調べたいことを検索

ランサムウェアは、ファイルを暗号化して『戻したければ身代金を払え』と要求するマルウェア。今は暗号化に加えてデータを盗み『払わなければ暴露する』と脅す二重恐喝が主流で、復号できても情報漏えいは止まらない。主な侵入口はフィッシング・弱い/MFAなしのVPN/RDP・未修正の公開脆弱性。最重要の防御は『オフライン/改ざん不能なバックアップ＋復元テスト』で、払わずに戻せる状態を作ること。侵入対策（MFA・パッチ）と被害範囲（最小権限・分離）も併せて固める。

米国で歯科・眼科の給付を運営するDentaQuestは、2026年5月17日から20日にかけて、同社ネットワーク上のデータに第三者がアクセスしたと公表した。ワシントン州司法長官への届出によれば、ソーシャルエンジニアリング（人をだます手口）で従業員1名がだまされ、認証情報と多要素認証（MFA）のコードを渡したことが原因。流出したのは氏名、住所、生年月日、社会保障番号（SSN）、会員番号・保険番号、Medicaid・Medicare番号、歯科・眼科の診療情報。対象項目は人によって異なる。同社は2026年8月3日、全米で2,740万人超を把握していると届け出た。SSNは変えられないので、会員は信用情報の凍結（3社すべて）、IRSのIP PIN、給付明細の確認で守る。組織にとっての教訓は、人が読み上げたり入力したりできる認証要素は、人がだまされれば渡せてしまうということ。これを防ぐのは、フィッシング耐性のあるMFA（パスキー、FIDO2セキュリティキー）と、電話してきた相手の本人確認をきちんと行うヘルプデスクだ。

マルウェア（Malicious Software）は、端末やデータに害を与える目的で作られた不正なソフトの総称。ウイルス・ワーム・トロイの木馬・ランサムウェア・スパイウェア・ボットはすべてこの一部。種類ごとに見た目は違っても、守り方は共通で3つ。侵入を防ぐ（更新・不審な添付/マクロを開かない・MFA）／検知する（EDR・アンチウイルス）／戻せるようにする（バックアップ）。種類の暗記より、この共通の守り方を固めることが大切。

AIは“新しい弱点”より“既存の弱点を自動で・大量に突く”側を強くする。だから特別な新対策より、基本を正しい順で固めるのが最善の備え。CVE即パッチ＋依存監視、使い回しの解消＋MFA、露出した秘密の除去、最小権限、公開面の縮小、ログ/IOCの備え、バックアップ——優先順チェックリストで。

IOC（侵害指標）は、侵害が残す痕跡＝既知の悪いファイルハッシュ・通信先IP/ドメイン・URL・異常プロセス等。既知の悪いものを機械的に検知・ブロックできるのが価値。ただし攻撃者が使い捨てで変えられる後追いの手がかりなので、IOC照合は“最後の照合材料”であって万能ではない。守りの中心は侵入されにくい設計（最小権限・パッチ・MFA）。

二要素認証（2FA）は、『知っている物（パスワード）』に『持っている物・本人そのもの（コード・鍵・生体）』という別カテゴリの証明を足して本人確認を強くする仕組み。よく混同される2段階認証（2回確認）とは厳密には別概念で、パスワード＋秘密の質問のように同じ種類の確認を2回するだけなら二要素にはならない。強さは方式で決まり、SMS/メール < 認証アプリ（TOTP） < パスキー/物理キー（FIDO2）。当サイトの立場は、まず何であれ2FAを入れること、その上でフィッシングで盗まれない方式へ切り替えること。

サービス側でパスワードを安全に保存する実践ガイド。平文・暗号化・素のハッシュがなぜダメかを理解し、『ユーザーごとのソルト＋わざと遅い専用ハッシュ（Argon2id推奨、次点bcrypt/scrypt）』に集約する。自前実装せず標準関数を使い、コストは定期的に見直し、既存の弱いハッシュはログイン時に再ハッシュして移行する。

代表的な調査では、約54%が記憶頼み・約33%が紙にメモ・パスワードマネージャー利用は約36%にとどまる。使い回しも約25%。一方 Verizon DBIR では漏洩の約38%に認証情報の侵害が関与し、漏洩DB内パスワードの約74%が使い回しだった。つまり、よく使われる保管法ほど攻撃者に悪用されやすい。安全な基本は、マネージャーで全部を別パスワードにし、重要アカウントはパスキー/MFAで守ること。

C2は、侵入された端末が攻撃者サーバーへ通信を返し（コールバック/ビーコン）、命令受信やデータ送出に使われる遠隔操作チャネル。侵入“後”の段階。検知の手がかりは外向きの不審な定期通信と既知の悪い宛先。防御は外向き通信（egress）の制御・DNS監視・IOC/IOA照合・最小権限。侵害調査では『常駐C2が無いこと』の確認も重要。

EDRは端末の振る舞いを継続記録し、不審な動き(IOA的)を検知して隔離・調査まで行う仕組み。シグネチャ/IOC照合中心の従来型AVが見逃すファイルレスや正規ツール悪用を、振る舞いとタイムラインで捉える。小規模はフルEDRが不要なことも多く、OS標準の保護＋ログ＋IOAの考え方で多くの価値が得られる。

公共Wi-Fiの『盗聴』はHTTPS普及で大半が暗号化され、優先度は下がった。本当のリスクは①偽AP(evil twin)に自分から繋ぐ②証明書警告を無視する③同じネットワークに端末を晒す。効果の高い対策はシンプルで、スマホのテザリングを使う・HTTPSと証明書警告を信じる・知らないSSIDに自動接続しない。VPNはその次の追加策。

スマホは二要素・メール・銀行・身分証が1台に集中しており、失うと多くのサービスに影響する（単一障害点）。最も効果のある対策はセキュリティアプリではなく、①強いロック＋短い自動ロック（パスコードが暗号化の鍵）②OS/アプリ自動更新 ③公式ストア＋権限見直し ④紛失時の遠隔ロック/ワイプを事前設定 ⑤二要素の予備（紙のバックアップコード）。OSは標準で暗号化・サンドボックス済み。

GitHubの2段階認証（2FA）の設定と、ロックアウトを防ぐ準備をまとめた手引き。GitHubは2023年3月から、コードを投稿するユーザーに段階的に2FAを必須化しており、対象に選ばれると45日の登録期間と7日の猶予の後、2FAを有効にするまでGitHub.comにアクセスできなくなる。GitHub Docsは、認証アプリ（TOTP）を主な方法にし、パスキーかセキュリティキーを予備に足す構成を推奨している（パスキー・セキュリティキー・GitHub Mobileは、TOTPかSMSを設定した後でないと追加できない）。当サイトの結論：2FAで本当に困るのは乗っ取りより自分が締め出されることで、GitHubサポートは2FAの資格情報と復旧手段をすべて失ったアカウントを戻せない。設定と同時に、リカバリーコード16個をパスワードマネージャーに保存し、2つ目の方法を登録しておく。あわせて、期限付きのfine-grainedトークン、承認済みアプリとSSH鍵の棚卸し、プッシュ保護とDependabotアラートを見直す。

2026年1〜10月に公表された主な情報漏えい・サイバー攻撃203件（国内99・海外103・国分類なし1）を、被害組織の公式発表などを出典に年表化した。影響度は規模と漏れた情報の種類で3段階に分け、基準をページに明記している。当サイトの結論：海外では運転免許証・旅券・社会保障番号といった本人確認に使う情報の流出が103件中29件と目立ち、国内ではランサムウェアと、インターネットに公開している機器やシステム（VPN装置、Webサイト、分析ツールなど）の脆弱性が目立つ。本人確認情報はパスワードのように簡単には入れ替えられないため、利用者は本人確認書類を預けるサービスを減らし、漏れたら信用情報機関に本人申告をする。運営者は、外部公開機器の更新と、預かった本人確認書類の保管期間の見直しから始める。

2026年、米国では医療情報の漏えいが相次ぎ、その多くは患者が名前も知らない会社で起きた。HHSの公開一覧で6件を並べると、4件は医療機関などから業務を請け負う委託先（Business Associate）、1件は医療機関から検体と情報を受け取る検査会社、残る1件は医療機関本体だが、侵入のきっかけは委託先側だった可能性があると本人が説明している。当サイトの結論：知らない会社からの通知は、それだけでは詐欺の証拠にならない。通知に書かれた番号やリンクを使う前に、HHSの公開一覧と州司法長官の掲載を自分で開いて照合する。組織側は、患者データを渡した先の一覧、契約終了時の返却・廃棄の確認、フィッシングに強い多要素認証（パスキーなど、偽サイトにだまされても認証を渡してしまわない方式）の3つから始める。

ワンタイムパスワード（OTP）は、一度使うと無効になる短命の使い捨てコード。認証アプリのTOTP（時刻ベース）、HOTP（カウンタベース）、SMS-OTP（SMS送信）がある。固定パスワードの漏洩・使い回しに強く、二要素認証の“持っている物”としてよく使われる。ただし限界があり、中間者型フィッシング（AiTM）ではOTPも偽サイト経由で中継され突破されうる。フィッシングに強いのはドメインに紐づくパスキー。OTPは『無いよりずっと良いが、最終的な対策ではない』。

パスキーは公開鍵暗号を使う認証情報。認証先には公開鍵を登録し、秘密鍵を渡さず署名でログインする。同期型は暗号化してほかの端末でも利用し、端末固定型は同期しない。MFAとしての利用にはPIN・生体認証による利用者確認などの条件を確認し、端末・同期アカウント・復旧手段も保護する。

AI時代の4つの誤解を正す。①小さいから狙われない→自動化された攻撃は人間が標的を選ばない ②特別な新対策が要る→基本対策が最も効く ③製品を入れれば安心→検知より事故を起こさない設計が先 ④AI生成コードは速くて安全→脆弱性を含んだまま公開されることがあり、公開前レビューが必須。効くのは地味な基本対策を正しい順で進めること。

自分のドメインを名乗る不審メールが届いても、多くは“サーバー侵害”ではなく“差出人(From)の詐称”。SMTPはFromを自由に書けるため。ヘッダのAuthentication-Results・Received・Reply-Toを読めば侵害か詐称か見分けられる。受信箱まで届く主因はDMARC未設定。SPF→DKIM→DMARC(p=none→reject)の段階導入で止める。

フィッシングは、信頼できる相手になりすまして偽のログイン画面などへ誘導し、認証情報や個人情報を盗む（またはマルウェアを実行させる）詐欺。ソフトの脆弱性ではなく『人の判断』を突くのが特徴で、ランサムウェアや情報漏えいの最大の侵入経路。今は本物そっくりの偽サイトでワンタイムコードまで中継する中間者型(AiTM)があり、SMS/アプリのMFAも突破されうる。確実な防御は『見破る注意力』ではなく、ドメインに紐づくフィッシング耐性MFA(パスキー/物理キー)・リンクを踏まず公式へ直接・メール認証(SPF/DKIM/DMARC)。

JWTは、サーバが署名して発行する、改ざんを検出できるトークン。header.payload.signatureの3部からなり、サーバは署名で本物か検証する。要注意＝①署名を必ず検証し期待するalgを固定（alg:none拒否）②中身は誰でも読めるので秘密を入れない③有効期限を短くし失効戦略を持つ。デコード（中身を読む）と検証（署名で本物か確かめる）は別物。

ノートPC持ち歩きの前提は『いつか失くす・盗まれる』。最も重要なのは、失くしても中身が漏れない設定＝①ディスク暗号化(BitLocker/FileVault) ②強いログイン+短い自動ロック ③遠隔ワイプ/位置追跡。公共Wi-FiはHTTPS普及で盗聴リスクが下がり、本当の脅威は偽AP・覗き見・離席。VPNを過信せず、暗号化とロックを最優先に。

パスワードマネージャーは、サービスごとに強い別パスワードを使うための道具です。ゼロ知識暗号は提供元から暗号化データが漏れた際にも内容を守る設計ですが、安全はマスターパスワードの強さや暗号化設定、端末の安全性にも左右されます。MFAで不正ログインも防ぎ、クラウド型とローカル型を用途で選びます。

デンマークの研究・教育・デジタル化省は2026年10月5日、住民登録システム（CPR）で、ある民間企業が正規に持っていた照会の権限を何者かが悪用し、約880万人（存命の人、国外に転出した人、亡くなった人を含む）の氏名・住所・CPR番号などを取得したと発表した。CPRには約1100万人が登録されている。CPRの管理部門は10月2日夜に、9月中にシステムで不規則な動きがあったことに気づき、企業の照会の権限を止めた。名前と住所の保護を登録している人の氏名・住所は含まれていない。デンマークの報道によれば、CPRの管理部門は10月9日、照会の権限を持つ1,039社に安全管理のルールを改めて通知し、担当大臣はセキュリティが十分でなかったと認めた。照会用のアカウントに「123456」というパスワードが使われていたとの報道もあるが、公式には確認されていない。当サイトの結論：氏名・住所・CPR番号を正しく言える連絡でも本物とは限らない。住民はMitIDやワンタイムコードを誰にも伝えず、事業者はこの3つを本人確認の根拠にするのをやめる。

カーニバル・クルーズ・ラインの親会社カーニバル・コーポレーションは、2026年4月14日に従業員のアカウントに関わる不正な活動を検知したと公表した。第三者がソーシャルエンジニアリング（人をだます手口）で従業員をだまし、同社のITシステムの一部にアクセスした。4月22日に個人情報がコピーされたと判断。メイン州司法長官への届出では影響を受けた人は5,995,277人。人によって、氏名、住所、メールアドレス、電話番号、生年月日、運転免許証番号や旅券番号などの政府発行の身分証番号が含まれる。漏れたのは旅券の番号で、旅券そのものではない。米国（と日本）の紛失・盗難の届出は旅券そのものを失効させる手続きで、実際になくした・盗まれた旅券のためのもの。本当の危険は、旅行の予定や身分証の番号を知っているように見せかけた連絡。米国居住者は信用情報を凍結する。日本の旅行者を含む全員が、クルーズ会社を装ったメールのリンクを開かない。旅券を本当に届け出るべき場面も知っておく。

IOA（攻撃指標）は、攻撃の“振る舞い”（権限昇格→横移動→外部送信などの手口の流れ）で気づく考え方。事後の痕跡であるIOCと対になる。ハッシュやIPは攻撃者が一瞬で変えられるが、手口（振る舞い）は変えにくい＝IOAは長く効く。小規模でも『普段と違う挙動』に注目することで近づける。

平文のGoogleドキュメント/スプレッドシートにパスワードを一覧保存するのは危険。理由：Googleアカウント1つが全パスワードの単一障害点になり、乗っ取り・不正連携アプリ・フィッシングで一気に全部漏れる。最も安全なのは専用パスワードマネージャ（端末間でも中身は暗号化）。どうしてもDriveを使うなら暗号化済みの管理ファイルだけ＋アカウントにフィッシング耐性MFA。

急増した請求は症状にすぎず、原因は修正せずに放置した公開済みCVSS 10.0のRCEだった。固有名詞を伏せた事例から、防御の教訓を抽出します。