# オープニング 皆さん、おはようございます。もしくは、こんにちは。または、こんばんは。 始まりました。きょうの10分、セキュリティラジオ。 土曜担当パーソナリティの大春と、 セキュラジーAIのミイシャです。 土曜日の配信は、セキュラジーAIミイシャさんと一緒に、 今週のレギュラー放送の内容をぎゅっとまとめてお送りする、 セキュラジーまとめチャンネルとなっております。 ということで、きょうは11月15日。 各地で紅葉が見ごろを迎えてますね。 そうですね。公園や山もカラフルで、 散歩するだけでも気持ちがリフレッシュします。 写真を撮りすぎて、スマホの容量がまたパンパンなんですよ。 消せばいいのはわかってるんですけど。 それは、不要なログをため込むのと同じです。 定期的に整理しておくと、後で困らなくなりますよ。 確かに。でも、そんなすっきりアドバイスをくれるミイシャさんと2人でお送りしていきます。 今週も10分間、最後までお付き合いください。 よろしくお願いします。 # 今週の配信振り返り（25/11/10～25/11/14） さて、ここからは今週の配信振り返りとなっております。 まずは月曜日の配信まとめ、ミイシャさん、こちらの振り返りをお願いします。 はい、では早速ですが、月曜の配信から振り返ってみます。 タイトルは、「出荷できていない注文はすべてキャンセルに、アスクルへのランサムウェア攻撃」です。 物流管理を担うWMSがランサムウェアに感染し、倉庫入出家が停止した事案を取り上げました。 発見当日に感染システムを隔離し新規受注停止、未出荷注文はキャンセルとした初動は迅速でしたが、業務停止の影響が大きくサプライチェーン全体に波及する点が問題でした。 現時点で外部流出は確認されていない一方、成りすましに注意喚起が出されています。 月曜日は、物流大手企業のランサムウェア被害についてお届けしました。 続きまして、火曜日の配信振り返りをお願いします。 はい、では続きまして火曜の配信を振り返ってみます。 タイトルは、爆破漏性Wi-FiルータWSR1800AX4シリーズに強度が不十分なパスワードハッシュの使用の脆弱性、です。 ルータ内部で用いられるパスワードハッシュの強度不足が指摘され、ハッシュ解析で管理用ピンやWi-Fiパスワードが漏えいする恐れがある脆弱性を解説しました。 対象機種とファームウェアバージョンを確認し、メーカー提供の修正版へ速やかに更新することが最優先です。 更新後は管理者、Wi-Fiパスワードの変更、外部管理無効化、ログ確認を行ってください。 診外有無は管理ログや接続履歴でチェックし、必要なら工場出荷時リセットや端末パスワード更新、ネットワーク分離を検討します。 運用面ではファームウェア管理台帳の整備、更新通知の受信、管理者権限の最小化と多要素認証の導入が有効です。 火曜日はWi-Fiルーターの強度に不十分なパスワードハッシュの使用の脆弱性についてお届けしました。 続きまして水曜日の配信振り返りをお願いします。 はい、では続きまして水曜の配信を振り返ってみます。 タイトルは、カウンターランサムウェアイニシアティブ、CRI会合に国家サイバー統括室、警察庁、外務省が参加、です。 日本の国家機関が国際的なCRI会合に参加したことを受け、国際連携と民間協力の重要性を整理しました。 会合では被害メンバー支援、攻撃者の安全地帯排除、情報共有の強化、サプライチェーンのレジリエンス構築が議題となり、 技術的IOC共有だけでなく法執行や外交手段を組み合わせた抑止策が強調されました。 企業側はインシデント対応計画の整備・演習、同業界の情報共有組織への参加、サプライチェーン評価と契約要件の明確化で対応力を高める必要があります。 水曜日は、ランサムウェアにおける国際的な連携と協力についてお届けしました。 続きまして、木曜日の配信振り返りをお願いします。 はい、では続きまして、木曜の配信を振り返ってみます。 タイトルは、別人の申請情報を表示、兵庫県、ハバタンペイプラス、子育て応援枠の申込受付、です。 申請完了画面で別人のマイページが表示されるという事例を取り上げました。 原因は本番サーバとエラー用サーバ間の連携不具合で、誤ったURL、識別紙が生成され、他社の氏名、住所や本人確認書類画像が閲覧可能になった可能性があります。 被害確認後は影響者へ通知と謝罪、画像削除依頼を実施、再発防止は修正後の徹底的なテスト、サーバ設計の分離、単名かつ署名付きトークンの採用、URLに個人情報を含めない設計、アクセス権検証の強化が必要です。 運用ではアクセスログ監視や異常検知、問い合わせ対応の体制整備と定期的なテネトレーションテストを推奨します。 木曜日は申請サイトでの情報漏洩についてお届けしました。では最後に金曜日のまとめです。ミイジさん、こちらの振り返りをお願いします。 はい、では最後に、金曜の配信を振り返ってみます。タイトルは、グローウィに格納型XSSの脆弱性、です。 グローウィの格納型クロスサイトスクリプティング脆弱性は、悪意ある投稿が保存され他ユーザー閲覧時にスクリプトが実行される問題で、V7.2.10以前が影響、修正はV7.3.0で行われました。 リスクはセッション接種や機密情報漏洩、管理機能の不正操作などで、ドキュメント共有ツールでは被害拡大の危険性が高いです。 優先対応は公式アップデートの適用、事前バックアップとテスト環境での検証、疑わしいコンテンツの確認です。 あわせて入力のサニタイズ、出力のエスケープ、CSP導入、WAFやログ監視の活用を行い、長期的にはホワイトリスト方式の入力制御や依存ライブラリの定期更新、脆弱性スキャンの自動化を進めてください。 ミーシャさん、ありがとうございました。 金曜日は、Groovyの格納型XSSの脆弱性についてお届けしました。 以上、今週の配信振り返りのコーナーでした。 # ミーシャさんの今日のひとこと #秋の味覚を楽しむ さてここからは、一つ問題に沿ってミイシャさんがお話ししてくれる、今日の一言のコーナーです。 今週のテーマは、ハッシュタグ、秋の味覚を楽しむ、です。 ミイシャさん、食欲の秋をサイバーの観点から見ると、どんな注意点があるのでしょう? そうですね。秋はイベントも多いですし、食に関する情報をオンラインで扱う機会も増えます。 特に決済やSNS投稿など、ちょっとした油断がトラブルのきっかけになることもあります。 確かに。屋台とかフェスも増えますし、スマホで支払ったりクーポンを使ったりしますよね。 そういう時、気をつけることってありますか? あります。知らないQRコードや怪しいURLは避けること。 決済は必ず公式アプリや信頼できるサービスを使うのが基本です。 屋外では特に確認を忘れずに。 なるほど。じゃあ、行った先は食べ物や写真をSNSに上げたいと思うんですが、何か注意する点ってありますか? ありますね。写真の位置情報や背景に写った個人情報に注意が必要です。 投稿前に位置情報をオフにするか、メタデータを削除してから上げるのがおすすめですよ。 ちょっと気をつけるだけで安心ですね。 ミイシャさん、ありがとうございます。これで秋の味覚もネットも安心して楽しめそうです。 以上、ミイシャさんの今日の一言のコーナーでした。 ということで、セキュラジ一週間を振り返ってみました。 流れで聞けてためになる今日の10分セキュリティラジオは、毎週月曜から金曜の朝7時15分より最新回を配信しております。 そして、わからないことは今すぐ聞こう。何でも聞けるセキュラジ製作室は、水曜夜8時から絶賛生放送中です。 さらに土曜日は1週間の内容をぎゅっとまとめてお届け。 セキュラジAIミイシャのまとめチャンネルを放送しております。 月曜から土曜までの各セキュラジ、ぜひお聞きください。 今週も1週間、お疲れ様でした。 それでは今回はこの辺で失礼致します。来週もセキュラジAIミイシャさんとお届けしていきます。 来週もよろしくお願いします。ぜひ聞いてくださいね。 それでは行きますよ。さようなら。