DDoS攻撃でAWS請求が200万円に！S3・CloudFrontで絶対やるべきコスト爆発防止策 6選 - Qiita
はじめに こんばんは、mirukyです。 ある日突然、AWSから $15,000（約200万円）の請求書 が届いたらどうしますか？ 2026年3月、海外でまさにこの事態が発生しました。個人開発者のS3バケットがDDoS攻撃を受け、3日間で160TBのデータ転送が発生。結果として約200万円の請求が来たのです。AWS側に減額を申し出て一部減額は受けたものの、それでも到底払えない金額が残りました。 怖いのは、この事態は誰にでも起こりうるということです。S3バケットをパブリックに公開している、あるいはCloudFrontの背後に適切な保護を設定していない——それだけで、あなたのAWSアカウントも同じリスクを抱えています。 本記事では、AWS公式ドキュメントと料金体系に基づき、S3/CloudFrontのコスト爆発を防ぐための具体的な防止策をコンパクトにまとめます。 目次 なぜS3のデータ転送で2
【こわい】Google APIキーの脆弱性により13時間で約900万円請求される事案が発生！ Firebase×Geminiで今すぐやるべきセキュリティ対策 - Qiita
同様の被害は他にも報告されており、13,428USD、82,000USDといった請求がそれぞれ別のユーザーから寄せられています（調べると結構出てきます）。 下の方のredditでは、このままでは倒産してしまう、というかなり悲痛な声があります。82000USDは約1200万円なので、当然でしょう、、。普通にサイバー犯罪の被害者なので、FBIにも相談したみたいです。 本題に戻ると、予算アラートが間に合わなかったのは、Google Cloudの請求システムに構造的な遅延があるためです。公式ドキュメントには最大10分程度と記載されていますが、実際には 数時間遅れ で発火するケースも報告されています。アラートだけでは、この種の攻撃に対して本質的に無力です（これはGCPに限った話ではありません）。 実はこの問題は、2025年11月にセキュリティ企業Truffle Securityが Googleの脆弱
「子供のマイナカードむずすぎ」問題 成長で顔認証も通らない？
ITmedia NEWSにおける1週間の記事アクセス数を集計し、上位10記事を紹介する「ITmedia NEWS Weekly Top10」。今回は2026年03月28日から04月03日までの7日間について集計し、まとめた。 コラム筆者・小寺さんの息子さんは、大学進学に伴う一人暮らしに向け、マイナンバーカードを使って転出手続きをしようとしたが、子供用のマイナには「署名用電子証明書」が存在しなかったため失敗。結局、紙で手続きせざるを得なかった、という話だ。 息子さんのマイナカードは14歳時に取得。15歳未満には、希望しない限り、「署名用電子証明書」が発行されず、それを知らなかったため、転出手続きなどができなかったという。 また、お子さんのマイナカードで「JPKI暗証番号リセットアプリ」を使うために顔認証をしようとしたら、14歳当時と大学生現在で顔が変わっているため、3回連続認証できず、ロック
npm audit の限界と本当に必要なセキュリティ対策【2026年版】
この表示を見て安心していないでしょうか。 残念ながら、npm audit が検出できるのはサプライチェーン攻撃のごく一部です。2025年9月にはchalkやdebugなど18パッケージ（合計週間20億ダウンロード超）が侵害され、同年11月にはShai-Hulud 2.0と呼ばれる自己増殖型ワームが796パッケージに感染しました。いずれも npm audit では検出できない類の攻撃です。 この記事では、npm auditが「何をチェックして、何をチェックしていないのか」を明確にし、2026年の開発現場で本当に必要なセキュリティ対策を具体的な設定ファイル付きで解説します。 npm audit の仕組みと限界 npm audit が実際にやっていること npm auditは、依存ツリーのパッケージバージョンをGitHub Advisory Databaseと照合し、登録済みCVEと一致するバー
OpenClawの何が特別なのか？
ここ数日、OpenClawの名前をよく見かけたと思います。開発者がOpenAIに参加したニュースもあり、タイムラインで話題になっていました。 OpenClaw — Personal AI AssistantOpenClaw — The AI that actually does things. Your personal assistant on any platform.jonahships_OpenClawはオープンソースの自律型AIエージェントで、LLMに自分のPCの強い権限を渡してAgent Skillsの仕組みで自動操縦します。いわば、Devinのような自律型アシスタントを個人が安価にセルフホストできるようになったものです。Claude Code（非OSS）やCodex CLIといったコーディングエージェントより一段上のレイヤーにあたります。Claude Codeでも同等のことは
【優勝🥇】防衛省サイバーコンテストをAIで攻略した話 - Qiita
本記事は、筆者がAIとの対話形式で思考整理を行い、その内容を基に構成しています。いわゆるAI記事です。記載内容は公開情報の範囲内に基づいており、言及されているコンテストでのAIの使用は主催者の定めるルールに従っています。 はじめに はじめまして、セキュリティエンジニアのSatoki (@satoki00) です。普段はWeb脆弱性診断をやりつつ、株式会社Ikotas Labsという会社で代表をやっています。趣味はCTFと呼ばれるセキュリティコンテストで、所属チームでは主にWeb・Misc・AIのジャンルを担当しています。 先日、防衛省サイバーコンテストに、チーム名 株式会社Ikotas_Labs として出場し、圧倒的な速度で優勝しました。これはコンテスト用に構築したAIエージェントを投入し、Flag提出までを完全自動化した結果です。 本記事では、なぜAIエージェントで挑んだのか、どう設計し
あなたの拾ってきた野良（マーケット）Skills、セキュリティトラブルを発生させていませんか？
「〇〇さんが紹介していたSkill、便利そうだから使ってみよう」 そんな軽い気持ちで野良Skillsを導入していませんか？〇〇さんが導入したときは、問題なかったかもしれませんが、あなたが導入しようとしたときも安全とは限りませんよ？ はじめに Claude CodeやCodexをはじめ、Skills（エージェント拡張）を共有・配布するマーケットが急速に注目されています。便利なワークフローをすぐに取り込める一方で、Skillsは「設定ファイル」ではなく「実行可能な拡張」である点を忘れてはいけません。 結論から言えば、中身を自分で理解・評価できないのであれば、AnthropicまたはOpenAIの公式マーケット以外は推奨できません。 Anthropic（Claude Skills）：https://github.com/anthropics/skills OpenAI（Codex Skills）
LINEグループ作成を要求されるCEO詐欺メールについてまとめてみた - piyolog
2025年12月半ばより、組織の代表者からの業務連絡を装った不審なメールに対する注意喚起が、日本全国で多数行われています。これらは「CEO詐欺」とも呼ばれる手口で、不審な連絡に応じてしまった場合、第三者名義の口座へ金銭を振り込ませるよう誘導されるおそれがあります。ここでは関連する情報をまとめます。 昨年末から相次ぐ不審メールの注意喚起 2025年12月以降に多数の組織から注意が呼びかけられている不審なメールは、社長などの組織代表者を差出人名や件名にして送られてくるものが多く、その特徴からCEO詐欺とも呼称されている。最初に届く不審メールは業務連絡に偽装した内容で本文が書かれており、とりわけLINEグループの作成とそのグループへの参加するためのQRコードの送付を要求するケースが多い。 要求に応じて送信者とやり取りを続けた結果、「至急対応が必要」などとして第三者名義の口座への送金を指示され、こ
Pwning Claude Code in 8 Different Ways
Pwning Claude Code in 8 Different Ways Posted on January 12, 2026 • 9 minutes • 1863 words Table of contents Introduction TL;DR Claude Code’s Permission Model 1-3: Failing to Filter Dangerous Arguments 4: Git’s Ambiguous Command Arguments 5: sed’s e Command to Execute Arbitrary Commands 6-7: Different Interpretations of Command Arguments 8: Bash Variable Expansion Chain to Arbitrary Command Execut
React Server Componentsの脆弱性 CVE-2025-55182（React2Shell）についてまとめてみた。 - piyolog
2025年12月3日、JavaScriptライブラリ Reactを開発するThe React Teamは、React Server Componentsに深刻な脆弱性が確認されたとして脆弱性情報を公開し、修正版への更新を案内しました。ここでは関連する情報をまとめます。 どんな脆弱性が確認されたの？ React Server Function のFlightプロトコルにおいて、信頼できないデータのデシリアライズに関する脆弱性 が確認された。この脆弱性は認証不要でリモートから悪用が可能であり、リモートコード実行（RCE） に至る恐れがある。深刻度は 緊急（CVSS 基本値 10.0） と評価されており、開発元は利用者に対して速やかな対応を呼びかけている。 React はエンタープライズ環境を含む幅広いシステムで採用されており、日本国内でも React を用いたシステムを公開しているホストが多数
Next.jsの脆弱性を数日放置したら暗号通貨マイナーを仕込まれた話 - Qiita
やったら動作が遅いなと思ったら、いつの間にか CPU 使用率が100%に。 これはもしや...と思ったら、まさにでした。 PM2にログが残っていたのが救い。 後は、Claude Code におまかせしました。 以下、備忘録： はじめに 2025年12月、運用していた複数のNext.jsアプリケーションがサイバー攻撃を受け、暗号通貨マイナーを仕込まれました。CVE-2025-55182が公開されてから2日後のことでした。 Note: この記事はインシデント調査レポートを基に、Claude Codeが執筆しました。 TL;DR CVE-2025-55182公開から2日後に攻撃を受けた Next.js 15.x / 16.x のServer Actions脆弱性でRCE（リモートコード実行）された 暗号通貨マイナー（Monero）と複数のバックドアを仕込まれた サーバー内部の認証情報が漏洩した可
「公共Wi-Fiを避ける」「QRコードをスキャンしない」「公共のUSBポートでデバイスを充電しない」「パスワードを定期的に変更する」など時代遅れのセキュリティアドバイスを止めろと専門家グループが声を上げる
現役の情報セキュリティ責任者やセキュリティ専門家などで構成されるグループが、国民・企業・ジャーナリスト・政策立案者に向けて、インターネット上や公共のコラムなどで依然として広く流布されている誤ったセキュリティアドバイスである「ハックロア」を止めるよう求めています。 The Letter — Stop Hacklore! https://www.hacklore.org/letter 専門家グループはハックロアとして、以下の6つを挙げています。 1：公共Wi-Fiを避ける 公共Wi-Fiを介した大規模なセキュリティ侵害は、記事作成時点では極めてまれです。最新の製品は、オープンネットワーク上でもトラフィックを保護できる暗号化技術を採用しており、OSやブラウザは信頼できない接続についてユーザーに警告を表示するようになりました。個人用VPNサービスは、ほとんどの人にとってセキュリティやプライバシーの
GoogleによるAIを用いた大量バグ報告にFFmpegが「ボランティアに仕事を押し付けている」「検出＆報告の実績を作りたいだけ」と苦言
GoogleはAIを用いてセキュリティの脆弱(ぜいじゃく)性を見つけるシステム「Big Sleep」の運用で、これまでに様々な脆弱性やバグを見つけてきました。しかし、多くの報告が送られてくることから、オープンソースプロジェクトでは大きな負担となっています。有能な開発者が「他の作業ができない」として離脱する事態も発生していることから、マルチメディアフレームワークのFFmpegが「高給取りのエンジニアを抱える企業がボランティアに仕事を押し付けている」「本当にリスクを防ぎたいならGoogleがパッチを書いて送ってくるべき」「本気でバグをつぶしたいわけではなく検出＆報告の実績を作りたいだけ」と苦言を呈しています。 FFmpeg to Google: Fund Us or Stop Sending Bugs - The New Stack https://thenewstack.io/ffmpeg-
アメリカ商務省によるTP-Link製ルーターの販売禁止提案を複数政府機関が支持
アメリカ商務省がTP-Link製の家庭用ルーターを使用することについてリスク評価を行い、国家安全保障上の理由から、販売禁止が妥当であると結論付けたことがわかりました。この販売禁止案は、6以上の連邦省庁が支持しているとのことです。 U.S. agencies back banning TP-Link home routers on security grounds - The Washington Post https://www.washingtonpost.com/technology/2025/10/30/tp-link-proposed-ban-commerce-department/ US government is getting closer to banning TP-Link routers https://www.engadget.com/cybersecurity/us
スクレイピング・自動化対策について
はじめに 昔からサービスの運営者を困らせてきたものはいくつかあると思いますが、 特に代表的なのが “自動化による悪用” です。 スクレイピングによる無断データ収集や、予約システムを狙ったボット、さらには不正ログインを試みる自動化ツールなど、その形は時代とともに多様化してきました。 X (旧Twitter) には、今でも詐欺DMを送るボットが多いです。(自分は毎日来ます。) また、大阪万博の予約を勝ち取るために、サーバーに過度の負荷をかける形で自動化が悪用された事例もあります。 そして、最近はAIを利用した巧妙なものも増えています。 この記事を読んで、そのような事態に対処できるように知識が少しでも増えれば良いな、と思っています。 ぜひ少しでも役に立てば、いいね・他SNSへの共有など、よろしくお願いします！！ 実例 2025年現在、大阪万博なる物が開催されており、DX化の一環として予約をウェブ
国内証券口座のっとりによる不正取引についてまとめてみた - piyolog
2025年に入ってから日本の証券口座を狙ったインターネット取引サービスに対する不正アクセスや不正取引が急増しているとして、金融庁や日本証券協会は利用者に注意を呼び掛けています。ここでは関連する情報をまとめます。 2024年末から被害急増 国内の複数の証券会社で不正取引の被害が相次いでいる。これは、何者かが証券会社のインターネット取引サービスに不正アクセスし、顧客の資産を勝手に売却したり株式を購入したりするもの。 2025年3月に入ると、SNS上で楽天証券の被害に関する投稿 *1が話題となり、同社も不審なメールへの注意を呼びかけたうえで、3月23日からリスクベース認証を導入した。*2 楽天証券は、この不正取引について2024年末からフィッシング詐欺の増加や被害が確認されていたことを明らかにしている。*3 SBI証券でも同年3月、中国株を利用した不正取引が確認されており、件数は楽天証券より少な
Nx の攻撃から学べること #s1ngularity | blog.jxck.io
Intro Nx リポジトリが攻撃を受け、広範囲にわたるインシデントが発生した。 今回の事例は、GitHub Actions を中心に複数のステップが組み合わさった攻撃であり、過去に何度も発生してきた攻撃と本質的には変わらない。 しかし、途中で AI が何度か登場するため「AI が書いたコードをマージしたから」などといった表面的な反応もあるが、実態はそこまで単純な話でもない。 また、「自分のプロジェクトは Nx を使っていないから関係ない」とも言えない攻撃であるため、特にフロントエンドエンジニアは全員注意と確認が必要となる。 この攻撃が何だったのか、そこから学べることは何なのか、解説する。 Nx Incident 今回のインシデントについては、既に公式の Advisory が出ている。ニュース系の記事も多々あるが、一次情報は以下となる。 Malicious versions of Nx a
Nxからnpmトークンを窃取した攻撃手法を実験してみる - プププなテクブ
2025年8月26日、JavaScriptエコシステムで最も広く使用されているビルドツールの一つであるNxにおいて、複数の悪意のあるバージョンが攻撃者によって公開されてしまったことが話題になった。 socket.dev github.com 攻撃の概要 簡単に説明すると、 攻撃者が悪意のあるコードを含むNxライブラリを作成 Nx公式のnpmトークンを盗む 攻撃者がNx公式になり代わり、あたかも公式リリースかのように悪意のあるコードを含む最新バージョンを公開 利用者が最新版をダウンロードすることで、悪意のあるコードが実行される という感じだ。攻撃の影響や詳しい流れは本記事の守備範囲外のため、NotebookLMに簡潔にまとめてもらった内容を記載する。 1. GitHub Actionsワークフローの脆弱性悪用 攻撃者は pull_request_target トリガーを持つワークフローのBa
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - KeygraphHQ/shannon: Fully autonomous AI hacker to find actual exploits in your web apps. Shannon has achieved a 96.15% success rate on the hint-free, source-aware XBOW Benchmark.
ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（ランサムウェア攻撃によるシステム障害関連・第 13 報）(570KB) | アスクル株式会社
