セキュリティの
学び場

【専門家監修】インシデントに備えよう！Webサーバのログ収集編

Webサーバのログ収集について、特にインシデント調査（フォレンジック）に必要な視点から解説します。

サイゼリヤにランサムウェア攻撃、従業員や取引先等の個人情報漏えいの可能性

株式会社サイゼリヤは10月16日、同社サーバへの第三者からのランサムウェア攻撃について発表した。

サイドローディングとは

サイドローディングとは、スマートフォンやタブレットなどのモバイル端末において、公式のストアアプリ（iOSはApp Store、AndroidはGoogle Playストア）を経由せずに、アプリをインストールする行為を指します。

不正アクセス「カレーハウスCoCo壱番屋ホームページ」問合せフォーム入力の個人情報流出

株式会社壱番屋は10月8日、同社が運営する「カレーハウスＣｏＣｏ壱番屋ホームページ」の「出張販売問合せフォーム」に入力のあった顧客の個人情報流出について発表した。

JC-STAR ～ IoT 製品のセキュリティ対策を 4 段階のレベルでラベリング

独立行政法人情報処理推進機構（IPA）は9月30日、「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」ページの開設を発表した。

「タリーズ オンラインストア」への不正アクセス、92,685 名の会員情報と 52,958 名のカード情報が漏えいの可能性

タリーズコーヒージャパン株式会社は10月3日、同社が運営する「タリーズ オンラインストア」への不正アクセスによる個人情報漏えいの可能性について発表した。

Unbound にサービス不能（DoS）攻撃が可能になる脆弱性

株式会社日本レジストリサービス（JPRS）は10月7日、Unboundの脆弱性情報が公開されたと発表した。

再発防止策「VPNを使用しない」株式会社イセトー

情報処理サービスを行う株式会社イセトーは10月4日、7月3日に公表していたランサムウェア被害について、調査結果を発表した。

京セラコミュニケーションシステム、斑鳩町立図書館システムを導入中ランサムウェア感染

奈良県斑鳩町は10月3日、斑鳩町立図書館システム構築業務におけるランサムウェア感染について発表した。

車ドロ 社内にあったタブレット

茨城県稲敷市（いなしきし）は9月25日、同市が保有する個人情報が漏えいした可能性について発表した。

予算 100 億円 推進組織 100 名規模 ～ NTT西日本グループのセキュリティ強化

西日本電信電話株式会社（NTT西日本）、株式会社NTTマーケティングアクトProCX、NTTビジネスソリューションズ株式会社は9月20日、顧客情報の不正持ち出しを踏まえたNTT西日本グループの情報セキュリティ強化に向けた取り組みの進捗状況について発表した。

IPA「AIセーフティに関する評価観点ガイド」公開

独立行政法人情報処理推進機構（IPA）は9月18日、AIシステムの開発者や提供者がAIセーフティ評価を実施する際に参照できる基本的な考え方を提示するため、「AIセーフティに関する評価観点ガイド」を公開した。

これまでの対処が通用せず ～ PC 画面全体に偽メッセージ表示され操作不能になる手口

独立行政法人情報処理推進機構（IPA）は9月17日、パソコンの画面全体に偽のメッセージが表示され操作不能になる手口についての注意喚起を発表した。

経済産業省 意見募集 ～ サイバーセキュリティ産業振興について

経済産業省は9月20日、産業界のセキュリティ対策強化とサイバーセキュリティ産業の振興について、広く国内の関係者から各論点に関わる意見・情報の提供を募集すると発表した。

複数のNTT東日本製ホームゲートウェイ/ひかり電話ルータにアクセス制限不備の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は9月24日、複数のNTT東日本製ホームゲートウェイ/ひかり電話ルータにおけるアクセス制限不備の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

e-Taxソフト（共通プログラム）のインストーラに権限昇格の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は9月24日、e-Taxソフト（共通プログラム）のインストーラにおける権限昇格の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

脆弱性対応 9 割の組織が四半期に 1 回以下 ～ タニウム調査

タニウム合同会社は9月6日、国内におけるサイバーハイジーン市場調査の結果を発表した

【専門家解説】ランサムウェア攻撃の実態と効果的な対策

ランサムウェアは、「被害対象の情報を暗号化するなどして身代金（Ransom）を要求するタイプ」のマルウェア（Malware）です。

AI 活用組織、侵害コストを平均 220 万ドル削減 ～ IBM「2024年データ侵害のコストに関する調査レポート」

日本アイ・ビー・エム株式会社は9月5日、「2024年データ侵害のコストに関する調査レポート」の日本語版を発表した。

RaaS（サービスとしてのランサムウェア）とは？脅威と対策を解説

RaaSという言葉を聞くと、「なんとか アズ ア サービス」の略だろうなというのは誰もが思いつくと思います。

負荷対策が原因 ～ DREAMS COME TRUE 公式ファンクラブ会員限定アプリで誤表示

株式会社ディーシーティーエンタテインメントは9月7日、DREAMS COME TRUE 公式ファンクラブ「POWER PLANT」会員限定アプリ「ドリアプリ for PPベイビーズ」でのマイページ誤表示について発表した。

悪用の事実を確認済みの脆弱性が4件 ～ マイクロソフトが 9 月のセキュリティ情報公開

独立行政法人 情報処理推進機構（IPA）は9月11日、「Microsoft 製品の脆弱性対策について(2024年9月)」を発表した。一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）も「2024年9月マイクロソフトセキュリティ更新プログラムに関する注意喚起」を発表している。

不正アクセス防止 ～ リクルートID 全ユーザーにログイン通知メール送信 9/30 から

株式会社リクルートは9月3日、ログイン通知の対象をすべてのユーザーに拡大すると発表した。

「NISSAN e-シェアモビ」に不正ログインし車両利用、個人情報閲覧された可能性も

株式会社日産カーレンタルソリューションは9月2日、同社が運営する「NISSAN e-シェアモビ」への不正ログインについて発表した。

京都府警が団体一位に「第2回フィッシングサイト撲滅チャレンジカップ」

一般財団法人日本サイバー犯罪対策センター（JC3）は8月29日、「第2回フィッシングサイト撲滅チャレンジカップ」大会の結果を発表した。

契約即時解除 ～ 業務委託コンサルタントの PC マルウェア感染

医療用医薬品やワクチンなどを提供するサノフィ株式会社は8月28日、同社のデータベースへの不正アクセスについて発表した。

JCB を名乗る不正使用検知を装う不審メール

株式会社ジェーシービー（JCB）は9月1日、JCBを名乗る怪しいメール・SMSについて注意喚起を発表した。

LINEビジネスIDにパスワードリスト攻撃、攻撃者による不正操作判明

LINEヤフー株式会社は8月26日、LINE公式アカウントへの不正ログインによる乗っ取りについて発表した。

DMARCポリシー「none」または DMARC 対応していないドメイン名のなりすましフィッシングメール増加傾向、7 月のフィッシング報告状況

フィッシング対策協議会は8月21日、2024年7月のフィッシング報告状況を発表した。

今後はアップロード先を案内する方法に変更 ～ 愛知県弁護士会で添付ファイル付メール誤送信

愛知県弁護士会は8月16日、メール誤送信による個人情報の漏えいについて発表した。

鹿児島市で調整給付金支給確認書等を紛失

鹿児島県鹿児島市は8月14日、調整給付金支給確認書等の紛失について発表した。

スマートフォンアプリ「楽天市場アプリ」にアクセス制限不備の脆弱性

IPA＝独立行政法人情報処理推進機構および一般社団法人JPCERT コーディネーションセンターは8月20日、スマートフォンアプリ「楽天市場アプリ」におけるアクセス制限不備の脆弱性について「JVN＝Japan Vulnerability Notes」で発表した。

オイレス工業へのランサムウェア攻撃 調査結果公表 ～ VPN 機能の脆弱性を悪用

オイルレスベアリング等を製造する東証プライム上場企業であるオイレス工業株式会社は8月8日、6月10日に公表した同社サーバへの不正アクセスについて、調査結果を発表した。

送信元が「Creema」となっているなりすましメールに注意を呼びかけ

株式会社クリーマは8月8日、不審なメール（なりすましメール）への注意喚起を発表した。

「あなたの携帯電話からウイルスがばらまかれている」JC3 職員騙った不審電話に注意呼びかけ

一般財団法人日本サイバー犯罪対策センター（JC3）は8月7日、同センターの職員を装った不審な電話への注意喚起を発表した。

プロンプトインジェクションとは

近年、人工知能技術の発展に伴い、生成AIの活用がますます身近になる中、知っておきたいセキュリティの知識があります。

年間売上500億円超の日本企業の約四割は一年以内に週休三日 ～ Gartner 調査

ガートナージャパン株式会社（Gartner）は8月1日、日本企業のIT人材に関する調査結果を発表した。

生成AIとプラグイン

生成AI の基本的な機能は「学習済みの知識とプロンプト内の情報を基に回答する」ことです。

システム設定ミスが原因 ～「Wantedly」で200,578 名の個人情報が閲覧可能に

ウォンテッドリー株式会社は7月30日、同社が提供するビジネスSNS「Wantedly」でのアクセス設定の不具合について、第三報を発表した。

強化すべきは 1位 診断定期実施 2位 教育 3位 可視化 ～ スリーシェイク セキュリティ担当者 1,000人アンケート

株式会社スリーシェイクは8月7日、「企業のセキュリティ対策の現状と課題」のアンケート調査結果を発表した。

使用される電話番号は 050（IP電話）から 010（国際通話）に変化 ～ IPA「サポート詐欺レポート」

独立行政法人情報処理推進機構（IPA）は7月31日、サポート詐欺レポートを公開した。

「漫画村」に関する民事訴訟、17 億 3,664 万 2,277 円の損害賠償金の支払を命じる判決確定

一般社団法人コンピュータソフトウェア著作権協会（ACCS）は7月30日、「漫画村」に関する民事訴訟の判決確定について発表した。

エレコム製無線LANルータに複数の脆弱性

IPA=独立行政法人情報処理推進機構および一般社団法人JPCERT コーディネーションセンターは7月30日、エレコム製無線LANルータにおける複数の脆弱性について「JVN=Japan Vulnerability Notes」で発表した。

サイバー攻撃を受けるとお金がかかる ～ JNSA「インシデント損害額調査レポート」

特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）は7月18日、「サイバー攻撃を受けるとお金がかかる～インシデント損害額調査レポートから考えるサイバー攻撃の被害額～」を発表した。

岩水開発のサーバがクリプトマイニング型のマルウェア XMRigに感染

岩水開発株式会社は7月17日、一部の同社サーバのマルウェア感染について発表した。

「オリーブ牛の肉のヒガシハラ」に不正アクセス、1,703 名のカード情報が漏えい

有限会社東原商店は7月16日、同社が運営する「オリーブ牛の肉のヒガシハラ」への不正アクセスによる個人情報の漏えいについて発表した。

高野総合会計事務所グループのデータを管理するサーバにランサムウェア攻撃

税理士法人高野総合会計事務所、高野総合コンサルティング株式会社、監査法人TSKは7月10日、6月10日に公表したランサムウェア被害について、第2報を発表した。

プロンプトエンジニアリングとは

「プロンプト」とは、AIに指示を与えるための命令や情報のことです。

ダークサイドAI: ディープフェイク

ディープフェイク（deepfake）は、AI技術を用いて映像や音声などを偽造する技術、そうして合成されたメディアのことです。

生成AI/LLMとは

近年、人工知能技術の発展に伴い、「生成AI」と呼ばれる技術が注目を集めています。

パスキーの使い方

パスキーはパスワードレス認証の一つであり、現在普及が進んでいます。

世界規模の障害発生 ～ CrowdStrike CEO ジョージ・カーツ 公式コメント

米CrowdStrike社 CEO ジョージ・カーツ氏は現地時間7月19日、同社公式ブログで、同日グローバル規模で発生した同社製品を導入しているWindows PCにブルースクリーンが発生した障害を受け「To Our Customers and Partners」と題したコメントを発表した。

東京都教育委員会「Teams 事故再発防止委員会」設置

東京都教育委員会は7月5日、都立高等学校における個人情報の漏えいについて発表した。

オンラインカジノへ誘導「ライトアッププロムナード・なら」無断模倣サイトに注意呼びかけ

奈良県は7月8日、同県関連団体が過去に使用していたインターネットドメインの第三者による再使用について、第2報を発表した。

浪江町職員が不正アクセスで逮捕

福島県浪江町は7月3日、同町職員の逮捕について町長のコメントを発表した。

個人情報保護委員会、東京電力グループ 3 社に行政指導

個人情報保護委員会は6月27日、一般送配電事業者及び関係小売電気事業者等における顧客情報の不適切な取扱事案に対する個人情報の保護に関する法律に基づく行政上の対応について発表した。

インターネットバンキング預金等の不正払戻し、2023年度の被害件数は個人法人ともに前年度の3倍に

一般社団法人全国銀行協会は6月27日、盗難通帳、インターネット・バンキング、盗難・偽造キャッシュカードによる預金等の不正払戻し件数・金額等に関するアンケートの結果を発表した。

イセトーへのランサムウェア攻撃で京都商工会議所の企業情報 延べ 41,819 件が漏えい

京都商工会議所は7月2日、業務委託先への不正アクセスによる企業情報の漏えいについて発表した。

NEC、クッキー等の第三者提供の情報公開

日本電気株式会社（NEC）はクッキー等の第三者提供について、情報を公開した。6月下旬に「NEC セキュリティブログ」のフッタ部分にリンクが追加されている。

千葉大学ウェブサイト経由し約 6 万件の迷惑メール送信

国立大学法人千葉大学は6月20日、同学ウェブサイトを経由した不正なメールの送信について発表した。

情報セキュリティ早期警戒パートナーシップガイドライン改訂

立行政法人情報処理推進機構（IPA）及び一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）は6月18日、「情報セキュリティ早期警戒パートナーシップガイドライン」の改訂を発表した。

ISOG-J 「脆弱性トリアージガイドライン作成の手引き」公開

日本セキュリティオペレーション事業者協議会（ISOG-J）は5月24日、「脆弱性トリアージガイドライン作成の手引き」を公開した。

東京都の再委託先がフォームを誤設定、スマホサポーターの個人情報が閲覧可能に

東京都は6月14日、再委託先での個人情報の漏えいについて発表した。

フジクラのタイ子会社に不正アクセス、国際ネットワーク経由で日本のグループ各社のサーバにも痕跡

株式会社フジクラは6月12日、不正アクセスの発生について発表した。

グリコの基幹システム障害、一部商品出荷を 6/25 以降再開

江崎グリコ株式会社は6月11日、同社基幹システム障害に伴う一部商品の出荷再開について発表した。

Google セキュリティチームは Reporting API をどう使って潜在的問題を検出しているか

Google は6月7日、Google セキュリティチームがどのように Reporting API を使用して潜在的な問題を検出し、実際の問題を特定しているか、同社ブログで発表した。

KADOKAWA グループ複数サイトで障害、サイバー攻撃の可能性

株式会社KADOKAWAは6月9日、KADOKAWAグループの複数ウェブサイトでの障害について発表した。

2023年届出件数 過去最高 100万件超え「フィッシングレポート 2024」公開

フィッシング対策協議会 技術・制度検討ワーキンググループは6月4日、フィッシングの被害状況や攻撃技術・手法などをとりまとめた「フィッシングレポート 2024」を発表した。

公開範囲「パブリック」で生徒の個人情報アップロード、都立高校教諭が Microsoft Teams に

東京都教育委員会は5月31日、都立高等学校での個人情報の漏えいについて発表した。

DMM Bitcoin から約 482 億円相当のビットコイン流出

株式会社DMM Bitcoinは5月31日、暗号資産の不正流出について発表した。

IPA「米国における AI のセキュリティ脅威・リスクの認知調査レポート」公開

IPAは、IPAテクニカルウォッチとして「米国におけるAIのセキュリティ脅威・リスクの認知調査レポート」を公開した。概要（日本語）と本文（英語）英語全文をダウンロードすることが可能。

一般社団法人ソフトウェア協会「顔認証・5Gビジネス研究会」イノベーションコンテスト開催

一般社団法人ソフトウェア協会 顔認証・5Gビジネス研究会は5月24日、オープンイノベーションコンテストの開催について発表した。

過去 3 年間で大企業の約 3 分の 1 がサイバー攻撃被害に

サイバーソリューションズ株式会社は5月22日、「企業のメールセキュリティへの取り組みに関するアンケート調査」の結果を発表した。

総務省、ガイドライン活用のための「クラウドの設定ミス対策ガイドブック」公開

総務省は、「クラウドの設定ミス対策ガイドブック」を策定したと発表した。このガイドブックは、同省の「クラウドサービス利用・提供における適切な設定のためのガイドライン」の内容をわかりやすく解説したもの。

半数の中小企業経営者、セキュリティ対策の必要性「感じたことがない」

三菱UFJリサーチ&コンサルティング株式会社は5月16日、「中小企業における情報セキュリティ対策の最新動向～脅威の認識が難しい中でも、対策を普及させるため必要な施策とは～」を発表した。

VPNとは？仕組み・利用シーン・メリットとデメリットを紹介

VPNは、Virtual Private Networkの略称で、直訳すれば「仮想の内部ネットワーク」を意味します。VPNではインターネット上に仮想的なトンネルを構築し、そのトンネルを経由して通信を行うことで、端末や拠点間を安全なプライベートネットワーク（内部ネットワーク）で繋ぐ技術です。

VPNが侵入経路に？セキュリティ被害事例を解説

VPN、またはVPNを実現するVPN機器もあくまで一つの技術・製品であることには変わりありません。そのため、他のIT資産と同様に、日々の継続的かつ適切な運用や管理が必要になります。

大東文化大学 非常勤講師 PC に不正アクセス

大東文化大学は5月17日、3月27日に公表した不正アクセスによる情報漏えいの可能性について、続報を発表した。

WordPress 用プラグイン Download Plugins and Themes from Dashboard にパストラバーサルの脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月17日、WordPress用プラグインDownload Plugins and Themes from Dashboardにおけるパストラバーサルの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

ジョイフル本田「THE GLOBE・OLD FRIEND オンラインショップ」に不正アクセス

株式会社ジョイフル本田は5月16日、同社が運営する「THE GLOBE・OLD FRIEND オンラインショップ」への不正アクセスによる個人情報漏えいについて発表した。

マイクロソフトが 5 月のセキュリティ情報公開

独立行政法人 情報処理推進機構（IPA）は5月15日、「Microsoft 製品の脆弱性対策について(2024年5月)」を発表した。

テレ東「ヤギと大悟」公式 X アカウントが乗っ取り被害

株式会社テレビ東京ホールディングスは5月9日、同社が放送する番組「ヤギと大悟」の公式X（旧Twitter）アカウントの乗っ取り被害について発表した。

ランサムウェア「LockBit」被疑者の資産を凍結し起訴

警察庁は5月8日、ランサムウェア「LockBit」被疑者の起訴等について発表した。

NVIDIA ChatRTX に脆弱性、アップデートをリリース

NVIDIA Corporationは現地時間5月1日、NVIDIA ChatRTX のソフトウェア・アップデートを発表した。

社内不正 1位 情報持ち出し・2位 横領・3位 労働問題 ～ 被害企業 230社調査

デジタルデータソリューション株式会社は4月24日、2023年度に社内不正被害にあった経験のある企業230社を対象にした実態調査の結果を発表した。

「ジャンクガン」下流サイバー犯罪者が見るランサムウェアギャングの夢

ソフォス株式会社は4月17日、粗悪で安価なランサムウェアの波が中小企業や個人を狙っていると発表した。

重い、高い、検索も使いにくいメールを企業の 6 割が使う理由

サイバーソリューションズ株式会社は4月23日、「企業のメールセキュリティへの取り組みに関するアンケート調査」の結果を発表した。

国内カード発行会社のドメイン毎の DMARC 設定率 36.2％

ｆｊコンサルティング株式会社は4月16日、かっこ株式会社と共同でとりまとめている「キャッシュレスセキュリティレポート（2023年10-12月版）」を発表した。

社員のセキュリティ意欲高める施策とは？ プルーフポイント「2024 State of the Phish」日本語版公表

日本プルーフポイント株式会社は4月19日、第10回目となる年次レポートの最新版「2024 State of the Phish」の日本語版を発表した。

Proscend Communications製M330-WおよびM330-W5に脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月16日、Proscend Communications製M330-WおよびM330-W5におけるOSコマンドインジェクションの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

LINE client for iOS にサーバ証明書の検証不備の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月19日、LINE client for iOSにおけるサーバ証明書の検証不備の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

PuTTY SSH クライアントの ECDSA 署名処理の実装に脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月18日、PuTTY SSHクライアントのECDSA署名処理における脆弱性について「Japan Vulnerability Notes（JVN）」で発表した

HOYAグループで不正アクセスに起因する可能性が高いシステム障害

HOYA株式会社は4月1日、同社グループでのシステム障害について発表した。

転職先で営業活動に活用、プルデンシャル生命保険 元社員 顧客情報持ち出し

プルデンシャル生命保険株式会社は4月9日、同社元社員による個人情報の漏えいについて発表した。

OpenSSLにサービス運用妨害（DoS）の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月9日、OpenSSLにおけるサービス運用妨害（DoS）の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。

Palo Alto Networksの「PAN-OS」にゼロデイ脆弱性

一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月13日、Palo Alto Networks社製PAN-OS GlobalProtectの脆弱性に関する注意喚起について発表した。

WordPress 用プラグイン Ninja Forms に複数の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月8日、WordPress用プラグインNinja Formsにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

XZ Utils に悪意のあるコードが挿入された問題

一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月1日、XZ Utilsに悪意のあるコードが挿入された問題（CVE-2024-3094）について発表した。影響を受けるシステムは以下の通り。

OWASP Top10 for LLMsを解説

近年、AI技術は目覚ましい進化を遂げ、その中でも生成AIは、文章や画像、音楽など様々なコンテンツを自動生成する技術として注目を集めています。

ダークサイドAI ～フィッシングの高度化～

最も一般的なサイバー攻撃の１つはフィッシングです。

東京メトログループ「SNS／インターネットの誹謗中傷もカスタマーハラスメント」

東京地下鉄株式会社（東京メトロ）は3月21日、「東京メトログループカスタマーハラスメント対応ポリシー」の制定を発表した。

経産省、事業者向け「電力システムにおけるサイバーセキュリティリスク点検ガイド」と「電力システムにおけるサイバーセキュリティ対策状況可視化ツール」公表

経済産業省は3月22日、電気事業者向けに「電力システムにおけるサイバーセキュリティリスク点検ガイド」と「電力システムにおけるサイバーセキュリティ対策状況可視化ツール」を公表した。

スマートフォンアプリ「Yahoo! JAPAN」にXSSの脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3月29日、スマートフォンアプリ「Yahoo! JAPAN」におけるクロスサイトスクリプティングの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

Meta 社へ申請するも復旧困難と判断、乗っ取り被害の「池袋エリアプラットフォーム」の Facebook ページ削除

2025年3月末までの EMV 3-D セキュア導入に向けた取組記載、「クレジットカード・セキュリティガイドライン」改訂

経済産業省は3月15日、「クレジットカード・セキュリティガイドライン」の改訂について発表した。

日給11990円 ～ 文部科学省、セキュリティ対応支援員1名を募集

文部科学省は3月15日、文部科学省大臣官房政策課サイバーセキュリティ・情報化推進室 セキュリティ対応支援員の採用について発表した。

総務省「無線LANセキュリティガイドライン」更新、自宅と公衆に分冊

総務省は3月1日、「無線LAN（Wi-Fi）のセキュリティに関するガイドライン」の更新を行ったと発表した。

NRIセキュア「企業における情報セキュリティ実態調査 2023」公表

NRIセキュアテクノロジーズ（NRIセキュア）は3月7日、「企業における情報セキュリティ実態調査 2023」の結果を発表した。

ディープフェイク技術で CFO なりすまし 2500 万米ドル送金さす

トレンドマイクロ株式会社は3月8日、CFO（最高財務責任者）になりすまして2500万米ドルを送金させたディープフェイク技術について発表した。

サービス提供者向けフィッシング対策

フィッシングとは、犯罪者が本物の企業や組織を騙り、Webアプリケーションやサイトの認証情報、またはそれらの利用者の個人情報を詐取しようとする詐欺行為です。

マイクロソフトが3月のセキュリティ情報公開

独立行政法人 情報処理推進機構（IPA）は3月13日、「Microsoft 製品の脆弱性対策について(2024年3月)」を発表した。

ビジネスメール詐欺とは

ビジネスメール詐欺とは、言葉の通り、ビジネスメールを装った詐欺のことです。

共通脆弱性評価システムCVSS v2 評価の掲載終了、4/1 以降は CVSS v3 評価のみに

一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3月8日、共通脆弱性評価システムCVSS v2評価の掲載終了について発表した。

マイクロソフト社員名乗る第三者が指示、商工会の業務用 PC 2 台に遠隔操作ソフトウェアをインストール

笛吹市商工会は3月5日、不正アクセスによる個人情報漏えいの可能性について発表した。

日経SDGsフェス公式 X（旧ツイッター）アカウントが乗っ取り被害

株式会社日経BPは3月2日、同社事業サービスのX（旧ツイッター）アカウントへの不正アクセスについて発表した。

サイト運用セキュリティのリアル～被害は他人事、予算は半数が月10万円以下

ECマーケティング株式会社は2月29日、企業のWebサイト運営担当者に実施したサイトのセキュリティに関する意識調査の結果を発表した。

北海道大学工学部ウェブサーバに不正アクセス、23554件の個人情報が流出

国立大学法人北海道大学は3月1日、工学部ウェブサーバへの不正アクセスによる個人情報流出の可能性について発表した。

DDoS 攻撃が原因、横須賀市ホームページで閲覧障害

神奈川県横須賀市は2月21日、同市ホームページの閲覧障害について発表した。

セキュリティ燃え尽き症候群 5大原因 ～ ソフォス調査

ソフォス株式会社は2月20日、「アジア太平洋地域と日本のサイバーセキュリティの展望 」第4版を発表した。

個人情報保護ルールを「あまり／まったく守れていない」のは部課長が最多

一般財団法人全日本情報学習振興協会は2月20日、「会社員の個人情報保護に対する取り組み」に関する調査結果を発表した。

「ぷらら」「ひかりTV」の顧客情報約596万件持ち出し

個人情報保護委員会は2月15日、株式会社NTTドコモと株式会社NTTネクシアへの個人情報の保護に関する法律に基づく行政上の対応について発表した。

モニタリング強化で発覚、LINEヤフーの委託先のアカウントに不正アクセス

LINEヤフー株式会社は2月14日、第三者による不正アクセスでの従業者等に関する情報の漏えいについて発表した。

セキュリティ強化費用で利益大幅減、エムケイシステムへのランサムウェア攻撃

株式会社エムケイシステムは2月5日、2023年6月6日に公表した同社サーバのランサムウェア感染被害による2024年3月期通期の連結業績予想の修正について発表した。

「東京ヴェルディ公式オンラインストア」に不正アクセス、2726名のカード情報が漏えい

東京ヴェルディ株式会社は2月6日、同社が運営する「東京ヴェルディ公式オンラインストア」への不正アクセスによる個人情報の漏えいについて発表した。

Googleフォーム「結果の概要を表示する」設定をONで公開、申込者の個人情報が閲覧可能に

バスケットボール興行の企画と運営を行う株式会社滋賀レイクスターズは1月25日、Googleフォーム誤操作による個人情報の漏えいについて発表した。

「ツイキャス」サーバに大規模なDDoS攻撃、アクセスしづらくなる事象

モイ株式会社は2月6日、同社サーバへの外部攻撃について発表した。

フィッシング対策（一般利用者向け）

フィッシング／フィッシング詐欺（phishing）とは、信頼できる組織や個人を装ってメールやWebサイトなどでユーザを誘導し、機密データや資産を騙し取る詐欺の手口のことです。

ビッシングとは

ビッシング（Vishing）は、フィッシング詐欺の一形態であり、音声を用いて攻撃を仕掛けてくる詐欺の手法です。

求人情報サイト「バイトル」へ不正ログイン、応募者に不審メール送信

ディップ株式会社は1月31日、同社が運営する求人情報サイト「バイトル」への不正ログインについて発表した。

サイバー攻撃によるダウンからの復旧時間 「2日以上」約62%

デル・テクノロジーズ株式会社は1月31日、国内企業におけるサイバー復旧に関する実態調査の結果を発表した。

X線画像読影システムへランサムウェア攻撃、復旧時期は未定

公益財団法人埼玉県健康づくり事業団は1月31日、X線画像読影システムへの不正アクセスについて発表した。

デジタル庁職員名乗る不審電話に注意呼びかけ

デジタル庁は1月24日、デジタル庁またはデジタル庁職員を名乗る不審電話に関する注意喚起を発表した。

企業が受けたサイバー攻撃で収益の9％が犠牲に、サイバーセキュリティに関するグローバル調査レポート

Fastly株式会社は1月22日、サイバーセキュリティに関するグローバル調査結果のレポートを発表した。

Android アプリ「メルカリ」にアクセス制限不備の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は1月24日、Android アプリ「メルカリ」におけるアクセス制限不備の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した

LINEヤフーの役職員情報が特定の操作で外部からデータ抽出が可能に、バグバウンティプログラムで判明

LINEヤフー株式会社は1月18日、同社が利用する外部サービスの設定不備について発表した。

「Spoon」に連携外部サービスを使用される問題、アップデートを呼びかけ

IPAおよびJPCERT/CCは、Androidアプリ「Spoon（スプーン）」に、外部サービスのAPIキーがハードコードされていない問題が存在すると「JVN」で発表した。

島根県が使用していたドメインを第三者が取得

島根県は1月15日、同県が使用していたドメインの第三者による利用について、注意喚起を発表した。

「YOAK」のInstagramアカウントが乗っ取り被害

フットウェアブランド「YOAK」を扱う株式会社FAMは1月12日、同社Instagram公式アカウントへの不正アクセスについて発表した。

security.txt による脆弱性情報連携

security.txt はセキュリティに関する情報を連携するために標準化されたテキストファイルです。

バグバウンティとは

サイバーセキュリティの分野では、日々進化する脅威に対抗するために新しい手法が模索されています。その中で注目を集めているのが、「バグバウンティ」です。

IPA を騙った不審電話に注意呼びかけ

独立行政法人 情報処理推進機構（IPA）は1月11日、IPAを騙った不審な電話等への注意喚起を発表した。

JASA「情報セキュリティ監査人が選ぶ2024年情報セキュリティ十大トレンド」

特定非営利活動法人日本セキュリティ監査協会（JASA）は1月9日、「情報セキュリティ監査人が選ぶ2024年の情報セキュリティ十大トレンド」をとりまとめ発表した。

梅小路ポテル京都のメールアカウントに不正アクセス

株式会社ジェイアール西日本ホテル開発は2023年12月29日、同社が運営する梅小路ポテル京都のメールアカウントへの不正アクセスによる迷惑メールの送信について発表した。

伊丹市の委託事業者が利用するサービスにノーウェアランサム被害

兵庫県伊丹市は2023年12月27日、同市の委託事業者が利用するサービスへのノーウェアランサム被害について発表した。

LINEヤフー委託先への不正アクセス、委託先企業でのマルウェア感染が契機

LINEヤフー株式会社は12月27日、不正アクセスによる情報漏えいについて発表した。

「ミニストップオンライン」で顧客の個人情報が閲覧可能に

ミニストップ株式会社は2023年12月21日、同社ECサイト「ミニストップオンライン」での個人情報漏えいについて発表した。

フィッシングによるインターネットバンキングへの不正送金被害が急増

警察庁と金融庁は12月25日、フィッシングによるものとみられるインターネットバンキングに係る不正送金被害の急増について、注意喚起を発表した。日本サイバー犯罪対策センター（JC3）でも12月25日に、同様の注意を呼びかけている。

1,920名分 個人情報を付せん紙へ書き写し

東京都は11月24日、池袋パスポートセンターでの個人情報の不正持ち出しについて発表した。

2018年度から個人情報漏えいゼロ ～ KDDI「サイバーセキュリティアニュアルレポート2023」

KDDI株式会社は12月11日、KDDIグループの情報セキュリティに関する活動を紹介する「サイバーセキュリティアニュアルレポート2023」を公開した。

トレンドマイクロ、2023年サイバーセキュリティ動向ふりかえり

トレンドマイクロは、「2023年国内サイバー攻撃を振り返る～組織が把握すべき動向～」と題する記事を公開した。前後編で構成される前編となる今回は、2023年を振り返り、その動向を解説している。

日本電気協会にランサムウェア攻撃

一般社団法人日本電気協会は12月15日、同会システムへの不正アクセスについて発表した。

NHK記者の取材情報流出

日本放送協会（NHK）は12月1日、取材情報の流出について発表した。文字のコピーができないPDFファイルで公開している。

突然表示された偽警告画面を閉じるには、IPA が体験サイト公開

IPAセキュリティセンターは、「偽セキュリティ警告（サポート詐欺）対策特集ページ」をオープンし、「偽セキュリティ警告（サポート詐欺）画面の閉じ方体験サイト」を公開したと発表した。

レスターホールディングスにランサムウェア攻撃

エレクトロニクス総合商社の株式会社レスターホールディングスは12月6日、同社及びグループ会社サーバへの不正アクセスについて発表した。

長崎県立大学 e ラーニングシステムへの不正アクセス

長崎県立大学は12月7日、8月22日に公表した同学が利用するeラーニングシステム manabie への不正アクセスについて、調査結果を発表した。

エレコム製無線LANルーターにOSコマンドインジェクションの脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は12月12日、エレコム製無線LANルーターにおけるOSコマンドインジェクションの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

シグマの Instagram 公式アカウント乗っ取り被害

株式会社シグマは11月30日、同社Instagram公式アカウントへの不正アクセスについて発表した。

不審メール、年金積立金管理運用独立行政法人を装い給付金等を案内

年金積立金管理運用独立行政法人（GPIF）は11月30日、GPIFを装う不審メールへの注意喚起を発表した。

顧客情報を不正利用しnanaco残高を詐取、懲戒解雇処分に

株式会社NTTネクシアは11月2日、同社元社員による不正行為について発表した。

iOSアプリ開発者向けのセキュリティ基準

アップルは24日未明、iOS 16.3を配信開始しました。届いていれば通知から、まだ来てなくとも「設定-一般-ソフトウェア・アップデート」から手動でアップデートできます。

マス・アサインメント脆弱性とは

マス・アサインメント脆弱性について解説します

マツダへの不正アクセス、再発防止策は ASM 導入や多要素認証の実装加速

マツダ株式会社は11月28日、9月15日に公表した不正アクセスによる個人情報流出の可能性について、続報を発表した。

メッシュWi-Fi 提供元のモバイルアプリへ不正アクセス

JCOM株式会社は11月22日、同社がメッシュWi-Fiを提供する顧客の個人情報の漏えいについて発表した。

ボットが一般家庭の IP アドレス使用し防御回避

バラクーダネットワークスジャパン株式会社は11月27日、「バラクーダの注目する脅威：悪質なボットトラフィックの変化」についての調査結果を発表した。

中津市民病院にランサムウェア攻撃、取引先情報が流出した可能性

大分県中津市は11月21日、中津市立中津市民病院への不正アクセスについて発表した。文字の選択やコピーができないPDFファイルで公開している。

URL に特殊な IP アドレス表記を用いたフィッシングに注意呼びかけ

フィッシング対策協議会は11月14日、URL に特殊な IP アドレス表記を用いたフィッシングへの注意喚起を発表した。

「読売新聞オンライン」の偽サイトへの注意喚起を呼びかけ

読売新聞東京本社は11月13日、同社が運営する「読売新聞オンライン」の偽サイトへの注意喚起を発表した。

Redmine にXSSの脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は11月17日、Redmine におけるクロスサイトスクリプティングの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

マイクロソフトが11月のセキュリティ情報公開、悪用の事実を確認済みの脆弱性が3件

独立行政法人 情報処理推進機構（IPA）は11月15日、「Microsoft 製品の脆弱性対策について(2023年11月)」を発表した。

カード決済システムに不具合、大規模障害に備えることは？

オーソリゼーションデータのスイッチングサービスを行う株式会社日本カードネットワークは11月11日、同社のCARDNETセンター障害について発表した。

日経225企業の7割がDMARC導入、金融機関の増加顕著

株式会社TwoFiveは11月6日、なりすましメール対策実態調査の最新結果を発表した。

正社員は派遣社員の倍 ～ 業務で扱う個人情報悪用「考えたことある」

MAMORIO株式会社は10月31日、「個人情報の取り扱い」に関するアンケート調査の結果を発表した。

サポート詐欺の電話番号「010」で始まる国際電話番号利用手口も

トビラシステムズ株式会社は10月26日、同社の「迷惑情報データベース」をもとにした、特殊詐欺に関する独自調査レポートを公開した。

JPCERT/CC、2023年7月上旬に確認したドメインハイジャック事例解説

一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月25日、フィッシングサイト経由の認証情報窃取とドメイン名ハイジャック事件について、ブログで発表した。インシデントレスポンスグループの水野哲也氏が執筆している。

JNSA 調査｜ランサムウェア平均被害額 2,386 万円 データ復旧成功は半数

特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）は10月24日、「サイバー攻撃被害組織アンケート調査（速報版）」を発表した。

位置情報SNS「NauNau」で200万人以上の個人情報が閲覧可能な状態に

東証スタンダード上場企業の株式会社モバイルファクトリー100％出資子会社のSuishow株式会社は10月23日、同社が提供する位置情報SNS「NauNau」に対するNHKの報道について発表した。

セイコーグループへのランサムウェア攻撃、約60,000件の個人情報の漏えいを確認

セイコーグループ株式会社は10月25日、8月10日に公表した同社サーバへの不正アクセスについて、第3報を発表した。

元派遣社員、個人情報を不正取得し持ち出し、日本学生支援機構と橿原市も被害に

独立行政法人日本学生支援機構（JASSO）は10月20日、委託事業者での個人情報の不正取得について発表した。

国立科学博物館のメール関連システムに不正アクセス

独立行政法人国立科学博物館は10月19日、メール関連システムへの不正アクセスによる個人情報等の漏えいについて発表した。

日本向け偽ショッピングサイト犯の手口

トレンドマイクロ株式会社は10月16日、日本向け偽ショッピングサイトの背後にいる犯罪グループの分析に用いた手法と、個々の犯罪グループが用いる手口についての解説記事を同社セキュリティブログで発表した。

「キャッシュレスセキュリティレポート（2023年4-6月版）」公表

ｆｊコンサルティング株式会社は10月12日、かっこ株式会社と共同でとりまとめている「キャッシュレスセキュリティレポート（2023年4-6月版）」を発表した。

AP地域で最もサイバー攻撃の標的にされた国家

マイクロソフトは10月6日、2022年7月から2023年6月にかけての国家活動、サイバー犯罪、防衛手法の動向を網羅した年次報告書「Microsoft Digital Defense Report」（第4版）から得られた知見の一部を同社ブログで発表した。

個人情報取り扱いの意識不足、求職登録者情報を無加工で送信

総合派遣、請負事業を行うUTコネクト株式会社は9月19日、同社へ応募のあった求職登録者情報が外部流出したと発表した。

Custom URL Schemeの処理にアクセス制限不備の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月6日、e-Gov電子申請アプリケーションにおける Custom URL Scheme の処理にアクセス制限不備の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

Apple製品に複数の脆弱性が発見、脆弱性を悪用する攻撃も確認

一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月5日、Apple製品のアップデートについて発表した。

非常勤医師が患者リストを通勤途中紛失

茨城県は9月7日、県立こども病院での個人情報の漏えいについて発表した。

サブリソース完全性によるCDN改竄対策

サブリソースは多くの場合、CDN（Contents Delivery Network）を始めとした外部環境から外部リソースとして読み込まれます。この際、外部リソースを差し替えられたり、改竄された際に不要、または不正なリソース読み込まないよう、適切にサブリソースを管理することが必要になります。そこで注目されるセキュリティ対策がサブリソース完全性（Subresource Integrity、SRI）です。

SBOMとは

SBOMとはSoftware Bill of Materialsの略で、「ソフトウェア部品表」と訳すことができます。「部品表」とは製造業の用語で、ある製造物に必要な部品や材料の情報を一覧化した表のことです。もちろん、ある部品はさらに別の部品や材料を用いて作成されるため、部品表は入れ子の形をとります。

東京都立大学特任教授、海外出張中ノートPC盗難

東京都公立大学法人東京都立大学は8月28日、個人情報を含むノートパソコンの盗難について発表した。

中国語話者標的のマルウェア エコシステム拡大 ｜Proofpoint 調べ

日本プルーフポイント株式会社は9月20日、サイバー犯罪の脅威に中国製マルウェアが本格的に参入したと発表した。

「日本警察が要求に従わない場合データ公開」仕事旅⾏社のサーバに不正アクセス

株式会社仕事旅⾏社は9月20日、同社サーバへの不正アクセスによる個人情報の不正利用について発表した。

シェアオフィスの環境下における、セキュリティの注意点

南海電気鉄道株式会社は9月20日、7月7日に公表した同社運営のシェアオフィス「Lieffice」公式ウェブサイトへの不正アクセスについて、調査結果を発表した。

攻撃者の Active Directory 到達まで平均16時間 ｜ソフォス調査

ソフォス株式会社は9月13日、2023年上半期にソフォスのインシデント対応チームが収集したデータを分析した「テクノロジーリーダーのための2023年版アクティブアドバーサリーレポート」を公開した。

サーマルカメラの使用について個人情報保護委員会が注意喚起

個人情報保護委員会は9月13日、サーマルカメラの使用等に関する注意喚起を発表した。

アドビが脆弱性情報を公開、最新版へのバージョンアップを呼びかけ

IPAとJPCERT/CCは、アドビがAdobe AcrobatおよびAdobe Acrobat Readerにおける脆弱性に関する情報（APSB23-34）を公開したことを受け、注意喚起を発表している。

ドコモインフォメーションセンターを装った自動音声の電話に注意呼びかけ

株式会社NTTドコモは9月8日、ドコモインフォメーションセンターを装った電話への注意喚起を発表した。

勤務中ニュースサイトを閲覧、サポート詐欺で104人分個人情報流出の可能性

公益財団法人福岡市緑のまちづくり協会は9月1日、同協会の公園管理事務所（東平尾公園内）での個人情報流出について発表した。

「direct」デスクトップ版アプリ Mac版にアクセス制限不備の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は9月6日、「direct」デスクトップ版アプリ Mac版におけるアクセス制限不備の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

公述人が公聴会で発言した住所が漏えい、黒塗り部分のコピー＆ペーストで識別可

愛知県は8月29日、Webページに掲載した議事録における個人情報の漏えいについて発表した。

湘南国際村センターのホームページ「8月31日付けで破産手続きを開始」と改ざん

神奈川県は9月1日、同県主導第三セクターである株式会社湘南国際村協会が運営するホームページの改ざんについて発表した。

不正アクセス、2015年の攻撃から2022年まで発覚せず

政策研究大学院大学（GRIPS）は8月22日、同学で発生した情報セキュリティインシデントについて、報告書を発表した。

パソコンの遠隔操作が行われ公用パソコンから個人情報が流出した可能性

長野県は8月24日、県立高等学校の公用パソコンからの個人情報流出の可能性について発表した。

ディープフェイクか 専務の声を模倣する着電

IPAは、「サイバー情報共有イニシアティブ（J-CSIP） 運用状況 [2023年4月〜6月]」を公開した。

サーバ機器に不正アクセス、合計13,434件の個人情報が流出した可能性

日本ゼオン株式会社は8月23日、同社サーバ機器への不正アクセスによる個人情報流出の可能性について発表した。

Androidアプリのセキュリティ基準

皆さんのスマホにはどのようなアプリがインストールされているでしょうか？

サーバサイド暗号化とクライアントサイド暗号化

皆さんは普段、意識して「暗号化」を利用していますか？

ヘルスケア業界を標的 新たなランサムウェア「Rhysida」リシーダ

トレンドマイクロ株式会社は8月17日、ヘルスケア業界を標的とする新たなランサムウェア「Rhysida」についての解説記事を同社セキュリティブログで発表した。

全員懲戒 ～ 三人の市職員がのべ967回不正ログイン

鹿児島県日置市は8月4日、コンピュータの不適正使用による3件の懲戒処分について発表した。

EC-CUBE 2系にXSSの脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は8月17日、EC-CUBE 2系におけるクロスサイトスクリプティングの脆弱性について「Japan Vulnerability Notes（JVN）」発表した。

東京都が中小企業のサイバーセキュリティ対策を支援

東京都は8月7日、サイバーセキュリティ対策の支援対象企業の募集について発表した。

サイバー攻撃原因「セキュリティの問題上答えられない」という回答は現実的でない ～ JPCERT/CC

一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は8月7日、不正アクセス等のサイバー攻撃での個別の被害公表時の扱い方と、複数組織がいる場合の全体のコーディネーションについての解説をブログで発表した。

マイクロソフトが8月のセキュリティ情報公開

独立行政法人 情報処理推進機構（IPA）は8月9日、「Microsoft 製品の脆弱性対策について(2023年8月)」を発表した。

キヤノン製品をネットワークに接続する際のセキュリティ対策のポイント20項目を紹介

キヤノン株式会社とキヤノンマーケティングジャパン株式会社は8月1日、製品をネットワークに接続する際のセキュリティ対策について発表した。

機器に作り込まれている可能性がある脆弱性への対策

内閣官房内閣サイバーセキュリティセンター（NISC）は8月4日、NISCのメール関連システムからのメールデータ漏えいの可能性について発表した。

ガートナー解説｜払拭すべき 4 つの「サイバーセキュリティの先入観」

ガートナージャパン株式会社は7月26日、ガートナー セキュリティ＆リスク・マネジメント サミットのオープニング基調講演で、サイバーセキュリティにおいて払拭すべき4つの「先入観」と実行すべきアクションを発表した。

クラウドサービスの責任共有モデル

株式会社アシュアードは7月27日、2023年上半期のセキュリティ対策最新傾向を発表した。

警視庁、サイバーセキュリティ訓練をメタバース上で実施

大日本印刷株式会社（DNP）は7月26日、警視庁サイバーセキュリティ対策本部による「メタバースを利用した訓練実施委託」に採用されたと発表した。

USBメモリ紛失、ガイドラインに違反し暗号化行わず

北海道大学病院は7月24日、個人情報を含むUSBメモリの紛失について発表した。

ヤマハグループへのランサムウェア攻撃、米国子会社に続きカナダ子会社でも被害確認

ヤマハ株式会社は7月20日、6月16日に公表した米国子会社への不正アクセスについて第2報を発表した。

警察庁「サイバー警察局便り」でDMARCによるフィッシングメール対策推奨

警察庁は7月18日、サイバー警察局便りVol.11「DMARCでフィッシングメール対策を！」を公開した。

グループ会社にサイバー攻撃、社員の個人情報が漏えい

個人情報保護委員会は7月12日、東証プライム上場企業のアルプスアルパイン株式会社は7月14日、同社グループ会社へのサイバー攻撃について発表した。

国立病院機構での患者情報の漏えいについて個人情報保護委員会が行政指導

個人情報保護委員会は7月12日、医療分野の研究開発に資するための匿名加工医療情報に関する法律の医療情報取扱事業者である独立行政法人国立病院機構に対して、個人情報の保護に関する法律に基づく行政上の対応について発表した。

別サイトに強制遷移、個人情報を入力しないよう呼びかけ

株式会社角川アスキー総合研究所は7月10日、同社サイトから強制的に別サイトに移動する現象について発表した。

「ITパスポート試験」が1位に ～ 日本の資格検定アワード2023

株式会社シー・ビー・ティ・ソリューションズは7月7日、「日本の資格・検定」AWARDS 2023 の結果を発表した。

NISC「サイバーセキュリティ 2023」を決定

内閣サイバーセキュリティセンター（NISC）は7月4日、サイバーセキュリティ戦略本部第36回会合を開催したと発表した。

ランサムウェア攻撃で名古屋港統一ターミナルシステムで障害

名古屋港運協会は7月5日、名古屋港統一ターミナルシステムの障害について発表した。

「WOWOWオンデマンド」で別の顧客の個人情報が閲覧可能に

「WOWOWオンデマンド」で別の顧客の個人情報が閲覧可能に、6/30 の公表後も新たな情報漏えいを確認

「メール誤送信で損害賠償請求された」4.9 ％

サイバーソリューションズ株式会社は6月29日、「メール誤送信の実態調査レポート」を発表した。

バグバウンティにより、LINE関連サービスに脆弱性がみつかる

LINE CONOMI株式会社は6月27日、同社が提供する「LINE PLACE」に投稿されたレシート画像が閲覧可能となる脆弱性について発表した。

全体最適へ向かうデジタルツインとは

独立行政法人情報処理推進機構（IPA）は6月26日、「全体最適へ向かうデジタルツイン～ 拡大するデータ収集・再現対象 ～」を発表した。

SNSの活動休止アカウント、どう対応すべきか

情報処理学会は6月22日、SNS活動休止アカウント対応の難しさについて、同会・学会誌「情報処理」のnoteで発表した。

ソースコード静的解析とその仕組み

ソースコード静的解析とは、アプリケーションプログラムの「元」となる「ソースコード」を解析し、さまざまな情報を得ることを指します。アプリケーションを実行することなく解析を行うので「静的」解析と呼びます。

アカウントリスト攻撃とは

アカウントリスト攻撃は不正ログインを試みる攻撃です。

セキュリティの人材不足が叫ばれている現状

一般社団法人セキュリティ・キャンプ協議会は6月21日、セキュリティ・キャンプ協議会と一般社団法人宮崎県情報産業協会、独立行政法人情報処理推進機構（IPA）が主催する「セキュリティ・ミニキャンプ in 宮崎2023」の専門講座の参加者の募集を発表した。

サービス運用妨害 (ReDoS) の脆弱性の概要と対策方法

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は6月20日、シンクグラフィカ製メールフォームプロ CGI における正規表現を用いたサービス運用妨害 (ReDoS) の脆弱性についてJVNで発表した。

脆弱性の悪用は55%増加、衰える気配なし

パロアルトネットワークス株式会社は6月14日、「Unit 42 ネットワーク脅威トレンドレポート 2023」を発表した。

セキュリティへの取り組み状況を開示することの影響

株式会社帝国データバンクは6月14日、2月24日に公表した同社ネットワークへの不正アクセスについて、第3報を発表した。

USBメモリ紛失事案、委託先に 29,501,005 円の損害賠償を請求

兵庫県尼崎市は6月9日、USBメモリ紛失事案発生後の同市の対応について発表した。

生成 AI サービスの利用に関し個人情報保護委員会が注意喚起

個人情報保護委員会は6月2日、生成AIサービスの利用に関する注意喚起を発表した。

サイバー特別捜査隊をかたる不審メールに注意喚起

警察庁は6月9日、サイバー特別捜査隊をかたる不審メールについて注意喚起を発表した。

DNSに対するDDoS攻撃の対策

三重県は6月6日、三重県及び県内10市町のホームページの閲覧障害等について発表した。

クラウドサービスのインシデントが発生する理由

トヨタ自動車株式会社は5月31日、同社がトヨタコネクティッド株式会社に管理を委託するデータの一部が外部からアクセス可能な状態であったと発表した。

不正アクセスの原因は推測可能なVPNのパスワード

村本建設株式会社は5月31日、同社サーバへの不正アクセスについて第2報を発表した。

サポート詐欺やフィッシング詐欺「不正出金される手口」に注意喚起

株式会社三菱UFJ銀行は5月29日、パソコンのウイルス感染を装った偽の警告画面（サポート詐欺）や同行を名乗る偽メールへの注意喚起を発表した。

マイナンバーカードで発生した不具合の背景とその対策

総務省は5月26日、申込者本人のマイナンバーカードに別人の決済サービスが紐付き、別人にマイナポイントが付与されている事案について、松本総務大臣が閣議後の記者会見で発表した。

古い暗号方式の利用リスクと対策

インターネットの発達に伴い、ECサイトで欲しいものがすぐに買えたり、振り込みにわざわざ銀行に行かなくともネットバンキングで手続きができたりと私たちの生活はとても豊かに便利になりました。

レッドチーム演習とは

対象組織やシステムを疑似的に攻撃するチーム（レッドチーム）と、その攻撃を検知・対処して防御するチーム（ブルーチーム）に分かれて実施する実践型サイバー演習の一種です。

メールの誤送信を防ぐために個人ができる対策

株式会社モンテディオ山形は5月25日、誤送信による個人情報の流出について発表した。

ファイアウォールの設定不備でメールサーバが不正中継可能な状態に

沖縄県豊見城市は5月23日、豊見城市教育委員会のメールサーバの不正中継について発表した。

使われていないアカウントがセキュリティへ及ぼす影響

Google は5月19日、無効な Google アカウントに関するポリシーの更新を発表した

悪意あるサイトへ気付かれず誘導、オープンリダイレクトの脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月22日、Tornado におけるオープンリダイレクトの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

公的機関を騙るフィッシングに注意喚起、個人情報を守るという意識を

フィッシング対策協議会は5月15日、国税庁をかたるフィッシングへの注意喚起を発表した。

日本は恰好の的？暴露型ランサムウェア攻撃統計発表

三井物産セキュアディレクション株式会社は5月9日、「暴露型ランサムウェア攻撃統計CIGマンスリーレポート」2023年4月号を発表した。

増え続けるフィッシング報告件数、「DMARC」の普及でどう変わる？

フィッシング対策協議会は、2023年4月の「フィッシング報告状況」を公開した。

パスワード認証は安全性が低い？パスワードレス化に向けての動き

マイクロソフトは5月4日、世界パスワードデーにパスワードレス化を支援すると同社ブログで発表した。

国家の安全を脅かす通信機器やサービス、米国内外問わず排除の動き

米CISAは現地時間5月1日、FCC対象リストをリスク管理計画に組み込むよう、重要インフラの所有者及び運営者に要請した。

コンビニで別人の住民票発行、重要システムに求められるセキュリティ

神奈川県川崎市は5月2日、コンビニエンスストアでの証明書交付サービスの臨時休止について発表した。

SMSを利用したフィッシング詐欺、スマホ利用の際に気を付けるべきポイント

株式会社小学館は4月25日、同社取締役が使用する会社貸与スマートフォンからの個人情報漏えいについて発表した。

ランサムウェア攻撃を受けるも1日で復旧、なぜ速やかな回復ができたのか

フジサンケイグループの株式会社サンケイアイは4月4日、不正アクセスによるシステム障害について発表した。

スマートフォンの脱獄 / ルート化とその対策とは？

脱獄とルート化とは、ユーザーがスマートフォンのオペレーティングシステム（OS）においてシステムの制限を取り除き、システム管理者としての完全な権限を取得することを指します。

ゼロトラストとは

ゼロトラスト は 「決して信頼せず、常に検証せよ (Never trust、 always verify)」というセキュリティの考え方です。

AIの進化でより巧妙化される？フィッシング詐欺の手口

金融庁は、インターネットバンキングによる預金の不正送金事案が多発していることに対し、注意喚起を発表した。

非公開情報の漏えい事案、内部犯行を防ぐ為の対策には何が必要か？

経済産業省は4月17日、関西電力送配電株式会社、関西電力株式会社、九州電力送配電株式会社、九州電力株式会社及び中国電力ネットワーク株式会社への業務改善命令の発出を発表した。

増え続ける医療機関へのサイバー攻撃、多くの被害が発生する背景

地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センターは3月28日、2022年10月31日に公表したランサムウェア感染による電子カルテシステムの障害について、調査報告書を発表した。

ITパスポート試験、非IT系の応募者増加も未だ叫ばれる人材不足

独立行政法人 情報処理推進機構（IPA）は4月14日、令和4（2022）年度の「iパス（ITパスポート試験）」の年間応募者数等について発表した。

相手の攻め方を知る、攻撃者視点からのセキュリティ対策

マンディアント株式会社は4月14日、「グローバルな視点から見た脅威インテリジェンス」の調査結果を発表した。

社長になりすまし振り込みを依頼、ビジネスメール詐欺への対策

IPAは、「ビジネスメール詐欺 事例集」に事例を追加したと発表した。

人気飲食店のホームページ改ざん被害、「不正アクセス」の定義とは

飲食店を運営する株式会社ワン・ダイニングは4月14日、ワン・ダイニング各ブランドサイトへの不正アクセスについて発表した。

警察への通報・相談のためらいから生じる被害の潜在化、打開策は？

警察庁は4月6日、「サイバー事案の被害の潜在化防止に向けた検討会」の報告書を発表した。

高性能がゆえに欠点も、AIペアプログラマーの活用とセキュリティ

2022年8月、Blackhat USAで、GitHubのAIペアプログラマーであるCopilotは本当に安全なコードを生成してくれるのか？ を検証した研究が発表された。

電話から業者を騙り個人情報窃取、技術的ではないサイバー攻撃

川崎設備工業株式会社は3月31日、名刺管理システムへの不正アクセスによる情報漏えいについて発表した。

メールが読まれ消去される？メールサービスに対するサイバー攻撃

公益社団法人日本臓器移植ネットワーク（JOT）は3月14日、同社団がメール業務を委託する事業者（メールサービスプロバイダ）への外部からの不正アクセスによる一部メールデータの消失について発表した。

生活に密着したIoT製品、求められるセキュリティ対策とは

IPAは、「IoT開発におけるセキュリティ設計の手引き」を更新し、公開した。

退職者が内部情報持ち出し、性善説に基づいたセキュリティ対策の課題

社会医療法人財団慈泉会相澤病院は3月29日、退職した元職員による患者の個人情報等の不正取得について発表した。

「パスワードリスト型攻撃」が対策の難しい攻撃手法と言われる理由

エン・ジャパン株式会社は3月30日、同社が運営する総合転職情報サイト「エン転職」を管理するWebサーバへの外部からの不正ログイン発生について発表した。

インターネットの脅威公表、右肩上がりのランサムウェア被害

警察庁は3月16日、令和4年におけるサイバー空間をめぐる脅威の情勢等について発表した。

CSIRTとは

CSIRTとはComputer Security Incident Response Teamの略で「シーサート」と呼ばれるのが一般的です。

アンチオートメーションの必要性と方法

アンチオートメーション（Anti-automation）とは、自動化・機械化されたアクセスを防止する仕組みです。

大企業ほど「脱PPAP」に遅れが生じる背景

サイバーソリューションズ株式会社は3月16日、「企業のメールセキュリティへの取り組みに関するアンケート調査」の結果を発表した。

ネットで何でも買える時代だからこそ求められるECサイトのセキュリティ対策

独立行政法人情報処理推進機構（IPA）と経済産業省は3月16日、「ECサイト構築・運用セキュリティガイドライン」を公開した。

「EmoCheck v2.4.0」リリース、Emotet拡散への新たな手口も

一般社団法人JPCERT コーディネーションセンターは3月20日、EmoCheck v2.4.0 のリリースを発表した。

インシデントは繰り返す？サイバー攻撃の流行り廃り

株式会社ラウンドワンは2月27日、第三者からの不正アクセスによる同社ホームページの改ざんについて発表した。

医療系システムに掛けられているセキュリティ予算の現状

一般社団法人医療ISACは3月15日、健診施設に対するセキュリティアンケート調査結果をレポートとして発表した。

即時性を優先、サイバー攻撃被害の情報共有

内閣官房内閣サイバーセキュリティセンター、警察庁、総務省、経済産業省は3月8日、「サイバー攻撃被害に係る情報の共有・公表ガイダンス（案）」に対する意見募集の結果と「サイバー攻撃被害に係る情報の共有・公表ガイダンス」を発表した。

セキュリティ業界が抱える社会課題、広がる能力格差

株式会社カスペルスキーは3月7日、経営幹部とITセキュリティ担当者のコミュニケーション問題について調査を実施し、結果を発表した。

無くならないUSBメモリの紛失、デジタル情報には大きな価値が

国立大学法人新潟大学は3月9日、個人情報を含むUSBメモリの紛失について発表した。

Emotetが攻撃活動再開、500MB超のWordファイル添付し検知回避

独立行政法人情報処理推進機構（IPA）は3月8日、Emotetの攻撃メールの配信が3月7日から再開されたことを観測したと発表した。

買ったのに有効化されないままのセキュリティ製品が多くなる背景

Fastly株式会社は3月6日、サイバーセキュリティに関するグローバル調査「火に油を注ぐ対策：複雑化により負担が増すサイバーセキュリティ戦略」を発表した。

理不尽な誹謗中傷、インターネット上のハラスメントへの求められる対応

インフィニア株式会社は2月22日、同社が運営するあっとほぉーむカフェでのメイド、キャストに対する誹謗中傷や性的発言・モラルハラスメントへの取り締まりを強化すると発表した。

子どものスマホ利用、使用する際のリスクとその対策

内閣府は2023年2月28日、2022年度「青少年のインターネット利用環境実態調査」の結果（速報）を公表した。

「EC-CUBE」に複数のXSSの脆弱性、発見で何が起こるのか

IPAおよびJPCERT/CCは、イーシーキューブが提供する「EC-CUBE」に複数のクロスサイトスクリプティングの脆弱性が存在すると「JVN」で発表した。

サイバー攻撃から個人情報漏えい、攻撃に気付き対策を打つには

株式会社ジェイ・クリエイションは1月27日、同社内サーバへの不正アクセスについて発表した。

スマートフォンの業務活用 - BYOD と MDM

BYOD は Bring Your Own Device の略称で、個人所有の端末、特にスマートフォン（以下「スマホ」）を業務で使用する仕組を意味します。 ここでは、BYODのニーズと注意事項を解説します。

Basic認証とは

Basic認証とは、WEBサーバとブラウザが持つ認証機能の１つです。主に、WEBサイトのページに対してアクセス制限をかける時に利用されます。

話題のAIチャットボット、セキュリティの観点から利用で気をつけること

チェック・ポイント・ソフトウェア・テクノロジーズ株式会社は2月16日、サイバー犯罪者がテレグラムボットを使用することでChatGPTの制限を回避し、悪意あるメールやコードを作成していることを確認したと発表した。

特定の日、時期を狙ったサイバー攻撃へのセキュリティ対策

国立大学法人大阪大学を拠点とするメディア研究機関Global News View（GNV）は2月3日、外部からの攻撃によるサイト不具合について発表した。

不正アクセスを受けた際に必要とされる「調査」

サクサビジネスシステム株式会社は1月20日、同社の委託工事店が管理するファイルサーバへのランサムウェアの侵入について発表した。

カード情報が盗まれる？ペイメントアプリケーションの改ざん手口とは

ソースネクスト株式会社は2月14日、同社が運営する「ソースネクスト・サイト」での不正アクセスによる個人情報の漏えいについて発表した。

タイプミスなどを誘導する「ドッペルゲンガードメイン」

国立大学法人鹿児島大学は2月9日、メーリングリストのメールアドレス誤登録による情報漏えいについて発表した。

2022年のコンピュータウイルスと不正アクセスの届出傾向

独立行政法人情報処理推進機構（IPA）は2月8日、2022年年間（1月～12月）における「コンピュータウイルス・不正アクセスの届出状況」を発表した。

顔ぶれは2022年度とほぼ同じ「情報セキュリティ10大脅威 2023」

IPAは、昨年に発生した脅威をもとにした「情報セキュリティ10大脅威 2023」を発表した。

経産省、カード番号漏えい時の公表早期化に向け検討

経済産業省は2月2日、クレジットカード決済システムのセキュリティ対策強化検討会での議論を踏まえ、取りまとめた報告書を公開した。

メーリングリストの宛先間違いから個人情報が流出

近畿大学九州短期大学は1月23日、就職支援に係るメール誤送信による個人情報の流出について発表した。

ランサムウェアの話題でよく見る「LockBit」の特徴

東証スタンダード上場企業の株式会社東京機械製作所は1月30日、同社連結子会社への不正アクセスによる個人情報流出の可能性について発表した。

メールのセキュリティ「DMARC」が日本で導入が進まない背景

日本プルーフポイント株式会社は1月25日、国内企業と海外企業におけるメール認証の調査結果をもとに安全性について分析を行い、日本における現状と課題、考察をまとめ発表した。

「DX推進」でも叫ばれるセキュリティ人材の不足

一般社団法人日本情報システム・ユーザー協会は1月24日、「企業IT動向調査2023」の速報値を発表した。

パスワードレス認証 と パスキー

メールやSNS、ネットバンキング等のクラウドサービスを利用する際には必ず利用者本人である事を確認する「認証」があります。

パスワードマネージャーとは

パスワードマネージャーとは、複数のWebサービスやアプリケーションの個々の認証情報（IDやパスワードなど）を手間を減らしつつ、安全に管理するためのツールやサービスです。

ランサムウェアの感染被害が確認された後にまず行う対策とは

仮設機材の販売やレンタルを行う東証プライム上場企業の株式会社タカミヤは1月23日、同社グループへのランサムウェア攻撃について発表した。

様々な用途で利用できるGoogleアカウント、乗っ取られない為には

アカデミック株式会社は1月20日、同社が管理運用するYouTubeチャンネル「あかでみっくモーターカレッジ」への第三者による不正アクセス被害について発表した。

手軽さが引き起こす？クラウドサービスの設定不備

国立大学法人琉球大学は1月20日、学内で利用するクラウドサービス内に保存されていた個人情報等が含まれたファイルの一部が同学構成員に閲覧可能であったと発表した。

Javaに深刻度の高い脆弱性、修正する際に気を付けるべきポイント

独立行政法人情報処理推進機構および一般社団法人JPCERT コーディネーションセンターは1月18日、Oracle Java の脆弱性対策について発表した。

狙われやすい？サポートが終了したソフトウェアを使い続けるリスク

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は1月18日、複数の三洋電機製CCTVネットワークカメラにおけるクロスサイトリクエストフォージェリの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

業務メール送信時に気をつけること「送信先誤り」は4位

株式会社クオリティアは1月10日、「メールセキュリティに関する調査」の結果を発表した。

2023年情報セキュリティトレンド予測からみる社会への影響

特定非営利活動法人日本セキュリティ監査協会は1月6日、「情報セキュリティ監査人が選ぶ2023年の情報セキュリティ十大トレンド」をとりまとめ公表した。

相次ぐSNSアカウント乗っ取り騒動、身を守る為の対策とは

地方独立行政法人奈良県立病院機構 奈良県総合医療センターは1月6日、センター職員による勤務中の同僚職員との写真のインスタグラム掲載について発表した。

銀行を騙る不審サイトに注意、暗号資産にまつわるセキュリティリスク

株式会社国際協力銀行（JBIC）は1月4日、同行を騙った不審なインターネットサイトへの注意喚起を発表した。

渋谷が標的に、国際的ハッカー集団の攻撃とその活動内容

東京都渋谷区は1月3日、同区公式Webサイトを閲覧できない事象について、同区Twitterアカウントで発表した。

DMARC / BIMIによるメールセキュリティ

OutlookやGmailといったメールクライアントで誰かに宛ててメールを送信したとき、複数のサーバを経由しながらメッセージが受信サーバまで転送されます。

ハクティビズムとは

ハクティビズム（Hacktivism）はハック（Hack）とアクティビズム（Activism）を併せた造語です。

公用スマートフォン紛失、発覚時の対応とセキュリティロック

兵庫県尼崎市は12月13日、個人情報を含む公用スマートフォンの紛失について発表した。

ウクライナ侵攻からみる「戦争におけるサイバー攻撃」

公安調査庁は12月19日、「内外情勢の回顧と展望」（令和5年版）を公表した。(記事はこちら)

より豊かな社会の実現のために、「ESG」の重要性

株式会社エルテスは12月21日、2022年の炎上トレンドと2023年の炎上予測を「ネット炎上レポート2022総集編」として発表した。

減らないUSBメモリ紛失によるインシデントへの対策

国立大学法人広島大学は12月20日、広島大学附属福山中・高等学校での個人情報を記録したUSBメモリの紛失について発表した。

情報と命を守る、医療機関におけるセキュリティ対策の現状

公益社団法人 日本医師会は12月20日、「日本医師会サイバーセキュリティ支援制度」の活用についての解説を「日医on-line」で発表した。

1つの情報から糸口が？「パスワードの使いまわし」がなぜ危険なのか

公立大学法人熊本県立大学は12月13日、熊本県立大学メールアカウントの不正利用について発表した。

検知することが難しい攻撃の一つ「パスワードリスト攻撃」

古野電気株式会社の関連会社、株式会社フルノシステムズは12月19日、同社サーバへの不正アクセスによる顧客の個人情報流失の可能性について発表した。

一向に減らないランサムウェア攻撃とその対策について

公益社団法人シャンティ国際ボランティア会は12月12日、同法人のサーバへのランサムウェア攻撃について発表した。

年間平均被害額約3億円強、インシデント対応にかかる費用について

トレンドマイクロ株式会社は12月7日、「法人組織のセキュリティ成熟度調査」の結果を発表した。

対策が難しいサイバー攻撃のひとつ「DDoS攻撃」とは

株式会社シーディーネットワークス・ジャパンは12月7日、同社Webサイトを標的とした大規模DDoS攻撃と同社セキュリティプラットフォームによる緩和を観測したと発表した。

企業の業績が下がるほどセキュリティの水準が下がる？

株式会社サイバーセキュリティクラウドは12月9日、企業の業績と「サイバー防御力」に関する調査結果を発表した。

サイバー攻撃手法のひとつ、PC遠隔操作を容易にされないために

株式会社山形スズキは11月28日、同社のパソコンへのサイバー攻撃による個人情報流出の可能性について発表した。

学術関係者を標的とした講演や取材依頼を偽装したサイバー攻撃

警察庁は11月30日、学術関係者やシンクタンク研究員等を標的としたサイバー攻撃について注意喚起を発表した。

情報を写真撮影して持ち出されるリスク、有効な対策は？

群馬県は12月1日、委託事業における個人情報の漏えいについて発表した。

新しい技術の登場に伴って生まれるセキュリティの脅威

フォーティネットジャパン合同会社は11月29日、FortiGuardLabsのグローバル脅威インテリジェンス / 調査研究チームによる今後12ヶ月とそれ以降のサイバー脅威情勢に関する予測を発表した。

デジタル・フォレンジック

情報セキュリティ分野において、デジタル・フォレンジックは「情報インシデントに関する情報の保全・回収・分析調査」を意味します。

情報処理安全確保支援士試験とは

情報処理安全確保支援士試験とは、独立行政法人情報処理推進機構（IPA）が情報セキュリティ専門家としての高度な知識やスキルを保有しているかどうかを問う日本の国家試験です。

Twitterの脆弱性で漏えいした540万人分の個人情報、ハッカーが一般公開

Twitterの脆弱性で漏洩した540万人分の個人情報が、ハッカーの手で一般公開されたことが分かりました。

誰もがしうる危険性のあるメール誤送信、効果的な対策は

新潟県は11月13日、十日町地域振興局 農業振興部でのメールの誤送信による個人情報の流出について発表した。

完全には防げないPC紛失事故、現実的な対策とは

横浜市は11月11日、象の鼻テラス運営団体の社用パソコンの盗難について発表した。

システムにインシデント発生、運営者側と利用者側とで出来る対策

株式会社ワコムは11月21日、同社が運営する「ワコムストア」への不正アクセスによる個人情報漏えいについて発表した。

工場向けセキュリティ対策ガイドライン公開、必要な仕組化

経済産業省は、「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドラインVer 1.0」を公開した。

「世界一安全な日本」の創造、実現に向けての取り組みとは

政府は、「『世界一安全な日本』の創造のための新たな戦略（仮称）」（案）に関する意見募集を、e-Govポータルにおいて11月20日まで受け付けていた。

医療関連機関へのセキュリティ対策が進まない背景

厚生労働省は11月10日、医療機関等におけるサイバーセキュリティ対策の強化について注意喚起を発表した。

不安を煽り被害者と接触、「サポート詐欺」の内容と対策

熊本県は10月13日、県南の県立高等学校での個人情報漏えいの疑いがある事案について発表した。

命を守る医療業界に対するサイバー攻撃とセキュリティ対策の現状

トレンドマイクロ株式会社は11月4日、同社独自のデータに基づき医療業界に対するランサムウェア攻撃の傾向を解説している。

クラウドサービス等の課金システムを悪用、「EDoS 攻撃」とは

株式会社Flatt Securityは10月31日、EDoS（Economic Denial of Sustainability）攻撃について、同社ブログで解説を行っている。

Emotetが三たび活動再開、感染再拡大への注意喚起

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は11月4日、Emotetの感染再拡大への注意喚起を発表した。

それでも減らない、クラウドの設定不備が発生する背景

総務省は、「クラウドサービス利用・提供における適切な設定のためのガイドライン」および「ASP・SaaSの安全・信頼性に係る情報開示指針（ASP・SaaS編）第3版」を公表した。

不要となった情報資産の適切な取り扱いとその管理について

南海電気鉄道株式会社は10月26日、商業施設「なんばCITY」のテナント従業員の個人情報が保存されている可能性のあるノートパソコン1台の紛失について発表した。

出稿チェックを掻い潜る？インターネット広告の悪用被害

投資運用を行うレオス・キャピタルワークス株式会社は10月26日、同社代表取締役 会長兼社長を装ったなりすまし広告への注意喚起を発表した。

情報セキュリティサービス基準とは

「情報セキュリティサービス基準」は脆弱性診断や監査等の情報セキュリティサービスを必要とする利用者が安心してサービスを選定できるよう定めた「サービス基準」とそれに従った審査制度です。

ピアクラウドサービスとは

機ピアクラウドサービスとは、ISO17789にて定義された用語であり、他のクラウドサービスプロバイダが提供するクラウドサービスの一部として利用されるクラウドサービスのことを指します。

世界中の警察官が考える現在／未来の脅威

インターポール（国際刑事警察機構）は現地時間10月19日、第1回「世界犯罪動向」報告書を公表した。

脆弱性対策情報データベースへの登録状況からみる傾向

独立行政法人情報処理推進機構（IPA）は10月20日、2022年第3四半期（7月から9月）における「脆弱性対策情報データベース『JVN iPedia』の登録状況」を発表した。

絶えないUSBメモリ紛失事故、使用リスクと気を付けるべきポイント

関西大学高等部は10月21日、個人情報を記録したUSBメモリの紛失について発表した。

緊急度の極めて高い脆弱性 CVE-2022-40684 の内容とその対策

株式会社マクニカは10月14日、Fortinet社製品の管理画面の認証をバイパスする脆弱性CVE-2022-40684に関連した調査を同社セキュリティ研究センターブログで発表した。Shodanで観測できる情報も踏まえ、情報や注意点等をまとめている。

権限昇格の脆弱性、修正プログラム適用へ気を付けるポイント

独立行政法人情報処理推進機構（IPA）は10月17日、Microsoft Windows Server における権限を昇格される脆弱性について「JVN iPedia」で発表した。

サイバー攻撃の被害を軽減？サイバー保険とは

BlackBerry Japan 株式会社は10月13日、サイバー保険に関するオンライン調査の結果を公表した。

個人情報取扱い事故、原因最多は不正アクセスよりも誤送信

一般財団法人 日本情報経済社会推進協会（JIPDEC）は10月7日、2021年度「個人情報の取扱いにおける事故報告集計結果」を公表した。

パスワードリスト型攻撃についてユーザができる対策と再発防止策

株式会社スクウェア・エニックスは10月6日、パスワードリスト型攻撃によるスクウェア・エニックス アカウント管理システムへの不正アクセスについて発表した。

リモートワークで主流、VPNのセキュリティ課題

ゼットスケーラー株式会社は10月4日、Cybersecurity Insiders が実施した調査結果をまとめた年次レポート「2022年版 VPNリスクレポート（日本語版）」を発表した。

深刻度をスコアで定量的に評価！共通脆弱性評価システム CVSSとは

共通脆弱性評価システム CVSS(Common Vulnerability Scoring System)とは、情報システムの脆弱性の深刻度を評価する手法の確立を目的として作成された、国際的な評価基準です。

SPF/DKIMによるメールセキュリティ

電子メールはWebの発展以前から存在する技術で、コンピュータ間のメッセージ交換を目的に長く使われてきました。当時、サイバーセキュリティに関する状況が現在とは大きく異なる中で設計された仕組みであるため、幾度の仕様変更によりセキュリティ強化が試みられたものの、メールには未だにさまざまなセキュリティの課題があります。

ベンダにも金銭要求、NAS機器を狙うランサムウェア「DeadBolt」

トレンドマイクロ株式会社は9月29日、NAS機器を狙うランサムウェア「DeadBolt」のベンダに身代金を要求する多重脅迫手口について同社ブログで発表した。

便利なQRコードを悪用した詐欺手口への対策は？

トレンドマイクロ株式会社は9月28日、QRコードを悪用した詐欺手口についてブログで発表した。

ビジネスメール詐欺、その手口と被害に遭わない対策

独立行政法人情報処理推進機構（IPA）は9月28日、ビジネスメール詐欺（BEC）対策特設ページを公開した。

先手を打って攻撃から身を守る「積極的サイバー防御」の考え方

一般社団法人JPCERT コーディネーションセンターは9月21日、「積極的サイバー防御」（アクティブ・サイバー・ディフェンス、アクティブ・ディフェンス）について議論する上で必要な視点について、早期警戒グループの佐々木勇人氏がブログで解説している。

繁忙期に集中？不正アクセスに狙われやすい時期はあるのか

JR西日本グループの山陽SC開発株式会社は9月26日、同社サーバへの不正アクセスによる個人情報流出の可能性について発表した。

もはやセキュリティの社会課題、サプライチェーンリスク

トレンドマイクロ株式会社は9月15日、「2022年上半期サイバーセキュリティレポート 「侵入」する脅威が浮き彫りにする「サプライチェーンリスク」」を公開した。

パスワードリスト型攻撃被害から身を守るための身近な対策

株式会社ニトリホールディングスは9月20日、「ニトリアプリ」への不正アクセスによる個人情報流出について発表した。

「サイバーセキュリティ」の認知は5割弱にとどまる、若い世代が低い傾向に

三井住友海上火災保険株式会社は9月14日、「スマホ、パソコンのサイバーセキュリティ等に関する調査」の結果を発表した。

macOSにおける複数の脆弱性、取るべき対応は？

IPA＝独立行政法人情報処理推進機構、および一般社団法人JPCERT コーディネーションセンターは9月8日、macOS における複数の脆弱性について「JVN iPedia」で発表した。

無効化期限迫るBasic認証、その仕組みとリスク

マイクロソフトは「メールは多くのお客様にとってミッションクリティカルなサービスであり、Basic 認証をオフにすることは潜在的に大きな影響を与える可能性があると理解している」ため、3 か月の再有効化を追加して計画を修正した。

Webサイトスキャンサービスで情報漏えいが起こる理由

株式会社マクニカ セキュリティ研究センターは8月31日、Webサイトスキャンサービス経由による情報漏えいの実態調査を同社ブログで発表した。

中小企業も含めて、どのようにセキュリティ対策に取り組むべきか

経済産業省は9月5日、サイバーセキュリティ対策の強化について注意喚起を発表した。

「仕掛け人」と「被害者」だけではない、フィッシング詐欺の分業体制

一般社団法人JPCERT コーディネーションセンターは8月31日、2019年1月から2022年6月の期間にJPCERT/CCが確認したフィッシングサイトのURLデータをGitHubレポジトリを通じて公開した。

多くの企業が懸念、旧システムを使い続けるセキュリティリスク

日本プルーフポイント株式会社は9月4日、クラウドセキュリティアライアンス（CSA：The Cloud Security Alliance）と共同で、最新の調査レポート「Cloud and Web Security Challenges in 2022」を発表した。

減少しないメール経由のインシデント、発生する原因とその対策

デジタルアーツ株式会社は9月2日、情報セキュリティ対策実態調査の結果を発表した。

LockBit と BitLocker を悪用するランサムウェア、その目的とは

独立行政法人情報処理推進機構（IPA）は8月26日、「コンピュータウイルス・不正アクセスの届出事例［2022年上半期（1月～6月）］」を公開した。

我が社の意識に問題あり？セキュリティ意識に格差が生じる理由

株式会社サイバーセキュリティクラウドは8月25日、全国の様々な業界で働く有職者300名を対象に実施したサイバーセキュリティに関する意識調査の結果を発表した。

うっかりミスが大ごとに、大切な個人情報を漏えいさせないために

東京都は8月26日、個人情報が記載された資料の配布とWeb掲載について発表した。

クラウド上のデータ保護のポイント

近年のクラウド活用に伴い、多くの組織がクラウド上に「データ」を保持しています。

CISベンチマーク

現代のインターネットセキュリティについて調べてみると、「CISベンチマーク」という用語に行き当たることがあるでしょう。

送信ドメイン認証の導入が遅れていると言われる日本、その理由は？

株式会社NTTドコモは8月23日、ドコモメールに送信ドメイン認証技術「DMARC」「DKIM」を同日から導入すると発表した。

セキュリティ界隈を騒がせた「Log4j の脆弱性」について再確認

トレンドマイクロ株式会社は8月16日、脆弱性「Log4Shell」によるVMware製品での情報漏えいやランサムウェア被害について発表した。

ECサイトへの不正アクセスで情報漏えい、利用者側が気を付ける点は？

株式会社ベクトルは8月20日、自社で運営するブランド古着通販サイト「ベクトルパーク」への不正アクセスによる、個人情報漏えいについて発表した。

脆弱性を報告しやすくする為の定義「RFC」とは

一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は8月9日、2022年4月に、正式公開された「RFC 9116：A File Format to Aid in Security Vulnerability Disclosure（ヴォルネラビリティ ディスクロージャー）」について、ブログで紹介している。

組織の身分を証明、電子証明書を利用した様々な技術

株式会社梅丘（うめがおか）寿司の美登利総本店は8月12日、同社ロゴを使用したヘイト情報の拡散について、同社の見解を発表した。

私物を業務で利用する際のリスクとその対策について

大阪市は8月9日、大阪市保健所における個人情報などを含む写真データ等の漏えいについて発表した。

様々な方法で感染を広げるランサムウェア攻撃の傾向と対策

千葉県南房総市は7月19日、市内小中学校の校務ネットワークへの不正アクセスについて発表した。

muhttpdにディレクトリトラバーサルの脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は8月5日、muhttpdにおけるディレクトリトラバーサルの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

紙媒体から電子データへ、クラウドサービス導入時の注意点をおさらい

愛知県名古屋市は8月3日、名古屋市立小学校での児童の遅刻・欠席一覧の紛失について発表した。

Windows、Linux、ESXi を同時に標的「クロスプラットフォーム」ランサムウェアグループ「Luna」発見

株式会社カスペルスキーは7月26日、クロスプラットフォームのプログラミング言語 Rust （ラスト）を使用する新たなランサムウェアグループ「Luna」の発見について発表した。

東京大学を騙る迷惑メール、「踏み台」にならない為の対策

国立大学法人東京大学は7月28日、東京大学を装った迷惑メールへの注意喚起を発表した。

情報セキュリティ対策支援からみる取り組むべき課題とは

京都府は先月29日、情報セキュリティあんしん対策事業について発表した。

2023年以降のセキュリティ、8つの仮説

ガートナージャパン株式会社は7月25日、2023年以降に企業のセキュリティに大きな影響を与え得るサイバーセキュリティに関する主要な仮説を発表した。

「番号」から個人情報漏えい？取り扱いに注意すべきポイントとは

大阪市は7月20日、大阪市水道局東部水道センターでの個人情報の不適切な取扱いについて発表した。

簡単便利なGoogleフォーム、設定ミスから個人情報閲覧可能に

一般社団法人シェアリングエコノミー協会は7月20日、この協会が主催する「四国支部及び四国わかちあいネットワーク設立記念イベント『With Share 四国』」での個人情報漏えいについて発表した。

ISMSクラウドセキュリティ認証

ISMSクラウドセキュリティ認証とは「ISO/IEC27017」で定められた「クラウドサービスのための情報セキュリティ管理策に関する規格」を満たすことを認証する仕組です。

トークナイゼーション

機密情報をトークンと呼ばれるランダムな文字列に置き換えて保管・利用する技術です。

社会全体が取り組むべき「サプライチェーン攻撃」への対策

JPCERT/CCは「JPCERT/CC Eyes」に「なぜ、SSL-VPN製品の脆弱性は放置されるのか ～“サプライチェーン”攻撃という言葉の陰で見過ごされている攻撃原因について～」を公開した。

尼崎市USBメモリ紛失事案からみる、個人データの取扱で気を付けるべき点

個人情報保護委員会は7月13日、地方公共団体から委託を受けた事業者でのUSBメモリ紛失事案を受け、個人データの適正な取扱いについて注意喚起を発表した。

止まってはならない産業制御システムのセキュリティ課題

トレンドマイクロは、「産業制御システムのサイバーセキュリティ実態調査」の結果を発表した。

無条件に信用しない、ゼロトラストのセキュリティ概念

独立行政法人 情報処理推進機構　は7月11日、「ゼロトラスト移行のすゝめ」を公開した。

Windows8.1サポート終了まであと半年、気を付けるべきポイント

独立行政法人情報処理推進機構（IPA）は7月8日、Windows 8.1 のサポート終了に伴う注意喚起を発表した。

標的型サイバー攻撃に対するユーザー保護の取り組み拡大へ

Apple Japan合同会社は7月6日、金銭目当ての高度な標的型スパイウェアからユーザーを保護するための取り組みを拡大すると発表した。

一般的には対策困難？内部不正対策について重視すべき点は

ガートナージャパン株式会社は7月6日、内部不正対策を再考する際に重視すべき3つのポイントを発表した。

換金性の高い商品を取り扱うWebサイトへのセキュリティ対策とは

株式会社日経BPは7月3日、同社が運営する医療従事者専門サイト「日経メディカル Online」への不正アクセスによる会員登録情報の一部漏えいについて発表した。

急速な普及から約2年、テレワークのセキュリティに関する実態

独立行政法人 情報処理推進機構は6月30日、「企業・組織におけるテレワークのセキュリティ実態調査」（2021年度調査）の結果を公開した。

自然言語をプログラミング言語に翻訳「Codex」がもたらすリスク

トレンドマイクロ株式会社は6月16日、Codexのデータ収集におけるセキュリティリスクについて、同社ブログで発表した。

リフト・アンド・シフト

リフト・アンド・シフトとは、システムをオンプレミスからクラウド環境に移行する戦略の一つです。

メタストラクチャ / アプリストラクチャとは

「メタストラクチャ」と「アプリストラクチャ」はクラウド基盤の論理モデルを表す言葉です。

人任せでは済まされない？サイバー攻撃前後の効率的なセキュリティ対策

徳島県のつるぎ町立半田病院は6月16日、コンピュータウイルス感染事案有識者会議調査報告書を公開した。

「サイバーリスク指数」調査結果から見る日本のセキュリティ意識

トレンドマイクロ株式会社は6月21日、サイバーセキュリティリスク意識調査「サイバーリスク指数」の、2021年下半期の調査結果を公表した。

狙われる官公庁や市町村サイト、攻撃者が偽サイトに利用する理由

トレンドマイクロ株式会社は6月22日、官公庁や市町村の「偽サイト騒動」について、背後に不審なWebプロキシサイトを確認したと同社ブログで発表した。

Internet Explorer サポート終了、終了に伴い気を付けるべきことは？

日本マイクロソフト株式会社は6月15日、Internet Explorer 11 のサポート終了について、同社のブログで発表した。

個人情報の窃取が目的だけではない？公的機関偽サイト乱立の背景

法務省、文部科学省、デジタル庁、警視庁では6月、同機関らの偽サイトへの注意喚起を発表した。内閣官房内閣サイバーセキュリティセンター（NISC）でも6月15日に、公的機関や企業等の偽サイトへの注意喚起を発表していた。

経営層や責任者が自社のセキュリティ体制で検討すべきポイントとは

経済産業省は6月15日、「サイバーセキュリティ体制構築・人材確保の手引き」をリニューアルし、第2.0版として公開した。

人材不足なのに敷居が上がる？セキュリティ人材不足とその課題

Musarubra Japan 株式会社（Trellix）は6月8日、サイバー人材不足に関する調査結果を発表した。

2022年4月施行、改正個人情報保護法でどう変わった？

トレンドマイクロ株式会社は5月30日、改正個人情報保護法への法人組織の対応状況調査をもとに、対応の課題やポイント等について発表した。

攻撃者に狙われやすい？利用者判断に委ねられる点への対策

株式会社共立は6月2日、同社が管理するホールの一部Webサイトへの不正アクセスによる一部ページの改ざんについて発表した。

迷惑SMS対策機能が無料提供へ、フィッシング詐欺対策を再確認

ソフトバンク株式会社は6月2日、迷惑SMS対策機能の無料提供を発表した。

大量不正アクセスから制御不能に？フラッド攻撃とその手法とは

株式会社フジ・メディア・ホールディングス傘下の株式会社エフシージー総合研究所は5月24日、不正アクセスによるメールアドレス漏えいの可能性について発表した。

IAMとは

IAM（Identity and Access Management）とは適切なID管理とアクセス管理の考え方とその仕組みです。

コンテナセキュリティのリスク

近年、その利便性により国内でもコンテナの利用を検討する企業が増えています。コンテナは、アプリケーションの動作環境を仮想的に構築する為の技術であり、従来の仮想マシンに比べて、軽量に動作し、短時間でのデプロイ、削除が可能です。また、オンプレミス、クラウドを問わず利用する事ができ、ポータビリティにも優れています。

Microsoftの診断ツールにリモートコード実行の脆弱性

米Microsoftは現地時間5月30日、Microsoft サポート診断ツールにリモートからコード実行が可能な脆弱性が確認されたとしてセキュリティ情報を公開した。

サイバー攻撃観測レポート発表、Emotetは減少傾向に

株式会社インターネットイニシアティブ（IIJ）は5月27日、「wizSafe Security Signal 2022年4月 観測レポート」を発表した。

産業化するランサムウェア、そのシステムと被害を受けた時の対応策は

Microsoftは5月9日、Ransomware-as-a-service（RaaS）のギグエコノミーの動向についてブログで発表した。

トレンドマイクロ製パスワードマネージャーに権限昇格の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月23日、トレンドマイクロ製パスワードマネージャーにおける権限昇格の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。(記事はこちら)

国産パブリッククラウド「ニフクラ」に不正アクセス、公表されたロードバランサーの脆弱性を悪用

富士通クラウドテクノロジーズ株式会社は5月16日、FJcloud-V及び国産パブリッククラウド「ニフクラ」の一部のロードバランサーへの不正アクセスについて発表した。

VMware製品に深刻度最高レベルの認証回避、権限昇格の脆弱性

米国土安全保障省傘下のサイバーセキュリティ諮問機関であるサイバーセキュリティ・インフラストラクチャ安全保障局は5月18日、米VMware製品に認証回避や権限昇格の脆弱性があるとして、政府・行政機関に対策を指示した。

業務に特化したセキュリティ対策、ペネトレーションテストとは

株式会社しまむらは5月11日、同社ネットワークへの不正アクセスについて発表した。

オープンソースソフトウェアOSSの利活用とそのセキュリティ

経済産業省は5月10日、「OSSの利活用及びそのセキュリティ確保に向けた管理手法に関する事例集」を拡充し、公開した。

意図せず顧客データが削除、人為的ミスに対しての再発防止策とは

アトラシアン株式会社は5月6日、4月に発生した同社のサービス停止について、インシデント事後レビューを発表した。(記事はこちら)

IRチームの重要性

IR（インシデントレスポンス）とは、サイバー攻撃などのセキュリティインシデントが発生した際に対応（レスポンス）する為の体系化された活動を指します。対応を迅速かつ適切に実施する事で、企業への損害を最小限に抑える事を目的としています。

アカウントハイジャック（セッションハイジャック）とは

「ある日、気が付いたら大量の電子マネー購入履歴があった。」「知らない間に攻撃的な投稿をSNS上に送っていた。」このような被害の背景にはアカウントハイジャックが存在しているかもしれません。

セキュリティ対策を施していても不正アクセスを許した原因はどこにある？

東映アニメーション株式会社は4月28日、3月7日に公表した同社ネットワークへの不正アクセスによるシステム障害について、調査結果を発表した。

2度あることは3度ある？Windows印刷スプーラーに再び脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月28日、複数の Microsoft Windows 製品における権限を昇格される脆弱性について「JVN iPedia」で発表した。

サイバー攻撃被害組織が「お詫び」「謝罪」、JPCERT/CCが情報共有の論点整理と提言

一般社団法人JPCERT コーディネーションセンターは4月21日、4月20日に総務省、経済産業省、警察庁、NISCの連名で公表した「サイバー攻撃被害に係る情報の共有・公表ガイダンス検討会の開催について」の検討に際し行った論点整理や提言について発表した。

ICT-ISAC「法人向けIoT機器の悪用によるサイバー攻撃防止ページ」公開

一般社団法人ICT-ISACは4月20日、「法人向けIoT機器の悪用によるサイバー攻撃防止ページ」の公開について発表した。

若手セキュリティイノベーター育成、2022年度「SecHack365」受講生を募集

国立研究開発法人情報通信研究機構（NICT）ナショナルサイバートレーニングセンターは4月19日、若手セキュリティイノベーターの育成を目的としたプログラム「SecHack365」の2022年度受講生の募集を発表した。

85%が人材の補充と維持が難しくなったと回答、2022年のセキュリティの現状を調査

Splunk Inc.は4月15日、Enterprise Strategy Group 社と共同で年次グローバル調査レポート「The State of Security 2022　～2022年のセキュリティの現状～」を発表した。

ATMの取引情報を記録したCD-ROM1枚を紛失、データは暗号化

敦賀信用金庫は4月1日、顧客情報の紛失について発表した。

京都駅ビル開発のクラウドサーバへ不正アクセス、個人情報流出の可能性

京都駅ビル開発株式会社は4月15日、同社サーバへの不正アクセスによる個人情報流出の可能性について発表した。

IPA「組織における内部不正防止ガイドライン」を改訂、テレワーク・退職者対策・ふるまい検知等の活用など

独立行政法人情報処理推進機構は4月6日、内部不正による情報セキュリティ事故防止のための「組織における内部不正防止ガイドライン」を改訂し、第5版を公開した。

ロシア・中国・北朝鮮を名指しで？パブリック・アトリビューションとは

公安調査庁は4月14日、「サイバー空間における脅威の概況2022」を公表した。同庁では、サイバー空間における脅威の概況等について広く周知するために同資料を公表している。

脆弱性に固有の番号が付与、CVEが示すものとは何か

独立行政法人 情報処理推進機構（IPA）は4月13日、「Microsoft 製品の脆弱性対策について(2022年4月)」を発表した。

4段階防御もすり抜けるパスワードZIPファイルの実体

ソフトウェアの販売等を行う株式会社アシストは3月29日、同社従業員の使用するパソコンがEmotetに感染したと発表した。

130字以上のURLを機械的手法でマッチングさせURLを取得

株式会社アドメディカは4月1日、同社が運営する総合ヘルスケアメディア「 Doctors Me」の健康相談における画像投稿機能のセキュリティ強化について発表した。

主要標的型ランサムウェア3種の特徴とその対策について

トレンドマイクロ株式会社は4月6日、日本国内及び海外における2021年のセキュリティ動向を分析した報告書「2021年 年間セキュリティラウンドアップ～「サプライチェーン」を経由した攻撃と被害の連鎖～」を公開した。

サプライチェーンリスクがもたらす広範囲にわたる影響とは

独立行政法人情報処理推進機構は3月30日、クラウドサービスのサプライチェーンリスクマネジメント調査の結果を公開した。

ＩＲ（インシデントレスポンス）とは

インシデントレスポンスとは、その名の通り、「 サイバー攻撃などのセキュリティインシデントが発生した際に対応（レスポンス）する為の手段 」を指します。

Spring Framework に特定条件で Java コードが実行される脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月1日、Spring Frameworkにおける不適切なデータバインディング処理による任意コード実行の脆弱性について「JVN」で発表した。

「データセンター」の役割と物理的なセキュリティ対策

キンドリルジャパン株式会社と日本アイ・ビー・エム株式会社は3月28日、キンドリルジャパンのデータセンターの障害について発表した。

IT技術と心理学、「人の弱さを巧みに突く手口」への対策

富士通株式会社と学校法人東洋大学、兵庫県尼崎市は3月24日、被害者の心理状態を推定しリスクを可視化することで特殊詐欺を未然に防止する共同研究の開始を発表した。

Emotetの攻撃手法「Excel4.0マクロ」が多用されるのはなぜ？

デジタルアーツ株式会社は3月24日、マクロ付きOfficeファイルについてのセキュリティレポートを公開した。

情報セキュリティポリシーに関するガイドライン改定、活用の注意点

総務省は3月25日、「地方公共団体における情報セキュリティポリシーに関するガイドライン」及び「地方公共団体における情報セキュリティ監査に関するガイドライン」を改定し公表した。

外部委託で開発した自社ECサイトのセキュリティで気を付けるべきポイント

個人情報保護委員会は3月17日、「ECサイトへの不正アクセスに関する実態調査」を公開した。

最も身近なコミュニケーションツール、メールのセキュリティについて

日本電気株式会社（NEC）は3月18日、2021年の迷惑メールについて同社セキュリティブログにて発表した。

Emotetテイクダウンの流れからみる、その傾向と対策

Emotet感染の拡大が止まらず、各法人で報告と注意喚起が行われている。

攻撃被害増加傾向の医療クラウド、その対策は

一般社団法人日本クラウドセキュリティアライアンスは2月28日、医療クラウドにおけるランサムウェア攻撃予防対策についてブログで発表した。

アニメ放送延期の要因、不正アクセスへの対策とその手法

東映アニメーション株式会社は3月11日、3月7日に公表した同社ネットワークへの不正アクセスによるシステム障害について、影響を発表した。

最大攻撃被害国は日本、セキュリティ情報はどのように取り扱うべきか

日本アイ・ビー・エム株式会社は3月8日、「IBM X-Force脅威インテリジェンス・インデックス2022」を発表した。

不正アクセスの検知と情報管理の在り方

富士通株式会社は3月7日、2021年5月25日に公表した同社プロジェクト情報共有ツール「ProjectWEB」への不正アクセスについて第5報を発表した。

パスワードリスト型攻撃の脅威とその対策

株式会社ユニメディアは3月2日、同社が運営するふるさと納税支援サイト「ふるさとプレミアム」への不正ログインについて発表した。

初動が重要、インシデント対応のトリアージとは

神奈川県は2月28日、同県Webサイトにアクセスできない事象が発生したと発表した。

インシデント多発、Emotetを解説

2022年3月現在、Emotetが再び猛威を振るっています。Emotet 自体は2014年と比較的古くからあるマルウェアです。一時は収束したように見えたのですが、昨年(2021年)11月頃から再び亜種が流行りはじめ、 2022年2月には大流行する事態となりました。

46万件超のカード情報他が流出、その攻撃の背景

株式会社メタップスペイメントは2月28日、1月25日に公表した不正アクセスによる情報流出について調査結果を発表した。

猛威を振るう Emotet、その感染拡大対策を改めて確認

公益財団法人春日井市スポーツ・ふれあい財団は2月25日、同財団のパソコン1台がEmotetに感染したと発表した。

安全性は砂場で確認！？『クラウドサンドボックス』とは

突然ですが、コンピュータセキュリティの世界にも『サンドボックス』と呼ばれる「砂場」が存在しているのはご存じでしょうか。

マルウェアの種類と想定被害

よく、マルウェアの分類方法として感染・増殖の観点から「特定プログラムに寄生するのがウィルス」「自己増殖する種類をワーム」「バックドアを作る種類をトロイ」といった分類が行われます。ただし、近代的なマルウェアの感染・増殖方法はいずれかに分類されるものではなく、攻撃者の目的（想定被害）に応じて複合的な動作をします。

クラウド導入前のチェックポイント

最近では、リモートワークや在宅勤務が進み、クラウドの利用を進めている、若しくは検討されているかたも多いのではないかと思われます。

侵入後の攻撃者の行動を知ろう 『 ラテラルムーブメント 』

『ラテラルムーブメント（lateral movement）』は日本語で言えば「水平展開」で、サイバー攻撃において、攻撃者が特定の環境に侵入した後、より活動の手を広げるために行う行動です。

昨今の情勢を踏まえたセキュリティ対策強化について

経済産業省は2月23日、昨今の情勢を踏まえたサイバーセキュリティ対策の強化について注意喚起を発表した。

制御システムセキュリティの現在とローカル5G

一般社団法人JPCERT コーディネーションセンターは2月21日、「制御システムセキュリティカンファレンス 2022」の資料を公開した。

スミッシング対策にフィルタリングの新しい動き

株式会社インターネットイニシアティブ（IIJ）は2月17日、同社が提供するモバイルサービス（NTTドコモ回線）での「危険SMS拒否設定」機能を3月中旬から提供すると発表した。

セキュリティクラウドへの実被害からみるDDoS攻撃の脅威と対策

広島県は2月18日、同県及び市町Webサイト等へのサイバー攻撃について発表した。

ランサムウェアの現状とサイバー犯罪への取組強化

警察庁は2月10日、「令和3年におけるサイバー空間をめぐる脅威の情勢等について」速報版を発表した。

叫ばれ続けるセキュリティ人材不足問題、打開策は？

東京大学全学連携研究機構 情報セキュリティ教育研究センターは2月15日、学部横断型教育プログラム「サイバーセキュリティ教育プログラム」設立を発表した。

Emotetの感染が最悪期に匹敵するペースで再び急拡大

独立行政法人 情報処理推進機構（IPA）は2月9日、Emotetの攻撃活動の急増を受けて注意喚起を発表した。

利用層が広がる生体認証、その課題とリスク

株式会社日立製作所は2月1日、「生体認証に関する意識調査」の結果を発表した。

高値で取引？日本のクレジットカード情報とそのセキュリティ

NordVPNは2月3日、ダークウェブ上で売買される約7000件の日本のクレジットカード情報を分析した調査結果を発表した。

日本人が使う危険なパスワード、1位は「123456」

株式会社ソリトンシステムズは2月7日、「日本人のパスワードランキング2021」を公開した。

IoT機器のセキュリティ概念「ルートオブトラスト」とは

一般社団法人セキュアIoTプラットフォーム協議会は1月14日、経済安全保障への対応について、サイバーセキュリティの観点からの考察を発表した。

未曽有のパンデミックから2年、テレワークにおける課題や悩み

株式会社月刊総務は1月27日、全国の総務担当者を対象にBCPとテレワークに関する調査を実施した結果を公表した。

リスクから学ぶ無線LANのセキュリティ対策

総務省は1月28日、無線LANのセキュリティ対策に関する周知啓発を目的としたオンライン講座「これだけは知っておきたい無線LANセキュリティ対策」の開講を発表した。

狙われた特定クラウドサービス、新種マルウェアの脅威

トレンドマイクロ株式会社は1月19日、Huawei Cloud上のサービスを狙う新規Linuxマルウェアの攻撃手口をブログで解説している。

クラウドの重大セキュリティ脅威　11の悪質な脅威（後編）

本稿では前後編に分けて「クラウドの重大セキュリティ脅威 11の悪質な脅威」（以下、「11の悪質な脅威」）で示された脅威と対策について解説をします。

「セキュア・バイ・デフォルト」の考え方

「セキュア・バイ・デフォルト」は英語で書けば「Secure By Default」、直訳すると「初期設定で安全な状態」にすることです。

クラウドコンピューティング｜セキュリティ用語解説

クラウドコンピューティングは、インターネットを経由してクラウド上に集約されたコンピューターリソースを利用する形態を言い、2006年にGoogleのCEOであったエリック・シュミットにより提唱されました。

C&C通信｜セキュリティ用語解説

C&Cは”Command and Control”（命令＋制御）の略称で、C&C通信とは外部から被害者のPCを乗っ取り、操作する攻撃です。

入試など一時的なシステムへのセキュリティ対策とは

愛知県は1月20日、県立高等学校における個人情報の漏えいについて発表した。

QRコード決済の習慣化、攻撃者の狙いがそこに

Avast Software(アバストソフトウェア)は1月14日、QRコードを利用した攻撃についてブログ記事で発表した。オースティン市（アメリカ合衆国）の報告書によると、同市内の20以上の駐車場料金所で不正なQRコードが発見されたという。

消したはずの情報が復元される？データの完全削除とは

株式会社ラックは1月14日、フリーマーケットで販売されていたハードディスクに同社内のビジネス文書が含まれていたことが判明したと発表した。

エリアメール大量送信からみる誤送信対策と委託先の管理

神奈川県は1月16日、同県内沿岸部の市町を中心に緊急速報メールを何度も配信したことが判明したと発表した。

「認証情報の不十分な保護」の脆弱性はどのようなものなのか

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は1月13日、ラベルプリンター「テプラ」PRO SR5900P / SR-R7900P における認証情報の不十分な保護の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

猛威と脅威「Log4j の脆弱性」を悪用したランサムウェア

東京コンピュータサービス株式会社は1月4日、同社システムへのサイバー攻撃によるランサムウェア感染について発表した。

重大な脆弱性「SQLインジェクション」が発生する背景

株式会社石橋楽器店は1月11日、同社運営のWebサーバへの外部からの不正アクセスによるメールアドレス情報の一部漏えいの可能性について発表した。

外部の決済システム利用におけるセキュリティのポイント

マザーズ上場企業の株式会社メタップスペイメントが提供する収納代行システム「会費ペイ」「イベントペイ」を利用する団体から、不正アクセスによるサービス停止の発表が行われている。

対策予定が狙われる「ゼロデイ攻撃」の脅威

自動車用オイルシールなどを製作する東証1部上場企業のNOK株式会社は12月28日、12月21日に公表した同社サーバへの不正アクセスによるシステム障害の第2報を発表した。

品質の一部であるセキュリティと責任共有モデルの考え方

国立大学法人京都大学学術情報メディアセンターは12月28日、スーパーコンピュータシステムのファイル消失について発表した。

メール誤送信、添付ファイルの削除は「お願い」しかない？

兵庫県は12月23日、「ふるさと応援ひょうごを旅しようキャンペーン」でのメール誤送信による個人情報漏えいについて発表した。

防衛省が米国防総省と同程度となる情報セキュリティ基準を規則化へ

三菱電機株式会社は12月24日、2020年1月20日に公表した不正アクセス事案で流出した可能性のあるファイルの、防衛省での安全保障上の影響に関する確認結果について発表した。

モバイル端末を狙うマルウェアへの対応チェックポイント

一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）は12月23日、モバイル端末を狙うマルウェアへの対応FAQを発表した。

2022年サイバーセキュリティ、重要トレンド予測

株式会社 日本HPは12月20日、HPセキュリティエキスパート及びアドバイザーによる「2022年に注目すべきサイバーセキュリティの予測」を発表した。

サイバー攻撃を受けた後に気を付けるべきポイント

東証マザーズ上場企業の株式会社メディア工房は12月22日、10月6日に公表した同社運営の「きゃらデン」に登録するキャストの個人情報流出について、調査結果を発表した。

縁の下の力持ち『ＣＤＮ』その仕組みとは？

この記事では、現代のインターネット社会での情報発信に欠かすことのできない、CDNについて解説していきます。

クラウドの重大セキュリティ脅威 11の悪質な脅威（前編）

「クラウドの重大セキュリティ脅威 11の悪質な脅威」（以下、「11の悪質な脅威」）はCSAジャパンが CSA(Cloud Security Alliance) の「Top Threats to Cloud Computing The Egregious 11」を日本語化した文書です。

ＤＬＰ｜セキュリティ用語解説

DLP（Data Loss Prevention）とは、機密情報や重要情報が外部へ漏洩する事を防ぐ情報漏洩対策の一つです。従来の対策との違いとしては、従来の情報漏洩対策では情報を利用するユーザーを監視しますが、DLPの場合では機密情報そのものを監視の対象とします。

踏み台攻撃｜セキュリティ用語解説

脆弱性のあるサーバや端末を第三者が乗っ取り、他のサーバや端末、ネットワークへの攻撃に利用することを「踏み台攻撃」と呼び、この時、乗っ取られたサーバや端末を「踏み台」と呼びます。

法人向けセキュリティ市場予測、2027年には1兆3000億円

株式会社野村総合研究所は12月17日、2027年度までのICT（情報通信技術）とメディアに関連するデバイス、ネットワーク、コンテンツ配信、xTech（B2C）、xTech（B2B）の主要5市場を取り上げ、国内市場における動向分析と市場規模の予測結果を発表した。

「鳥取県森林クラウドシステム」にサイバー攻撃、電子ファイル4万件が暗号化被害

建設コンサルタント等を行うパシフィックコンサルタンツ株式会社は12月16日、鳥取県からシステム保守管理を受託した「鳥取県森林クラウドシステム」へのサイバー攻撃について発表した。

各主要機関でも注意喚起、Apache Log4j の脆弱性

内閣サイバーセキュリティセンター（NISC）は12月13日、ApacheLog4j の脆弱性（CVE-2021-44228）に関する注意喚起を発表した。

数年に一度の規模「Log4j の脆弱性」とは

トレンドマイクロ株式会社は12月11日、「Apache Log4j」ライブラリに深刻なゼロデイ脆弱性が発覚したと同社ブログで発表した。

電話をすると「金を払え」テクニカルサポート詐欺 日本で急増

株式会社ノートンライフロックは12月9日、「ノートン」ブランドのセキュリティ製品で検知したサイバー攻撃のデータを元に、2021年のサイバー犯罪トレンドの振り返りと2022年のサイバー犯罪トレンド予測を発表した。

クロスサイトスクリプティングの脆弱性を突くサイバー攻撃

農業生産資材から食料品までを扱うグラントマト株式会社は11月26日、9月17日に公表した同社が運営する「グラントマトオンラインショップ」への不正アクセスについて、追加報告を発表した。

もしサイバー攻撃を受け、攻撃者からコンタクトがあったら

新薬開発の治験支援（CRO）専業を行う東証1部上場企業の株式会社リニカルは12月6日、不正アクセスによる個人情報流出の可能性について発表した。

NISCがセキュリティ普及啓発・人材育成施策を広く募集

内閣サイバーセキュリティセンター（NISC）は12月1日、9月から運営を行う「みんなで使おうサイバーセキュリティ・ポータルサイト」に掲載する普及啓発・人材育成施策の募集について発表した。

知らぬ間に自身も加担？インフルエンスオペレーションとは

独立行政法人情報処理推進機構は11月26日、「サイバーレスキュー隊（J-CRAT）活動状況[2021年度上半期]」を公開した。

企業公式サイトに不正アクセス、サーバの入替で復旧に遅れ

大和ハウス工業株式会社の100％子会社のロイヤルホームセンター株式会社は12月1日、同社公式Webサイトへの不正アクセスについて発表した。

マルウェア対策製品にアクセス制限不備の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は11月26日、トレンドマイクロ製ウイルスバスター for Macにおけるアクセス制限不備の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。

サステナビリティへの意識、日本は世界から大きな遅れ

富士フイルム株式会社は11月18日、日本、アメリカ、ドイツ、中国の各企業の経営層1200名を対象に実施した「データ保管における環境課題に関するグローバル意識調査」の結果を発表した。

「SOC」と「MSS」をすっきり理解しよう

「セキュリティ監視」に興味がある方は SOC や MSS という言葉を聞いたことがあるかと思います。本稿では SOC と MSS の定義と違いを明らかにするとともに、「セキュリティ監視」について適切なサービス選択するための考え方を紹介したいと思います。

セキュリティにおける脆弱性と脅威の違い

セキュリティの話題になると、よく「脆弱性」「脅威」といった単語を目にします。どちらも「なんだか危ないもの」というイメージがある単語ですが、セキュリティの分野において、この2つの単語にはどのような違いがあるのでしょうか。

クラウドを考慮したネットワーク防御の基本的な考え方

オンプレミスでは、外部からの攻撃を防ぐために「境界型防御」と呼ばれる方法で対策をとります。組織の外部とのネットワーク境界にファイアウォールを設置し、パケットのフィルタリングやDMZ（非武装地帯）の構成により、既定のルールに基づいたネットワーク制御が行われます。意図しないパケットが内部に流れ込まないようにすることで、システムを保護するようになっています。

SASE と CASB それぞれの考え方

「SASE」と「CASB」は、どちらもGartner（ガートナー社）が提唱したクラウドセキュリティのコンセプトです。

「Emotet」テイクダウンから復活 ～ 動向やテイクダウン前との違いは

トレンドマイクロ株式会社は11月18日、テイクダウンされた「Emotet」の活動再開について、同社ブログで発表した。

「サーバへのランサムウェア攻撃、原因は閉じていなかったポートへの不正アクセス

東証1部上場企業の応用地質株式会社は11月18日、10月7日に公表した「土地情報レポートサービス」で使用するサーバへのランサムウェア攻撃について、続報を発表した。

「Webサイトに不正アクセス、11/5公表のMovableTypeの脆弱性を悪用

学術情報提供サービスを行う株式会社サンメディアは11月10日、同社Webサイトへの不正アクセスについて発表した。学術情報提供サービスを行う株式会社サンメディアは11月10日、同社Webサイトへの不正アクセスについて発表した。

「トコちゃんドットコムECサイト」に不正アクセス、XSSの記述のある不審な注文

有限会社トコちゃんドットコムは11月15日、同社が運営する骨盤ケア用品やマタニティーケア用品を販売する「トコちゃんドットコムECサイト」に第三者から不正アクセスがあり、顧客の個人情報及びクレジットカード情報が漏えいした可能性が判明したと発表した。

Microsoft Windows において管理者権限の奪取が可能となる Use-After-Free の脆弱性

2021 年 10 月に、Microsoft Windows のカーネルに管理者権限の奪取につながる脆弱性が報告されています。

マクニカでも11月22日付でPPAP廃止、受信は継続

株式会社マクニカは11月9日、同社でこれまで採用していた、メール送信時に添付するファイルをZIP暗号化しパスワードを別送する方式（PPAP）を11月22日付で廃止すると発表した。

罪悪感がほとんどない？シャドーITが抱える問題

神奈川県相模原市は10月29日、向陽こどもセンターでの個人情報を含む公文書の不適切な処理について発表した。

クラウドセキュリティに重要な4つのテクノロジー

ガートナージャパン株式会社は11月1日、「クラウド・セキュリティのハイプ・サイクル：2021年」に登場する4つの必須テクノロジについて発表した。(記事はこちら)

なぜ大学のメールアカウントが迷惑メールの踏み台にされやすいのか

国立大学法人 東海国立大学機構 名古屋大学は10月29日、同学教員のメールアカウントに第三者から不正アクセスがあり、個人情報が含まれるメールが閲覧された可能性がある事案2件が確認されたと発表した。

ECサイトのインシデント事例、情報共有と対策はどうあるべきか

株式会社かねたや家具店は10月28日、 同社が運営する「ROOMDECOオンラインショップ」に第三者からの不正アクセスがあり、顧客のクレジットカード情報漏えいが判明したと発表した。

増えるプライバシーマークの不正使用に注意喚起

一般財団法人日本情報経済社会推進協会（JIPDEC）は10月27日、プライバシーマーク（ロゴ）の不正使用について発表した。

2021年第3四半期 J-CSIP レポートからみる直近のサイバー攻撃傾向

独立行政法人 情報処理推進機構は10月27日、2021年7月から9月の第3四半期における「サイバー情報共有イニシアティブ運用状況」と、付録として「Excel-DNAを悪用したExcelアドインファイルのウイルス」を公開した。

DevSecOps 実現の課題解決に「クラウドの重大セキュリティ脅威 11の悪質な脅威」

一般社団法人日本クラウドセキュリティアライアンス（CSAジャパン）は10月25日、「クラウド重大セキュリティ脅威対策-DevSecOpsのユースケース-」を公開した。(記事はこちら)

インターネットにつながったクルマ「コネクテッドカー」のセキュリティ対策とは

IoT（モノのインターネット）が普及しているが、自動車もまた例外ではない。車外の他のシステムと双方向の通信が可能なクルマは「コネクテッドカー」と呼ばれ、事故発生時の救急通報機能を搭載したクルマを1996年にGMが開発するなど、その歴史は古い。

日本と海外、多拠点にわたるセキュリティ対策

オリンパス株式会社は10月19日、10月12日に公表した米州における、同社ITシステムへの不正アクセスへの対応状況について発表した。(記事はこちら)

JPCERT/CC 四半期報告対応レポートからみるインシデント傾向

JPCERT/CC 2021年第3四半期インシデント報告、改ざんされたWebサイトから偽ECサイトへの転送を複数確認

不正アクセスの影響でシステム廃止へ　狙われやすい金融関連システム

不正アクセスで日産証券オンライントレードシステムに障害発生、現行システムでの廃止を決定

ASVSの最適な使い方

OWASP ASVSという言葉をご存じでしょうか？

情報漏えい｜セキュリティ用語解説

情報漏えいとは外部に知られてはいけない個人情報や企業の機密情報が外部の第三者に漏れてしまうことを指します。企業などの組織においては、情報資産の取り扱い方法やシステムの機密性の不備などで発生します。近年のコンピュータやインターネットの利用拡大に伴い、大規模な情報を速く・正確に扱えるようになった反面、情報漏えいが発生した時の被害も大きくなっています。

サプライチェーンリスク｜セキュリティ用語解説

サプライチェーンリスクとは、言葉の通り、「サプライチェーンに存在するリスク」のことです。ではサプライチェーンとは何でしょう。

クラウド監視ってなにを監視するの？

クラウド監視とは、契約をしているクラウドサービスの稼働状況を監視することであり、代表的なものとしてCSPMとCWPPという２つのソリューションが存在します。

NFT マーケットプレイスに不正アクセス、一部NFTが外部流出

NFT マーケットプレイス「nanakusa」に不正アクセス、一部NFTが外部流出

セキュリティチェックを掻い潜る？「PPAP」のリスクとは

日立グループが2021年12月にPPAP廃止、12/13以降送受信不可

1年近く気付かない？サイバー攻撃発生から発覚・公表までの平均期間

サイバー攻撃に1年近く気付かず、発生から発覚・公表までの期間をサイバーセキュリティクラウドが調査

適切で安全なパスワード設定・管理とは？

国立成育医療研究センターWebサイトへの不正アクセス、WordPressのID・パスワードが類推しやすいことが原因

設定不備を防ぐ「セキュア・バイ・デフォルト」の考え方

大阪府は10月1日、府立泉北高等学校でのWebフォームからの個人情報流出について発表した。

通信事業者にとっての「通信の秘密」とは？

総務省は9月30日、株式会社インターネットイニシアティブ（IIJ）に対し、同社で発覚した通信の秘密及び個人情報の漏えい事案に関し、文書で指導したと発表した。

不要と思われがち？管理系機能へのセキュリティ対策

株式会社新生銀行と新生フィナンシャル株式会社は9月27日、同行からの複数の業務委託先等にWeb 解析や広告媒体事業に関するデータ提供をするにあたり、一部顧客の個人情報が含まれることが判明したと発表した。

2021年上半期フィッシングサイトのドメイン分析、最も使用された文字列は「amazon」

デジタルアーツ株式会社は9月22日、2021年上半期に収集した国内外のフィッシングサイトURLのドメインを集計したレポートを公開した。

メール誤送信のお詫び、Amazonギフト券500円分進呈

電力小売事業等を行う株式会社Looopは9月15日、メール誤送信による顧客氏名の流出について発表した。

国内で確認の標的型攻撃者グループ、2020年は活動再開含む7つ

トレンドマイクロは、2020年の国内に対する標的型攻撃を分析した「国内標的型分析レポート2021年版」を公開した。

学部内の情報交換に使用した「LINE」トークルームに何者かが参加、180日分のトーク履歴が流出

埼玉県は9月13日、県立特別支援学校塙保己一学園で無料通信アプリ「LINE」使用による個人情報流出が判明したと発表した。

文部科学省、デジタル教科書のワーキンググループでシングルサインオン機能について検討

文部科学省は9月3日、「デジタル教科書の普及促進に向けた技術的な課題に関するワーキンググループ（第1回）」の議事録を公開した。

Deep Instinct「2021年上半期 脅威レポート」公開、マルウェアは2019年と比較し800％増加

ディープインスティンクト株式会社は9月7日、「2021年上半期 脅威情勢レポート」を公開した。

愛知県がんセンター医師のOffice365アカウントへ不正アクセス、個人情報含むメールが漏えい

愛知県がんセンターは9月8日、同センター医師のクラウドサービスのアカウント情報が窃取され、個人情報漏えいの可能性が判明したと発表した。

オリエンタルコンサルタンツへのランサムウェア攻撃、群馬県と滋賀県の委託業務も被害

群馬県と滋賀県は9月3日、業務委託先へのサイバー攻撃について発表した。東京都も同日、9月1日公表分以外の業務委託先へのサイバー攻撃について発表している。

自治体がクラウドファンディングサービスを利用、アクセス集中し他人の個人情報を誤表示

山口県は8月31日、県事業の「頑張るお店応援プロジェクト」委託事業者のWebサイトでの、個人情報の誤表示について発表した。

九州歯科大学教員のメールアカウントを踏み台利用、約4万件送信し半数が成功

公立大学法人九州歯科大学は8月24日、教員のメールアカウントからの不審メール送信について発表した。

トレンドマイクロ製ウイルスバスタークラウドにディレクトリジャンクションの取り扱い不備の脆弱性

独立行政法人情報処理推進機構(IPA)及び一般社団法人JPCERT コーディネーションセンターは9月2日、トレンドマイクロ製ウイルスバスター クラウドにおけるディレクトリジャンクションの取り扱い不備の脆弱性について「(JVN)」で発表した

クラウドセキュリティについて考え始めたらまず知ってほしいこと

ＡＷＳやＡｚｕｒｅに代表されるクラウド基盤は簡単にクラウド上にシステムを構築できるため、多くの人が使っているのではないでしょうか？かく言う私も公私ともにクラウド基盤を利用している一人です。

「脆弱性診断」の種類と概要

脆弱性診断（セキュリティ診断）は、情報システムや情報資産への侵害を許すような脆弱性や欠陥を、外部から検査して報告するサービスです。健康診断では聴診器やレントゲンで身体の情報を収集して病気の兆候を見つけるように、脆弱性診断では様々な方法でシステム応答を収集して脆弱性を発見します。

ファイアウォール｜セキュリティ用語解説

ファイアウォールとは、ネットワークの通信においてその通信を許可するか、もしくは拒否するかを判断する仕組みを表します。大きく分類すると、ＰＣに標準で備わっていることの多い「パーソナルファイアウォール」と、ネットワーク機器、もしくはネットワーク上のサービスとして機能する「ファイアウォール」の２つがあります。本記事ではネットワーク機器、ネットワーク上のサービスとして機能するファイアウォールに焦点を当て、解説します。

ＳＳＬサーバ証明書｜セキュリティ用語解説

ＳＳＬサーバ証明書（以下、サーバ証明書）とはその名の通り、ＷＥＢサイトが正当なサイトであることを証明する電子証明書です。あるＷＥＢサイトにアクセスした際にブラウザのアドレスバーに鍵マークが表示されているなら、それはＷＥＢサイトがサーバ証明書を使用していることを表しています。サーバ証明書には主に２つの役割があります。

オリエンタルコンサルタンツへのランサムウェア攻撃、新たに東京都の委託業務の被害も発覚

東京都は9月1日、業務委託先へのサイバー攻撃について発表した。

フィッシングは添付ファイルが効果的、5人に1人がクリック

フィッシング攻撃ついての調査結果で、メールによる被害が多いと発表されています。

厚生労働省委託先の大原学園で仕様書に反するクラウドでの不適切な名簿管理、誤送信で発覚

メールの誤送信とクラウドの設定ミスが同時に発生したことで、個人情報が漏洩してしまったということです。クラウドの設定ミスが発生する原因と対策について説明します。

インシデント対応コストは平均4億7千万円で過去最高更新

インシデント1回あたりの平均対応コストが過去最高額を記録したということです。

西日本を中心に記録的な大雨、気象庁Webサイトへの想定以上のアクセスで閲覧しにくい状況に

気象庁は8月20日、同庁のWebサイト閲覧に支障が生じた原因と対策について発表した。

仮想通貨取引プラットフォーム「Liquid(リキッド)」へ不正アクセス、約7.54億円相当の暗号資産流出を確認

暗号資産・仮想通貨取引所「Liquid」を運営するQUOINE(コイン)株式会社は8月20日、同社及びシンガポールにおける関係会社であるQuoine Pte. Ltd.（QPT社）にて、管理用ウォレットに不正アクセスがあり、暗号資産の流出を確認したと発表した。

ニップンへのサイバー攻撃、グループ会社を含む基幹システムやデータサーバも暗号化被害に

製粉業や食品業を営む東証1部上場企業の株式会社ニップンは8月16日、7月9日に公表したシステム障害について、サイバー攻撃による同社サーバへの不正アクセスで同社が保管する企業情報及び個人情報の一部流出の可能性が調査から判明したと発表した。

厚生労働省かたるフィッシングサイト確認、コロナ関連情報入力しないよう注意喚起

フィッシング対策協議会は8月13日、厚生労働省をかたるフィッシングに注意を呼びかけている。

リバースブルートフォース攻撃｜セキュリティ用語解説

「パスワードクラック」と呼ばれるパスワードを特定するいくつかの手法の中でも、最も単純な攻撃手法のひとつがブルートフォース攻撃です。ブルートフォース攻撃は別名「総当たり攻撃」とも呼ばれます。その手法は至ってシンプルで、ターゲットとなる会員制Webサイトのログイン用ユーザIDを固定し、パスワードで設定可能な文字種・文字数のあらゆるパターンを網羅的に用意してログインを試みます。文字通り「brute force（ブルートフォース）=強引に、力ずく」でパスワードを特定する手法です。

DDoS攻撃へのセキュリティ対策

DDoS（Distributed DoS; 分散型サービス拒否攻撃）については別記事「DDoS攻撃｜サクッと読めるセキュリティ用語解説」で説明しましたが、今回はDDoSからいかにシステムを守るかを見ていきましょう。

脆弱性診断はこうやってする

脆弱性診断（セキュリティ診断）は、情報システムや情報資産への侵害を許すような脆弱性や欠陥を、外部から検査して報告するサービスです。健康診断では聴診器やレントゲンで身体の情報を収集して病気の兆候を見つけるように、脆弱性診断では様々な方法でシステム応答を収集して脆弱性を発見します。

標的型攻撃｜サクッと読めるセキュリティ用語解説

標的型攻撃は攻撃対象と攻撃目的を定め、高度な技術を駆使するタイプの攻撃を指します。攻撃対象となる組織のメンバーにフィッシングメールやウイルスを送付することから開始するパターンが典型的ですが、それに限らず、高度で多様な攻撃が執拗かつ段階的に繰り返されることが特徴です。

日本舶用工業会のウイルス感染「トロイの木馬系マルウェア」と判明

一般社団法人日本舶用工業会は8月3日、同会事務局パソコンのウイルス感染について続報を発表した。同会では7月9日に第1報を公表していた。

『メルカリの「Codecov」利用に起因する不正アクセス詳細調査、新たに38件の外部流出確認』

株式会社メルカリは8月6日、5月21日に公表したコードカバレッジツール「Codecov」利用に起因する第三者からの不正アクセスによる同社のソースコードの一部及び一部顧客情報の流出について、調査結果を発表した。

岡山大学病院の医師にフィッシング攻撃、クラウドサービスのデータにアクセスできず

国立大学法人岡山大学病院は8月4日、フィッシング詐欺による患者情報漏えいについて発表した。(記事はこちら)

ツイッター投稿写真に個人情報写りこみ

大阪市は8月2日、大阪市立科学館におけるツイッター上での個人情報の漏えいについて発表した。(記事はこちら)

日清食品のライブ配信サービスが大量アクセスで中止

日清食品ホールディングス株式会社は8月2日、同社のライブ配信サービス「日清食品 POWER STATION[REBOOT]」で7月22日開催の「湊あくあSEASIDE AQUA FES」中止について、調査結果を発表した。(記事はこちら)

精神医療関係書類が行方不明、今後は埼玉県庁内サーバで書類やり取り

埼玉県は7月30日、精神保健福祉センターにて疾病（しっぺい）対策課から発送された個人情報を含む精神医療関係書類が所在不明であることが判明したと発表した。(記事はこちら)

Microsoft Windows 10にシステムフォルダーのACL設定不備による権限昇格の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は7月30日、Microsoft Windows 10におけるシステムフォルダーのACL設定不備による権限昇格の脆弱性について発表した。(記事はこちら)

テクニカルサポート詐欺実態調査、日本人の被害経験 世界平均下回る

日本マイクロソフト株式会社は7月26日、オンラインを通じたテクニカルサポート詐欺と、その消費者への影響に関する「テクニカルサポート詐欺グローバル調査 2021」の結果を発表した。(記事はこちら)

チャットサポートから顧客情報不正入手し無断契約変更：東京電力から東京ガスへ

東京電力エナジーパートナー株式会社は7月7日、同社の顧客情報を不正に入手した他社への電気契約の切り替えや勧誘が判明したと発表した。(記事はこちら)

NISC、2020年東京オリンピック・パラリンピック競技大会に乗じたサイバー攻撃に警戒

内閣サイバーセキュリティセンター（NISC）は7月21日、重要インフラ事業者等に向けて夏季休暇等に伴うセキュリティ上の留意点について注意喚起を行った。(記事はこちら)

補修材専門店「ECサイトプロショップ匠」に不正アクセス、約2年半分の決済情報流出

東証1部上場企業の株式会社キャンディルの子会社である株式会社キャンディルデザインは7月20日、同社が運営する補修材専門店「ECサイトプロショップ匠」に第三者からの不正アクセスがあり、顧客のクレジットカード情報が流出した可能性が判明したと発表した。(記事はこちら)

従業員1,100人の企業で1ヶ月約15件のメール関連インシデント発生 ～ バラクーダ調査

バラクーダネットワークスジャパン株式会社は7月16日、「バラクーダの注目する脅威：メール攻撃と受信の防御」についての調査結果を発表した。(記事はこちら)

JPCERT/CC 2021年第2四半期インシデント報告、改ざんサイトから詐欺サイトへの誘導 多数確認

一般社団法人 JPCERT コーディネーションセンターは、7月15日、2021年4月1日から6月30日までの四半期における「インシデント報告対応レポート」を公開した。(記事はこちら)

摂津金属工業へ、ランサムウェア「Avaddon」による攻撃、ログも感染し感染経路特定できず

摂津金属工業株式会社は6月28日、5月10日に発生した同社へのサイバー攻撃についての調査が完了したと発表した。(記事はこちら)

横浜市、165名の新型コロナ患者の氏名 感染経路 集団名等 疫学情報を28のマスコミにFAX送信

神奈川県横浜市は7月11日、同市内における新型コロナウイルス感染症患者の情報を誤送信したと発表した。(記事はこちら)

クラウドの「 責任分界点 」を解説

今回は、クラウドを利用を検討する際に注意すべき点の一つである「責任分界点」について説明いたします。

ゼロデイ攻撃｜サクッと読めるセキュリティ用語解説

みなさんは日常利用されるアプリのバグを発見したことはありますでしょうか？

DDoS攻撃｜サクッと読めるセキュリティ用語解説

DDoS攻撃とはDistributed Denial of Service Attackを訳した用語です。一つずつ見ていきましょう。

シャドーⅠＴに気を付けて

「組織が把握せずに組織内で利用されているIT（情報サービス や 情報機器）」をシャドーITと呼びます。 例えば、以下のようなものがシャドーITとして挙げられます。

オリンピック・パラリンピックに向け 鉄道各社セキュリティ対策

JRをはじめとする鉄道各社で「東京2020オリンピック・パラリンピック競技大会」に向けたセキュリティ対策について発表している。(記事はこちら)

「保育者向けECサイトに不正アクセス、最大2,365件のカード情報が流出の可能性」

株式会社ソングブックカフェは7月6日、同社が運営する保育者のためのECサイト「Hoick」に第三者からの不正アクセスがあり、顧客の個人情報流出の可能性が判明したと発表した。(記事はこちら)

金融機関のゼロトラストへの取り組み まだ少数

金融庁は6月30日、金融機関によるセキュリティ対策の促進及びモニタリングの参考等に活用するため「ゼロトラストの現状調査と事例分析に関する調査報告書」を公開した。(記事はこちら)

三菱電機製空調管理システムに複数の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は7月1日、三菱電機製空調管理システムにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。(記事はこちら)

2019年度の情報セキュリティ市場は1兆1,201億円、2021年予測は1兆2,127億円に

特定非営利活動法人日本ネットワークセキュリティ協会（JNSA）は6月30日、セキュリティ市場調査ワーキンググループによる「2020年度 国内情報セキュリティ市場調査報告書」を発表した。(記事はこちら)

ヤフーが民間との契約手続を100％電子化、1件あたりコスト削減3,000円

ヤフー株式会社は6月24日、2021年3月までの目標として掲げていた「民間取引先との契約手続きを100％電子サイン化する」の達成を発表した。(記事はこちら)

琉球銀行の社外クラウドへ不正アクセス、顧客情報流出の可能性

株式会社琉球銀行は6月24日、「りゅうぎんWeb申込サイト」の申込情報等を管理する社外のクラウド型管理システムに対し

半数の企業が自社データの４割をクラウドに保管、タレス調査

タレスDIS CPLジャパン株式会社は6月22日「2021年タレス・グローバル・データ脅威レポート」の調査結果を発表した。(記事はこちら)

インシデント対応解説｜Fastlyのネットワークの85％で障害発生、未確認のバグが原因

Fastlyのネットワークの85％で障害発生、未確認のバグが原因Fastly, Inc. は6月8日、同日発生した障害について詳細を発表した。(記事はこちら)

インシデント解説｜新サイト移行でトラブル多発、案内メールに別人ID記載やログイン時に別人情報表示

新サイト移行でトラブル多発、案内メールに別人ID記載やログイン時に別人情報表示

脆弱性解説｜Microsoft Power Appsの欠陥でメールやTeams のメッセージ、OneDriveのファイル盗取の可能性

Microsoft Power Appsの欠陥でメールやTeams のメッセージ、OneDriveのファイル盗取の可能性

インシデント対応解説｜富士フイルムへのランサムウェア攻撃、外部への情報流出の痕跡は確認されず ～ 懲戒処分内容

富士フイルムへのランサムウェア攻撃、外部への情報流出の痕跡は確認されず

ダークウェブの歴史と詳細を解説｜７割が知らない、ダークウェブ認知度

７割が知らない、ダークウェブ認知度

SQLインジェクション脆弱性を解説｜サンリオWebサイトにSQLインジェクション攻撃、会員メールアドレスが流出

サンリオWebサイトにSQLインジェクション攻撃、会員メールアドレスが流出

多要素認証を解説｜東証一部上場の人材派遣大手、全社員2万人に多要素認証導入

東証一部上場の人材派遣大手、全社員2万人に多要素認証導入

内部による不正アクセス対策を解説｜市職員がパスワード推測し人事情報を1年間不正に覗き見、自分のPCに保存も ～ 懲戒処分内容

市職員がパスワード推測し人事情報を1年間不正に覗き見、自分のPCに保存も ～ 懲戒処分内容

セキュリティ市場拡大の考察｜IDC Japan、セキュリティサービス市場は2025年に1兆230億円に拡大と予測

IDC Japan、セキュリティサービス市場は2025年に1兆230億円に拡大と予測

EDRを解説｜日本の大企業 EDR 導入 2 割止まり、タニウムが調査結果公表

日本の大企業 EDR 導入 2 割止まり、タニウムが調査結果公表

DMARC認証を解説｜日本の主要銀行 DMARC導入 28 ％どまり、なりすましメール詐欺対策に遅れ

プルーフポイント調査：日本の主要銀行 DMARC導入 28 ％どまり、なりすましメール詐欺対策に遅れ

講演動画｜AWS・Azure監視事例を紹介、クラウド時代のセキュリティ監視

2021年3月4日に開催された SecurityDays2021にて弊社執行役員中村が登壇しました。 講演のテーマは「クラウド監視」です。昨今、クラウドの設定ミスによる情報漏洩事故などが多発しているニュースが散見されます。

講演動画｜クラウドのセキュリティで 知っておくべきリスクと対策について

2020年10月7日に開催された SecurityDays2020にて弊社代表松野が登壇しました。「クラウドのセキュリティで気をつけるべきリスクと対策について」と題した講演は、クラウドのセキュリティに関する具体的なインシデント事例を9つご紹介。

クラウド診断とプラットフォーム診断の違いってなに

プラットフォーム診断は対象のシステムやプラットフォームに対し、外部のネットワークからの不正アクセスを受けるような設定（運用上不要なポートの解放等）が存在しないか確認したり、

情報漏洩はこうやっておこる｜クラウド編

近年、顧客管理システムや経理システム、メールや文書等の社内情報システム等、あらゆる機能がクラウド化されており、企業でのクラウドサービスの利用が一般的になってきています。

情報漏洩はこうやっておこる｜ECサイト編

近年は、専門的な知識やスキルが無くても手軽にWebサイトを作成できるCMS（Content Management Systeml）を用いることが主流になり、

バッファーオーバーフロー攻撃｜サクッと読めるセキュリティ用語解説

「バッファーオーバーフロー攻撃」は、コンピュータプログラムの典型的な誤りである「バッファーオーバーフロー」を悪用した、ソフトウェアシステムに対する攻撃手法です。

DaaS｜サクッと読めるセキュリティ用語解説

DaaS とは Desktop as a Service の略称で「ダース」と読みます。パソコン端末を会社の自席においたり、ノートPCを持ち歩いて業務用の作業環境を構築している方がいるかと思いますが

マネージドサービス｜サクッと読めるセキュリティ用語解説

マネージドサービスとは、ITシステムがサービスを継続的に提供できるための管理（マネージ）をベンダーに委託することで成立するサービスです。

CWPP｜サクッと読めるセキュリティ用語解説

CWPPは Cloud Workload Protection Platform の略称であり、クラウド ワークロードを中心とした監視と保護のセキュリティソリューションを意味します。

CSPM｜サクッと読めるセキュリティ用語解説

CSPMは Cloud Security Posture Management の略称であり、クラウド環境のセキュリティ構成を管理する仕組みを意味します。

クロスサイトスクリプティング脆弱性｜サクッと読めるセキュリティ用語解説

クロスサイトスクリプティング（XSS）とは、プログラミング言語の一つであるJavaScriptを、WEBサイト利用者のブラウザ上で不正に実行させることができる脆弱性、

APT｜サクッと読めるセキュリティ用語解説

APTは Advanced Persistent Threat の略称であり、「高度で継続的な脅威」を意味します。具体的には多額の資源を駆使した高度な攻撃活動、活動グループのことを指します。

不正アクセス｜サクッと読めるセキュリティ用語解説

不正アクセスと一言で表してもその行為はさまざまです。例えば、本来アクセス権のないWebサイトやサーバなどのコンピュータ機器、IoTを含むあらゆるネットワーク機器に対して不正にアクセス、

パスワードリスト攻撃｜サクッと読めるセキュリティ用語解説

近年、パスワードリスト攻撃による会員向けWebサイトへの不正ログインの被害がしばしば発生しており、大きな問題となっています。

ＳＱＬインジェクション｜サクッと読めるセキュリティ用語解説

SQLインジェクションとは、データベースへの命令であるSQL文を不正に書き換え送信することができる脆弱性、およびその脆弱性を利用した攻撃方法を指します。

CASB｜サクッと読めるセキュリティ用語解説

CASB は Cloud Access Security Broker の略称で「キャスビー」と読みます。主に組織の管理下に無いサービス利用（以下、シャドーIT）への対策を目的として利用されます。

クラウド設定不備、静岡銀行Webサイトから申込情報が閲覧された可能性

クラウド設定不備、静岡銀行Webサイトから申込情報が閲覧された可能性 株式会社静岡銀行は4月22日、社外クラウドサービス

クラウド上のフォルダアクセス権が付与されたメール誤送信

クラウド上のフォルダアクセス権が付与されたメール誤送信、コロナ陽性者一覧が閲覧可能 福岡県は1月6日、同県の新型コロナウイルス

三菱電機への不正アクセス調査結果公表、従業員のクラウドアクセス用アカウント情報が窃取

三菱電機への不正アクセス調査結果公表、従業員のクラウドアクセス用アカウント情報が窃取三菱電機株式会社は3月26日、

安易な Github 狩りなどもってのほか

安易な Github 狩りなどもってのほか、CSAJ が設定や運用解説資料公開一般社団法人コンピュータソフトウェア協会（CSAJ）は2月2日、

「Salesforce」のセキュリティ設定不備を突き「東村山防災navi」に第三者から不正アクセス

「Salesforce」のセキュリティ設定不備を突き「東村山防災navi」に第三者から不正アクセス東京都東村山市は2月15日

クラウド診断がなぜ必要なのか

クラウド診断は「クラウドサービス」の設定状況をセキュリティの観点からチェックする診断です。 クラウド診断では AWSのようなPaaS、Google Workspaceのようなオフィススイート、

SASE｜サクッと読めるセキュリティ用語解説

Secure Access Service Edge (SASE) とは、2019年8月にGartner（ガートナー社）が「The Future of Network Security Is in the Cloud」で提唱した

4年前の小学校勤務時の写真データ87枚ほか、撮影データ自動バックアップするクラウドサービスがスミッシング被害

4年前の小学校勤務時の写真データ87枚ほか、撮影データ自動バックアップするクラウドサービスがスミッシング被害

「Codecov(コードコブ)」への不正アクセスで「メルカリ」のソースコードと一部顧客情報等が外部流出

「Codecov(コードコブ)」への不正アクセスで「メルカリ」のソースコードと一部顧客情報等が外部流出

新型コロナワクチン接種にまつわる世界各国の詐欺事例を紹介

新型コロナワクチン接種にまつわる世界各国の詐欺事例を紹介

「セキュリティ⾃給率の低迷」「サプライチェーンリスク」「データ活用」他、NISC 今後取り組むべき 6 つの課題

「セキュリティ⾃給率の低迷」「サプライチェーンリスク」「データ活用」他、NISC 今後取り組むべき 6 つの課題

株式会社インターメスティックは5月15日、同社が運営するメガネブランド「Zoff」及び「GLASSAGE」が保有する顧客情報及び取引先情報の流出について発表した。

サーバへのランサムウェア攻撃、メガネブランド「Zoff」「GLASSAGE(グラッサージュ)」の顧客情報流出

EC-CUBE におけるクロスサイトスクリプティングの脆弱性について発表

EC-CUBE にXSSの脆弱性、悪用した攻撃によるクレジットカード情報流出も確認

内閣サイバーセキュリティセンターは5月7日、大型連休明けに確認が必要な情報について注意喚起を行った。

NISC、大型連休明けに確認が必要な4点の情報について製品名を挙げて注意喚起

5月6日、バッファロー製の複数のネットワーク機器においてデバッグ機能を有効化される問題を発表

製品の使用停止呼びかけ、バッファロー製の複数のネットワーク機器においてデバッグ機能を有効化される問題

脆弱性発見時の対応フェーズについても解説、CSAJ「ソフトウェアの安全性を意識した管理体制」公開

脆弱性発見時の対応フェーズについても解説、CSAJ「ソフトウェアの安全性を意識した管理体制」公開

東京都福祉保健局は4月27日、ワクチン接種 予約システムの不具合について発表した。

ワクチン接種予約システムに不具合、解析ツール用いれば個人情報閲覧可能

警察庁は4月22日、犯罪インフラ化するSMS認証代行への対策について発表した。

犯罪インフラ化する「SMS認証代行」、警察庁での対策を発表

株式会社静岡銀行は4月22日、社外クラウドサービスの設定不備により顧客の個人情報が第三者からの閲覧が判明したと発表した。

クラウド設定不備、静岡銀行Webサイトから申込情報が閲覧された可能性

経産省、トヨタやソニーのOSS管理手法事例集を公開

経産省、トヨタやソニーのOSS管理手法事例集を公開

サイゼリヤにランサムウェア攻撃、従業員や取引先等の個人情報漏えいの可能性

株式会社サイゼリヤは10月16日、同社サーバへの第三者からのランサムウェア攻撃について発表した。

不正アクセス「カレーハウスCoCo壱番屋ホームページ」問合せフォーム入力の個人情報流出

株式会社壱番屋は10月8日、同社が運営する「カレーハウスＣｏＣｏ壱番屋ホームページ」の「出張販売問合せフォーム」に入力のあった顧客の個人情報流出について発表した。

JC-STAR ～ IoT 製品のセキュリティ対策を 4 段階のレベルでラベリング

独立行政法人情報処理推進機構（IPA）は9月30日、「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」ページの開設を発表した。

「タリーズ オンラインストア」への不正アクセス、92,685 名の会員情報と 52,958 名のカード情報が漏えいの可能性

タリーズコーヒージャパン株式会社は10月3日、同社が運営する「タリーズ オンラインストア」への不正アクセスによる個人情報漏えいの可能性について発表した。

Unbound にサービス不能（DoS）攻撃が可能になる脆弱性

株式会社日本レジストリサービス（JPRS）は10月7日、Unboundの脆弱性情報が公開されたと発表した。

再発防止策「VPNを使用しない」株式会社イセトー

情報処理サービスを行う株式会社イセトーは10月4日、7月3日に公表していたランサムウェア被害について、調査結果を発表した。