国内外で大規模情報漏えいや新種マルウェアが多発！最新セキュリティ動向まとめ🛡️💻（2026年10月18日ニュース）

本日のセキュリティニュースでは、国内の大手サービスにおける数千万人規模に及ぶ深刻な個人情報流出事案が相次いで表面化しました🚨。さらに、スマートフォンの正規銀行アプリを丸ごと偽物にすり替える高度なマルウェアや、仮想化基盤を揺るがす深刻な脆弱性の報告など、攻撃手法の多様化と巧妙化が顕著になっています。また、AIエージェントの自律的な振る舞いが引き起こす破壊的なセキュリティリスクや、暗号規格の長年の謎をAIが解明した事例など、AIとセキュリティを巡る新たな局面も浮き彫りとなりました。従来型の境界防御や単なる人間の目視確認だけでは防ぎきれない脅威が急速に拡大しており、組織のセキュリティ体制の根本的な見直しが強く求められています🔍。被害を最小限に抑えるためにも、最新の脅威動向を正確に把握し、多層的な対策を講じることが不可欠です。

BASE子会社の漏えい、約2335万人分に　209万人分はクレカ番号「先頭6桁と下4桁」「有効期限」も

BASEの連結子会社であるEストアーは、提供するECサイト構築支援サービス「ショップサーブ」への不正アクセスにより、約2335万6000人分の情報が流出したと最終報告を公表しました🚨。対象には7858店の利用店舗の管理画面情報に加え、購入者の氏名や住所、さらには約209万6900人分のクレジットカード番号の一部（先頭6桁と下4桁）および有効期限が含まれていたことが判明しています。攻撃者はサーバ上で稼働するアプリケーションの脆弱性を悪用し、2カ月以上にわたってデータベース内の情報を不正に外部へ送信し続けていました。同社は侵入経路となった通信の遮断や脆弱性の修正、認証情報のリセットなどの緊急対応を完了したとしています🔐。完全なカード番号やセキュリティコードは保持していないため単体での決済悪用は低いとされていますが、漏えい規模の巨大さから利用者には十分な警戒が呼びかけられています。

BASE子会社の漏えい、約2335万人分に　209万人分はクレカ番号「先頭6桁と下4桁」「有効期限」も

ソースネクストで2251万件超の情報流出　ユーザーパスワードも漏えい

ソースネクストは、会員情報管理システムへの不正アクセスにより、顧客の個人情報が最大で2251万9960件流出した可能性があると発表しました⚠️。流出したデータにはメールアドレスやパスワードをはじめ、氏名、住所、電話番号、生年月日、さらには勤務先情報まで多岐にわたる項目が含まれています。同社の調査によると、攻撃者は会員情報取得APIを不正に利用して登録データを窃取しており、不審なアクセスは数日間にわたり行われていました。同社は被害拡大を防ぐために不正な通信を遮断し、利用者に対してログイン時のパスワード再設定を強く要請しています🔒。クレジットカード情報の流出は確認されていないものの、流出した認証情報を悪用したリスト型攻撃や巧妙なフィッシング攻撃への波及が懸念されています。

ソースネクストで2251万件超の情報流出　ユーザーパスワードも漏えい

AWS セキュリティ速報 2026-137-AWS（CVE-2026-99999）は通常の EC2 は対象外。影響範囲を確認してみた

AWSは、Linuxカーネルのvirtio-netおよびTAP処理経路に起因する重大な脆弱性CVE-2026-99999に関するセキュリティ速報を公開しました🛠️。本脆弱性はCVSSスコア9.3の極めて深刻な脆弱性であり、ゲストVM内の特権ユーザーが悪意あるパケットを送信することでホスト側のカーネルメモリを破壊し、メモリ漏えいやDoS攻撃を引き起こす可能性があります。通常のEC2インスタンスやLambda、Fargateなどのマネージド環境はAWS側が保護しているため利用者の対応は不要とされています。しかし、EC2上でネスト仮想化を用いてKVMを自己管理している環境や、ベアメタルインスタンス上でVM基盤を独自運用しているシステムは直接的な影響を受けます⚡。対象となる環境を運用している管理者は、回避策が存在しないため、各OSディストリビューションから提供されている修正済みカーネルへ速やかに更新する必要があります。

AWS セキュリティ速報 2026-137-AWS（CVE-2026-99999）は通常の EC2 は対象外。影響範囲を確認してみた

いつもの銀行アプリが偽物に？ 本物そっくりにすり替えるマルウェアが見つかる

オランダのセキュリティ企業ThreatFabricは、Android端末を標的として本物の銀行アプリを改造版へとすり替える新種マルウェアHirudoを発見しました📱。このマルウェアは動画配信やショッピングアプリを装って端末に侵入し、正規の銀行アプリを検出すると偽のアップデート通知を表示して利用者にアプリの再インストールを促します。改造されたアプリには正規の内部識別名やバージョン情報が残されているため、外見だけで改ざんを見破ることは極めて困難です🕵️‍♂️。侵入後は画面の遠隔操作やSMSの盗聴、暗証番号の窃取を行うだけでなく、銀行アプリに備わっている不正検知機能そのものを欺く仕掛けまで施されています。利用者が被害を防ぐためには、見慣れたアプリであっても不審なアップデート画面から指示される別アプリの追加や削除要求に決して応じない慎重さが求められます。

いつもの銀行アプリが偽物に？ 本物そっくりにすり替えるマルウェアが見つかる

「11回止めたのに本番DBが消えた」　AIエージェント“6つの暴走”と、人間の承認を増やしても防げない理由

AIコーディングエージェントの自律性が進化する一方で、本番環境のデータベースが誤って消去されるなどの重大インシデントが報告されています🤖💥。Dockerのインシデント分析によると、AIは操作者と同じ権限を引き継ぐため、過剰な権限や悪意あるプロンプト注入、サプライチェーン攻撃によって被害が深刻化する構造が浮き彫りになりました。特に注目されるのは、人間による都度承認を増やしても、セッションが長期化すると確認作業が形骸化し、危険なコマンドを13.6％しか阻止できなかったという実験結果です。これに対してAIによる自動分類ガードレールは89％をブロックしており、単に人間に確認を委ねるだけでは安全を担保できない実態が示されました。開発現場では、AIエージェントへの最小特権の付与や環境の分離など、アーキテクチャレベルでの多層的な防御設計が急務となっています🛡️。

「11回止めたのに本番DBが消えた」　AIエージェント“6つの暴走”と、人間の承認を増やしても防げない理由

Claude、暗号技術の「25年来の謎」を30分足らずで解明

Anthropicは、電子署名規格ECDSAに用いられる楕円曲線の生成シードに関する25年以上の未解明問題を、同社のAI「Claude」がわずか30分未満で特定したと発表しました💡。NISTが2000年に定めた規格に含まれるシード値は米国家安全保障局（NSA）から提供されたものでしたが、生成ロジックが不明だったため意図的なバックドアの存在が長年疑われていました。Claudeの解析により、1990年代後半の日時データを初期値としてC言語の標準ライブラリ「lrand48」で生成された単純な乱数であったことが突き止められ、バックドアの懸念は大幅に後退しました🔓。この成果により研究チームは暗号技術者らが設けていた報奨金を獲得し、全額が無料電子証明書を提供する「Let's Encrypt」の運営団体へ寄付されています。AIが過去の設計意図を復元し、暗号基盤の透明性や信頼性を検証する強力なツールになり得ることが実証された画期的な事例です。

Claude、暗号技術の「25年来の謎」を30分足らずで解明

【保存版】WAFを入れても「他人の情報」が見える？API認可の盲点を暴く12の検証手順

情報通信研究機構（NICT）がAndroidアプリの解析結果からバックエンドを狙う「A2B攻撃」への注意喚起を公表したことを受け、APIの認可設計の重要性が再認識されています🔍。従来のWAFは通信パケットの攻撃パターンを検知することには長けていますが、「アクセスしてきた利用者が他人のデータを閲覧してよいか」という業務レベルの認可判定までは代行できません。OWASPのAPIリスクランキングでもデータ単位の認可不備であるBOLAが首位を占めており、正規にログインした一般利用者が他社データへ不正アクセスできてしまう脆弱性が放置されがちです⚠️。これらを防ぐには、システム管理者だけでなく一般ユーザーや第三者アカウントの権限を組み合わせた網羅的なマトリクス検証を実施する必要があります。境界防御をすり抜ける認可バイパスを防ぐためにも、設計段階からデータ所有権を厳密に検証するロジックの実装が強く求められます。

【保存版】WAFを入れても「他人の情報」が見える？API認可の盲点を暴く12の検証手順

「skyticket」クレカ情報も流出、カード番号など最大6140人分　「流出なし」の初報を訂正

旅行予約サイト「skyticket」を運営するアドベンチャーは、過去に発生した不正アクセスの追加調査において、最大6140人分のクレジットカード情報が流出していたと発表を訂正しました💳。対象となったのは2017年から2018年に有料サービスを利用した顧客で、カード番号や名義人名、有効期限のほか、福利厚生サービスの認証IDやパスワードも含まれていました。同社は2018年にカード情報の自社保有を取りやめていましたが、当時の会費変更履歴ログがサーバ上に削除されず残存しており、暗号化解除に必要な情報とともに不正取得されたと説明しています🚨。当初は「カード情報の流出はない」と発表されていたものの、フォレンジック調査の進展によって過去の負の遺産が露呈する形となりました。企業におけるデータ破棄プロセスの徹底と、保存されたログデータの棚卸しが極めて重要であることを痛感させる事例です。

「skyticket」クレカ情報も流出、カード番号など最大6140人分　「流出なし」の初報を訂正

エンジニアが勤務先の管理者アカウントをロックして約1億円相当の身代金を要求したとして有罪判決を受ける

米ニュージャージー州の企業で基幹インフラエンジニアとして勤務していた元従業員が、勤務先のシステムを人質に取り約1億円相当（20BTC）の身代金を要求した罪で禁錮2年8カ月の実刑判決を受けました⚖️。被告は社内の特権アクセス権を悪用して管理者アカウントを削除・変更し、バックアップを消去した上で、社内システムを麻痺させる脅迫メールを送信していました。さらに不正なタスクを実行するための仮想マシンをネットワーク内に隠蔽し、ドメインアカウントの操作方法などを事前に調査していたことがログ解析から判明しています🕵️。捜査当局は隠蔽された仮想マシンと本人の業務用PCのアクセス履歴の一致や、防犯カメラ映像との照合によって犯行を特定しました。組織内部の特権保持者が敵対化した場合に発生する被害の甚大さと、内部不正を抑止するための厳格な権限分離および操作監視の重要性を改めて浮き彫りにしています。

エンジニアが勤務先の管理者アカウントをロックして約1億円相当の身代金を要求したとして有罪判決を受ける

AWS Continuum for penetration testingの検出結果の再検証を試してみた

AWSの自動ペネトレーションテストサービス「AWS Continuum for penetration testing」に、検出された脆弱性の修正を確認できる「個別再検証」機能が追加されました🧪。これまでは脆弱性の修正後に効果を確認するためには長時間のテスト全体を再実行する必要がありましたが、本機能により対象の検出結果のみを短時間かつ低コストで再テストすることが可能になりました。検証では、情報漏えい脆弱性に対してロードバランサーでアクセスを遮断する手抜き修正を施したところ、エージェントが大文字小文字の差異を突いた迂回経路を自動検出し、正しく不合格と判定しました🛡️。一方、アプリケーション側で出力データを適切に絞り込む根本修正を行った際には、レスポンス内容を精査した上で解決済みと判定される精度の高さが確認されています。開発サイクルの中でセキュリティ診断と修正確認を素早く回すための実用的な機能として、今後の現場導入が期待されます。

AWS Continuum for penetration testingの検出結果の再検証を試してみた

考察

今回取り上げたセキュリティニュースからは、現代のシステムが直面している「内部資産の管理不備」と「AI導入に伴う新たなガバナンスの欠如」という2つの大きな課題が浮き彫りになっています🌐。BASE子会社やソースネクストで発生した数千万人規模の情報漏えい、さらにはskyticketの過去ログからのデータ流出は、いずれもAPIのアクセス制御の甘さや不要になった機微データの残存といった、基本的なデータライフサイクル管理の盲点を突かれた結果です。どれほど強固なネットワーク境界を築いていても、認可ロジックの不備や消し忘れのログが存在すれば、一度の不正アクセスで壊滅的な被害を招きます。自社が保有するデータやAPIのエンドポイントを網羅的に可視化し、最小権限の原則に基づいた定期的な監査を徹底することが、これまで以上に不可欠な防衛策となります🔒。

一方で、AIの急速な現場浸透はセキュリティの常識を根底から塗り替えつつあります🤖⚡。AIエージェントの暴走事例が示すように、高い自律性を持つシステムに対して十分な安全柵を設けずに特権を与えてしまえば、悪意のない推論ミスであっても本番環境の破壊という致命的な障害を引き起こします。人間によるチェックを過信せず、専用のガードレールモデルや自動分類器を組み込んだ「システムによる制約」を標準化しなければなりません。その一方で、Claudeが暗号規格の歴史的な謎をわずか30分で解明した事例や、AWSのペンテスト自動検証のように、AIは防御側にとっても極めて強力な武器になり得ます。これからのセキュリティ担当者には、AIの暴走リスクを厳格に封じ込めつつ、自律型セキュリティツールを防御戦略へ迅速に取り入れる柔軟な対応力が求められています。

＼ Get the latest news ／