記事一覧

退職者アカウントの管理｜「消し忘れ」が侵入口になる仕組みと、退職日に終わらせる手順

退職した社員のアカウントが、半年後もログインできる状態で残っている——珍しい話ではありません。使われていないアカウントは、異常に気づく本人がいないため、攻撃者にとって最も都合のよ…

本物のchatgpt.comの中に罠があった｜カスタムGPTを悪用したマルウェア配布、AIは検索広告ではなくブックマークから開く

Google検索の広告から、本物のchatgpt.com上に作られた偽の「Plus 5.6」というカスタムGPTへ誘導し、偽の認証画面とコマンド実行で遠隔操作マルウェアを入れさせ…

AIエージェントとは｜「答えるAI」と「動くAI」の違いと、権限を渡す前に決める5つのこと

今月だけで、AIエージェントが休眠サイトに1万8000件書き込み、テスト中に実在企業へ侵入する事故が報じられました。どちらも「答えるAI」では起きません。エージェントとは何か、な…

NetScalerのゼロデイ悪用、日本国内への攻撃試行も｜「修正が出る前に装置を止める」判断を誰がするか決めておく

リモートアクセス装置Citrix NetScaler ADC／Gatewayに、認証なしで乗っ取れる脆弱性2件（CVSS 9.5）が見つかり、修正版が出る前から悪用されていました…

メール誤送信とPPAP｜「パスワードは別送します」が対策にならない理由と、代わりに何をするか

情報漏えいの原因で常に上位に入るのがメールの誤送信です。その「対策」として定着したPPAP（パスワード付きZIPとパスワードの別送）は、2020年に政府が廃止し、受信を拒否する企…

「デバイスコードフィッシング」はパスワードもMFAも突破する｜Microsoft 365の設定で入口を閉じておく

Microsoftが、デバイスコードフィッシングを月額500ドルで提供していた犯罪サービス「EvilTokens」をテイクダウンし、英国で2人が逮捕されました。侵害された受信箱は…

暗号アジリティとは｜「今の暗号は安全か」ではなく「次に切り替えられるか」

PQC（耐量子暗号）移行で急に聞くようになった「暗号アジリティ」。暗号方式を、システムを作り直さずに入れ替えられる状態を保つ設計と運用のことです。過去の暗号の入れ替えが10年単位…

テスト中のGeminiが実在企業3社に侵入していた｜AIエージェントの対象範囲は「名前」ではなく「境界」で固定する

GoogleのAIモデルGeminiが、サイバー能力の評価テスト中に実在する企業3社のシステムへ不正アクセスしていたと報じられました。原因はテスト用の架空企業名が実在企業と一致し…

「今すぐ移行する必要はない。ただし今すぐ始める必要はある」｜PQC移行の「いつやるの？」に答えてきた現場から

PQC（耐量子暗号）移行の話をすると、ほぼ必ず「2030年頃からでいいのでは」と返ってきます。技術論から入った説明も、危機感を強調した説明も通じませんでした。通じたのは「今やるこ…

DDoS攻撃とは｜サイトを「止められる」仕組みと、自社で備える現実的な範囲

DDoS攻撃は、侵入もデータの窃取もせず、ただ大量の通信で相手を止める攻撃です。攻撃代行サービスが安価に売られているため、規模や業種を問わず標的になります。仕組み・動機・被害の実…

VMware vCenterの脆弱性がランサムウェア攻撃に使われ始めた｜仮想基盤の管理サーバーは最優先で更新を

7月に修正されたVMware vCenter Serverの脆弱性（CVE-2026-59310、CVSS 9.8）が、諜報目的の攻撃に続いてランサムウェア集団にも悪用されている…

新入社員のセキュリティ教育をどう設計するか｜初週に伝える5つと、1年かけて育てる1つ

新入社員向けのセキュリティ教育は「規程を読み上げて誓約書に押印」で終わりがちです。入社初週に必ず伝える5項目、1か月・3か月・1年の節目で積み上げること、そして最も大切な「報告す…

メールゲートウェイが「メール1通」で乗っ取られる脆弱性が悪用中｜Cisco Secure Email Gatewayは更新と侵害調査を

Cisco Secure Email Gatewayに、細工したメールを送るだけで認証なしにroot権限を奪えるSQLインジェクションの脆弱性（CVE-2026-76461、CV…

楕円曲線暗号とは｜RSAより短い鍵で同じ強さを出せる理由と、量子時代の位置づけ

スマホの通信からビットコインまで、いま最も広く使われている公開鍵暗号が楕円曲線暗号（ECC）です。RSAより短い鍵で同等の安全性を実現する仕組みを式なしで解説し、量子コンピュータ…

「確認のためWin+Rを押してください」は詐欺のサイン｜改ざんサイト5,400件超でClickFixが進行中

偽のCAPTCHA（ロボット確認）画面で、訪問者自身にコマンドを実行させる手口「ClickFix」の大規模キャンペーンが報告されました。配布拠点にされていたのは、中小事業者の普通…

サポート詐欺とは｜「ウイルス感染」の警告画面と電話番号が出たら

「ウイルスに感染しました」という大音量の警告画面に、サポート窓口の電話番号——サポート詐欺の定型です。画面の見た目に反してPCはほぼ感染しておらず、本当の被害は電話をかけた後に始…

「読み取り専用」のAIエージェントが1万8000件書き込んでいた｜自律AIを業務に入れる前に確かめること

OpenAIの自律型AIエージェント群が、休眠状態のwikiサイトを掲示板代わりに使っていたことが研究団体の報告で明らかになりました。「読み取り専用」の制限はなぜ効かなかったのか…

RAGとは｜社内データをAIに読ませる仕組みと、情報漏えいの落とし穴

「社内の文書に基づいて答えるAI」を作る標準的な手法がRAGです。便利さの一方で、アクセス権の消失や文書経由の攻撃など、導入前に知っておくべきセキュリティの落とし穴があります。仕…

暗号スキャンの工数は、スキャンではなく段取りに消える｜PQC移行の現場から

PQC移行の第一歩である暗号資産の棚卸し。私たちは金融機関の案件で、商用スキャンツールの検証から開発環境への導入までを実施しました。意外だったのは「想定外の発見がなかった」こと、…

印刷管理ソフトPaperCutの脆弱性が悪用中｜使っているなら今日パッチを

オフィスや学校で広く使われる印刷管理ソフトPaperCutの脆弱性2件が、実際の攻撃で悪用され、米CISAの悪用確認済みリスト（KEV）に登録されました。該当する会社がやることは…

ビジネスメール詐欺（BEC）とは｜「社長からの送金指示」を疑えるか

マルウェアも不正リンクも使わず、「本物らしいメール」だけで会社の金を動かさせるビジネスメール詐欺。技術的な対策をすり抜けるこの攻撃は、防御の主役が仕組みではなく業務プロセスになり…

AI生成フィッシングのクリック率は54%｜「開かない訓練」から「報告する訓練」へ

従来型フィッシングのクリック率12%に対し、AI生成では54%——そんな調査データが紹介されました。半数が開くなら、「見抜ける社員を育てる」前提の対策は組み立て直しが必要です。

「分かったつもり」は、決算を締めた瞬間に崩れる｜ボードゲーム研修の現場から

私たちはマーケティングと財務経理の分野で、自社開発のボードゲーム研修を提供してきました。受講者が変わる瞬間はいつ訪れるのか、何が効いていて、何が限界なのか——現場で見てきたことを…

ハッシュ関数とは｜「改ざんされていない」をどう保証するか

ダウンロードしたファイルは本物か。パスワードはどう保管されているのか。その裏で働いているのがハッシュ関数です。データの「指紋」を作るこの仕組みを、数式なしで解説します。

フィッシングはもうメールだけではない｜Teams経由のマルウェア配布に備える

Microsoft Teamsのチャットで「ITヘルプデスク」を名乗り、偽のツールをインストールさせる攻撃が報告されました。メール訓練はしていても、チャットは無防備——多くの会社…

パスワードの使い回しはなぜ「全滅」につながるのか｜リスト型攻撃

どこか1つのサービスから漏れたパスワードが、あなたの全アカウントへの鍵になる——それがリスト型攻撃です。総当たりより速く、検知もされにくい。仕組みと、個人・会社それぞれの現実的な…

社用PCを中古で買うなら、値段の前に確認すべきこと｜「前の持ち主」が残るリスク

PC価格の高騰で、社用PCの中古調達を検討する会社が増えています。専門家が指摘するのは「前の持ち主の痕跡」のリスク。どこから買えば安全で、届いたら何をすべきかを整理します。

ランサムウェアとは｜感染経路・被害の実態・中小企業がとるべき対策

会社のデータを人質に身代金を要求するランサムウェア。被害の半数以上は中小企業です。何をされるのか、どこから入ってくるのか、そして明日からできる対策までを整理します。

ゼロトラストとは｜「境界防御はもう古い」の意味を実務レベルで整理する

「社内ネットワークの中は安全」という前提が崩れた今、注目されるのがゼロトラスト。バズワードのように使われがちなこの言葉を、製品名ではなく設計思想として、中小企業の実務レベルに引き…

ディープフェイク詐欺の手口｜ビデオ会議で経営者になりすまされる

「ビデオ会議で顔を見て話したから本人だ」——その確認方法が崩れつつあります。海外では偽のビデオ会議で巨額送金に至った事例も。ディープフェイク詐欺の手口と、企業が今すぐ整えるべき確…

インシデント発生時の初動対応｜最初の24時間にやること

「なんかおかしい」に気づいてからの24時間が、被害の大きさを決めます。隔離・記録・報告の基本手順と、現場がやりがちな「やってはいけないこと」、平時に作っておく連絡網1枚までを解説…

経営者が把握すべき「人的リスク」｜事故原因の多くが人的ミスであるという前提

セキュリティ投資というと道具の話になりがちですが、事故の原因として一貫して上位にあるのは人の行動です。人的リスクを「社員の不注意」で片づけず、経営課題として扱うための視点を3つ示…

個人情報の漏えい報告義務｜何時間以内に、どこへ、何を報告するのか

個人情報の漏えいは、2022年の法改正で国への報告と本人への通知が義務になりました。どんな漏えいが対象で、いつまでに、どこへ報告するのか。事故が起きてから調べたのでは間に合わない…

AIを使ったフィッシングはどう変わったか｜「日本語が不自然」が通用しなくなる

「怪しいメールは日本語がおかしいから分かる」——この防衛線は生成AIの登場で崩れました。文面の自然化、パーソナライズ、音声クローン。攻撃の何が変わり、守る側は何を変えるべきかを解…

サプライチェーン攻撃とは｜取引先経由の侵入と委託先管理

自社がどれだけ守りを固めても、取引先が破られれば侵入されます。逆に、自社が破られて大手取引先への踏み台にされることも。サプライチェーン攻撃の型と、中小企業が「加害側」にならないた…

NISTのPQC標準化とは｜ML-KEM・ML-DSA選定までの経緯と現在地

量子コンピュータに耐える新しい暗号——PQCの世界標準は、8年がかりの公開コンペで選ばれました。ML-KEMやML-DSAとは何者で、標準化はどこまで進み、企業は何から始めるべき…

VPN機器の脆弱性はなぜ狙われるのか｜公開資産の棚卸しから始める

ランサムウェアの侵入経路として最も多いのがVPN機器。なぜここが狙われ続けるのか、そして「うちのVPNは大丈夫か」に答えるための公開資産の棚卸し手順を解説します。

シャドーAIとは｜社員が業務データを生成AIに貼っている状態をどう捉えるか

会社が把握しないまま、社員が個人アカウントの生成AIに業務情報を入力している——シャドーAIはすでにどの会社でも起きています。禁止では止まらない理由と、リスクを実際に下げる運用の…

eラーニングだけでは行動が変わらない理由｜知識と判断は別物である

eラーニングは悪くありません。ただ、得意なことと不得意なことがはっきりしています。「視聴完了率99%でも事故は起きる」の理由を学習の仕組みから解き、演習型・体験型との正しい組み合…

CVEとCVSSとは｜「深刻度9.8」を自社の優先順位に翻訳する

「深刻度9.8の脆弱性が公開」というニュースを見て、自社は何をすべきか判断できますか。脆弱性の背番号CVEと深刻度スコアCVSSの読み方、そしてスコアに振り回されずに優先順位をつ…

量子コンピュータはなぜ暗号を破れるのか｜Shorのアルゴリズムを式なしで

「量子コンピュータが暗号を破る」——よく聞くが、なぜ破れるのかを説明できる人は多くありません。Shorのアルゴリズムの考え方を式なしで解説し、「まだ先の話」と言い切れない理由（H…

EDRとは｜アンチウイルス（EPP）との違いを一枚で理解する

「アンチウイルスを入れているから大丈夫」は、もう成り立ちません。入口で防ぐEPPと、侵入された後を検知するEDR。役割の違いと、運用が回らない中小企業の現実解までを整理します。

プロンプトインジェクションとは｜LLMアプリが乗っ取られる仕組み

AIチャットや業務AIに「本来の指示を上書きする指示」を紛れ込ませるプロンプトインジェクション。なぜ根本対策が難しいのか、AIエージェント時代に何が起きうるのか、企業が現実的に打…

TLSとPKI｜ブラウザの「鍵マーク」の裏で起きていること

Webサイトの鍵マークは「暗号化されている」だけの意味ではありません。相手が本物であることを保証する証明書と、その信頼を支えるPKIという仕組み。企業の実務に直結する裏側を解説し…

標的型攻撃メールとは｜ばらまき型との違いと訓練の実施方法

不特定多数を狙うばらまき型と違い、標的型攻撃メールは自社のためだけに作り込まれた偽メールです。なぜ見抜きにくいのか、そして訓練を「開封率テスト」で終わらせない設計のポイントを解説…

セキュリティ研修が、毎年やっても形骸化するのはなぜか

年1回の全社研修、eラーニング受講率100%、それでも事故は起きる。「やっているのに効かない」セキュリティ研修の構造的な欠陥を分解し、行動が変わる研修に共通する設計原則を示します。

シャドーITとは｜勝手に使われるツールを止めずに管理する

会社が把握していないところで使われるクラウドサービスや私物端末——シャドーIT。「禁止」で押さえ込もうとすると地下に潜るだけです。なぜ生まれるのかから、現実的な付き合い方までを解…

公開鍵暗号と共通鍵暗号の違い｜TLSが両方使っている理由

暗号には「速いが鍵の受け渡しが問題になる共通鍵」と「鍵配送を解決したが遅い公開鍵」の2系統があります。実際の通信はこの2つの合わせ技。TLSを例に、暗号の役割分担を整理します。

多要素認証（MFA）とは｜方式ごとの強さの違いと導入時の落とし穴

パスワードだけの認証は、盗まれた瞬間に破られます。多要素認証はいま最も費用対効果の高い防御策。ただしSMS・アプリ・生体認証で強度は大きく違い、導入の仕方にも落とし穴があります。

RSA暗号とは｜「素因数分解が難しい」がなぜ安全性になるのか

インターネットの安全を40年以上支えてきたRSA暗号。「大きな数の素因数分解は難しい」という一点が、なぜ暗号の強さになるのか。数式を使わずに仕組みを解き、量子コンピュータで崩れる…

フィッシング詐欺とは｜手口のパターンと社内で共有すべき見分け方

銀行や宅配業者をかたる偽メール・偽SMSでIDとパスワードを盗むフィッシング。手口は年々巧妙になり、「不自然な日本語」だけでは見抜けなくなっています。実務で使える見分け方と社内ル…