ユミルリンク Cuenote FC で延べ4786万件流出、JR東海も
メール配信サービス Cuenote FC への不正アクセスで、メールアドレス等が延べ47,864,147件流出。スマートEX・アイスタイルなど。漏れた項目と偽メール対策。
攻撃・漏えい・AI の暴走。いま起きているテックの危ない話を、一次情報から日本語で。
注意報
直近24時間
危険 1警戒 10
- 危険ニトリに不正アクセス、最大3,762万件の情報流出か
- 警戒ユミルリンク Cuenote FC で延べ4786万件流出、JR東海も
- 警戒靖国神社の通販サイトに不正アクセス、約1万4500件漏えい
- 警戒Cisco BroadWorks CVE-2026-20320 など、CISA が悪用を確認
- 警戒2026年11月のMicrosoft月例更新、Outlook欠陥は悪用済み
- 警戒Railway 侵害で AI キー流出、不正利用は約74万ドル
- 警戒日商ネット試験に不正アクセス、最大98万人分の受験者情報
- 警戒Grok Build のアプリ3.5万件が公開状態、患者情報も
- 警戒Outlook ゼロデイ CVE-2026-124194、悪用確認・11月パッチで修正
- 警戒CVE-2026-125350 Chrome の欠陥が悪用され CISA KEV に
- 警戒Xen Orchestra に認証回避の欠陥、悪用中。6.9.1 / 6.10.0 へ
209 本
靖国神社の通販サイトに不正アクセス、約1万4500件漏えい
靖國神社「オンライン授与品・頒布品サイト」で会員の氏名・メールアドレス・パスワード情報が漏えい。10月28日に判明。対象者へのメール、窓口、偽連絡への備えを整理する。
Gemini の Gmail・ドライブ連携、人が見うる範囲と止め方
Gemini アプリの Google Workspace 連携（Gmail・ドライブ）で、メールやファイルの要約・抜粋を人間のレビュー担当者が見うる。Google のヘルプと照らし、連携とアクティビティの確認法をまとめる。
Microsoft 研究 Lazarus、10未満のニューロン編集で AI に裏口
Microsoft が公表した Lazarus は、再学習なしに AI モデルの重みを書き換え、特定の合図でコマンドを出させる研究。配布モデルを使う側の確認方法と限界を整理する。
前澤氏のMeta訴訟、東京地裁が棄却 なりすまし広告の責任は
前澤友作氏が Meta に偽の投資広告の差し止めなどを求めた訴訟で、東京地裁は請求を棄却。判決の論点、控訴の見通し、広告の見分け方と通報先を整理する。
Cisco BroadWorks CVE-2026-20320 など、CISA が悪用を確認
CISA が Cisco BroadWorks（RI.2026.07 より前）と Openwave Webtop Media Transcoder（1.1.22.0 より前）の欠陥を KEV に追加。確認と対策をまとめる。
2026年11月のMicrosoft月例更新、Outlook欠陥は悪用済み
JPCERT/CC が注意喚起した2026年11月のマイクロソフト セキュリティ更新プログラム。悪用が確認された CVE-2026-124194（Outlook）と、更新の確かめ方を整理する。
GMOあおぞらネット銀行、不正な通信で銀行APIを2度停止
GMOあおぞらネット銀行は2026年11月10〜11日、銀行API接続基盤への外部からの不正な通信を検知し、APIを2度停止。漏えい・不正送金は無いと発表。連携サービスの確認点をまとめる。
React Server Components に認証不要の RCE 欠陥、条件は「ごくまれ」
react-server-dom-webpack / turbopack / parcel の GHSA-xqc2-xf4c-x3h3（CVSS v4 9.5）。影響を受ける版、19.0.9・19.1.10・19.2.9・19.3.1 への更新と確かめ方を整理する。
Railway 侵害で AI キー流出、不正利用は約74万ドル
開発者向けクラウド Railway が10月に侵入され、顧客の環境変数が盗まれた。AI プロバイダーの API キーが狙われ、不正利用は約74万ドルと推計。鍵の入れ替えと上限設定を整理する。
日商ネット試験に不正アクセス、最大98万人分の受験者情報
日本商工会議所が2026年11月10日に発表。簿記・販売士・日商PCなどのネット試験を受けた最大約98万人分の氏名・生年月日・合否・得点が漏れた可能性。窓口と偽メール対策。
Grok Build のアプリ3.5万件が公開状態、患者情報も
Grok Build（xAI/SpaceXSI）で作られた公開アプリ35,578件が、サインインなしで開けたと Claroc が報告。社内資料、名簿、医療情報、平文のパスワードが見えていた。
Outlook ゼロデイ CVE-2026-124194、悪用確認・11月パッチで修正
Microsoft Outlook（Microsoft 365 Apps・Office LTSC 2021/2024）の欠陥 CVE-2026-124194 は悪用が確認され CISA KEV 入り。NTLMv2 ハッシュ漏えいの内容と更新の確かめ方。
ニトリに不正アクセス、最大3,762万件の情報流出か
ニトリHDは2026年11月9日、不正アクセスで会員・ネット注文者の氏名・住所・電話・生年月日など最大3,762万件が漏れた可能性を公表。偽メール対策をまとめた。
ニューヨーク州 RAISE Act、OpenAI・Anthropic に登録と開示
ニューヨーク州の AI 安全法 RAISE Act は 2027年1月1日に適用開始。大手 AI 開発者の安全方針の公開、72時間以内の事故報告、違反時の罰金、日本への影響を整理する。
Git の欠陥 CVE-2026-111760、再帰クローンでコード実行のおそれ
Git に、サブモジュール付きの悪意あるリポジトリを再帰クローンするとコードが動くおそれのある欠陥。修正版は 2.56.1 など。影響条件と確かめ方を整理する。
CVE-2026-125350 Chrome の欠陥が悪用され CISA KEV に
Chromium の XML 部分の use-after-free（CVE-2026-125350）が悪用確認済みとして CISA KEV に登録。Chrome 157.0.8103.50 以降への更新と Edge の確認方法を整理。
AI 眼鏡の盗撮懸念、ノルウェーと EU が規制へ動く
Meta の Ray-Ban など カメラ付き AI 眼鏡のプライバシー問題で、ノルウェー政府は公共の場での一時禁止を表明、EU の EDPB は声明 1/2026 を出した。日本の状況と対策。
Xen Orchestra に認証回避の欠陥、悪用中。6.9.1 / 6.10.0 へ
Xen Orchestra と XOA の認証回避の欠陥（VSA-2026-062、CVE 未採番）が悪用されている。修正版は 6.9.1（stable）と 6.10.0（latest）。公開状況の確かめ方と侵入の跡を整理する。
iVerify 報告：犯罪者のスパイウェアが一般の iPhone にも
iVerify の Advanced Mobile Threat Report 2026 によると、検知の75%は犯罪者によるもの。DarkSword・Coruna という iOS 攻撃ツールと Android の遠隔操作アプリの実態と備えをまとめる。
GPUStack に認証回避の欠陥、CVE-2026-102894 で乗っ取りも
AI 基盤 GPUStack 0.7.1 以上 2.2.2 未満で、署名を確かめない SAML 応答により管理者を含むアカウントを乗っ取れる欠陥。2.2.2 で修正。悪用は未確認。
Fireworks AI 侵害が拡大、請求情報とモデルの重みの一部も
AI 基盤 Fireworks AI が11月9日に更新した発表で、請求情報・データセット・未完成のモデルの重みの一部への影響を認めた。LLMjacking との関与、Notion への波及、確認点を整理する。
eBay が外部の AI エージェントを遮断か、Meta Muse も
eBay が Meta の Muse など外部 AI エージェントを遮断したようだと The Verge が報道。eBay は確認せず。利用規約の AI 購入代行の禁止条項と、AI 買い物代行の利用者への影響を整理。
Ring Drone Cam 発表、家の中を飛んで巡回する AI カメラ
Amazon の Ring が屋内用ドローン「Ring Drone Cam」（249.99 ドル）を発表した。AI Pilot はクラウド処理を使う。映像の扱い、過去の FTC 和解、日本での発売の有無を整理する。
iOS 26・27 のサンドボックス破りが公開、Binance が警告
iOS 26.0〜26.7.2 と 27.2 で別アプリのデータを読める手法 worse_query が GitHub で公開。Binance がウォレット鍵の流出に警告。修正は未確認。Binance と研究者は悪用を報告していない。
SAP 11月パッチ、CVSS 10.0 が4件 NetWeaver・Web Dispatcher
SAP が2026年11月の月例パッチで CVSS 10.0 の欠陥4件を修正。NetWeaver AS ABAP、Web Dispatcher、Gateway、SAML2 が対象。確認先と優先点を整理する。
シェアフルに不正アクセス、最大750万アカウントの情報漏れか
スキマバイトのシェアフルが社内管理システムへの不正アクセスを発表。最大約750万の個人アカウントの氏名・住所・給与振込用口座などが漏れた可能性。確かめ方と備えを整理。
iOS 27.2.1 で iMessage グループ参加の欠陥を修正
Apple が iOS・iPadOS 27.2.1 で iMessage グループチャットに外から参加できる欠陥（CVE-2026-113961）と Bluetooth ペアリングの欠陥を修正。悪用の記載なし。
FreeSWITCH CVE-2026-116779 が悪用され CISA KEV に追加
IP 電話基盤 SignalWire FreeSWITCH 1.11.2 以前の欠陥 CVE-2026-116779（CVSS 9.8）が実際に悪用された。1.11.3 で修正。公開事業者の確認点をまとめる。
Fireworks AI の侵害、Notion AI の会話が流出した恐れ
AI 推論基盤 Fireworks AI が侵入され、Notion の一部ワークスペースの Notion AI チャットが流出した恐れ。Fireworks の発表と Notion の案内から、影響範囲と鍵の入れ替えを整理する。