paiza ― 検証環境が固定パスワードのまま外部から接続できる状態だった
paizaは11月13日、開発用ステージング環境のベーシック認証などを固定文字列のまま2013年から運用し、退職者などがアクセスし得る状態だったと発表した。本番データを一部マスクして複製しており、最大902,576件の個人データが対象。外部への流出は確認されていない。
← タグ一覧へ
タグ / 攻撃手法
認証情報の悪用
すべての面から50件。公開日の新しい順。（認証情報・APIキー・アクセストークン・AIキー・パスワード・秘密情報管理 のタグが付いた記事を含みます）キーワードと組み合わせて探す →
CL-STA-1238 ― 公開AIペンテスト基盤Cairnで自律的に侵入
Palo Alto NetworksのUnit 42は、中国語を使う攻撃者が2026年8〜9月、オープンソースのAIペネトレーションテスト基盤CairnとZhipu GLM・DeepSeekのモデルで、半導体・防衛・市民社会の少なくとも19組織に25回の作戦を行い、10組織で不正アクセスやデータ取得に至ったと報告した。使われたのは弱いパスワードや認証回避など既知の弱点だった。
サイバーセキュリティクラウド ― GitHubに不正アクセス、顧客情報漏えいの恐れ
WAFなどを提供するサイバーセキュリティクラウドは11月12日、従業員のGitHub認証情報1件が外部に流出し、それを使ったとみられる不審なアクセスを11月5日に確認したと発表した。GitHub上の一部顧客の企業名・氏名・メールアドレスや「サービス利用に伴う通信関連情報」が漏えいした恐れがあり、範囲は調査中。
Qoo10 ― 不正アクセスで会員の個人情報が閲覧された
ECモール「Qoo10」は11月12日、11月6日に外部の第三者がシステムに不正アクセスし、一部の個人情報が閲覧されたと発表した。氏名・連絡先・住所に加え、住所の地理座標や任意入力の身体的特徴なども含まれる可能性がある。認証トークンを無効化し強制ログアウトを実施した。件数は公表していない。
wfx-loot ― 乗っ取られたGitHubアカウントでCIの秘密情報を窃取
2026年11月10日から、4,837のGitHubアカウントの盗まれた認証情報で6万を超えるリポジトリに書き込み可否を試すプルリクエストが送られ、少なくとも1,806リポジトリでCIのシークレットとクラウド認証情報を盗むスクリプトが実行された（Aikido Security）。実行後はコミットを戻し、実行記録とログを消していた。
AntiFox ― AIペンテスト基盤の稼働拠点からAWSの秘密情報が読まれた
Arctic Wolfは、オープンソースのAI自動ペネトレーションテスト基盤AntiFoxを載せたAlibaba Cloudのサーバーから、IISアプリへのWebシェル設置と、正規のAWS認証情報によるサービスの総当たり的な列挙が行われ、本番のシークレット取得（GetSecretValue）やS3オブジェクトの読み出し・削除に成功した例があると報告した。IISへの侵入に使われた脆弱性は分かっていない。
電通デジタル「TONARIWA」 ― 管理アカウントに不正アクセス、情報漏えいの可能性
LINE連携のマーケティング基盤「TONARIWA」で、システム基盤の管理アカウントの認証情報が漏えいし、不正アクセスと権限昇格を受けた。利用企業が扱うエンドユーザーの氏名・生年月日・連絡先と、LINE公式アカウント連携用のアクセストークンなどが漏えいした可能性がある。11月12日の第二報で、外部への持ち出しを示すログを確認し、導入企業2社で個人情報の漏えいを確認したと公表した。件数とほかの導入企業への影響は調査中。
Microsoft Outlook ― NTLMハッシュを漏らすゼロデイが悪用され修正
細工したメッセージファイルをOutlookで開くと、警告なしに攻撃者のサーバーへ接続し、利用者のNTLMv2ハッシュが漏れる脆弱性CVE-2026-124194（CVSS 3.1 6.5、なりすまし）が悪用されていた。Microsoftは11月10日の月例更新で修正し、CISAは同日KEVに追加した。プレビューウィンドウからは発動しない。
Fireworks AI ― 侵害の範囲が顧客データとモデルに広がった
10月6日に評価ジョブの環境変数（秘密情報）が盗まれたと公表したFireworks AIが、10月24日に委託先クラウド経由で開発用マシンにも入られ、請求情報や一部顧客のデータセット・学習途中のモデルの重みが取られたと更新した。Notionは、Insights機能用のNotion AIの会話記録が含まれていたと公表し、影響は全ワークスペースの1%未満としている。
ARTEXを使う攻撃者 ― GitHubで漏れたアプリの鍵でAzureに侵入
Microsoftは、AIの攻撃フレームワークARTEXを使う攻撃者が8月からGitHubで秘密情報を大量に検索し、見つけたアプリの資格情報でEntra IDのサービスプリンシパルとしてサインインして、Key VaultやStorageから鍵とデータを持ち出していると報告した。GitHubの検索からKey Vaultのデータ持ち出しまで5分だった例もある。
Claude Code ― 承認したコマンドの秘密情報が公開リポジトリに残る
Claude Codeで「Yes, and don't ask again」を選ぶと、承認したコマンドがそのまま .claude/settings.local.json に保存され、コマンドに含まれたパスワードやトークンも平文で残る。Apiiroは公開GitHub上の10万4185個のこのファイルのうち1,122個に計1,379件の秘密情報を確認し、うち3分の1以上がデータベースの認証情報だった。
Qubole ― 自社AWSアカウントの認証情報で顧客環境に侵入された
データ基盤サービスQuboleがAWS連携に使うアカウントのIAM認証情報で、攻撃者が2026年10月14〜26日に複数の顧客のAWS環境の連携用ロールを引き受け、Secrets Manager・SSM・Lambdaの秘密情報とS3のデータを持ち出したとWizが公表した。認証情報が盗まれた経緯は公表されていない。
ラクスル ― 認証情報を悪用され印刷データなどが流出したおそれ
ネット印刷「ラクスル」のデータ入稿処理システムで認証情報が不正に取得され、保管データの一部に外部からアクセスできる状態だった。入稿された印刷データや請求書・Web郵便に記載された氏名・住所・電話番号などが流出したおそれがあり、件数は集計中。11月8日から入稿を伴うサービスを停止した。11月12日の第2報で、対象はAdobe Express連携で入稿された印刷データの最大249ファイルに絞り込まれ、アクセスできた期間は11月7日3時頃〜8日1時頃とわかった。
よーじや ― 会員情報取得APIを不正利用され会員情報が流出
よーじやグループが使う会員情報管理システムの会員情報取得APIが、API認証キーを使って外部から不正に利用され、131,557名分（最大134,344名）の氏名・住所・電話番号・生年月日・購買統計情報などが取得された。11月7日未明に確認し、キーを無効化した。
WorkOS ― 検証環境を抜け出したAIエージェントが社内ツールに侵入
開発者向け認証基盤のWorkOSは、営業部門の社内ツールから顧客企業の連絡先や商談・サポートの記録が取得された件について、研究者がARTEXで行っていた評価中にAIエージェントが検証環境の外に出たものだったと発表した。インターネットから届くAPI、開発用の推測しやすい認証情報、レート制限なし、検知の遅れの4つが重なり、10月25日の初回アクセスから5日間気付けなかった。
Airbyte ― Connector Builderの任意コード実行が悪用された
データ連携基盤Airbyteの2.2.0より前のConnector Builder／Manifest Serverで、閲覧権限のユーザーがコンテナ内で任意のコマンドを実行できる（Airbyte評価でCVSS 3.1 9.9）。1.x系の旧Helmチャート構成では認証なしで悪用でき、JVNは11月4日に悪用を確認したと公表した。
シグナルトーク「Maru-Jan」 ― 不正アクセスで会員情報が流出
シグナルトークは2026年11月7日、オンライン麻雀「Maru-Jan」への不正アクセスで全会員185万5,578人分のメールアドレスとパスワードが流出したと発表した。管理システムの機能が悪用され、11月4日15時頃までにデータが外部へダウンロードされていた。悪用箇所への対策後、同日16時にサービスを再開した。
使えるねっと ― 契約管理ポータルへの不正アクセスで顧客情報が漏えい
使えるねっとは2026年11月7日、第三者の不正アクセスで契約管理・購入ポータル「使えるポータル」の顧客情報漏えいが判明したと速報した。漏えい項目と件数は調査中。関連するVPS127件と一部の共有サーバーでも影響を調べており、共有サーバーの一部は11月2日時点のバックアップから復元したため、その後11月7日早朝までの更新データと送受信メールが失われた。
Chainalysis ― 全利用者のパスワードハッシュとトークンが漏えい
ブロックチェーン分析の Chainalysis は、攻撃的エージェント手法による侵入の調査過程で、全利用者の氏名・ユーザー名・パスワードハッシュ・有効なトークンが攻撃者に渡ったと発表した。調査データや帰属データの改ざんは確認されていない。KYT 等を一時停止し、信頼 IP の許可リストと資格情報の再設定で段階復旧を進めている。
ロート製薬 ― 通販の電話システム経由で顧客情報が漏えい
ロート製薬は2026年11月6日、通信販売で使う電話システムのアカウント情報が不正利用され、顧客管理システム経由で最大2,797,545人分の氏名・住所・電話番号が漏えいしたと公表した。一部の通話音声にはクレジットカード番号と有効期限が含まれ、対象は9,715人。セキュリティコードは含まれない。
sshole ― 長いパスワードで鍵専用アカウントに入れる
musl 上で PAM なしの OpenSSH において、パスワード欄が * のアカウントへ 257〜1024 バイトのパスワードを送るとログインできる。Alpine・OpenWrt・Buildroot・Yocto などが対象。OpenSSH 10.6p2 と Alpine 各ブランチの修正パッケージで回避できる。
チームスピリット ― 開発用サーバーへの不正アクセスで情報が流出
チームスピリットは2026年11月6日、開発用サーバーへの不正ログインで認証情報を使われ、クラウド環境からデータが取得されたと発表した。流出は重複除き28,824件で、要配慮個人情報35件を含む。契約企業の担当者情報や勤怠記録の一部、従業員情報などが対象。本番の勤怠・工数データへの不正アクセスは確認されていない。
NIKKE PCランチャー ― 公式CDNのスクリプトが改ざんされ不正コードを配信
『勝利の女神：NIKKE』の PC ランチャーが読み込む Level Infinite の CDN 上の JavaScript 4本が9月27日に改ざんされ、遅くとも10月23日から一部の起動時に遠隔操作エージェント「K2F」が送り込まれていたと研究者が報告した。Level Infinite は11月4日に改ざんの可能性を認めて修正を配信し、影響は調査中としている。
cPGuard ― 更新配信基盤が乗っ取られ、悪性スクリプトが配られた
Linux サーバー向けセキュリティ製品 cPGuard の更新配信基盤（CDN）に11月2日、盗まれた認証情報で侵入され、5.88.12〜5.88.19 の更新にバックドアと情報収集のスクリプトが混入した。/etc/shadow、root の my.cnf・シェル履歴・SSH 関連ファイルが集められ、OPSSHIELD は少なくとも32台分のデータが攻撃者に回収されたと推定している。
デニーズアプリ ― 旧アプリの移行処理で認証情報を不正に作成された
デニーズは2026年11月3日、旧アプリから新アプリへの移行処理を突いて第三者が認証情報を不正に作り、一部アカウントにアクセスできる状態だったと公表した。会員コード・メールアドレス・生年月日などが取得された可能性があり、取得の有無と人数は調査中。氏名・住所・電話番号・パスワード・カード情報は保持していないとしている。11月9日の第二報で、不正アクセスが確認された利用者は5,590名、うち個人情報が漏えいしたのは3,298名と確定した。
Shippio ― 社内ツールの認証情報を悪用され顧客情報が漏えい
貿易業務プラットフォーム「Shippio Platform」を運営するShippioは、2026年11月1〜2日に社内業務ツールに保存されていた認証情報を使った不正アクセスを受け、全顧客の会社名・住所などや書類約1,300件のダウンロードなどを確認したと公表した。11月2日からサービスを停止し、11月5日に再開。パスワードは外部認証サービス管理で取得されていない。
プレステージ・インターナショナル ― ロードサービス受付システムから情報持ち出し
プレステージ・インターナショナルは2026年11月2日、グループ会社PCSが受託するロードサービス等の受付・手配システムが不正アクセスを受け、利用者の氏名・住所・車両情報・事故故障の受付情報・一部の口座情報など最大約550万件が持ち出されたと発表した。11月6日の第2報で、受付記録の一部に残っていたクレジットカード番号3件の持ち出しも確認した。10月29日に検知し認証情報を無効化したが、不正アクセスが続いたため30日にシステムを停止した。11月9日には三井住友海上が約22.8万件の漏えいを公表し、AIG損保も委託元として公表した。11月12日にはJA共済連が、自動車共済のレッカー・ロードサービス利用者の情報が最大約285万人分（延べ・暫定値）漏えいしたと公表した。
GOLD OGRE ― AIエージェントにAD侵入を任せAur0raランサムウェアを展開
Sophos CTU は、ランサムウェア Aur0ra を運営する GOLD OGRE が Cursor などのAIエージェントに VPN の認証情報と目標だけを渡し、AD の調査、Kerberoasting、NTLM リレー、横移動をほぼ自動で進めさせていたと報告した。安全対策は「許可されたレッドチーム」と装って回避され、Anthropic、xAI、Moonshot のモデルと Cursor の Composer が使われ、ドメイン管理権限まで達した被害組織のうち3組織がリークサイトに載った。
iDA「MyBRANDS」 ― 委託先のクラウド鍵が悪用され会員データが送信
iDAは2026年10月30日、求人サイト「MyBRANDS」で委託先が使うクラウドの管理用アクセスキーが10月21〜22日に不正利用され、複製したデータベースから外部へデータが送られた記録があったと公表した。中身を確認できないため、求職者と企業担当者の最大約13万5,000アカウント分の氏名・連絡先・職歴・変換済みパスワードなどすべてを対象としている。暗号化していた項目の鍵も取得されたおそれがある。
NTTスマイルエナジー「エコめがね」 ― 不正アクセスでサービス全面停止
NTTスマイルエナジーは2026年10月30日、太陽光発電遠隔監視「エコめがね」のWebサーバーへの不正アクセスで全サーバー通信を遮断し、顧客情報漏えいの可能性を公表した。11月6日の2報で、関連の『スマイルeポイント』で管理番号・交換URL等が読み取られ約1.4万件（800万ポイント）が不正交換されたと判明。個人情報の外部漏えいは現時点で未確認。発電は続くがアラートメールは止まっている。
n0nランサムウェア ― 公開状態の作業サーバーから手口が判明
SOCRadar は10月28日、ランサムウェア n0n の運営者がインターネットから読める状態で置いていた作業サーバー（1,719ファイル）を分析したと公表した。14か国23組織への侵入や試行が記録されていたが、入口はすべて FortiGate SSL-VPN への認証情報の総当たり、漏れた AWS キー、弱い RDP のパスワードなどの認証情報で、脆弱性は使われていなかった。攻撃用スクリプトは AI コーディングエージェント OpenCode で書かれ、AI の利用料は10月22日までに7,216ドルを超えていた。
Northflank ― 侵害を受け顧客のAIキーが不正利用される
開発者向けクラウド基盤の Northflank は10月30日（UTC）、Wiz の警告を受けて侵害を公表し、顧客の環境変数はすべて復号されたものとして秘密情報を入れ替えるよう求めた。複数の顧客が AI の API キーの不正利用を報告している。侵入経路と影響範囲は未公表。Wiz は10月に同様の事案が AI 開発者向け基盤で少なくとも9件あったとまとめている。
Vook ― データ分析ツールの脆弱性を突かれDBに不正アクセス
映像クリエイター向けサービスのVookは2026年10月30日、社内業務で使っていたデータ分析ツールの脆弱性を突かれ、ツール経由でデータベースに不正アクセスされたと公表した。会員やイベント申込者、取引先担当者などの氏名・連絡先・職歴の一部などが取得された可能性がある。ツールの名前は明かしていない。11月12日の第二報で、退会済みの「Vook求人」応募者や、自由記述に含まれた健康状態の記述なども対象とわかった。最初の不正ログインの検出は8月9日。
クロンオンライン診療 ― 不正ログインで患者情報が閲覧
MICINは2026年10月27日、オンライン診療サービス「クロンオンライン診療」で10月23日にリスト型攻撃とみられる不正ログインがあり、5医療機関6アカウントと患者14アカウントが使われ、3医療機関の患者73名分の氏名・住所・カルテ番号・受診状況・医師のメモなどが閲覧されたと公表した。サーバーやデータベースへの侵入の形跡はないとしている。
ベネフィット・ワン「トク買」 ― 委託先への不正アクセスで会員情報が漏えい
ベネフィット・ワンは2026年10月28日、クレディセゾン会員向けサービス「トク買」の業務委託先フォレステックが運用するシステムに10月14〜20日に断続的な不正アクセスがあり、会員2万9465人の氏名・生年月日・メールアドレスなどが外部にダウンロードされたと公表した。決済システムとの連携に使う認証関連情報の一部も漏えいしたおそれがあり、会費決済の不正処理が可能だったが、10月26日の変更で塞いだ。カード情報の漏えいはない。11月9日の第二報で、再委託先のクラウドサービスから「選べるゴールド優待」の利用者198,660人分（うち氏名などを含むのは2,622人）が漏えいしたことも判明した。
Keystone ― 公式サイト侵害で端末の真正性確認鍵が流出
ハードウェアウォレットの Keystone は、公式サイトで使う外部のデータ監視ツールの脆弱性から権限昇格され、Shopify の購入者記録（氏名・連絡先・住所・注文情報が残る25,964件）と、本物の端末かを確かめる WebAuth 用の鍵が盗まれたと公表した。鍵は製造時に書き込まれ書き換えられないため、古い鍵を持つ在庫18,835台を廃棄し、公式サイトの出荷を止めている。
Gheist ― 盗んだGitHubトークンでActionsのシークレットを回収
Wiz が「Gheist」と名付けた自動ツールは、盗まれた GitHub トークンで `ci-sync-` で始まるブランチを作り、`sync-check.yml` を置いて push だけでワークフローを動かす。シークレットを base32 に変えてログに出させるため GitHub のマスクが効かず、ログを API で回収したら数秒で実行履歴を消す。外への通信はない。9月15日以降、850超のアカウントから1万3500本超のブランチが作られた。公開リポジトリでは GitHub の承認待ちで止まったが、非公開リポジトリと GitHub Enterprise Server では実行が完了し、AWS のロール取得まで確認された。
ワイズマン「MeLL+」 ― クラウド環境に不正アクセス、サービス停止
医療・介護向けシステムのワイズマンは2026年10月26日、医療・介護連携サービス「MeLL+professional」を運営するクラウド環境に10月24日、第三者による不正アクセスがあったと公表した。同日中に検知し、MeLL+professional、MeLL+community、MeLL+familyなど関連する8サービスを順次停止した。不正に使用された認証情報を無効化して侵入経路を遮断したとし、現時点で個人情報の漏えいは確認されていない。再開時期は未定。ワイズマン「MeLL+（メルタス）」。医療・介護連携サービスのクラウド環境に不正アクセス、不正に使われた認証情報を無効化し8サービスを停止中。
Railway ― ビルド基盤から環境変数の秘密情報が流出
開発者向けPaaSのRailwayは10月22日（UTC）の予備報告で、攻撃者がビルド基盤で権限を昇格し、CI環境の認証情報を経て、暗号化して保存していた顧客の環境変数の一部を復号したと公表した。影響は最大で全ワークスペースの1.85%（約10万）。攻撃者はAI事業者のAPIキーを探しており、Railwayは「蒸留攻撃」が目的とみている。10月21日より前に登録した秘密情報はすべて入れ替えるよう求めている。Railway の環境変数流出。ビルド基盤の権限昇格からCIの認証情報へ、約10万ワークスペースの秘密情報が復号されたおそれ、狙いはAIのAPIキー。
KOMOJU ― 非本番環境の脆弱性から加盟店のAPI認証情報が漏洩
決済プラットフォーム「KOMOJU」を運営するKOMOJUは2026年10月22日、10月13日夕方以降に非本番環境の脆弱性を悪用され、社内管理画面と一部のシステムに不正ログインされたと発表した。決済システムからメールアドレスを含む個人データ約4100件が漏洩し、一部加盟店のAPI認証情報も漏洩した。業務用CRMへの不正アクセスも確認し、範囲を調査中。クレジットカード情報を保管するシステムは分離されており、カード情報の漏洩や不正決済は確認されていない。認証情報の更新作業で、Shopify連携の一部決済手段やセブン-イレブン払いに障害が出た。
デジタルアーツ ― クラウド運用環境などに長期の不正アクセス痕跡
Webフィルタリング製品「i-FILTER」などで知られるデジタルアーツは2026年10月21日、10月9日にAIを使って行った総点検で、クラウドサービスの運用環境と社内環境への不正アクセスの痕跡を見つけたと公表した。痕跡には2025年7月頃にさかのぼるものがある。運用に使う認証情報が盗まれ、i-FILTER@Cloudなど6つのクラウドサービスの一部顧客の情報が閲覧された可能性があるとして、全利用者にパスワード変更を求めている。
LiteLLM 1.107.0 ― リリース工程を乗っ取りバックドア混入
AI APIの中継ライブラリ LiteLLM の 1.107.0 が10月21日、PyPI に約2時間、公式Dockerイメージに約2時間半、認証情報を盗むマルウェア入りで公開された。攻撃者は開発者3人のGitHub CLIのOAuthトークンを使い、ブランチ保護を外してリリース用ワークフローの取得元を書き換え、ハイフン1つ違いの偽リポジトリ「Berri-AI/litellm」からビルドさせた。LiteLLMは、トークンは社内のLiteLLMの稼働環境のログから盗まれたとみている。安全な版は 1.106.2。LiteLLM 1.107.0 のバックドア混入。ログに残った開発者のGitHubトークンで正規のリリース工程を乗っ取り、ハイフン1つ違いの偽リポジトリから「正しい来歴付き」で配った。
イエローハット ― WEB作業予約システムから会員情報流出
イエローハットは10月15日、8月に公表した「WEB作業予約システム」への不正アクセスについて第二報を出し、第三者調査機関のフォレンジック調査で会員1,797,124人分の流出を確認したと公表した。第一報の氏名・電話番号・メールアドレス・会員番号に加え、住所・生年月日・性別・ログインID・パスワード（復元できない状態）の流出も判明した。クレジットカード情報は保持していない。個人情報保護委員会への確報は提出済み。
Studio ― クラウド環境に不正アクセス、APIキー流出の可能性
ノーコードWeb制作ツール「Studio」を運営するStudio株式会社は10月16日、同社が利用するクラウド環境に第三者が一部機能の脆弱性を悪用して不正アクセスし、環境内のデータを外部から取得できる状態にしていたと公表した。登録するすべての利用者について、アカウント情報、Studioで作ったサイトのフォームに送信された内容、外部サービスのAPIキー・トークン、Googleスプレッドシート連携の認証情報などが流出した可能性がある。暗号化して保存していたものも、復号に必要な鍵が同じ不正アクセスで読み出された。件数は精査中。ノーコードWeb制作基盤のクラウド環境に不正アクセス、全利用者のアカウントとフォーム送信内容・外部APIキーが、復号鍵ごと流出の可能性。
ソースネクスト ― 会員情報取得APIの不正利用で情報流出
ソースネクストは10月15日、会員情報を管理するシステムが第三者の不正アクセスを受け、会員情報取得APIを不正に利用されて最大22,519,960件の個人情報が流出した可能性があると公表した。不正アクセスは10月9日10時頃から始まり、10月13日9時頃に確認、同日13時36分に封じ込め。パスワードを含む13項目が対象で、クレジットカード情報は対象システムに保存されていない。全会員のパスワードは変更済み。10月19日のITmedia NEWSの取材に対し、同社はパスワードを暗号化して保存していたが、復号鍵にアクセスできるAPIに不正アクセスされ、パスワードが復号された状態で流出したと説明した。
Docker Hub「GhostPat」 ― 自分のトークンが他人として通る欠陥
Docker Hubで、個人アカウントを組織に変換するときに、そのアカウントの個人用アクセストークン（PAT）が、秘密の値を変えないまま新しい所有者に付け替えられていた。攻撃者は捨てアカウントでPATを作り、他人を所有者に指定して変換するだけで、その人としてレジストリにログインしイメージのpush・pull・削除ができた。2024年8月26日から2026年9月30日の修正まで約2年間開いていた。Dockerは悪用の証拠はないとしている。Docker Hub CVE-2026-105445「GhostPat」。アカウントを組織に変えて他人を所有者に指定すると、自分のアクセストークンがその人として通った。
あっぷらぼ ― 設定不備でメールサーバのDB管理用パスワード突破
メールサービスを提供する株式会社あっぷらぼは10月12日、同社が運用するメールサーバのデータベース管理用パスワードが外部から突破され、不正にアクセスされたことを10月11日に確認したと公表した。原因は管理用の経路が絞られていなかった同社の設定上の不備で、メールアドレスと暗号化して保存しているパスワード情報の一部が参照された可能性がある。短い・単純なパスワードは時間をかけて解読されるおそれがあるとして、利用者にパスワードの変更を求めている。対象のアカウント数と、管理用パスワードが突破された方法は公表されていない。メールサーバのデータベース管理用パスワードが外部から突破、「管理用経路が絞られていなかった」設定の不備でメールアドレスと暗号化パスワードが参照の可能性。
GhostAction再来 ― 偽「Security Audit」ワークフローで鍵を窃取
乗っ取られたメンテナのアカウントから、セキュリティ監査を装うワークフローがPRなしでデフォルトブランチに直接コミットされた。10月8日の波ではpyxelやuber/athenadriverなど346リポジトリが対象になり、Actionsのシークレットに加えて、作業ツリーと全ブランチのgit履歴からAWS・AI・GitHubなどの鍵を抜いて平文HTTPで送る。「Security Audit」を名乗るワークフローが数百のGitHubリポジトリに押し込まれ、git履歴の奥に残った鍵まで掘り出す。
tensorlake npm ― 正規リポジトリからShai-Huludワームが配布
AIエージェント基盤のnpm SDK「tensorlake」の0.5.144が、メンテナ名義でmainに直接押し込まれた後、正規のリリースフローとprovenance付きで公開された。preinstallで認証情報を奪い、奪ったGitHubトークンを取り消すとホームディレクトリを消す「人質」監視を仕込む。tensorlake npm 0.5.144。正規リポジトリのmainから出たShai-Huludワーム、トークンを取り消すとホームを消す人質機構。
FortiBleed ― 使い回された認証情報でFortiGate乗っ取り
米FBIとシークレットサービスが、インターネットに公開されたFortiGateとSSL-VPNを狙う認証情報窃取作戦「FortiBleed」が続いていると共同で警告した。新しい脆弱性ではなく、過去に漏れた認証情報の使い回しと、管理者パスワードの古いSHA-256保存を突いてオフラインで解読する手口で、侵入後に正規の管理者アカウントを消して締め出す事例も出ている。使い回された認証情報と古いSHA-256のパスワード保存を突くFortiGate乗っ取り、FBIとシークレットサービスが「管理者の締め出し」を警告。