← ニュース一覧

のニュース

主要ニュース

アソビュー！の会員情報1582万件が流出、委託先アララのメール配信サービスへの不正アクセスで　氏名や生年月日、利用した施設名も

アソビューは11月3日、メール配信に使っているアララのサービス「アララ メッセージ」が不正アクセスを受け、預けていたアソビュー！会員の情報の一部が外部に流出したと発表しました。件数は15,821,184件です。流出したのは、メールアドレス、会員ID・会員番号、氏名、性別、生年月日、会員登録日、最終ログイン日、電話番号、郵便番号、お住まいの地域、チケットの購入日時や種類、利用施設名、利用日時、参加人数、キャンセルの有無などです。パスワードとクレジットカード情報は預けておらず、流出の対象に含まれないとしています。悪用による被害は確認されていません。流出したメールアドレスがどの会員のものかは特定できておらず、アララの調査を待って、アソビューが精査したうえで対象の人に個別に連絡します。特定までの間は、すべての会員に、アソビューを装う不審なメール、SMS、電話への注意を呼びかけています。同社は11月2日にアララから報告を受け、同日、アララ メッセージを使うすべてのメール配信を止め、認証情報を無効にしました。

記事掲載日
発生・公表日
（アソビューが公表した日。アララから報告を受けたのは11月2日）
発生・被害地域
不明

出典

ノジマオンラインと中古スマホ買取サイトに不正アクセス、会員約700万件の氏名や住所、電話番号などが漏えい　2サイトは一時休止

ノジマは11月2日、ネット通販のノジマオンラインと中古スマホ買取サイトの会員管理システムが第三者に不正アクセスされ、会員情報が漏えいしたと発表しました。11月1日に不正アクセスを検知し、同日に情報が外部へ漏れたことを確認したといいます。対象は退会した人を除く約700万件です。漏えいしたのは、氏名の漢字とカナ、生年月日、性別、郵便番号、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレスです。2つのサイトはクレジットカード情報を保持していないため、カード情報は含まれません。不正利用や二次被害は調査中としています。外部アクセスの遮断、警察への相談、2サイトの一時休止などを行い、再開は安全が確認できしだい知らせるとしています。ノジマオンラインのお知らせでは、パスワードの強制リセットを案内し、案内に沿って新しいパスワードを設定するよう求めています。

記事掲載日
発生・公表日
（ノジマが公表した日。不正アクセスの検知と情報の漏えいの確認は11月1日）
発生・被害地域
不明

出典

セブン‐イレブンの宅配7NOW、委託先CBcloudのピックゴーへの不正アクセスで注文者の氏名や住所、電話番号が流出

セブン‐イレブン・ジャパンは11月3日、宅配サービス7NOWの配達を一部委託しているCBcloudのピックゴーが第三者の不正アクセスを受け、7NOWを使った人の情報の一部が外部に取得されたと発表しました。ピックゴーへの不正アクセスは11月1日にCBcloudの調査で分かり、7NOWの情報も含まれると3日に分かりました。取得されたのは、届け先である注文者のカナ氏名が164,180件、カナ氏名と住所が4,762件、カナ氏名、住所、電話番号、郵便番号が209件です。注文日、注文した店舗の名前と住所、商品名も一部取得されました。クレジットカード情報とIDやパスワードは漏れていないとしています。7NOWは通常どおり動いており、不正利用の被害は確認されていません。対象の人には、登録の電話番号宛にSMSで順次連絡します。CBcloudは不正アクセス元の通信の遮断、悪用されたアカウントの停止、悪用された不具合の修正を行い、個人情報保護委員会には報告済みです。

記事掲載日
発生・公表日
（セブン‐イレブン・ジャパンが公表した日。ピックゴーへの不正アクセスは11月1日に判明し、7NOWの情報が含まれると3日に判明）
発生・被害地域
不明

出典

Google、Android搭載セットトップボックスに仕込まれたバックドアXCPEの網を解体　130万台超が感染、製造元が意図的に組み込んだと判断

Googleの脅威情報部門は11月2日、Android搭載のセットトップボックスに最初から入っていたバックドアXCPEを、業界の協力企業とともに解体したと公表しました。感染した機器は130万台以上です。Googleは、製造元のVideostrong Technologyが金銭目的で意図的に作り、仕込み、運用していたと高い確度で判断しています。Videostrongは、犯罪者にアクセス権を売り、広告詐欺、住宅用プロキシへの無断登録、追加のマルウェアの読み込みに使わせていました。バックドアはファームウェアの領域にあり、利用者が消しても再起動で入り直します。Googleは制御用のドメインとサーバーを止める法的措置をとり、Videostrongの認定Android機器の製造を禁止しました。ドメインの停止で、少なくとも1000万台の追加の感染機器にもつながらなくなるとみています。日本の警察庁も協力した機関に挙がっています。利用者には、信頼できるメーカーの機器を買い、信頼できるアプリストアのアプリだけを入れ、Google Play Protectを有効にしておくよう勧めています。未使用の回線を共有して報酬を得るとうたうアプリにも注意するよう求めています。

記事掲載日
発生・公表日
（Googleが公表した日。解体の作業は公表の前の週に実施）

出典

短報

シーメンスSIMATIC IoT2050 Advancedに入るNode-REDの認証なしの欠陥CVE-2026-58115、実際の攻撃で悪用　修正版は8月に公開済み

セキュリティ企業VulnCheckは11月2日、Node-REDの管理用APIに認証がない脆弱性CVE-2026-58115が実際の攻撃に悪用されたと公表しました。同社が設けた囮の環境で10月30日に確認し、11月1日までに同じ送信元から16件の攻撃を見たといいます。細工した設定がHTTPのリクエスト1回で送り込まれ、外部のサーバーからLinux向けのボットなどが取得されました。再起動後も残る裏口が仕込まれた例もあります。ただし、VulnCheckはボット本体を入手しておらず機能は分かっていないとしています。この脆弱性はシーメンスが8月11日の勧告SSA-834709で公表したもので、Industrial OSにNode-REDを入れたSIMATIC IoT2050 Advancedの、V4.3.4.1より前のすべての版が対象です。深刻度を示すCVSSの基本値は10.0です。修正版はV4.3.4.1で、回避策はNode-REDの削除か、公式の手引きに沿った強化です。VulnCheckは、Node-REDをどこで動かしていても外部から届くかを確かめ、不審なexecノードやHTTPの入り口が仕込まれていないか、設定した流れを確認するよう勧めています。

記事掲載日
発生・公表日
（VulnCheckが悪用を公表した日。確認は10月30日。シーメンスの勧告は8月11日）

出典

横浜ゴム、メール配信のアララへの不正アクセスでニュース配信の登録者の会社名とメールアドレスが漏えい

横浜ゴムは11月3日、ニュースリリースなどのメール配信に使うアララ メッセージを運営するアララが不正アクセスを受け、同社の「ニュースリリース配信」と「ニュースメール配信」に登録した人の会社名とメールアドレスが漏えいしたと発表しました。10月28日に委託事業者から連絡を受けた時点では、アララから同社に関係する漏えいは確認されていないと聞いていましたが、11月3日に漏えいしたとの連絡を受けたといいます。2つの配信は10月28日から止めており、個人情報保護委員会への報告も済んでいます。横浜ゴムは、同社やアララを装った不審なメールが届くおそれがあるとして、心当たりのないメールは開封やURLのクリックをせず削除するよう求めています。

記事掲載日
発生・公表日
（横浜ゴムが公表した日。10月28日に委託事業者から不正アクセスの連絡を受け、11月3日に漏えいの連絡を受けた）
発生・被害地域
不明

出典

大阪市の行政オンラインシステム、TKC経由でアララのメール配信サービスへの不正アクセスにより利用者のメールアドレスや氏名が漏えいした可能性　第1報

大阪市は11月3日、行政オンラインシステムの提供事業者TKCが使うアララのメール配信サービスが不正アクセスを受け、システムの利用者のメールアドレスや氏名などが漏えいした可能性があると、第1報を発表しました。TKCから報告を受けたのは11月2日です。件数は、漏えいの有無も含めて確認中です。大阪市のシステムとTKCのデータセンターへの不正アクセスは確認されていません。メール配信サービスの緊急メンテナンスで、10月31日17時40分ごろからメールを送れず、利用者登録、メールアドレスの変更、パスワードの再設定ができない状態です。復旧の時期は未定で、メール送信以外の機能は使えます。大阪市は、アララのサービスが悪用されてクレジットカード会社を装うメールが送られているとして、受け取ったらURLにアクセスせず削除するよう求めています。

記事掲載日
発生・公表日
（大阪市が第1報を公表した日。TKCから報告を受けたのは11月2日）
発生・被害地域
不明

出典

使っている製品・サービスからニュースを探す