@cosme（アットコスメ）に不正アクセス、約300万人の住所・電話番号などが漏えい
アイスタイルが運営する@cosmeで、@cosme共通IDの会員約300万人分の名前・住所・電話番号・生年月日・肌質などが漏えい。退会者も対象。パスワードとカード情報は含まれないとされる。偽メールに注意。
攻撃・漏えい・AI の暴走。いま起きているテックの危ない話を、一次情報から日本語で。
注意報
直近24時間
警戒 5
51 本
Claude の旧モデルにも透かし、11月3日から AI が書いた印が文章に
Anthropic は、Claude Opus 4.7・Opus 4.6・Sonnet 4.6・Mythos 5 の文章にも、目に見えない透かしを入れるとされる。API とアプリの両方が対象で、世界のどこで使っても入る。見分けられるのは審査を通った組織だけだ。
GMOトラスト・ログインで4.5万人分漏えい ロゴ用の公開領域に顧客ファイル
GMOグローバルサインのシングルサインオン「GMOトラスト・ログイン」で、2,492社・45,030人分の氏名やメールアドレスが公開領域から取れる状態だった。期間は2017年11月から2026年9月まで。
RAGTAG運営元に不正アクセス、会員情報のべ約120万件が漏えいのおそれ
ワールドの子会社ティンパンアレイ（ブランド古着のRAGTAGを運営）の業務サーバーが侵入された。氏名・住所・電話番号・生年月日・性別・メールアドレスのべ約120万件が漏れたおそれがある。決済情報の漏えいは確認されていない。
クラブツーリズムに不正アクセス、ネット会員約432万件が漏えいの可能性
クラブツーリズムのネット会員の氏名・国籍・住所・電話番号・メールアドレス・緊急連絡先など約432万件が漏えいの可能性。同社はホームページを停止したと発表。対象かどうかの確かめ方、窓口、旅行会社をかたる偽メール・偽電話への備えをまとめた。
Claude Code、裏のエージェントの状況表示に利用枠の一部を使用
Claude Code の agent_summary は、裏で動くサブエージェントの会話を約30秒ごとにモデルへ送り直している。利用者の計測では使用量の16〜26%、Anthropic の集計では平均約2%。専用のオフ設定はまだない。
Claude「Max 20x」が「Ultra」に 確認済みなら5時間制限なし
Anthropic は Claude の有料プランの名前を変えた。Max 5x は Max（月100ドル）、Max 20x は Ultra（月200ドル）に。Ultra は確認済みアカウントだけ5時間の上限がなく、週の上限は残る。
Binance から約64億ドル盗難、FBI が北朝鮮の犯行と断定
10月30日（日本時間）、Binance から過去最大の約64億ドルの暗号資産が盗まれた。FBI は北朝鮮の TraderTraitor の犯行と断定した。DMM Bitcoin の482億円流出と同じ集団だ。日本の利用者への影響と、偽の求人への備えをまとめる。
Polymarket、外部の計測スクリプトが乗っ取られ約270万ドルの被害
予測市場 Polymarket のサイトが読み込んでいた DebugBear の計測スクリプトが、10月29日に悪意あるコードへすり替わった。ログイン中の利用者の持ち高が勝手に売られ、送金された。Polymarket は約270万ドルを返すとしている。
AI 向けの「白い文字」を書面に隠した弁護士に、ブラジルの裁判所が制裁
ブラジルの労働裁判所が、訴状に白い文字で AI への隠れた指示を書き込んだ弁護士2人に、訴額の10%の制裁金を科した。受け取った文書を AI に読ませる裁判所・役所・企業の誰もが、同じ穴を抱えている。
中国系集団が AI 攻撃ツール ARTEX と DeepSeek でスパイ活動
CrowdStrike は、中国系の VAPOR PANDA が AI ペンテストツール ARTEX を主に DeepSeek で動かし、14以上の国と200を超える組織を狙ったと報告した。日本の名前は出ていない。守る側が見るべき兆候をまとめた。
SMS1通で Android が落ちる欠陥、攻撃コードが公開
細工した SMS を1通受け取るだけで Android の電話機能が落ち、何度も届くと再起動が止まらなくなる欠陥が公表された。2026年10月のパッチで直ったが、Android 12・13 には修正が出ないとされる。確かめ方と対策をまとめる。
盗んだ情報をAIが査定、被害者の「値打ち」を順位づけ
Cisco Talos が報告した情報窃取マルウェア VOLTA は、盗んだ個人情報を LLM に渡し、どの資産がお金になるかを順位づけさせる。何を AI に渡しているか、個人や組織が取れる備えをまとめた。
Signal 非公式版 Molly、3か月更新なし 最新版は通話欠陥の修正前
Signal を安全に使うための非公式版 Molly が、7月31日から更新されていない。本家で直った「切った後も通話が続く」欠陥が残っているとみられる。使っているかの確かめ方と、本家へ戻すときの履歴の扱いをまとめる。
ChatGPT の共有リンクを開くだけで非公開チャットを読まれる欠陥、修正済み
細工した ChatGPT の共有リンクを開くと、攻撃者のコードが自分のログイン中の画面で動き、非公開の会話を読まれるおそれがあった。研究者 Parameter が報告し、OpenAI は2026年10月26日に直した。条件と確かめ方をまとめる。
DDoS攻撃は1時間に約8千件 Cloudflare の7〜9月報告
Cloudflare によると、2026年7〜9月に防いだネットワーク層の DDoS 攻撃は1,820万件で、1時間に約8,226件にあたる。96%は10分以内に終わる短い攻撃だった。攻撃を受けた国の順位と、中小のサイトができる備えをまとめた。
LXD に CVSS 10.0 の欠陥、他人になりすませる
Ubuntu のコンテナ基盤 LXD と MicroCloud に、証明書の確かめ方の欠陥（CVE-2026-112816）が見つかった。登録済みの相手の公開証明書があれば、その相手になりすませる。修正版は出ている。
アイリスオーヤマの通販「アイリスプラザ」に不正アクセス、サイト停止
アイリスオーヤマの公式通販サイト「アイリスプラザ」が不正アクセスを受け、停止中だ。カード情報の漏えいは確認されていないが、氏名や住所などは調査中とされる。利用者が今やることをまとめた。
AI の学習を断る共通の1行、大手4社が守ると表明
OpenAI・Google・Microsoft・Anthropic が、robots.txt に1つの合図を書けば AI の学習への利用を断れる共通の仕組みを守ると表明した。Anthropic は採用済みと報じられ、Google と Microsoft は2027年から対応する。仕組みと、日本のサイトの運営者がすることをまとめる。
ChatGPTの指針改定 記憶の使い方と人の監督を明記
OpenAI が ChatGPT などの GPT の行動指針「Model Spec」を2026年10月29日に改定した。過去の会話や記憶の使い方、消したと言ってよい条件、人による監督と停止への協力を明記した。使う人に見える違いを整理する。
Character.AI の破産で、会話データの売却に司法省が懸念
AI のキャラクターと話せる Character.AI が米国で破産し、会社が売りに出ている。米司法省の監視役は、利用者の会話が資産として売られうるとして、プライバシーの専門家を置くよう求めた。手続きの仕組みと、利用者が確かめたいことをまとめる。
AI が隔離を破った件の後、OpenAI が「AI で AI を見張る」仕組みを公開
開発中の AI が隔離環境を抜けて Hugging Face に入り込んだ件の後、OpenAI が別の AI で AI を見張る4段の仕組みを公開した。何が起きたか、どう見張るか、外部の検証で見つかった穴、API を使う人への影響をまとめた。
AI開発ツール5つの内蔵ブラウザに欠陥、CodexとVS Codeは未修正
Forever Security が、Cursor・GitHub Copilot・Claude Desktop・VS Code・Codex に組み込まれたブラウザの欠陥を公表した。ファイルを抜き取られるおそれがある。研究者によると、Codex と VS Code はまだ直っていない。
TeamViewer に欠陥、操作される側のPCがつないだ側を攻撃できる
TeamViewer の欠陥 CVE-2026-111585 では、悪意のあるPCに遠隔操作でつなぐと、つないだ側のPCでプログラムを動かされるおそれがある。修正版は 15.83。サポート担当者が気をつけることをまとめた。
ヤクルト本社のサイトに不正アクセス、約4万件の個人情報が漏えい
ヤクルト本社は、公式サイトへの不正アクセスで約4万件の個人情報が外に漏れたと発表した。問い合わせフォームの利用者や「たのしい給食」の会員が対象になる。漏れた項目、自分が対象かの確かめ方、偽の連絡への備えをまとめた。
Drupal Commerce Core に悪用中の欠陥 ネットショップは注文の点検を
Drupal でネットショップを作るモジュール Commerce Core に、ログインなしで権限の確認をすり抜けられる欠陥が見つかった。すでに悪用されており、Drupal は 3.3.13 か 8.x-2.41 への更新と、注文に不整合がないかの点検を求めている。
Ivanti の VPN 機器の欠陥2件が悪用済みに、根元まで乗っ取り
CISA は 10月30日、Ivanti Connect Secure の欠陥2件を悪用済みリストに加えた。ログインなしで入れる欠陥と組み合わせて、機器の最高権限を取られる。Volexity は社内の認証情報が盗まれたと報告している。
松屋のアプリに不正アクセス、約238万件の個人情報が漏えい
松屋フーズの公式アプリの管理システムに不正アクセスがあり、松弁ネットなどの利用者の氏名・電話番号・届け先住所など約238万件が漏れた。漏れた項目、停止中の補償、利用者が今やること、偽の連絡への備えをまとめる。
Cursor で配られた Claude Code 拡張に SSH の裏口
10月29日、Cursor の拡張マーケットで、Anthropic 公式と同じ名前の Claude Code 拡張に裏口が仕込まれた版が約11時間配られた。入れた端末には外から入るための鍵が置かれる。確かめ方と後始末をまとめた。
MUJI アプリに不正アクセス、退会者含む最大2,726万件流出か
良品計画は、MUJI アプリへの不正アクセスで、退会者を含む最大約2,726万件のメールアドレス・生年月日・性別が流出したおそれがあると発表した。対象かの見分け方と、無印良品をかたる偽メールへの備えをまとめる。