記事 情報漏えい対策 JR3社、エクスプレス予約とスマートEXの会員情報漏えいの可能性 委託先に不正アクセス JR3社、エクスプレス予約とスマートEXの会員情報漏えいの可能性 委託先に不正アクセス 2026/10/27 JR東海、JR西日本、JR九州の3社は10月26日、「エクスプレス予約」と「スマートEX」の一部会員のメールアドレスなどが、メール配信の委託先ユミルリンクへの不正アクセスにより漏えいした可能性があると発表した。会員ID、カタカナ氏名、会員種別も対象で、件数は同社が確認中という。
記事 セキュリティ総論 ギフティグループ子会社で不正アクセス、eギフトを不正発行 損失は約5.5億円の見込み ギフティグループ子会社で不正アクセス、eギフトを不正発行 損失は約5.5億円の見込み 2026/10/27 ギフティグループは26日、連結子会社ギフティが運用するシステムの脆弱性を悪用した第三者による不正アクセスで、eギフトが不正に発行されたと発表した。25日に判明し、同日システムを停止した。損失は約5.5億円の見込みで、12月期第4四半期に特別損失を計上する。顧客資産の減少や個人情報の漏えいは確認されていない。
記事 セキュリティ総論 ユミルリンクの不正アクセス、漏えい50システムに拡大 第二報で延べ5,162万件超と発表 ユミルリンクの不正アクセス、漏えい50システムに拡大 第二報で延べ5,162万件超と発表 2026/10/27 ユミルリンクは10月26日、メール配信サービス「Cuenote」への不正アクセスに関する第二報を発表した。漏えいが確認されたシステムは第一報から大幅に増え、「Cuenote FC」49システムと「Cuenote BASE」1システムの計50システムとなった。延べ件数はFCだけで5,162万8,280件で、一部は調査中で増える可能性があるという。
記事 ASM・CTEM・脆弱性診断・レッドチーム マイクロソフト、.NETのBrotli脆弱性など4件を臨時更新で修正 定例更新の不備2件も マイクロソフト、.NETのBrotli脆弱性など4件を臨時更新で修正 定例更新の不備2件も 2026/10/26 マイクロソフトは10月26日、開発基盤「.NET」の臨時セキュリティ更新を公開した。Brotli展開処理の脆弱性（CVE-2026-111497、CVSS 8.1）は、Node.jsと同じCVEだ。10月13日の更新で不十分だった2件を含む4件を修正した。修正版は8.0.33、9.0.22、10.0.14、11 RC3で、.NET Frameworkは対象外という。
記事 情報漏えい対策 楽天トラベルで不正アクセス、個人情報最大約260万件が対象 支払情報も最大3万6千件 楽天トラベルで不正アクセス、個人情報最大約260万件が対象 支払情報も最大3万6千件 2026/10/26 楽天グループは10月26日、「楽天トラベル」の海外ホテル予約サイトの一部ページと多言語予約サイトに不正アクセスがあったと発表した。海外ホテル予約ではログインされた最大約260万件の氏名などが対象で、予約者最大約4万件のうち最大約3万6千件は支払情報も含む。多言語予約サイトは別に最大約86万件が対象。
記事 情報漏えい対策 トラストバンク、ふるさとチョイスの自治体向け管理システムを再開 寄附者向けは未定 トラストバンク、ふるさとチョイスの自治体向け管理システムを再開 寄附者向けは未定 2026/10/26 トラストバンクは10月26日、運営するふるさと納税サイト「ふるさとチョイス」の不正アクセスで第3報を発表した。自治体や事業者が使う寄附管理システムを同日から順次再開する。新たな寄附の受け付けは始めず、寄附者向けサイトの再開時期も未定。会員情報の流出が判明した事案で、返礼品の発送遅れの可能性にも触れた。
記事 情報漏えい対策 韓国科学技術情報通信部、ドゥーゾン・ビズオンの侵害事故で官民合同の調査に着手 韓国科学技術情報通信部、ドゥーゾン・ビズオンの侵害事故で官民合同の調査に着手 2026/10/26 韓国の科学技術情報通信部は10月26日、企業向けソフトウェアを手がけるドゥーゾン・ビズオン（Douzone Bizon）で起きた侵害事故について、調査に着手したと発表した。同省は10月25日に審議委員会を開き、官民合同の調査団が必要な重大な事案と判断した。同社は個人情報が漏えいした可能性があると説明している。
記事 セキュリティ総論 政府がサイバー関係閣僚会議を26日18時に開催 大規模漏えい相次ぎ高市首相ら出席へ 政府がサイバー関係閣僚会議を26日18時に開催 大規模漏えい相次ぎ高市首相ら出席へ 2026/10/26 木原稔官房長官は10月26日の記者会見で、「サイバーセキュリティに関する関係閣僚会議」を同日午後6時から首相官邸で開催すると発表した。事業者を狙った攻撃による大規模な情報漏えいが相次いでいるためで、高市早苗首相らが出席し、今後の対策を議論する予定だという。
記事 AIセキュリティ “いい子のふり”で人を出し抜くAI…東大・松尾研×専門家が説く自主ガバナンスの真髄 “いい子のふり”で人を出し抜くAI…東大・松尾研×専門家が説く自主ガバナンスの真髄 2026/10/26 生成AIの急速な普及に伴い、企業が直面するリスクは多様化している。誤情報や情報漏えいにとどまらず、見えないAIによるサイバー攻撃や社会全体のシステムリスクまで、脅威は計り知れないほど広がっている。スマートガバナンス代表取締役CEOの羽深宏樹氏と千葉工業大学AGI研究センター副所長（兼 東京大学松尾・岩澤研究室 主幹研究員）の山川宏氏の議論から、企業が今取り組むべきAIリスクの“正体”と、法規制や人間の監視能力が追いつかない時代における実務的ガバナンスのあり方をひもとく。
記事 ID・アクセス管理・認証 SCS評価「3つ星」で企業がつまずくと言えるワケ…Excelでは厳しい「管理者ID」8つの壁 SCS評価「3つ星」で企業がつまずくと言えるワケ…Excelでは厳しい「管理者ID」8つの壁 2026/10/26 2026年度末から運用開始が予定されている「SCS評価制度」。サプライチェーン全体でセキュリティ強化が求められる中、受注企業にとって星の取得は重要な経営課題となる。特に3つ星要件で問われる「管理者IDの管理手続き」は、多くの組織にとって運用上の壁になりそうだ。本稿では、制度で求められる8つの要求事項と現場が直面する課題、その克服に向けたアプローチを解説する。
記事 情報漏えい対策 「自社は無関係」が致命傷に？日本被害の7割を生む“越境ランサム集団”と4つの防御策 「自社は無関係」が致命傷に？日本被害の7割を生む“越境ランサム集団”と4つの防御策 2026/10/26 サイバー攻撃のニュースを目にするたび、「自社はまだ被害がないから大丈夫」と安心していないだろうか。しかし、その“自国中心の視点”こそが、攻撃者にとって格好の狙い目となっている。2026年の最新データが明かすのは、サイバー犯罪者が「国境」ではなく「攻撃可能な標的」単位で動き、近隣国をわずか数日のタイムラグ（時には同日）で連続攻撃しているという実態だ。そうした中、企業はどう対策すればよいのか。本記事では、自社を脅威から守るための新たな監視アプローチと、CTEM（継続的脅威エクスポージャー管理）に基づく予防的防御の要点を解説する。
記事 セキュリティ運用・SOC・SIEM・ログ管理 AIで開発爆速化、運用監視はもう限界？三菱電機「3人＋AI」が挑んだ自動化の舞台裏 AIで開発爆速化、運用監視はもう限界？三菱電機「3人＋AI」が挑んだ自動化の舞台裏 2026/10/26 生成AIによる開発の高速化に伴い、システムの複雑化と運用監視の負荷増大が深刻な課題となっている。この難題に挑み、成果を出しているのが三菱電機だ。同社は、形式の異なるログの解析から可視化までを自動化するAI基盤「YAGRA」を開発。しかも、開発を担ったのはわずか3人の兼任チームだった。いったい、どのような仕組みで自動化を実現したのか。そして、AIエージェントとの共同開発で直面した「3つの課題」とは何か。
記事 ネットワークセキュリティ・VPN アリスタのSD-WAN管理基盤VCOに悪用中の脆弱性、最低権限でも到達、米CISAがKEV追加 アリスタのSD-WAN管理基盤VCOに悪用中の脆弱性、最低権限でも到達、米CISAがKEV追加 2026/10/26 アリスタ・ネットワークスは10月22日、SD-WANの管理基盤「VeloCloud Orchestrator（VCO）」のオンプレミス版に、悪用が確認されている脆弱性（CVE-2026-114625）があると明らかにした。CVSSは9.9。認証済みなら最低権限のユーザーでも内部専用の特権機能に到達できるという。米CISAは10月23日にKEVカタログへ追加した。
記事 情報漏えい対策 モスカード113万件の番号とPINが流出 モスフード、委託先への不正アクセスで発表 モスカード113万件の番号とPINが流出 モスフード、委託先への不正アクセスで発表 2026/10/26 モスフードサービスは10月23日、プリペイドカード「モスカード」のカード番号16桁、PIN6桁、残高の情報113万3,070件が外部に流出したと発表した。運用・保守を委託するバリューデザインのシステムが第三者の不正アクセスを受けたという。PINは強制変更した。氏名、住所、クレジットカード情報は含まれないとしている。
記事 セキュリティ総論 ソフトバンク、緊急速報メール停止続く 地震・津波のみ再開、災害情報は26日完了予定 ソフトバンク、緊急速報メール停止続く 地震・津波のみ再開、災害情報は26日完了予定 2026/10/26 ソフトバンクは、PHPの脆弱性への対応に伴うメンテナンスで止めている「緊急速報メール」のうち、気象庁が発信する緊急地震速報と津波警報の配信を10月25日午前9時25分に再開した。国や自治体が配信する災害・避難情報は停止を続けており、メンテナンスの完了は10月26日の予定だ。対象はワイモバイル、LINEMOにも及ぶ。
記事 情報漏えい対策 ピッコマ、メール配信の委託先への不正アクセスで1,002,404件のアドレス流出を発表 ピッコマ、メール配信の委託先への不正アクセスで1,002,404件のアドレス流出を発表 2026/10/26 1 ピッコマは10月24日、メルマガの配信を委託しているメール配信システム「ブラストメール」が不正アクセスを受け、メルマガ1回分の宛先だったメールアドレス1,002,404件が流出したと発表した。パスワードや氏名、カード情報の流出はないとしている。個人情報保護委員会へは報告済みで、配信を停止して対象者を確認中だ。
記事 セキュリティ総論 IPA、2026年第3四半期の相談309件を公表 OAuth同意攻撃でメール大量送信の事例も IPA、2026年第3四半期の相談309件を公表 OAuth同意攻撃でメール大量送信の事例も 2026/10/24 1 IPAは10月23日、サイバーセキュリティ相談窓口の2026年第3四半期（7～9月）の相談状況を公表した。相談件数は309件で、前四半期から約2.3％増えた。平時の対策の相談は21件から41件へ倍増した。Microsoftアカウントから大量のメールが送信された事例をもとに、OAuth同意攻撃への注意を促し、調査項目と対策を示した。
記事 セキュリティ開発・DevSecOps ギットラボ、CVSS10.0の脆弱性を修正 認証不要でコード実行の恐れ、回避策の記載なし ギットラボ、CVSS10.0の脆弱性を修正 認証不要でコード実行の恐れ、回避策の記載なし 2026/10/24 ギットラボは10月21日（米国時間）、「GitLab」のCE版とEE版に存在した、深刻度が最大のCVSS 10.0の脆弱性を修正するパッチリリース「19.5.1」などを公開した。認証を受けていない第三者が、サーバ上で任意のコードを実行できる可能性があるという。7.0以降の広い範囲が対象で、公式ページに回避策の記載はない。
記事 セキュリティ総論 総務省が通信インフラ防御の検討会 委託先管理や法制度を議論、2027年夏に報告へ 総務省が通信インフラ防御の検討会 委託先管理や法制度を議論、2027年夏に報告へ 2026/10/24 総務省は10月22日、通信事業者の大規模な情報漏えいを受けた「フロンティアAI時代の通信事業におけるデータの保護・セキュリティの在り方に関する検討会」の初会合を開いた。AIの登場や通信サービスのクラウド化を踏まえ、技術面の対策、体制面の対策、規制のあり方の3点を議論し、取りまとめは2027年夏ごろを目指す。
記事 標的型攻撃・ランサムウェア対策 GMOインターネット、デスクトップクラウド攻撃で全利用者に5,000円 不正取引も補償 GMOインターネット、デスクトップクラウド攻撃で全利用者に5,000円 不正取引も補償 2026/10/24 GMOインターネットは2026年10月24日、サイバー攻撃を受けた「お名前.com デスクトップクラウド」の全利用者に一律5,000円のお見舞金を支払うと発表した。不正取引の損失も補償し、サービスは新基盤へ移し6か月間無償とする。攻撃者の金銭要求には応じず、政府へ能動的サイバー防御の「発動第1号」として緊急要請した。
記事 情報漏えい対策 タイムズカー、免許証画像の外部送信146万件で確定 パーク24が見舞金3000円を支給へ タイムズカー、免許証画像の外部送信146万件で確定 パーク24が見舞金3000円を支給へ 2026/10/24 パーク24は10月23日、タイムズカーのWebシステムへの不正アクセスの調査結果を発表した。運転免許証などの画像データで外部送信の痕跡が確認されたのは146万4800件で、約160万件に漏えいのおそれがあるとしていた従来の発表から確定した。外部送信の痕跡が確認された顧客には、3000円相当の見舞金を渡す。
記事 情報漏えい対策 エムスリー「MR君」に不正アクセス、会員等25,775名と製薬担当者2,260名の情報漏えい エムスリー「MR君」に不正アクセス、会員等25,775名と製薬担当者2,260名の情報漏えい 2026/10/24 エムスリーは10月23日、製薬企業向けサービス「MR君」への不正アクセスで、m3.com会員等25,775名と製薬企業の担当者2,260名の個人情報が漏えいしたと公表した。氏名や勤務先などが対象で、パスワードやクレジットカード番号は含まれないという。公開や不正利用は確認されておらず、原因と侵入経路は明らかにしていない。
記事 情報漏えい対策 日本ピザハット、決済APIへの不正アクセスで顧客情報が流出 報道では最大約448万件 日本ピザハット、決済APIへの不正アクセスで顧客情報が流出 報道では最大約448万件 2026/10/24 日本ピザハットは10月23日、オンライン注文サービスの決済APIが不正アクセスを受け、顧客情報の一部が取得されたと発表した。漏えいを確認したのはID、メールアドレス、電話番号、取引記録など。カード情報は含まれない。報道によると最大約448万件が流出した可能性があり、原因と影響範囲は調査中という。
記事 AIセキュリティ 英国のAIセキュリティ研究所、Mythos 5の供給網攻撃を分析 行動と説明が食い違う 英国のAIセキュリティ研究所、Mythos 5の供給網攻撃を分析 行動と説明が食い違う 2026/10/24 英国AIセキュリティ研究所（AISI）は10月23日、評価試験中にMythos 5が実在の保守担当者へ供給網攻撃を試みた事案の原因分析を公表した。攻撃を止めるべき状況でも続け、行動と本人の説明が食い違うなど、AIのアライメントの失敗を3つの知見に整理した。アンソロピックも独自に分析し、技術報告書を同時に公開している。
記事 情報漏えい対策 アンドエスティHD、不正アクセスで顧客約250万件の個人情報が流出した可能性を発表 アンドエスティHD、不正アクセスで顧客約250万件の個人情報が流出した可能性を発表 2026/10/24 アンドエスティHDは10月23日、業務サーバーへの不正アクセスにより、顧客約250万件と取引先約1万件の個人情報が流出した可能性があると発表した。氏名や住所などが対象で、決済情報とパスワードは含まれないとしている。警察に相談し、個人情報保護委員会に報告した。店舗とWEBストアでは会員ポイントが使えない。
記事 情報漏えい対策 佐川急便、不正アクセスで個人情報の流出可能性は最大約5,323万件 問い合わせは再開 佐川急便、不正アクセスで個人情報の流出可能性は最大約5,323万件 問い合わせは再開 2026/10/23 佐川急便は10月23日、「お荷物問い合わせサービス」への不正アクセスで、流出した可能性のある個人情報が最大約5,323万件（重複を含む）になったと発表した。実人数ではない。送り状データ、顧客リスト、会員情報が対象で、氏名、住所、電話番号を含む。カード情報とパスワードは含まれない。同サービスは同日再開した。
記事 ASM・CTEM・脆弱性診断・レッドチーム 【AI世界大戦前夜】OpenAIも警告 PHPは序章に過ぎないこれから日本を襲う恐怖の数カ月 【AI世界大戦前夜】OpenAIも警告 PHPは序章に過ぎないこれから日本を襲う恐怖の数カ月 2026/10/23 1 2026年10月、世界のウェブサイトの約7割を支えるプログラミング言語「PHP」において深刻な脆弱性が発覚、日本国内でも高市総理が異例の対応呼びかけを行い、企業のサービスや政府インフラが一斉に停止する異例の緊急事態となった。欧米でも政府機関のサイトが停止に追い込まれるなど、混乱は広がっている。注視すべきはこれらの脆弱性が10年以上前より存在していたものが、AIの進化によって明るみに出て攻撃者によって悪用可能となった点だ。OpenAIは「今後数カ月で同様の脆弱性発見が一気に噴出する」と警告している。PHP脆弱性の混乱は、AI vs AIのサイバー戦争の序章なのか？ここから日本を待ち受ける恐怖の数カ月と企業の生存戦略を解説する。
記事 情報漏えい対策 カプコン、CAPCOM IDの不正アクセスで1,177万件漏えい 19件は通販の購入履歴まで カプコン、CAPCOM IDの不正アクセスで1,177万件漏えい 19件は通販の購入履歴まで 2026/10/23 カプコンは、会員サービス「CAPCOM ID」への不正アクセスで、メールアドレスなど1,177万4,247件が漏えいしたと発表した。第二報で、パスワードを不正に変更された196件のうち19件で、通販サイト「イーカプコン」のマイページにも侵入され、氏名や住所、購入履歴が漏えいしたと判明。クレジットカード情報は対象外という。
記事 ASM・CTEM・脆弱性診断・レッドチーム 米マイクロソフトが報告「中国系組織がAI自律ツールで世界規模のサイバー攻撃」 米マイクロソフトが報告「中国系組織がAI自律ツールで世界規模のサイバー攻撃」 2026/10/23 2 米マイクロソフトは21日、中国政府の支援を受けるハッカー集団「Storm-0940」が自律型AIフレームワークARTEXを悪用し、世界中の2250以上の組織に自動化されたサイバー攻撃を行ったと発表した。攻撃対象の選定から管理者権限の奪取まで3時間未満で完了した事例も確認されており、AIによる攻撃の高速化と規模拡大が報告されている。
記事 情報漏えい対策 デジタル庁、Studioの不正アクセスで問い合わせ内容など最大1万3,323件漏えいの可能性 デジタル庁、Studioの不正アクセスで問い合わせ内容など最大1万3,323件漏えいの可能性 2026/10/23 デジタル庁は2026年10月22日、ホームページ運営の一部で利用していたStudioが第三者から不正アクセスを受け、問い合わせフォームの入力内容など最大1万3,323件（各区分の合計）と、職員らのアカウント情報35件が漏えいした可能性があると発表した。二次被害は現時点で確認されていないという。
