靖國神社は11月11日、お守りなどを扱うオンライン授与品・頒布品サイトが外部から不正アクセスを受け、利用者の個人情報の一部が漏えいしたと発表しました。不正アクセスは10月28日に判明し、サイトは同じ日に公開を止めています。件数は約1万4500件で、調査によって変わる可能性があります。漏えいしたのは氏名、メールアドレス、パスワードに関する情報、登録日時などのアカウント管理情報です。パスワードはハッシュ値という、そのままでは読めない形に変換されていますが、元のパスワードを割り出されるおそれがあるとしています。カード番号、住所、電話番号、購入履歴の漏えいは確認されていません。サイトが止まっているため、このサイトのパスワードは今は変更できません。同じパスワードを他のサービスでも使っている人は、そちらを早めに変更してください。
SMBC日興証券は11月11日、持株会の事務で使う管理システムが第三者の不正アクセスを受け、一部の会員の個人情報が外部に漏えいしたと発表しました。持株会は、勤め先の株を社員が少しずつ積み立てて買う仕組みです。同社は11月9日に不正アクセスを確認し、同じ日にシステムへのアクセスを遮断してサービスを止めました。対象は最大5万6487人です。漏えいした、または漏えいのおそれがある項目は、持株会名、会員識別番号、氏名、住所、投資銘柄、配当金と税、持分残高、振替先口座の情報です。項目は会員によって異なります。電話番号とメールアドレスはこのシステムに登録されていないため含まれず、二次被害は確認されていないとしています。勤め先の持株会でこのシステムを使っている人は、同社を名乗る不審な連絡に注意し、気になることは専用窓口に問い合わせてください。
生活雑貨店のKEYUCAを運営する河淳は11月11日の第2報で、委託先のナノテックが管理するサーバーが10月21日に不正アクセスを受け、顧客情報が漏えいしたと発表しました。11月9日に外部の専門機関の調査で漏えいを確認しています。対象は漏えいの可能性があるものを含めて最大7万7105件です。内訳は、家具やカーテンの注文者の一部が最大530件で、項目は氏名、住所、電話番号、注文情報です。名入れサービスの利用者と壁面収納シミュレーションで見積もりを作った人が最大7万6575件で、項目は氏名、電話番号、注文情報です。クレジットカード情報はこのサーバーでは扱っていません。カーテン見積もりと壁面収納シミュレーションの2つのシステムは止まったままです。心当たりのある人は、同社や配送業者を装った不審な電話、SMS、郵便、訪問に注意してください。
就職情報サービスのワンキャリアは11月12日、社内で使うNotion AIのチャット履歴の一部が外部に流出した可能性があると発表しました。Notionは文書管理ツールです。NotionはAIの処理をFireworks AIという外部企業に委託しており、その会社が不正アクセスを受けました。ワンキャリアの履歴には、サービス利用者らの氏名や連絡先など、最大約2300件の個人情報が含まれていたとしています。Notionのヘルプページによると、影響を受けたワークスペースは全体の1%未満で、対象の顧客には連絡済みです。Notionは、影響を受けたデータは流出したものとして扱うよう勧めています。仕事でNotion AIを使う企業の担当者は、チャットにパスワードやAPIキーを入力していた場合、すぐに変更または再発行してください。APIキーは、サービス同士をつなぐための鍵です。
多くのウェブサイトで使われているウェブサーバーソフトのApache HTTP Serverは11月11日、3件の脆弱性を直したバージョン2.4.71を公開しました。脆弱性はソフトの弱点のことで、日本のJVNも12日に周知しています。JVNは国内の脆弱性情報サイトです。最も深刻なのは、HTTP/2という通信方式を扱うmod_http2の欠陥です。深刻度は最上位のCriticalで、メモリーが壊れ、外部から任意のコードを実行されるおそれがあります。対象は2.4.55から2.4.70です。ほかに、証明書を自動で管理するmod_mdで処理が落ちる欠陥があり、2.4.30から2.4.70が対象です。深刻度Lowの欠陥もあわせて直っています。自社や委託先でApacheを使ってウェブサイトを運用している担当者は、2.4.71以降に更新されているか確認してください。
企業向けセキュリティサービスのサイバーセキュリティクラウドは11月12日、従業員が業務で使っていたGitHubの認証情報1件が外部に流出し、第三者に不正に使われていたと発表しました。GitHubはプログラムを保管する開発サービスです。一部顧客の企業名、氏名、メールアドレスや通信に関する情報が漏れたおそれがあり、件数は調査中です。サービスへの影響は確認されていないとしています。問い合わせ先はcsc-customer[at]cscloud.co.jpです。
インテルは米国時間11月10日、Windows向けのWi-FiソフトとBluetoothドライバーの脆弱性9件を公表しました。ドライバーは、部品を動かすためのソフトです。最も高い深刻度はHighで、多くは機器の動作を止められるおそれがあるものです。対象は第10世代から第14世代のCoreやCore Ultraを積んだパソコン、AX210やBE200などの無線部品です。インテルは、Wi-FiソフトとBluetoothドライバーを24.50以降に更新するよう勧めています。
JVNは11月12日、ソフトバンクのAirターミナル6のバージョン1.01.80以前に、OSコマンドインジェクションという、外部から命令を実行させられる弱点があると公表しました。管理画面にログインできる人が、最も強い権限で任意の命令を実行できるおそれがあります。ソフトバンクは9月に修正したファームウェアを公開しており、ネットにつながっている端末には自動で適用されます。利用者の操作は必要ありません。
暗号化通信の部品として多くのサーバーや製品で使われているOpenSSLは米国時間11月10日、深刻度Lowの脆弱性5件を公表しました。QUICという通信方式の処理で情報が漏れたり停止したりする問題や、AES-GCM-SIVという暗号方式の不備などです。修正版は4.1.1、4.0.4、3.5.10です。サーバーや製品でOpenSSLを使っている担当者は、修正版への更新を確認してください。
警察庁は11月11日、今年9月末までの特殊詐欺の暫定値を公表しました。認知件数は3万3329件で前年同期より11.0%増え、被害額は2610.4億円で22.8%増えました。手口別では、SNSで投資話を持ちかけるSNS型投資詐欺が7580件、991.0億円で最も多くなっています。警察官を名乗るニセ警察詐欺は件数が減った一方で、被害額は842.8億円に増えました。最初の接触は9割以上が電話です。