記事 ASM・CTEM・脆弱性診断・レッドチーム 経産省、サイバー攻撃急増で「ホワイトハッカーチーム」を11月に編成、AIを防御に活用 経産省、サイバー攻撃急増で「ホワイトハッカーチーム」を11月に編成、AIを防御に活用 2026/10/23 1 赤沢亮正経済産業相は2026年10月23日の記者会見で、サイバー攻撃対策として高度な専門知識を持つ技術者を集めたホワイトハッカーの専門チームを11月中に立ち上げると発表した。独立行政法人情報処理推進機構（IPA）内に設置され、AIを活用した防御やシステムの脆弱性を診断するペネトレーションテストを実施し、多発するサイバー攻撃の未然防止を図る。
記事 セキュリティ総論 生成AI時代の「シャドーAI」、社内情報のうっかり漏えいを防ぐ現実策 生成AI時代の「シャドーAI」、社内情報のうっかり漏えいを防ぐ現実策 2026/10/23 生成AIや各種クラウドサービスの普及は業務効率化をもたらす一方、管理者が把握できない「シャドーIT」や「シャドーAI」のリスクを高めている。ランサムウェアなどの外部脅威に目が向きがちだが、情報漏えい事故には内部不正や過失に起因するものも少なくない。現場の利便性を損なわずに、隠れたリスクを可視化・制御する現実的なセキュリティ対策を探る。
記事 セキュリティ総論 チームみらい、サイバー攻撃と情報漏洩に関する緊急提言を発表 10月23日に政府へ手交 チームみらい、サイバー攻撃と情報漏洩に関する緊急提言を発表 10月23日に政府へ手交 2026/10/22 2 チームみらいは2026年10月22日の定例会見で、AI時代のサイバー攻撃と相次ぐ情報漏洩から国民を守るための政府への緊急提言を取りまとめたと発表した。党首の安野貴博氏はライフラインの停止を伴う大規模被害の想定を訴えた。提言は10月23日にデジタル庁で古川俊治大臣に手交するという。
記事 AIセキュリティ AIで攻撃を自動化した中国系グループ、コネクトワイズ経由で2,250超のテナントを狙う AIで攻撃を自動化した中国系グループ、コネクトワイズ経由で2,250超のテナントを狙う 2026/10/22 1 マイクロソフトは10月21日（現地時間）、中国の国家と連携するとされる攻撃グループ「Storm-0940」がAI攻撃自動化フレームワーク「ARTEX」を使い、コネクトワイズのクラウドアプリ侵害を足がかりに、2,250超のMicrosoft 365テナントへの認証を試みたと発表した。大半は失敗したが、一部で特権アクセスを得たという。
記事 セキュリティ総論 IPA、Oracle Javaの脆弱性55件で早急な更新を呼びかけ 49件は認証不要で悪用の恐れ IPA、Oracle Javaの脆弱性55件で早急な更新を呼びかけ 49件は認証不要で悪用の恐れ 2026/10/22 1 IPAは10月21日、Oracle Javaの脆弱性対策に関する注意喚起を公開した。Oracleが公表した10月の四半期定例パッチにはJava SE向けの修正が55件含まれ、うち49件は認証なしにネットワーク経由で悪用される可能性がある。対象はJava SE 27から8 Update 503までの8バージョンで、IPAは最新版への早急な更新を呼びかけている。
記事 ASM・CTEM・脆弱性診断・レッドチーム Node.jsでも26.xなど3系統で最高重要度含む脆弱性 PHPだけではない高利用実行環境 Node.jsでも26.xなど3系統で最高重要度含む脆弱性 PHPだけではない高利用実行環境 2026/10/22 Node.jsプロジェクトは10月21日、26.x、24.x、22.xの3系統向けにセキュリティリリースを公開した。修正した脆弱性は10件で、公式の評価では最高重要度のHighが4件、Mediumが3件、Lowが3件だった。Brotliデコーダーの境界外書き込みでリモートコード実行が可能になる脆弱性も含まれるという。
記事 ASM・CTEM・脆弱性診断・レッドチーム 【高市総理も注意喚起】インターネット崩壊危機？PHP重大脆弱性でWebサイト緊急停止 【高市総理も注意喚起】インターネット崩壊危機？PHP重大脆弱性でWebサイト緊急停止 2026/10/22 1 世界のWebサイトの7割が利用するプログラミング言語「PHP」において深刻度「緊急」とされる重大な脆弱性2件が公表され、日本時間2026年10月21日に修正プログラムが緊急公開された。企業やオンラインショップ、個人のブログなどに広く利用されるWordPressから、オンライン辞典のWikipedia、政府系や教育機関で利用されるNextcloudなど、世界のWebサイトやサービスの約7割で利用されており、国内でもさくらインターネット、pixiv、ニコニコ動画など多数のサービスが脆弱性対応のための緊急メンテナンスとして一時サービス停止に追い込まれた、高市早苗首相もXにて対応を呼びかける異例の事態となっている。
記事 AIセキュリティ アンソロピック、Claudeで25のOSSを分析 493件の問題を発見 OpenSSHは認証前を削減 アンソロピック、Claudeで25のOSSを分析 493件の問題を発見 OpenSSHは認証前を削減 2026/10/22 1 アンソロピックは10月20日、AIモデルのClaudeでオープンソース25プロジェクト（500万行超）の攻撃対象領域を分析し、493件の問題を見つけたと発表した。個々の脆弱性を直すのではなく、不要に到達できるコードを減らす考え方。OpenSSHでは認証前に到達できたコードの約5分の1を除去し、修正は10.6で出荷された。
記事 ASM・CTEM・脆弱性診断・レッドチーム PHP、認証不要でコード実行される脆弱性2件を修正 8.5.12など4系統の更新版を公開 PHP、認証不要でコード実行される脆弱性2件を修正 8.5.12など4系統の更新版を公開 2026/10/21 2 PHPプロジェクトは10月21日、認証なしでリモートからコードを実行されるおそれがある重大な脆弱性2件を修正したセキュリティリリースを公開した。修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35で、深刻度はCVSS v4.0でいずれも9.2。mod_phpでは、アプリのコードが動く前に攻撃が成立する実証コードがあるとされる。
記事 情報漏えい対策 TiDBのPingCAP、日本国内で最大約5万件の個人情報が不正アクセスで漏洩したと発表 TiDBのPingCAP、日本国内で最大約5万件の個人情報が不正アクセスで漏洩したと発表 2026/10/21 分散データベース「TiDB」を提供するPingCAPは10月21日、不正アクセスで日本国内の最大約5万件の個人情報が漏洩したと発表した。不正取得された認証情報で2026年9月9日から10月7日（米国時間）に社内システムへ入られ、データを複製された。TiDB Cloudへの不正アクセスやカード情報の流出は確認されていないという。
記事 AIセキュリティ エヌビディア、AIエージェントを安全に動かす企業向け参照設計「OpenShell」を発表 エヌビディア、AIエージェントを安全に動かす企業向け参照設計「OpenShell」を発表 2026/10/21 エヌビディアは10月21日、AIエージェントを企業のインフラやエッジ機器で安全に動かすための「NVIDIA OpenShell Reference Architecture」を発表した。Vera Rubin、Vera CPU、BlueField-4 DPUを組み合わせ、エージェントの封じ込めと監視、制御を一体で担う構成で、エッジ向けにはRTX Sparkなどにも広げる。ジェンスン・フアンCEOは「AIの能力と安全性は、ともに進歩させなければならない」と述べている。
記事 ネットワークセキュリティ・VPN 東芝、既存網を作り直さず量子セキュア化できる「QSNプラットフォーム」の提供を開始 東芝、既存網を作り直さず量子セキュア化できる「QSNプラットフォーム」の提供を開始 2026/10/21 東芝は10月21日、量子セキュアネットワークを大規模に展開するための「QSNプラットフォーム」の提供を開始した。機器の集中管理とネットワーク展開の機能を統合し、既存網を全面的に作り直さず、重要な通信から段階的に量子セキュア化できるという。1台のハブで数百の遠隔拠点を収容できるとしている。
記事 セキュリティ運用・SOC・SIEM・ログ管理 「インシデント発生時」に本当に動ける？大日本印刷流「機能する組織」の作り方 「インシデント発生時」に本当に動ける？大日本印刷流「機能する組織」の作り方 2026/10/21 サイバーセキュリティ対策に完璧はない。サイバー攻撃が高度化する中、初動対応が遅れればサプライチェーン全体に影響を及ぼす。約3万7000人の従業員と約4万5000台のデバイスを抱える大日本印刷（以下、DNP）は、監視体制の整備やログデータの統合、人材育成、生成AIの活用を組み合わせ、有事に組織全体が動ける体制の構築を進めてきた。DNP情報システムの谷建志氏に、その取り組みを聞いた。
記事 セキュリティ運用・SOC・SIEM・ログ管理 数億円が溶ける…SOCの“静かな機能不全”が招く代償。「アラート85％減」の実現法 数億円が溶ける…SOCの“静かな機能不全”が招く代償。「アラート85％減」の実現法 2026/10/21 セキュリティアナリストは毎日、何千件ものアラートに追われている。だがその大半は誤検知であり、本当の脅威はノイズの中に埋もれていく。ツールは増え、チームは疲弊し、コストだけが膨らみ続ける──こうしたジレンマを抱えるSOC組織が、今まさに直面している“限界点”とは何か。
記事 セキュリティ総論 SCS評価制度（セキュリティ対策評価制度）とは何か？ タイムズなど被害続出で大注目 SCS評価制度（セキュリティ対策評価制度）とは何か？ タイムズなど被害続出で大注目 2026/10/21 6 「また個人情報が漏れたのか…」。タイムズカーや焼肉きんぐなど、日本企業で大規模な情報漏えいが相次いでいる。こうした中、企業が押さえておきたいのが、政府が導入を進める「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」だ。セキュリティ対策を★で評価する仕組みだが、「うちは関係ない」と考えるのは早い。実は、取得しないことで取引先から不利な扱いを受ける可能性もあるのだ。そこで本稿では、制度の概要や評価方法、取得費用、スケジュール、今から準備すべきことまで、基礎からわかりやすく解説する。
記事 標的型攻撃・ランサムウェア対策 京王電鉄グループへのランサムウェア攻撃、ロシア系「Qilin」が犯行声明 京王電鉄グループへのランサムウェア攻撃、ロシア系「Qilin」が犯行声明 2026/10/18 1 京王電鉄グループが受けたランサムウェア攻撃に関し、ロシア系ハッカー集団Qilinが同社の内部資料とされる画像を公開して犯行を主張した。京王電鉄は10月16日に攻撃組織による情報公開の主張を確認したと発表し情報の真正性や流出の有無について外部専門家とともに事実関係の確認を進めている。
記事 ASM・CTEM・脆弱性診断・レッドチーム 【保存版】WAFを入れても「他人の情報」が見える？API認可の盲点を暴く12の検証手順 【保存版】WAFを入れても「他人の情報」が見える？API認可の盲点を暴く12の検証手順 2026/10/17 1 WAFを導入していても、正規の利用者が他社のデータを閲覧・変更できてしまう──。その原因になり得るのが、APIの「認可」の不備だ。NICTが注意喚起したA2B攻撃を起点に、通信の防御と、データを操作する権限の判定との違いを整理する。さらに、3種類の利用者と4つの操作を組み合わせた独自の「12パターンの検証」を提示。403が返っても見落とせない確認点から、再発を防ぐ4つの実装原則まで、自社のAPIを点検する具体的な手順を解説する。
記事 情報漏えい対策 ヤマト運輸の後払いサービスに不正アクセス、約531万件の個人情報が流出 ヤマト運輸の後払いサービスに不正アクセス、約531万件の個人情報が流出 2026/10/16 1 ヤマト運輸は2026年10月16日、同社が提供するクロネコ代金後払いサービスが第三者からの不正アクセスを受け、利用者の個人情報約531万件が流出したと発表した。流出したデータには氏名や住所、電話番号、購入した商品の明細などが含まれるが、クレジットカード情報やパスワードは含まれていない。現時点で情報の不正利用による二次被害は確認されておらず、同社は対象者へ順次個別に連絡を行っている。
記事 AIセキュリティ 社員の“こっそり生成AI”が侵入口に？ 企業が直面する新たな爆弾「シャドーAI」 社員の“こっそり生成AI”が侵入口に？ 企業が直面する新たな爆弾「シャドーAI」 2026/10/15 会社で認められていない生成AIが、知らないうちに業務で使われている──。こうした「シャドーAI」は、情報漏えいだけでなく、誰が何を入力したのか追えないという厄介な問題を生む。AIエージェントの普及で、攻撃の標的も人からAIへ移り始めた。見えないAI利用をどう把握し、統制していけば良いのか。シャドーAIの実態と、企業が最初に着手すべき対策を徹底解説する。
記事 AIセキュリティ 認証情報の管理が「攻撃の連鎖」を断つワケ、そのレジリエンス戦略とは？ 認証情報の管理が「攻撃の連鎖」を断つワケ、そのレジリエンス戦略とは？ 2026/10/15 ランサムウェアや標的型攻撃が高度化する一方、攻撃の起点は今も「IDとパスワード」のままだ。AIを駆使した自律的な攻撃が拡大するなか、企業はどこから手を付ければよいのか。パスワード管理から特権アクセス管理まで段階的に構築する統合的レジリエンス戦略を解説する。
記事 ID・アクセス管理・認証 グーグルも見落とした“権限の穴”、AI連携を守るため開発チームに聞くべき“3つの質問” グーグルも見落とした“権限の穴”、AI連携を守るため開発チームに聞くべき“3つの質問” 2026/10/15 DX推進や業務効率化の流れを受け、生成AIやAIエージェントの社内導入が急速に進んでいる。AIがデータベースや社内システムと連携することで業務革新が期待される一方、セキュリティ担当者や開発現場は、「どこまで対策すれば安全と言えるのか」という新たな難題に直面している。たとえ大手ベンダーが提供する公式ツールを導入していても、システム同士をつなぐ「連携層」に重大な死角が潜んでいる可能性がある。DXやAI活用を止めることなく、安全性を確保するにはどこに目を向ければよいのか。攻撃者視点による実際の検証事例から、そのポイントを読み解く。
記事 セキュリティ運用・SOC・SIEM・ログ管理 【警告】54％の脅威を見逃す…？ 限界迎えた「旧式SIEM」とSOC変革の全貌 【警告】54％の脅威を見逃す…？ 限界迎えた「旧式SIEM」とSOC変革の全貌 2026/10/14 クラウド化やAI導入の加速は、企業の競争力を高める一方で、サイバーセキュリティの現場に深刻な負荷を強いている。従来型の監視システムでは、複雑化・巧妙化する脅威と、それに伴い増え続けるアラートの洪水に到底対応できない。重大なインシデントを見逃すリスクがかつてなく高まる中、この状況を打破し真に効果的な防御体制を築くには何が必要なのだろうか。
記事 AIセキュリティ AIが攻撃する時代に「悪意なき事故」を防ぐ、“3つのガバナンス”で実践するには？ AIが攻撃する時代に「悪意なき事故」を防ぐ、“3つのガバナンス”で実践するには？ 2026/10/13 サイバー攻撃者がAIを当然のように使いこなす今、防御側もAIを前提に戦略を組み直す必要が生じている。問題はさらに深刻で、悪意を持つ人間だけでなく、「誰も悪くないのに重大事故が起きる」という新しいリスクが企業の足元に迫っている。では、組織は何から手をつければいいのか。
記事 情報漏えい対策 米国防総省に不正アクセス、現役・退役軍人など約300万人の個人情報流出 米国防総省に不正アクセス、現役・退役軍人など約300万人の個人情報流出 2026/10/09 2 米国防総省の国防人事データセンターにおいて、現役軍人や退役軍人など約305万人の個人情報が流出していたことが判明した。システムの脆弱性を突かれ、2025年10月から約9カ月間にわたり、暗号化されていない状態の社会保障番号や氏名などが不正に閲覧できる状態にあった。
記事 情報漏えい対策 高市首相、相次ぐ個人情報漏えいを受けサイバー対策強化を表明 高市首相、相次ぐ個人情報漏えいを受けサイバー対策強化を表明 2026/10/09 3 政府は8日、国内で相次ぐ不正アクセスによる個人情報漏えい事案を受け、関係省庁による緊急会議を開催した。内閣官房の国家サイバー統括室を中心に被害情報の集約や分析を進め、事業者への注意喚起を強化する方針だ。同日には関係省庁による緊急対策会議も開催され、被害の実態把握を急ぐとともに、民間事業者に対するプログラムの更新や多要素認証の導入など、基本的なセキュリティ対策の徹底を強く要請する構えだ。
記事 情報漏えい対策 ブックオフの会員システムに不正アクセス、最大約643万件の個人情報流出 ブックオフの会員システムに不正アクセス、最大約643万件の個人情報流出 2026/10/09 1 ブックオフグループホールディングスは2026年10月9日、子会社が運営する会員管理システムが第三者からの不正アクセスを受け、最大約643万件の会員情報が流出したと発表した。流出データには氏名や住所、パスワードのハッシュ値が含まれるが、クレジットカードなどの決済情報は含まれていない。現時点で情報の悪用は確認されていない。
記事 情報漏えい対策 ローソンで215万件超の個人情報漏えい アプリへの不正アクセスが原因 ローソンで215万件超の個人情報漏えい アプリへの不正アクセスが原因 2026/10/08 1 ローソンは2026年10月8日、同社が運営するアカウントサービスに対する外部からの不正アクセスにより、215万件を超える顧客の個人情報が漏えいしたと発表した。対象となるのは共通アカウントのローソンIDと催事向けのローソンアプリ予約を利用する顧客であり、現時点で情報の不正利用などの二次被害は確認されていない。
記事 標的型攻撃・ランサムウェア対策 日本を襲う同時多発サイバー攻撃、背景に国家ぐるみの「AIサイバー攻撃工場」稼働か 日本を襲う同時多発サイバー攻撃、背景に国家ぐるみの「AIサイバー攻撃工場」稼働か 2026/10/07 8 日本国内で「同時多発サイバー攻撃」ともいえる、不正アクセスや情報漏えいの被害が未曾有の規模で拡大している。焼肉きんぐ、大阪公立大学、大和証券、日本経済新聞社、シチズン時計など業種を問わず、無差別とも言える被害が続いている。いづれの被害も原因は調査中の段階であるが、背景として囁かれるのがフロンティア級の攻撃能力を持つ「オープンAIの拡散」と、国家ぐるみで24時間稼働する「AIサイバー攻撃工場」の存在である。
記事 標的型攻撃・ランサムウェア対策 大阪公立大学、ランサムウェア攻撃でサーバー500台停止、13万人分の個人情報流出か 大阪公立大学、ランサムウェア攻撃でサーバー500台停止、13万人分の個人情報流出か 2026/10/06 2 2026年10月2日に発生した大阪公立大学の大規模システム障害について、同大は5日、ランサムウェアによるサイバー攻撃が原因であると発表した。約500台のサーバーが停止し、授業の休講や入試手続きの延長といった影響が出ているほか、13万人分の個人情報が流出したかについて調査を進めている。
記事 情報漏えい対策 韓国金融機関6行へAIを使ったサイバー攻撃、2万5000人超の個人情報流出 韓国金融機関6行へAIを使ったサイバー攻撃、2万5000人超の個人情報流出 2026/10/06 5 2026年9月末から10月初旬にかけて韓国の新韓銀行やKB国民銀行など複数の金融機関がサイバー攻撃を受け2万5000人超の個人情報が流出した。攻撃インフラからAIを活用した自律型侵入テストツールの痕跡が検出されており金融当局が緊急対応と全容解明を進めている。
