SBI証券のFXで“誤ロスカット"

再委託先IIJが作業ミス、システムでも検知できず 779口座が対象 (10/14)

大手で起きた事故。犯人捜しで終わらせず、さらにかみ砕いた原因分析や解決方向性について、Geminiに訊いてみた。以下 Geminiの弁。

ご提示いただいた記事の事例において、IIJ（インターネットイニシアティブ）の担当者が「人に頼って手動で処理を行っていた（あるいは行う必要があった）」背景には、金融システムのバッチ処理やデータ連携における定常的な運用管理・例外対応の仕組みが関係しています。

統制目的としての確認・承認という側面もありつつ、システム的な制約や実務上の都合が大きく影響しています。主な理由は以下の通りです。

1. 定期データの遅延・例外発生時の「手動リカバリ（例外対応）」

今回のトラブルは、本来なら土曜日（10月10日）の未明に届くはずの「代用有価証券情報ファイル」が、予定より遅れて届いたことが発端でした。

本来、定時・自動で流れるはずのデータが遅れたり、形式やタイミングがズレたりした場合、システムがそのまま自動で正しく取り込めないケースが多くあります。そのため、運用担当者が「ファイルが遅れて到着した」「これをシステムに手動で取り込ませる必要がある」という例外的な判断と手動の再処理を行う運用になっていました。

2. データ連携の自動化における「人による判断」の限界

システムのデータ連携やバッチ処理は完全自動化されているのが理想ですが、外部から送られてくるファイルや、休日を挟むスケジュール（今回は10月10日土曜日）の処理などでは、以下のような理由であえて「人の手による確認・キック（指示）」を挟んでいるケースがよくあります。

• スケジュールの変則性: 休日や祝日、臨時のメンテナンスなどが絡むと、システムの自動判定だけでは「この遅延は待つべきか、エラーとして処理すべきか」の判断が難しいため、担当者が状況を目視・判断して処理を指示する設計にしている。
  
  
• 安全弁としてのオペレーター: 自動処理で一気にデータを流すと、万が一異常なファイルだった場合に大規模な障害へ直結するリスクがあるため、重要なステップで人間が介在（あるいは確認）する運用フローをあえて残している場合があります。
  
  

3. 今回のケースにおける「致命的な矛盾」

ただし、今回の事例で問題視されているのは、「人に頼っていた（手動処理だった）にもかかわらず、肝心の運用管理やシステム設計に不備があった」という点です。

• 担当者の勘違い: 担当者が「別の処理」と勘違いしてファイルを取り込ませる再処理を飛ばしてしまった。
  
  
• システム側の設計不備: 必要なファイルが揃っていない（欠損している）状態であるにもかかわらず、システムがそれを検知できず、次の後続処理をそのまま実行してしまった。
  
  

本来、「人が確認・介入するプロセス」は、システムのエラーや異常を防ぐための防波堤（チェック機能）として機能するはずです。しかし、今回のケースでは担当者の誤認を防げず、さらにシステム側も自動でそれを弾く仕組みになっていなかったため、結果として大元のデータが反映されないまま誤ロスカットへと繋がってしまいました。

したがって、人に頼っていた理由は「イレギュラーなデータ遅延などの例外処理を、状況に合わせて手動で正しくコントロールするため（運用上の例外対応）」でしたが、それが人為的ミスとシステム側のチェック機能の欠落によって裏目に出てしまった形と言えます。

Androidに四半期に一度の大規模セキュリティ更新

～致命的なもの多数、悪用の兆候も - 窓の杜 (06/03) 

『メーカーからパッチが提供され次第、速やかに適用を

今月は四半期に一度（3月、6月、9月、12月）の大規模アップデートで、深刻度が4段階中最高の「Critical」が18件含まれる。また、深刻度の評価は「High」にとどまるものの、 限定的な標的型攻撃で悪用されている兆候がある脆弱性（CVE-2025-48595） も対処された。』

今更というか、しっかり追えてなかった。

CVE-2025-48595 (NIST 06/02)

『 ADP:  CISA-ADP

Base Score:8.4 HIGH』

KEVカタログにも掲載あり。 (CISA 06/02)

『Android Framework contains an integer overflow vulnerability that allows for code execution that could allow for local privilege escalation.』

Androidアプリのセキュア設計・セキュアコーディングガイド — Androidアプリのセキュア設計・セキュアコーディングガイド 2026-09-16 ドキュメント (09/16)

一般社団法人日本スマートフォンセキュリティ協会（JSSEC）という組織があるのですね。

FortiBleed

》 FortiBleed: Default Credential Exploitation and Mass Fortinet Compromise 

(Cloud Security Alliance AI Safety Initiative, 6/20)。 DeepL AI 訳:

• 攻撃者は、脆弱性のあるデバイスから設定のバックアップファイルを体系的に抽出すると、保存されていたパスワードハッシュをオフラインで解読した。このプロセスが技術的に大規模に実行可能だったのは、多くのデバイスが、フォティネットが2025年後半に導入したより強力なPBKDF2アルゴリズムではなく、依然としてソルト付きSHA-256ハッシュとして認証情報を保存していたためである[3]。
  
  
  注、この事情をGeminiで深掘りししてみると・・・

記事に書かれている「FortiBleed」という大規模なサイバー攻撃の件において、SHA-256の名前が出ている理由は、SHA-256自体に欠陥（脆弱性）があったからではなく、製品の「使い方の古さ」が原因です。記事の背景にある技術的な理由をシンプルに整理すると、以下のようになります。

1. 「ソルト付きSHA-256」はパスワード保存にはもう不十分

SHA-256は今でも非常に強力なハッシュ関数ですが、計算速度が速すぎるという特徴があります。そのため、攻撃者が高性能なコンピューター（GPU）を使って、パスワードの候補を片っ端からハッシュ化して答え合わせをする「オフライン総当たり攻撃」を行うと、驚くほどのハイスピードで元のパスワードを割り出されてしまいます。現代のセキュリティ基準では、パスワードを保存する際は、わざと計算に時間がかかるように設計された「PBKDF2」や「bcrypt」「Argon2」といった、よりストレッチング（反復処理）が強力なアルゴリズムを使うことが推奨されています。

2. 何が問題だったのか？

今回のFortinet社の問題は、以下の通りです。

• 古い仕様のままだった：デバイス内のパスワード保存に、現代では不十分とされる「ソルト付きSHA-256」を使い続けていたこと。
• アップデートの限界：Fortinet社も2025年末に慌てて「PBKDF2」へ移行するアップデートを配信しましたが、システム管理者が「アップデート後に一度もログインしていないアカウント」や「バックアップファイル内」には古いSHA-256のハッシュがそのまま残ってしまっていたこと。

結論：SHA-256の信頼性は落ちていない

今回の件は「SHA-256が暗号として破られた（脆弱性が見つかった）」わけではなく、「パスワードの保存方法として、SHA-256のままでは（計算が速すぎて）防御力が足りない時代になった」 という、用途のミスマッチが原因です。データの改ざんチェック（ハッシュ値の比較）や、ブロックチェーンの仕組みなど、高速かつ一方向性が求められる分野において、SHA-256は現在も世界基準で最も安全な現役アルゴリズムです。どうぞ安心してください。

---------------

注、ではSHA-256の適切な使い分けとは　↓　Gemini解説

Webセキュリティの世界標準であるOWASPの「パスワード保存に関するチートシート」では、以下のように分類して開発者に強く注意を促しています。 [1]

• SHA-256などの「通常のハッシュ関数」：
• ファイルの改ざん検知（チェックサム）やデジタル署名のためのものであり、「パスワードのハッシュ化（保存）に使ってはならない」と明記されています。
• PBKDF2 / Argon2 / bcrypt などの「パスワード用ハッシュ関数」：
• パスワード保存にはこれらを必須（第一選択）として指定しています。
• さらに「PBKDF2を使う場合は、内部でSHA-256等を用い、反復回数（ストレッチング）を600,000回以上に設定すること」といった具体的な運用基準まで細かく記載されています。 [1, 2, 3, 4]

関連:

• CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure (CISA, 6/22 更新)。DeepL AI 訳:

1. セッションを終了し、認証情報をリセットしてください。 すべてのアクティブなSSL VPNセッションおよび管理セッションを終了してください。特にインターネットに公開されているシステムにおいて、すべてのフォーティネットVPNおよび管理用パスワードをリセットし、強力なパスワードポリシーを適用してください。
2. 認証情報の安全な保存を確保してください。 組織において、管理者認証情報の保存にパスワードベースの鍵導出関数 2（PBKDF2）アルゴリズムが使用されていることを確認し、フォーティネットのガイダンスに従って、セキュリティレベルの低い従来のハッシュ関数を削除してください（参照：フォーティネットのテクニカル・ヒント： FortiOS v7.2.11 以降における管理者アカウントのハッシュ関数として PBKDF2 を強制適用するを参照）。

• Technical Tip: Enforcing PBKDF2 as hash function for administrator accounts in FortiOS v7.2.11 and later (Fortinet Community, 2025.12.25)。DeepL AI 訳:

  注：

  下位互換性を確保するため、デフォルトでは、パスワード設定がPBKDF2ハッシュに更新された後も、以前のSHA256ハッシュは非表示の「old-password」設定に引き続き保存されます。「old-password」設定は、ファイアウォールにログインしている管理者には表示されませんが、super_adminが取得した設定バックアップでは確認することができます。

  (中略)

  old-password に保存されている SH2 ハッシュを完全に削除するには、システムパスワードポリシーで「login-lockout-upon-weaker-encryption」設定を有効にしてください。設定変更の確認を求める警告が表示されます。FortiOS v7.2.x および v7.4.x では、これに相当する設定は「login-lockout-upon-downgrade」です。

• Technical Tip: Add Two-Factor Authentication for FortiGate Administrators using FortiToken (Fortinet Community, 4/24 更新)

• Are Your Passwords in the Green? (Hive Systems)

  2025年版が掲載されている。

• FortiBleedの攻撃者、認証情報盗むためカスタムFortiGateスニッファを使用か (machinarecord.com, 6/23)

10/15 サイバーセキュリティ 3選

  Palo Alto Networks PAN-OS：CVE-2026-0322

• CISAが10月14日、実際の悪用を確認したKEVへ追加。
• Code Injection脆弱性です。 [cisa.gov]
• 各機関の発表比較

• CVE-2026-0322 (CVE)
  認証済みでネットワークアクセス可能な攻撃者が、firewall上でroot権限の任意コードを実行できる。
  CVSS Score 8.6, 8.5
• CVE-2026-0322 (Palo Alto Networks)
  PAN-OS Management Interfaceの認証済みRCE脆弱性（CWE-94 Code Injection）
• Injection / Execution の違いについて
  「CVE.org にある Code Injection は脆弱性の原因・弱点タイプをCWEで分類したもの。Executionは結果。」と捉えると腑に落ちやすい。
• 「管理IF到達性」＋「認証済み高権限」＋「Code Injection」 → 「root RCE」
  
  

Cisco Secure Email Gateway：CVE-2026-76519

• 同じく10月14日にCISA KEV入り。
• Relative Path Traversal脆弱性で、CISAは実悪用の証拠に基づいてKEVへ追加しています。 [cisa.gov]

• CVE-2026-76519 (CVE)
  『Advanced Malware Protection (AMP) 機能の脆弱性により、認証されていないリモートの攻撃者が、OS上に任意のファイルを記述できる可能性があります。 この脆弱性は、ファイルレピュテーションサービスが有効になっている際に、電子メールの添付ファイルを不適切に処理したことに起因しています。攻撃者は、影響を受けたデバイスを介して作成された添付ファイルを含むメールを送信することで、この脆弱性を悪用する可能性があります。成功した悪用により、攻撃者は任意のファイルを作成し、基盤となるオペレーティングシステムに対してroot権限でコマンドを実行できる可能性がある。』 機械翻訳から抜粋
  
  

AhsayCBS：CVE-2026-105133 / CVE-2026-105134

• 前者が Improper Authentication、後者が Command Injection。
• 両方とも10月14日にCISA KEVへ追加されています。 [cisa.gov]

• メモ
  
  AhsayCBS（Ahsay Cloud Backup Suite）は、香港のAhsay Systems社が提供するバックアップ管理サーバーソフトウェアです [1, 2] 
  MSP（マネージドサービスプロバイダー）やシステムインテグレーター、企業が、顧客や社内のデータを効率よくバックアップ・管理するために使用します。 [1, 2]

• 主な特徴と機能

• 多様なバックアップ対象: Microsoft 365、Google Workspace、VMware、Hyper-V、各種データベース（SQL Server、Oracle、MySQL等）、NAS、ファイルサーバーなどに対応しています。 
• 保存先の柔軟性: 自社サーバー（ローカルストレージ）、FTP/SFTPサーバーのほか、Amazon S3、Microsoft Azure、Google Cloud Storage、Wasabiなどのパブリッククラウドにデータを保存できます。 [1, 2, 3]
• セキュリティ: AES 256ビット暗号化や2要素認証（2FA）、改ざんを防ぐイミュータブル（変更不可）バックアップなどをサポートしています。 [1]
• 最近の重要なお知らせ（セキュリティ脆弱性）
• 2026年10月、AhsayCBSに関して認証バイパス（CVE-2026-105133）とOSコマンドインジェクション（CVE-2026-105134）の脆弱性を悪用したサイバー攻撃が確認されています。 [1, 2]
• 外部から管理コンソールにアクセスできる状態のサーバーが標的となっています。
• 対策として、アクセス制限（VPNや信頼できるIPアドレスのみに限定）の適用や、最新のパッチ・緊急ホットフィックスへのアップデートが強く推奨されています。 [1, 2, 3]

「ブックオフ」会員管理システムへの不正アクセスで最大643万件の会員情報漏えい

https://internet.watch.impress.co.jp/docs/news/2147026.html (10/09)

この記事を読んで気になったのは、運転免許証の情報の保管有無。

店頭買取時に運転免許証をスキャン（端末で読み取り）しただけの場合、

免許証の画像データは取得・保存されていないため、今回の不正アクセスによる免許証画像の漏洩対象には含まれていません

。 [1, 2] （ブックオフの公式発表およびQ&A）

以下、Geminiに私の疑問をぶつけてみた。

ブックオフの公表内容・仕組み

• 店頭買取時の処理： ブックオフの店頭買取では、運転免許証を機械（端末）に通して氏名・住所・生年月日などの「文字列情報」のみを読み取っており、顔写真や免許証番号、画像データそのものは記録に残さない仕組みになっています。 [1, 2]
• 公式Q&Aの案内： ブックオフのよくあるご質問（本人確認書類として提示した運転免許証をスキャンされた場合）によると、画像データは取得していないため漏洩の心配はないと案内されています。 [1]
• 今回の漏洩対象との違い： 今回の不正アクセスで漏洩の可能性があるとされているのは、子会社の会員管理システムに登録されていた「会員情報（氏名、生年月日、メールアドレス、電話番号、住所、会員番号など）」であり、店頭での買取手続きのみで会員登録をしていない場合のデータや免許証画像は対象外となっています。 [1, 2, 3]

この会社に限らず、あちこち個別に本人確認し、その情報が分散・偏在している現行の仕組みはどうでしょうね？　一定期間経過後（例、会計上求められる期間など）に削除を義務付けるとか、あるいはマイナンバーカードを提示した後に本人認証が正常完了した事だけを証明する仕組みがあれば良さそうだが。

技術的には「本人確認の結果だけを残すこと」が可能な一方で、一般の小売店舗や中小企業への広がりにはハードルが存在します。
①専用端末やシステム導入のコスト
②運用フローの変更コスト
③法制度と業法錠の縛り（業界による）

10/14 サイバーセキュリティ 3選

Ivanti Connect Secure：CVE-2026-104935

Ivantiのリモートアクセス製品「Ivanti Connect Secure（ICS）」に深刻な脆弱性が判明。

CISA KEVに 10/13追加。認証回避により、リモートの未認証攻撃者が任意コマンドを実行できる脆弱性で、CISAは既知の実悪用脆弱性として掲載しています。

Windows Shell：CVE-2026-96951

Windows Shellのコマンドインジェクション型脆弱性：

Windows Shellのプログラムに欠陥があり、特定の「特殊な文字（コマンド）」や「ファイル構造」がファイル名や内部データに含まれていると、Windowsがパニックを起こし、MOTW（Mark of the Web：ファイルの入手場所の目印）を無視、または消去した状態で処理を継続してしまいます。

Microsoft MSRCに該当CVEページが公開されており、QualysはCISA KEV収載済みの実悪用脆弱性として報告しています。

Microsoft October Patch Tuesday

10月のMicrosoftセキュリティ更新は非常に大規模。Qualys集計では 1,414件の脆弱性、うちCritical 78件、Important 1,329件を対象としています。

• 特に上記CVE-2026-96951が実悪用確認済みであるため、単純なCVSS順より KEV該当を優先して見る価値があります。

10/08 ダイジェスト、Citrix NetScaler CVE-2026-88771, 88772、FortiMail CVE-2026-104286

サイバーセキュリティニュース

① Citrix NetScalerゼロデイ攻撃継続

• CISAはNetScaler ADC/Gatewayの複数ゼロデイ（CVE-2026-88771、88772等）が実際に悪用されているとして警告。 [cisa.gov]
  
  
  すでにKEVカタログにも掲出されている。（CVE-2026-88771も88772も、9/27掲出、9/30迄に対応）
  
  
  『Citrix NetScalerアプライアンスのアップデートは複雑でダウンタイムが必要になる可能性があるため、CISAは組織がリスクを評価し、緩和の優先順位をつけ、これらの脆弱性をリスク管理活動に反映させるためにこのアラートを発行しています。
  
  
  悪用が成功した場合の潜在的な影響や、悪意のあるアクターがこれらの脆弱性の一部を悪用していることを踏まえ、CISAはユーザーと管理者に対し、Citrixの勧告をよく確認するよう促しています。可能であれば、パッチ適用前に侵害の兆候がないか確認することを推奨します。CitrixはNetScaler Consoleを通じて侵害の指標を公開し、最近の出版物"Security Bulletin for CVE-2026-88771からCVE-2026-88778"で組織が潜在的な侵害を評価できるよう追加ガイダンスを公開しています。組織が侵害を疑う場合、更新を適用する前にフォレンジックエビデンスを保存することが重要です。』とのこと（KEVカタログを機械翻訳しマイナーチェンジした）

② FortiMail重大ゼロデイ

• FortinetはFortiMailの認証不要の重大脆弱性（CVE-2026-104286）が攻撃に利用されていると公表。 ※非監査用＋一部CISA KEV掲載報道あり [cybersecur...hunter.com], [innovatecy...curity.com]
  
  
  すでにKEVカタログにも掲出されている。（CVE-2026-104286）
  
  
  『Fortinet FortiMail には、パストラバーサルと、NULLバイトまたはNULL文字脆弱性の不適切な中和が含まれており、認証されていない攻撃者が作成されたHTTPまたはHTTPSリクエストを通じて、基盤システム上で任意のファイルを記述できる可能性があります。
  
  
  関連するCWE: CWE-22 | CWE-158
  
  
      ランサムウェアキャンペーンで使用されていることは知られていますか? 不明
      BOD26-04 あたりの法医学的トリアージが必要:　はい
    
      日付追加: 2026-10-01
      期限: 2026年10月4日
  
  
  Action:対応:ベンダーの指示に従って緩和策を適用し、リスクに基づくセキュリティ更新の優先順位付け(郵便番号26-04)および「フォレンジック・トリアッジ要件」(注記のURLを参照)をCISAのBOD 26-04に確実に準拠させます。変更点がない場合は、クラウドサービスに関する対応可能なBOD 26-04のガイドラインに従うか、製品の使用を中止してください。ステークホルダーは、各資産のインターネットへの曝露を評価し、BOD 26-04パッチ適用ガイドラインの遵守を確実にする責任を負っています。』とのこと。（KEVカタログを機械翻訳し抜粋した）　

③ KillSecランサムウェア摘発

• 欧州・米国等の合同捜査でKillSec関連インフラを押収。約1,000件の攻撃が捜査対象。  [cybersecur...hunter.com]

情報源

• CISA Citrix Alert
• CISA Advisories