今週、エストニアのスーパーマーケットの冷凍庫が50°Cに達したが、これは機械の不具合ではなく、サイバー攻撃だった。 一夜の間に6カ国が被害を受けた。 アイルランドの店舗はすべての冷蔵食品を撤去し、ベルギーの肉屋は数百キロの肉を廃棄した。これらの企業の一部は、2026年になってもデフォルトパスワードを使用していた。 これが人々がサイバーセキュリティについて理解していない点だ。それはもはやあなたの暗号資産やパスワードだけの問題ではない。 どこかの部屋に座っている誰かが、1台のノートパソコンで、ある国全体の食料供給を台無しにできるのだ。 次回のサイバー攻撃は、あなたのウォレットを空にするのではなく、あなたの冷蔵庫を空にするかもしれない。
誰かが、あなたの顔の印刷された写真であなたのスマホを解除でき、ほとんどの人がそれすら知りません。 ほとんどのAndroidスマホは、赤外線や深度センシングなしで、単なる2Dカメラを使って顔認証を行っています。単なる平面画像の一致です。 研究者たちは何年も前から、単純な写真だけでこの認証を回避できることを実証してきました。 これが、あなたの銀行アプリ、暗号資産ウォレット、シードフレーズ、そしてあなたの人生全体を守る「セキュリティ」です。 あなたがこの機能を使うたびに、前面カメラはあなたの顔の1フレームを処理し、あなたが一度も開いたことのないシステムフォルダにローカルに保存します。暗号化も保護もされておらず、ただそこに置かれているだけです。 適切な深度センシングを備えたフラッグシップモデル以外で顔認証を使っている場合、今日中に指紋認証または強力なPINコードに切り替えてください。 あなたの顔は、リセットできない唯一のパスワードです。
アカウントを保護するためにダウンロードしたアプリが、ハッキングの原因だった可能性があります。 Android版Microsoft Authenticatorには、悪意のあるアプリが一切の権限を必要とせずに、ワークアカウントのアクセストークンを盗むことができる脆弱性がありました。 これは、あなたのスマホにインストールされたアプリが好きなように動作している状態です。 この欠陥は、アプリ間の認証を処理する「ブローカー」コンポーネントにありました。 正しくチェックされていなかったため、ランダムなアプリが自由に侵入し、トークンを自分のもののように取得できました。 Microsoftはすでにこの脆弱性をパッチで修正済みです（CVE-2026-80097、CVSS 8.6、高嚴重度）。しかし、最近Authenticatorアプリを更新していない場合、依然としてリスクにさらされている可能性があります。 これが最も気になる点です。人々は「安全な対策だから」という理由でAuthenticatorアプリをインストールし、それは確かに安全なものです。 しかし、セキュリティツール自体に穴がある場合、ほとんどの人はそのことを疑うこともありません。 アプリを更新してください。スマホのOSだけでなく、アプリ自体もです。特に、最も信頼しているアプリこそ、更新が必要です。 なぜなら、それらはあなたが注意を払わなくなるアプリだからです。
数日前、インターネットで何が起きているかについて投稿したところ、230万回のビューを記録しました。 それ以来、状況はさらに悪化しました。 OpenAIが偶然発見したBrotli脆弱性は進化し、今では「HTTP2Shell」と呼ばれ、すべての主要ブラウザ、すべてのオペレーティングシステム、Discord、Slack、VSCode、1Passwordなどのアプリに影響を与えています。 まだすべての対策が公開されているわけではありません。 CloudflareのCEOは「毎週、空が落ちてくるように感じるだろう」と語りました。 Polymarketは、今月さらに重大な脆弱性が公開されるかどうかを賭けた賭けを実際に開始しました。 ハッカーたちはAIモデルを使って、ラテンアメリカの400以上の銀行に同時に攻撃を仕掛け、休むことなく24時間体制で行動しました。 Xには、自分の電話番号を入力するだけで他人のアカウントにログインできるバグがありました。 KeystoneハードウェアウォレットはShopify APIを通じて攻撃され、顧客の名前と自宅の住所が漏洩しました。 日本のクラウド企業が27,000台のサーバーを失い、日本は史上初で軍事級のサイバー防衛を発動しました。 ブラウザとアプリを更新してください。パスワードを変更してください。すべてのサービスで2段階認証を有効にしてください。 10月はまだ私たちに終わりを告げていません。
たった1つのバグが、お使いのすべてのブラウザ、すべてのオペレーティングシステム、そしてほぼすべてのアプリをハッキングのリスクにさらしています。 OpenAIが自社システムのレッドチームング中に偶然発見したBrotliバグ脆弱性は、もはや「node2shell」ではなく、研究者たちが「HTTP2Shell」と呼ぶレベルに進化しました。その影響範囲は膨大です。 もはや1つのライブラリの話ではありません。Chrome、Edge、Firefoxを含むすべての主要ブラウザ、iOSを含むすべてのオペレーティングシステム、Discord、Slack、VSCode、1Password、NotionなどのElectronアプリ、画像ツール、PDFリーダー、アーカイブソフト、AIデスクトップアプリ、さらにはcurlまでが対象です。 基本的に、インターネットに接続するか圧縮データを処理するものなら、ほぼすべてが影響を受けています。 元のCVE-2026-111497はすでに悪質な圧縮データを通じた認証前のリモートコード実行という深刻な脆弱性でしたが、その影響範囲は日常的に使用するほぼすべてのツールに拡大しました。まだ影響を受けたサービスのすべてに修正パッチが提供されているわけではありません。 今すぐすべてを更新してください。まずブラウザ、次にデスクトップアプリ、そして開発ツールの順に。今日更新が提供されたら、疑問を抱かずすぐにインストールしてください。 インターネットはひび割れた基盤の上に構築されており、そのひびはさらに広がりつつあります。
このIT担当者は真夜中にランサムウェア攻撃から会社全体を救い、この話は信じられないほどだ。 彼はまさにNetflixを見ていたとき、携帯電話がサーバーアラートで鳴りやまなくなった。リモートでログインすると、会社のファイルがリアルタイムで次々と名前を変え、すべてが意味のない文字列に変わっているのを見た。 彼は車のキーを掴み、まるで狂ったようにオフィスに向かって走った。午前0時20分に到着し、真っ暗な中、手が震えながら40台のPCから次々とLANケーブルを引き抜いた。 すべての画面に表示されていた身代金要求メッセージは、「72時間以内に月間利益すべてをBitcoinで支払え」。上司は電話で「支払ってしまいなさい、月曜日にあのファイルが必要なんだ」と言った。 しかし彼は「ノー」と答えた。支払った企業は再び標的になる。 バックアップから復元しようとしたが、バックアップサーバーも同じネットワーク、同じランサムウェアに感染していた。彼の頭は真っ白になった。 しかし、彼には最後の切り札があった。毎週水曜日、帰宅途中で彼は自ら会社のデータを外付けハードディスクに手動でバックアップし、デスクの引き出しに保管していた。その習慣は時間の無駄だと感じて、もうやめようとしていたほどだった。 その引き出しの中のハードディスクが、会社全体を救った。 週末中にすべてを再構築し、月曜の朝にはすべての出荷が正常に発送された。上司は笑って「Bitcoinを送らなくてよかった」と言った。 翌週、彼のデスクにはさらに2台のハードディスクが届いた。 誰もやりたがらない退屈な習慣が、唯一成功した方法だった。
OpenAIは、何百万台ものサーバーを危険にさらす可能性のあるバグを偶然発見した。彼らはそもそもそのバグを探していたわけではない。 AIモデルが学習中にインターネットにアクセスしないようにするため、彼らは完全なオフライン環境を構築した。その環境に対するレッドチームテスト中に、インターネット上で最も広く使用されている圧縮ライブラリの1つであるBrotliに脆弱性が存在することを発見した。 この脆弱性により、攻撃者は悪意のある圧縮データを送信するだけで、影響を受けるシステム上で自身のコードを実行できる。ログインは不要で、ユーザー口座も必要ない。送信するだけで侵入可能だ。 Brotliはnode.js、bun、envoy、および圧縮されたWebトラフィックを処理するあらゆるシステムに組み込まれている。この不具合は2月に技術的には修正されたが、当時はセキュリティ上の問題とは認識されていなかった。 そのため、数か月にわたりパッチは存在していたが、通常の更新のように見えたため、ほとんど誰も適用しなかった。 時には、探していなかったときに最も恐ろしい発見が起こるのだ。
彼らはこれを「ブラック・オクトーバー」と呼んでいますが、人々はこの事態の深刻さを十分に理解していないようです。 過去48時間で、27件以上の主要なサイバーセキュリティインシデントが発生しました。1か月でも、1週間でもなく、たった48時間でです。 これらのうち1つだけでも、通常ならその年の最大のニュースになります。 PHP：ウェブの80％を動かすソフトウェアに深刻な脆弱性（深刻度10点中9.2） Node.js：リモートからサーバーを乗っ取れる高深刻度の欠陥。バージョン22、24、26に影響 Java：も脆弱化。世界で最も広く使われている3つのプログラミング言語が同時に攻撃対象に GitLab：2014年以降のすべてのバージョンに深刻度10/10の脆弱性 Railway：ホスティングプラットフォームが侵害。OpenAI、Claude、StripeのAPIキーが漏洩する可能性 Signal：通話終了後もマイクとカメラがオンのままになるバグ WordPress：ハッカーがプラグイン開発者のキーを盗み、複数のウェブサイトにバックドアを仕込んだ LiteLLM：1日340万回ダウンロードされるAIツールにパスワードスティーラーが混入 これはまだリストの半分にも満たない状況です。 数千ものAIエージェントの群れが、現在脆弱なサーバーをスキャンし攻撃していると報告されています。自動化され、24時間365日継続中です。 セキュリティ研究者は、これはまだ誰も完全には理解していない世界的なサイバーインシデントの初期段階である可能性があると指摘しています。 ウェブサイトを運営している方、クラウドサービスを利用している方、ホスティングプラットフォームにAPIキーを保存している方、またはPHP、Node.js、Javaで構築されたソフトウェアを使用している方は、すべて影響を受ける可能性があります。 すべてのソフトウェアをアップデートしてください。APIキーをローテーションしてください。重要なサービスのパスワードを変更してください。まだ有効にしていない場合は、あらゆる場所で2段階認証を有効にしてください。 これは通常のインターネットの1週間ではありません。これはまったく別の事態です。
またRevolutか、ブローよ。 数週間前、名前、住所、パスポートの写真、そして暗号通貨の取引履歴が漏洩したデータ侵害があった。 先週、その漏洩したデータが原因で、ある男性が80万ドルを奪われようとしてナイフで脅された可能性がある。 そして今日、何百万人ものユーザーに影響を与えるサービス障害が発生した。「あなたのお金とデータは安全です」と彼らは言う。 この段階で、Revolutが間違った理由で何回ニュースになる必要があるのか。人々が本気で疑問を抱き始めるまで。 あなたのデータが漏洩する。サービスがダウンする。そしてあなたが得るのは「ご不便をおかけして申し訳ありません」だけ。 80万ドルの強盗は「不便」じゃないよ、ブローよ。
