本ブログは「生成AIセキュリティ」シリーズの第4弾です。 これまで、画像生成AIのSafety FilterをBypassして不適切な画像を作成させる手法や、文章生成AIから機微情報を窃取する手法などを対策と共に解説してきました。 今回は、OpenAIが昨年公開したサービス「カスタムGPTs」にまつわるセキュリティ・リスクを取り上げます。カスタムGPTs（以下、GPTs）は、ChatGPT Plusのユーザが任意にGPTをカスタマイズし、特定の目的に特化したGPTを作成・公開することができるサービスです。このサービスは非常に有用ですが、GPTsを攻撃者が悪用することで、他ユーザを攻撃できることが海外の研究者らによって報告されています[1]。 そこで本ブログでは、「カスタムGPTsを悪用した攻撃と対策について」と題し、GPTsを悪用した攻撃手法と対策について解説します。本ブログが、GPTsの

JPCERT/CC は、2024年1月25日、26日にJSAC2024を開催しました。 本カンファレンスは、セキュリティアナリストの底上げを行うため、 セキュリティアナリストが一堂に会し、インシデント分析・対応に関連する技術的な知見を共有することを目的に開催しています。今回が7回目となるJSACですが、前年度と異なりオフライン形式のみで開催しました。講演については、2日間で17件の講演、3件のワークショップおよび、6件のLightning talkを実施しました。 講演資料は、JSACのWebサイトで公開しています（一部非公開）。JPCERT/CC Eyesでは、本カンファレンスの様子を3回に分けて紹介します。 第1回は、DAY 1 Main Trackの講演についてです。 Amadeyマルウェアに関する活動実態の変遷から得られる教訓 講演者：BlackBerry Japan 株式会社 糟

政府は1日の閣議で、地方自治体に情報保護を確保するための方策を示す基本方針の策定と公表を義務付ける地方自治法改正案を決定した。サイバー攻撃だけでなく委託先の管理や人的ミスといったリスクにも対応できるよう内容の底上げを目指す。法案は国と自治体の役割分担についても新たな項目を設ける。新しい章を追加し、特例としての国の指示権を盛り込む。大規模な災害や感染症のようなときには個別の法律に規定がなくても国

法務省は2024年3月1日、同日午前から本籍地以外の市区町村で戸籍証明書を交付しづらい状態になっていると発表した。同省が同日に本格運用を始めた戸籍情報連携システムにアクセスが集中しており、「原因の調査と対応を検討中」という。 自治体の戸籍業務を巡っては、同日に改正戸籍法が施行され、戸籍証明書などの「広域交付制度」が新設された。同制度は、本籍地が離れた場所にあっても最寄りの市区町村の窓口で戸籍証明書などを請求し、交付を受けられるようにする制度だ。戸籍情報連携システムは広域交付制度の運用に際し、各市区町村の戸籍情報を連携する役割を担う。 ところが戸籍情報連携システムの本格運用を開始した同日午前から、想定を上回るアクセスがサーバーに集中し、市区町村からの接続が不安定になった。法務省は「アクセスのタイミングや、処理に時間がかかる検索をする場合に利用できなくなることがある」と説明している。

コミュニティ課において、記念講演会に申込をされた方へ、申込完了したことをお知らせするメールを一斉送信する際に、「BCC」で送信すべきところを、誤って「CC」で送信したため、個人のメールアドレスを流出させる事案が発生しました。 関係者の皆様には多大なご迷惑をおかけすることとなりましたことを深くお詫び申し上げます。 今後、同様の事案が発生することのないよう、速やかに再発防止を講じます。

画像：仙台市より引用 宮城県仙台市は2024年2月15日、仙台市が内閣府NPOポータルサイトに掲載した文書に不備があり、本来国が除くべきとしている住所について、市内のNPO法人関係者85名の情報が公開状態にあったと明らかにしました。 仙台市によると、内閣府NPOポータルサイトでは過去、別の自治体により文書の誤掲載がありました。これを受け、内閣府が2024年12月28日に誤掲載に関する注意喚起を発し、仙台市が掲載した資料を調査したところ、17件の掲載文書においてマスキングミスがあり、関係者85名の住所が記載されている事実が判明しました。 仙台市は誤掲載判明後、対象となる文書を取り下げ、修正した文書を掲載しました。市ではポータルサイト掲載の事務処理をマニュアル化していましたが、法改正に伴う個人情報の取扱いに関する記載が不十分であったと発表。今後は事務処理マニュアルを整備し、再発防止に努めるとし

特定非営利活動促進法に基づき、市内にのみ事務所のある特定非営利活動法人（NPO法人）は所轄庁である本市に対し、事業報告書などを提出することとされています。また、法の努力義務規定に基づき、本市ではこれらの文書をNPO法人ポータルサイト※へ掲載することにより公表しています。 ポータルサイトへの掲載に当たり、文書に記載されている個人情報のうち、国により除くべき情報とされている住所について、閲覧できる状態で掲載していたことが判明しました。 関係者の皆さまに深くお詫びいたしますとともに、今後同様の事案が発生しないよう、再発防止に取り組んでまいります。 ※NPO法人ポータルサイト　内閣府が運営する、NPO法人の情報を提供するホームページ 1　概要 ポータルサイトへの掲載に当たっては、内閣府の通知に基づき、文書に記載されている氏名、住所等の個人情報のうち、住所は除いて掲載することとされており、本市におい

【読売新聞】　鹿児島県霧島市の国分生協病院は４日、患者の診療画像を管理するサーバーが、身代金要求型ウイルス（ランサムウェア）によるサイバー攻撃を受けたと発表した。救急と外来の受け入れを制限している。 同病院の発表によると、２月２７日