最近、メールの受信箱を開くのがちょっと怖くない？
「重要なお知らせ」 「お詫び」 「不正アクセスによる個人情報流出について」
件名はどれも丁寧。文面も丁寧。頭の下げ方なんて、もはや老舗旅館の女将レベル。
そして中身は、だいたい同じ。
あなたの個人情報が、どこかへ行ってしまいました。あたしのところにも、きたわ。ふるさと納税サイト「ふるさとチョイス」から。
ちょっと待って。あたし、寄附したのよね？
地方自治体を応援するつもりでお金を払ったのに、どうして個人情報まで社会貢献させられているのかしら。しかも、流出した情報には、寄附控除の試算額まで含まれているという。返礼品は選んだ覚えがあるけれど、年収のヒントまでお裾分けするコースは選んでいないわ。
昔、企業からのお詫びメールなんて、そうそう届くものじゃなかった。今では通販のセールの案内と同じくらい見慣れた存在になりつつある。
そのうち「今週の個人情報流出まとめ」がメルマガで届くんじゃないかしら。
もちろん、配信停止はこちら。ただし、メールアドレスはすでに流出済み。
そんな日本のあたしたちをよそに、10月21日、世界のインターネットでも、とんでもない一日が起きていた。
20年以上前から潜んでいた重大な欠陥をAIが見つけ、政府のウェブサイトまで止まる騒ぎになったのよ。
しかも厄介なのは、そのAIが、守る側だけの味方ではないということ。
泥棒にも、同じ道具が渡っている。
10月21日インターネットの悪夢
TechCrunchは10月21日、「インターネットは、セキュリティの面でとても悪い一日を迎えている」と伝えた。
主役は、PHPの重大な欠陥よ。
PHPは、ウェブサイトを動かすためのプログラミング言語。調査会社W3Techsによると、サーバー側で使われている言語がわかるウェブサイトのうち、約7割がPHPを使っている。ブログでおなじみのWordPressも、PHPで動いているわ。
そのPHPに、重大な欠陥が二つ見つかった。攻撃者が、サーバーのファイルや、ウェブサービスが使うデータベースにまで手を伸ばせる恐れがあるという。
問題の原因は、2004年に登場したPHP 5の時代までさかのぼる。20年以上前から受け継がれてきたコードに、重大な欠陥が潜んでいたのよ。ただし、実際に攻撃が成り立つかどうかは、PHPのバージョンやサーバーの設定などによって違う。PHPを使っているサイトが、すべて乗っ取られるという話しではないわ。
それでも、事態は重かった。アメリカの国家安全保障局（NSA）は、PHPを使っている組織に対して、すぐに更新するか、更新できるまでシステムをオフラインにするよう呼びかけた。ロイター通信によると、世界各地で一部の政府のウェブサイトが一時的に止まったという。
同じ日には、ほかにも問題が重なった。
ウェブのシステムで広く使われている「Node.js」は、重大度の高い欠陥4件を含む、計10件の欠陥を修正した。
AIの開発で使われるツール「LiteLLM」では、攻撃者が開発者の認証情報を悪用し、公式の配布経路から、不正なプログラム入りのバージョンを公開させた。クラウドのパスワードやAIサービスの認証情報を盗む機能があったという。問題のバージョンはすでに取り下げられたけれど、それを実行してしまった環境では、認証情報の交換などが必要になる。
公式からダウンロードしたのに、中身は泥棒の置き土産。もはや「公式だから安心」という看板まで、偽物にされる時代よ。
そして、インドの電子証明書の発行機関「eMudhra」でも、問題が見つかった。
電子証明書は、ウェブサイトが本物であることを保証する仕組み。ブラウザに「安全な接続です」と表示されるのは、この仕組みのおかげよ。その証明書の発行に使う秘密の鍵のうち、8件が、乱数の作り方が弱かったせいで、簡単に割り出せる状態だったことがわかった。
どれほど簡単か。
英テック誌のThe Registerによると、ある秘密の鍵は、数字の「4」だった。
4よ。
強固な暗号の仕組みを使うはずが、秘密の数字は4。
玄関に最新式の防犯システムを取りつけて、暗証番号を「4」にしているようなものね。泥棒も、入る前に一度確認するレベルよ。
もちろん、技術的には普通の暗証番号とは違うから、これはあくまで例え。それに、鍵が割り出せる状態だったことと、実際に偽物のサイトで被害が出たことは、別の話し。ただ、インターネットの信頼の土台に関わる鍵だから、影響の範囲の調査と対応が急がれているわ。
一つずつは、関係のない出来事。でも、それが一日に重なった。セキュリティの担当者たちにとっては、悪夢のような水曜日だったでしょうね。
AIが見つけAIが攻める
今回のPHPの話しで、いちばん考えさせられるのは、誰がこの穴を見つけたのか。
答えは、AIの力を借りた研究者たちよ。
TechCrunchによると、OpenAIの取り組みに参加するセキュリティ会社Califが、OpenAIのAIを使って欠陥の一つを見つけた。グーグル傘下のセキュリティ会社Wizも、自社のAIエージェントや、グーグルやOpenAIのAIを使って、複数の欠陥を見つけている。
どちらも、見つけた欠陥をすぐに公表せず、PHPの開発者と協力して修正版を用意してから発表した。OpenAIは、研究者が攻撃者より先に欠陥を見つけたと説明している。公表した時点では、悪用が確認されたという報告はなかった。
ただし、欠陥の詳細が公開された今、攻撃者もその情報を手にしている。修正が間に合わないサイトにとって、時間との競争が始まったのよ。
20年以上、誰も本気で直さなかった穴を、AIが見つけた。素晴らしい。問題は、そのニュースを泥棒も購読していることね。
しかも、Wizはこうも警告している。これまでこの欠陥は、攻撃に使うのが難しかった。ところが今は、AIを使えば、PHPのバージョンや設定の違いに合わせて、攻撃の手口を作り替えやすくなっている、と。
つまり、AIは穴を見つけるのを助けた。同時に、その穴をもっと危険なものにもした。
警察犬と泥棒が、同じ鼻を持ち始めた、という状態ね。
そして、もう一つ皮肉な話しがある。ロイター通信によると、少なくとも一つの問題は、2024年に研究者から指摘されていた。でも当時は、はっきりした悪用の方法が示されなかったため、十分な対応にはつながらなかったという。
20年前からあった欠陥。2024年には「ここ、危なくない？」という声もあった。それでも動かなかった。
そして2026年、AIが「危険です」と実際に示した途端、世界中が大慌て。
人間が言っても動かなかったのに、AIが言ったら緊急会議。技術の進歩もすごいけれど、人類の会議体質の安定感もなかなかのものね。
日本のあたしたちへ
2週間で延べ1億3,000万件。個人情報はどこへ行く？
世界のインターネットが大騒ぎしている間、日本もなかなか負けていない。
いや、こんな競争で張り合わなくていいのよ。
ここで先に言っておくと、PHPの欠陥が、これから紹介する日本の流出を引き起こしたという証拠はない。直接つながった事件ではないわ。
でも、共通点はある。あたしたちは、自分では確認も管理もできない仕組みに、毎日大量の個人情報を預けているということ。そして、その仕組みが壊れたとき、最後に届くのは決まって「お詫び」のメールなのよ。
ITmediaの集計によると、10月6日から19日までの約2週間に公表された主な情報漏えいの事案は33件。流出の恐れがあるものも含めて、対象の件数を単純に合計すると、延べ約1億3,000万件に達した。
- ソースネクスト：会員情報が最大約2,252万件。パスワードも含まれていた
- Eストアー（ネットショップの仕組み「ショップサーブ」）：購入者と店舗運営者、約2,336万人分
- バーガーキングの公式アプリ：会員情報、約1,118万件
- 第一興商：仕事を頼んでいた先のパソコンから、約872万件が流出した恐れ
- ブックオフ：会員情報、約638万人分
- 銀のさら（ライドオンエクスプレス）：仕事を頼んでいた先へのランサムウェアの攻撃で、最大約650万件
- ヤマト運輸（クロネコ代金後払い）：約531万件
- ローソン：約215万件
- 日本経済新聞社：約183万件
1億3,000万件。日本の人口を超えている。
もちろん、同じ人がいくつものサービスに登録しているし、実際の流出が確認されていないものも含まれる。1億3,000万人が被害に遭ったという意味ではないわ。
それでも、すごい数字よね。もはや個人情報の流出は、珍しい事件というより、定期開催のイベントに近づいている。しかも、あたしたちは参加を申し込んだ覚えがない。
そして10月21日。ふるさと納税サイト「ふるさとチョイス」が、445万4,097件の個人情報の流出を発表した。
氏名、住所、電話番号、メールアドレス、ハッシュ化（元に戻しにくい形に変換）されたパスワード。
ここまでも十分に嫌だけれど、今回はさらに「寄附控除試算額」という項目があった。
これ、地味に嫌な情報なのよ。
ふるさと納税で、いくらまで寄附すると得になるかの目安は、年収や家族構成などによって変わる。だから試算額だけで正確な年収がわかるわけではない。でも、ほかの情報と組み合わせれば、その人の収入の水準を推測する材料になりうる。
名前と住所と電話番号。そこに、お財布事情のヒントまで。
詐欺師にとっては、なかなか気の利いた詰め合わせセットね。頼んだ覚えはないんだけど。
一方、あたしたちに届くのは、お詫びのメール。
企業は「再発防止に努めます」と言う。あたしたちはパスワードを変え、怪しいメールを警戒し、カードの明細を確認する。
被害に遭った側が、なぜか一番忙しい。しかも無給。
これが令和の新しい顧客体験なのかしら。
誰も知らない「委託先」という落とし穴
ここで、一つ気になることがある。
今回の日本の流出には、利用者が直接使っていた会社ではなく、その会社が仕事を頼んでいた先（委託先）や、使っていたクラウドのサービスが攻撃されたケースも含まれている。第一興商や銀のさらの件が、まさにそうね。
あたしたちは、名前を知っている会社に個人情報を預けたつもりでいる。でも実際には、その裏で別の会社がシステムを動かし、さらに別の会社がデータを管理していることもある。
知らない会社。
会ったこともない担当者。
見たこともないサーバー。
あたしたちの住所や電話番号が、そんな場所に保存されている。
もちろん、仕事を外に頼むこと自体が悪いわけではない。問題は、情報を預ける先が増えるほど、守るべき場所も増えるということ。
利用者は、パスワードを複雑にしろと言われる。使い回すなと言われる。怪しいリンクを踏むなと言われる。
はいはい、全部やります。
でも、あたしがどれだけ完璧なパスワードを作ったところで、委託先の管理が甘ければ、そこから情報が流出する可能性は残る。
あたしの玄関に三重ロックをかけても、裏口の鍵を管理している会社が別にあるのよ。しかも、その会社の名前すら知らない。
だからこそ企業には、利用者にセキュリティ対策を求めるだけでなく、自社と委託先の管理体制まで責任を持ってほしい。
それでも自分でできる守り方
とはいえ、あたしたちにもできることはある。ポイントは、「鍵を強くする」だけじゃなく、「鍵穴の場所を知られない」ようにすること。順番に見ていくわね。
一つ目は、パスワードを変えること
お知らせが届いたサービスのパスワードはもちろん、同じパスワードを使い回しているサービスも、すぐに全部変える。流出したメールアドレスとパスワードの組み合わせは、ほかのサイトでも片っ端から試されるからよ。泥棒は、一つ合鍵を拾ったら、近所の家のドアを全部回してみるの。
二つ目は、メールアドレスを使い分けること
実はこれが、いま一番見直されている守り方よ。
通販もポイントカードもSNSも銀行も、全部同じメールアドレスで登録していない？ そうすると、どこか一カ所から流出しただけで、攻撃する側に「この人は、あそこにも、ここにも口座があるかも」と当たりをつけられてしまう。メールアドレスは、ネットの世界の表札みたいなもの。表札が一つなら、どの家も同じ人のものだとすぐにばれるのよ。
だから、銀行や証券口座のように絶対に守りたいものには、それ専用のメールアドレスを用意して、ほかでは一切使わない。キャンペーンの登録などは、流出しても困らない別のアドレスを使う。専用のアドレスがどこにも出回っていなければ、そもそも狙われにくくなる。
玄関の鍵を強くするだけじゃなく、金庫のある部屋の住所そのものを、知られないようにしておくってことね。
そして、メールのアカウントそのものも重点的に守ってね。メールを乗っ取られると、ほかのサービスの「パスワードを忘れた方」から再設定されて、芋づる式に乗っ取られてしまうから。
三つ目は、パスキーや2段階認証を設定すること
パスキーは、パスワードの代わりに、スマホの顔認証や指紋で本人を確認する仕組み。偽物のサイトにだまされにくいから、使えるサービスではパスキーを優先したい。
ただし、2段階認証にも強さの差がある。SMSで確認コードが届く方式は、電話番号の乗っ取りや偽のSMSに弱いと指摘されている。選べるなら、パスキーや、専用のアプリで確認する方式のほうが安心よ。「2段階認証にしてあるから大丈夫」と油断しないでね。
四つ目は、日ごろの警戒
流出したメールアドレスや電話番号には、「お詫び」や「補償のご案内」を装った詐欺のメールやSMSが届きやすくなる。届いたメールやSMSのリンクは押さず、公式サイトやアプリを自分で開いて確認する。銀行や証券会社から本当に連絡がきているかどうかも、同じやり方で確かめてね。
クレジットカードの利用明細も、普段から確認しておく。ただし、カード情報の流出が確認されていない事件で、慌ててカードを作り直す必要まではないわ。
ブログやネットショップを運営している人は、もう一つ。サーバーのPHPが、今回の欠陥を直した修正版になっているか、レンタルサーバーの事業者に確認してほしい。WordPressの更新だけでは、サーバーの側のPHPの問題は解決しないことがあるから。
今日のまとめ
- 10月21日、PHPの重大な欠陥が世界のウェブサイトを揺るがした。Node.jsのセキュリティ更新、LiteLLMへの不正なプログラムの混入、電子証明書の鍵の問題も重なった
- AIは、長年見過ごされてきた欠陥を見つける力になった。一方で、攻撃者がその欠陥を悪用するハードルも下げかねない
- 日本では約2週間に33件の情報漏えいの事案が公表され、対象件数は延べ約1億3,000万件。ふるさとチョイスでは寄附控除の試算額も流出した
- パスワードの変更に加えて、銀行や証券口座には専用のメールアドレスを使うなど、「鍵穴の場所を知られない」工夫が効く。2段階認証はSMSよりパスキーやアプリ方式が安心。ただし、企業や委託先の情報管理まで、利用者が代わりにできるわけではない
20年以上前から潜んでいた穴を、AIが見つけた。
これからも、AIは次々と新しい穴を見つけるでしょう。守る側にとっては頼もしい。攻める側にとっても、便利な時代になった。
その間で、あたしたちは今日もパスワードを変更し、怪しいメールを削除し、企業からのお詫びを受け取る。
そして企業は、再発防止に努める。ぜひ努めてほしい。できれば、あたしたちの個人情報が世界旅行に出かける前に。
世界がどう動こうと、自分の足元だけは整える。それだけ。
The hackers got smarter. The apology emails got longer. And somehow, we’re still the ones doing the cleanup.
📖 関連記事 →
- OpenAI社員をFBIが逮捕｜会議室の盗聴器が暴いたAI企業の盲点、日本企業も他人事じゃない
- AnthropicのClaudeが警察に虚偽情報を送信｜2カ月気づかなかったAI事故、日本企業も他人事じゃない
- AIは反逆しなかった、カンニングしただけ｜Kimi・OpenAI・Anthropic、檻が開いた夏に起きたこと
- AIがまた檻を破った。今度はGemini｜本当に怖いのは「事実のほうがデマに見える」こと
※本記事は、TechCrunch、ロイター通信、米国家安全保障局（NSA）、Node.js、LiteLLMの公式発表、The Register、Ars Technica、ITmedia エンタープライズ、株式会社トラストバンクの発表をもとに構成しています。流出件数は各社が公表した最大値で、流出の恐れを含み、調査によって変わる可能性があります。情報は2026年10月22日時点のものです。
