主要ニュース
モスカード約113万枚分のカード番号とPINが流出 店頭での利用は問題なし、利用履歴の確認を
モスフードサービスは10月23日、プリペイド式の「モスカード」の運営を委託しているバリューデザインが第三者の不正アクセスを受け、モスカード1,133,070枚分のカード番号（16桁）、PIN番号（6桁の暗証番号）、残高が外部に流出したと公表しました。不審なアクセスがあったのは10月14日から18日です。氏名などの個人情報は含まれていません。同社は流出したカード番号のPINを強制的に変更しました。店頭・ネット注文・お席注文での利用は問題ないとしています。一方、Web上での残高照会、公式アプリへの新規登録、ネット注文でのゲスト購入ができない場合は、専用窓口への連絡を求めています。あわせて、チャージ額の引き去りなど身に覚えのない利用がないか利用履歴を確かめるよう呼びかけています。窓口はモスカードお問い合わせ専用窓口（9:00〜22:00）で、10月26日までは03-3496-8322、27日以降は0120-395-126です。
- 記事掲載日
- 発生・公表日
- （委託先への不審なアクセスがあった期間の初日（10月14日〜18日）。公表は10月23日）
- 発生・被害地域
- 不明
出典
「ブラストメール」の不正アクセス、ピッコマのメールマガジン宛先100万件超のアドレスが流出 JR四国も最大約3万件
メール配信サービス「ブラストメール」への不正アクセスで、利用企業の公表が続いています。漫画アプリのピッコマは10月24日、メールマガジン1回分の配信で宛先になっていた1,002,404件のメールアドレスが流出したと公表しました。流出したのはメールアドレスだけで、ピッコマのアカウント、パスワード、購入情報への影響はないとしています。同社はメールマガジンを止め、ブラストメールから送られるメールをピッコマの正規のメールとして扱わない設定に変えました。ピッコマや出版社を名乗る不審なメールやSMSのリンクを開かないよう呼びかけています。JR四国も22日、「JR四国ツアーWeb」メールマガジンの登録者最大約3万件の氏名、生年月日、住所、メールアドレスが見られたり取得されたりした可能性があると公表しました。
- 記事掲載日
- 発生・公表日
- （ブラストメールの運営会社が不審なアクセスを検知し全サービスを止めた日。ピッコマの公表は10月24日）
- 発生・被害地域
- 不明
出典
「グッドスマイルカンパニー公式ショップ」に不正アクセス、会員の住所や注文、カード下4桁などが見られる
フィギュアなどを扱うグッドスマイルカンパニーは10月23日、通販サイト「グッドスマイルカンパニー公式ショップ」が不正アクセスを受け、会員の個人情報などが見られたと公表しました。10月19日15時過ぎから22日22時ごろにかけて、サイトの管理情報が複数回閲覧されていました。原因は脆弱性とみられ、改修済みです。見られた可能性があるのは、氏名、読み仮名、性別、住所、電話番号、メールアドレス、注文内容（お届け先を含む）、決済方法と決済状況、カードのブランド・番号の下4桁・有効期限です。カード名義、カード番号の全桁、セキュリティコードは含まれません。サイトは閉鎖しており、作業完了の見込みはまだ示されていません。対象の可能性がある会員には順次メールで連絡するとしています。
- 記事掲載日
- 発生・公表日
- （不正な閲覧が始まった日（10月22日まで）。公表は10月23日）
- 発生・被害地域
- 不明
出典
競輪・オートレース投票の「チャリロト」に不正アクセス、373人の口座情報や投票履歴が取得される
競輪・オートレースの投票サービス「チャリロト」を運営するチャリ・ロトは10月24日、アプリのシステムが脆弱性を突かれて不正アクセスを受け、チャリカ会員373人の情報が取得されたと公表しました。不正アクセスは10月21日9時30分ごろから13時ごろです。取得されたのは、氏名・生年月日・住所・電話番号・メールアドレスなどの会員情報、銀行名・支店・口座番号・名義、カードの名義・下4桁・有効期限・ブランド、残高や入出金の履歴、投票履歴です。ログインパスワード、カード番号の全桁、セキュリティコードは漏れていないとしています。22日にアプリを止め、23日に脆弱性を直して再開しました。対象者には個別に連絡するとしています。
- 記事掲載日
- 発生・公表日
- （不正アクセスがあった日（9時30分〜13時ごろ）。公表は10月24日）
- 発生・被害地域
- 不明
出典
AIの接続ソフト「LiteLLM」に不正な版1.107.0が混入、入れた環境は乗っ取られた前提で鍵の作り直しを
複数のAIサービスへの接続をまとめるオープンソースソフト「LiteLLM」の配布手順が乗っ取られ、認証情報を盗むマルウェアを含む版1.107.0が10月21日に公開されました。開発元によると、PyPI（Pythonの部品の配布所）では日本時間21日20時39分から22時23分ごろ、Dockerイメージ（v1.107.0、latest、main-latest、main-stable）では20時46分から23時20分ごろまで不正な版が配られていました。今は削除されています。この時間に版を固定せずに入れたり起動したりした環境では、pipを含めPythonを動かす前に不正なファイルを消し、1.106.2に固定して作り直し、クラウドの権限、AIサービスのAPIキー、データベースのパスワードなど、その機械から使えた秘密情報をすべて作り直す必要があります。
- 記事掲載日
- 発生・公表日
- （不正な版が公開された日（日本時間21日夜））
- 発生・被害地域
- 不明
出典
「お名前.com デスクトップクラウド」の不正アクセス、GMO代表が不正取引の損失を補償すると表明
GMOインターネットグループは10月25日、「お名前.com デスクトップクラウド」への不正アクセスについて代表の熊谷正寿氏のブログを公開しました。ブログでは、対象となり得るサーバーは26,739件で、国内外70社以上の証券会社・FX事業者などにある利用者の取引口座への不正な操作が続いたと説明しています。そのうえで、不正アクセスによる不正取引の損失はGMOインターネットが確認したうえで補償し、取引所などが返金に応じない場合も全額を支払うとしています。24日の第5報では、利用者に自分のPC・スマホのウイルスのフルスキャンとデータのバックアップを急ぐよう求めています。取引ツール（MT4/MT5など）を使っていた人には、FX取引に使っていない端末から口座のパスワードを変え、全セッション（ログイン中の接続）を切るよう改めて呼びかけています。相談窓口は03-5456-2560（24時間）です。
- 記事掲載日
- 発生・公表日
- （不正なプログラムを確認した日。第5報は10月24日、代表ブログは25日）
- 発生・被害地域
- 不明
出典
短報
アプリ実行基盤の「Railway」に不正アクセス、利用者の環境変数が復号された可能性 全員に秘密情報の作り直しを要請
アプリを動かすクラウドサービス「Railway」は10月21日（米国時間）、利用者の環境変数（APIキーやDBのパスワードなどを入れる設定値）を保存するシステムで不審な動きを検知したと公表しました。第三者が暗号化された環境変数にアクセスし、一部は復号した中身を得た可能性があるとしています。影響は一部の利用者に限られる見込みですが、念のため全利用者に、Railwayに入れているすべての環境変数・APIキー・非公開レジストリの認証情報を作り直し、各サービスのログに不審な動きがないか確かめるよう求めています。
- 記事掲載日
- 発生・公表日
- （不審な動きを検知し公表した日（米国時間））
- 発生・被害地域
- 不明
出典
プログラミング言語Rubyの正規表現の不具合、GitLabで外部から乗っ取りにつながったため修正版4.0.9などを公開
Rubyの開発チームは10月23日、Ruby 4.0.9、3.4.12、3.3.13を公開しました。正規表現（文字列のパターン）を組み立てる処理の不具合で、GitLabはこれを使うと細工したパターンでサーバーを乗っ取れることを確かめ、4件のCVE（CVE-2026-89078など）として自社製品で修正済みです。影響を受けるのは、外部から受け取った文字列をそのまま正規表現として組み立てるアプリ（Regexp.newなど）です。開発者が書いた正規表現だけを使うアプリは対象外です。Regexp.timeoutやパターンの長さ制限では防げないため、修正版への更新が勧められています。更新できない場合は、信用できない入力から正規表現を組み立てないよう求めています。
- 記事掲載日
- 発生・公表日
- （Rubyの修正版の公開日（UTC））
出典
DNSサーバーソフト「BIND 9」に脆弱性4件、一部は外部から命令を実行されるおそれ 9.20.30に更新を
DNSサーバーソフト「BIND 9」を開発するISCは10月21日、脆弱性4件を公表しました。最も深刻なCVE-2026-94300は、GSS-TSIG（Windowsドメインなどで使う署名方式）を使う環境で、署名済みのメッセージを再送されるとメモリーが壊れ、条件によっては外部から命令を実行されるおそれがあります。ほかの3件（CVE-2026-19630など）は、細工した通信で停止したりCPUやメモリーを使い果たしたりするおそれがあるものです。回避策はなく、9.20.30（開発版は9.21.27）への更新が案内されています。影響を受ける版には9.18系以前の古い版も含まれます。悪用は確認されていません。
- 記事掲載日
- 発生・公表日
- （ISCの公表日（米国時間））
出典
Windowsの起動前に入り込む攻撃ツール「BlackX」、更新済みでも手動の設定をしていないPCで安全な起動の仕組みを回避
カスペルスキーは10月21日、Windowsが起動する前に動く攻撃ツール（ブートキット）「BlackX」を見つけたと発表しました。中央アジアの外交関連組織を狙った攻撃で使われ、同社は攻撃グループAPT41によるものと中程度の確度で見ています。BlackXは、正しいソフトだけを起動させる「セキュアブート」を、既知の脆弱性「Baton Drop」（CVE-2023-24932）を突いて回避します。マイクロソフトは修正を出していますが、守りを完全に有効にするには管理者が手動で設定する必要があり、その設定をしていないと更新済みでも攻撃を受けるおそれがあります。攻撃者はすでに管理者権限を奪った後でBlackXを入れていました。
- 記事掲載日
- 発生・公表日
- （カスペルスキーの発表日）
出典
EC一元管理システム「WASABI SWITCH」に不正アクセス、コメ兵グループのネット注文客473件の情報が流出
コメ兵ホールディングスのグループ会社は10月23日、ネット通販の注文をまとめて管理するワサビ社のシステム「WASABI SWITCH」が10月14日に不正アクセスを受け、グループの通販サイトの注文客の情報473件が流出したと公表しました。流出したのは氏名、住所、電話番号、メールアドレス、注文内容などです。カード情報は決済代行会社が管理しており対象外です。このシステムを使う店舗の購入者には、注文情報を使った不審なメールが届いていることも確認されています。対象は、10月3日〜16日に注文したKOMEHYOのモール店舗（メルカリShops、eBayなど）と、10月14日に注文したBRAND OFFの通販・モール店舗です。
- 記事掲載日
- 発生・公表日
- （委託先のシステムに不正アクセスがあった日。公表は10月23日）
- 発生・被害地域
- 不明
出典
フジッコのキャンペーン応募受付の委託先に不正アクセス、延べ約1万5500件の個人情報が漏えいした可能性
食品メーカーのフジッコは10月22日、キャンペーンの応募受付を委託している会社のサーバーが不正アクセスを受け、応募者の個人情報が漏えいした可能性があると公表しました。対象は「カスピ海ヨーグルトシリーズ『もっと！とろぉ～もっちキャンペーン 第2弾』」と「フジッコ大感謝祭キャンペーン」の非会員向け応募フォームで、延べ約15,500件です。氏名、年齢、性別、職業、婚姻状況、家族構成、電話番号、メールアドレス、住所、アンケートの回答が含まれます。会員向けフォーム、はがき、Xでの応募は対象外です。同社や事務局が、レシートの再提出、個人情報の再入力、送料や手数料の支払いを求めることはないとしています。問い合わせはフジッコキャンペーン事務局0120-954-659（平日10:00〜17:00）です。
- 記事掲載日
- 発生・公表日
- （漏えいの可能性が判明した日。公表は10月22日）
- 発生・被害地域
- 不明
出典
