委託先とクラウド管理の記事まとめ

委託先やクラウドサービスを経由した被害の事例と、取引先・SaaSの管理の記事をまとめました。

基本と対策の記事（4本）

• サプライチェーン攻撃 完全ガイド ― ソフトウェアの「部品汚染」はどこから来て、どう防ぐか
• AI-BOM（AI Bill of Materials）とは ― モデルの部品表を持つ意味
• AIサプライチェーンとは ― 学習データ・モデル・推論環境のリスク連鎖
• ゼロトラストとAI ― 境界型防御が通用しない時代の設計原理

事例と最新の動き（15本）

• メール配信サービス「アララメッセージ」侵害、約7,700万件のメールアドレスが持ち出しのおそれ、最大約380社に波及 — 配信を外部に任せる企業が確かめること
• ソニー生命の契約者向けサイトに不正アクセス、代理店として扱ったメディケア生命の契約約38.5万件が漏えい — 他社の顧客情報を預かる代理店・販売店が確かめること
• メール配信「Cuenote FC」に不正アクセス、利用企業49システムから延べ5,162万件のメールアドレスなどが流出 — 配信サービスに預けた顧客情報を確かめる
• コメ兵グループの注文情報473件がEC一元管理システム「WASABI SWITCH」経由で流出、返金を装う詐欺メールも — 複数モールの受注をまとめる中小EC事業者の確認点
• メール配信サービス「ブラストメール」から全契約者の情報が持ち出し、配信も停止 — メルマガを外部サービスに頼る中小企業の初動
• ECサイト構築サービス「futureshop」に不正アクセス、1店舗の会員約315万件が流出 — SaaS型ECで出店する中小企業が確かめること
• 原子力機構のクラウド上の研究支援サイトから身分証・健康診断結果が流出、取引先から預かる書類の置き場を見直す
• 小田原エンジニアリングのドイツ子会社で出向者のメールが5か月盗み見られる — なりすましの入金指示で取引先に金銭被害
• 採用管理SaaS「ApplyNow」への不正アクセスが自治体6市に波及 — 大阪市106件・入間市約1,200件など職員採用の応募者情報が漏えい
• ZARA・7-Eleven・Udemyが流出した経路 ― SaaSは「設定」で破られる
• メールボックスが盗まれるとき ― JSTの1万6000件漏えいが示す取引先への波及
• ConnectWise ScreenConnect CVE-2024-1708 / 1709 — MSP 経由のサプライチェーン侵害
• Jenkins CVE-2018-1000861 — Stapler フレームワーク経由の未認証 RCE
• Hugging Faceモデル経由のマルウェア配布 ― 実際に起きたPickle爆弾
• OpenAI APIキー流出事件 ― GitHub・npm・Dockerhub公開の実態

ほかのテーマ: 生成AIセキュリティの記事まとめ / 情報漏えいとインシデント対応の記事まとめ / 脆弱性と更新管理の記事まとめ / 認証とフィッシング対策の記事まとめ / 規制・法令と個人情報保護の記事まとめ