前回からの変化
前回(2026-10-09)との比較。本カテゴリは週次のため、比較対象は1週間前のレポートである。
変わったこと(変化・新規)
- 国内の大規模漏えいとして、ブックオフ(最大約643万件)とCommune(推計約30.7万人)が新たに公表された。前回の最大はスカラコミュニケーションズの最大71万件だったので、件数は一桁大きくなった(熊本日日新聞、Impress Watch)
- IDCFクラウドは、前回の「復旧の見通しが立っていない」から、一部の顧客データについて「取り出しや復元が困難」と事業者が見通しを示す段階へ進んだ(ITmedia)
- 脆弱性では、前回のFortiMailとNetScalerに代わり、Ivanti Connect Secureのゼロデイと、10月13日のマイクロソフトの定例更新(Windows Shellのゼロデイを含む)が新たに加わった
前回と同じこと(継続)
- 境界のネットワーク機器の脆弱性を突く攻撃が続いている。前回のFortinet、Citrixに続き、今回はIvantiのVPN機器が悪用された
- 大阪公立大学の被害は継続中で、基盤システム全体の復旧時期は未定のままである(ROCKET BOYS)
- 国家関与の攻撃について、当局による新たな帰属の公表は今回も確認できなかった
要因の連続性
- 継続要因: 境界機器の脆弱性の悪用と、外部委託先やクラウド事業者を経由して多数の利用者に被害が広がる構図は、前回から続いている
- 新規要因: 非公開コミュニティの運営サービスが、利用組織ごとの管理者権限を悪用される形で侵害され、多数の企業・自治体のサイトに波及した
- 解消した要因: 大阪公立大学は10月9日に臨時の学習システムを用意して対面授業を再開しており、教育面の影響は一部和らいだ
今週の概観
前回(10月9日)から今回までの1週間は、個人情報の大規模漏えいが目立った。ブックオフは10月6日に不正アクセスを確認し、10月9日に最大約643万件の漏えいの可能性を公表した。コミュニティサービスのCommuneでは、推計約30.7万人分が漏れた。業務停止では、IDCFクラウドの一部データの復元が難しい状況が続く。脆弱性では、Ivanti Connect Secureの悪用が確認され、マイクロソフトは過去最多規模の更新を出した。
主な侵害・インシデント
ブックオフの会員情報漏えい
ブックオフグループホールディングスは10月9日、子会社が運営する会員管理システムが第三者の不正アクセスを受け、最大約643万件の会員情報が外部に取得された可能性があると発表した。不正アクセスは10月6日に確認された。漏えいした可能性のある情報は、氏名、生年月日、性別、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値(元のパスワードを復元しにくい形に変換した値)、ポイントカード番号、会員番号である。クレジットカードなどの決済情報は含まれず、情報の悪用は現時点で確認されていない。件数は10月9日時点の公表値で、後日訂正される可能性がある。会員は、同じパスワードを他のサービスで使っていれば変更し、不審なメールやSMSに注意する(出典: 熊本日日新聞: ブックオフに不正アクセス 643万件情報漏えいの可能性)。
Communeの会員情報漏えい
コミューン株式会社が運営するコミュニティサービス「Commune」と「Commune for Work」が不正アクセスを受け、推計約30.7万人分の会員情報が漏えいした。メールアドレスを含む情報が漏れたのは約12.6万人(従業員とテスト用アカウントの約4.2万人分を含む)、メールアドレスを含まない表示名や自己紹介、非公開グループの所属などが漏れたのは約18.1万人である。攻撃者は非公開コミュニティの招待リンクを不正に入手して会員登録し、管理者になりすまして会員情報を閲覧・取得したほか、一部のデータを書き換えたという。確認された期間は10月5日18時ごろから6日21時ごろ、および7日の約1時間20分である。ヤマハ、スズキ、湖池屋、青森県など、多くの企業・自治体のコミュニティサイトが影響を受けた。数値は公表時点の推計である(出典: Impress Watch: Commune に不正アクセス、推計約30万人の個人情報が漏えい)。
IDCFクラウドのランサムウェア被害(継続)
IDCフロンティアのIDCFクラウド東日本リージョン1は、10月7日にランサムウェア(データを暗号化して身代金を要求する攻撃)を受けた。契約する495の企業や自治体に影響が出ている。事業者は、一部の顧客データについて「取り出しや復元が困難な見通し」と説明し、対象の利用者には、被害を受けた環境を再利用せず、安全な別環境で再構築するよう案内している(出典: ITmedia: 一部顧客のデータは復旧困難)。10月9日には、ソフトバンクと協力する緊急対応の体制が発表された。10月12日時点で復旧完了の発表はなく、個人情報が流出したかどうかは調査中である。侵入経路とランサムウェアの種類も公表されていない(出典: VEGCALE: IDCFクラウドのランサムウェア被害 復旧状況)。
重大脆弱性
Ivanti Connect Secureの認証回避(CVE-2026-104935)
リモートアクセス用のVPN機器であるIvanti Connect Secure(ICS)に、認証なしで任意のコマンドを実行できる認証回避の脆弱性(CVE-2026-104935)が見つかり、10月13日に公表された。影響は、バージョン22.8R2.4以前、25.1.2.2以前、25.1.1.1以前である。悪用は10月1日以降に確認されており、セキュリティ企業Volexityが「UTA0576」の名前で追跡する攻撃者が、ほかの2つの欠陥と連鎖させ、パッチを当てた機器でも管理者権限でコードを実行できたという。ログを改ざんして検知を避ける動きもあった。インターネットに公開されたICSは、Shadowserverの調査で5,500台超ある。CVSSスコアと、CISAのKEV(悪用が確認された脆弱性の一覧)への登録は、今回の出典では確認できなかった。対処として、Ivantiは該当バージョンの利用者に修正版への更新を急ぐよう求め、整合性チェックツールの定期的な実行も勧めている(出典: BleepingComputer: Ivanti warns of Connect Secure zero-day exploited in attacks)。
マイクロソフト10月の定例更新(1,411件、ゼロデイ3件)
マイクロソフトは10月13日(日本時間14日)の定例更新で、過去最多となる1,411件の脆弱性を修正した。深刻度が最も高い「緊急」は70件である。ゼロデイ(開発元が修正する前に悪用または公開された欠陥)は3件で、悪用が確認されたのはWindows Shellの保護機能の回避(CVE-2026-96951)である。ファイルを外部から入手したことを示す印(Mark of the Web)による警告を回避される。残る2件は公開済みで、.NET FrameworkでWindows Defenderのアプリケーション制御を回避できるCVE-2026-108398と、MessagePack-CSharpのサービス拒否(CVE-2026-92707)である。同記事は、マイクロソフトがAIで欠陥を見つけていることを件数増加の背景として挙げている。対処はWindows Updateによる更新の適用で、Windows 11 24H2のHome・Proは今回でサポートが終了する。CISAのKEVへの登録は、今回の出典では確認できなかった(出典: BleepingComputer: Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days)。
国家関与・APT
今回の調査期間では、当局による新たな帰属の公表や共同勧告、制裁・起訴は確認できなかった。Ivantiの悪用で名前が挙がった「UTA0576」は、Volexityが付けた追跡名であり、国家との関係は今回の出典では示されていない(出典: BleepingComputer: Ivanti warns of Connect Secure zero-day exploited in attacks)。
国内の動き
国内では、ブックオフとCommuneの個人情報漏えいが新たに公表された。大阪公立大学は、10月2日に始まったランサムウェア被害の後、10月8日に臨時のMoodle(学習管理システム)と学務情報システムを用意し、10月9日から全キャンパスで対面授業を再開した。学内メールも一部復旧したが、基盤システム全体の復旧時期は未定で、在学生・卒業生ら約13万人分の個人情報が流出したかどうかは、外部の専門家と調査している(出典: ROCKET BOYS: 大阪公立大学、ランサムウェアによるサイバー攻撃の被害後 対面授業を10月9日再開)。個人情報保護委員会やIPAなどの新たな指導・注意喚起、能動的サイバー防御の制度の動きは、今回確認できなかった。
継続中の案件の進捗
- スカラコミュニケーションズの不正アクセス、ヤマト運輸のクロネコ代金後払い、韓国の金融機関の連鎖被害(前回レポートより継続): 今回の調査期間では新たな公表を確認できなかった
- Fortinet FortiMailのCVE-2026-104286とCitrix NetScalerの脆弱性(前回レポートより継続): 新たな悪用の拡大や修正版の提供は、今回の出典では確認できなかった。該当製品を使っている場合は、前回案内した暫定対策と修正版の適用状況を確認する
次の定例更新は、11月10日(第2火曜日)のマイクロソフトの定例更新である(定例日による推定)。
読者への一言: 今週は、会員サービスや外部のクラウドに預けた情報の被害が続いた。利用中のサービスから通知が届いたら内容を確認し、パスワードの使い回しをやめ、多要素認証(パスワードに加えて別の手段で本人確認する仕組み)を有効にしておくと被害を抑えやすい。VPN機器やWindowsを管理している場合は、今回の修正版の適用状況を確認する。
