最新のセキュリティ情報
10月21日(水)昨日
High-Severity Flaws Exploited in Three Days as Ransomware Dominates Q3: Rapid7
Rapid7’s Q3 analysis finds high-severity flaws exploited within three days on average, while AI appeared in just 8% of tracked incidents. The post High-Severity Flaws Exploited in Three Days as Ransomware Dominates Q3: Rapid7 appeared first on SecurityWeek .
個人情報流出が判明、意図しない売買も - 岩井コスモ証券
岩井コスモ証券は、インターネット取引システムにおいて個人情報が流出したことを明らかにした。意図しない取り引きも確認されたという。
「代金後払いサービス」で個人情報が流出 - ヤマト運輸
ヤマト運輸の「クロネコ代金後払いサービス」がサイバー攻撃を受けた問題で、顧客の個人情報が流出したことを明らかにした。
Attackers Abuse UpdraftCentral Keys to Plant Backdoors on WordPress Sites
Unknown threat actors breached TeamUpdraft's website and potentially gained unauthorized access to customers' connection keys for UpdraftCentral, UpdraftVault, and UpdraftClone, using them to backdoor WordPress sites. TeamUpdraft is the developer behind UpdraftPlus, a popular WordPress backup plugin with over four million active installations. The vendor also offers UpdraftCentral, a remote
「ふるさとチョイス」に不正アクセス - 会員情報が流出
ふるさと納税サイト「ふるさとチョイス」が第三者によるサイバー攻撃を受け、登録会員の個人情報が流出したことがわかった。
State Bank of India Confirms Data Leak After 3,897 Customer Records Found on Dark Web
State Bank of India has identified 3,897 customer records containing personal information in a set of about 375,000 records available on the dark web, and it does not yet know where the data came from. The state-owned bank, India's largest, said in a stock-exchange filing dated October 21 that it "has experienced an incident involving the loss of certain data." The count is
不正アクセス急増は“SaaS離れ”を招くか？ 露呈したもう1つの「SaaS is Dead」リスク
不正アクセス急増に伴い再燃する「SaaS is Dead」を巡る議論。ただ、これまでとは少々事情が違うようだ。
「カーセンサー」などに不正アクセス、最大371万件の個人情報漏えいか 問い合わせ客の氏名・住所など
リクルートは10月21日、中古車情報サイト「カーセンサーnet」などへの不正アクセスにより、最大約371万件の個人情報が漏えいした可能性があると発表した。中古車販売店に問い合わせた利用者の氏名や住所などが対象で、販売店側の情報も含まれる。
フジテレビに不正アクセス、メディア関係者の個人情報最大730件漏えいか 番組宣伝システムが被害
フジテレビは10月20日、番組宣伝システムが第三者による不正アクセスを受け、メディア関係者の個人情報が最大730件漏えいした可能性があると発表した。
FBI says SafePay ransomware gang ‘among most active’ with more than 600 victims since 2024
The FBI and cyber agencies in the UK and Germany said SafePay is targeting businesses and critical infrastructure by guessing passwords, exploiting vulnerabilities and using phishing attacks.
California warns all public school students of data stolen in contractor breach
The CDE released multiple statements over the last week warning the state’s students that assessment contractor Educational Testing Service (ETS) suffered a months-long data breach.
23andMe successor settles with California for $6 million over cybersecurity failings
California Attorney General Rob Bonta announced a settlement under which 23andMe's successor will pay $6 million to resolve allegations that the company did not properly protect customers' data before a 2023 breach.
Qilin and INC Ransomware Groups Exploit Palo Alto Networks Flaw to Bypass MFA
Ravie Lakshmanan reports: Palo Alto Networks has disclosed that it’s continuing to observe exploitation of a now-patched security flaw impacting PAN-OS and Prisma Access by ransomware actors. The activity relates to CVE-2026-0257 (CVSS score: 7.8), an authentication bypass flaw that could be exploited by bad actors to set up unauthorized VPN connections. It was patched... Source
Qilin and INC Ransomware Groups Exploit Palo Alto Networks Flaw to Bypass MFA
Palo Alto Networks has disclosed that it's continuing to observe exploitation of a now-patched security flaw impacting PAN-OS and Prisma Access by ransomware actors. The activity relates to CVE-2026-0257 (CVSS score: 7.8), an authentication bypass flaw that could be exploited by bad actors to set up unauthorized VPN connections. It was patched by Palo Alto Networks in May 2026 and was
10月20日(火)
Hackers Use Autonomous AI Agents to Breach Company Websites, Target Over 1,200 Sites
A Chinese-speaking criminal pointed autonomous AI agents at company websites and let them break in with almost no help, and a security researcher watched it happen because the operators left their control panels open on the internet. The agents tried more than 1,200 sites and reached websites belonging to more than 100 companies, including farm-equipment maker Deere, appliance company
Welsh firms ‘Password1’ and ‘Test 2’ fails led to hackers stealing children’s data
Alex Hickey reports: Two Welsh organisations have been censured by the Information Commissioner’s Office (ICO) after a ransomware attack led to the theft of personal data belonging to 3,300 individuals, the vast majority of whom were children. Ogi Networks Limited (ONL) and the Local Government Data Unit – Wales, known as Data Cymru, received reprimands... Source
Pryx – Four Dead in Cairo, a Cybercrime Past and…
Simone Kraus writes: On October 9, 2026, Reuters introduced the world to Adem El Adeb, a 19-year-old so called former cybercriminal known as Pryx, who claimed to have abandoned illegal hacking and started a cybersecurity company, but that doesn’t change what he does until the FBI was attacked. He described himself as a retired threat... Source
Attorney General Tong Announces $625,000 Settlement with Frontier Over Data Breach
Connecticut Attorney General William Tong has been active in litigating data breaches. The press release below relates to a 2024 breach of Frontier Communications by RansomHub: Attorney General William Tong today announced a $625,000 settlement with Frontier Communications Parent Inc., resolving an investigation into an April 2024 data breach that compromised the sensitive personal information,... Source
U.S. bans DeepSeek from government agency systems amid AI rift with China
Jenny Lee reports: The Trump administration banned Chinese AI startup DeepSeek from civilian U.S. government agencies, citing security concerns. The Department of Homeland Security on Monday made public the order requiring federal civilian agencies to remove DeepSeek-related technology from their IT systems and barring them from procuring DeepSeek products and services. The ban applies to... Source
複数システムに不正アクセス、個人情報が流出 - ユミルリンク
ユミルリンクは、同社が運営するメール配信サービスのサーバが外部から不正アクセスを受け、個人情報が流出したことを明らかにした。影響などの詳細について調べている。
NEC委託先にサイバー攻撃 - 顧客システムで障害、個人情報流出
NECは、システム開発や保守業務の委託先がサイバー攻撃を受け、複数の顧客が影響を受けたことを明らかにした。顧客のシステムで障害が発生したほか、情報流出なども確認されている。
Suspected cyber incident blocks Parkview Health patient portal in Indiana and Ohio
DysruptionHub reports: The health system disabled its network after suspicious activity, leaving MyChart and doctor searches unavailable and directing urgent medical needs to phone calls or walk-in clinics. A suspected cyber incident left Parkview Health patients without MyChart and online doctor searches Monday after the Indiana-based health system disabled its network in response to suspicious... Source
Studioへの不正アクセスについてまとめてみた
2026年10月16日、ノーコードのWebサイト制作サービス「Studio」を運営するStudioは、同社が利用するクラウド環境への第三者による不正アクセスにより、登録している顧客の情報が外部に流出した可能性があると公表しました。ここでは関連する情報をまとめます。 社内調査で発覚 Studioは、第三者がStudioの一部機能の脆弱性を悪用して同社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていたと公表した。この状態は10月14日にStudioが対処するまで続いていた。現時点で確認できている不正アクセスの期間は9月30日から10月1日(日本時間)。実際に第三者に…
Russian APT28 Breaches NATO Naval Shipbuilder in NATO Country, Deploys New Reflective Loader
The Russia-linked state-sponsored threat actor tracked as APT28 (aka BlueDelta, Fancy Bear, and Forest Blizzard) has been attributed to attacks targeting two member states of the North Atlantic Treaty Organization (NATO). The Symantec Threat Hunter Team, which is tracking the activity cluster under the moniker Swallowtail, involved the use of a backdoor called HOOKEDGE and a previously
栃木県警、全職員の情報流出か アルカディア不正アクセス、他県警でも被害判明相次ぐ 報道
防災情報配信サービスのアルカディアが不正アクセスを受けた問題を巡り、栃木県警の全職員約3900人分の個人情報が流出した可能性があると複数のメディアが報じた。神奈川や埼玉、福岡など他の県警でも同様の被害が相次ぎ判明している。
NECの委託先にサイバー攻撃 正規アカウント悪用し顧客のサーバ暗号化、個人情報の漏えいも
NECは10月20日、システム開発・保守業務の委託先が9月下旬にサイバー攻撃を受け、その影響でNECの顧客に不正アクセスや情報漏えいの被害が出たと発表した。漏えいした情報には個人情報も含まれるという。
NICTとMITRE、AIエージェントの脆弱性探索競技を12月に開催
情報通信研究機構（NICT）とMITREは、メール業務で活用されているAIエージェントのセキュリティ検証をテーマとした競技イベント「AI Breach Challenge 2026：Email Agent Security」を米国で12月に開催する。
ウェブサーバ「nginx」に複数脆弱性 - 3件が「クリティカル」との評価も
ウェブサーバ「nginx」や関連製品に複数の脆弱性が判明した。サービス拒否やコード実行、認証の回避、機密情報の漏洩などにつながるおそれがある。
Assurance Retraite: 70,372 件のアカウント情報が流出
lassuranceretraite.fr / 侵害日 2024-09-01 / 漏洩データ: Dates of birth, Email addresses, Family members' names, Government issued IDs, Income levels, Marital statuses, Names, Phone numbers, Physical addresses In September 2024, the French national pension fund Assurance Retraite suffered a data breach affecting approximately 370k assistance beneficiaries . The data included 70k unique email addresses along with names, dates of birth, physical addresses, phone numbers, income levels, marital statuses, French social security numbers (NIR) and contact details of relatives or other nominated contacts. In…
メドレー、不正アクセスで停止中のサービスを作り直して再開へ 従来システムは再稼働させず
メドレーは10月19日、不正アクセスを受けて停止している医療機関向け業務支援システム「@link（アットリンク）」について、22日から一部機能の提供を再開すると発表した。従来のシステムは再稼働させず、別の環境に新たに構築したサービスにデータを移行して提供する。
社内の光回線申込受付管理システムで侵害、影響を調査 - ニフティ
ニフティは、同社の光回線サービスへ申し込んだ顧客の個人情報が外部へ流出した可能性があることを明らかにした。
ソースネクストへの不正アクセスについてまとめてみた
2026年10月15日、ソースネクストは、同社が管理する会員情報に対する第三者の不正アクセスで、会員の個人情報が外部に流出したことが判明したと公表しました。ここでは関連する情報をまとめます。 会員情報取得APIの不正利用 第三者は2026年10月9日10時頃から、会員情報取得APIを不正に利用して会員情報を取得していた(出典: 3)。10月13日9時頃、社員が会員情報を管理するシステムへの不正アクセスを見つけ、ソースネクストは外部からの不正な通信を遮断するなどの緊急措置を講じて13時36分までに封じ込めを完了した(出典: 3, 5)。以後、不正アクセスは確認されていないとしている(出典: 3)…
10月19日(月)
ニフティ、54万件超漏えいの可能性 光回線の申し込みシステムに不正アクセス
ニフティが、同社の回線申し込みや受付管理に関するシステムが不正アクセスを受け、最大54万2513件の情報が漏えいした可能性があると発表した。
阪急阪神百貨店などの共通ID、ほぼ全会員分漏えい 約126万件 予約サイトに不正アクセス
エイチ・ツー・オー リテイリングは10月19日、子会社の阪急阪神百貨店が運営する予約サイトなどが不正アクセスを受け、グループ企業の共通会員ID「H2O ID」に関する個人情報約126万件の一部が漏えいしたと発表した。
止まらない不正アクセス、背景にAIの“超高速攻撃”か 識者「使われていない方が不自然」
相次ぐ不正アクセスに、専門家は「個々のインシデントについて、攻撃にAIが使われているかどうかを外部から断定はできない」としつつ、攻撃の特徴から「使われていないと考える方が不自然」との見方を示す。
情報漏えい「経験あり」は企業の16.2％、「発生したか分からない」の声も──帝国データバンク調査
帝国データバンクは10月19日、情報漏えいの発生状況に関する企業アンケートの結果を発表した。漏えいやその可能性のある事案を経験した企業は16.2％で、大企業に限ると3割に上った。
OpenCode Console Breach May Have Exposed OpenAI, Anthropic, and Google API Keys
An intruder reached a legacy system at OpenCode on the night of October 16 and may have exposed the third-party AI provider keys that users had saved in OpenCode Console, the company said. Console is OpenCode's optional hosted service: a workspace saves its own OpenAI, Anthropic, or Google key there, and Console uses that key to call the provider so team members can use the models without
ソースネクスト、パスワードなぜ平文で流出 「暗号化していたが、鍵にアクセスできるシステムに侵入された」
「暗号化されたパスワードを復号するための鍵にアクセス可能なシステム（API）に対して、不正アクセスが行われた」「復号鍵そのものは流出していないが、パスワードが復号された状態で外部に流出したことを確認している」とソースネクスト。
家電量販のJoshin、不正アクセスで一部サービス停止 個人情報漏えい「可能性否定できず」
家電量販店「ジョーシン」を運営するJoshinは10月17日、第三者による不正アクセスを受け、一部のサービスを提供できない状態になっていると発表した。個人情報漏えいの可能性は否定できないとして、個人情報保護委員会に報告している。
10月18日(日)
US Cybersecurity Job Postings Fall 26% as AI Security Engineer Demand Soars
Kevin Townsend reports: Data for CyberSN’s jobs report is aggregated from JobSpikr (with duplicates removed). The various job titles are then analyzed and assigned to CyberSN’s taxonomy of 45 cybersecurity functional roles in ten categories. The result is an assessment of the job market by skills required rather than by the recruiting companies’ role titles.... Source
More NHS staff sacked for accessing records of Nottingham stabbing victims
Ellie Ng reports: More NHS staff have been dismissed for inappropriately accessing medical records of the Nottingham stabbing victims, taking the total sacked so far to 15, a trust said. Students Barnaby Webber and Grace O’Malley-Kumar and grandfather Ian Coates were stabbed to death in the city by Valdo Calocane in 2023. During its investigation,... Source
Gîtes de France: 117,574 件のアカウント情報が流出
gites-de-france.com / 侵害日 2026-05-16 / 漏洩データ: Booking details, Email addresses, Names, Phone numbers, Physical addresses In May 2026, the French holiday rental network Gîtes de France suffered a data breach affecting some of its departmental branches. The incident exposed hundreds of thousands of customer records, including 118k unique email addresses alongside names, phone numbers, postal addresses and booking details.
NY AG James and CT AG Tong Secure $2.7 Million from Boston Children’s Health Physicians and XTIUM for 2024 Data Breach
NY’s Attorney General and CT’s Attorney General held both a provider and its IT company liable for a data breach. The settlement also includes a corrective action plan to improve data security. New York Attorney General Letitia James and Connecticut Attorney General William Tong today secured $2.7 million from Boston Children’s Health Physicians (BCHP), a... Source
Hack exposes data on millions of California students
Eric He and Tyler Katzenberger report: Personal information about millions of California students was stolen in a hack of a non-profit organization that contracts with the state’s Department of Education, officials announced Friday. The names, addresses, demographic information and disability status of all 7 million students enrolled in California public schools over the past three... Source
10月16日(金)
「skyticket」で確認された3つの不正アクセスについてまとめてみた
2026年10月9日、アドベンチャーは同社が運営する比較予約サイト「skyticket」のシステムが第三者による不正アクセスを受け、顧客の個人情報が外部に流出した、または流出したおそれがあると公表しました。ここでは関連する情報をまとめます。 発生時期も原因も異なる3件の不正アクセス アドベンチャーは10月9日、企業サイトに「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」を掲載し、適時開示も行った。「それぞれ異なる経路による次の3件の不正アクセス」とした(出典: 3, 4)。同社はクレジットカード番号とパスポートの画像を保存しておらず(カード情報は決済代行会社が保管)、いずれの案件…
10月15日(木)
産婦人科向けシステム「アットリンク」への不正アクセスについてまとめてみた
2026年10月15日、メドレーは、運営する産婦人科向けシステム「アットリンク」で第三者による不正アクセスを確認したとして、アプリやWEB予約サイトなどの提供を一時停止していると公表しました。ここでは関連する情報をまとめます。 患者等の個人情報が漏えいした可能性 メドレーは10月15日、アットリンク、アットリンクアプリおよび周辺サービス(以下「アットリンク等」)のシステムに対する第三者による不正アクセスを確認したと公表した。10月11日に外部の専門機関から不正アクセスの可能性があるとの情報提供を受けて調査を開始し、その結果として確認したとしている(出典: 5)。情報提供を受けてから提供停止まで…
10月14日(水)
Crunchbase: 559,908 件のアカウント情報が流出
crunchbase.com / 侵害日 2026-01-22 / 漏洩データ: Email addresses, Employers, Job titles, Names, Phone numbers, Physical addresses, Social media profiles In January 2026, the private company intelligence platform Crunchbase was targeted in a ShinyHunters "pay or leak" extortion attempt . Data allegedly obtained from the company was subsequently published publicly and included 560k unique email addresses, largely belonging to leads and business contacts. Other data included names, physical addresses, phone numbers, job titles, employers and LinkedIn profiles. Crunchbase later confirmed that a threat ac…
デンマークの880万人分流出、原因はパスワード「123456」 ハッカー「侵入は難しくなかった」 現地報道
デンマークの中央個人登録簿「CPR」から約880万人分の個人情報が流出した問題で、攻撃者を名乗る人物が同国紙Politikenに手口を明かした。侵入には、照会権限を持つ民間企業のパスワード「123456」を使ったという。
防災情報配信サービス「SpeeCAN RAIDEN」への不正アクセスについてまとめてみた
2026年10月13日、アルカディアは、同社が運営する防災情報配信サービス「SpeeCAN RAIDEN」が第三者による不正アクセスを受け、個人情報が漏えいした可能性があると公表しました。ここでは関連する情報をまとめます。 不正アクセスの開始から全サービスの復旧まで アルカディアが10月19日に公表した「不正アクセスの経過と当社の対処について」によると、不正アクセスは10月11日6時26分に始まった。原因は、添付ファイルを公開しているメディアサーバーに、内部のURLにアクセスできるディレクトリパストラバーサルが存在していたこと。内部ソースファイルが取得されて設定ファイル内のサービス間ログイン用…
10月13日(火)
キャッシュレスサービス「IDARE」、約13万人の個人情報漏えい 残高や取引履歴なども
プリペイド式のキャッシュレスサービス「IDARE」を運営するFivotは10月13日、不正アクセスにより約13万人分の個人情報が漏えいしたと発表した。