DreamHost に約2か月の侵入、FTP とメールの認証情報が盗まれる
レンタルサーバーの DreamHost で、Web 版 File Manager（files.dreamhost.com）が2026年8月ごろから10月23日まで侵入されていた。FTP/SFTP のパスワードと、一部の Webmail のログイン情報が盗まれた。
攻撃・漏えい・AI の暴走。いま起きているテックの危ない話を、一次情報から日本語で。
注意報
直近24時間
危険 2警戒 9
- 危険MUJI Card、カード番号全桁など約109万件に不正アクセスの可能性
- 危険ノジマオンライン、会員情報約700万件が漏えい 住所・電話番号も
- 警戒DreamHost に約2か月の侵入、FTP とメールの認証情報が盗まれる
- 警戒iPhone・Mac の欠陥 CVE-2024-27834、攻撃に使用と CISA
- 警戒NIKKE の PC ランチャーが改ざん、遠隔操作マルウェアが配られた疑い
- 警戒仏血液センターEFSの冷蔵室、温度設定を書き換えられる
- 警戒デニーズアプリに不正アクセス、旧アプリ利用者の個人情報漏えいのおそれ
- 警戒セガ フェイブに不正アクセス ALL.Net・Aime停止で太鼓の達人などに影響
- 警戒7NOW利用者16万件超・出前館約800件が漏えい 配達委託先「ピックゴー」に不正アクセス
- 警戒アララメッセージ不正アクセス、メールアドレス約7700万件流出のおそれ アソビュー会員1582万件も
- 警戒Vプリカ情報69件が漏えいか GMOペイメントの委託システムで、3件はカード番号も
93 本
iPhone・Mac の欠陥 CVE-2024-27834、攻撃に使用と CISA
Apple の WebKit の欠陥 CVE-2024-27834 を CISA が悪用済みリストに追加した。iOS 17.5／16.7.8・macOS Sonoma 14.5・Safari 17.5 より古い版が対象。古い iPhone をねらう攻撃で使われた例を Sekoia が報告した。
Postman、開いただけで Claude Code と Codex に自社プラグインを入れたと報告
Postman デスクトップ版 12.33.4 を開くと、Claude Code に Postman のプラグインが、OpenAI Codex にはプラグインと MCP 接続・起動時のフックが無断で加わったと GitHub で報告された。確かめる場所と外し方をまとめる。
NIKKE の PC ランチャーが改ざん、遠隔操作マルウェアが配られた疑い
「勝利の女神：NIKKE」の PC ランチャーのスクリプトが第三者に改ざんされた可能性があると公式が発表した。研究者は、遠隔操作とパスワード・ブラウザ情報・暗号資産の窃取ができる K2F が配られたと報告している。
OpenAI Codex の脱獄ツール「Haiou」、指示を書き換え広告を表示
OpenAI Codex 向けの脱獄パッケージ「Haiou（海鸥）」が、エージェントの指示ファイルや設定を書き換えて、有料の LLM 中継サービスの広告を出させていた。Check Point Research が「プロンプト広告（prompt adware）」と名付けて報告した。
Xen に欠陥2件（XSA-523）、悪意ある VM が他の VM のメモリを読み書き
Xen ハイパーバイザーの grant copy の欠陥（CVE-2026-102703、CVE-2026-102704）。Xen 4.6 以降のすべての版が対象で、勧告によると知られている回避策はない。XCP-ng と Qubes OS は修正版を出した。
Rails Active Storage に重大な欠陥 画像のアップロードでファイルを書き込まれうる
Ruby on Rails の activestorage で、ImageMagick（mini_magick）で画像を扱うアプリが、ログインなしのアップロードでサーバーにファイルを書き込まれうる。CVSS 9.8。8.1.4.1・8.0.5.2 で修正。
仏血液センターEFSの冷蔵室、温度設定を書き換えられる
フランスの血液センター EFS の3つの拠点で、血漿を保管する冷蔵室の温度と霜取りの設定が外から書き換えられた。欧州のスーパーの冷凍庫への攻撃の続報。CERT-FR は Danfoss AK-SM/AK-SC、Copeland・Dixell xweb を名指ししている。
MUJI Card、カード番号全桁など約109万件に不正アクセスの可能性
良品計画のMUJIアプリへの不正アクセスの続報。2000年10月〜2021年7月に入会したMUJI Card（クレディセゾン発行）のカード番号全桁・生年月日など約109万件にアクセスされた可能性。明細の確認と再発行の方法をまとめた。
GMO攻撃者サイトの遮断、総務省が通信各社に要請 NTT社長は法制化求める
お名前.com デスクトップクラウドへの不正アクセスで、総務省が通信事業者に攻撃者サイトへの接続遮断（ブロッキング）を要請したと報じられた。能動的サイバー防御・通信の秘密との関係と、利用者に何が変わりうるかを整理する。
デニーズアプリに不正アクセス、旧アプリ利用者の個人情報漏えいのおそれ
デニーズジャパンは、旧デニーズアプリから新アプリへの移行処理で第三者に認証情報を不正に作られたと発表した。メールアドレス・生年月日・キッズバースデーなどが漏れたおそれがある。人数は調査中。
セガ フェイブに不正アクセス ALL.Net・Aime停止で太鼓の達人などに影響
セガ フェイブは、サーバーの一部に不正アクセスがあったと発表した。11月1日15時から ALL.Net と Aime 関係のサービスを止めている。PrizeON を使ったプレイや SEGA ID の新規登録も停止。バンダイナムコの8タイトルにも影響が出ている。情報が漏れたかは調査中。
7NOW利用者16万件超・出前館約800件が漏えい 配達委託先「ピックゴー」に不正アクセス
セブン‐イレブンの宅配「7NOW」と出前館の届け先の氏名・住所・電話番号が、CBcloudの配達プラットフォーム「ピックゴー」への不正アクセスで漏えい。漏れた項目と窓口、偽SMSへの備えをまとめた。
アララメッセージ不正アクセス、メールアドレス約7700万件流出のおそれ アソビュー会員1582万件も
メール配信サービス「アララメッセージ」（アララ、ペイクラウドHD）の不正アクセスで、最大約380社のメールアドレスと会員情報が流出のおそれ。アソビュー、ビックカメラ、TKC などが公表。カード会社を装う偽メール最大約713万通も。
Vプリカ情報69件が漏えいか GMOペイメントの委託システムで、3件はカード番号も
GMOペイメントゲートウェイがライフカード向けに提供するイシュイングサポートサービスで、Visaプリペイド「Vプリカ」の利用者69件の情報が盗まれた可能性。3件はVプリカ番号・セキュリティコード・有効期限・氏名がそろっていた。
ノジマオンライン、会員情報約700万件が漏えい 住所・電話番号も
家電量販店ノジマの通販サイト「ノジマオンライン」と中古スマホ買取サイトが不正アクセスを受け、退会者を除く会員情報約700万件が漏えいした。漏れた項目、窓口、偽メールへの備えをまとめる。
Anthropic の FlashProve、AI の回答がどのモデルから出たかを証明する試作
Anthropic が、AI の回答が本当に約束したモデルから出たかを、重みを明かさずに暗号で証明する研究の試作 FlashProve（zkSNARK、オープンソース）を公開した。Claude の透かしとの違いと、API の利用者や事業者にとっての意味を整理する。
Siri AI、他社アプリの操作へ iOS 27.3 ベータで開発者に開放
Apple は iOS 27.3 などのベータで、他社のアプリが App Intents を通じて Siri AI と連携できるようにした。日本語にも対応する。一般の利用者に届くのは数か月先になる。Siri が読めるアプリを外す「除外されたアプリ」の設定もまとめた。
WordPress本体にログイン不要の欠陥、CISAが悪用中と認定
WordPress Core 4.7〜7.1.3 の更新処理の欠陥 CVE-2026-119977 を CISA が KEV に追加した。更新の数秒の間にログインなしでコードを実行される。7.1.4 などの修正版への更新と、サイトの版の確認が必要だ。
mSecure、理由を言わずパスワードと2FAの作り直しを求める
パスワード管理アプリ mSecure を作る mSeven Software が「怪しい動き」を見つけたとして、今と昔の利用者にパスワード・2FA・パスキーの作り直しを求めた。中身や時期、データが漏れたかは明かしていない。
Google、学校で AI を断ると検索も止まる仕組みに
Google Workspace for Education で、Gemini・NotebookLM・Gemini in Classroom・Google 検索が、K-12 の生徒アカウントでは管理者がオンにするまで止まる。AI を抜いた検索は選べないと Google の担当者が語った。
Binance 63億ドル盗難、偽の採用面接と偽 Homebrew が入り口に
Binance が10月29日の約63.4億ドル盗難の初期報告を出した。偽の Homebrew、偽の採用面接の「課題」、社内 AI ツールの悪用、EIP-7702 の悪用までの流れと、DMM Bitcoin の件との共通点、偽の面接の見分け方をまとめる。
BlackX、更新済みWindowsのSecure Bootを越えて感染
Kaspersky の報告で、UEFI ブートキット BlackX が、更新を当てきった Windows に感染していたことが分かった。CVE-2022-21894（Baton Drop）を使い、Windows Production PCA 2011 の失効（DBX）を有効にしていない PC が対象になる。
App Store、出会い系とAIコンパニオンを18+に 11月16日から申告
Apple は App Store Connect の年齢区分の質問票に「Dating and Relationships」「Shared Location」を加える。性的・恋愛的な AI コンパニオンや出会い系は最低18+。申告の期限は2027年1月12日。保護者はスクリーンタイムで年齢区分による制限を確かめたい。
英 NCSC、AI ランサムウェアの重要インフラ攻撃は「2028年までに起きる見込みが高い」
英国の NCSC（National Cyber Security Centre）が、AI を使うマルウェアによるランサムウェア攻撃が2028年までに英国の重要インフラで起きる見込みが高いと評価した。「安上がりな IT」をやめるよう求めている。
Linux TCP 欠陥 CVE-2026-98432、Ubuntu は試験版
Linux カーネル 4.4 以降の IPv4 TCP に CVSS 9.8 の欠陥。RHEL 8/9/10・Debian・Amazon Linux は修正済み。Ubuntu 22.04/24.04/26.04 は -proposed で試験中。
Android 11月更新、200件超を修正 操作なしでコードを実行されうる欠陥も
Google の Android セキュリティ情報 2026年11月版。Framework の重大な欠陥 CVE-2026-58868 など200件超を修正した。対象は Android 14〜17。パッチレベル 2026-11-05 の確かめ方と、Pixel・Galaxy の配信状況をまとめた。
Europol・Eurojust、投資詐欺サイトの供給元を摘発 7人逮捕
Europol と Eurojust の支援で欧州などの警察がサーバー100台超を押収し、7人を逮捕した。キプロスとイスラエルの会社が、偽の取引サイトを詐欺の電話センターに貸していた疑い。日本の SNS 型投資詐欺との共通点と見分け方も載せる。
動画の背景に入る飛行機の音で撮影場所が分かる、OSINT の実演
YouTube の colsto が、動画に入るかすかなプロペラ機の音（ドップラー効果）を ADS-B の飛行記録と照らし合わせ、撮影場所を割り出す実演を公開した。SNS や配信に動画を出す人が気をつけたいことをまとめる。
Anthropic、AI 開発の劇的な加速に「間もなく達しうる」と上場書類で開示
Claude を作る Anthropic が、上場の届け出書類（S-1/A）で、自社の安全方針（RSP）が定める「AI による劇的な進歩の加速」に間もなく達しうると書いた。AI が AI を作る「再帰的自己改善」と、評価中の AI 事故の流れを整理する。