Security Tips VOL. 02
今週のセキュリティの
お知らせ
いつものソフトを更新する、GitHubで制作する、イベントへ申し込む。
今週は、信頼している場所に紛れ込んだ3つの事例です。
- Windows
公表
AOMEI Backupper・AnyViewerを使う事業者へ
正規ソフトの更新でも、
過去の侵入が残る場合があります。
バックアップソフト「AOMEI Backupper」などの更新設定が、4月から7月にかけて数分ずつ改ざんされました。その時間に更新を確認したWindowsへ、不正なファイルを自動で取り込み、遠隔操作につながる仕組みが配られました。
確認されていること調査側は複数の顧客環境で活動を確認し、影響を受けた組織が複数国にあったとしています。AOMEIは7月29日までに配布サーバーの対策を行ったと回答。個別の被害件数や金銭被害は公表されていません。
- Mac
- Windows
- Linux
公表
GitHubでAIアプリ・Web制作をする方へ
「セキュリティ監査」という名前でも、
中身を見ずに実行しない。
侵害されたGitHubアカウントから、多数のリポジトリへ「security-audit.yml」という処理が追加されました。名前とは違い、GitHub Actionsの秘密情報や、過去の履歴に残るAWS・OpenAI・Anthropicなどの認証キーを探して外部へ送る仕組みでした。
確認されていること10月7日以降、500超のGitHubアカウントから数万のリポジトリへ追加されたと調査側が確認。一部で処理の成功も確認されています。一方、この攻撃による不正なPyPI・crates.io版の公開は、公表時点で確認されていません。
- Mac
- Windows
- スマートフォン
公表
イベント案内・QRコードを仕事で受け取る方へ
実在するイベントでも、
申込先まで本物とは限りません。
実在するイベント情報や団体名を使った招待メールとポスターが確認されました。表示はGoogleフォームに見えても、リンク先や差し替えられたQRコードから偽のGoogleログインへ誘導し、パスワードや追加認証を受け取る仕組みです。
確認されていること2026年半ばに台湾の研究機関関係者を狙ったメールをCisco Talosが観測し、3つの送信者を関係団体が確認できなかったと報告しています。攻撃ページの機能は確認済みですが、被害人数や実際のアカウント侵害件数は公表されていません。
2026年10月18日確認。直近10日間に公表された調査から選んでいます。
状況は変わるため、対応時は出典の最新情報もご確認ください。