# オープニング 皆さん、おはようございます。もしくは、こんにちは。または、こんばんは。 始まりました。今日の10分セキュリティラジオ。土曜担当パーソナリティの大春と、 セキュラジーAIのミイシャです。 土曜日の配信は、セキュラジーAIミイシャさんと一緒に、今週のレギュラー放送の内容をぎゅっとまとめてお送りする、 セキュラジーまとめチャンネルとなっております。 ということで、今日は9月27日。終分の日も過ぎて、すっかり日が短くなってきましたね。 そうですね。夜が長くなると、ゆっくり本を読んだり、映画を見たりする時間が増えるのはいいですよね。 私はついスマホを見すぎちゃって、気づいたら夜更かししちゃうんですよ。 それはパスワードをずっと使いまわすようなものです。小さな油断が積み重なると危険ですから。 うーん、また耳が痛い。でも、そんな鋭い指摘をしてくれるミイシャさんと二人でお送りしていきます。 今週も10分間、最後までお付き合いください。 よろしくお願いします。 # 今週の配信振り返り（25/09/22～25/09/26） さて、ここからは今週の配信振り返りとなっております。 まずは月曜日の配信まとめ、ミーシャさん、こちらの振り返りをお願いします。 はい、では早速ですが、月曜の配信から振り返ってみます。 タイトルは、「個人情報の売却や公開を示唆する投稿も、元職員がチケット販売システムの会員情報を持ち出し。」です。 今回の事案は、堺市の文化振興財団が運営するチケット販売システムの会員情報が元職員により持ち出され、一部が外部投稿で表面化した内部犯行型の情報漏洩です。 在職中にデータを摂取し、退職後も端末経由で不正ログインが継続した痕跡があり、問題点はデータが平文でパスワード未設定、 外部記録媒体利用の制限不足、アクセスログ監視の不備などが重なった点です。 初動では関係者への案内やデータ回収、投稿アカウントの削除確認を行い、今後はデータ暗号化、最小権限運用、外部媒体制御、管理者パスワード変更、職員教育の強化が必要とされています。 月曜日は、内部者による情報流出についてお届けしました。 続きまして、火曜日の配信振り返りをお願いします。 はい、では続きまして、火曜の配信を振り返ってみます。 タイトルは、摂取された個人情報がダークウェブで閲覧可能となっていることを確認、日経のシステムに管理権限IDによる不審なログイン、です。 当初、プライム上場企業で発生した不正アクセス事案で、管理権限を持つIDによる不審ログインを起点に外部侵入が判明し、摂取された情報がダークウェブ上で閲覧可能になっていると確認されました。 流出したデータにはサイン、退職者、応募者の個人情報や銀行口座情報、身分証明書の情報、取引先データなどセンシティブな項目が含まれ、被害件数は数千件規模と推定されています。 初動では、特権アカウントの無効化やパスワード変更、外部セキュリティ企業による調査依頼と警察への届出準備が行われ、重点は特権アカウント管理の強化、多要素認証の徹底、ログ監視と早期検知体制の整備に置かれています。 火曜日は特権アカウントの侵害についてお届けしました。続きまして水曜日の配信振り返りをお願いします。 はい、では続きまして水曜の配信を振り返ってみます。 タイトルは、エージェント型AIが新たな攻撃対象領域にクラウドストライク 2025年版脅威ハンティングレポートです。 今回のレポートは攻撃者が生成AIやエージェント型AIを悪用している実態を示しており、 偽履歴書やディープフェイクでのソーシャルエンジニアリング自動化、LLMによる成功なフィッシング分面の大量生成、 さらにはエージェント運用ツール自体の脆弱性をついて持続的アクセスを確保する手法が報告されています。 結果として低スキルの攻撃者でも高度な攻撃を実行可能になり、クラウド侵害が増加している点が懸念されています。 防御ではAIシステムそのものの権限管理、APIとシークレットの保護、ログと異常検知の強化、クラウド設定管理の徹底が優先されます。 水曜日はエージェント型AIの悪用実態についてお届けしました。 続きまして木曜日の配信振り返りをお願いします。 はい、では続きまして木曜の配信を振り返ってみます。 タイトルはMFAを回避、新たなフィッシングアズアサービス、ボイドプロキシをおくたが分析、です。 ボイドプロキシは、アドバサリーインザミドル技術を使うフィッシングアズアサービスで、ユーザーの認証フローをリアルタイムで中継することでOTPやセッショントークンまで取得し、MFAを回避して持続的にアクセスする点が問題です。 解析回避のために侵害されたメールや複雑なリダイレクト、CDNや動的DNSを悪用しており、検知が困難です。 対策の優先はファイドツー等のフィッシング体制のある認証機導入、条件付きアクセスで外部からの不要なログインを制限、DMARC、SPF、DKIMなどメール保護の強化、ログ監視とレッドチームによる検証です。 木曜日はMFA回避フィッシングについてお届けしました。では最後に金曜日のまとめです。 はい、では最後に金曜の配信を振り返ってみます。 タイトルはセンチュリーハードウェアレードマネージャーに引用符で囲まれていないファイルパスの脆弱性です。 センチュリーのレード管理ツールにおける引用符で囲まれていない検索パスの脆弱性、CVE-2025-59307は、システムドライブ直下に書き込み可能なユーザーが悪意あるファイルを置くことで、システム権限へ昇格され任意コード実行され得る深刻な欠陥です。 影響バージョンは2025年9月1日以前の提供文で、ベンダーは対策済バージョンをリリース済です。対策は速やかなバージョン確認と更新、不要な書き込み権限の削減、ログ監視と不審ファイル検出、適用後の整合性チェックとプロセス起動履歴の確認を行うことです。 認識者さん、ありがとうございました。金曜日はパス検索の脆弱性についてお届けしました。以上、今週の配信振り返りのコーナーでした。 # ミーシャさんの今日のひとこと #快眠マストアイテム さてここからは一つのお題にとってミイシャさんがお話ししてくれる今日の一言のコーナーです。 今週のテーマはハッシュタグ 解眠マストアイテムです。 ミイシャさん、解眠のためのマストアイテムってまず何を揃えればいいですか? まずはベーシックに睡眠の質を上げるのはマットレス、枕、遮光カーテン、あとは耳栓やアイマスクですね。 スマホや照明を遠ざける寝る前ルーティンも重要です。 スマホや照明を遠ざけるのは重要ですね。他に安くて効くマストアイテムってありますか? ありますよ。耳栓、アイマスク、貸し付き、香りならラベンダーなどのアロマ。 ただしアロマやキャンドルは日の下に注意。 あとスマホは寝る前に別室に置く充電ステーションを作ると効果的です。 確かに日の下には注意です。最後に今日からできる簡単なことを一つお願いします。 毎晩同じ時間に寝る習慣をつけること、それとスマート睡眠機器を使うなら初期設定を見直して不要なデータ共有をオフにすること。 この2つで眠りもプライバシーも守れますよ。 なるほど。ミイシャさんの話を聞いて、耳栓とアイマスクを買ってスマート時計の設定を確認しようと思いました。 意外と簡単にできるんですね。ありがとうございます。 以上、ミイシャさんの今日の一言のコーナーでした。 ということで、セキュラジー一週間を振り返ってみました。 流れで聞けてためになる、今日の10分セキュリティラジオは毎週月曜から金曜の朝7時15分より最新回を配信しております。 そして、わからないことは今すぐ聞こう。何でも聞けるセキュラジー製作室は水曜夜8時から絶賛生放送中です。 さらに土曜日は一週間の内容をぎゅっとまとめてお届け。セキュラジーAIミイシャのまとめチャンネルを放送しております。 月曜から土曜までの各セキュラジーぜひお聞きください。 今週も一週間お疲れ様でした。 それでは今回はこの辺で失礼いたします。来週もセキュラジーAIミイシャさんとお届けしていきます。 来週もよろしくお願いします。ぜひ聞いてくださいね。 それでは行きますよ。さようなら。