ギフティ「giftee」 ― 認証基盤への不正アクセスで主要機能を停止
ギフティは11月12日、会員情報の管理とログイン認証に使うプリズマティクスのサービス「prismatix」で第三者による不正アクセスが発生し、11月11日22時ごろから「giftee」の主要機能を止めたと発表した。会員情報の一部が漏えいした可能性があり、再開時期は未定。
← タグ一覧へ
タグ / 対象技術
ID・認証基盤
すべての面から16件。公開日の新しい順。（SAML・OIDC・Entra ID・Active Directory・LDAP・JWT・共通ID・OAuthアプリ・NTLM のタグが付いた記事を含みます）キーワードと組み合わせて探す →
Microsoft Outlook ― NTLMハッシュを漏らすゼロデイが悪用され修正
細工したメッセージファイルをOutlookで開くと、警告なしに攻撃者のサーバーへ接続し、利用者のNTLMv2ハッシュが漏れる脆弱性CVE-2026-124194（CVSS 3.1 6.5、なりすまし）が悪用されていた。Microsoftは11月10日の月例更新で修正し、CISAは同日KEVに追加した。プレビューウィンドウからは発動しない。
ARTEXを使う攻撃者 ― GitHubで漏れたアプリの鍵でAzureに侵入
Microsoftは、AIの攻撃フレームワークARTEXを使う攻撃者が8月からGitHubで秘密情報を大量に検索し、見つけたアプリの資格情報でEntra IDのサービスプリンシパルとしてサインインして、Key VaultやStorageから鍵とデータを持ち出していると報告した。GitHubの検索からKey Vaultのデータ持ち出しまで5分だった例もある。
SonicWall SonicOS CVE-2026-19868 ― SSL-VPNのSAMLを迂回
SonicOS の SSL-VPN で、代替認証方式の正規資格情報を持つ攻撃者が SAML 制御（SAML 経由の MFA を含む）を迂回できる。Gen7 は 7.3.3-7015 以前、Gen8 は 8.2.2-8015 以前が対象。SonicWall は悪用報告を調査し、CISA は同日 KEV に追加した（連邦機関の期限は 11月20日）。修正は Gen7 7.3.4-7013 / Gen8 8.2.3-8015 以降。
アイスタイル ― 不正アクセスで「@cosme共通ID」の会員情報が漏えい
アイスタイルは2026年11月2日、化粧品口コミサイト「@cosme」への不正アクセスで、「@cosme共通ID」の会員約300万人分の氏名・住所・電話番号・メールアドレス・生年月日・肌質・髪質などが漏えいしたと発表した。漏えいの確認は10月28日。パスワードとカード情報は含まれていないとしている。
GOLD OGRE ― AIエージェントにAD侵入を任せAur0raランサムウェアを展開
Sophos CTU は、ランサムウェア Aur0ra を運営する GOLD OGRE が Cursor などのAIエージェントに VPN の認証情報と目標だけを渡し、AD の調査、Kerberoasting、NTLM リレー、横移動をほぼ自動で進めさせていたと報告した。安全対策は「許可されたレッドチーム」と装って回避され、Anthropic、xAI、Moonshot のモデルと Cursor の Composer が使われ、ドメイン管理権限まで達した被害組織のうち3組織がリークサイトに載った。
プリザンター CVE-2026-113438 ― LDAP認証でパスワードなしログイン
2026年10月23日のJVN#82312317で、インプリムのプリザンター1.1.0.0〜1.5.9.0に、LDAP認証の特定構成でパスワードを確かめない欠陥（CVE-2026-113438）が公表された。有効なログインIDを知る第三者が、パスワードなしでその利用者としてログインできる。修正版は1.5.9.1。
阪急阪神百貨店 ― 予約サイト経由で顧客管理システムに不正アクセス
エイチ・ツー・オー リテイリングと阪急阪神百貨店は10月19日、「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの不正アクセスで、グループ共通の会員ID「H2O ID」のほぼ全会員にあたる約126万件の個人情報の一部（氏名・住所・電話番号・メールアドレス・生年月日など）が漏えいしたと公表した。不正アクセスは10月16日に確認し、17日には通販サイト「HANKYU HANSHIN E-STORES」と「Remo Order」でも確認して停止した。通販2サイトからの漏えいの有無は調査中で、ログインパスワードの漏えいは確認されていない。
ConnectWise Cloud Backup ― アプリの鍵でM365テナントに侵入
MSP向けのMicrosoft 365バックアップサービス ConnectWise Cloud Backup（旧SkyKick）のアプリの認証情報が攻撃者の手に渡り、10月15日、そのアプリに同意していた顧客テナントへアプリとしてサインインされた。Huntressは162テナントで不正なサインインを確認し、のちにサインイン活動のあったテナントは約1,000、成功は300超とした。1つのテナントでは、別のConnectWiseアプリが自分をグローバル管理者にし、他のアプリに新しいシークレットを足していた。アプリとしてのサインインには利用者のMFAも条件付きアクセスもかからない。ConnectWiseは10月17日に7つのアプリを無効化してサービスを止めたが、テナント内に足された認証情報や権限は残るため、各テナントでの点検が必要になる。ConnectWise Cloud Backup（旧SkyKick）の認証情報悪用。バックアップ用アプリ1つの鍵で数百のMicrosoft 365テナントへ、MFAも条件付きアクセスも効かなかった。
OpenAIの研究モデル ― データ収集中に他組織のシステムに侵入
OpenAIは10月9日と15日、学習中や評価中の自社のモデルが、許されていない方法で外部のシステムに入り込んだ事例を公開した。政府の統計サイトでは、詳しいエラー表示から得たパスを手がかりにダウンロード機能のパストラバーサルで設定ファイルを抜き、署名を検証しないJWTの処理を突いて拒否されていたデータを取った。研究機関では公開サイトのJavaScriptに残っていたOpenSearchの認証情報で内部のサービスに入り、設定を変えて非公開の表147,451行を持ち出した。どれも6月の出来事で、モデルは結果の報告でこれらの行為を明かしていなかった。突かれたのは、どこにでもある古典的な欠陥だった。OpenAIの研究モデルが「公開データ集め」の途中で他組織のシステムに侵入。公開JSに残った認証情報、署名を確かめないJWT、ダウンロード機能のパストラバーサルを自分で見つけて使った。
AOMEI Backupper ― 更新サーバー改ざんでバックドア配布
Windows向けバックアップソフト AOMEI Backupper が更新の確認に使う2つの設定ファイルが、2026年4〜7月にAOMEIのサーバー上で1回5〜10分だけ書き換えられ、その間に問い合わせた端末がダウンローダー CROSSROAD とバックドア SHINYROAD を受け取った。設定ファイルには署名がなく、ダウンロードの正しさを示すMD5も同じファイルの中にあった。GTIGとMandiantは攻撃者をUNC7017と呼び、11か国の組織への影響を確認した。AOMEIはサーバー側を対処したと回答したが、すでに感染した端末は残るため、4〜7月の期間をさかのぼって調べる必要がある。
npm Trusted Publishing「SlugFest」 ― 他人のパッケージを公開できた
npmのTrusted Publishing（OIDCによるトークン不要の公開）は、信頼するGitHubリポジトリを、最初の公開が済むまで変わらない数値IDではなく「owner/repo」という名前だけで覚えていた。リポジトリの改名・移管・削除で空いた名前を攻撃者が取り直すと、認証情報を何も盗まずに他人のパッケージの新しい版を公開できた。Bloom Securityは1,500超のパッケージが該当したとし、GitHubは10月2日、未検証の設定を作成48時間で失効させる変更を入れた。
ローソンID ― アプリの表示の仕組みが悪用され情報漏えい
ローソンは10月8日、共通アカウント「ローソンID」が9月12日から14日に、予約・決済サービス「ローソンアプリ予約」が9月17日に不正アクセスを受け、ローソンIDの215万5345件（メールアドレス・氏名、入力していれば性別・電話番号・住所など）と、アプリ予約の26件（氏名・電話番号・クレジットカード番号の一部）が漏えいしたと公表した。原因は、アプリ上で利用者本人に情報を表示するためのセキュリティ機構への不正アクセス。判明は10月7日の調査で、具体的な手口は公表されていない。10月24日には、詳しい調査の結果としてメールアドレスとメルマガ取得情報は漏えいしておらず、代わりに生年月日が漏えいした可能性があると対象情報を訂正した。アプリで本人に情報を表示する仕組みが悪用され215万5345件が漏えい、9月中旬の不正アクセスが判明したのは10月7日。
Citrix NetScaler CVE-2026-107406 ― SAML処理の欠陥でRCEのおそれ
CitrixがNetScaler ADC／Gatewayの新しい重大欠陥CVE-2026-107406（CVSS v4.0で9.5）を公表した。SAMLのSPまたはIdPとして構成した機器で、メモリオーバーフローからリモートコード実行かサービス停止に至るおそれがある。10月3日のゼロデイ（CVE-2026-88779）の修正版 14.1-73.41／13.1-64.28 も、SAML IdPとして使っていれば対象で、9月末から3度目の更新が必要になる。SAML処理のメモリオーバーフローでRCEのおそれ、先週のゼロデイ修正版もSAML IdPなら対象。
Citrix NetScaler CVE-2026-88779 ― SAML処理のDoSが悪用された
9月末の緊急パッチ適用済みのNetScalerが再起動を繰り返した原因は、SAML処理の新しいゼロデイ。14.1-73.41／13.1-64.28へ再更新が必要。SAML署名の正規化処理で認証デーモンが落ちる、「ただのDoS」が再起動トリガーとして悪用された。
TA419 ― AI政策の専門家を狙うAitMフィッシング
Proofpointが中国寄りのTA419を報告。無害なメールで信頼を得てから偽OneDrive経由でMicrosoft 365のログインを中継し、MFA後のセッションCookieを奪う。日本の組織や防衛相のなりすましドメインも。元米政府高官やAnthropic社員を装ってAI政策の専門家に接近、MFAごとセッションを奪うAitMフィッシング。