場合は[ Access ]と記載するなど）。投稿のタイトルにこの特徴が見られたのは、Belsen GroupとZeroSevenGroupのみであり、また彼らが本文にも同じような形式を使用している事例が複数確認されました。その他にも、両グループが類似の言い回しや文体を使用している事例が多数確認されました。これらの調査結果は、両グループが同じ投稿用のテンプレートを使用していた可能性があることを示唆しています。 また、一方のグループに見られる特徴的な用語を組み合わせてデータベースを検索したところ、両グループと関連がある結果のみが表示されました。さらに両グループのTwitterプロファイルを分析したところ、ハッシュタグの使用パターンに明らかな特徴があり、「#hack」というハッシュタグを頻繁に使用していることが判明しました。 これらの調査結果は、Belsen GroupとZeroSevenGroupがイエメンを出自としており、いずれもネットワークアクセスを販売することに興味を持っていること、そして両グループとも同じ形式のメッセージを繰り返し投稿しており、文体に類似点が見られるという事実とも一致しています。また両グループとも、ユーザー名に「group」という単語を使用し、自分達が集団で活動していることを表しています。 もちろん我々は、これらの調査結果のみを根拠に、Belsen GroupとZeroSevenGroupに直接的なつながりがあるとは断定しておりません。しかし、両グループの間に重要な重複点が複数見られたという事実は、Belsen GroupとZeroSevenGroupの間に何らかのつがなりがある可能性や、連携して活動している可能性があることを強く示唆しています。 1 https://doublepulsar.com/2022-zero-day-was-used-to-raid-fortigate-firewall-configs-somebody-just-released-them-a7a74e0b0c7f 2. https://www.foxnews.com/tech/toyota-has-data-dilemma-after-hackers-leak-240gb-customer-information

KELA explores a possible link between the Belsen Group and ZeroSevenGroup, two cybercriminal entities with ties to Yemen. The Belsen Group surfaced in January 2025, leaking Fortinet data and selling network access, while ZeroSevenGroup had been active earlier, breaching companies and monetizing stolen data. Notably, both groups share similarities in writing style and post formatting. […]

Microsoft reminded customers this week that devices running Windows 11 24H2 Home and Pro editions will stop receiving updates next month.

Kaspersky experts have discovered a new MovieReaper campaign. The multi-stage Trojan spreads through movie torrents, such as “The Odyssey,” and uses the Solana blockchain to hide its C2 infrastructure.

The U.S. Federal Bureau of Investigation (FBI) seized the domains used by NightmareStresser, one of the world's longest-running distributed denial-of-service (DDoS) platforms.

Cybersecurity compliance APAC 2026 is tightening in Singapore, Malaysia, and Thailand — see why real-time threat intel matters now.

Ransomware incidents in Japan rose 4.7% year over year. The Gentlemen was the most active group, with leak-site listings more than doubling from January to July. Qilin ranked second and appeared to use AI, while SMEs with capital under JPY 1 billion represented 80% of victims.

110 confirmed cyber incidents from 16–31 August 2026, broken down by motivation, attack technique, initial access, target sector, and country.

A visual breakdown of 110 cyber incidents from 16–31 August 2026 — motivations, attack techniques, initial access, sectors and countries at a glance.

NordPass Business propone il suo gestore password aziendale con uno sconto attivabile con il codice NPFALL26: ecco come ottenerlo e i costi.

ParaShells flaw (CVE-2026-90894) lets any local Mac user gain root via Parallels Desktop. JFrog details the exploit chain and the fix.

Il colosso cinese ZPMC ha conquistato i porti di tutto il mondo con le sue gru iper-tecnologiche, connesse ed efficienti. E adesso si trova al centro dei timori geopolitici e di sicurezza informatica degli Stati Uniti.

The China-linked espionage group FamousSparrow has been using a new backdoor named SparroWocky in attacks on government organizations in Latin America.

Le fasi di enrollment, recovery e sessione dipendono da controlli di natura diversa e proprio su queste si sta concentrando l'attenzione degli attaccanti. Ecco la gap analysis, le contromisure applicabili e ciò che NIS2, DORA ed eIDAS 2.0 richiedono concretamente in termini di requisiti di compliance

Managed Detection & Response services (MDR) 24/7 for network, endpoint, cloud, SaaS and OT, against every type of cyber attack

Gli hacker hanno imbrogliato la fintech utilizzando la pec ufficiale di una prefettura italiana. Fonti di IrpiMedia: «L’autenticazione a due fattori era assente»

L’ingresso del nuovo art. 437-bis tra i reati presupposto 231 porta i sistemi AI ad alto rischio dentro la governance dell’impresa. Dalla loro classificazione alla sorveglianza umana, fino ai fornitori e ai controlli dell’OdV, il modello organizzativo deve ora estendere i propri presidi al nuovo rischio

Compare the top 5 fraud prevention platforms for banks and fintechs in 2026: Group-IB, Feedzai, Sift, DataVisor, and Kount, and how to choose.

Group-IB Threat Intelligence analyzes HEAVYGRAM, a Telegram-based Windows backdoor attributed with moderate confidence to the Iran-linked threat actor Handala Hack. Active since Fall 2023, it has been used to surveil Iranian dissidents, journalists and government opponents, enabling remote command execution, data exfiltration, and persistence over Telegram command-and-control.