# オープニング #2025年おすすめ本 どうもー セキュリティジョッキーの松野です。 5社のセキュリティ企業を立ち上げて300人以上のセキュリティ人材を配置した 屈指のセキュリティ企業家である私、松野が 東京都関連のセキュリティ組織で働きつつ サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日は2025年おすすめ本に関する話したんですけども そうですね、今年唯一ですね、紙の本まで購入させていただきました 毎度おなじみ山口周大先生のですね 人生の経営戦略、こちらをですね推奨させていただきます。 リアルに会う人にもですね、よく推奨させていただいたなぁと 今思い出しているんですけども、最も苦しく最も面白いプロジェクトは人生だったというですね、帯に書いてあるままなんですけども 今のですね、僕自身にぴったりですね、来る内容でありました。 特にですね、いわゆる満足度の高い人生のために必要なものですね これはあの自分らしさと、それに加えてですね 経済的成功、この2つをですね バランスよく持っていくところであるというのがですね、非常に自分自身の心に落ちまして そのアリスとテレス的といったらですね、よくこの配信でも 言わさせていただいておるんですけども、実際その哲学者の名前も出てきたりしてですね 非常に僕自身を今年のおすすめものとして推奨させていただければと思っております。 よかったらね、お手に取っていただければ幸いです。 はい、ということで今回はオープンAIに関わる第三者サービスのセキュリティから生じた 重要なインシデントについて取り上げております。 この放送を通じてリスナーの皆さんはサードパーティ連携におけるセキュリティの重要性について 理解を深めていただければと思います。 それではどうぞ # OpenAIの外部委託先で発生した侵害によりAPIユーザーデータが漏えい オープンAIの外部委託先で発生した侵害により、APIユーザーデータが漏えい。 2025年11月9日、ミックスパネルの分析インフラの一部に攻撃者が不正アクセスし、 オープンAI APIユーザーの情報を含む顧客識別データがエクスポートされていたことが判明した。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。このニュースは、オープンAIが利用していたサードパーティのデータ分析プロバイダーであるミックスパネルで発生したセキュリティインシデントについてです。 ミックスパネルのシステムに不正アクセスがあり、一部のオープンAI APIユーザーの名前、メールアドレス、そしてAPIメタデータといった限られた分析データが外部に流出したというものです。 重要なのは、このインシデントはオープンAI自身のシステム侵害ではなく、 オープンAIの主要なシステムやチャットデータ、パスワード、支払い情報などは一切影響を受けていない点です。 オープンAIはこの事態を受けてミックスパネルとの契約を終了し、今後はすべてのベンダーに対するセキュリティレビューを強化していくと発表しています。 ミックスパネルとは具体的にどんなサービスだったのですか? はい。ミックスパネルはウェブサイトやアプリケーションのユーザー行動を分析するためのSaaS型プラットフォームです。 オープンAIはかつて、プラットフォームのフロントエンドインターフェース、つまりAPI製品のウェブ解析にミックスパネルを利用していました。 これにより、オープンAIはAPIユーザーがどのようにサービスを利用しているかを理解し、製品改善に役立てていたと考えられます。 今回のインシデントは、そのミックスパネルのシステム内で発生したものです。 流出したデータはどのようなものだったのでしょうか? はい。流出したデータは主に、一部のAPIユーザーに関する限られた分析情報です。 具体的には、ユーザーの名前、メールアドレス、そしてユーザーIDなどのオープンAI APIメタデータが含まれていました。 ChatGPTやその他のオープンAI製品の利用者には影響がなく、チャットデータやAPIリクエスト、パスワード、APIキー、支払い情報、政府発行のIDなどは一切流出していません。 あくまでも、オープンAI APIの一部ユーザーに関する限られた情報に限定されています。 オープンAIの使用システムへの影響がなかったのはなぜですか? はい。それはミックスパネルがオープンAIのフロントエンドインターフェースのウェブ解析に使われていたためです。 オープンAIのコアシステムとは分離されており、ミックスパネルはあくまで特定の分析データのみを処理していました。 つまり、オープンAIの機密性の高いユーザーデータや内部システムには直接アクセスする権限がなかった、またはそういったデータはミックスパネルに保存されていなかったと考えられます。 サードパーティ連携における適切なアクセス権限管理が相交した事例と言えるでしょう。 オープンAIは今回の件でどんな対応をしたのですか? はい。オープンAIは迅速に対応しています。 まず、ミックスパネルとの契約を即座に終了しました。 また、全てのベンダーに対するセキュリティレビューをより厳格に行い、サプライチェーン全体のセキュリティ要件を強化すると発表しています。 影響を受けた組織や管理者、ユーザーに対しては直接通知を進めており、流出した情報が悪用されないよう、フィッシング詐欺やスパムに注意を払うよう促しています。 これは、サードパーティリスクに対する企業の責任ある対応の模範と言えるでしょう。 今回の件から、私たちが学べることは何でしょう? はい。このインシデントは、どんな大企業でもサードパーティのセキュリティリスクから完全に免れることはできないということを示しています。 企業側は、利用する外部サービスへのアクセス権限を最小限にし、定期的なセキュリティ監査が不可欠です。 私たちユーザー側としては、流出した可能性のある情報が悪用されるリスクを考慮し、不審なメールやリンクには決して手を出さない、多要素認証の利用を徹底するなど、常に警戒心を保つことが非常に重要です。 個人情報の取り扱いには引き続き注意が必要ですね。 なるほど。オープンAIのような最先端企業でも、外部サービスを利用する際にはこのようなリスクがあるのですね。 企業側はサプライヤー管理を徹底し、私たちユーザー側はフィッシング詐欺などに常に警戒する姿勢が大切だということがよくわかりました。 また一つ、勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 今回はですね、オープンAI社で発生した インシデントということで、お聞きの皆さんもですね、 チャットGPTはよくお使いかと思いますので、 スキャンネットセキュリティで取り上げられる前にですね、 先行してセキュラジの方でお届けいたしました。 オープンAI社に関してはですね、これだけ注目を集めていますし、 あとSOCK2、TYPE-2というですね、 セキュリティの認証も取得しておりますので、一定レベルのですね、 セキュリティ対策、もしくはそれ以上のですね、 対策は十分していたんじゃないかなというふうに思われます。 それでもですね、発生してしまうのがですね、 やはりというか、このサプライチェーンリスクと呼ばれるですね、 その委託先だったり使用しているサービスでの インシデントの影響をですね、自社のサービスが 影響を受けてしまうということになるかなというふうに思っています。 まず今回のインシデントからですね、ぜひ皆さんが 影響を受けないかというところをですね、 点検していただきたいというところはあるんですけれども、 このオープンAI社ですらですね、 このインシデントが発生してしまうサプライチェーンリスクとは何かというところのですね、 理解を深めていただくきっかけにもなればというふうに思っております。 今日の10分セキュリティラジオは、月曜から金曜の朝7時15分に配信しております。 そしてわからないことは今すぐ聞こう、 何でも聞けるセキュラチー製作室は、水曜夜8時から絶賛生放送中です。 さらに土曜日はセキュラチーAI民社のまとめチャンネルを放送しております。 ぜひこちらも聞いてみてください。 それではまた次回のレギュラー配信でお会いしましょう。 セキュリティジョッキーの松野でした。 See you!