セキュリティ

良品計画は「MUJIアプリ」の顧客情報流出についての続報を発表した。新たに無印良品ネットストアの利用者も対象に含まれることが判明した。一部の氏名や住所、MUJI Cardのクレジットカード番号全桁にも外部からアクセスされた可能性がある。

2025年末から、企業代表者の実名をかたってLINEのグループ作成やアカウント情報の提供を求める「CEO詐欺」メールが相次いでいる。サイバーセキュリティ企業ラックの調査では、150社以上が注意喚起していることが判明した。年度末に向けてさらなる攻撃の可能性があり、警戒が必要だ。

サイバー攻撃は、システムへの侵入が始まってから動き出すわけではない。攻撃者は標的を探り、侵入に使えるアクセス権や脆弱性を調べるなど、事前に準備を進めている。こうした兆候を捉え、被害が発生する前に手を打つにはどうすればよいのか。KELAが発表した新機能と新たな脅威インテリジェンス基盤から、そのアプローチを探る。

脆弱性を修正すれば一安心、とはいかない。PHPの重大な脆弱性「PHP2Shell」を巡っては、緊急修正の公開後も攻撃が続き、ファイアウォールや管理サーバ25台の侵害が確認された。しかも、PHPの脆弱性を修正した後にも別の欠陥への対応が必要になっている。約2900万台に脆弱性が残る中、企業は何を確認すべきなのか。

Anthropicは、サイバー脅威アクターがAIモデルを用いて攻撃を加速させている状況を受け、企業のセキュリティチームが取るべき対策をまとめたブログ記事を公開した。

GMOペイメントゲートウェイは、ライフカード向けに提供しているイシュイングサポートサービス個別機能において不正な行為が発生したと発表した。Vプリカ番号や氏名など計69件の情報が窃取された可能性があるという。

Linuxカーネルに、認証なしでネットワーク越しに攻撃できる深刻な脆弱性が見つかった。CVSSスコアは9.8で、悪用されればシステムのクラッシュやメモリ破損、さらには任意コード実行に至る恐れがある。Red Hatが警告するこの問題は、企業のLinuxサーバだけでなく、コンテナ基盤にも影響する。

お名前.com デスクトップクラウドで起きた大規模な不正アクセス被害。2026年11月2日に開催された記者会見ではGMOグループの熊谷正寿代表らが同社を襲った事態と機能しなかったセキュリティガバナンスの欠陥を赤裸々に語った。

「パスキーは安全」。そんな認識に一石を投じる研究結果が公表された。狙われたのは暗号技術そのものではなく、Googleの同期パスキーを支える実装や復旧の仕組みだ。侵害済み端末を前提にした3つの攻撃は、認証の“信頼”をどう揺るがすのか。その手口と対策を解説する。

ランサムウェア被害を経験したトンボ飲料は、同様の被害を繰り返さないためにセキュリティ対策を強化している。脆弱性情報の把握を効率化するなど、既に具体的な成果も上がっているという。対策をどう見直したのか。

OSやアプリケーションを更新しても、脆弱性が残っているかもしれない。Googleの圧縮ライブラリ「Brotli」に、CVSS 9.2の重大脆弱性が見つかった。Node.jsではコード実行も実証され、攻撃の試みも観測されている。広く使われるライブラリだからこそ、見落とされやすい攻撃経路に注意が必要だ。

Microsoftは、予防可能な攻撃が多くの被害を生んでいる現状を踏まえ、サイバー攻撃対策として優先すべき4つの戦略を公開した。

GMOインターネットのVPSサービスへの不正アクセスは、顧客情報の漏えいだけでなく、攻撃者による情報公開、企業の対抗措置、SNSでの真偽不明情報の拡散を招いた。攻撃者が仕掛ける「劇場型」の情報戦に、企業も報道も巻き込まれていないか。SNSをやめたくなった記者が、事件の経緯を振り返りながら考える。

GitHubは自社の「Advisory Database」のデータを基に、2025年のOSSの脆弱性動向に関するレポートを発表した。

Kasperskyは、ランサムウェアの攻撃者が企業データを暗号化して身代金を要求するケースが減っているとして、その理由と企業が講じた方がよい対策を解説した。同社の緊急対応チームは、「Active Directory」を乗っ取ってグループポリシーで脅迫文を表示させる事例も確認している。

ソフトウェアのアップデートが提供される自動車車両（SDV）が本格的に普及した場合の最大のリスクは何か。その問いへの答えとして開発者たちが挙げたのが「サイバーセキュリティの脆弱性」だ。回答者の中には3年以内に車がサイバー攻撃に狙われると考えている人もいるという。

不正アクセス被害が続出する昨今、情報漏えいの被害者になった読者も多いだろう。ではそうなったとき何をすればいいのか。漏えいした情報ごとにやるべきことは違う。IPAが、漏えいした場合の対処法と日頃から気を付けるべきことをまとめた。

AIエージェントを導入して開発や運用効率を改善したい――。そう思う方は多いでしょう。しかしAIエージェントが暴走して意図しない動作を引き起こす可能性は決して低くありません。従来のソフトウェア制御のやり方では通用しないこの問題をどう解消すればいいのか。実践的な3つの解決策を提示します。

もはや「暗号化」は必須ではない。ランサムウェア攻撃が“データを人質に取る”新フェーズに突入した。支払い率の低下で攻撃者が選び始めた次の稼ぎ方とは。EDR無効化や量子耐性暗号まで導入される中、防御側の常識も揺らぎ始めている。

ガートナーは、2026年の日本におけるセキュリティ（AI時代のサイバーセキュリティ）のハイプサイクルを発表した。サイバーセキュリティリーダーがAI時代のサイバーセキュリティについて注目すべき重要なテクノロジー、手法、概念を取り上げている。

サイバー攻撃の被害を抑えるために、システムをあえて自ら止めるという判断には、技術面に加えてビジネス面のリスクも考慮する必要があり、経営層の理解が欠かせない。その支援策をNRIらが打ち出した。その中身は。

クラウド事業者へのサイバー攻撃は、利用企業にどこまで被害を及ぼすのか。IDCフロンティアの「IDCFクラウド」で起きたランサムウェア被害の全容が明らかになった。認証システムのOSS脆弱性を突かれ、495の企業・自治体の仮想サーバが停止・暗号化されたこの事件。攻撃者は何を突き、再発防止策にはどんな課題があるのか。利用企業が考えるべき備えを含めて専門家に聞いた。

企業で生成AIやAIエージェントの活用が広がる一方、IT部門が把握していない「シャドーAI」のリスクが顕在化しています。経営層と現場の認識にはなぜズレが生じるのでしょうか。AI活用とガバナンスを両立させる方法を考えます。

Fortinetは複数のセキュリティ製品を対象に修正プログラムを公開し、外部公開機器の迅速な更新を呼び掛けた。同社によると、AIの進化で、脆弱性を突く攻撃コードの生成はわずか数時間で実現する可能性がある。これにどう備えればいいか。

DNSは企業のシステムやインターネットサービスを支える基盤だ。そのDNSサーバソフトウェア「BIND 9」に、メモリ破損を引き起こし、リモートコード実行につながる恐れのある脆弱性が見つかった。深刻度はCVSS 8.1で、既知の回避策はない。過去の通信を悪用するという攻撃の仕組みと、影響を受けるバージョン、管理者が確認すべき修正対応を整理する。

サプライチェーン全体のセキュリティ対策を評価する重要性が高まり、一方では評価においてもAIを活用する動きが広がっています。評価を信頼し、実務に生かすために、いまサイバーリスク評価には何が求められるのでしょうか。

国内企業を揺るがす一連の不正アクセス被害で、AIによる自律型攻撃ツール「ARTEX」の関与が判明した。短時間で広範囲に仕掛けられる攻撃に注目が集まるが、専門家たちが一様に指摘するのは「使われた侵入経路そのものは従来と変わらない」という厳しい現実だった。有識者たちの視点から、見せかけの先進技術に惑わされず足元を固めるための具体策を探る。

Googleは公式ブログで、AIがかつてない速さでセキュリティ脆弱性を見つけ出す時代において、企業が取るべき防御策を解説した。

ESETは、マルウェアのコメントにLLMの安全機構を作動させる文言を仕込み、AIによる解析を止めさせる手口を報告した。ウクライナを狙った攻撃で使われていたという。

セキュリティ対策の土台となる知識を、体系的に学び直したい――。認定資格「Security Essentials v1.0」向けにLPIが無償公開した学習資料は、こうしたニーズに応える可能性がある。どのような内容なのか。

個人情報保護委員会などの複数機関が、セキュリティ対策の点検を促す文書を公開した。何を確認し、どこから着手すべきか分からない企業に向けて、対策の検討を助ける無償の点検表が登場した。その中身とは。