APIキー
このタグの記事 4 件
Web制作サービス「Studio」に不正アクセス：全登録者の情報とフォームの送信内容が流出した可能性、フォームを送った人とサイト運営者がやること
Studio株式会社は2026年10月16日、同社が利用するクラウド環境に第三者による不正アクセスがあり、Web制作サービス「Studio」に登録しているすべての顧客について情報が外部に流出した可能性があると発表した。第三者はStudioの一部機能の脆弱性を悪用して不正にアクセスし、環境内のデータを外部から取得できる状態にしていた。不正アクセスを確認できている期間は2026年9月30日〜10月1日（日本時間）で、同社は10月13日に社内の調査で確認し、10月13〜14日に脆弱性の修正と経路の遮断を終えた。流出した可能性があるのは、アカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）、デザインエディタ・CMSの内容、Studioで作ったサイトのフォームに送信された内容、ライブプレビューのURL、API連携に登録した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Webhook通知のURLなど。暗号化して保存していた一部の情報も、復号に必要な鍵が同じ不正アクセスで読み出されたため内容を知られた可能性があるとしている。実際に第三者に取得された事実は確認できていないが、取得されたものとみなして対応している。件数と二次被害の有無は調査中。Studioでサイトを作っていた企業・団体も、フォームに送信された個人情報が流出した可能性があると相次いで発表しており、Luupは21,368件、Link-Uグループは7,663件、TRUSTARTは約1,440件、埼玉県のさいたま緑の森博物館は162件としている。Studio株式会社は10月17日、個人情報保護委員会からの要請を受けて、フォームを使う顧客に同委員会への個別の報告をいったん保留するよう求めた（本人への通知は保留の対象外）。当サイトの結論：Studioで作られたサイトのフォームを使った人は、そのサイトの運営者のお知らせを確かめ、問い合わせ内容に触れる連絡のリンクは開かない。サイト運営者は、Studioの案内の順にパスワードと連携の鍵を切り替える。
GitHubに公開された認証情報54万件が今も有効（2026年の調査）：削除ではなく失効が必要な理由と、開発者がやること
シークレット検出ツールを提供するセキュリティ企業が、LLM学習用に集められた公開リポジトリのスナップショット（約2.2億件）を調べ、2026年7月末の時点で543,699件の認証情報が実際にまだ認証に通ったと報告した。漏れてからの期間の中央値は784日。npmやGitHubのトークンはほぼすべて無効化されていた一方、データベースの接続文字列は7〜9割が有効のままだった。GitHubのプッシュ保護が既定で有効になった後に入った認証情報も19万件余りあり、有効なものの過半はプッシュ保護が既定で止めない種類だった。当サイトの結論：公開リポジトリにpushした認証情報は、ファイルや履歴を消しても回収できないので、まず失効させる。自動で失効されるかは発行元しだいで、接続文字列や多くのAPIキーは自分で止めない限り生き続ける。
gitleaksでコミット前に秘密を止める：APIキー漏洩をpushの前で食い止める
秘密は『漏れてから消す』では遅い。一度コミットされた秘密はGit履歴に残り、pushされたら漏れた前提で鍵の失効・ローテートが要る。gitleaksはリポジトリ全体とコミット履歴を正規表現/エントロピーでスキャンし、APIキー・秘密鍵・トークンを検出する無料ツール。守りの中心は2段階の検査＝①pre-commitフックでローカルのpush前に止める②CI/cronですり抜けを定期的に捕まえる。.gitignoreは新規追跡を防ぐだけで検出はできない＝検出器が別途要る。
セキュリティ超入門：.env と APIキーは何が危なくて、どう守るのか
最初の一歩。.env と APIキーが漏れると何が起きるか（他人があなたになりすまして外部サービスを使い、不正課金される）を理解し、『公開しない・コミットしない・漏れたら全部替える・自己点検する』の4つを今日から始める。