／ APIキー
APIの脆弱性とかMetabaseとか、最近のガバガバっぷりが可視化されてるな
「さまざまなソフトウェアの既知の脆弱性を探索し攻撃試行するもの」はさておき、「API経由での不正な操作」のほうは対策が手薄になっていたような気がする。
JPCERT/CC注意喚起：2026年9月前後に不正アクセス多発、API乱用やMetabase CVE-2026-72898に対し対策を提示
AIによって雑に作られたアプリのAPIが、AIによって攻撃されているような気もするな…。
一周回ってRailsのようなテンプレートエンジン型のフレームワークがまた流行るかもな。とは言え何でも連携時代だからAPIを捨てることはできないだろうけど…
このIPはブロックしておいた方がいいの？
とりま、リストアップされてるIPアドレスからのアクセスログなどをチェックしましょう
JPCERT/CCからも情報が出た。攻撃元IPは古いので参考程度だけど過去のアクセスログ解析に使えるだろう。こちらは原因の詳細に踏み込んでる。アプリ解析でエンドポイントとAPI Keyを抜き取り攻撃したと思しき例は多いよね…
これはとても有益な情報
一般ユーザーではなくシステム運用者をターゲットに注意喚起しているだけデジタル大臣より物が判っている。
対策が有益
攻撃元の IP アドレスが公開されている。報告でも、攻撃元をブロックして一次対策として効果を上げている。逆にここが人間ぽくないんだよなぁ。レジデンシャルプロキシを取っ替え引っ替え、とするよなぁ、人間なら。
あとで読むにしたいところだけど今読まねば…
今日やらなー
直近で相次いでいる国内組織における不正アクセスに関する注意喚起
GDPRじゃないけど無意味に個人情報を収集するのをそもそも止めよう。ネットの記事を読むのになんで住所氏名年齢勤務先の情報がいるんだ
うわぁ、ある意味王道な対策方法ではあるが、これをマジメに導入できる企業がどれだけあるだろうか…とも思う
あらゆる脆弱性や穴をついてくるので何か一つを強化しても仕方なく、脆弱性情報を基にアップデートなりサービス停止なりできる運用体制を作るとか不要な公開はしないとか基本的な動作をちゃんとするという感じかな
社長「セキュリティ対策しろ」→システム部長「はい」「セキュリティ対策しろ」→管理者「はい」「セキュリティ対策しろ」→→→現場技術エンジニア(年収400万円)「給料安すぎだろ、仕事増えるから余計なことしない」
ありがたい。調べたら自分の管理システムにも該当っぽいアドレスからの怪しいアクセスはたくさんあった。ただ突破された形跡はなく、明らかにWP-admin系、mcp, api、gitなどの操作を狙っているな。存在しないがｗ
正直この漏洩でどれだけ補償が入るのか気になる。今のところお詫び文のみ。これだと企業はセキュリティにお金かけない
極めて広範で原則論的な指導と、具体的に特定された攻撃元。これは今のITにおけるバックエンド実装がいかにガバガバで理論を欠いていて、LLMによる無限のIT労働力がそれをどれだけ急速に改善できるかという事だろ。
昔は わからない、そんな連絡されても困る、と言っていたjpcertが立派になったものだねえ、と感慨深い。昔のjpcert知ってる人なら、あああの役立たず（だった）って言う人居ると思うよ。
企業は無意味に情報を集めすぎなんだよ。焼き肉を食べるのにどうして氏名とメールアドレスと電話番号が必要なんだい？（焼肉きんぐの漏洩内容）
大量に攻撃しているIPはJPCERTとかIPAがなんとかしてくれんかな。うちも毎日数万件来るけどjpは全部通報している。通報フォームへ投げるところまで自動化しちゃったよ多すぎ。
もうよくわからんけど、弊社もとりあえず謝っておきたいわ
"BIツールや従業員向け管理システムなど、通常は不特定多数からのアクセスを想定していないシステムも被害対象となっている。" / システムの公開状況はどうか、権限設定が正しいかは、点検を徹底する必要がある。
AIにこのページ読ませて、自社のシステムをスキャンさせるだけでも全然違う気がする。社外秘の情報を読ませる怖さがあるがどうするのがいいんでしょう？＞有識者
WEBアクセス可能な部分のAPIの脆弱性が主体と見ました。管理用の窓口は、vpnで弾かないとダメかもしれん。
囲い込み、やめたほうがいいんじゃないですかね。
ボクの肉球でガードしちゃうにゃ！不正アクセスは猫パンチで撃退にゃ！
注意喚起されても何もできねえよ。
webから切り離して、引きこもった国が最終勝利しますよ。これがデジタル鎖国論です。
AIエージェントの悪用よなあ
“- 業務上必要のないサービスや機能（管理機能など）がインターネットに公開されている場合、公開を停止する - 法令や契約等で定められた保存期間を過ぎたデータや利用目的を終えたデータを残さない”
「無意味に個人情報を収集するのをそもそも止めよう」 本当に賛成ですが、営利企業は、個人情報がマーケ等で利益に繋がる以上もし禁止しても集めると思います。想定利益より漏洩時の損失のリスクを大きくしないと。
今まで言語の壁でおざなりにされてきたかもしれない、サイバーセキュリティ分野の強化が急務だな。
APIは怖いよなぁ。。。
スマホ表示にしても文字が小さい...
無料で読める代わりに情報提供が必要 つまり無料ではないと言える
“- 213.163.202[.]171 - 221.216.140[.]49 - 221.216.140[.]129 ”
保守にかかる金と工数をケチらないこと
多重下請け+契約派遣でシステムを安く作ってきたツケがきている
まだ被害をでていないサイトはたまたままだ攻撃を受けていないだけ
個人情報の収集・活用を安くてうまくて低リスク(やらかしても低ダメージ)の商売にしてきたツケとも。データ保護規則でガチガチに縛り、やらかしたら極大の制裁を課す方針を取ってきたEUが正しかったのかね。
システム開発を古い体質の多重下請けやる外注に投げてるとこと、内製・自社開発の割合に興味ある/SanSanもやられた。関係なさそう
まだ火の付き方が弱い。この程度じゃ上の方は尻をあげないな
Moneyforwardがやられると平文で保存していると思われるID/パスワードが一網打尽になるの怖そう
特定のパターンに一致した場合、routeをnullに投げるように変更するようにしてる。もう物理的に対応してる。だいたい事前に防げてるけど重要なIPアドレスも巻き添えで落としている可能性はあるけど、被害を食らうよりは
いやー、専門家のページがスマホ表示でも字が小っこ過ぎる件...。読む気が失せるね。注意だけ...？
やっぱAI悪用っぽいなあ
問題は誰がどのAPIを通じて何の情報にアクセスできるか、企業自身が把握・検証できていないこと。外部認証だけでは実効性を担保できない。問われるべきは統制の存在ではなく、その有効性を証明する責任だよな。
JPCERT/CCが国内の情報漏えい多発に注意喚起。既知脆弱性、API悪用、MetabaseのSQL注入、Webシェル設置の4類型を紹介。APIの件数制限・権限管理、修正適用、不要な機能の公開停止とデータ削除を推奨。BI・従業員向けも点検。
結構クラウド系のIPがあんのね。クラウド系はそろそろ利用者の審査もしたほうがいいのでは
直近で相次いでいる国内組織における不正アクセスに関する注意喚起
／ APIキー
APIの脆弱性とかMetabaseとか、最近のガバガバっぷりが可視化されてるな
「さまざまなソフトウェアの既知の脆弱性を探索し攻撃試行するもの」はさておき、「API経由での不正な操作」のほうは対策が手薄になっていたような気がする。
JPCERT/CC注意喚起：2026年9月前後に不正アクセス多発、API乱用やMetabase CVE-2026-72898に対し対策を提示
AIによって雑に作られたアプリのAPIが、AIによって攻撃されているような気もするな…。
一周回ってRailsのようなテンプレートエンジン型のフレームワークがまた流行るかもな。とは言え何でも連携時代だからAPIを捨てることはできないだろうけど…
このIPはブロックしておいた方がいいの？
とりま、リストアップされてるIPアドレスからのアクセスログなどをチェックしましょう
JPCERT/CCからも情報が出た。攻撃元IPは古いので参考程度だけど過去のアクセスログ解析に使えるだろう。こちらは原因の詳細に踏み込んでる。アプリ解析でエンドポイントとAPI Keyを抜き取り攻撃したと思しき例は多いよね…
これはとても有益な情報
一般ユーザーではなくシステム運用者をターゲットに注意喚起しているだけデジタル大臣より物が判っている。
対策が有益
攻撃元の IP アドレスが公開されている。報告でも、攻撃元をブロックして一次対策として効果を上げている。逆にここが人間ぽくないんだよなぁ。レジデンシャルプロキシを取っ替え引っ替え、とするよなぁ、人間なら。
あとで読むにしたいところだけど今読まねば…
今日やらなー
直近で相次いでいる国内組織における不正アクセスに関する注意喚起
GDPRじゃないけど無意味に個人情報を収集するのをそもそも止めよう。ネットの記事を読むのになんで住所氏名年齢勤務先の情報がいるんだ
うわぁ、ある意味王道な対策方法ではあるが、これをマジメに導入できる企業がどれだけあるだろうか…とも思う
あらゆる脆弱性や穴をついてくるので何か一つを強化しても仕方なく、脆弱性情報を基にアップデートなりサービス停止なりできる運用体制を作るとか不要な公開はしないとか基本的な動作をちゃんとするという感じかな
社長「セキュリティ対策しろ」→システム部長「はい」「セキュリティ対策しろ」→管理者「はい」「セキュリティ対策しろ」→→→現場技術エンジニア(年収400万円)「給料安すぎだろ、仕事増えるから余計なことしない」
ありがたい。調べたら自分の管理システムにも該当っぽいアドレスからの怪しいアクセスはたくさんあった。ただ突破された形跡はなく、明らかにWP-admin系、mcp, api、gitなどの操作を狙っているな。存在しないがｗ
正直この漏洩でどれだけ補償が入るのか気になる。今のところお詫び文のみ。これだと企業はセキュリティにお金かけない
極めて広範で原則論的な指導と、具体的に特定された攻撃元。これは今のITにおけるバックエンド実装がいかにガバガバで理論を欠いていて、LLMによる無限のIT労働力がそれをどれだけ急速に改善できるかという事だろ。
昔は わからない、そんな連絡されても困る、と言っていたjpcertが立派になったものだねえ、と感慨深い。昔のjpcert知ってる人なら、あああの役立たず（だった）って言う人居ると思うよ。
企業は無意味に情報を集めすぎなんだよ。焼き肉を食べるのにどうして氏名とメールアドレスと電話番号が必要なんだい？（焼肉きんぐの漏洩内容）
大量に攻撃しているIPはJPCERTとかIPAがなんとかしてくれんかな。うちも毎日数万件来るけどjpは全部通報している。通報フォームへ投げるところまで自動化しちゃったよ多すぎ。
もうよくわからんけど、弊社もとりあえず謝っておきたいわ
"BIツールや従業員向け管理システムなど、通常は不特定多数からのアクセスを想定していないシステムも被害対象となっている。" / システムの公開状況はどうか、権限設定が正しいかは、点検を徹底する必要がある。
AIにこのページ読ませて、自社のシステムをスキャンさせるだけでも全然違う気がする。社外秘の情報を読ませる怖さがあるがどうするのがいいんでしょう？＞有識者
WEBアクセス可能な部分のAPIの脆弱性が主体と見ました。管理用の窓口は、vpnで弾かないとダメかもしれん。
囲い込み、やめたほうがいいんじゃないですかね。
ボクの肉球でガードしちゃうにゃ！不正アクセスは猫パンチで撃退にゃ！
注意喚起されても何もできねえよ。
webから切り離して、引きこもった国が最終勝利しますよ。これがデジタル鎖国論です。
AIエージェントの悪用よなあ
“- 業務上必要のないサービスや機能（管理機能など）がインターネットに公開されている場合、公開を停止する - 法令や契約等で定められた保存期間を過ぎたデータや利用目的を終えたデータを残さない”
「無意味に個人情報を収集するのをそもそも止めよう」 本当に賛成ですが、営利企業は、個人情報がマーケ等で利益に繋がる以上もし禁止しても集めると思います。想定利益より漏洩時の損失のリスクを大きくしないと。
今まで言語の壁でおざなりにされてきたかもしれない、サイバーセキュリティ分野の強化が急務だな。
APIは怖いよなぁ。。。
スマホ表示にしても文字が小さい...
無料で読める代わりに情報提供が必要 つまり無料ではないと言える
“- 213.163.202[.]171 - 221.216.140[.]49 - 221.216.140[.]129 ”
保守にかかる金と工数をケチらないこと
多重下請け+契約派遣でシステムを安く作ってきたツケがきている
まだ被害をでていないサイトはたまたままだ攻撃を受けていないだけ
個人情報の収集・活用を安くてうまくて低リスク(やらかしても低ダメージ)の商売にしてきたツケとも。データ保護規則でガチガチに縛り、やらかしたら極大の制裁を課す方針を取ってきたEUが正しかったのかね。
システム開発を古い体質の多重下請けやる外注に投げてるとこと、内製・自社開発の割合に興味ある/SanSanもやられた。関係なさそう
まだ火の付き方が弱い。この程度じゃ上の方は尻をあげないな
Moneyforwardがやられると平文で保存していると思われるID/パスワードが一網打尽になるの怖そう
特定のパターンに一致した場合、routeをnullに投げるように変更するようにしてる。もう物理的に対応してる。だいたい事前に防げてるけど重要なIPアドレスも巻き添えで落としている可能性はあるけど、被害を食らうよりは
いやー、専門家のページがスマホ表示でも字が小っこ過ぎる件...。読む気が失せるね。注意だけ...？
やっぱAI悪用っぽいなあ
問題は誰がどのAPIを通じて何の情報にアクセスできるか、企業自身が把握・検証できていないこと。外部認証だけでは実効性を担保できない。問われるべきは統制の存在ではなく、その有効性を証明する責任だよな。
JPCERT/CCが国内の情報漏えい多発に注意喚起。既知脆弱性、API悪用、MetabaseのSQL注入、Webシェル設置の4類型を紹介。APIの件数制限・権限管理、修正適用、不要な機能の公開停止とデータ削除を推奨。BI・従業員向けも点検。
結構クラウド系のIPがあんのね。クラウド系はそろそろ利用者の審査もしたほうがいいのでは