MFA
このタグの記事 11 件
FortiBleed（FortiGateの認証情報漏えい、約7万4千台）：新しい脆弱性ではなく、管理者とVPNのパスワード変更が必要
「FortiBleed」は、FortiGate（Fortinetのファイアウォール・VPN機器）の管理者アカウントとSSL VPNの認証情報が大量に漏れ、攻撃に使われている問題である。米CISAは2026年6月18日、約7万4千台の機器に関連する認証情報が漏れたとして注意喚起を出した。Fortinetは6月19日、新しい脆弱性ではなく、過去の事案で漏れた認証情報の再利用と、弱いパスワード・多要素認証のない機器への総当たりによるものとの見解を示した。JPCERT/CCは6月23日、国内企業に関連する情報が含まれていることを確認したとして注意喚起を出した。米FBIと米シークレットサービスは10月6日、攻撃が続いており、管理者が締め出される被害や、ランサムウェアの侵入口として使われた例があると警告した。修正版のファームウェアに上げても、漏れたパスワードは使えるままである。当サイトの結論：FortiGateを使っているなら、管理者とVPNのパスワードを変え、多要素認証をかけ、管理画面をインターネットから閉じ、古い形式のパスワードの控え（SHA-256）を消す。
米DentaQuestの情報漏えい：多要素認証のコードをだまし取られた事案と、会員がやること
米国で歯科・眼科の給付を運営するDentaQuestは、2026年5月17日から20日にかけて、同社ネットワーク上のデータに第三者がアクセスしたと公表した。ワシントン州司法長官への届出によれば、ソーシャルエンジニアリング（人をだます手口）で従業員1名がだまされ、認証情報と多要素認証（MFA）のコードを渡したことが原因。流出したのは氏名、住所、生年月日、社会保障番号（SSN）、会員番号・保険番号、Medicaid・Medicare番号、歯科・眼科の診療情報。対象項目は人によって異なる。同社は2026年8月3日、全米で2,740万人超を把握していると届け出た。SSNは変えられないので、会員は信用情報の凍結（3社すべて）、IRSのIP PIN、給付明細の確認で守る。組織にとっての教訓は、人が読み上げたり入力したりできる認証要素は、人がだまされれば渡せてしまうということ。これを防ぐのは、フィッシング耐性のあるMFA（パスキー、FIDO2セキュリティキー）と、電話してきた相手の本人確認をきちんと行うヘルプデスクだ。
Canvas（Instructure）の情報漏えい：履修情報とメッセージの流出で学生・教員・学校がやること
学習管理システム（LMS）Canvasの運営会社Instructureによれば、2026年4月29日に不正な活動を検知し、ユーザー名、メールアドレス、コース名、履修情報、メッセージが持ち出された。同社は、パスワード、生年月日、健康情報、社会保障番号、金融情報、成績、懲戒記録を保存する項目は含まれないとしている。5月7日には同じ攻撃者が別の脆弱性でログイン後の画面を書き換えた。持ち出された項目は一見重要でなさそうでも、誰がどの授業を取っているかとメールアドレスがそろうと、学校を名乗る本物らしい詐欺メールが作れる。そしてメッセージは自由記述なので、そこに書いたものは何でも対象になり得る。届いた連絡は、学校の公式サイトや普段使っているCanvasなど、公式の窓口だけで確かめる。学校のIT担当者は、通知先の登録、ログの確認、管理者の多要素認証、授業データのバックアップ（Canvasの外への保存）を進める。
パスワードの保管、みんなどうしてる？データで見る実態と安全な方法
代表的な調査では、約54%が記憶頼み・約33%が紙にメモ・パスワードマネージャー利用は約36%にとどまる。使い回しも約25%。一方 Verizon DBIR では漏洩の約38%に認証情報の侵害が関与し、漏洩DB内パスワードの約74%が使い回しだった。つまり、よく使われる保管法ほど攻撃者に悪用されやすい。安全な基本は、マネージャーで全部を別パスワードにし、重要アカウントはパスキー/MFAで守ること。
AI時代のセキュリティ対策｜個人開発者がいま固めるべき基本（優先順チェックリスト）
AIは“新しい弱点”より“既存の弱点を自動で・大量に突く”側を強くする。だから特別な新対策より、基本を正しい順で固めるのが最善の備え。CVE即パッチ＋依存監視、使い回しの解消＋MFA、露出した秘密の除去、最小権限、公開面の縮小、ログ/IOCの備え、バックアップ——優先順チェックリストで。
フィッシングとは：手口の種類と、見分けるより確実な防御
フィッシングは、信頼できる相手になりすまして偽のログイン画面などへ誘導し、認証情報や個人情報を盗む（またはマルウェアを実行させる）詐欺。ソフトの脆弱性ではなく『人の判断』を突くのが特徴で、ランサムウェアや情報漏えいの最大の侵入経路。今は本物そっくりの偽サイトでワンタイムコードまで中継する中間者型(AiTM)があり、SMS/アプリのMFAも突破されうる。確実な防御は『見破る注意力』ではなく、ドメインに紐づくフィッシング耐性MFA(パスキー/物理キー)・リンクを踏まず公式へ直接・メール認証(SPF/DKIM/DMARC)。
多要素認証(MFA)の選び方：SMS・認証アプリ・パスキーの違い
MFAは異なる種類の要素を2つ以上使う認証で、2FAはそのうち2種類を使うもの。手順が二段階あるだけではMFAとは限らない。手入力のコードはフィッシング耐性がなく、SMSではSIMスワップにも注意する。重要なアカウントはフィッシング耐性のある方式を優先し、パスキーのPIN・生体認証による利用者確認、同期・復旧の条件も確かめる。
パスワードマネージャーは安全？仕組みとクラウド・ローカルの違い、選び方
パスワードマネージャーは、サービスごとに強い別パスワードを使うための道具です。ゼロ知識暗号は提供元から暗号化データが漏れた際にも内容を守る設計ですが、安全はマスターパスワードの強さや暗号化設定、端末の安全性にも左右されます。MFAで不正ログインも防ぎ、クラウド型とローカル型を用途で選びます。
個人開発・小規模運営のセキュリティ最低限：業界標準の対策と優先順位
最低限の対策は『全部同じ重さ』ではない。当サイトの優先順位＝①管理者アカウント・ドメイン・メール（多要素認証）②秘密とコード③アプリ本体④パッチ・検知・復元。リソースが有限な個人は、この順で上から埋めるのが正解。多くの事故は新種の攻撃ではなく、これら基本対策の抜けから起きる。
スマホを安全に使う基本：パスワード・決済・本人確認が1台に集まる端末の守り方
スマホは二要素・メール・銀行・身分証が1台に集中しており、失うと多くのサービスに影響する（単一障害点）。最も効果のある対策はセキュリティアプリではなく、①強いロック＋短い自動ロック（パスコードが暗号化の鍵）②OS/アプリ自動更新 ③公式ストア＋権限見直し ④紛失時の遠隔ロック/ワイプを事前設定 ⑤二要素の予備（紙のバックアップコード）。OSは標準で暗号化・サンドボックス済み。
パスワードをGoogleドライブに保存するのは安全？正しい保管方法
平文のGoogleドキュメント/スプレッドシートにパスワードを一覧保存するのは危険。理由：Googleアカウント1つが全パスワードの単一障害点になり、乗っ取り・不正連携アプリ・フィッシングで一気に全部漏れる。最も安全なのは専用パスワードマネージャ（端末間でも中身は暗号化）。どうしてもDriveを使うなら暗号化済みの管理ファイルだけ＋アカウントにフィッシング耐性MFA。