レート制限
このタグの記事 3 件
バイトルの不正アクセス（最大約389万件）：漏れたのはメールアドレスのみ、会員が偽の面接連絡や求人勧誘で気をつけること
ディップ株式会社は2026年10月9日、同社が運営する求人サイト「バイトル」「バイトルNEXT」で10月6日に第三者からの不正アクセスを確認し、会員のメールアドレスが一部漏えいしたと発表した。漏えいした可能性のある件数は最大3,885,771件。漏えいした情報はメールアドレスのみで、氏名・電話番号・パスワード・クレジットカード情報等は含まれていないとしている。原因は、システムの一部機能における仕様の不備を突いた海外からの不正アクセス。同社は海外からのアクセスを全て遮断し、プログラムを改修した。インターネット上への流出や不正利用は確認されていない。対象の会員には10月6日にサービス上で知らせ、順次メール等で個別に案内している。10月10日時点で続報は出ていない。当サイトの結論：漏れたのはメールアドレスだけでも、そのアドレスは求人サイトの会員のものと分かる。面接日程や応募確認を名乗る連絡のリンクは開かず、自分で開いた公式アプリで確かめる。別のメッセージアプリへの誘導や「高額」「即日即金」をうたう誘いには応じない。
2026年の国内大型情報漏えい4件（KDDI・アフラック・デジタル庁・さくら）：侵入口は違っても、共通する再発防止策は検知の強化
KDDI（メール基盤・約1,223万人）、アフラック（約440万人）、デジタル庁（約24.6万件）、さくらインターネット（最大約136万アカウント）。4件の侵入口は互いに似ていないのに、KDDI・アフラック・さくらの3社は再発防止策に検知の強化を挙げ、残るデジタル庁は大量アクセスという量の異常で気づけた事案だった。当サイトの結論＝侵入を完全に防げるとは考えず、正規の利用と同じ形の攻撃でも見分けられる手がかりである量と時間を監視する仕組みに投資する。
レート制限と濫用対策：総当たり攻撃と過剰な課金を防ぐ設計
レート制限の失敗は『緩すぎ』より、考えるべき点を取り違えたことで起きる。設計に必要な問いは3つ。誰を数えるか（IPは偽装され得るので、何を識別子にするかが先）、何を数えるか（回数だけでなくコスト・サイズ・件数）、上限に達したらどうするか（拒否は正規利用者へのDoSにもなる）。NISTは連続失敗100回までを上限としつつ、遅延やCAPTCHAで正規利用者を締め出すなと明記。OWASPはAPIの上限に『支出上限』を含めており、これが金銭被害を止める最後の対策になる。