yasuro

＼(・ω・＼)SAN値!(/・ω・)/ピンチ!

[piyokango @piyokango]

注意喚起リンク集ができていました。

不正アクセスによる漏えい等の事案を踏まえた各機関による注意喚起等について
2026年10月14日
国家サイバー統括室
https://t.co/5EvQbXAuMG

[piyokango @piyokango]

私も参加している脅威情報分析チームLETTICEでは国内で相次いでいる情報漏えい事案の調査分析を進め、その攻撃手法の一つを特定しました。
分析結果を踏まえた注意喚起を公表しましたので、公開アプリやAPIの安全性点検の参考として頂ければ幸いです。
https://t.co/KCrTz7aISY

[Naval News @navalnewscom]

Japan Launches Seventh Taigei-Class Submarine as Nuclear Propulsion Debate Grows 🇯🇵
By @TakahashiKosuke
https://t.co/X9nO1mIanb

[F-3のふたりごと @f3futarigoto]

2026/10/8
UK PM Burnham says he is open to Germany joining GCAP fighter programme
https://t.co/y342jRqT03
英首相は会見で以下を明らかにした

➀独首相との会談でGCAPへの独参加に前向きな姿勢を伝えたこと

➁これは今後GCAPパートナーである日本やイタリアと協力して進めたいと考えていること

[Vege @sama_iku]

このタイミングで個人で使っているパソコンのセキュリティも総点検した方が良いです。

近年のマルウェアで爆発的に増えているのは、パスワードを総当たりするより、パソコンに入り込んですでにログインしている状態から認証情報などを抜くインフォスティーラーと呼ばれる手口です。

叡智なサイトの動画や海賊版のゲーム、何か便利そうだけど作成者が不明なソフトなどをダウンロードすると、それらに潜んだインフォスティーラーがパソコンに感染します。

インフォスティーラーに感染すると、最悪AmazonやSNS、銀行、証券口座などを一瞬で乗っ取られ、勝手に買い物をされたり口座からお金をすっぱ抜かれたりします。

ウイルスではなく紛失や盗難の場合はそれはそれで厄介で、悪意のある人間に渡った場合はディスクが暗号化されていないと保存済みの情報まで読まれます。

パソコンもちゃんと管理しないと怖いぞということで、WindowsとMacで先に見ておきたい点をまとめました。これまた少し長いけど確認しておいた方が良いです↓

■対応必須（Windows）
・ディスク暗号化をオンにする
設定 → プライバシーとセキュリティ → デバイスの暗号化、または「BitLockerの管理��。回復キーはMicrosoftアカウント保存に加えて、スマホのパスワード管理アプリや紙、オフラインなど複数手段で控える。Windows Homeは「デバイスの暗号化」、Proは「BitLocker」

・Windows Hello（PIN・指紋・顔）を設定し、画面ロックをかける
設定 → アカウント → サインイン オプション。席を離れた隙に操作されるのが一番わかりやすい抜け道。思わぬ所で操作される可能性は潰して置く方が良い

・Microsoft Defenderのリアルタイム保護・改ざん防止・ランサムウェア防止をオン
Windowsセキュリティ → ウイルスと脅威の防止。標準のままで十分なことが多いので、余計な無料セキュリティソフトは足さない

・Windows Updateを自動のまま、止まっていたら今すぐ適用
アップデート漏れがあると、既知のセキュリティホールを突かれて侵入されるリスクが増えるの���設定必須

・SmartScreenとファイアウォールをオンのまま��する
Windowsセキュリティ → アプリとブラウザーの制御、ファイアウォールとネットワーク保護。警告を習慣で「許可」しない

■対応必須（Mac）
・FileVaultをオンにする
システム設定 → プライバシーとセキュリティ → FileVault。回復キーはiCloud保存か、紙で控えるかを決めて紛失しないようにする

・ロック画面のパスワード要求を「すぐに」にする
システム設定 → ロック画面。自動ログインはオフ

・ファイアウォールをオン、共有は必要なものだけ
システム設定 → ネットワーク → ファイアウォール。一般 → 共有で、画面共有・ファイル共有・リモートログインが不要ならオフ

・ソフトウェアアップデートを自動にして、今のバージョンに合わせる
Gatekeeper（App Storeと確認済みの開発元）はそのまま。見知らぬアプリの「とにかく開く」は���ける

■両方で定期的に見ること
・ブラウザの拡張機能を棚卸し
使っていない・出所が不明なものは削除。拡張機能は開いているページの中身やCookieを読めることがあり、インフォスティーラーの入り込み口にもなる

・ログイン項目・スタートアップを確認
Windowsはタスクマネージャーのスタートアップ、Macはシステム設定 → 一般 → ログイン項目。見覚えのないものは外す

・管理者権限を常用しない
日常は標準ユーザー、インストールするときだけ管理者。マルウェアがパソコン全体を書き換えにくくなる

■一番大事かも
・謎のサイトで誰がアップしたのかも分からない叡智な動画、無料ゲーム、第三者ソフトなどをダウンロードしない
・欲望はFANZAで管理する
・ゲームやソフトには金を惜しまず、任天堂やソニー、セキュリティ審査の整った大手プラットフォーム(Steamなど)経由でダウンロードする

[nekono_nanomotoni @nekono_naha]

相次ぐWEBシステムからの情報漏洩事案について、今判明している公開可能な情報や考察を取りまとめた記事を公開しました。

攻撃手法や対策についても触れておりますので是非ご活用ください。@hasegawayosuke さん @58_158_177_102 さんとの共同執筆です。

https://t.co/i4kdlZh4Ma

[connect24h @connect24h]

JPCERTさん．ありがとうございます！
全CSIRTが感謝！

不審な送信元IPアドレス
- 3.112.252[.]14
- 54.95.112[.]6
- 69.10.51[.]162
- 172.86.91[.]7
- 210.149.87[.]120

User-Agentの例
- curl/7.88.1
- python-requests/2.34.2
- Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/126.0 Safari/537.36

ケースC：MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）

[TARA @ibatara66]

あすかの対艦ミサイル高画質で。あまり詳しくないけど１７式のキャニスターですかね？。白いのはセンサー類かな？

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

Googleのセキュリティ通知と同じ差出人で届き、Gmailの警告も表示されないフィッシングメールの体験談が、Xで大きな注目を集めています。10月1日にフランス語で投稿されたもので、投稿者本人は「IT史上最も巧妙なフィッシング」と表現。投稿は10月4日の時点で460万回以上表示され、日本でも複数反応が見られます。

ただし、��出人、配送に使われたメールサービス、偽ページのドメインの3点が共通する手口は、2025年4月から報告されている既知のもの。2025年の事例では、「DKIMリプレイ攻撃」と呼ばれる手法をGoogleの通知に応用し��いたことがメール認証（DMARC）サービスを手掛ける企業EasyDMARCの再現調査で確認されており、今回も報告者が公開したメールの情報から同じ型とみられます。

よくある、表示名だけをGoogleに似せた外部からのなりすましメールとは違い、届くのはGoogleが実際に作成して電子署名したメールを攻撃者が再送したもので、画面に出る差出人とGoogleの電子署名は本物。そのため、DMARC（なりすましメールの受信拒否などを受信側に求める仕組み）の検査にも合格し、DMARCだけでは排除できません。

手掛かりになるのはGmailの詳細表示に出る「送信元」で、画面上の差出人とは別に、配送のときにサーバー間でやり取りされる差出人アドレス（SPFの検査対象）のドメインを示します。ただし、メールが転送されると、このアドレスは転送した側のアドレスに書き換��ることがあり、それはMicrosoftの企業向けメールサービスの自動転送など正規の転送でも同じ。送信元のドメインで機械的に隔離すると、正規に転送されたGoogleのメール��で止めてしまうおそれがあります。

以下、手口の仕組み、2025年の事例、今回の報告内容、Googleの対応と関連する注意喚起の順に整理します。

【手口の仕組み】

・DKIMリプレイ攻撃とは、DKIM（送信側がメールに付け、受信側がドメインの公開鍵で確かめる電子署名）が有効な状態で付いたメールを受け取った者が、署名を有効に保ったまま別の宛先へ再送する攻撃。署名の対象は本文と一部のヘッダーで、画面に出る宛先（To）とは別の、配送用の封筒（エンベロープ）に当たる宛先は含まれないため、再送しても署名の検証に合格する。DKIMの仕様書（RFC 6376、2011年）もこの攻撃を取り上げており、2023年にインターネットの標準化団体IETFへ提出された草案（RFCにならないまま2024年1月に失効）は、正当な転送とDKIMリプレイ攻撃の区別は難しく、個々の���ールを確実に見分ける方法は無いとしている。

・署名の対象となった本文やヘッダーを書き換えると検証に失敗するため、攻撃者はそれらを変えずに別の宛先へ再送する。攻撃者が自分で書いた文面を、評判の高いメールサービスのアカウントから自分宛てに送り、そのサービスの署名が付いたメールにして大量に再送する型もあるが、この場合の差出人はそのアカウントのアドレス。企業やサービスの公式の通知用アドレスを差出人に見せたい場合は、その企業やサービス自身に、受信者を焦らせる文面や偽サイトへのリンクを含む通知を送らせる必要がある。2025年2月に報道されたPayPalの事例では、利用者が住所の欄に入力した文字列がそのまま載る自動送信の通知が使われた。

【2025年の事例】

・2025年4月に報告されたGoogleの事例では、外部アプリの登録時に付けるアプリ名が、通知にそのまま載る文字列として使われた。EasyDMARCが再現して確かめた流れは、（1）攻撃者が自前のドメインと受信箱を用意（2）同じドメインでGoogle���ビジネス向けサービスの無料試用に登録し、Googleアカウントを作成（3）外部アプリにGoogleアカウントへのアクセスを許可する仕組み（OAuth）に自作アプリを登録し、アプリ名の欄に詐欺の文面をリンクごと入力（4）そのアプリに自分のアカウントへのアクセスを許可（5）Googleが、詐欺の文面入りのアプリ名を載せたセキュリティ通知を電子署名付きで攻撃者の受信箱へ自動送信（6）攻撃者がその通知を、署名の対象部分を変えずに標的へ再送する、というもの。

・同じ時期に自身の受信例を公開したENS（イーサリアムのドメイン名サービス）の開発者ニック・ジョンソン氏は、アプリ名に詐欺の文面と大量の空白を入れ、Google本来の通知文が空白の下に続く形になっていたと説明。再送については、メールソフトの転送機能ではなく、メール全体を保存してそのまま送り直したものだとしている。EasyDMARCの再現では受信箱と転送に外部のメールサービス（PrivateEmail）が使われ、同社が解析した1件は、OutlookのアカウントとSMTPの中継サーバーを経由してPrivateEmailから届いていた。攻撃者のドメインは、Googleのメール配信サーバーを思わせる名前。

・EasyDMARCが解析したメールは、差出人がno-reply[@]accounts[.]google[.]comで、SPF・DKIM・DMARCの各検査に合格していた。���だしSPFの合格は転送したPrivateEmail側のドメインに対するもので、DMARCの合格は、Googleの署名が差出人のドメインと一致していたことによる。ジョンソン氏の受信例では、Gmailで差出人名の下の矢印から開く詳細表示に、署名元（signed-by）がaccounts[.]google[.]com、送信元（mailed-by）がfwd-04-1[.]fwd[.]privateemail[.]com、宛先が攻撃者のme[@]で始まるアドレスと出ていた。me[@]で始めたのは、Gmailが自分宛てのメールに使う「me」という略記に見せかけるためと同氏は説明している。

【今回の報告内容】

・今回の報告者が公開したメール画面は、件名「Security alert」、見出し「App password created to sign in to your account」の、Googleのアプリ パスワード（安全性の低いアプリや機器にGoogleアカウントへのアクセスを許可する16桁のパスコード）の作成通知で、2025年のOAuthの通知とは別の機能のもの。翌日に公開されたGmailの「メッセージのソース」の画面を見ると、差出人はno-reply[@]accounts[.]google[.]com、宛先は報告者のものではないGmailアドレスのまま、DKIM（署名ドメインはaccounts[.]google[.]com）・SPF・DMARCの各検査に合格しており、この宛先は通常の表示にも出ている。報告者はこれを、見知らぬGmail利用者に自分のGoogleアカウントへのアクセス権が与えられたという警告と受け取り、Gmailによる不審なメールの警告表示も出なかったと説明。

・本文には、心当たりがなければアカウントが侵害されているおそれがあるとして、sites[.]google[.]com/view/delete-new-app上でパスワードを確認・削除するよう促す文が入り、その下にGoogle本来の「Check activity」��タンが続く。2026年9月にスイスの連邦サイバーセキュリティ庁（BACS）が公開した、同じ手口で文面を差し込まれた本物の警告メールの画面と並べると、共通する部分がGoogleの定型文で、今回の文面はアプリ パスワードの作成時に付けた名前が入る位置にあることが分かる。報告者が公開した画像では、URLの先は「google[.]com」と表示してロボットでないことの確認（CAPTCHA）を装う画面と、Googleのログイン画面を模した入力画面だった。報告者は、このページが通報から約1日後に削除されたとしている。

・報告者は、偽ページでもパスワード管理ソフトに自動入力の候補が表示されたとし、その理由を、sites[.]google[.]comに自分のアカウントがあり、使っているソフト（1Password）の保存項目にドメインだけでなくsites[.]google[.]comを含むURL全体を登録していたため���説明（ソフト名は後の投稿で補足）。Googleアカウントがあれば誰でもページを公開できるドメインのため、候補が出ても本物のページとは限らない。

・報告者が偽物と気付いた手掛かりは2点。1つは、Googleのメールでは手続きに進むためのボタンは大きな青いボタンのはずなのに、偽ページへのURLは、その青いボタンのすぐ上の本文中に書かれてい���こと。もう1つは、Gmailの詳細表示で、送信元が本物の通知で見込んでいたbounces[.]google[.]comで終わるドメインではなく、fwd[.]privateemail[.]comだったこと。

【Googleの対応と関連する注意喚起】

・Googleは2025年4月、この攻撃者による同種の標的型攻撃を把握しているとしたうえで、悪用への対策を展開したと報道機関に説明し、2段階認証とパスキーの利用を勧めた。

・EasyDMARCは同年8月、自社の解説記事（末尾のURLの記事）のコメント欄に管理者名義で寄せた回答で、OAuthのアプリ名の欄に詐欺の文面を入れて通知に載せる手口にはGoogleが対処したと説明。一方で、アプリ名の欄の件とは別に、同様の悪用に使われうる不備が残っているとし、その回答では具体的な内容を示していない。

・BACSは2026年9月22日、アプリ パスワードの名前に詐欺の文面を入れてGoogleに正規のセキュリティ警告を送らせる手口を公表。こちらは攻撃者が自分のGoogleアカウントの再設定用のメールアドレスに被害者のアドレスを登録し、Googleから被害者へ直接警告を届けさせる形で、その後に偽のサポート電話と、Googleのウェブサイト作成サービス（Google サイト）上の偽ページが続く流れ。この型ではGoogleから直接届くため、本文の冒頭に、再設定用のメールアドレスへ送った警告の写し��と示す一文が入る。BACSの報告では、攻撃者は偽ページで得たログイン情報で被害者のアカウントにもアプリ パスワードを作り、攻撃後もしばらくメールと連絡先が国外の端末へ同期され続けていた。BACSは、Googleの正式なログイン画面はaccounts[.]google[.]comにしかなく、sites[.]google[.]comには決してないとし、被害が疑われる場合はパスワードの変更、ログイン中のセッションと不審な端末の切断に加え、アプリ パスワードをすべて削除し、再設定用のメールアドレスと自動転送の設定を確認するよう勧めている。

【結論と対策】

いずれにしても、この手口では差出人と電子署名が本物のGoogleのもので、リンク先もGoogleのドメインになるため、差出人の表示や送信ドメイン認証の結果だけでは本物の通知と判別できません。報告者が気付いた送信元の違いは��細表示を開かなければ見えず、今回は通常の表示に出ていた見知らぬ宛先も、本文がそのアドレスを「パスワードを作成した相手」として示していたため不審に見えにくく、一般の利用者が日常的な確認だけで確実に見分けるのはほぼ不可能な手口です。

利用者に共通する対策は、まずそもそも見分けようとせず、メールのリンクから開いた画面でパスワードを求められても入力を避け、使うサイトに直接アクセスすること。Googleも、ログイン中のアカウントのパスワード入力をGoogleのメールが求めることはないとしたうえで、今回のメールが伝えてきたようなセキュリティ上の出来事も、本来はメールを経由せず、myaccount[.]google[.]com/notificationsの最近のセキュリティ アクティビティで確認できるとしています。Googleは2025年の説明でパスキーの利用も勧めており、パスキーは作成した対象のサイトやアプリとだけ関連付けられるため、不正なサイトにパスキーでログインしてしまうことはないというのがGoogleの説明。また、アカウントのセキュリティについてGoogleから電話をかけることはなく、電話でパスワードや確認コードを求めることもないとし、正規のGoogleのドメインから届いたものでも電話の相手の身元を保証すると称するメッセージは詐欺だとしており、BACSも、正規のサービス事業者がセキュリティの件で突然電話をかけ��くることはないとして、電話でパスワードや確認コードを伝えず、通話中に急かされてもサイトに入力しないよう呼びかけています。

組織でメールを検査する側では、DMARCの判定だけではこのメールを排除できません。一方、BACSが指摘するとおりGoogleのログイン画面はaccounts[.]google[.]comにあってsites[.]google[.]comには置かれないため、Googleのセキュリティ通知の体裁でアカウントの確認やパスワードの削除を理由にsites[.]google[.]comへ誘導するメールは、リンク先を条件に高リスクとして隔離し精査する対象。配送用の差出人のドメインがGoogleのものでない通知は再送型の��印になりますが、正規に転送されたメールも同じ特徴を持つため、隔離したメールを確認して戻す手順と組み合わせる形になります。

詳細は以下を参照：
https://t.co/qMcLGm9bor
https://t.co/ONVBFJjQya
https://t.co/AlwdQdafCU

(※可能な範囲でファクトチェックは実施済なものの、元記事の精度依存や速報・要約の性質上漏れもありうるため、正確な情報は一次情報を直接参照のこと)

[Jennifer Parker @JAParker29]

The @USSC has released its new report, 🇦🇺🇯🇵🇺🇸: Implementing a trilateral denial strategy along the First Island Chain.

I contributed the 🇦🇺 perspective alongside @CorbenTom, Professor Satoru Mori & Jeffrey W. Hornung.

🇦🇺🇺🇸🇯🇵 are increasingly aligned strategically. The harder bit is how you make that work in practice when each country has its own requirements, constraints and priorities, & there is no NATO-like structure sitting over the top.

A few of my key points:

▪️ Australia should not simply mirror the US or Japan. Our comparative advantage is geography, strategic depth and sustainment.

▪️ A First Island Chain strategy cannot be treated as geographically self-contained. China’s military reach extends well beyond it.

▪️ Australia’s principal role should remain the defence of Australia, while providing the strategic depth and rear-area support needed for a broader denial strategy.

Thanks to @CorbenTom , Shizuka Takada and the @USSC team for bringing it together.

Full report: 🔗https://t.co/RNLKeE487V

@DefenceUwa @LowyInstitute @NSC_ANU

[防衛省 航空自衛隊 @JASDF_PAO]

空自🇯🇵と仏航空宇宙軍🇫🇷は国内で共同訓練を実施し、両国の防衛協力・交流の深化を図りました。

[Armée de l'Air et de l'Espace @Armee_de_lair]

From Japan with 💙

Quelques nouvelles de #PEGASE26 depuis la base aérienne d'Hyakuri où les Aviateurs 🇫🇷🇯🇵 conduisent des activités de coopération continuant ainsi à faire vivre l’histoire aéronautique franco-japonaise née il y a plus d’un siècle.

[SANS Japan @SANS_JAPAN]

【無料公開】
SANSのインシデントレスポンスフレームワークが、約20年ぶりに作り直されました。

『Dynamic Incident Response』
制作期間20カ月、720ページ。直線に進むことのないインシデントのために書かれています。

是非ご活用ください 👇
https://t.co/nfMfSjkoFs

[The Military Archives of Japan @Archives_Japan]

Rafale × F-2

[二本松哲也 / Tetsuya Nihonmatsu @t_nihonmatsu]

「日米同盟を終了、米軍は第二列島線へ」という米シンクタンクの提言、2,000を超える米国のシンクタンクの中から、なぜこの小規模組織の、極めて特異な政策提言が、沖縄県知事選の投票日前日に日本で大きく取り上げられたのか。
しかも今回取り上げられた9月10日の提言は、
・台湾有事への不介入
・日米同盟を含む相互防衛同盟の終了
・第一列島線から第二列島線への米軍後退
という、2026年米国防戦略（NDS）が掲げる「第一列島線での��固な拒否的防衛」と正反対ともいえる内容だ。

その中でDefense Priorities（DP）は、年間支出300万ドル前後の小規模な外交・安全保障特化型シンクタンクにすぎない。
認知戦を見るうえでは、数ある事実の中から、何が選択され、どのタイミングで前景化されたのか、その編集と増幅のプロセスまで観測する必要があると思う。

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

マルウェアの検体を実行せずに、不審な要素を一覧化可能なWindows向けの静的解析ツール「pestudio」。展開するだけで動く単体のデスクトップ型で、実行する側の環境を変更しない。

トリアージの段階で通信先や参照API、埋め込み文字列をまとめて把握でき、実行環境を用意する前に優先度を判断できる、防御側の初動に効く手段。

【要点の整理】

・抽出対象はファイル署名、ハー��コードされたURLとIPアドレス、各種メタデータ、インポートとエクスポート、文字列、マニフェスト、リソース、オーバーレイ。VirusTotalのスコア取得にも対応

・機能は抽出と表示に絞られ、ZIPの展開だけで動くポータブル型。導入作業は不要

・無償のbasic版は私的な文脈でのマルウェア解析に限られ、業務・組織での利用は不可

・professional版は1利用者・1年で159ユーロ。basic版の全機能に加え、pestudiox[.]exeによる一括処理、項目のグループ表示と色分け、XMLレポート出力、MITRE-ATT&CKへの対応付け、[.]NETの名前空間表示と埋め込みファイルの取り出しが加わる

詳細は以下を参照:
https://t.co/BPnHyqIFHf

(※可能な範囲でファクトチェックは実施済なものの、元記事の精度依��や速報・要約の性質上漏れもありうるため、正確な情報は一次情報を直接参照のこと)

[天野憲彦@ねこ社長 @NorihikoAmano]

メールの送信ドメイン認証、ざっくりこれくらい覚えておくといいよ。

[connect24h @connect24h]

不正アクセスの兆候を探すログ集計7選。ログを絞る道具、こういう地味な記事が好き。Qiitaの「アクセスログから不正アクセスの兆候を見つける7つの集計」は、nginx／Apacheのcombined形式が対象。ただ、回数や2xxだけで攻撃・漏えい確定まで進むのは飛躍がある。

私が初動で気になるのは、集計上位のIPが本当に訪問者なのか。記事冒頭のCloudflareやリバースプロキシ配下の話は、数��を読む前提そのもの。プロキシのIPを相手だと思えば、遮断判断まで狂う。

7本の集計コマンドは元記事にある。調査対象を絞る入口として読みたいが、2xxから応答内容までは分からない。「怪しい行が見つかった」と「何が起きたか分かった」の間に、調査の仕事が残っている。

https://t.co/5g6PTJUEL7

[ディファイアント @mk05848]

潜水艦用VLSおよびVLS搭載耐圧殻ブロックの開発は川崎重工
次期潜水艦(VLS搭載型)の概念設計は三菱重工

[Jennifer Parker @JAParker29]

Things are moving 🇦🇺🇯🇵

'Production of the long-lead items for the first of Australia’s Mogami-class frigates has begun in Japan, Minister for Defence Industry Pat Conroy has revealed'.

🔗https://t.co/ItCzb1sh42