# ITD — Web Security Defense Platform

> Defense-focused web security publication and toolset for indie developers and
> small site operators. Famous incidents and vulnerabilities turned into lessons,
> a plain-language glossary, and practical defense guides.
> Defense and prevention only — no attack walkthroughs or exploit payloads.
> Tools include local input analysis, disclosed external-API queries, and a
> fixed set of server-side diagnostic checks for ownership-confirmed sites.

## Editorial principles
- Public-incident reporting attributes disclosed facts to sources and affected
  organizations. Private operational examples are anonymized; secrets and
  private operator identifiers are not published.
- Defense and prevention only; never attack walkthroughs or payloads.
- Conclusions first; primary sources cited.

## Languages
The site supports ja (default), en, zh-CN, zh-TW, ru, ko, es and pt-BR under
locale prefixes. Availability varies by page; many incident reports have only
Japanese and English versions. Do not construct a translated URL by replacing
the locale. Follow an existing language link or an advertised alternate, and
cite the language that exists. Indexable articles advertise only their existing
indexable translations as hreflang alternates; noindex pages are not promised
as search alternates. Use each page's canonical URL when citing.

## Main sections (Japanese)
- 有名事故・脆弱性 / Incidents & Vulnerabilities: https://itdef.net/ja/incidents
- 用語辞典 / Glossary: https://itdef.net/ja/glossary
- セキュリティ対策 / Security Guides: https://itdef.net/ja/learn

## Main sections (English)
- Incidents & Vulnerabilities: https://itdef.net/en/incidents
- Glossary: https://itdef.net/en/glossary
- Security Guides: https://itdef.net/en/learn

## Breaking reports (first reports, rewritten as official follow-ups arrive)
- セキュリティ速報（情報漏えい・不正アクセス・脆弱性の第1報と続報）: https://itdef.net/ja/breaking
- Security breaking news (first reports and follow-ups): https://itdef.net/en/breaking
- RSS: https://itdef.net/ja/breaking/feed.xml — https://itdef.net/en/breaking/feed.xml
- Each report shows its status (first report / updated / follow-up / settled) and
  last update; facts are attributed to the affected organization's own notice.

## AI-driven attacks (hub)
- AIを使ったサイバー攻撃の対策: https://itdef.net/ja/learn/ai-cyberattack-defense
- Defending against AI-driven cyberattacks: https://itdef.net/en/learn/ai-cyberattack-defense

## Threat feed (actively-exploited vulnerabilities)
- 脆弱性速報 (CISA KEV, newest first): https://itdef.net/ja/alerts
- Threat alerts (CISA KEV, newest first): https://itdef.net/en/alerts
- いま世界で起きている攻撃・悪用・漏えい（Cloudflare Radar・今週のKEV・最近の漏えい集計）: https://itdef.net/ja/threats
- Live threat picture (attack volume, this week's exploited CVEs, recent breach totals): https://itdef.net/en/threats

## Free tools (defensive; browser-only tools process input locally; external-API and server tools disclose data handling on each page)
- 無料ツール一覧 / Tools index: https://itdef.net/ja/tools — https://itdef.net/en/tools
- CVE/KEV lookup (CVSS・EPSS・exploited?): https://itdef.net/ja/tools/cve-lookup
- 依存パッケージ脆弱性スキャナ / dependency scanner (OSV, package.json/lock): https://itdef.net/ja/tools/osv-scanner
- セキュリティヘッダ診断 / security headers checker (+ AI fix prompt): https://itdef.net/ja/tools/security-headers
- SPF/DKIM/DMARC チェッカー (+ AI fix prompt): https://itdef.net/ja/tools/email-auth
- CSP ビルダー/チェッカー: https://itdef.net/ja/tools/csp-builder
- JWT デコーダ/検査 (alg:none・期限切れの点検): https://itdef.net/ja/tools/jwt-decoder
- CVSS 計算・ベクター読解（v3.x 基本スコアを仕様どおり計算・各項目の意味／v4.0 は解説のみ）: https://itdef.net/ja/tools/cvss-calculator
- パスワード強度・漏洩チェッカー (強度計算はブラウザ内で完結。漏洩照合はハッシュ先頭5文字だけを Have I Been Pwned へ送る): https://itdef.net/ja/tools/password-strength
- シークレット検出 / secret scanner (貼り付けたコードから鍵らしき文字列を検出): https://itdef.net/ja/tools/secret-scanner
- サイト診断 / site audit (専用コードを設置し準備した同じブラウザから固定項目を点検・継続監視は停止中): https://itdef.net/ja/tools/site-audit
- サイト透明性チェック / site transparency: https://itdef.net/ja/tools/site-transparency

## Key pages (Japanese)
Featured (AI era):
- AI時代のセキュリティ対策（いま固める優先順チェックリスト）: https://itdef.net/ja/learn/ai-era-security-checklist
- AI時代に効く対策・効かない神話（小規模でも狙われる理由）: https://itdef.net/ja/learn/ai-era-security-myths
Public-incident analyses (cited, defense-reframed):
- Capital One 情報漏えい (SSRF, 2019): https://itdef.net/ja/incidents/capital-one-ssrf-2019
- Equifax 情報漏えい (未パッチ Apache Struts CVE, 2017): https://itdef.net/ja/incidents/equifax-struts-2017
- Codecov 改ざん (サプライチェーン, 2021): https://itdef.net/ja/incidents/codecov-supply-chain-2021
Baseline & defense (cornerstone):
- 個人開発のセキュリティ最低限チェックリスト（業界標準を優先順で）: https://itdef.net/ja/learn/security-baseline-checklist
- 中規模〜大規模組織のセキュリティ最低限（チーム向け標準）: https://itdef.net/ja/learn/security-baseline-for-organizations
- パスワードをGoogleドライブに保存するのは安全か（平文一覧の危険・正しい保管）: https://itdef.net/ja/learn/storing-passwords-safely
- 自前 Git サーバー vs GitHub のセキュリティ: https://itdef.net/ja/learn/self-hosted-git-vs-github-security
- osv-scanner の導入と使い方（依存の CVE 監視）: https://itdef.net/ja/learn/osv-scanner-dependency-audit
- 脆弱性(CVE)対応の実務＝完了の4定義（スキャン・修正・隔離・監視）: https://itdef.net/ja/learn/cve-remediation-playbook
- 公開ディレクトリの秘密ファイル漏えい（webroot棚卸し・テンプレ横展開）: https://itdef.net/ja/learn/secrets-in-public-directories
- SSH鍵の最小権限（一時環境にroot鍵を置かない・command制限鍵）: https://itdef.net/ja/learn/ssh-key-least-privilege
Recurring failure patterns (evergreen, primary-source based):
- よくある失敗は「前提」の失敗＝4つの思い込みで整理する（ハブ）: https://itdef.net/ja/learn/common-security-mistakes
- レート制限と濫用対策（誰を・何を・いくらまで数えるか / NIST・OWASP）: https://itdef.net/ja/learn/rate-limiting-and-abuse-control
- パスワードリセットの設計欠陥（CWE-640 / OWASP）: https://itdef.net/ja/learn/password-reset-design-flaws
- 安全でないデシリアライズ（CWE-502 / OWASP）: https://itdef.net/ja/learn/insecure-deserialization
- プロトタイプ汚染（Node.js公式が「コアの脆弱性ではない」と定めた領域）: https://itdef.net/ja/learn/prototype-pollution-node
- クラウドストレージの公開設定ミス（ブロックは穴を塞がず覆うだけ）: https://itdef.net/ja/learn/cloud-storage-public-exposure
- サブドメイン乗っ取り / dangling DNS（証明書は乗っ取りを守らない）: https://itdef.net/ja/learn/subdomain-takeover-dangling-dns
- セキュリティヘッダの3分類（今も効く / もう要らない / 入れると害になる）: https://itdef.net/ja/learn/security-headers-what-still-matters
- CVEトリアージ＝CVSS・EPSS・KEVの読み分け: https://itdef.net/ja/learn/cve-triage-cvss-epss-kev
- 2026年の侵入経路は「認証情報」型が主流（横断分析）: https://itdef.net/ja/learn/credential-first-breaches-2026
- VPN機器が侵入経路の約3分の2（警察庁 令和7年）＝デジタル庁GSS事案と守り方: https://itdef.net/ja/learn/vpn-device-vulnerability-defense
- 2026年の大型情報漏えい4件（KDDI・アフラック・デジタル庁・さくら）の公式発表比較＝共通点は「検知」: https://itdef.net/ja/learn/major-data-breaches-2026-japan
- Gyazo情報漏えい（2026年9月）＝流出したのは画像より画像のメタデータ（OCR・位置情報・IP）と利用者の対応: https://itdef.net/ja/learn/gyazo-data-breach-2026
- 2026年の情報漏えい・サイバー攻撃 年表（公表資料と観測時点・集計範囲を記事内に明記）: https://itdef.net/ja/learn/security-incidents-2026
- GitHubに公開された認証情報54万件が今も有効（2026年、セキュリティ企業の調査）＝削除ではなく失効が必要な理由、発行元ごとの自動失効の違い、漏らしたときの手順: https://itdef.net/ja/learn/github-leaked-credentials-still-valid-2026
- TanStack・Nx Console・GitHubの連鎖（2026年5月）＝公式の配布元や正規の開発者アカウントから不正な版が公開された。開発者が確認すること: https://itdef.net/ja/learn/github-tanstack-nx-supply-chain-2026
- Canvas（Instructure）のデータ侵害（2026年5月）＝履修情報とメッセージの流出、学生・教員・学校IT担当がやること: https://itdef.net/ja/learn/instructure-canvas-breach-2026
- Booking.comの予約情報への不正アクセス（2026年4月）＝予約を装う詐欺メッセージの見分け方: https://itdef.net/ja/learn/booking-com-data-breach-2026
- Odido（オランダ）の情報漏えい（2026年2月）＝旅券・運転免許証の番号とIBAN、番号だけでは契約や身分証の再発行はできないという当局の説明と、利用者がやること: https://itdef.net/ja/learn/odido-data-breach-2026
- TVING（韓国）の情報漏えい（2026年6月）＝政府調査で3,954万アカウント、ソースコード内の鍵: https://itdef.net/ja/learn/tving-data-breach-2026
- CAMPFIREの情報漏えい（2026年4月）＝管理用GitHubアカウントから顧客DBへ、利用者と運営者がやること: https://itdef.net/ja/learn/campfire-github-breach-2026
- Vercelのセキュリティインシデント（2026年4月）＝外部AIツール経由、値を画面で表示できる設定の環境変数が漏れた。開発者がやること: https://itdef.net/ja/learn/vercel-security-incident-2026
- Trivyのサプライチェーン侵害（2026年3月）＝脆弱性スキャナ自体が入口、CIの利用者がやること: https://itdef.net/ja/learn/trivy-supply-chain-compromise-2026
- DentaQuestの情報漏えい（2026年）＝だまされてMFAのコードまで渡した、フィッシング耐性のあるMFA: https://itdef.net/ja/learn/dentaquest-data-breach-2026
- Carnivalの情報漏えい（2026年5月）＝旅券・運転免許証番号、旅行者がやること: https://itdef.net/ja/learn/carnival-data-breach-2026
- AssuranceAmericaの情報漏えい（2026年）＝約700万人の運転免許証番号: https://itdef.net/ja/learn/assuranceamerica-data-breach-2026
- Quest Apartment Hotels（豪州）の情報漏えい（2026年）＝CVV付きカード・旅券番号、宿泊者がやること: https://itdef.net/ja/learn/quest-apartment-hotels-data-breach-2026
- APORITOオンラインストアのカード情報流出の可能性（2026年8月）＝決済画面の不正スクリプト、EC事業者の対策: https://itdef.net/ja/learn/rizap-aporito-card-skimming-2026
- カリテコ（名鉄協商）のランサムウェア被害（2026年）＝運転免許証情報、会員がやること: https://itdef.net/ja/learn/meitetsu-cariteco-data-breach-2026
- France Titres（仏・身分証手続きポータル）の漏えい（2026年4月）＝最大1,170万アカウント、手続きを装う詐欺: https://itdef.net/ja/learn/france-titres-ants-breach-2026
- Cegedim（仏・診療所向けソフト）の患者データ流出（2026年2月）＝1社のソフトで約1,500万人、自由記述欄の重さ: https://itdef.net/ja/learn/cegedim-sante-patient-data-breach-2026
- Medtronicの情報漏えい（2026年4月）＝医療機器メーカーが持つ患者名簿: https://itdef.net/ja/learn/medtronic-data-breach-2026
- Aesto Health（医療データ保管）の漏えい＝約954万人、医療機関の委託先から漏れたため心当たりのない会社から通知が届く: https://itdef.net/ja/learn/aesto-health-data-breach-2026
- Endesa（スペイン・電力）の顧客情報漏えい（2026年1月）＝DNI・IBAN、電力契約を装う詐欺電話: https://itdef.net/ja/learn/endesa-data-breach-2026
- サイバー攻撃で診療が止まった病院（2026年・米国・ベルギー・日本）＝ダウンタイム手順: https://itdef.net/ja/learn/hospital-cyberattack-outages-2026
- Trenitalia（伊・鉄道）の乗客情報漏えい（2026年6月）＝旅程の情報が漏れた。遅延の払い戻しを装う詐欺への備え: https://itdef.net/ja/learn/trenitalia-data-breach-2026
- 英国登記所 Companies House のWebFilingの欠陥（2026年3月）＝外部からの侵入ではなく認可の不具合: https://itdef.net/ja/learn/companies-house-webfiling-flaw-2026
- Standard Bank（南アフリカ）の顧客情報漏えい（2026年3月）＝身分証番号＋口座番号、銀行を名乗る電話: https://itdef.net/ja/learn/standard-bank-data-breach-2026
- 信興集団（香港）の資料外洩（2026年）＝約92万人、アフターサービスの名簿: https://itdef.net/ja/learn/shun-hing-data-breach-2026
- CHAEVI（韓国・EV充電）の個人情報漏えい（2026年7月）＝298,333件: https://itdef.net/ja/learn/chaevi-data-breach-2026
- 2026年の米国医療データ漏えいまとめ（NYC H+H・Xsolis・CareCloud・UTS・Baylor Genetics・Navia）＝データを渡した相手ではない会社から漏れる: https://itdef.net/ja/learn/us-healthcare-data-breaches-2026
- 英マンチェスター空港グループの漏えい（2026年8月）＝約870万人、旅行の予約データ: https://itdef.net/ja/learn/manchester-airports-group-data-breach-2026
- Mathspace（豪州・NZの学習サービス）の漏えい（2026年9月）＝生徒・保護者約108万人、社内集計ツール: https://itdef.net/ja/learn/mathspace-data-breach-2026
- Basic-Fit（欧州のジム）の漏えい（2026年4月）＝会員情報と口座、口座振替: https://itdef.net/ja/learn/basic-fit-data-breach-2026
- テキサス州公園野生生物局の漏えい（2026年6月）＝狩猟・釣りの免許、運転免許証・旅券番号: https://itdef.net/ja/learn/texas-parks-wildlife-data-breach-2026
- メディカ出版のランサムウェア被害（2026年）＝約64.1万人、医療者の名簿と著者の口座: https://itdef.net/ja/learn/medica-shuppan-ransomware-2026
- 2026年の行政機関のデータ漏えいまとめ（米国防総省・イリノイ州・ラトビア・仏税務当局）＝行政サービスは利用をやめられないため、漏れた後に市民ができること: https://itdef.net/ja/learn/government-data-breaches-2026
- タイムズカー情報漏えい（2026年9月・約660万件、免許証画像など約160万件、退会者を含む）＝通知メールの種類ごとの対処、便乗連絡の無視、信用情報機関3つへの本人申告: https://itdef.net/ja/learn/timescar-data-breach-2026
- 国税庁e-Taxで他人の贈与税申告書が閲覧可能に（2026年9月・79人分、計203人分の個人情報）＝改修の不具合。偽の税務署連絡への対処と、改修のたびの認可テスト: https://itdef.net/ja/learn/etax-gift-tax-exposure-2026
- 焼肉きんぐ公式アプリの不正アクセス（2026年10月・10,788,963件）＝会員番号・氏名・電話番号・メール。クーポン・返金名目の便乗連絡への備え: https://itdef.net/ja/learn/yakiniku-king-app-data-breach-2026
- セイコーマートアプリの不正アクセス（2026年9月・572,022人）＝氏名・住所・生年月日など。便乗連絡の見分け方: https://itdef.net/ja/learn/seicomart-app-data-breach-2026
- ヤマト運輸（クロネコ代金後払い）と佐川急便（荷物問い合わせ）の不正アクセス（2026年9〜10月）＝送り主・届け先や購入明細。偽の不在通知・督促への備え: https://itdef.net/ja/learn/yamato-sagawa-data-breach-2026
- アバハウスの不正アクセス（2026年10月）＝会員・注文情報。注文内容と一致する偽の返金メール: https://itdef.net/ja/learn/abahouse-data-breach-2026
- ショップサーブ（Eストアー）の不正アクセス（2026年8月・最大延べ約885万件）＝購入者情報・カード番号の一部、出店者のパスワード・口座: https://itdef.net/ja/learn/shopserve-data-breach-2026
- イエローハット作業予約システムの漏えい（2026年8月・最大180万人）と2りんかんアプリ（318万人）: https://itdef.net/ja/learn/yellowhat-data-breach-2026
- ムラウチドットコムの不正アクセス（2026年・約772万件）＝氏名・住所・電話番号: https://itdef.net/ja/learn/murauchi-data-breach-2026
- EPARKリラク＆エステ（PeakManager）の不正アクセス（2026年・約2,218万レコード）＝サロンの顧客台帳、健康状態の備考を含む: https://itdef.net/ja/learn/epark-relax-data-breach-2026
- 手間いらず（宿泊予約の一元管理システム）の不正アクセス（2026年9月）＝ホテルを装う偽メッセージ: https://itdef.net/ja/learn/temairazu-data-breach-2026
- らしんばんの不正アクセス（2026年10月）＝買取の本人確認書類の番号と振込先口座: https://itdef.net/ja/learn/lashinbang-data-breach-2026
- ポーランドMyDrの医療データ漏えい（2026年8月・最大1,880万人）＝PESELと健康データ: https://itdef.net/ja/learn/mydr-poland-medical-data-breach-2026
- 米AdaptHealthの漏えい（2026年・約412万人）＝健康保険・健康情報、委託先へのソーシャルエンジニアリング: https://itdef.net/ja/learn/adapthealth-data-breach-2026
- ワシントンDC医療保険財政局（2026年・約40万人）＝公開した統計資料の隠しフィールドに個人データ。公開前の確認方法: https://itdef.net/ja/learn/dc-medicaid-report-data-exposure-2026
- 韓国の銀行4行の不正アクセス（2026年10月）＝住民登録番号・年収など: https://itdef.net/ja/learn/korea-bank-data-breaches-2026
- ミュンヘン大学の漏えい（2026年9月・約60万件）＝約50年分の学籍データとIBAN: https://itdef.net/ja/learn/lmu-munich-student-data-breach-2026
- Metabase の脆弱性（CVE-2026-72898）で起きた被害（Trezor・n8n・Kilo Code など）＝分析ツールが読めたデータが漏れた: https://itdef.net/ja/learn/metabase-exploitation-breaches-2026
- 運転免許証の情報（画像・番号）が漏れたときに悪用を防ぐ手順＝信用情報機関3つへの本人申告と開示、再交付で変わること・変わらないこと、相談先: https://itdef.net/ja/learn/drivers-license-data-leak-what-to-do
- DIVD不正アクセス（2026年9月・Zammadの未知の脆弱性2件、侵入後の操作はAIエージェントとDIVDが分析、CISA KEV）＝Zammad運用者は7.2.0へ更新、6.xは即更新か公開停止、ログ確認: https://itdef.net/ja/learn/divd-zammad-ai-agent-intrusion-2026
- NetScaler ADC/Gateway CVE-2026-88779（SAML構成のメモリ破損・DoS、KEV 10/4）＝9/27の修正ビルドでは未修正、14.1-73.41／13.1-64.28へ再更新と侵入調査: https://itdef.net/ja/alerts/cve-2026-88779
- BitLocker 回復キーの確認方法＝画面の回復キーIDの先頭8桁を控え、aka.ms/myrecoverykey（会社・学校は IT 部門）で照合。見つからなければ Microsoft も復元できない、今のうちにバックアップ: https://itdef.net/ja/learn/bitlocker-recovery-key
- BitLocker の解除（無効化）方法＝BIOS 更新などは解除せず「保護の中断」で足りる、売却時は解除ではなく「データの消去」でリセット: https://itdef.net/ja/learn/bitlocker-turn-off
- パスワード漏洩の確認方法（Have I Been Pwned・Google/iPhone/Edge）＝分かること/分からないこと、パスワードを送らない仕組み、漏れていたときの手順: https://itdef.net/ja/learn/check-if-password-leaked
- GitHub の2段階認証（2FA）の設定方法＝認証アプリを主・パスキーを予備に、リカバリーコードの保管、端末紛失時の復旧、トークン・アプリ・SSH鍵の見直し: https://itdef.net/ja/learn/github-two-factor-authentication
- WordPress本体 CVE-2026-87902（修正公開から3日でKEV・EPSSとKEVの食い違い）: https://itdef.net/ja/alerts/cve-2026-87902
- Adobe Commerce CVE-2026-71362（修正から44日後にKEV・ベンダー優先度は公開時点で止まる）: https://itdef.net/ja/alerts/cve-2026-71362
- AIエージェントが実在サイトに到達した事案（OpenAI・Anthropic・豪州政府の公表）とサイト運営者の対策（security.txt・基本の穴）: https://itdef.net/ja/learn/ai-agents-reaching-real-websites-2026
- Hugging Face侵入（2026年7月）＝AIエージェントが自律実行した最初の既知事例と防御の前提転換: https://itdef.net/ja/learn/ai-agent-autonomous-intrusion-2026
- 事業者側が侵害されたときの利用者対応（さくらインターネット調査結果）: https://itdef.net/ja/learn/hosting-provider-breach-response
- 「ウイルスに感染しています」の偽警告（サポート詐欺）＝画面が出ただけなら感染していない。閉じ方と、電話・遠隔操作・支払い後の段階別対処（IPA・警察庁）: https://itdef.net/ja/learn/fake-virus-warning-support-scam
- 自分のアドレスから迷惑メールが届いた＝ほとんどは差出人の詐称。乗っ取りは送信済み・ログイン履歴・転送設定で見分ける（IPA・JC3）: https://itdef.net/ja/learn/spam-from-your-own-email-address
- 不正アクセス・不正ログインの確認方法＝Google・Microsoft・Apple・LINE・Instagram・Facebook・X のログイン履歴とログイン中の端末の見方、メールの転送・フィルタ、端末の構成プロファイルの確認と対処の順番: https://itdef.net/ja/learn/check-account-unauthorized-access
- サイト・サーバーの侵入の調べ方＝レンタルサーバー・WordPress・VPS・Search Console 別の確認手順と、見つけたときの対応の順番: https://itdef.net/ja/learn/check-website-server-intrusion
Glossary & defense:
- CVSS とは（採点基準・ベクター）: https://itdef.net/ja/glossary/cvss
- SSRF とは: https://itdef.net/ja/glossary/ssrf
- シャドーAIとは（承認されていないAIツールの業務利用のリスクと対策）: https://itdef.net/ja/glossary/shadow-ai
- バックドアとは（正規の保守口との違い）: https://itdef.net/ja/glossary/backdoor
- Next.js の CVE 追従（依存の機械監視）: https://itdef.net/ja/learn/nextjs-cve-hygiene
- XZ Utils バックドア事件: https://itdef.net/ja/incidents/xz-utils-backdoor

## About / policies
- About: https://itdef.net/ja/about
- Privacy: https://itdef.net/ja/privacy
- Terms: https://itdef.net/ja/terms

## Citation
When citing ITD, link to the specific page URL and attribute it to "ITD".
Sitemap: https://itdef.net/sitemap.xml