Shintaro Shimizu

Just another financial engineer

[キオ君＠IR資料をアホかわいく要約します @kiokunir]

【悲報】GMOさん、RDP設定でローカルPCドライブをデフォルト全共有し、「VPS借りただけで自宅のパソコンまでハッカーに直通」のオーバーキルを喰らう件ｗｗ

GMOインターネットグループ（9449）に関する下記のツイートを要約すると、
・VPSネットワークを本来あり得ない「Active Directory」環境で構築、「隣のサーバーへ移動し放題」の初見殺し仕様を実装
・サポートエンジニアがユーザーPCに繋ぐと管理者権限が漏れる状態になっており、あっさりネットワーク全体のマスターキーを献上
・配布したRDPファイルはローカルPCのドライブ共有がデフォルト有効、「VPS繋いだら自宅のPCの中身まで全開放」という強制オープンワールドが発覚
・これによりハッカーがVPSから顧客のローカルPCへ逆流し、データを抽出したうえでバックドアまで設置されるフルボッコ状態

【小まとめ】
VPSの壁をぶち抜き、顧客の自宅PCのドライブまでデフォルトで共有。セキュリティの概念を異次元に飛ばした「防御力ゼロの全裸待機インフラ」を爆誕させたGMOニキ

【つづき】
・解約済みのサーバーを即座に消さず「次の注文が来るまで稼働させたまま放置」する誰得な運用が判明
・常に数千台のゾンビサーバーが数ヶ月もアクティブな状態で放置され、解約済みの客のデータまでハッカーへまとめてお持ち帰りされる始末
・しかもこの脆弱な構成は2019年から7年以上も熟成、「最近のミスじゃないです、ずっと前からこの仕様です」という職人芸
・犯人から「意図的な過失」と煽られた挙句、自宅PCに仕掛けられたバックドアから「ブラウザの閲覧履歴を家族や会社にばら撒く」と顧客個人が直接脅迫される無理ゲーフェーズへ突入

【結論】
解約済みサーバー数千台を無駄に放置し続けながら、7年越しで育て上げたガバガバ設定により「顧客の秘密の閲覧履歴までハッカーの人質にされる」という阿鼻叫喚の地獄絵図を作り上げたGMOニキです。

[Mehmet Akif Yanbak @akifyanbak]

Bugün yoğun bakımdaki babaannemi ziyarete gittim. Oradayken Claude Opus 5.5 kullanarak hastabaşı monitörüne Doom portladım. Oyundaki can yüzdesini hastanın nabzına senkronize ettim; can 0’a düşerse nabız da sıfıra düşer. Bu da oyunu daha heyecanlı hale getiriyor.

[Shintaro Shimizu @simisin0]

@shrry2 さくら…!?

[Shintaro Shimizu @simisin0]

ARTEX、簡体語を読めないので、UIからソースコードのコメントまでまるっと英語化するパッチを作成して運用中

[Shintaro Shimizu @simisin0]

@shrry2 AIの前に個人情報やプライバシーの概念は等しく幻想に

[桟よしお@特級𝕏Rエンジニア @katapad]

ここ半年の日本の個人情報漏洩をビジュアライズした。
弾幕シューティングでも、もうちょい隙間あるぞ。

27週連続、382事案。

[小泉進次郎 @shinjirokoiz]

今日から自衛隊のサイバー任務が新たな段階へ引き上げられ、黒木サイバー防衛隊司令から部隊の状況などについて報告を受けました。同行してくれたのは内倉統幕長と俵統合作戦司令官。このメンバーが揃って黒木司令の元に行くこと自体が今日の節目の重要性を表しています。お会いした職員・隊員の皆さん、いつも静かな守りに全力で取り組んでくれてありがとうございます。今日からまたよろしくお願いします。

[防衛省・自衛隊 @ModJapan_jp]

本日10月1日、サイバー対処能力強化法等の施行により、自衛隊に「アクセス・無害化措置」任務が新たに付与されました。 

サイバー空間では、国家を背景とするサイバー攻撃が平素から重要インフラを標的とし、国家安全保障上の脅威となっています。 
こうしたなか、本任務に基づき、自衛隊の指揮統制・情報システムはもちろんのこと、国や民間の基幹インフラなどに対する重大なサイバー攻撃を未然に防止すべく、攻撃元サーバー等に対して能動的にアクセスし、脅威を取り除くことが、可能になりました。 

本任務は、有事以前から国民生活・経済活動を守ることはもちろんのこと、有事における自衛隊の任務を確実に遂行する上で極めて重要です。このため、本任務の中核を担う自衛隊サイバー防衛隊を小泉防衛大臣が改めて視察し、本任務のために新たに設置された作戦室において、部隊を激励するとともに、作戦を指揮する統合作戦司令官に対し、本任務の遂行に万全の態勢を期すよう下令しました。 

防衛省・自衛隊として、これまで培ったサイバー防衛能力を最大限発揮できるよう、警察機関や内閣官房国家サイバー統括室と連携しながら、必要な準備を重ねてきました。いかなる事態にあっても、国民の生命・財産と、わが国の領土・領海・領空、そして、我が国のサイバー空間を断固として守り抜くため、本任務の遂行に全力を尽くしてまいります。

[nekono_nanomotoni @nekono_naha]

CVE公開件数を月次で集計してみたら、ここ数ヶ月かなり恐ろしい状況になってて震えた。そして最近の脆弱性探査の世界的な活発化からするに、この状況すら序の口で、いずれ桁が1つ変わりそうな予感もします。

[connect24h @connect24h]

MITRE ATT&CK やめるの？マジで？英国、この手の規格強いよね。
CrowdStrike、Palo Alto、Fortinet、Sophosらが
英国SE Labsの新評価「PIVOT」へ。

面白いのは、単に
「検知できたか」
では終わらないこと。

・攻撃をどこで止めたか
・権限昇格や横展開を許したか
・SOC画面で何が見えたか
・事後調査に十分な情報が残ったか

まで、攻撃チェーン全体で評価する。

MITRE ATT&CK Evaluationsは長年重要だったが、
ベンダー側からは「評価のための最適化」「Marketing Theater」への不満も出ていた。

EDR評価も、
検知率を見る時代から“実戦で止められるか”を見る時代へ。

PIVOT、かなり注目。

https://t.co/x8iGx8rUaD

[防衛省・自衛隊 @ModJapan_jp]

／
防衛省サイバーコンテスト
今年度も開催決定！
＼

毎年開催している「防衛省サイバーコンテスト」が今年度も開催決定！

昨年度のコンテスト（今年2月開催）では、参加者が約3倍の約1400人となり、幅広い年齢層からご参加いただきました。

今年は例年にも増して、より魅力的なサイバーコンテストとなるよう様々な施策を検討しています！

ぜひ続報をおたのしみに！！

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

AIエージェント向けに、VirusTotalの検査結果をAPIキーなし・無料で照会できる公式サービス「VirusTotal-AI（VTAI）」が公開されています。利用上限は1分60回・1日1,000回で、APIキーが必要な従来の公開API（1分4回・1日500回）より多い設定。接続手順があるクライアントは、Agy（Googleの開発環境AntigravityのCLI版）、Claude-Code、Codex、Cursor、VS-Code、GitHub-Copilot-CLI、Devin、Cascade/Windsurf の8種類。

AIエージェントが外部のツールやデータを呼び出すための標準規格であるMCP（Model-Context-Protocol）のサーバーと、REST形式のAPIの両方が用意されており、エージェントは登録用のエンドポイントに1回リクエストを送って「vtai_」で始まるトークンを受け取れば、以後はそのトークンだけで照会できます。

VTAIという名前は4月16日のVirusTotalのブログに、OpenClaw向けとHermes向けのプラグイン（いずれもAIエージェントの実行基盤向け）が利用する新しいAPIとして記載されていましたが、9月に入ってから公式のMCPレジストリ（MCPサーバーを登録・公開する公式の一覧）への登録（9日、12日に更新）と、公式ドキュメントのVTAIのページ（更新日は9月10日）が揃い、8種類のMCPクライアント向けの接続手順がこの専用サイトにまとめられています。

【要点の整理】

・MCPで使えるツールは7個。ハッシュ・URL・ドメイン・IPアドレスの検査結果の取得が4個、ファイルの提出、提出の受付記録の再取得、解析結果の読み出しが各1個。ローカルで実行して標準入出力（stdio）で接続する版だけ、ローカルのファイルをパス指定で提出するツールが1個加わる。認証は固定のトークンをHTTPヘッダーで送る方式で、OAuthによるログインが必須のクライアントは接続できない

・検査結果の取得では新しい検査は始まらない。ハッシュの照会ではファイル本体は送られず、URL・ドメイン・IPアドレスの照会も既存の検査結果を返すだけ。ただしURLの照会では ?以降や＃以降を含むURL全体がVirusTotalに渡るため、私的な情報を含む場合はドメインの照会に切り替えるよう案内されている

・ファイルの提出は、リクエスト本文に含める形式で最大24,000,000バイト、stdio版のローカルファイルで最大32,000,000バイトまで。提出のたびに確認は求められず、提出した内容はVirusTotalのコミュニティやパートナーが参照しうる。通信が途切れたときはファイルを送り直さず、SHA-256を指定して受付記録を取得し直す

・応答はLLMに渡しやすい簡潔なJSON。検出結果はエンジン名ではなく判定ラベルで返り、検査日・評価したエンジン数・レポートのURLが付く。検査結果がない（404）、検出ゼロ、保留、エラーのいずれも安全の根拠にはならず、検査結果の文章はAIへの指示ではなく判断材料として扱うよう記載されている

・利用上限は1分60回・1日（UTC基準）1,000回で、RESTとMCPで共通。検査結果がない照会やVirusTotal側の障害でも回数は消費される。登録は専用のエンドポイントに1回リクエストを送るだけだが、作業ごとの再登録や上限を回避するための再登録は禁止。登録名と利用回数は公開の利用状況一覧（リーダーボード）に表示されうる

・接続手順があるクライアントは、Agy（Googleの開発環境AntigravityのCLI版）、Claude-Code、Codex、Cursor、VS-Code、GitHub-Copilot-CLI、Devin、Cascade/Windsurf の8種類。ただしAIモデルによるツール呼び出しまで検証済みと記されているのはAgy・Claude-Code・Codexの3種類で、残りの5種類は一部の確認にとどまり、モデルを通した一連の動作は保留または未検証と明記されている。公式のMCPレジストリには9月9日に登録され、12日に更新された。ローカル実行版の vt-mcp はGitHubの king-tero 名義（MITライセンス）で公開されている

・IDE（統合開発環境）向けの拡張機能 VT-Sentinel は、Googleの開発環境Antigravity向けに拡張機能の配布サイトOpen-VSXで公開されている（動作要件はVS-Code 1.95以降またはAntigravity。名前空間 virustotal は検証済みの発行者、公開者は king-tero、ライセンスはプロプライエタリ）。ローカルにプロキシを起動し、npm・pip・curl などがダウンロードするファイルをツールに渡す前にVirusTotalで照合して、悪性なら遮断する。VirusTotalに照会できない状態が既定で15秒続くと、ダウンロードを通さない動作に切り替わる

・OpenClaw向けとHermes向けのプラグインは、4月16日のブログで、記事執筆者の個人用AIエージェントのGitHubアカウント king-tero が公開したコミュニティプロジェクトであり、公式リリースではないと明記されている。OpenClaw版はエージェントが使うディレクトリを監視して現れたファイルを検査し、Hermes版はツールが書き込む内容を検査して判定をモデルの入力に添える。Hermes版の既知の悪性ハッシュに対するブロックは既定では無効で、環境変数で有効にする

ファイルの提出には呼び出しごとの確認がなく、URLの照会では完全なURLがVirusTotalに送られるため、どのファイルやURLを渡してよいかの判断は、エージェントを動かす側の権限設定と取り扱い方針に委ねられています。

詳細は以下を参照：
https://t.co/RkOSYeMF9Z
https://t.co/rateqodSBp
https://t.co/g0LZGWNVBn

(※可能な範囲でファクトチェックは実施済なものの、元記事の精度依存や速報・要約の性質上漏れもありうるため、正確な情報は一次情報を直接参照のこと)

[yousukezan @yousukezan]

北朝鮮系アクターの攻撃経路を4つに整理してみた https://t.co/5ZzIq0ttr4 #Qiita @hidebuuuuuus292より

[いとよ（バーチャル僧侶）@VRChat @itoyo_monk]

イルカがせめてきたぞっ

[Lee1ng @lilaoshizuikeai]

Anthropic报告里这一段真的笑死我了
因为月之暗面把部分Kimi 用户请求直接转给Claude
导致解放军把几百个军工设施的监控视频扔给Kimi抓间谍
然后Kimi直接把这些监控视频发给Claude了

[Shintaro Shimizu @simisin0]

OpenAIでDaybreak Blueを有効にしたら、'Physical FIDO2 credential, such as YubiKey or Google Titan'をMFA登録しないと30日以内に利用制限すっぞ！とメール来たので、yubiKey5Cを購入して登録したった

[防衛装備庁 @atla_kouhou_jp]

第５回 #空戦AIチャレンジ(#機械学習コンテスト)が本日より開催✈

↓参加はこちらから！ランディングページも開設！
https://t.co/3kN9kUyTfL

概要動画もぜひご確認ください！
↓フルバージョン動画も公開中！
https://t.co/cxvagZdHwQ

[Minoru OSUKA @minoru_osuka]

弊社が取り組んできた、国産AI防衛システム「Alayasiki」が正式発表されました。
米国・NATOの防衛システムや装備品と接続・連携できるプラットフォームとなっています。

https://t.co/dt7XZvLKxI

[警察庁 @NPA_KOHO]

令和８年版警察白書を公表しました。

本年の特集では、深刻化するサイバー空間の脅威と警察の新たなる展開について紹介しています。

警察白書は警察庁ウェブサイトでも公開しています↓
https://t.co/Bj8hTCD550

[防衛装備庁 @atla_kouhou_jp]

#防衛装備庁 #航空装備研究所 は、2026/8/28～2026/12/4にかけて第５回 #空戦AIチャレンジ(#機械学習コンテスト)を開催します✈

皆さまのご参加お待ちしています！

■第５回 空戦AIチャレンジのお知らせ
https://t.co/3kN9kUyTfL