https://utm.hinoshiba.com/ 公開された資料をもとに、セキュリティ事象の経緯・影響・対応を出典付きで記録しています。 2026-11-04T00:00:00+09:00 @hinoshiba https://utm.hinoshiba.com/2026/11/mofa-external-network-unauthorized-access/ 2026-11-04T00:00:00+09:00 2026-11-04T00:00:00+09:00

時事通信の2026年10月30日の配信によると、外務省の外部とのやりとりが可能なネットワークに不正アクセスがあり、氏名やメールアドレスなど約3600件の個人情報が漏えいした可能性がある。このうち外務省員以外の情報は約900件である。これまでに個人情報の悪用など2次被害は確認されていない。

https://utm.hinoshiba.com/2026/11/cairn-working-directory-attack-activity/ 2026-11-02T00:00:00+09:00 2026-11-03T00:00:00+09:00

VULONEの2026年10月19日の報告によると、Cairnで組んだ攻撃基盤のサーバーが、/tmpをポート9000のHTTPで認証なしに公開していた。単独のオペレーターがLLMエージェントでアジアなどの政府・産業の標的に66の作戦を行い、その記録では48件が何らかのアクセスに達した。Daily CyberSecurityの10月22日の記事によると、被害者の公の確認は無く、誰も訴追されていない。

https://utm.hinoshiba.com/2026/11/studio-unauthorized-access/ 2026-11-01T00:00:00+09:00 2026-11-01T00:00:00+09:00

Studio社の2026年10月16日の第一報によると、同社が利用するクラウド環境への第三者の不正アクセスで、Studioに登録するすべての顧客の情報が外部に流出した可能性がある。暗号化して保存していた情報も、復号に必要な鍵が同じ不正アクセスで読み出されたため、内容を知られた可能性があるとした。Studio社は10月28日、個人情報保護委員会への連名の報告の受付を11月上旬に始める予定と案内した。

https://utm.hinoshiba.com/2026/11/skyticket-unauthorized-access/ 2026-11-01T00:00:00+09:00 2026-11-01T00:00:00+09:00

比較予約サイト「skyticket」を運営するアドベンチャーの2026年10月9日の第1報によると、skyticketのシステムが経路の異なる3件の不正アクセスを受け、顧客の個人情報が外部に流出したか、流出したおそれがある。10月28日の第3報でアドベンチャーは、自社サーバーへの不正アクセスで不正に取得された認証情報が悪用され、データベースの複製から返金先の銀行口座情報が流出したと説明した。

https://utm.hinoshiba.com/2026/11/php2shell-steal-my-bitcoin-contest/ 2026-11-01T00:00:00+09:00 2026-11-03T00:00:00+09:00

James Pavurが開いた、賞金を懸けた侵入競技「Steal My Bitcoin」で、勝者がPHP2Shellの脆弱性を突き、サーバーに置かれたビットコインの鍵を取り出した。鍵は、ビットコインの入ったアドレスの導出パス上の親鍵で、勝者はこの鍵では資金を動かせなかった。競技サイトは、勝者が出た日時を2026年10月25日15時47分（UTC）と表示し、今はサーバーにビットコインは無いとしている。

https://utm.hinoshiba.com/2026/11/onamae-desktop-cloud-unauthorized-access/ 2026-11-01T00:00:00+09:00 2026-11-03T00:00:00+09:00

GMOインターネットの2026年10月22日の発表によると、「お名前.com デスクトップクラウド」への不正アクセスで、サーバー内に保存されていた取引口座のログイン情報等が第三者に取得され、不正に利用された可能性がある。10月24日の第4報では、顧客の情報が外部に持ち出された事実を確認したと説明した。11月3日7時のサービスサイトの掲示でも、全プランのサーバーを止めたまま、再開時期は未定である。

https://utm.hinoshiba.com/2026/11/niigata-nippo-mail-members-data-leak/ 2026-11-01T00:00:00+09:00 2026-11-01T00:00:00+09:00

UX新潟テレビ21の2026年10月22日の報道によると、新潟日報社が会員向けのメール配信に利用している企業が第三者の不正アクセスを受け、「パスポート会員」全員25万3000人分の個人情報が漏洩した。新潟日報社が事務局を務めるにいがた鮭プロジェクトは、会員約7000人の個人情報について、新潟日報社がメール配信などに使うラクスライトクラウドが漏えいを確かめた288件の契約に含まれていないと告知した。

https://utm.hinoshiba.com/2026/11/linux-kernel-cve-2026-98432/ 2026-11-01T00:00:00+09:00 2026-11-02T00:00:00+09:00

LinuxカーネルCVEチームの2026年10月15日の告知によると、IPv4 TCPの接続処理にuse-after-freeの脆弱性CVE-2026-98432がある。Anthropicは10月27日、ClaudeがMPTCPのリスナーを持つLinuxサーバーで遠隔からrootで任意のコマンドを実行させる攻撃コードを書いたと公表した。CISAのKEVカタログの10月30日の版にこの脆弱性は無い。

https://utm.hinoshiba.com/2026/11/cve-2026-110264-gitlab-unauthenticated-rce/ 2026-11-01T00:00:00+09:00 2026-11-02T00:00:00+09:00

GitLabの2026年10月21日の発表では、GitLab CE/EEに、細工した正規表現のコンパイル時の整数オーバーフローにより、一定の条件の下で未認証の利用者がサーバー上で任意のコードを実行できるおそれのある脆弱性CVE-2026-110264があった。GitLabはセルフマネージドの全環境をただちに修正版へ更新するよう強く勧め、GitLab.comは修正済みの版で稼働している。

https://utm.hinoshiba.com/2026/11/cursor-marketplace-claude-code-extension-tampered/ 2026-11-01T00:00:00+09:00 2026-11-03T00:00:00+09:00

Cursorの2026年10月29日の告知では、Cursorの拡張機能のマーケットプレイスで、AnthropicのClaude Code拡張機能を悪意をもって改変した版が入手できる状態になり、永続的なSSHバックドアの設置を試みた。対象はWindowsとmacOS向けの2.1.312と2.1.313である。The Hacker Newsによると、Cursorは影響を最大5,000ユーザーとした。

https://utm.hinoshiba.com/2026/11/club-tourism-unauthorized-access/ 2026-11-01T00:00:00+09:00 2026-11-01T00:00:00+09:00

クラブツーリズムの2026年10月31日の発表（第1信）によると、サーバの一部への外部からの不正アクセスにより、インターネット会員として登録された情報約432万件が外部に漏えいした可能性がある。クラブツーリズムは被害拡大の防止と調査のため、ホームページを停止していた。

https://utm.hinoshiba.com/2026/11/capcom-customer-data-leak/ 2026-11-01T00:00:00+09:00 2026-11-01T00:00:00+09:00

カプコンの2026年10月22日の発表によると、ゲームやWEBサービスで使う共通アカウント「CAPCOM ID」に第三者が不正にアクセスし、メールアドレスとシステム固有の識別情報が全世界で11,774,247件外部に漏えいした。10月23日の第二報では、影響範囲の調査を終え、CAPCOM IDと関連サービスの監視を続けると説明した。

https://utm.hinoshiba.com/2026/11/blastmail-unauthorized-access/ 2026-11-01T00:00:00+09:00 2026-11-01T00:00:00+09:00

ラクスの2026年10月21日の第2報によると、子会社のラクスライトクラウドのメール配信システム「ブラストメール」が不正アクセスを受け、すべての契約者の情報が販売管理システムから持ち出された。一部の顧客については、配信先リストなどメール配信に関する情報の漏えいも確認した。サービスの停止は続いており、再開の日時は未定である。

https://utm.hinoshiba.com/2026/11/binance-unauthorized-withdrawals/ 2026-11-01T00:00:00+09:00 2026-11-03T00:00:00+09:00

Binanceの第2報によると、2026年10月29日20時5分（UTC）ごろにホットウォレットが侵害され、約63億米ドル相当のトークン資産を失った。Binanceは11月1日の第4報で、影響額の約95%を補填したと説明した。Ellipticによると、Binanceは同じ日に、Bitcoinのネットワークから出金の再開を始めたと発表した。

https://utm.hinoshiba.com/2026/11/amadeus-passenger-service-system-unauthorized-access/ 2026-11-01T00:00:00+09:00 2026-11-03T00:00:00+09:00

キャセイパシフィック航空がAmadeus IT Groupから受けた通知では、権限の無い者がAmadeusのシステムアカウントに割り当てられたログイン認証情報を使い、システム内の旅行予約データにアクセスした。Amadeusの声明では、同社が認識した旅行予約の表示環境に影響する脆弱性を通じて、一部の予約表示データがアクセス可能だった。調査は続いているが、決済・金融データがアクセスされた証拠は無い。

https://utm.hinoshiba.com/2026/11/ai-agent-hijack-download-instruction-file/ 2026-11-01T00:00:00+09:00 2026-11-03T00:00:00+09:00

Forever Securityの2026年10月22日の報告によると、顧客の端末のダウンロードフォルダ（~/Downloads）に置かれた悪意あるAGENTS.mdに従い、コーディングエージェントが悪性のnpmパッケージfunction-colorを導入しようとした。同社はコードの実行前にこれを止め、攻撃全体をOpenAI CodexとClaude Codeの両方で再現した。

https://utm.hinoshiba.com/2026/10/speecan-raiden-unauthorized-access/ 2026-10-31T00:00:00+09:00 2026-10-31T00:00:00+09:00

アルカディアの2026年10月13日の発表によると、同社が運営するSpeeCAN RAIDENで第三者による不正アクセスが行われ、個人情報が漏洩した可能性がある。アルカディアのシステムからは、不正なプログラムによって不正なメール1,423,428通が外部に配信された。10月23日の説明資料と報告書では、全サービスを漏えいの可能性の対象とした。

https://utm.hinoshiba.com/2026/10/security-event-remote-control-software-requirement/ 2026-10-31T00:00:00+09:00 2026-10-31T00:00:00+09:00

Cybleによると、TOKEN2049の関連イベント「Don't Get Played」の参加者の1人が、主催者にコンピューターを遠隔操作させるソフトの導入を迫られたとして、シンガポール警察に申告した。Elastic Security Labsは、Web3アクセラレーターを装う「Apex Accelerator」が悪性のnpmパッケージを公開し、TOKEN2049に姿を見せて信用を築こうとしたと報告した。

https://utm.hinoshiba.com/2026/10/nifty-unauthorized-access/ 2026-10-31T00:00:00+09:00 2026-10-31T00:00:00+09:00

INTERNET Watchの2026年10月19日の記事によると、ニフティの回線申込・受付管理システムに外部から不正アクセスがあり、回線の申込者の個人情報が漏えいした可能性がある。ニフティの第2報では対象が絞り込まれ、件数は第1報の最大54万2513件から最大1万8000件になった。

https://utm.hinoshiba.com/2026/10/jfa-passport-unauthorized-access/ 2026-10-31T00:00:00+09:00 2026-10-31T00:00:00+09:00

日本サッカー協会（JFA）の公式アプリ「JFA Passport」に、2026年10月17日3:25頃から19:00頃まで第三者による不正アクセスがあり、JFAはアプリの機能の一部を一時的に停止した。10月21日の第2報でJFAは、調査の結果「本件に起因する個人情報の漏えいは確認されませんでした」と説明した。アプリは10月22日に全ての機能で再開した。