盲点（1）VPN経由の侵入を示唆、脆弱性突かれ被害後に廃止 3つの盲点の1つ目は、侵入経路としてVPN（Virtual Private Network）装置の脆弱性を突かれたとみられることだ。攻撃者は同社が出荷管理システムなどのサーバーを設置したデータセンターに不正アクセスし、複数の業務サーバーや全37台の端末のデータを暗号化したり窃取したりした。同社は「グループ内の拠点にあるネットワーク機器を経由し、データセンターのネットワークに侵入された」としているが、具体的にどういったネットワーク機器から侵入されたのかは明言していない。 ただ勝木社長は今回の被害を受け「VPN接続は廃止した」と明言した。ネットワーク機器とはVPN装置だったのか、報道陣からの質問に対して「重要なリスクにつながる情報であるため明かせない」と回答を濁したが、「（報道陣の）想像とそれほど違わないものと思う」とも語り、VPN装

英国国民保健サービス（NHS）のデジタル部門は2025年11月18日（現地時間）、圧縮・解凍ソフトウェア7-Zipに関する脆弱（ぜいじゃく）性（CVE-2025-11001）について、悪用事例を確認したと発表した。この脆弱性が悪用されると、リモートの攻撃者が任意のコードを実行できる可能性がある。対象となるのは7-Zip 25.00より前の全てのバージョンとされている。 ZIPファイル処理の欠陥でリモート攻撃、7-Zipユーザーは急ぎ更新を CVE-2025-11001はZero Day Initiativeが2025年10月7日に報告した7-Zipに存在する重大なセキュリティ脆弱性だ。この脆弱性はZIPファイルに含まれるシンボリックリンクの処理過程に起因するとされ、細工したZIPファイルを扱った際に処理が想定外のディレクトリへ移動する点が問題とされている。本来の展開先とは異なる場所にファイ

使用するアプリケーションやオンラインサービスの多様化に伴い、ユーザー1人が利用するパスワードの数は増加している。一方で、それらを一元的に保管する「パスワード管理ツール」（パスワードマネジャー）が、サイバー攻撃者の新たな標的になっている実態も浮き彫りになっている。 パスワードの使い回しや、推測されやすい文字列の使用は、依然としてセキュリティ上のリスクだ。長く複雑なパスワードを個別に設定し、それらを管理するためにパスワード管理ツールが使われることがある。 安全なパスワード運用を支援する手段としてパスワード管理ツールが推奨されることがある一方、セキュリティベンダーESETは、パスワード管理ツール自体がサイバー犯罪者にとって魅力的な攻撃対象になっていると指摘している。 “全パスワードを一括管理”の落とし穴 攻撃者がパスワード管理ツールに不正にアクセスできれば、アカウント乗っ取りや個人情報の窃取につ

Cloudflareの大規模障害、“迂回”が不正アクセスの引き金に？　「ネットワーク侵入テスト」になったとの指摘も：この頃、セキュリティ界隈で 世界中の大手WebサイトやSNSをダウンさせたコンテンツデリバリーネットワーク（CDN）大手米Cloudflareの大規模障害。これに関連して、一部のWebサイトが運用を継続するため一時的にCloudflareのサービスを迂回したことで防御が手薄になり、この間に不正侵入された恐れがあるとして、専門家がログなどを確認するよう促している。 Cloudflareの障害が発生したのは協定世界時の11月18日。障害は数時間にわたって続き、影響はChatGPTやX、Spotify、Zoom、Microsoft Teams、Canva、Visaなどの大手サービスにも及んだ。 セキュリティジャーナリストのブライアン・クレブス氏が運営するブログ「Krebs on S

コンテンツブロックが有効であることを検知しました。 このサイトを利用するには、コンテンツブロック機能（広告ブロック機能を持つ拡張機能等）を無効にしてページを再読み込みしてください。 なお、Microsoft Edgeをご利用のお客様はプライバシー設定が影響している可能性があるため「追跡防止を有効にする」の設定を「バランス（推奨）」にしてご利用をお願いいたします。詳細は下記のFAQページをご参照ください。 https://help.toyokeizai.net/hc/ja/articles/33846290888345 ✕

SecurityTLSmailSMTPtechDiscussion

【読売新聞】　警察署や官公庁などからの電話を装う特殊詐欺被害が相次ぐ中、国内の通信会社が海外に提供したＩＰ電話の１回線から今年２～３月、発信元を偽装した約２００万件もの電話がかけられていたことがわかった。実際に被害に遭った人もおり、

Google Cloudは2025年11月5日（米国時間）、「Cybersecurity Forecast 2026」（2026年サイバーセキュリティ予測レポート）を発表した。 同レポートは、2025年のサイバーセキュリティトレンドを踏まえ、同社のセキュリティリーダーと数十人の専門家が共同で2026年のサイバーセキュリティ予測をまとめたものだ。 レポートでは、AI（人工知能）が攻撃と防御の両面で中心的役割を担うと予測している。 攻撃者側の変化　企業が直面する脅威 脅威にさらされる仮想化インフラ ゲストOSのセキュリティ対策が成熟するにつれて、攻撃者は基盤となる仮想化インフラに標的を移している。仮想化インフラでの侵害が発生すれば、デジタル資産全体の制御権が奪取され、わずか数時間で数百のシステムが機能停止に陥る可能性がある。 ランサムウェアと恐喝 ランサムウェア（身代金要求型マルウェア）、デー

ITライター・スマホ安全アドバイザー。スマホ、SNS、Webサービスなど、身近なITに関する記事を執筆している。初心者がつまずきやすいポイントをやさしく解説することに定評がある。中高生のスマホ事情にも詳しく、二人の娘を持つ母親でもある。 ...続きを読む 近頃、利用しているWebサービスやアプリから「パスキーを設定しましょう」と案内される機会が増えてきているのではないでしょうか。しかし「パスキーは本当に必要？」「パスワードより本当に安全なの？」と疑問を抱く人も多いはず。そこで、本記事ではパスキーの仕組みや登録方法を解説します。 パスワードのままだと危ない？ パスワードは、誕生日や「1111」といった単純で推測しやすいものや、同じものを使いまわしている場合、不正ログインされるリスクが高まります。また、自身が十分に注意していても、企業がハッキングされてパスワードが漏えいするケースもあります。

セキュリティ製品が「無用の長物」になってしまうわけ　 運用自動化・AI活用の落とし穴：だから失敗する、だまされる、無駄になる 2025年9月1日、ITmedia Security Week 2025 夏で京姫鉄道 代表社員CEOの井二かける氏が「運用自動化のその前に 無用の長物にならないために押さえておきたいこと」と題して講演した。

麹 @oryzae1824 新卒「パスワードが覚えられません……」 先輩「ふむ…付箋を貼れば良いのでは？」 新卒「さすが先輩……！」 課長「なかなか思いつくことじゃないよ」 部長「……全員、今から研修しようか」 pic.x.com/JYAqpOzEuo 2025-11-10 08:04:06

日本経済新聞社は2025年11月4日、業務の一部で利用するビジネスチャットツール「Slack」に外部からの不正ログインがあり、従業員や取引先など計1万7368人分の情報が流出した疑いがあると発表した。従業員が私物として保有するPCがマルウェアに感染し、Slackの認証情報が流出して不正ログインにつながったとみられる。 同様に、コラボレーションツールを狙った認証情報窃取は国内外で相次いでいる。 私物PCから認証情報が流出 今回、日経新聞への不正アクセスでは以下の3つのステップが踏まれたとみられている。 私物PCのマルウェア感染 組織の管理が及ばない私物PCに侵入し、企業ネットワークの外側から認証情報を入手 認証情報の窃取 マルウェア感染によってSlackの認証情報（ユーザー名、パスワード、場合によってはセッショントークン）を取得 正規ログインの再現 盗んだ認証情報を使い、正規のログイン手順を

パスワード変更も意味がない、クラウドを侵害し続ける悪意ある「OAuthアプリ」の実態：セキュリティベンダーProofpointが公開 Proofpointは、悪意あるOAuthアプリケーションによる永続的クラウド侵害の実態を公開した。パスワード変更やMFA適用後も攻撃者のアクセスは継続し、4日間続いた実例も確認された。 セキュリティベンダーProofpointは2025年10月21日（米国時間）、認可プロトコル「OAuth」のアプリケーションを使った攻撃手法を公開した。悪意あるOAuthアプリケーションを通じて、クラウド環境への永続的な侵害が可能になるという。 この手法では、ユーザーの認証情報をリセットしても攻撃は止まらない。多要素認証（MFA）を適用した場合でも、攻撃者は侵害されたクラウド環境へのアクセスを維持できる。Proofpointは概念実証（PoC：Proof of Concep

米国立標準技術研究所（NIST）は今夏、パスワード認証の指針を約3年ぶりに更新した。記号や数字を組み合わせる設定や、ペットの名前などを尋ねる秘密の質問での本人確認を「推奨しない」と改めた。攻撃側の技術進化によって効力が薄れているためだ。企業はパスワード設定を再考する時を迎えている。NISTのガイドラインは法的拘束力はないものの、業界標準として認識されることが多い。2017年に定期的なパスワード

あるサイバー攻撃グループが「IIJのサーバーに侵入した」と主張していると、脅威検知＆追跡プラットフォームを提供するHackmanacのXアカウントなどが11月5日に伝えた。同日、IIJも声明を発表したが、被害の有無などは明確に伝えていない。 Hackmanacの投稿によると、KaruHuntersと名乗るサイバー攻撃グループが、IIJのサーバーに侵入したとして「流出したデータにはAndroid開発やマルチメディアライブラリに関連するソースコードリポジトリ（ソースコードと関連ファイルなど）の大規模なコレクションが含まれる」と主張しているという。流出したとされるファイルも添付していた。 これに対し、IIJは公式Xアカウントで「添付されたファイルは当社が設置する公開ftpサーバ（オープンソースソフトウェアなどの配布用）にある、IIJ以外の開発グループが作成したファイルと同一であることを確認してい

フランス・パリのルーブル美術館で10月19日（現地時間）、総額8800万ユーロ（約156億円）相当の宝飾品がわずか8分足らずで盗まれた事件で、館内に設置された監視カメラにアクセスするためのパスワードが「LOUVRE」（ルーブル）であったことが後日の監査で明らかになったという。 リベラシオンやアントレビューなど、複数の仏メディアが報じた。他にも大手セキュリティ会社の社名である「THALES」という単純なパスワードが使われていた他、館内のシステムでは、既にサポートが終了している「Windows 2000／XP／Server 2003」が稼働していたという。 リベラシオンによれば、こうしたセキュリティシステムに関する脆弱（ぜいじゃく）性の指摘は10年前に行われていたが、放置されていた。政府からの手厚い支援が入っている公的施設においても、セキュリティ対策に対する関心の低さが浮き彫りとなった。 関連

アンノウン・テクノロジーズ（東京都千代田区）のCEOを務める切敷裕大さんが10月30日、個人のXアカウントで「世界初！暗号領域の情報が読み取れるSuicaビューアを公開」と投稿し、一部で注目を集めている。アンノウン・テクノロジーズは、8月に話題になったSuicaの脆弱性を指摘したセキュリティ企業だ。 GitHubの当該ページによると、Suica ViewerはFeliCaベースの交通系ICカードから、リモートサーバーによる相互認証により暗号化された領域を読み取るツールだという。詳細なカード情報や残高、旅程履歴データなどが読み取れるが、書き込みには対応しない。同氏はXで「絶対残高（を）書き換える奴が出るので禁止してある」と投稿している。なお10月31日にはメンテナンスのため認証サーバーを一時休止すると投稿しており、独自のサーバーを立てていることもうかがえる。 X上では「凄いですね」といった好