セキュリティ情報

記事

Aikido Communityが提供するセキュリティに関する記事。ポジショニング、技術解説、Tips、ニュースなどをお届けします。

2026年10月(21件の記事)

2026/10/1528分で読めます

700を超える自治体が、同じ防災基盤に相乗りしていた

防災情報配信「SpeeCAN RAIDEN」を運営するアルカディアへの不正アクセスで、最大約313万6千件のメールアドレスほかに漏えいの可能性。同社は3拠点DC・冗長化・24時間365日監視・ISMS認証まで備えていた。対策があっても全国規模の影響が広がった理由を、侵入口・検知・被害拡大の三層で読み...

記事

2026年10月(21件の記事)

700を超える自治体が、同じ防災基盤に相乗りしていた

TOPPANペイメンツ、テーブル名までは見られた ― JSFの認証バイパスとSQLインジェクションを考える

冷蔵庫を50℃にしたサイバー攻撃 ― 3年前から分かっていた問題と、更新されない設備

拾う攻撃と、狙う攻撃 ― 43万回のスキャンを調べた、その先で見つかったもの

43万回の空振り ― 攻撃者は侵入しない。開いている場所を拾って回る

同じCommuneなのに、なぜ漏れた情報が違ったのか ― 23組織の比較から見える共通署名鍵、テナント巡回、そしてガバナンス

鍵は必要だったのか ― skyticketの「3件」を外から読む

攻撃者が鍵穴を探し回る前に ― AIで自分のシステムを先に試す

ローソン、起きた順と見つかった順が逆だった ― 二つの公表を時系列で並べる

攻撃者が探しているのは、鍵・鍵穴・地図が揃った「すぐ使える場所」

本丸を攻める必要はない ― i-ask侵害で見えた、OSではなくアプリを狙う攻撃

旭化成「Pharma DIGITAL」不正アクセス――静的サイトにしたら、守る場所はAPIに移っていた

なぜ、違うシステムから同じ4項目が抜かれたのか —— MrMaxと焼肉きんぐに見える「鍵が先」の侵入

狙われているのは問い合わせではない ― 脆弱性で鍵を探す攻撃として読む

Googleはなぜ日経より先に気づいたのか――盗まれたのは「ログイン後」だったのか

最初に盗まれたのは、データではなく「鍵」だった？ — 「静かな侵入」を認証情報から読み直す

最近の不正アクセスのパターンから読む — 攻撃開始が見えない「静かな侵入」

1967年と2017年――第一生命の人事システムに見える「二つの社員マスタ」

SCS評価制度の43項目、Aikidoで埋まるのはどこか ― ある部品メーカー開発チームの半年

9サービスを止めたのに、漏れたのは一部データ — 佐川急便の不正アクセスを権限の境界から読む

「10万ファイルを暗号化されても気付かなかった会社」だと思った — 池上通信機、Qilinがそこで止まった理由

2026年9月(16件の記事)

プロの攻撃でなくても、コードは破られる — セイコーマートの不正退会1件から考える認可とAI検査

「なぜ信毎だけだったのか」― 信毎ポイント不正アクセス、次に見るべきは"鍵"の出所

届かなかったメールは、どこへ行く？ — メトポ5.9万件で見えた「配信という別の管」

京王で何が止まったのか——グループ各社の障害から見える「共通基盤」と、次に確認すべきベンダー側

「エージェント」から入ると単位がズレる — 経産省AIエージェント・セキュリティガイドライン第1回資料を読む

同じ入口、違う結末 — ApplyNow事案が見せた「検知」「削除」「公表」の差

開発者の端末に、いま何が入っているか答えられますか — Aikido Device Protection

JCEは入口だった——山梨大学59サイト、復旧後のWordPressから見えた「サイト間の境界」

AIペンテストは何をするのか — デモで、設定から証拠まで通しで見る

入られる前提だったはずのGSSで、どこまで止められたのか

守れないものを、どう守れないと言うか — 共用レンタルサーバの出口設計

Aikido Libraries が必要な場合 — 「最新版へ上げればいい」が現実的ではないとき

正規ルートが破られる — NetScaler脆弱性が問う、BPO・外部人材のアクセス設計

セキュリティポリシーは開発者に付いていく — Device Protectionに「Device Firewall」が追加

AI Pentestに「AI Capabilities Only」が登場 — AIエージェントとLLM機能だけを狙い撃ちでテストする

経営の方程式が変わった ――― T&K TOKA、ランサムウェアが問う「選択と集中」の次

2026年8月(16件の記事)

転換期のホスティングとセキュリティの空白――さくらの開示と、ロリポップの観測性

古典的な脆弱性は消えていない。出る場所が変わった — 2026年8月22日の6件で読む40年史

「電話に出た瞬間が勝負」— 海外ではvishingが初期侵入2位、日本も「銀行なりすまし」の次を警戒する

外から穴が見えないのに、なぜ入られたのか ―― 合弁子会社に、親会社のセキュリティは相続されるのか

日本企業はなぜ「作るIT」には金を出し、「育てるIT」には金を出しにくいのか

Aikidoの設定はどこにある？ — 「ワークスペース・機能・リポジトリ」の3つで覚える

3年間、何も起きなかった。だから気づかなかった — 警察からの連絡で発覚したECサイト13件

自サイトをAI Code Analysisにかけてみた——SASTのさらに奥を確かめる

無料で守るWordPress — Aikido Zenを入れてみた

真面目な事業者でも、二台は止まった——スマイルサーバ停止事案が映す共用ホスティングの限界

認証は、いつか取られる。問題はその後だ

シーイーシーのデータセンター障害——外から見えること、報告書に期待すること

落ちたのは、たぶん一つの要だった ― 名鉄協商の続報から読む「単一の要」に串刺しされた組織

「不審メールにご注意ください」の一文が、なぜ空回りするのか——中部電力の連絡先7万件流出に見る、注意喚起とDMARCの落差

生命保険協会の第一報、この文書には「書かれていないこと」がある

そのサーバのログを、誰が見ているのか

2026年7月(20件の記事)

今年3通目の「お知らせ」が語るもの ―― あるBPO事業者の不正アクセスと、ISMSが照らさなかった空白

CRMの中で動くAIエージェントは、監視の死角にいる

53社は、何に悩んでいたか——公開されている事例からの考察

すべて緑、なのに穴が残る——ライブラリの「組み合わせ」が生む脆弱性

宝探しをやめて、追跡を始める——データを見ずにデータを守る「code-first DSPM」

「アップグレードできない」は言い訳ではない——今のバージョンに修正だけを運ぶ「Aikido Libraries」

アサヒを止めた「Qilin」は、Windowsを狙っていなかった

宅配便を装う偽メールは、利用者が見分け続けるしかないのか

パッチは入口しか塞がない — WordPress Core 認証不要RCEから考えるコンテナ横展開対策

26年払い続けた。1行を書かなかった

メールを開くだけで乗っ取られる — webmailという、誰も見ていない最前線

ガイドライン通りでも破られる——その隙間を何で埋めるのか

AIに「このコマンドを実行して」と言われたとき——承認を二重化する防御

AIに守らせたら、そこが入口になった — Friendly Fire が示した防御AIの落とし穴

「iframeが危険」の正体 — アプリのコードではなく、nginxの一行で守る場所

正しく実装されたコードが、認証バイパスになるとき — phpBB CVE-2026-48611 と、忘れられたOSSの問題

AIはCVEアラートの“本当に危ないもの”を見分けられるか — Aikido CVE Exploitability Analysisを読む

WordPress 4.9.7 のまま8年 — ISMS認証11日後の不正アクセスと、アドオンが招く塩漬けの構造

69万件の偽ECサイトが示すもの —— SEO汚染の「出口」はAIに移る

樋口商会から読み解く、日本企業のランサムウェア「対応速度」と子会社という死角

2026年6月(34件の記事)

「Intelに出てこない脆弱性」の正体 — Aikido Intel は全CVE台帳ではなく、サプライチェーン脅威の心臓部である