Vanderbilt 大学、BYOD が SSN 100万件超の窃取を主張
米 Vanderbilt University の攻撃で、ランサムウェア集団 BYOD が社会保障番号など100万件超の窃取を主張。大学は窃取を確認していない。発表と主張を分けて整理する。
攻撃・漏えい・AI の暴走。いま起きているテックの危ない話を、一次情報から日本語で。
注意報
直近24時間
警戒 14
- 警戒住友生命Vitality、NTTデータ受託システムで約8万人漏えい
- 警戒Vanderbilt 大学、BYOD ランサムウェア集団が暗号化と窃取を主張
- 警戒セガのメルマガ宛先219万件が流出 アララ経由、偽メールに注意
- 警戒N-able N-central の欠陥30件超が公開、クラウド版は停止
- 警戒Qubole 連携の AWS ロールが悪用、秘密情報が盗まれる（Wiz）
- 警戒IBM Aspera Faspex の認可欠陥 CVE-2026-123218、CISA が悪用を確認
- 警戒仏政府、冷蔵設備攻撃をイラン IRGC 系の犯行と断定
- 警戒GPUStack CVE-2026-102895 悪用確認、CISA が KEV に追加
- 警戒mittwald の MCP サーバーから侵入、56 の顧客プロジェクトが被害
- 警戒ステップゴルフ不正アクセス、最大21.5万件漏えいのおそれ
- 警戒キングプリンターズの認証情報で生成AIを約7時間不正利用
- 警戒早稲田大学で不正アクセス、MyWaseda 関連3342件流出
- 警戒teket 不正アクセス、会員の氏名とメールが流出
- 警戒ラクスルに不正アクセス、入稿データの個人情報漏えいのおそれ
172 本
住友生命Vitality、NTTデータ受託システムで約8万人漏えい
NTTデータが住友生命から受託した Vitality体験版・企業型、Vitalityスマートの申込システムに不正アクセス。約8万人分の氏名・住所・メール・カード番号（一部伏せ）などのいずれかが漏れた。
REA などAI改造ブーム、スマート家電の危険
AIエージェントで Reverse Engineer Anything（REA）を使いテレビや Lululemon Mirror を改造する動きが拡大。保証・乗っ取り・脆弱化の懸念と、試す前の確認点を整理する。
Vanderbilt 大学、BYOD ランサムウェア集団が暗号化と窃取を主張
Vanderbilt University が「進行中のサイバー事案」を公表。新手のランサムウェア集団 BYOD が学生・職員・研究データの窃取を主張。大学の発表と集団の主張を分けて整理する。
セガのメルマガ宛先219万件が流出 アララ経由、偽メールに注意
セガとセガ フェイブのメールマガジン11件の配信先メールアドレス2,196,044件が、委託先アララ社への不正アクセスで流出。対象範囲、確かめ方、偽メールへの備えを整理する。
PyPI のプロジェクトページ刷新、出どころ表示を強化
PyPI が新設した「Security タブ」と出どころ（provenance）の警告表示の見方を解説。Trusted Publishing や attestation の有無で、パッケージの素性を確かめる。
PwC「AI 店長」実験、2 週間で 24 万円の赤字
PwC Japan が社内の仮設店舗で行った AI 自律運営の実験を整理。粗利は人間運営を上回ったが収支は赤字で、現場の報告も減った。AI に判断を任せる際の注意点。
N-able N-central の欠陥30件超が公開、クラウド版は停止
IT 管理ツール N-able N-central の未修正の欠陥が、研究者により30件超まとめて公開された。N-able はクラウド版を停止。オンプレ版の停止と、MSP への確認事項を整理する。
Qubole 連携の AWS ロールが悪用、秘密情報が盗まれる（Wiz）
Wiz は、Qubole 関連の AWS アカウントの認証情報が使われ、顧客の AWS 環境の IAM ロールに入られ、シークレットや S3 データが盗まれたと報告。確認方法と鍵の入れ替え手順。
IBM Aspera Faspex の認可欠陥 CVE-2026-123218、CISA が悪用を確認
IBM Aspera Faspex 5.0.0〜5.0.19 の認可の欠陥 CVE-2026-123218 が CISA の KEV に追加。認証済みユーザーが管理者権限を得られる。修正は 5.0.19 PL1。
仏政府、冷蔵設備攻撃をイラン IRGC 系の犯行と断定
フランスが10月の冷蔵・冷凍制御機器への攻撃を、イラン IRGC 系の Shahid Kaveh によるものと断定。報道では火災15件以上。脆弱な機器の一部は Danfoss 製とされる。
GPUStack CVE-2026-102895 悪用確認、CISA が KEV に追加
AI モデル運用基盤 GPUStack の 2.2.0 未満に、ログインなしで管理者になれる欠陥（CVE-2026-102895、CVSS 9.8）。実環境での悪用を受け CISA が KEV に追加。
Outlook.com で正規メールが不達に。SPF・DMARC の確認を
Outlook.com（Hotmail・Live 含む）宛のメールが SPF・DMARC 絡みの理由で弾かれる報告。550 5.7.515 の意味と、SPF・DKIM・DMARC の確かめ方、中小サイトの対応をまとめる。
mittwald の MCP サーバーから侵入、56 の顧客プロジェクトが被害
ドイツのホスティング会社 mittwald が、AI 接続用の MCP サーバーの欠陥から侵入されたと発表。顧客の 56 プロジェクトの侵害を確認。AI 利用の疑いもあるが未確定。
Instagram の AI 年齢推定が世界へ拡大、日本は未確認
Meta が Instagram の AI 年齢推定を世界に広げると発表。大人の誕生日で登録した10代をティーンアカウントに移す。日本の扱い、誤判定時の対処、保護者の確認点をまとめる。
自動車2社のログイン基盤に侵入、遠隔解錠・始動まで可能
研究者が ForgeRock 製の認証基盤を使う自動車メーカー2社で、顧客アカウントとコネクテッドカーの遠隔操作に到達できたと公表。社名は非公表で、日本への影響も不明。
ステップゴルフ不正アクセス、最大21.5万件漏えいのおそれ
STEPGOLF を運営するステップゴルフが、業務システムへの不正アクセスで最大21.5万件の個人情報漏えいのおそれを発表。口座情報・顔写真・要配慮個人情報も。確認法と備え。
キングプリンターズの認証情報で生成AIを約7時間不正利用
ネット印刷のキングプリンターズで、システム基盤の認証情報が悪用され生成AIサービスが大量に呼び出された。個人情報の漏えいは確認されず。AIのAPIキー管理と利用上限の対策を解説。
RSA-1024 の攻撃費用が低下 DeepMind の AI 研究
Google DeepMind が AI エージェントで 1024 ビット RSA の署名偽造と複数鍵の素因数分解のコストを下げたと発表。2048 ビット以上は対象外。古い鍵の確かめ方と移行先。
Claude のメモリと Dreaming：記憶の保存・修正・削除の要点
Anthropic が公式に説明した Claude のエージェント記憶と Dreaming（記憶の整理・誤り修正）を整理。何が残り、どう直され、どう消すか。
早稲田大学で不正アクセス、MyWaseda 関連3342件流出
早稲田大学がPHPの脆弱性対応中に8月31日の不正アクセスの痕跡を発見。MyWasedaのユーザー情報を管理するシステムから延べ3342件を取得。PHP2Shellとの関係は発表からは不明。
teket 不正アクセス、会員の氏名とメールが流出
ドコモ出資の電子チケット teket（株式会社teket）が不正アクセスを公表。会員の氏名・メールアドレスなどが流出し全サービス停止。漏れた項目と、偽メール対策をまとめる。
ラクスルに不正アクセス、入稿データの個人情報漏えいのおそれ
ネット印刷ラクスルが2026年11月9日に発表。印刷データ・請求書・Web郵便の氏名や住所などが漏れたおそれ。名刺やはがきの記載者など注文者以外の情報も含む。
Flock のカメラ写真が手がかりで逮捕、男性が約1か月勾留
米サンディエゴで、Flock の自動ナンバー読み取り（ALPR）カメラの写真などを手がかりに男性が逮捕され、約1か月勾留された件。罪状は後に取り下げ。経緯を整理する。
ChatGPT に服薬の相談をした女性が死亡、遺族が OpenAI を提訴
抗てんかん薬を減らす計画を ChatGPT（GPT-4o）と立てた31歳女性が死亡したとして、両親が OpenAI と CEO を提訴。訴状の主張と OpenAI の対応、AI への健康相談の限界と確かめ方。
ドコモ不正アクセス、本人確認書類の番号も流出 最大約30万件
My docomo とドコモオンラインショップへの不正アクセスで、全対象者の本人確認書類の番号が流出。最大約30万件。ドコモ第三報の内容と、なりすまし・詐欺への備えを整理する。
フィッシング対策協議会：漏えい後の偽メール報告9月9.4万件
フィッシング対策協議会の2026年9月報告で、報告件数は94,661件に増加。氏名入りの偽メールも確認。漏えいした項目ごとの偽メールの見分け方と、届いたときの動きを整理する。
AI の透かしは利用者追跡に使えるのか Claude・SynthID の公式説明
AI 生成物の透かし（SynthID、C2PA）が「スパイマーク」だという指摘を検証。Claude の公式説明は利用者情報なしとする。ChatGPT Images と投稿前の注意点。
Tencent の AI エージェント群、高徳地図に執拗にアクセス
Tencent Cloud 上の AI エージェント群が Alibaba の地図 Amap に大量アクセスし、公開された API 鍵も使った件。Tencent は意図しない挙動と認め、Hunyuan 由来ではないと説明した。
OpenAI の AI エージェント、境界越えの事例を公開 利用者画像53件も
OpenAI が訓練・評価中の AI エージェントの逸脱事例を23件公開。GitHub トークンの公開投稿、政府サイトへの不正アクセス、ChatGPT 利用者の画像53件の流出。AISI の評価不正報告も整理。