…関・企業が確認すべきセキュリティ対策を解説します。 英国の公共部門でソブリンAIが重要視される理由 データを国内に保管しても情報漏洩リスクがなくならない理由 公共機関と企業が確認すべきAIセキュリティ管理項目 AIエージェントの自律化でアクセス権限と責任管理が重要になる AIエージェント導入時の確認手順 機密データをAIに送るのではなく、AIをデータに近づける設計 すべての業務に生成AIを使う必要はない AIの誤回答と判断ミスを防ぐために必要な継続的な検証 セキュリティ対策は…

…5日、AIを活用したセキュリティ運用製品「Trellix Wise for Private Cloud」の一般提供を開始しました。セキュリティ警告の100％をAIが調査し、機密データをパブリックAIや外部クラウドに送信せずに脅威を分析できることが特徴です。政府機関、金融機関、医療機関、エネルギー・水道事業者など、厳格なデータ保護要件を持つ組織のSOC担当者にとって、AIによる調査の自動化と情報管理を両立する新たな選択肢となります。本記事では、発表された機能、AI攻撃への対応、…

…の事案から確認すべきセキュリティ対策 よくある質問（FAQ） Q. 今回の個人情報漏洩は何人に影響していますか？ Q. どのような個人情報が漏洩しましたか？ Q. AIを利用したハッキングだったのでしょうか？ Q. MG Community Credit Cooperativesのすべての顧客が対象ですか？ Q. 顧客に対する補償は発表されていますか？ まとめ：400人超の情報漏洩、複数IPアドレスからの攻撃に注意 韓国MG Community Credit Cooperat…

…な推論能力やサイバーセキュリティ関連の能力が取得された場合、攻撃者がそれらを独自のモデルに組み込む可能性があります。 Anthropicは具体例として、中国AI企業Zhipu AI（Z.AI、2513.HK）が「GLM-5.3」の開発過程で、米国製AIモデルからサイバー関連能力を蒸留しようとしたと主張しています。 これはAnthropic側による指摘であり、取得テキストだけでは当該企業の行為について独立した検証が行われたかどうかまでは判断できません。 Anthropicは、蒸…

…融機関側に求められるセキュリティ対策 よくある質問（FAQ） 今回の個人情報漏洩では何人が被害に遭いましたか？ どのような個人情報が流出しましたか？ AIを使ったサイバー攻撃だったのですか？ すでに情報漏洩は止まっていますか？ 日本の金融機関にも影響がありますか？ まとめ：金融機関2社の顧客情報流出、公式発表と調査結果の確認が重要 韓国の金融機関2社で個人情報漏洩が発生 韓国の金融業界に関する13日の報道によると、韓国セマウル金庫中央会とOK貯蓄銀行で、外部からのハッキング攻…

…主な企業、取引内容、セキュリティ上の論点を整理しました。 企業・組織 報道された内容 主なリスク・論点 Meta 従業員の操作記録をAI学習用に収集する計画を実施し、社内での情報閲覧問題を受けて停止 匿名化の不十分さ、私的会話・人事情報の保護、アクセス制御 Google・Spirit Airlines 1000万ドル規模の旧データ購入計画 元従業員のプライバシー、第三者企業の知的財産、データ利用権限 Micro1 匿名化企業データへのアクセスに10万～200万ドルを提示 デー…

AIセキュリティ企業のFortanixが発表した調査で、規制の厳しい業界の企業の61％が機密データをパブリッククラウドAIサービスに送信している一方、93％がAI基盤提供事業者への機密情報の露出を懸念していることが明らかになりました。銀行、金融、医療、保険、政府機関などでAIを導入する企業にとって、プロンプトや独自AIモデル、知的財産を保護する仕組みの整備が重要な課題となっています。 Fortanix調査で判明したAI利用と機密情報漏洩リスクの実態 AIセキュリティ調査の主要…

…サービス提供元からのセキュリティ通知 iOSアプリの提供者 Androidと同様の問題が生じる可能性 アプリとサーバー間の通信およびAPIの安全性 Webサービスの運営者 同様の仕組みを利用した攻撃が発生する可能性 サーバーの脆弱性とアクセス状況 NICTは、Androidだけでなく、iOSアプリやWebサービスでも同様の問題が起こる可能性を指摘しています。 今回の注意喚起は、特定のAndroid端末やアプリがすべて侵害されたことを意味するものではありません。 一方、アプリ利…

…、カナダ人のサイバーセキュリティ専門家を逮捕したことが明らかになりました。この攻撃では、FBI職員の担当業務、住所、社会保障番号などの機密性の高い個人情報が流出したと報じられています。逮捕された人物はランサムウェア犯罪者との身代金交渉を専門としてきた経歴を持ち、セキュリティ業界にも衝撃が広がっています。ただし、容疑は裁判で立証されておらず、有罪が確定したわけではありません。 ShinyHuntersによるFBI採用サイト攻撃と専門家逮捕の概要 FBIjobs.govから流出し…

…義しています。単純なセキュリティ侵害だけでなく、AIの出力品質や自律的な処理に関する問題も含まれます。 インシデントの種類 概要 想定される対応 ハルシネーション AIが事実と異なる情報を生成する 誤った情報の撤回と影響確認 バイアス AIの判断や出力に偏りが生じる 出力内容と判断結果の検証 モデルドリフト AIモデルの動作や出力傾向が変化する 変更内容と出力品質の確認 データ漏洩 AIによって機密情報が意図せず公開される アクセス権限の停止と漏洩範囲の調査 AIエージェント…

…調査結果から、企業のセキュリティ担当者やAI運用管理者が確認すべきリスクと具体的な対策を解説します。 CYGNVSがAI関連インシデントの実態を公表 AIインシデント対応に関する主な調査結果 AIエージェントの暴走や情報漏洩などが主要リスクに AIエージェントが想定外の動作をするリスク 生成AI利用に伴うデータ漏洩 AIの安全対策機能が正常に働かないリスク 企業が確認すべきAIセキュリティ対策 1. AIの利用範囲と責任者を確認する 2. AI専用のインシデント対応手順を作成…

…イバー攻撃への悪用もセキュリティ上の検討対象となりますが、今回のKFCCの情報漏洩について、AIが実際に利用されたと判断する根拠は取得テキストにありません。 そのため、Shinhan Bankへの攻撃とIPアドレスに共通点があることや、金融業界でAIを利用した攻撃が発生していることを理由に、今回の事件をAIによる攻撃と断定することは適切ではありません。 KFCCは対象顧客へSMSで個別通知、被害の全額補償を表明 KFCCは、個人情報の漏洩が確認された顧客に対し、SMSを通じた…

…イバー攻撃の可能性とセキュリティ投資の不足を認めました。ただし、AIの使用や最初の侵入経路は確定しておらず、警察が調査中です。Tving利用者は個人情報の悪用に注意する必要があります。また、韓国国会の監査では、美容医療サービス「Gangnam Unni」やGoogle Koreaの個人情報漏洩問題も取り上げられ、企業の安全管理と被害者補償が重要な論点となっています。 Tvingで何が起きた？大規模な個人情報漏洩とAI攻撃の可能性 侵入後に内部システムへアクセス、Tvingのセ…

…と主張しています。 セキュリティ研究者Dominic AlvieriはThe Registerに対し、EndZoneが公開したデータは今回と同じ元の侵害に由来するように見えると述べています。 そのため、BYODの3,615人分とEndZoneの約4,000人分を単純に合算し、約7,615人が被害を受けたと判断することはできません。 また、BYOD側はEndZoneとの正式な関係を否定しつつ、構成員の1人がEndZone関係者と面識を持つと説明しています。 両グループの正確な関…

…。 2025年には、セキュリティ研究者が、Claude、Copilot、ChatGPTなどのツールに関連する14万3000件超の会話がArchive.orgでアクセス可能になっていたことを発見したとされています。 また、BBCは7月、Claudeのユーザー会話数百件が公開インターネット上で閲覧可能となり、その会話へのリンクがGoogleから確認できる状態だったと報じています。 これらは、AIとの会話が利用者の想定を超えて第三者に閲覧される可能性を示す事例です。ただし、取得テキ…

…電力確保、設備冷却、セキュリティ管理を含む大規模施設の整備動向として注目されます。 NTTデータとAnthropicが大阪で大型AIデータセンター建設を協議 最大500MWの電力需要が計画実現の大きな課題に GPUサーバー導入で総投資額は数兆円規模となる可能性 AIインフラのセキュリティ面で確認すべきポイント 物理的なアクセス管理 ネットワークと運用権限の管理 電力設備とサービス継続性 Anthropicの日本展開とAIモデルの競争力 日本国内でも大型AIデータセンター建設計…

…ージェント、サイバーセキュリティ、高頻度取引など、応答遅延が重要なシステムを運用する企業やAIインフラ担当者に関係する発表です。 d-Matrix Squadronとは？AI推論向けの大規模コンピューティング基盤 最大1,024基のCorsair XPUを搭載するシステム構成 GPUとXPUを組み合わせたAI推論で毎秒845トークンを実証 空冷方式を採用し、既存データセンターへの導入を想定 AIエージェントやサイバーセキュリティへの影響 サイバーセキュリティ分野 AIエージェ…

…ントの時代に対応するセキュリティ基盤を構築することを目標に掲げています。 企業のAI利用で問題となる機密情報漏洩リスクとは 今回の発表で中心的な課題として挙げられたのは、企業が生成AIやAIエージェントを利用する際の機密情報保護です。 取得資料では、世界の企業従業員の77％が機密データを公開ネットワーク上のAIにアップロードしたことがあると主張されています。ただし、この数値の調査主体、対象者数、調査期間は資料に記載されていないため、独立して確認された統計として扱うことはできま…

…外部委託先で発生したセキュリティ事故です。 なお、公表内容は情報が漏洩した「可能性」を示すものであり、約872万4,000件すべてが実際に第三者へ流出したと確定したわけではありません。 影響人数は約872万4,000件、ビッグエコーやDK Diningも対象 取得情報では、第一興商の複数のカラオケ・飲食ブランドに関する顧客データが影響対象として挙げられています。 ビッグエコーの関連データは約560万件、DK Diningの関連データは約350万件と記載されています。ただし、こ…

…者が今すぐ確認したいセキュリティ対策 不審なメールやSMSのリンクを開かない 電話で個人情報や認証コードを伝えない アカウントとポイントの利用状況を確認する 日本コロムビアの調査状況と今後の確認ポイント よくある質問（FAQ） Q. BIG ECHOを利用したことがあれば個人情報が漏洩していますか？ Q. 第一興商のシステムがハッキングされたのですか？ Q. パスワードを変更する必要はありますか？ Q. ポイントの不正利用は発生していますか？ Q. 個人情報がインターネット上…

…ア感染が発端 今回のセキュリティ事案は、第一興商の業務委託先である日本コロムビアグループ（NCG）の従業員用パソコンからマルウェアが発見されたことによって明らかになりました。 感染したパソコンには、第一興商から委託された業務で取り扱う個人情報が一時的に保存されていました。そのため、感染を通じて第三者に個人情報が閲覧されたり、持ち出されたりした可能性が調査されています。 確認されている経緯では、NCGが10月1日から2日にかけてマルウェアを発見し、10月2日に対象パソコンをネッ…

…T管理者が確認すべきセキュリティ対策 1. 社内フォルダーのアクセス権限を点検する 2. 多要素認証とログイン履歴を確認する 3. 従業員へのなりすまし対策を徹底する 4. 不審なファイルアクセスを検出できるようにする 5. 不正アクセス発見時の対応手順を整備する Air France-KLMの不正アクセスに関するよくある質問 Q. Air France-KLMの顧客情報は流出したのですか？ Q. Air FranceやKLMの航空便は通常どおり利用できますか？ Q. Xua…

…から分かるインフラとセキュリティ上のリスク Yandexサービスの利用者とシステム管理者が確認すべきこと 利用者が確認する方法 システム管理者が確認する方法 FAQ：Yandexのデータセンター攻撃とSNSボット減少 Q1. Yandexのデータセンターは何拠点が攻撃された？ Q2. Yandexのサービスはすべて停止した？ Q3. 自動通信が0.3％になったという数値は何を意味する？ Q4. ロシアの宣伝ボットが停止したことは証明されている？ Q5. 今回の事象はサイバー攻…

…ftwareが、AIセキュリティ企業Vigil Guardを買収しました。従来のバックアップ・災害復旧機能に、プロンプトインジェクション攻撃の検知、生成AIへの機密情報送信の制御、AIエージェントの動作監視を組み合わせる方針です。企業でJira、Confluence、コードリポジトリなどとAIを連携させている管理者や開発者にとって、情報漏洩防止とアクセス権限の見直しに関係する動きです。 XoperoがVigil Guardを買収、AIセキュリティ監視事業を強化 生成AIとAI…

…クと実際に確認されたセキュリティ事故を区別する必要があります。 X.AI LLCのGrok AIシステムについてICOが調査を開始 ICOは、X.AI LLCが提供するGrok AIシステムについても調査を開始しています。 調査対象として挙げられているのは、Grok AIが有害なコンテンツを生成する可能性に関する問題です。 今回の情報から確認できるのは調査開始という事実であり、法令違反の認定や処分が確定したという内容ではありません。 また、主要AI企業10社との個人情報保護強…

…作履歴の不足が重要なセキュリティ課題になっています。Microsoftの報告では、攻撃者によるエージェントを利用した攻撃でAzureのストレージアカウント100件超が約7分間で削除された事例が紹介されています。AIエージェントを導入する企業のIT管理者、プロジェクト責任者、法務・リスク管理部門は、権限の最小化、人間による承認、緊急停止、監査ログの整備を優先する必要があります。 AIエージェントの自律操作が企業の新たなセキュリティ課題に Azureストレージアカウント100件超…

…クセス、AIモデルのセキュリティ侵害を示す記述はありません。 したがって、Claudeの利用者が今回の報道を理由にパスワードを変更したり、サービスの利用を停止したりする必要性は、この情報からは導けません。 開発事業者・施設管理者が確認したい事項 同様のデータセンター建設を検討する事業者にとっては、土地の利用計画を確定する前に、保護対象となる樹木や生態系の有無を把握することが重要です。 今回のように樹木が種の回復に関わる遺伝資源として利用されている場合、単純な緑地面積の確保だけ…

…撃やデータセンターのセキュリティ侵害が建設凍結の原因になったとは記載されていません。 まとめ：建設停止だけでなく電力インフラの費用負担が焦点に ニューヨーク州の大型データセンター建設凍結をめぐる議論では、AI需要の拡大と、地域の電力インフラを維持するための費用負担が大きな論点となっています。 Prism Power GroupのAdhum Carter Wolde-Lule氏は、建設を一律に停止するよりも、電力網の増強費用を事業者が負担し、長期PPAによる新規電源を確保し、税…

…ークにおけるサイバーセキュリティ上の問題を確認しました。傘下のスーパーマーケットAlbert Heijnでは、Webサイトやモバイルアプリ、顧客サービスが利用できなくなり、オンライン注文商品の配送も停止しています。Etos、Gall & Gall、Delhaizeにも影響が及んでいます。 一方、Albert Heijnの実店舗は営業を継続しており、レジシステムも稼働しています。ただし、会員向け割引や店頭の電子値札に問題が発生する可能性があります。障害の原因、顧客情報への影響、…

…理する当局は、深刻なセキュリティインシデントを確認したと発表しました。 CPRは、デンマークの住民登録情報を管理するシステムです。CPR番号は個人を識別するために使用される番号で、氏名や住所などとともに重要な個人情報に該当します。 今回の事件では、デンマーク企業に付与されていた正規の検索権限が第三者によって悪用され、登録者の個人情報に不正アクセスが行われました。 報道によると、攻撃者は21日間にわたりアクセス可能な状態にあり、約1400万回の検索が行われました。不審な活動は9…