不正アクセス異常事態　情報漏えい“その先の危機”

良品計画は「MUJIアプリ」の顧客情報流出についての続報を発表した。新たに無印良品ネットストアの利用者も対象に含まれることが判明した。一部の氏名や住所、MUJI Cardのクレジットカード番号全桁にも外部からアクセスされた可能性がある。

IDCは、2026年10月に公表されたPHPの深刻な脆弱性「PHP2Shell」を例に、パッチが用意されても組織がすぐに適用できない理由と、平時からの備えを解説した。

GMOペイメントゲートウェイは、ライフカード向けに提供しているイシュイングサポートサービス個別機能において不正な行為が発生したと発表した。Vプリカ番号や氏名など計69件の情報が窃取された可能性があるという。

お名前.com デスクトップクラウドで起きた大規模な不正アクセス被害。2026年11月2日に開催された記者会見ではGMOグループの熊谷正寿代表らが同社を襲った事態と機能しなかったセキュリティガバナンスの欠陥を赤裸々に語った。

不正アクセス被害が続出する昨今、情報漏えいの被害者になった読者も多いだろう。ではそうなったとき何をすればいいのか。漏えいした情報ごとにやるべきことは違う。IPAが、漏えいした場合の対処法と日頃から気を付けるべきことをまとめた。

DNSは企業のシステムやインターネットサービスを支える基盤だ。そのDNSサーバソフトウェア「BIND 9」に、メモリ破損を引き起こし、リモートコード実行につながる恐れのある脆弱性が見つかった。深刻度はCVSS 8.1で、既知の回避策はない。過去の通信を悪用するという攻撃の仕組みと、影響を受けるバージョン、管理者が確認すべき修正対応を整理する。

JPCERT/CCは、PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）についての注意喚起を公開した。悪用されると任意のコードを実行される恐れがあり、速やかな更新と侵害調査を呼び掛けている。これに加えてPHP開発元は、2026年12月31日にサポートが終了するPHP 8.2系からの移行も推奨している。

NECはシステム開発・保守の委託先がサイバー攻撃を受け、複数の顧客でシステム障害と情報漏えいが発生したと発表した。2026年10月2日に公表された大阪公立大学のランサムウェア被害についても同事案の影響だったことも判明している。

ソフトバンクの会員向けWebサイト「My SoftBank」の一部関連システムで不正アクセス被害が発生した。同社はWeb版の「My SoftBank」だけでなく「My Y!mobile」「My Menu」を一時的に停止した。この影響でユーザーからは「支払いができない」といった声も上がっており、停止が長期化すれば、利用者の利便性に影響する可能性がある。

クラウドやVPSの基盤を揺るがしかねないLinuxカーネルの脆弱性が公表された。さくらインターネットは「PwnEscape」と呼ばれるこの脆弱性への対応として、複数サービスで新規プロジェクトの作成や申し込み、一部機能の提供を停止した。一体この脆弱性は、利用者のシステム運用に何をもたらすのか。

標的の弱点を探すツールと、侵入後にファイルを盗み出すツール。こうしたサイバー攻撃の基盤を運用していたのは、民間企業の関係者だった。偵察の対象には日本の空港も含まれていたという。

2251万件超の会員情報が、サイバー攻撃の標的になった。ソースネクストへの不正アクセスでは、メールアドレスやパスワードだけでなく、住所や電話番号、生年月日、勤務先情報まで流出した可能性がある。同社は漏えい対象のユーザーにパスワード変更を求めているが、ログインサイトにつながりにくいといった事象も発生している。（一部表現が誤解を招く可能性もあったためタイトルを修正いたしました／2026年10月17日17時更新）

不正アクセスによる情報漏えいが相次ぐ日本企業に、ガートナーが緊急警告を発した。AIによって攻撃対象の探索から侵入までが短時間で進む時代、従来の対策だけで被害を防げるのか。

「一般公開していないシステムだから安全」と考えていないだろうか。JPCERT/CCは、国内組織で相次ぐ不正アクセスによる情報漏えいを巡り、攻撃の痕跡や手口を公表した。標的は一般利用者向けアプリにとどまらず、BIツールや従業員向け管理システムにも及ぶ。公表された4つのケースから、見落としがちな侵入口と対策の要点を探る。

旅行予約サイト「skyticket」で、約1464万件の個人情報が流出した恐れがあることが分かった。会員のログインパスワード約413万件分に加え、別の事案では返金先の口座情報、バスの予約情報も対象となった。運営元のアドベンチャーが公表した3件の事案から、何が漏れ、どのような二次被害が懸念されるのか。

IPAは相次ぐ不正アクセス被害に向けて、公表事例から判明した、今狙われているシステムや攻撃手法の傾向から企業が直近でやるべき具体的なセキュリティ対策を示した。企業は今すぐチェックしてほしい。

楽天ドライブは、使用する一部システムへの不正アクセスが発生したと発表した。管理用認証情報が不正取得され、対象アカウント1万5382件分のユーザーデータ（写真や文書など）が取得、閲覧されたことを確認しているという。

アンケートサイト「infoQ」で不正アクセスが発生した。対象は最大94万8498件で、氏名や住所、電話番号などの個人情報が含まれる。さらに、一部会員のポイントが本人の意思によらずAmazonギフトコードに交換され、被害は286万円分に上った。何が起き、なぜポイントまで狙われたのか。

大和証券の顧客約11万人に関する情報が、同社ではなく外部の委託先サーバへの不正アクセスによって漏えいした可能性がある。口座への不正アクセスや不正取引は確認されていないという。

タイムズカーは、Webシステムへの不正アクセスについての調査結果を発表した。退会者を含む約660万件のアカウント情報が第三者に取得され、運転免許証画像などが流出したという。漏えい情報を悪用した二次被害についても注意が必要だ。

画像をアップロードするだけの機能が、攻撃者にとって格好の入り口になることがある。セキュリティ研究チームのHacktron AIは、HEIFなどの画像を処理する仕組みを足掛かりに、OpenAIのフォーラムからさらに先へ攻撃を進めた事例を公開した。なぜ「画像」がRCEにつながったのか。

情報漏えいのリスクを抑えつつ、実務に組み込みやすいAIを求めて、ウェザーニューズは自社開発に乗り出した。全社員の8割以上が使うという“独自AI”の実態とは。

ランサムウェア攻撃の被害は、全ての企業にいつ起こっても不思議ではない。では、これを事前に防ぐため、あるいは被害後に早期復旧するためには、何に注意すればいいのだろうか。IPAが被害企業へのヒアリングから“11の教訓”を導き出した。

Microsoftが修正したWindows Defenderの脆弱性を巡り、修正後のWindowsでも同じ問題につながる攻撃経路が残っていたとするPoCが公開された。わずか数日で登場した新たなPoCに対し、ユーザーができることはあるか。

OpenAIは、次世代AIモデル「GPT-6 Astra」を発表した。PC自律操作やコーディング、セキュリティ検証などの能力が大幅に向上し、抽象推論ベンチマークテスト「ARC-AGI-3」で99.9％のスコアを達成したという。

OpenAIは評価環境内のAIエージェントが第三者システムに侵入した事案について調査結果を公表した。調査によると、複数のAIエージェントはチームを組み、役割を分担し、目的達成のために手段を選ばずに攻撃を実行したという。

「Windows 10」のサポートが2025年10月14日に終了してから約10カ月がたった。だがIT資産管理ツールを手掛けるLansweeperによれば、一定のWindows 10搭載端末が依然として企業内で稼働している。稼働台数が減っているとはいえ、企業のIT担当者はこの状況を軽く見てはいけないという。どのような事情があるのか。

認証もユーザー操作も必要ない。Microsoft Entra IDで、ネットワーク経由の攻撃によってコードを実行される恐れのある脆弱性が見つかった。CVSS基本値は10.0だ。Microsoft 365やAzureなどの認証基盤を支えるサービスで何が起きていたのか。

さくらインターネットは、システムへの不正アクセスについての調査結果の第2報を公表した。新たに販売管理システムへの不正アクセスの可能性を確認し、会員情報最大約136万件に影響が及んだ可能性があるという。

MOTEXが情報システム・セキュリティ担当者を対象とした「侵入後リスク評価とペネトレーションテストの実態調査」の結果を発表した。

ニチレイは2026年7月に公表したランサムウェア被害の影響を受け、従業員情報が漏えいした可能性があると発表した。氏名や生年月日、会社メールアドレス、従業員番号、人事・労務管理に関する情報が含まれるという。

講談社の従業員が取引先を装ったフィッシングメールにだまされ、社用メールアカウントが不正利用された。被害は認証情報の窃取だけでなく、流出した連絡先情報がそのまま新たな攻撃に利用される事態に発展したという。いつ被害に遭ってもおかしくないこの問題への対処法とは。

Redisで見つかった任意コード実行（RCE）につながる脆弱性に対し、実際に攻撃を再現するPoCが公開された。公開資料では複数バージョンで全ての検証に成功したと報告されており、実用性の高さがうかがえる。修正の背景や影響範囲、攻撃が成立する条件、取るべき対策を整理する。

BroadcomはVMware製品に存在する5件の脆弱性を修正した。vCenterには認証回避や任意コード実行につながる重大な問題が含まれ、全ての脆弱性で回避策は用意されていない。

2026年9月、不正アクセス被害の公表が相次ぎました。その理由を説明できる仮説が、AIエージェントによる攻撃の高速化です。「魔の9月」は、AIを悪用したサイバー攻撃が本格化する序章なのでしょうか。

デジタル庁のGSS、さくらインターネット、三重県。2026年に明らかになった3つのセキュリティ事案は、VPNの脆弱性、初期パスワード、私物USBと一見すると別々の問題に見えます。ところが、横並びで見ると意外な共通点がありました。

サイバー攻撃への備えを「侵入を防ぐこと」だけで考えていないだろうか。ニチレイの事例が浮き彫りにしたのは、1社のシステム障害が取引先や顧客まで巻き込み、復旧の判断さえIT部門だけでは完結しない現実だ。では、企業は何を基準に「復旧」を考えるべきなのか。

個人情報の漏えいにつながる不正アクセス増加を受けて、NCOは事業者が徹底すべきセキュリティ対策を公開した。運用・開発・サプライチェーンの3段階に分けて対策を提言している。全てを実施するのは困難であるためできるところから手を付けたい。

2025年末から、企業代表者の実名をかたってLINEのグループ作成やアカウント情報の提供を求める「CEO詐欺」メールが相次いでいる。サイバーセキュリティ企業ラックの調査では、150社以上が注意喚起していることが判明した。年度末に向けてさらなる攻撃の可能性があり、警戒が必要だ。

「パスキーは安全」。そんな認識に一石を投じる研究結果が公表された。狙われたのは暗号技術そのものではなく、Googleの同期パスキーを支える実装や復旧の仕組みだ。侵害済み端末を前提にした3つの攻撃は、認証の“信頼”をどう揺るがすのか。その手口と対策を解説する。

GitHubは自社の「Advisory Database」のデータを基に、2025年のOSSの脆弱性動向に関するレポートを発表した。

企業で生成AIやAIエージェントの活用が広がる一方、IT部門が把握していない「シャドーAI」のリスクが顕在化しています。経営層と現場の認識にはなぜズレが生じるのでしょうか。AI活用とガバナンスを両立させる方法を考えます。

Googleは公式ブログで、AIがかつてない速さでセキュリティ脆弱性を見つけ出す時代において、企業が取るべき防御策を解説した。

食品大手のニチレイグループがサイバー攻撃被害に遭い、システムの一時遮断に伴う事業停止を余儀なくされた。攻撃者の侵入阻止を完全に防ぐことが困難な今、万が一組織が攻撃された場合の影響を最小限にするためには「迅速な復旧プロセス」の整備が欠かせない。ランサムウェア感染被害に遭った医療・港湾・物流の3事例から、復旧プロセスのポイントを整理する。

サイバーセキュリティ企業CrowdStrikeは「2026年版グローバル脅威レポート」を発表した。AIを活用した攻撃者の活動が前年比89％増加し、偵察や認証情報の窃取、検知回避といった領域でAIを武器化する動きが加速しているという。

NordPassは、2025年版の「最も一般的なパスワード上位200」を発表した。「123456」が依然として最も多く使われており、若年層から高齢層まで世代を問わず脆弱なパスワード利用が続いている実態が明らかになった。

一般社団法人ソフトウェア協会、大阪急性期・総合医療センター、日本マイクロソフトの3者は、「Cyber A2/AD ランサムウェア防御チェックシート」を公表した。医療機関に限らず、一般の中小・中堅企業や大企業でも十分に適用可能だという。

サイバー攻撃による情報窃取を防ぐには、脆弱性を修正し、認証を強化するだけで十分なのか。国家サイバー統括室（NCO）は複数の情報窃取事案を踏まえ、企業に対策の強化を要請した。焦点はWebシステムだけではない。委託先の管理や、社内に蓄積したデータの扱いにも、見直すべきリスクが潜んでいる。

大きな話題になっているタイムズカーの不正アクセス被害。免許証画像160万件の漏えいを招いたこの事件の裏では“20年前のシステム”が動き続けていた。被害原因と今後漏えい被害者が取るべき対策を考える。

AIエージェントが企業インフラを操作し、攻撃側もAIで侵入作業を分単位に圧縮する時代。従来の静的な権限管理や「人間が最後に承認すれば安全」という前提は崩れ去ろうとしています。NISTの最新提言と現場の脅威事例から、AI時代に求められる新たなセキュリティと防御の再設計を掘り下げます。

大手タクシー会社「日本交通」で現在進行形で進むランサムウェア被害。2.9TBに及ぶ大規模なデータ漏えいの実態とその裏にあるセキュリティ管理の課題に、日本ハッカー協会代表理事の杉浦隆幸氏と迫る。