セキュリティ

Capcom IDで約1180万件のアカウント情報が流出、対策と注意点

by

概要 Capcomのオンラインアカウントサービス「CAPCOM ID」で、約1,177万件のアカウント情報が第三者に不正取得されました。取得情報はメールアドレスや作成日時、最終ログインIPなどで、43件に限り生年月日や性別等の個人属性も含まれます。パスワード自体は大半が安全ですが、196件で不正に変更されたため、パスワードリセットが実施されました。 技術的詳細・特徴 不正アクセスは10月19日に検知され、同日内部で侵入が確認されました。攻撃者はCAPCOM IDのデータベースに直接アクセスし、メールアドレスとアカウントメタデータを抽出したと考えられます。具体的な攻撃手法は公表されていませんが、外部委託先のシステムが標的になった可能性があります。 漏洩件数：11,774,247件 取得情報：メールアドレス、アカウント作成日時、最終ログイン日時・回数、最終ログインIP 個人属性が含まれた件数：43件（生年月日、性別、国・地域、ニックネーム） 不正に変更されたパスワード件数：196件 影響・対策方法 メールアドレスが流出したことで、フィッシングメールやなりすましメッセージのリスクが高まります。ユーザーは以下を実施してください。 Capcomからのメール以外はリンクや添付ファイルを開かない。 同一パスワードを他サービスで使い回さない。 Capcomの公式サイトでパスワードリセットを行う。 二要素認証（2FA）が提供されている場合は有効化する。 Capcomは日本国内にフリーダイヤルを設置し、各地域向けの問い合わせ窓口も開設しています。警察と個人情報保護委員会にも報告済みです。 出典 情報元: Help Net Security

AIツールを使ったConnectWise供給チェーン攻撃とStorm-0940の関係

by

Microsoftは、ConnectWiseのサプライチェーンを狙った攻撃が、中国系ハッカーグループ「Storm-0940」によるものと特定しました。 同グループはAI搭載のペネトレーションテストツールを悪用し、2,200以上のテナントに対して自動化された侵入を実行しました。 本記事では、攻撃手法と防御策を解説します。 技術的詳細・特徴 攻撃者は「ChatGPT」や「Claude」系の大規模言語モデルを組み込んだツールで、脆弱なAPIキーや設定ミスを自動探索し、認証情報を取得しました。 AIがコード生成とリバースエンジニアリングを同時に行い、数秒で多数のエンドポイントをスキャン。 取得した認証情報でConnectWiseの管理コンソールにログインし、マルチテナント環境全体にマルウェアを配布。 攻撃は「Supply Chain」型で、被害は直接的なシステム侵入だけでなく、顧客データの漏洩リスクも拡大。 影響・対策方法 被害に遭った組織は、内部システムへの不正アクセスやデータ流出の可能性が高まります。特に、サードパーティ製品の認証情報管理が甘いと被害が拡大します。 対策としては、以下を推奨します。 AIツールの社内利用を制限し、生成コードのレビューを徹底。 ConnectWiseのAPIキーを定期的にローテーションし、最小権限の原則を適用。 異常なログインパターンや大量のスキャン活動をSIEMで検知。 サプライチェーン全体の脆弱性評価を実施し、第三者リスクを可視化。 情報元: Dark Reading

ShinyHuntersと交渉業者の関係が明らかに：米国捜査の最新情報

by

概要 米国捜査当局は、ランサムウェア交渉会社の幹部がShinyHuntersの恐喝サイト運営に関与していたと特定しました。 同グループはFBIの採用サイトをハッキングし、医療記録や社会保障番号などの個人情報を公開すると脅迫。現在までに7000万ドル以上の身代金を強要しています。 オランダで逮捕されたメンバーのSignalメッセージが、交渉業者との密接な関係を明らかにし、さらに殺人依頼の疑いも浮上させました。 技術的詳細・特徴 ShinyHuntersは2019年にフランス拠点で始まり、現在はヨルダンのティーンエイジャー「Rey」が指揮。被害者への脅迫は専用サイトで行われ、盗まれたデータには医療記録やSSN、住所、職務情報が含まれます。 逮捕されたPepijn van der StapはSignalで米国・カナダの交渉業者と頻繁にやり取りしており、捜査官はそのログを取得。オランダ警察はフラッシュバン弾を使用して現場での抵抗を最小化しました。 さらに、van der Stapのメッセージは殺人依頼に関する計画を示唆しており、捜査はサイバー犯罪と重犯罪の結びつきを追及しています。 影響・対策方法 企業は機密情報の暗号化と厳格なアクセス制御を徹底し、外部へのデータ流出をリアルタイムで監視する必要があります。特にランサムウェア交渉業者との直接的なやり取りは法務部門を通すなど、内部プロセスを見直すことが重要です。 脅迫サイトや漏洩情報の監視は脅威インテリジェンスサービスで自動化し、異常が検知されたら直ちにインシデント対応チームと連携して証拠保存と法執行機関への通報を行いましょう。 出典 情報元: Krebs on Security

PHPの緊急脆弱性が大量サイト停止を引き起こす可能性―即時対応が必要

by

概要 本日、PHPの緊急セキュリティアップデートが公開され、約70%のウェブサイトが直ちに対応を求められました。2つの深刻な脆弱性はリモートコード実行やサービス拒否を引き起こし、実際にエクスプロイトが野放しで観測されています。 影響はDrupal、Magento、Joomla、WordPressなど多数のCMSに波及し、欧州の政府サイトでも一時的に停止が報告されました。 OpenAIやWizの研究者がAIを活用して実証したことから、過去数十年にわたって埋もれていた欠陥が一気に危険度を高めました。 技術的詳細・特徴 今回の脆弱性はPHP本体に存在する2つのバグで、どちらも任意コード実行（RCE）を可能にします。過去10年でリリースされたすべてのPHPバージョンに少なくとも一つは影響があり、特に古いバージョンほど攻撃対象になりやすいです。エクスプロイトは複雑なチェーンを必要としましたが、生成AIがそのハンドリングを自動化したことで実用化が加速しました。 攻撃者はWebシェルを設置し、サーバ上で任意のコマンドを実行できるほか、データ漏洩やサービス停止（DoS）も引き起こします。CloudflareはUTC 3:02にWAFルールを追加し、悪意あるリクエストをブロックしています。 影響・対策方法 公式サイトから提供されたPHP 8.3.12以降、または該当バージョンのパッチを直ちに適用する。 WAFやIPSで「CVE‑2026‑xxxx」系のシグネチャを有効化し、疑わしいリクエストを遮断する。 CMSやプラグインのバージョンも最新に保ち、不要なPHP拡張は無効化する。 サーバのバックアップを定期的に取得し、侵入が疑われた場合は速やかに復旧手順を実行する。 出典 情報元: Krebs on Security

eMudhra中間CA鍵漏洩、ブラウザ緊急対策が実施

by

概要 eMudhra社の中間証明書認証局（CA）で使用されていた8つのプライベートキーが漏洩しました。 Mozilla と Google の Chrome Root Program が2023年10月20日に緊急対応を実施し、該当証明書を信頼ストアから除外しました。 攻撃者がこれらのキーを入手すると、任意のドメインに対して有効なTLS証明書を発行でき、ブラウザは正規と判断してしまいます。 技術的詳細・特徴 中間CAはルートCAから委任された証明書で、ウェブサイトの証明書を署名します。今回漏洩したキーは8つの異なる中間証明書に対応し、RSA 2048 ビット鍵が使用されていました。 この問題はPKI全体の信頼性に対する警鐘となります。 キー漏洩は内部管理ミスまたは外部侵入が原因と推測されています。 漏洩した証明書は複数のブラウザとOSの信頼ストアに含まれていたため、広範囲に影響が及びました。 Chrome と Firefox は即座に証明書を無効化し、再発防止策としてキーのローテーションを強化しました。 影響・対策方法 現在、該当証明書で発行されたTLS証明書はすべて無効化され、ブラウザは警告を表示します。ウェブサイト運営者は以下を実施してください。 ユーザー側でもブラウザのバージョンを最新に保ち、警告が出た際はアクセスを中止してください。 証明書を新しいCAから再発行し、サーバーにデプロイする。 ブラウザキャッシュやOSの証明書ストアを更新し、古い証明書が残っていないか確認する。 内部の鍵管理プロセスを見直し、HSM の導入やアクセス制御の強化を検討する。 出典 情報元: The Hacker News

産業制御システムへの新手法「ICS‑Sniper」攻撃とXWormパネル脆弱性、IntelのSGX撤退まとめ

by

概要 今週のSecurityWeekまとめでは、産業制御システム向けの「ICS‑Sniper」攻撃、IntelがXeonからSGXを除外、XWorm RATのC2パネルに未認証RCEが発見されたことが報じられた。 技術的詳細・特徴 ICS‑Sniper はネットワーク上のルータを乗っ取り、VPN暗号化パケットのサイズ・タイミングからSCADAコマンドの送受信瞬間を推測し、重要ペイロードをドロップする手法。SWaTテストベッドで水ポンプ開始が15分遅延、バルブが9分以上開いたままになる実証が行われた。 Intelは次世代Xeon「Diamond Rapids」を最後にSGXをロードマップから外し、機密コンピューティングはTDXへシフト。SGX搭載機は2030年代初頭までサポート予定。 XWorm RAT（バージョン7.4まで）では、C2パネルのアドレス・ポート・キーさえ取得すれば、パス・トラバーサルでDLLを書き換え、認証なしでコード実行できる未認証RCEが確認された。実証コードはOmanの研究者Mootooが公開。 影響・対策方法 OT環境では、ルータやファイアウォールでのトラフィック監視・暗号化以外のメタデータ保護が必要。VPN以外の認証やタイムスタンプ検証、重要コマンドの冗長化を検討。 SGX依存のアプリはTDXや他のVM隔離技術への移行計画を策定し、パッチ適用とサポート期限を管理。 XWorm感染が疑われる端末はC2設定情報を即時回収し、パネルの認証キーを変更、不要なDLLやパスを書き換え可能な権限を最小化。ネットワーク分離とIDS/IPSで不審なパス・トラバーサルを検知。 出典 情報元: SecurityWeek

Xandr、グラインダーの性的指向データ流出で史上最高額の罰金

by

概要 ノルウェーのデータ保護機関は、Microsoft傘下の広告部門Xandrが、出会い系アプリGrindrの利用者データを広告主に転送したとして、史上最高額となる860万ユーロ（約960万ドル）の罰金を科しました。 転送された情報には、ユーザーの性的指向や年齢、位置情報など、極めて機微な個人情報が含まれていました。 本件は「非常に重大」な違反と評価され、欧州のプライバシー規制に基づく厳罰が適用されました。 技術的詳細・特徴 Xandrは広告配信プラットフォーム上で、Grindrから取得したユーザープロファイルを匿名化せずにサードパーティ広告主へ提供していました。データはAPI経由でリアルタイムに送信され、同意取得や目的限定の原則が守られていませんでした。 影響・対策方法 同様のデータリレーを行う広告テクノロジーは、GDPRや各国のプライバシー法に抵触する可能性が高い。 企業はデータ収集・共有のフローを見直し、最小限の情報のみを匿名化して利用するべき。 ユーザーはプライバシー設定を確認し、不要なデータ共有をオプトアウトすることが推奨されます。 出典 情報元: The Hacker News

従業員のAIエージェントが無防備にログイン、企業が直面するリスクと対策

by

概要 個人向けAIエージェントが企業内で利用され始め、AmazonがMetaのMuseをボットとして識別できずブロックした事例が報じられました。エージェントが自動でログイン状態を保持することで、機密情報への不正アクセスリスクが高まります。プライバシーとセキュリティの課題が顕在化しています。 技術的詳細・特徴 AIエージェントはユーザーの認証情報を保存し、バックグラウンドでサービスにアクセスします。主な特徴は： シングルサインオン（SSO）やトークンの自動再利用 ブラウザやアプリ内での常時ログイン状態維持 メタデータが不足しているため、従来のボット検知システムで識別しにくい このため、エージェントが企業の内部システムやクラウドサービスに無意識に接続し、権限が過剰に付与されるケースが増えています。 Instinct社のエージェントはユーザーの会話履歴をクラウドに保存し、プライバシー保護が不十分と指摘されています。企業はデータ保持ポリシーを確認し、不要なデータ収集をブロックすべきです。 影響・対策方法 主な影響は情報漏洩、権限昇格、サービス妨害です。対策としては以下が有効です。 AIエージェントの利用をポリシーで明文化し、許可されたツールのみ使用する 認証トークンの有効期限を短くし、MFAを必須化する エージェントのアクセスログを監視し、異常な振る舞いをSIEMで検知する ボット検知システムにAIエージェント用の指紋情報を追加する さらに、エージェントが内部ユーザーになりすますことで、内部脅威として検知が困難になる点も注意が必要です。 出典 情報元: The Hacker News

AIを悪用したマルウェアやGitHub供給チェーン攻撃など今週の注目セキュリティニュース

by

概要 今週のSecurityWeekまとめでは、AIを利用したマルウェアが詩を使ってC&Cサーバを切り替える手法や、GitHub Actionsを悪用したシークレット盗難が拡大したことが報告されました。また、暗号資産取引所へのハッキングで巨額資金を不正取得した容疑で有罪判決が下された事例や、CISAの人材確保インセンティブ制度の条件変更も取り上げられています。 技術的詳細・特徴 「PoeLLM」マルウェアはGitHubに掲載された詩の4語をIPアドレスに変換し、C&Cサーバを動的に切り替える。対象はLiteLLM、Ollama、Gotenberg、GiteaなどのAI/OSSサービスで、暗号通貨マイニングとボットネット拡大を狙う。 GhostAction供給チェーン攻撃は、GitHub Actionsのワークフローを改ざんし、SSHキーやAWS・Azureの認証情報など2,577件のシークレットを盗み出した。影響は772リポジトリ（373組織）に及び、攻撃者は既存の2025年版プレイブックを再利用。 Uranium Financeへのハッキングは、スマートコントラクトの脆弱性を突き、最初の1.4億ドルに続き53.3億ドル相当を不正取得。資金はTornado Cash経由で洗浄され、コレクションカードや古代ローマ硬貨の購入に使用された。 CISAはサイバー人材保持インセンティブを2027年度まで継続するが、評価が「期待以上」以上でサイバー業務比率が51%以上という条件を追加。 影響・対策方法 AIサービスを外部に公開している組織は、認証・アクセス制御を強化し、不要なAPIキーを削除することが必須です。また、GitHubリポジトリのActions設定を最小権限に限定し、サプライチェーン監視を導入してください。暗号資産取引所はスマートコントラクトのコード監査と多層防御を徹底し、資金洗浄防止のためのトランザクションモニタリングを強化する必要があります。CISAの新基準に合わせ、人事評価と業務配分を見直すことでインセンティブを活用できます。 出典 情報元: SecurityWeek

Ciscoが35件の脆弱性を修正、重要なバッファオーバーフローに注意

by

概要 Ciscoは35件の脆弱性に対するパッチを公開し、うち12件以上がクリティカルと評価されています。Meraki、License On‑Prem、NX‑OS、APIC、Finesseなど幅広い製品が対象です。現時点で実際の攻撃は報告されていませんが、早急な対応が推奨されます。 技術的詳細・特徴 主な脆弱性はメモリ破壊や認証回避に関するものです。 Meraki: 7 CVEをまとめて修正。特にCVE-2026-76464はバッファオーバーフローや範囲外書き込みを引き起こす。 License On‑Prem: 8件修正。CVE-2026-20328は認証なしで不正アクセス、CVE-2026-76454はDoSを誘発。 NX‑OS: 14件修正（うち7件クリティカル）。CVE-2026-76455/76459は不適切なアクセス制御と書き込みエラー。 APIC: CVE-2026-76498〜76500は不適切なアクセス制御、OSコマンドインジェクション、メモリ欠陥。 Finesse: 高リスクのSSRF脆弱性（CVE-2026-20362）を修正。 影響・対策方法 これらの脆弱性は認証なしでリモートコード実行やサービス妨害を引き起こす可能性があります。対策は以下の通りです。 該当製品を使用中の組織は速やかにCisco提供の最新ファームウェアへアップデート。 NGOAMが有効なNexus 3000/9000シリーズは機能を無効化するか、パッチ適用を必須とする。 管理インターフェースへのアクセスはIP制限や二要素認証で保護。 Cisco Security Advisoriesを定期的に確認し、追加情報や新たな脆弱性に備える。 出典 情報元: SecurityWeek