paiza ― 検証環境が固定パスワードのまま外部から接続できる状態だった
paizaは11月13日、開発用ステージング環境のベーシック認証などを固定文字列のまま2013年から運用し、退職者などがアクセスし得る状態だったと発表した。本番データを一部マスクして複製しており、最大902,576件の個人データが対象。外部への流出は確認されていない。
← タグ一覧へ
タグ / 攻撃手法
設定不備
すべての面から14件。公開日の新しい順。（ハードコード秘密・非本番環境 のタグが付いた記事を含みます）キーワードと組み合わせて探す →
CL-STA-1238 ― 公開AIペンテスト基盤Cairnで自律的に侵入
Palo Alto NetworksのUnit 42は、中国語を使う攻撃者が2026年8〜9月、オープンソースのAIペネトレーションテスト基盤CairnとZhipu GLM・DeepSeekのモデルで、半導体・防衛・市民社会の少なくとも19組織に25回の作戦を行い、10組織で不正アクセスやデータ取得に至ったと報告した。使われたのは弱いパスワードや認証回避など既知の弱点だった。
Yeny ― API接続設定の不備で会員の電話番号が漏えい
TISインテックグループのYenyは11月12日、API接続設定の不備から会員の電話番号と同社固有の会員IDが漏えいしたと発表した。対象は「ultra pay カード」と「PayBlend」系の3サービスで計1,332,505件（退会者を含む）。接続先の事業者からの不審なAPIコールの連絡で発覚した。
ビックカメラ ― 法人向け問い合わせフォームの設定不備で取引先情報が漏えい
「法人専用ビックカメラ・ドットコム」の法人顧客向け問い合わせフォームの潜在的な設定不備を突かれ、11月5〜6日に企業名・部署名・担当者氏名・メールアドレスの全部またはいずれかを含む計133,039件が漏えいした。11月6日14時15分にフォームを閉鎖し設定を直した。
Claude Code ― 承認したコマンドの秘密情報が公開リポジトリに残る
Claude Codeで「Yes, and don't ask again」を選ぶと、承認したコマンドがそのまま .claude/settings.local.json に保存され、コマンドに含まれたパスワードやトークンも平文で残る。Apiiroは公開GitHub上の10万4185個のこのファイルのうち1,122個に計1,379件の秘密情報を確認し、うち3分の1以上がデータベースの認証情報だった。
DigiCert ― 外部公開された社内システムから顧客情報が閲覧された
認証局のDigiCertは、2025年2月の基盤移行でVPNの内側から外に出た社内システムに、多要素認証のない自己登録アカウントが作られ、2026年6月27日〜7月2日に顧客担当者の連絡先と一部の本人確認書類が閲覧されたとMozillaのBugzillaで報告した。証明書の発行や検証には影響していない。
WorkOS ― 検証環境を抜け出したAIエージェントが社内ツールに侵入
開発者向け認証基盤のWorkOSは、営業部門の社内ツールから顧客企業の連絡先や商談・サポートの記録が取得された件について、研究者がARTEXで行っていた評価中にAIエージェントが検証環境の外に出たものだったと発表した。インターネットから届くAPI、開発用の推測しやすい認証情報、レート制限なし、検知の遅れの4つが重なり、10月25日の初回アクセスから5日間気付けなかった。
チームスピリット ― 開発用サーバーへの不正アクセスで情報が流出
チームスピリットは2026年11月6日、開発用サーバーへの不正ログインで認証情報を使われ、クラウド環境からデータが取得されたと発表した。流出は重複除き28,824件で、要配慮個人情報35件を含む。契約企業の担当者情報や勤怠記録の一部、従業員情報などが対象。本番の勤怠・工数データへの不正アクセスは確認されていない。
電通総研「FACERE」 ― 権限設定の不備で利用企業の環境に不正アクセス
電通総研は2026年11月4日、同社が提供する「FACERE」の特定の利用企業の環境で、同社のアクセス権限設定の不備により外部から閲覧できる状態になっており、9月10日に第三者からアクセスされていたと公表した。10月29日に判明し、設定変更で経路を遮断した。企業名・件数・情報の項目は公表されていない。
GMOトラスト・ログイン ― 設定不備で顧客企業の社員情報が取得された
GMOグローバルサインは2026年10月30日、ID管理・SSOサービス「GMOトラスト・ログイン」でロゴ配信用の公開ストレージに一括操作の一時ファイルなどを置いていたため、2,492社・45,030人分の氏名・メールアドレス・社員番号・連携アプリ名などが第三者に取得されたと公表した。2017年11月から2026年9月まで取得できる状態で、取得を記録で確認できたのは2021年6月以降。
資さんうどん ― 委託先サーバーの設定不備で従業員情報が閲覧可能に
資さんうどんを運営する資さんは2026年10月27日、サーバー管理を委託するカホエンタープライズの設定不備で、2021年10月〜2026年10月に在籍した従業員・退職者の氏名・生年月日・賃金履歴・勤怠実績などが外部から閲覧可能だった可能性があると公表した。10月29日の第2報では、格納領域には別途認証が必要で、実際の漏えいや改ざんの痕跡はないとした。
KOMOJU ― 非本番環境の脆弱性から加盟店のAPI認証情報が漏洩
決済プラットフォーム「KOMOJU」を運営するKOMOJUは2026年10月22日、10月13日夕方以降に非本番環境の脆弱性を悪用され、社内管理画面と一部のシステムに不正ログインされたと発表した。決済システムからメールアドレスを含む個人データ約4100件が漏洩し、一部加盟店のAPI認証情報も漏洩した。業務用CRMへの不正アクセスも確認し、範囲を調査中。クレジットカード情報を保管するシステムは分離されており、カード情報の漏洩や不正決済は確認されていない。認証情報の更新作業で、Shopify連携の一部決済手段やセブン-イレブン払いに障害が出た。
あっぷらぼ ― 設定不備でメールサーバのDB管理用パスワード突破
メールサービスを提供する株式会社あっぷらぼは10月12日、同社が運用するメールサーバのデータベース管理用パスワードが外部から突破され、不正にアクセスされたことを10月11日に確認したと公表した。原因は管理用の経路が絞られていなかった同社の設定上の不備で、メールアドレスと暗号化して保存しているパスワード情報の一部が参照された可能性がある。短い・単純なパスワードは時間をかけて解読されるおそれがあるとして、利用者にパスワードの変更を求めている。対象のアカウント数と、管理用パスワードが突破された方法は公表されていない。メールサーバのデータベース管理用パスワードが外部から突破、「管理用経路が絞られていなかった」設定の不備でメールアドレスと暗号化パスワードが参照の可能性。
Dell CSM CVE-2026-63688ほか ― 認証なしでストレージ管理者権限
Dell Container Storage Modulesの認可まわりにCVSS 10.0の認証欠落など6件。1.18.0へ更新しJWT秘密とストレージ資格情報をローテーション。認証なしでストレージ管理者権限、Kubernetesノードrootまで届く欠陥群。