脆弱性・事例
日本化粧品工業会の Microsoft 365 が乗っ取られ4,026通のフィッシング送信 — 攻撃者の「デバイスコード」を承認させる手口
日本化粧品工業会の職員が本物のMicrosoftサインイン画面で攻撃者のデバイスコードを承認し、メールボックスから475通が持ち出され4,026通のフィッシングが送信された。多要素認証では防げないデバイスコードフィッシングの仕組みと、条件付きアクセスでの遮断など4つの対策を解説。
脆弱性・事例
採用管理SaaS「ApplyNow」への不正アクセスが自治体6市に波及 — 大阪市106件・入間市約1,200件など職員採用の応募者情報が漏えい
採用管理SaaS「ApplyNow」が社内ツールの脆弱性から侵入され、大阪市106件・入間市約1,200件など自治体6市の応募者情報約3,000件が漏えいした可能性がある。委託先SaaSの事故でも謝罪と報告は預けた側が負う。個人情報を預けるSaaSの一覧化と事故時手順の4つの打ち手を整理する。
脆弱性・事例
Gyazo に不正アクセス、2362万件のユーザー情報と非公開画像の一覧が流出 — 業務でスクショを共有していた会社が確認すること
Gyazoの不正アクセスで約2362万件のユーザー情報と約4.9億件の画像メタデータ（OCRテキスト・非公開画像のパスフレーズ等）が流出した。社員が無断で使っていた画面共有ツールから顧客情報が漏れる構図と、会社が今週行うべき申告・棚卸し・多要素認証の4つの打ち手を解説。
脆弱性・事例 すべて見る →
脆弱性・事例
採用管理SaaS「ApplyNow」への不正アクセスが自治体6市に波及 — 大阪市106件・入間市約1,200件など職員採用の応募者情報が漏えい
採用管理SaaS「ApplyNow」が社内ツールの脆弱性から侵入され、大阪市106件・入間市約1,200件など自治体6市の応募者情報約3,000件が漏えいした可能性がある。委託先SaaSの事故でも謝罪と報告は預けた側が負う。個人情報を預けるSaaSの一覧化と事故時手順の4つの打ち手を整理する。
脆弱性・事例
Gyazo に不正アクセス、2362万件のユーザー情報と非公開画像の一覧が流出 — 業務でスクショを共有していた会社が確認すること
Gyazoの不正アクセスで約2362万件のユーザー情報と約4.9億件の画像メタデータ（OCRテキスト・非公開画像のパスフレーズ等）が流出した。社員が無断で使っていた画面共有ツールから顧客情報が漏れる構図と、会社が今週行うべき申告・棚卸し・多要素認証の4つの打ち手を解説。
脆弱性・事例
ムラウチドットコムで771万件の個人情報漏えい — Webシステムの脆弱性1つから複数システムへ広がった経緯
ムラウチドットコムはWebシステムの脆弱性を起点に複数システムへ侵入され、771万6811件の氏名・住所・電話番号などが漏えいした。公開サーバーから顧客データベースへ一直線に届く構成を断つため、中小ECが見直すべき権限とネットワーク分離の6項目を整理する。
脆弱性・事例
FortiOSのヒープバッファオーバーフロー（CVE-2025-25249）が悪用確認 — FortiGate利用企業が今週中に見る3か所
FortiOSのCVE-2025-25249をCISAが悪用確認としてKEVに追加した。修正版は7.6.4/7.4.9/7.2.12/7.0.18以降で6.4系は修正なし。FortiGate利用企業が確認すべきバージョン、管理画面の公開範囲、保守契約の3点を解説。
解説 すべて見る →
解説
侵入の8割が盗まれたIDになった ― 脆弱性を塞いでも入られる時代の防御
盗まれたIDによるサインインが全侵入の約8割を占める今、パッチ管理だけでは防御にならない。デバイスコードフロー無効化・FIDO2移行・SharePoint異常検知の3施策が最優先対策となる。
解説
EDR・XDR・MDR の違い完全ガイド ― 何を守り、どう選ぶか【2026年版】
EDR・XDR・MDRの違いを『どこまで見るか(E→X)』と『誰が運用するか(M)』の二軸で整理。横並びの択一ではなく組み合わせるもの。自社に合う選び方と、AI検知・アラート選別との関係まで解説。
解説
サプライチェーン攻撃 完全ガイド ― ソフトウェアの「部品汚染」はどこから来て、どう防ぐか
ソフトウェアのサプライチェーン攻撃とは何か。正規ライブラリ乗っ取り・偽パッケージ・CI改ざん・更新配信汚染の4経路を解説し、SBOMによる見える化とバージョン固定・署名検証を軸にした現実的な防御を整理。
解説
パスキーとFIDO2 完全ガイド ― パスワードを卒業する認証が、AI時代のフィッシングをどう無力化するか
パスキー（FIDO2/WebAuthn）は秘密鍵が端末外に出ず登録ドメインに紐づくため、AI時代に高度化するフィッシングと流出パスワードの再利用を構造的に無効化する。仕組みと、特権アカウントから始める段階移行の勘どころを解説。
コラム すべて見る →
コラム
AIエージェントの社員証は誰が発行するのか ― 非人間ID（マシンID）の台帳と3つの統制ループ
APIキーやAIエージェントの資格情報（非人間ID）は人間のIDの数十倍あり、オーナー不在・無期限のまま放置されがちだ。年1回の棚卸し会議ではなく、1人のオーナーと3つの常設ループで統制する設計を示す。
コラム
サイバー保険は身代金を払ってくれない ― 約款の免責と「支払われない保険」を見抜く6つの確認
サイバー保険は約款の免責・告知義務違反・内枠限度額により、重大インシデントほど支払われないことがある。戦争免責や身代金補償の条件など、加入・更新前に確認すべき6項目と12ヶ月の優先順位を整理した。
コラム
セキュリティ人材が採れないなら、AIエージェントは答えになるか ― SOC自動化で残る仕事、消える仕事
セキュリティ人材不足にAIエージェントは答えになるか。一次トリアージは自動化できるが、グレーゾーンの最終判断と攻撃者の意図の推測は人間に残る。人員削減ではなく『同じ人数での底上げ』として捉えるSOC設計論。
コラム
「Mythosは騒ぎすぎ」か ── 専門家が指摘する『脅威は前からそこにあった』の真意
2026年5月8日、CNBCは「Claude Mythosが引き起こした騒ぎは一種の『ヒステリー』とも言える」と報じる一…
実務ガイド すべて見る →
実務ガイド
MCPサーバーを社内導入する前のセキュリティ設計 ― AIとツールをつなぐ9つの統制チェック
MCP（Model Context Protocol）でAIを社内ツールに接続する前に押さえる9つのセキュリティ統制。過剰権限・間接プロンプトインジェクション・監査不能の三大リスクを、最小権限と判断トレースの観点から整理。
実務ガイド
「見つける」より「直す」が詰まる ── 6〜12か月の猶予に企業がやるべき脆弱性対応
Anthropic CEO ダリオ・アモデイは2026年5月5日のイベントで、AIによる脆弱性発見が急加速する中、パッチ…
実務ガイド
自律的に脆弱性を悪用するAIに、企業はどう備えるか ── 実行時防御とパッチ短縮の打ち手
Anthropicのフロンティアモデル「Claude Mythos Preview」は、公開済み脆弱性（n-day）から…
実務ガイド
1Mコンテキスト・長時間自律実行のモデルを業務導入する前のセキュリティ統制7項目
Anthropicが2026年6月9日に公開したClaude Fable 5 の一般公開は、100万トークンのコンテキス…
規制・法令 すべて見る →
規制・法令
金融当局が動いた ── FSB会合・銀行テスト延期、Mythosが突きつけた金融安定リスク
2026年5月、Anthropic製フロンティアモデル「Claude Mythos Preview」が大量の脆弱性を自律…
規制・法令
米商務省、Mythos 5 と Fable 5 に輸出管理 ── 外国籍ユーザー遮断でモデルが全面停止した経緯
2026年6月12日、米商務省産業安全保障局（BIS）はAnthropicに対し、フロンティアモデル「Fable 5」と…
規制・法令
国家情報会議設置法 成立（5/27） — 付帯決議の最終文言と、AI 利用ルール・情報協力体制への具体的影響
2026年5月27日、「国家情報会議設置法」が参議院本会議で可決・成立しました。先週公開した前稿（成立見込みの解説）の続…
規制・法令
国家情報会議設置法が5/27成立へ — AIモデル時代に「束ねる」体制が問うもの、企業実務への影響を整理
「国家情報会議設置法」が 2026年5月27日に成立する見込みです。首相を議長とする「国家情報会議」と、その事務局である…