『毎朝3分！セキュリティRadio』のカバーアート

毎朝3分！セキュリティRadio

毎朝3分！セキュリティRadio

著者： morning-security-news
無料で聴く

概要

 忙しいエンジニアへ。毎朝3分で「昨日の重要セキュリティニュース」をチェックしませんか？ この番組は、GitHub Advisoriesなどのデータソースから、その日の重要な脆弱性情報やセキュリティトピックをAIが厳選・解説するポッドキャストです。 通勤中や朝のコーヒータイムに聴くだけで、最新の脅威情報やサイバーセキュリティのトレンドを効率よくインプットできます。 【主な配信内容】 ・重大な脆弱性（CVE）の解説 ・緊急の注意喚起 ・最新のサイバー攻撃トレンド 技術のキャッチアップを止められないあなたへ、毎朝のルーティンとしてお届けします。 ※本コンテンツは各種公式データを元にAIを活用して制作・配信しています。 出世 就職活動 経済学
エピソード
  • #20260317 【歴史解説】JAXAサイバー攻撃とVPNの罠

    #20260317 【歴史解説】JAXAサイバー攻撃とVPNの罠
    2026/03/16
    ■ 今日の歴史解説 今日は、日本の宇宙開発の中枢を担う組織で発覚した「JAXA サイバー攻撃 (2023-2024)」を振り返ります。 日本の最先端技術が集積する機関がどのような手口で狙われ、私たちITエンジニアはそこから何を学べるのかを深掘りします。 ▼ 事件の概要と何が起きたのか 2023年秋ごろから2024年にかけて、宇宙航空研究開発機構（JAXA）のネットワークに対する大規模な不正アクセスが発覚しました。この事件の最大のポイントは以下の2つです。 (1) VPN装置の脆弱性の悪用 攻撃の入り口となったのは、外部から社内ネットワークにアクセスするためのVPN装置でした。インターネットに直接繋がっているこの機器に潜む脆弱性が突かれ、正規の認証を回避して内部への侵入を許してしまいました。 (2) アクティブディレクトリ（AD）の侵害 内部に侵入した攻撃者は、社内システムの「マスターキー」とも言えるユーザー管理サーバー（アクティブディレクトリ）を掌握した可能性が高いとされました。これにより、攻撃者は正規のユーザーになりすましてネットワーク内を自由に移動できる状態になってしまいました。 幸いにも、ロケット運用などの最重要機密は別ネットワークに分離されていたため無事でしたが、職員の個人情報や業務上のデータなどが流出する事態となりました。 ▼ 教訓：いま私たちが実務でできること このインシデントは、どんなに高度な技術を持つ組織であっても、「従来の境界防御（社内と社外を分ける壁）」だけでは防ぎきれないことを証明しました。現場のエンジニアが明日から意識すべきアクションプランを4つ紹介します。 (1) ネットワーク機器のパッチ管理の徹底 サーバーやPCのOSだけでなく、ルーターやVPN装置、ファイアウォールなどの「エッジデバイス」のファームウェア更新を最優先で行う体制を作りましょう。 (2) ゼロトラストの考え方を取り入れる 「VPNで接続しているから安全」という考え方を捨て、すべてのアクセスに対して都度認証と認可を行う仕組み（ゼロトラストアーキテクチャ）への移行を検討しましょう。 (3) 侵入前提の監視体制（ログ管理） 侵入されることを前提とし、エンドポイントの振る舞い検知（EDR）や、不審な特権アカウントの利用を早期に発見できるログ監視体制を構築することが重要です。 (4) 多要素認証（MFA）の義務化 管理者権限を持つアカウントはもちろん、社内システムへアクセスする全てのアカウントにMFAを導入し、パスワード漏洩時のリスクを最小化しましょう。 過去のインシデントを知ることは、未来の自社を守るための最も効果的なシミュレーションです。ぜひ皆さんのチームでも、この事例を共有して対策を見直してみてください！ ■ ハッシュタグ #セキュリティ #歴史に学ぶ #インシデント #教訓 #エンジニア #サイバー攻撃 #ゼロトラスト --- stand.fmでは、この放送にいいね・コメント・レター送信ができます。 https://stand.fm/channels/5ec48451f654bbcab4d3f793
    続きを読む 一部表示
    3 分
  • #20260316 【歴史解説】史上最大級の漏洩！Yahoo30億件流出事件

    #20260316 【歴史解説】史上最大級の漏洩！Yahoo30億件流出事件
    2026/03/15
    ■ 今日の歴史解説 今日は、ITの歴史に残る最大規模のセキュリティインシデント「Yahoo!大規模情報漏洩 (2013-2014)」を振り返ります。 ▼ 事件の概要 2013年から2014年にかけて、アメリカのYahoo!で当時の全ユーザーにあたる約30億アカウントの個人情報が流出しました。これは歴史上、最も規模の大きいデータ漏洩事件として記録されています。しかも、事件が発覚して世間に公表されるまでには数年の歳月がかかりました。2016年、ちょうど米通信大手Verizon社がYahoo!の中核事業を買収しようとしていたタイミングでこの漏洩が発覚し、買収額が約3.5億ドル（約380億円）も減額されるという、ビジネス上にも大打撃を与えた事件です。 ▼ 何が起きたのか？ この事件は大きく2つの攻撃によって引き起こされました。 (1) 2013年の攻撃 システムの脆弱性を突かれ、名前、メールアドレス、電話番号、生年月日、ハッシュ化されたパスワード、さらには「秘密の質問とその答え」などの情報が全ユーザー分盗み出されました。 (2) 2014年の攻撃 国家支援型のハッカー集団がYahoo!の社内ネットワークに侵入。カスタマーサポート担当者などが使う「アカウント管理ツール」にアクセスし、システム内部の仕組みを解析しました。その結果、パスワードなしで任意のユーザーになりすましてログインできる「Cookie（クッキー）偽造ツール」を作り出し、自由にアカウントに侵入できる状態を作り上げました。 さらに問題だったのは、一部のパスワードが「MD5」という古くて安全ではない暗号化方式で保存されていたことです。これにより、ハッカーは容易にパスワードを解読することができてしまいました。 ▼ 現代のエンジニアに向けた実践的な教訓 この事件は、今の私たちの開発現場にも多くの教訓を残しています。 (1) 古い暗号化アルゴリズムの撲滅 パスワードの保存にMD5やSHA-1を使ってはいけません。現代の計算能力では一瞬で解読されます。必ずbcryptやArgon2などの強力なアルゴリズムを使用し、ソルト（Salt）を付与して保存しましょう。 (2) 「秘密の質問」の危険性 「母親の旧姓」などの秘密の質問は、一度漏洩すると変更が効かないため、非常に危険な静的パスワードと同じです。現代では多要素認証（MFA）を導入し、秘密の質問という仕様自体を廃止するべきです。 (3) 社内ツールの厳格なアクセス保護 ユーザー向け画面のセキュリティは固くても、「社内管理画面」のセキュリティが手薄なケースは多々あります。社内ツールが乗っ取られるとシステム全体が崩壊します。内部ツールにこそ、ゼロトラストの考え方と厳密な多要素認証・権限管理を導入することが必須です。 ▼ 最後に セキュリティの欠陥は、企業のブランドや買収額といったビジネス価値を直接的に破壊します。日々私たちが構築・運用しているシステムが、企業の命運を握っていることを再認識させてくれる歴史的なインシデントです。 ハッシュタグ： #セキュリティ #歴史に学ぶ #インシデント #教訓 #エンジニア --- stand.fmでは、この放送にいいね・コメント・レター送信ができます。 https://stand.fm/channels/5ec48451f654bbcab4d3f793
    続きを読む 一部表示
    4 分
  • #20260315 【週まとめ】AI・インフラの重大リスク

    #20260315 【週まとめ】AI・インフラの重大リスク
    2026/03/15
    ■ 今週のセキュリティハイライト（2026年3月8日〜3月15日） 今週は300件以上の脆弱性が報告された激動の1週間となりました。AI関連プロダクトから基盤インフラ、CMS、サプライチェーン攻撃まで、幅広い分野で深刻な問題が明らかになっています。 ■ (1) AI・LLM関連の脆弱性が急増 自律型AIエージェントやLLM推論エンジンにおいて、多くの致命的な問題が報告されました。 ・OpenClaw：サンドボックス回避、認証バイパス、RCEなど多数の脆弱性 ・SGLang：Pythonのpickleデシリアライズによる未認証RCE（CVE-2026-3060, CVE-2026-3059, CVE-2026-3989） ・vLLM：SSRF保護のバイパス（CVE-2026-25960） ・MCP（Model Context Protocol）関連：Atlassian MCPでの任意のファイル書き込み（CVE-2026-27825）やSSRF（CVE-2026-27826）、Azure MCPでのSSRF（CVE-2026-26118） ■ (2) クラウド・インフラストラクチャにおける重大な欠陥 ・HashiCorp Consul：Kubernetes認証時の任意のファイル読み取り（CVE-2026-2808） ・Envoy：レートリミット処理でのクラッシュ（CVE-2026-26330）、RBACバイパス（CVE-2026-26308） ・Traefik：HTTPRouteにおけるルールインジェクション（CVE-2026-29777） ・Argo Workflows：Pod仕様の不正パッチによるセキュリティ設定のバイパス（CVE-2026-31892） ■ (3) 主要CMSやWebフレームワークでのコード実行・情報漏洩 ・Parse Server：大量のNoSQL/SQLインジェクションや認証バイパスが報告（CVE-2026-31901, CVE-2026-31840など数十件） ・Craft CMS：Twigテンプレートでのリモートコード実行（CVE-2026-31857）、Craft CommerceでのXSSやSQLi ・TinaCMS：開発サーバーでのパストラバーサルとファイル漏洩（CVE-2026-28793） ・Sylius：APIのDQLインジェクション（CVE-2026-31825） ■ (4) サプライチェーンとランタイムのリスク ・xygeni-action（GitHub Actions）：C2バックドアを含むシェルコードがタグ改ざんによって混入（CVE-2026-31976） ・.NETランタイム：DoSおよび特権昇格の脆弱性（CVE-2026-26127, CVE-2026-26130, CVE-2026-26131） ・ImageMagick：多数のヒープバッファオーバーフローなどメモリ破壊系の脆弱性 対象の技術スタックをご利用のエンジニアは、早急なアップデートと設定の見直しをお願いいたします。 #セキュリティ #エンジニア #ITニュース #脆弱性 #週まとめ #サイバーセキュリティ Data sources: GitHub Advisory Database (CC-BY 4.0) --- stand.fmでは、この放送にいいね・コメント・レター送信ができます。 https://stand.fm/channels/5ec48451f654bbcab4d3f793
    続きを読む 一部表示
    5 分
まだレビューはありません