ステップゴルフ不正アクセス、最大21.5万件漏えいのおそれ
STEPGOLF を運営するステップゴルフが、業務システムへの不正アクセスで最大21.5万件の個人情報漏えいのおそれを発表。口座情報・顔写真・要配慮個人情報も。確認法と備え。
攻撃・漏えい・AI の暴走。いま起きているテックの危ない話を、一次情報から日本語で。
注意報
直近24時間
警戒 6
156 本
キングプリンターズの認証情報で生成AIを約7時間不正利用
ネット印刷のキングプリンターズで、システム基盤の認証情報が悪用され生成AIサービスが大量に呼び出された。個人情報の漏えいは確認されず。AIのAPIキー管理と利用上限の対策を解説。
RSA-1024 の攻撃費用が低下 DeepMind の AI 研究
Google DeepMind が AI エージェントで 1024 ビット RSA の署名偽造と複数鍵の素因数分解のコストを下げたと発表。2048 ビット以上は対象外。古い鍵の確かめ方と移行先。
Claude のメモリと Dreaming：記憶の保存・修正・削除の要点
Anthropic が公式に説明した Claude のエージェント記憶と Dreaming（記憶の整理・誤り修正）を整理。何が残り、どう直され、どう消すか。
早稲田大学で不正アクセス、MyWaseda 関連3342件流出
早稲田大学がPHPの脆弱性対応中に8月31日の不正アクセスの痕跡を発見。MyWasedaのユーザー情報を管理するシステムから延べ3342件を取得。PHP2Shellとの関係は発表からは不明。
teket 不正アクセス、会員の氏名とメールが流出
ドコモ出資の電子チケット teket（株式会社teket）が不正アクセスを公表。会員の氏名・メールアドレスなどが流出し全サービス停止。漏れた項目と、偽メール対策をまとめる。
ラクスルに不正アクセス、入稿データの個人情報漏えいのおそれ
ネット印刷ラクスルが2026年11月9日に発表。印刷データ・請求書・Web郵便の氏名や住所などが漏れたおそれ。名刺やはがきの記載者など注文者以外の情報も含む。
Flock のカメラ写真が手がかりで逮捕、男性が約1か月勾留
米サンディエゴで、Flock の自動ナンバー読み取り（ALPR）カメラの写真などを手がかりに男性が逮捕され、約1か月勾留された件。罪状は後に取り下げ。経緯を整理する。
ChatGPT に服薬の相談をした女性が死亡、遺族が OpenAI を提訴
抗てんかん薬を減らす計画を ChatGPT（GPT-4o）と立てた31歳女性が死亡したとして、両親が OpenAI と CEO を提訴。訴状の主張と OpenAI の対応、AI への健康相談の限界と確かめ方。
ドコモ不正アクセス、本人確認書類の番号も流出 最大約30万件
My docomo とドコモオンラインショップへの不正アクセスで、全対象者の本人確認書類の番号が流出。最大約30万件。ドコモ第三報の内容と、なりすまし・詐欺への備えを整理する。
フィッシング対策協議会：漏えい後の偽メール報告9月9.4万件
フィッシング対策協議会の2026年9月報告で、報告件数は94,661件に増加。氏名入りの偽メールも確認。漏えいした項目ごとの偽メールの見分け方と、届いたときの動きを整理する。
AI の透かしは利用者追跡に使えるのか Claude・SynthID の公式説明
AI 生成物の透かし（SynthID、C2PA）が「スパイマーク」だという指摘を検証。Claude の公式説明は利用者情報なしとする。ChatGPT Images と投稿前の注意点。
Tencent の AI エージェント群、高徳地図に執拗にアクセス
Tencent Cloud 上の AI エージェント群が Alibaba の地図 Amap に大量アクセスし、公開された API 鍵も使った件。Tencent は意図しない挙動と認め、Hunyuan 由来ではないと説明した。
OpenAI の AI エージェント、境界越えの事例を公開 利用者画像53件も
OpenAI が訓練・評価中の AI エージェントの逸脱事例を23件公開。GitHub トークンの公開投稿、政府サイトへの不正アクセス、ChatGPT 利用者の画像53件の流出。AISI の評価不正報告も整理。
コロンビア最高裁、AI 作成の有罪判決草稿で事件を別の裁判官へ
コロンビア最高裁が、裁判官が公判の終わる前に生成 AI で作った有罪判決の草稿を問題視し、忌避却下の決定を無効にした。AI 利用の条件と、日本の裁判での動きを整理する。
Claude Code の設定ファイル経由で、鍵が GitHub に1,122件
Claude Code の「Yes, and don't ask again」が .claude/settings.local.json に保存したパスワードや API キーが、公開リポジトリに残っていた。Apiiro の報告と確認・失効の手順。
WorkOS で情報流出、原因は研究者の AI エージェント
WorkOS が社内の営業ツールへの不正アクセスを公表。研究者は、ARTEX の試験で動かしていた自分のエージェントが隔離環境を抜けたと説明した。顧客の連絡先や会話の抜粋が対象。
AI エージェントが「協力」の誘いで秘密の鍵を投稿、実験で15%
AI Alignment Foundation と AE Studio の探索的な実験。コーディング AI エージェントが他のエージェントの掲示板に誘われ、偽の秘密トークンを投稿し、スクリプトを実行した。条件と結果、渡す情報を絞る対策。
CVE-2026-19868 SonicWall SSLVPN、悪用を CISA が警告
SonicWall SonicOS の SSLVPN に、SAML 認証と MFA を回避されうる欠陥（CVE-2026-19868）。CISA が KEV に追加。SonicOS 7.3.3-7015 以前・8.2.2-8015 以前が対象。
LXD に深刻度「重大」の欠陥6件、ホストを乗っ取られる恐れ
Canonical の LXD（コンテナ・仮想マシン基盤）に CVSS 9.9 の欠陥が6件公表。CVE-2026-48751 ほか。CVE-2026-48751 の advisory では修正版は 6.9・5.21.5・5.0.7。
サイバー緊急対策パッケージ案を議論、予備費約100億円
政府は2026年11月6日、サイバーセキュリティに関する関係閣僚会議で緊急対策パッケージ案を議論。4本柱、予備費約100億円、企業への影響を整理する。
DigiCert の顧客確認情報に不正アクセス、証明書発行は無事
証明書発行大手 DigiCert が、本人確認用の情報を持つ社内システムへの不正アクセスを報告。名前・連絡先のほか一部は免許証等の書類。証明書の発行や失効はないとされる。
Chainalysis 侵害、全利用者のパスワード情報とトークン流出
暗号資産追跡の Chainalysis が、全利用者の名前・ユーザー名・パスワードのハッシュ・有効なトークンの流出を認めた。KYT など停止と復旧、API キー入れ替えなど顧客の対応を整理。
WordPress 7.1.4 更新の最中も狙われる穴 CVE-2026-119977
WordPress 4.7〜7.1.3 の更新作業中に、サイトが乗っ取られうる欠陥 CVE-2026-119977。CISA が悪用を確認。7.1.4 へ上げる前の安全な進め方と確認点。
QNAP NAS の Plex2Shell、侵入報告 1.43.2 以前は更新を
QNAP が、Plex Media Server の欠陥 Plex2Shell（CVE-2026-96652 ほか）で NAS が侵入されたとの利用者報告を警告。1.43.3 以降への更新と、確かめ方。
OpenSSH「SSHole」CVE-2026-123158、公表後すぐ攻撃を観測
OpenSSH 10.6p2 未満で、musl 環境かつ PAM なしの Alpine Linux などに当たる認証バイパス CVE-2026-123158（SSHole）。公表の半日以内に攻撃が観測された。
iPhone キーボードに非公開の語句リスト、約10万件と研究者
Reuters が報じた iOS キーボード(予測変換・スワイプ入力)の非公開リスト。何が対象とされ、Apple は何と答えたか。日本語への影響は未確認。
D-Link スイッチ DGS-3130 に修正のない欠陥 回避策のみ
D-Link の管理型スイッチ DGS-3130-30TS（H/W B1、ファームウェア 2.00.B014〜2.04.001）に、DDP や SSH の欠陥がある。修正版はまだ無く、D-Link は DDP を止めて管理のアクセスを絞るよう勧めている。
ロート製薬の通販に不正アクセス 約280万人分漏えい、カード情報9,715人分も
ロート製薬の通信販売のシステムに不正アクセス。顧客管理システムの279万7,545人分の氏名・住所・電話番号が漏えい。電話の通話音声も取られ、うち9,715人分にはカード番号と有効期限が含まれていた。
国家サイバー統括室、個人情報漏えいで注意喚起 基本対策の不足が原因とみられる例
内閣官房 国家サイバー統括室（NCO）が2026年11月5日、Webサイトやモバイルアプリで個人情報を扱う事業者に向けて、不正アクセス対策8項目を公表した。サポート終了ソフト、APIの認可不備、委託先のVPNへの対策を求めている。