tag
企業漏洩
このタグの記事 4 件
CVSS9.82026-06-12
MOVEit 大規模情報漏えい（2023）— SQLインジェクションのゼロデイが2,700社超に波及した原因と防御
入口はインターネット公開のファイル転送製品MOVEit TransferのSQLインジェクションのゼロデイ（CVE-2023-34362）。Web shell（LEMURLOOT）が仕込まれ背後のDBからデータが一括窃取され、2,700社超・約9,330万人分が流出。多くの被害者は委託先・取引先がMOVEitを使っていたことで間接的に巻き込まれた。あなたの環境ではKEV即時パッチ・公開面の最小化・Web↔DBの最小権限と分離・委託先の棚卸しとデータ最小化で備える。
2026-06-07
Capital One 情報漏えい事件（2019）— SSRFから1億人分が漏れた原因と防御
入口はたった1つのSSRF。そこからメタデータ提供先→過剰権限のIAM一時鍵→S3一括コピーへと連鎖し、約1億600万人分が漏えい。各ホップで止められた。あなたの環境ではIMDSv2・IAM最小権限・送信先の許可リストで再発防止する。
2026-06-07
Codecov 改ざん事件（2021）— CIの“信頼するツール”が乗っ取られ秘密情報が流出した原因と防御
原因は『CIで信頼して実行するツール（curl|bashのBash Uploader）が上流で改ざんされた』こと。自分のコードは無傷なので約2か月気づけず、CIの秘密情報が流出。検知はチェックサム照合だった。あなたのCIでは取得物の完全性検証・秘密の最小権限・ローテーション・egress監視で再発防止する。
CVSS10.02026-06-07
Equifax 情報漏えい事件（2017）— 未パッチのApache Strutsで1.47億人が漏れた原因と防御
原因は『修正パッチが出ていた既知CVE（CVSS 10.0）を公開システムに当てなかった』こと。監視装置の証明書失効で76日間も持ち出しに気づけず被害が拡大。あなたの環境では資産の棚卸し・パッチSLA・機械監視・検知の健全性で再発防止する。