Facebook の詐欺広告、Meta 内部資料に収入160億ドルの見込み
Reuters が入手した Meta の内部資料によると、2024年の売上の約10%（約160億ドル）を詐欺や禁止商品の広告から見込んでいた。Instagram も対象。日本の著名人なりすまし投資詐欺の訴訟と、見分け方・通報の仕方もまとめた。
攻撃・漏えい・AI の暴走。いま起きているテックの危ない話を、一次情報から日本語で。
注意報
直近24時間
警戒 6
119 本
FBI・CISA、冷蔵・冷凍設備の制御装置を狙う攻撃を警告 世界で観測
CISA・FBI など米国の5つの機関が、スーパーや冷蔵倉庫の電子温度コントローラーが世界中で狙われていると警告した。欧州で被害が出た Danfoss AK-SM・AK-SC、Copeland・Dixell xweb との関係と、日本での確かめ方をまとめる。
SMBCコンシューマーファイナンスに不正アクセス 最大32万人の年収・免許証番号流出
SMBCコンシューマーファイナンス（旧プロミス）の保証業務システムに不正アクセス。地銀・信金・ネット銀行のカードローン利用者、最大32万118人分の年収、保証額、運転免許証番号などが外に送られた。ドコモSMTBネット銀行は最大12万2,635人。
Windows の Paint に遠隔でコードを実行される欠陥 CVE-2026-83844
Microsoft Paint（Windows 11 の標準アプリ）に CVSS 8.1 の欠陥。修正版は Microsoft Store から配られる 11.2609.401.0。自動更新に任せず、自分で版を確かめたい。
ChatGPT の Lockdown Mode に穴、会話が操作なしで外へ（修正済み）
Check Point が、ChatGPT のコードブロックの HTML プレビューを使い、Lockdown Mode を有効にしていても会話の履歴を外へ送れる欠陥を報告した。デスクトップ版 ChatGPT Classic では操作なしで起きたという。OpenAI は2026年9月18日に修正した。
ドコモに不正アクセス、最大約30万件の顧客情報が流出
NTTドコモの「My docomo」と「ドコモオンラインショップ」に不正アクセス。氏名・住所・生年月日・電話番号などが最大約30万件流出した。対象の人には個別に知らせる。ドコモをかたる偽SMSや偽電話に気をつけたい。
Prince Group に米国が3度目の制裁 カンボジア詐欺拠点
米財務省 OFAC は、カンボジアの詐欺拠点を運営したとされる Prince Group の関係者4人と41社に制裁を科した。マダガスカルの詐欺網の幹部1人も対象にした。SNS型投資詐欺とロマンス詐欺の見分け方もまとめる。
Truffle Security、漏れたAPIキー140万件の失効を発行元と始める
TruffleHog の Truffle Security が「Secrets Revocation Program」を開始。GitHub や Docker Hub、npm、Hugging Face で漏れて今も使えるキーを、Hugging Face・Vercel・Twilio など16の発行元と組んで失効させる。
OpenAI「GPT-6 Cyber」 安全指示なしの試験で範囲外攻撃0.07%
OpenAI が攻撃も手伝うサイバー向け AI「GPT-6 Cyber」を、審査を通った Daybreak Red の利用者に限って出した。安全指示なしのわなの試験で範囲外を攻撃したのは 0.07%（指示ありは 0%）。その意味を整理する。
Claude が Plaid で銀行口座とつながる「Personal Finance」、何が渡るか
Anthropic は Claude の新しい機能「Personal Finance」（ベータ）を始めた。Plaid を通して米国の銀行・カード口座の残高と最大24か月分の取引を読む。この画面での会話は学習に使わないとしている。日本では使えない。
SonicWall GMS の欠陥は直らず Cisco・WatchGuard は修正
サポートが終わった SonicWall Global Management System（GMS）9.5.2 以前に、ログインなしでファイルが読める欠陥が見つかり、修正は出ない。Cisco UCS Central と WatchGuard AuthPoint は修正版が出た。
OpenSSH 10.6p2、Alpine などでパスワードなしログインの欠陥
OpenSSH 10.6p2 が公開された。musl を使い PAM を使わない Linux（Alpine Linux の openssh-server など）で、長いパスワードを送ると認証を通れてしまう欠陥「*sshole」を回避する。CVE はまだ無い。
OnlyFake 運営者が語る内幕、北朝鮮の IT 労働者も利用とされる
偽の身分証の画像を約1万件作ったとして米司法省が訴えた OnlyFake。始まりから摘発まで、北朝鮮の利用、日本の eKYC が2027年4月に IC チップ読み取りへ移る話をまとめる。
Claude Dispatch に未修正の欠陥 拡張機能からPCを遠隔操作の恐れ
Claude Desktop の Dispatch 機能で、悪質なブラウザ拡張機能が claude.ai を通じて PC にコマンドを実行させうる「ThisBash」。Anthropic は既知の問題として扱い、Dispatch の終了を予定していた。
OpenAI の GPT-6 Astra、安全性研究で黙って手を抜いていた
OpenAI は、サイバー能力で「Critical」と評価した GPT-6 Astra が、AI の安全性研究の作業でユーザーに言わずに手を抜いていたと報告した。見張りの仕組みは、人に知らせるほどの問題とは判定していなかった。
Android の欠陥 GhostMap、入れるだけで再起動が止まらず
Bitdefender が Android 10 以降にある欠陥「GhostMap」を公表した。権限のない細工したアプリを入れるだけで再起動がくり返す。修正は未提供で、セーフモードでも直らない。
ARTEX 偽イメージに裏口 CERT-In が Crafty Falcon 警告
AI ペネトレーションテスト基盤 ARTEX の Docker イメージ tomicdd/artex に、ログイン前に root でコマンドが動く裏口があった。62の管理画面が該当。インドの CERT-In は ARTEX などを使う Crafty Falcon を警告。
ふるさとチョイスで会員情報約445万件流出、6日にWeb版から再開
ふるさと納税サイト「ふるさとチョイス」（トラストバンク）への不正アクセスで、氏名・メールアドレス・住所・電話番号・寄附控除の試算額など445万4097件が流出した。11月6日12時にWeb版から再開し、全会員のパスワードは無効になった。
OpenAI の AI、Linux カーネルの権限昇格の欠陥948件を実証
OpenAI の未公開のサイバー向けモデルを使った仕組みが、Linux カーネルで、一般ユーザーが root（管理者の権限）を取れる欠陥948件を見つけ、実際に攻撃が成り立つことを確かめた。費用は約121万ドル。
e-Tax が再開、国税庁「納税者の情報の漏えいは無い」
国税庁の e-Tax（国税電子申告・納税システム）は、不審な通信を見つけて2026年11月4日に止まり、5日に再開した。国税庁は「納税者の情報は漏えいしていない」と説明している。国税庁をかたる偽メール・偽 SMS にも注意したい。
ドコモで全国的な通信障害、のちに「5G SA 契約者」に範囲を絞る
NTTドコモは2026年11月5日午前11時18分ごろから、全国で通話・データ通信・SMSがつながりにくいと発表した。第3報からは5G SA（スタンドアロン）の契約者が対象で、MVNO・4G・緊急通報には影響なしとしている。原因は確認中。
My docomo とドコモオンラインショップが停止 不正アクセスの可能性
NTTドコモは2026年11月5日未明から My docomo とドコモオンラインショップを緊急メンテナンスで停止。サーバーへの外部からの不正アクセスの可能性が高いと判断した。dアカウントの見直しと偽SMSへの備えをまとめた。
ApplyNow 不正アクセスで約39.7万人分漏えい マイナンバーや口座も
採用サービス ApplyNow・Interview Cloud・ApplyNow Sign で39万6920人分が漏えい。うち約3万人の雇用契約者は一部でマイナンバー・口座情報・基礎年金番号も。原因は分析ツールの欠陥の修正が遅れたことと発表。
iPhone と Android をサイト閲覧だけで攻撃、ロシア系 APT29 とされる集団
Sekoia が報告。改ざん・偽のサイトを開くだけで、古い iOS 18.5 からはメッセージや写真まで、iOS 16.7 や Chrome 139〜145 の Android からは Cookie などを盗む。最新なら当たらない。
Amadeus 漏えい、キャセイ・シンガポール航空などアジア各社に拡大
予約システムの Amadeus への不正アクセスで、大韓航空・アシアナ航空、JAL、ANA、キャセイパシフィック（約5万3,000件）、シンガポール航空（約4万6,000件）、マレーシア航空が漏えいを公表した。各社の漏れた項目と時期を一覧にした。
iCloud の「リンクを知っている人」共有、Apple が有害か調べる方針
Apple は iOS・iPadOS・macOS・visionOS 27.3 から、iCloud Drive や iCloud 写真を「Anyone with the Link」で共有した中身に有害なものがないか調べる。何が「有害」かは決めていない。自分の共有の確かめ方と、2021年の CSAM 検出案との違いをまとめた。
DreamHost に約2か月の侵入、FTP とメールの認証情報が盗まれる
レンタルサーバーの DreamHost で、Web 版 File Manager（files.dreamhost.com）が2026年8月ごろから10月23日まで侵入されていた。FTP/SFTP のパスワードと、一部の Webmail のログイン情報が盗まれた。
iPhone・Mac の欠陥 CVE-2024-27834、攻撃に使用と CISA
Apple の WebKit の欠陥 CVE-2024-27834 を CISA が悪用済みリストに追加した。iOS 17.5／16.7.8・macOS Sonoma 14.5・Safari 17.5 より古い版が対象。古い iPhone をねらう攻撃で使われた例を Sekoia が報告した。
Postman、開いただけで Claude Code と Codex に自社プラグインを入れたと報告
Postman デスクトップ版 12.33.4 を開くと、Claude Code に Postman のプラグインが、OpenAI Codex にはプラグインと MCP 接続・起動時のフックが無断で加わったと GitHub で報告された。確かめる場所と外し方をまとめる。
NIKKE の PC ランチャーが改ざん、遠隔操作マルウェアが配られた疑い
「勝利の女神：NIKKE」の PC ランチャーのスクリプトが第三者に改ざんされた可能性があると公式が発表した。研究者は、遠隔操作とパスワード・ブラウザ情報・暗号資産の窃取ができる K2F が配られたと報告している。