セキュリティ on 或る阿呆の記

インターネットはおしまいです？

Tue, 03 Nov 2026 00:00:00 +0900

なんだかこの一ヶ月くらいでセキュリティの世界は様変わりしたように思います。セキュリティというか、インターネットそのものについて、個人的には見え方が変わりました。

理由はもちろん激化するサイバー攻撃による被害の表面化です。特に大きかったのは、やはりお名前.comデスクトップクラウドのやらかしでしょうか。GMOとはいえ、大手IT系のVPSの基盤が乗っ取られたのは、一線を超えた感があります。

顧客に電ブチ要請した挙句に全国の顧客の端末を回収して回るとか、クラウドとオンプレの悪いところをハイブリッドしたような悪夢には失笑しかない。犯人に懸賞金をかけるなど、大公開時代のワンピースが現実に。全部ダークウェブに置いてきた！挙句謎はすべて解けたとばかりGMO自ら劇場型を買って出る始末。次は関係者全員集めて犯人はお前だってやるの？何がしたいんだあの会社。現実が面白すぎてもう漫画も小説も読めないぜ。

まぁちょっとGMOについては会社側の問題が大きいんじゃないのと思いつつ、そうは言ってもGMOが国内最大手であることは事実。GMOのVPSでFXの自動トレードをやる、と言えばAIも「素晴らしい考えです！」と太鼓判を押すでしょう。まさか「GMOのVPSが基盤から乗っ取られて資金蒸発のリスクがあります」とはこれ、絶対に言わなかったはず。もしそのリスクを少しでも真面目に考えるなら、やらない、以外の選択肢ってないんですよね。

現実的に絶対防御は不可能です。どこかで折り合いをつける必要はあります。取引所使う時点で、取引所がやられたらどうする問題があるし、今真面目にけっこう心配です。楽天とか楽天とか楽天とか……まぁ楽天証券メインじゃないですが…。SBI証券と楽天証券がやられたら本当に国内パニックじゃ済まないだろうなぁと思いますが、投資やってる人自体少数派なので案外見捨てられるんでしょうか(^_^;)さすがにそんなことは…。

でも取引所は仕方ありませんが、中間のVPSは、これはアーキテクチャとしては完全に不要な中間層です。この本質的に不要な中間層を有難がるばかりの15年でした。それがスマートだとされました。そのリスクは不可視化されました。インターネットは変わりました。

そうして変わったインターネットの前提が、最近崩れつつあるような感じがあります。クラウド使うのはなんだかんだいって突破されないと信じられるからで、責任共有モデルがあるからではないでしょう。あれはAmazonが用意したご説明なんですが、天才的だと思います。免責事項をさも顧客との約束事であるかのように言うのですからね。利用規約をベストプラクティスに変えた快挙。ははは。

まぁでもこんなことを言っておいてなんですが、個人的にはAWSが陥落というのはやっぱり想像しづらいです。もしあるとしてもずっと先のことだと思います。AWSの信用はそれなりにあると言っていいんじゃないでしょうか。

なんだかんだいってAWSは私にとって特別なサービスです。もうほぼほぼ使ってませんが（過去の残滓で毎月$0.02くらい取られてますが）未だにちょっと愛着あるんですよね。このサイトもかつてはAWSの話はそれなりにありましたし、私のXのアイコンを見れば私がAWSに愛着を持っていることもわかる。懐かしのダンボー。

というかこのアイコンでAWS批判するの我ながらどうかと思う。ダンボーのフィギュアは今もちゃんと家にあります…片足取れちゃってますけど。まぁもし今アカウントを作ったらプロフィールアイコンこれにしないと思いますが、10年前にはこれを選ぶくらいの気持ちはあったんですねぇ。

まぁAWSが落とされる日が来たら、それは本当にインターネットおしまいの日かもしれないですね。そうしたらどうしよう、アマチュア無線で発信するか。僕のもつ謎資格の一つアマチュア無線一級が火を吹く日が来るのか…？( ･`ω･´)

でもなんかもしかすると、そのほうが楽しいかもしれないなぁとか、そんなことも少し思います。ま、そうなってないからでしょうけれどね。でも少し、ちょっと心構えは変える必要があるなと思う今日この頃です。

<関連記事>

あわせて読みたい

インターネットをつくりたい

/make-internet-great-again/

あわせて読みたい

やらなくていいことばかりしている

/yaranakuteiikotobakarishiteiru/

AIの力を借りつつWordPressサイトをHugoに移行

Sun, 01 Nov 2026 00:00:00 +0900

久しぶりのセルフホストな記事。

このブログはまだWordPressなんですが、サブブログをWordPressからHugoに移行しました。理由は主に昨今のサイバー攻撃の激化のためです。WordPressが悪いというわけではないのですが、アタックサーフェスの大きさやPHPの特性を考えると、正直これからの時代厳しいように思われました。毎日のように「プラグインの更新してないぞ」「このIPアドレスから阿呆みたいなブルートフォースアタックきてるぞ」という通知がくるのも疲れましたし。

なので、昔に戻ってスタティックなコンテンツ配信に徹しよう、というような感じです。

WordPressからHugoへ

今回手始めに移行したのは、AIに記事を書かせている邪悪なサイトです。こんな感じに変わりました。

before

after

なんだかんだで移行まで3日くらいかな。正直AIなかったらしんどすぎて無理ってなったと思います。でも移行を決めたのはAIによるサイバー攻撃の激化のためなので、AIのおかげで言っていいのかどうかは微妙なところです。

ここからまた色々と手を加えつつ運用をして、課題を洗い出しながら、本ブログであるこのサイトの移行の準備を進めます。このサイトは14年続いているだけあって色々な歴史が不思議なHTMLタグとなって残っているため、すんなりとはいかないでしょう。AIにめっちゃ調査させながら進めていくことになるでしょうね。かなり時間がかかると思います。仕方無い。来月中にできるといいな。

全体の構成

さて、構成ですが、元々の構成は極めてシンプルでした。

graph TD
cf(Cloudflare)
wp(WordPressコンテナ)
cf --->|トンネル| wp

これが今回、ちょっと複雑になりました。というのも、私は自作の管理アプリケーションがあり、そこで記事の執筆などもしたいためです。こんな感じのアプリでやってます。

記事執筆と管理系のがずらずらと。ちなみにサイトトップの古のアクセスカウンタもこのアプリケーション上でウィジェットを作っています（アクセス解析自体はOSSのUmamiを使わせていただいております）。ウィジェットのみグローバルに公開して、内部のアプリケーションはLAN内限定です。

執筆機能は重要です。そもそもWordPressを使っていたのも、ぶっちゃけWYSIWYGで編集してその場で公開できなきゃいやだいという運用上の理由が大きかったです。デザインはどうでもよい。なので、Hugoに移行するとしてもエディタを用意できることはマストでした。このへんはAIのおかげでやれるようになったと言っていいでしょう。

ただこういうややこしいことをする以上、Hugo側の管理と衝突するために、アーキテクチャはどうしても考えるところが生じます。今回は以下の構成に行き着きました。

flowchart TD
subgraph Internet["インターネット"]
User["閲覧者ブラウザ"]
end
subgraph Cloudflare["Cloudflare Edge"]
CDN["Cloudflare DNS / CDN"]
CFTunnel["Cloudflare Tunnel Edge"]
end
subgraph Server["自宅・ホストサーバー（完全閉域）"]
subgraph Delivery["配信基盤 (Docker)"]
TunnelApp["cloudflared コンテナ"]
Caddy["Caddy Webサーバー (ポート開放なし)"]
StaticFiles["静的ファイル (HTML / CSS / 画像)"]
end
subgraph Management["執筆・ビルド基盤"]
Dashboard["Web管理画面 (Blog Dashboard)"]
Hugo["Hugo (静的サイト生成)"]
Source["Markdown記事"]
end
end
%% 閲覧フロー
User -->|HTTPS| CDN
CDN --> CFTunnel
CFTunnel -.->|アウトバウンド常時接続| TunnelApp
TunnelApp --> Caddy
Caddy -->|読み取り専用| StaticFiles
%% 執筆フロー
Dashboard -->|記事保存| Source
Dashboard -->|ビルド実行| Hugo
Source -.-> Hugo
Hugo -->|HTML出力| StaticFiles

Hugo環境はコンテナに隔離して、cloudflaredよりトンネル経由で外からアクセスする感じです。Cloudflare依存になってるやんと見えますが、まぁそうなんですが、別に使えなくなったらVPSからfrpなりなんなり使った構成に切り替えればいいだけなので、まぁいいかなと。さらに言えばサイト公開するマシンはそれ専用にする予定です（まだ徹底はできていない）。

そんで、記事の生成とかビルドの実行とかは、全部管理アプリケーション上でやる構成ですね。一言で言えば管理アプリケーションが正本となる構成です。Hugoリポジトリは中継地点ないしバックアップの役割になります。なのでCI/CDによるホスティングではないです。これによる制約はいくつかあります。主に運用上の制約は以下になるでしょうか。

管理アプリケーションとHugoのホスティング環境が同一のマシン上にあること（変えてもいいんだがややこしくなり思想から外れる）
普段は管理アプリケーションからHugoリポジトリのpush/pullを実行するが、Hugo側のデザイン変更時（特に記事データに特殊な記法を挿入する時）はローカルのHugoリポジトリでpushする、2つのワークフローが存在すること
CI/CDでブランチごとにホスティングしてステージング環境作るとかはできない（できないことはないが構成と運用がややこしくなり、設計思想から外れる）

この制約は受け入れることになります。

別の考え方としてリポジトリを正本とする考え方もあり、まぁそちらのほうがアーキテクチャは綺麗になると思うんですが、なんか無駄に複雑な運用になりそうだったのでやめました。どうせ運用者も僕だし。

再び個人サイト激動の時代に…

とまぁこんな感じでやっていて思ったんですが、AIで楽になったと言っていいんですかねぇ…。25年前は専門じゃなくてもやる気があれば頑張ってサイトを持つことができたと思うんですけれど、今はこれちょっとどうなんでしょう…。

トンネル技術とコンテナが揃った時には、個人サイトやセルフホストがまたやりやすい時代になった！と思ったのですけれど、サイバー攻撃がヤバいから守備を固めよう、WordPressはよくない、でも運用が不便になって更新しなくなったら元も子もないから利便性も高めよう、みたいなことを考え始めると、AIによる効率化以上に、トータルの難易度自体は上がり続けているような気がします…。

いやまぁ、僕がややこしくしているだけか。

これはまぁ結局、何をどこまで信じるか、という話です。少し前までだとVPSやクラウド基盤そのものを疑うのはキチガイ扱いだったかもしれないのですが、最近お名前.comデスクトップクラウドが基盤ごとやられて顧客の資産がハッカーの攻撃により消失し、さらにGMOが顧客の端末を回収するため物理的に全国を駆けずり回ったという事件は、クラウドは絶対安全ではないという当たり前の技術的な真実を曝け出しました。ま…それでAWSをはじめメガクラウドが陥落するかと言えば別にそういうわけではないですけれど、でもメガクラウドだから安全だ、は技術ではなく信仰でしょう。

結局個人サイトって自分の城です。城をどこにたてますか、どうなったらその城はぶち壊れますか、あなたはそれに納得できますかと、そういう話なんだと思います。絶対防御は無理なので、そのうえで何を賭けるのか。それを考え始めると、やりたいことに対して、本気でぶち壊そうとする勢力、さらにその被害が大きくなりすぎて、それが多分根本的な問題なのだと思います。

僕の構成がややこしくなっているのは、それだけ僕が納得するのに必要になってしまったということはあります。別にもっとシンプルな構成は可能です。元々のようにCloudflareトンネルでWordPressコンテナ直通でも良いといえばそうなので。ちゃんと更新し続けて、今回のPHP事件みたいなのがあったらキャッチアップして…ってやっても、基本は大丈夫でしょう。心配なら物理的にサイト専用のマシン作って切り離すくらいで、ほぼほぼ問題ないと言って思います（まぁそれも普通からするとややこしいわけですが…）。

まぁ結局どうしたいかは人それぞれということになるんですが、その構成に至る道筋や、またその構成における必要な運用はなにか、普通の人がそれを理解して辿り着くのが難しくなっているのかなぁと、そんな風に思いました。

<関連記事>

あわせて読みたい

AIによるサイバー攻撃時代の個人サイト・個人ブログのセキュリティ

/ai-cyber-attack/

あわせて読みたい

AIでソフトウェアの作成は楽になったが、結局最後は泥臭い

/aisoftware/

【GMO】お名前.comデスクトップクラウドで理不尽な資金蒸発がFX戦士を襲う

Sun, 25 Oct 2026 00:00:00 +0900

GMOにやらかされたFX民が同じFX民としてあまりにも可哀想。

2秒で失った400万円 GMO系サービスで「意図しないFX取引」（朝日新聞） - Yahoo!ニュース

わずか2秒ほどの間に400万円超の損失を出していた。その後も2分近く身に覚えのない取引が続き、損害は600万円を超えた。

同じサービスを使っていた愛知県内の女性会社員（29）は22日朝、いつものようにFX取引の状況を確認して「頭が真っ白になった」。

その日の午前5時前から短時間で意図していない大量の取引が繰り返されていた。口座残高は6768円しかなく、430万円余りの資金はほぼ底をついていた。

情報漏洩ってレベルじゃねぇぞ！ さすがにドン引きというか本当に可哀想過ぎる。しかもこの後の展開がゲームみたいになってる。

ただこの事件、金融系のFXとIT系のクラウド・VPSの事情両方をある程度知らないと、詳細がよくわからないニュースでもあります。このサイトに足を運ばれる方はIT民が多いのかと思いますが、私はIT民と同時にFX民でもあるので、軽くFX周りの解説も交えつつ所感を書いていきます。

何が起きた？ってかFXって何？なんでお名前.comが出てくるの？

事件の概要

何が起きたかというと、お名前.comデスクトップクラウドなるサービスが侵入を受けたようです。このサービスは、ITmediaの記事を引用しますと

お名前.com デスクトップクラウドは、FXの自動売買ソフト（「MetaTrader 4」「MetaTrader 5」など）を、自宅のPCを使わずにクラウド上のサーバで24時間動かし続けるためのサービス

— 「お名前.com デスクトップクラウド」不正プログラム設置で全プラン停止 FX用VPS、2万6739サーバに影響か - ITmedia NEWS

というものです。で、このFXの自動売買ソフトをクラウド上のサーバで動かすGMOのサービスがあって、今回それが侵入を受けて、盛大にやらかして冒頭の悲劇が起きた、という感じです。

そもそもFXとは？

うちのサイトの場合VPS云々は何かわかるがFX正味知らんという人が多そうなので、こちらのを少し詳しめに説明します。

ネットでは昔から失敗した人間の断末魔などが面白おかしく取り上げられ、また昨今FX戦士くるみちゃんのアニメ化という狂気もあって、FXはやべーやつの印象かもしれませんが、なんのことはなくて一言で言えば為替取引です。が、レバレッジかけてやるのが特徴ですね。1万ドル単位で売買するのが普通です。

1万ドルって1ドル150円だと150万円ですので、それが1単位って貴族の遊びか？って感じですが、ここに25倍のレバレッジをかけると、6万円で1万ドル売買できたりします。ここでドル円が151円になると、150万円が151万円になるので1万円の儲けになります。6万円が7万円になります。夢がある。そしてもちろん1円下がれば、1万円の損になります。6万円が5万円になります。しにます。さらに5円下がったら？0円です。飛びます。10円下がったら？-4万円ですこんにちは借金。

まぁそれはFX戦士の世界観で、実際はセーフティネットはあるし、そもそもそんな丁半どっちみたいなことをすることはなく、1倍や2倍くらいのゆるーい倍率で長くまったりやっている人もけっこういます。僕もだいたい3-5倍くらいかなぁ。目論見外すと8倍くらいになって焦ることもあるって感じ。まぁコロナショックの時などの急激な変動ではロスカが見えてきて泡吹いていたこともありましたが…知人はあんとき300万くらいロスカされたって言ってたな(；´Д｀)

なんでお名前.comが出てくるのか

さてここまでいくと、完全に金融投資のコンテクストで、なんでVPSだのデスクトップクラウドなんだのが出てくるのかですが、ソフトウェアを使って自動トレードするユーザとそのサービスがターゲットになっているから、ですね。

基本的に取引所経由でやることになるんですけれど、仮想通貨の取引所と違ってAPI環境があることは稀で、自動トレードやろうと思ったら記事に出たMT4/MT5みたいな専用ソフトウェアかつそれに対応した取引所を使う必要があります。

一応専用の環境を用意せずとも、ループイフダンとかトライオートとか、システムトレードができることをウリにした取引所はあるんですが、手数料やスプレッド（実質手数料と思え）が高いし融通のきかないシンプルなロジックしか組めないので、本格的に自動トレードやりたいぞってなるとどうしてもそうなってしまうんですね。

といっても私はMT4/MT5は使っていないので詳細な操作や手数料の体系なんかは知りませんけれど、常駐させて対応取引所と自動トレードし続けるソフトウェア、ということは言えるでしょう。で、そのためのインフラ基盤としてGMOの出しているお名前.comデスクトップクラウドが一つ定番だったのかな。ちょっと業界の定番までは知りませんが、記事にはみんな使っていたから安心だと思った的な感じで書かれてましたね。

まぁ確かに市井のFX民にとって自動トレードは長らくハードル高めだったと思いますので、GMOがそのニーズを拾い上げた感じでしょうか、色々な意味でGMO感あります。

核心：なぜ被害が広がったのか？

で、最初に返りまして、今回やらかしたのはこのGMOの基盤部分、ということになります。ここまでの説明のとおりソフトウェアを置いているだけなので、直接のやりとりはここから複数の取引所それぞれ、となります。もちろん連携が取れているわけではありません。

ここがポイントの一つです。GMOは取引所そのものではなく、取引所に注文をするソフトウェアを置いているサーバをユーザに提供している、というポジションです。

つまり、GMOがやらかしたことなど取引所は知ったことでないので、取引は続行されます。

これを絵にするとこうなります。この絵がこの記事のすべてです。

flowchart TB
U["FX利用者資金・取引口座を保有"]
A["攻撃者"]
subgraph VPS["GMOのサービス領域"]
direction TB
G["GMOVPS・実行環境の提供"]
M["自動売買ソフトMT4 / MT5"]
G -->|"実行環境を提供"| M
end
B["FX業者注文の受付・執行"]
U -.->|"取引設定・認証情報"| M
M -->|"売買注文"| B
B -->|"約定・損益"| U
A -.->|"不正侵入"| VPS
style VPS fill:#E8F1FF,stroke:#477BC0,stroke-width:2px,color:#222
style B fill:#E5F5E8,stroke:#39804A,stroke-width:2px,color:#222
style U fill:#FFF0E6,stroke:#C66B32,color:#222
style A fill:#FFE8E8,stroke:#C44,color:#222
style G fill:#FFFFFF,stroke:#477BC0,color:#222
style M fill:#FFFFFF,stroke:#477BC0,color:#222

ユーザ、GMO、各事業者がそれぞれ疎結合になっているのがシステムとして見た時のポイントになります。

なので、犯人にGMO部分を乗っ取られた場合、取れる手段はユーザ-FX事業者部分の対応になります。GMO自身は直接は何もできないんです。それでGMOはFX事業者に注文通すラインそのものを切断してくれという連絡をしているわけです。

……応急措置ですが。乗っられた時点で厳しい。犯人が既にセッション確立している場合、ユーザアクションのログオフで全セッション切断できるのかも事業者次第だろうし。まぁ実際、その後も破壊活動が止まってないようですし。

とはいえやるべきことであるのは確かです。GMOのやるべきことは全顧客にあらゆる手段でユーザに直接連絡して対応をお願いすることだと思いますけどね。実際はその真逆ですが。実は21日水曜日の第一報の時点ではGMOの報告内容は比較的穏やかで、「不正侵入受けた！ユーザは情報閲覧とかあるかも！」くらいの感じだったんですわ。で、このニュースを見たのも21日なんですが、僕はちょっと違和感あったんですね。そんときのツイートがこれ。

https://x.com/tamasan774/status/2112848040856072501?s=20

GMOのクラウド基盤がやられたの…？どこまでやられたんだろう。本当に情報閲覧程度なんか。プログラム設置されたなら少なくともそこはWriteと実行権限とられてるよな。。いろんな意味でやられたらダメだろのサービス内容と事業者ではある

これは元記事見ると不正にプログラムを設置されたとあったので、そこまでされているのに本当に情報閲覧されたかもなんて程度なんだろうか？と違和感があったんです。結果的にフラグだったわけですが……しかしまさか本当にここまで盛大にやらかしているとはこの時は思いませんでした。

だってそうなら言うべきでしょう。確かにすべてを言えない事情はあるかもしれないけれど、事態の深刻さは伝えられたはずで、そうしていえれば、この時点で直ちに取引所に連絡してすべての注文を止めるとか、そういうことは出来た可能性もあるとのではないでしょうか。なにしろ大金がかかっている。みんな必死だよ。

まぁもちろんそのときにはそこまでのことがわからなったといえるかもしれないんですが、現場のエンジニアがそんな悠長なこと考えていたとも思えないんですよねぇ…。最悪のケースは現場レベルでは共有されてたんじゃないのかなぁ。第三者の僕が、このニュース一つで「ほんとにその程度？」って引っかかってるくらいですし。謎のプログラム見つけた時点で、青ざめたんじゃねぇのかな…それともこの会社で働くヒトはそんなタマじゃないかしら。

それで実は激ヤバでしたってゲロった第2報が既に色々あったあとの木曜日16時59分（【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報） | GMOインターネットグループ株式会社）、ここで各事業者単位でのログオフ（セッション切断）が対応としてあるんですけど、まぁそれはそうなんですが、どこまで伝わったのか。記事の人なんかはそもそもこの時点で時既に遅しですし。第3報「【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第3報） | GMOインターネットグループ株式会社」はその対応をより強く書いたのがほとんどですね。この時金曜日16時10分。FXって平日しかやってないんだよ(^_^;)

FX訴訟戦士爆誕待ったなし？

まぁ真相はこれから訴訟沙汰になった時にわかることかもしれません。いや、本当になりそうな気配が。被害金額がもう泣き寝入りできる金額じゃない。

かなり醜悪なんですが、攻撃者はわざとユーザの口座を破壊しているっぽいんですね。具体的にはフルレバでガンガン注文入れて資産を蒸発させていたようです。ひでぇ…相対取引のFXの仕組み上、そんなことしてもブローカーが儲かるだけで攻撃者の得にはならないはず。

じゃあなんでそんなことを？というと、どうも脅迫が目的っぽい。

https://x.com/yutoriineet/status/2113264833307267254?s=20

今出回ってる脅迫文マジです私の破綻させられた口座の番号、被害額一致しました

本当？となるわけですが、第三報には攻撃者から連絡があっても返事するなという旨が書かれていることなどみると、どうもマジっぽい。しかもこの文章えげつないですよ。まぁちょっと意訳しますけど、

犯罪者「あなた達は悪くありません。しかしGMOが交渉に応じないので口座破壊しました。GMOを訴訟すればきっと全額戻ってきます。私たちが支援します！」

サイコパスか？

つまり口座を破壊されて泣き寝入りできなくなったユーザを、GMOを攻撃するためのファンネルに仕立て上げようとしているんでしょう。人の心とかないんか？

しかしもしGMOが今回のユーザの被害についてなんら補償を示さなかった場合、ユーザは自分の金を取り戻すには、自分の財布を燃やした犯人の支援を受けて、利用されているとわかりながらGMOを訴えるしかない。地獄か？

なかなか絶望的です。IT系じゃないとGMOのイメージはなさそうですが、決して評判の良い会社とは言えません。一般ユーザにとってもお名前.comのダークパターンは有名ですし、色々あったのか、ツイートを見ていると「このまま倒産してしまえ」という類のものが散見されました。第三報を見ても、具体的なことは何もわからないが、とりあえず法務を通しているということだけビンビンに伝わってくる、自己保身しか感じないものでした。GMOェ…

顧客の口座を燃やし尽くし、裁判では我々はサイトで連絡した、何もしなかった顧客が悪いで通す気なんだろうか…いやまさかさすがに通らんだろう…。

どうにかならないんですか

とにかく現状ユーザがあまりにも可哀想過ぎるのですが、本当にどうにかならんのですか。

悪いのは犯罪者だ理論はそれはそうなんですが、それでユーザのお金は戻ってきません。テロリストに屈するな！というのも正論ですが、テロリストが人質にしてるのはGMOの金じゃなくてユーザの金です。攻撃者vs企業において企業は被害者ですが、企業vsユーザにおいては守るべきものを守れなかったものと被害者です。

また企業の対応を見ると、本当にそこに過失がなかったのか…なんならいわゆる重過失がなかったのかも、けっこう疑問があります。

SNSでは「GMOは規約でガチガチに固めてる。さすが」みたいなのもありましたが、AIに法的な有効性を考えさせてみると「BtoCで全部免責は消費者契約法第8条第1項第1号により無効やから、訴訟になったら使えんと思うわ。諦めさせるためのポーズちゃう？」とのこと。また「一部免責でも重過失が認められた無効やな。法人の場合もそれはそう。重過失が認められるかが焦点になると思うわ」とのことなので、まぁ係争の余地はありそうです。

まぁGMOがしっかりしていればいいんですが…このままだと合理的には自分の金を取り戻すには自分の口座を破壊した犯人の支援を受けるハメに…。支援は恐らく証拠ログみたいなもんと思われ、犯人の証拠が使えるのか？という疑問がありますがが、これまたAIに聞いてみたところそこは使える可能性が高いで、とのこと。AI便利。さっきの図もAIに書かせた。AIは使い方次第……。

VPSはもはや危険？

思い出したのは同じくGMO系列であるConoHa VPSで半年前にあった大規模障害です。あれもユーザ間では荒れました。あれば別にサイバー攻撃ではなく、単に設計・運用のまずさだったんじゃないかと思いますが…。

しかしこういうことが立て続けに起きていると、既にVPSレベルだとセキュリティの観点でオンプレと逆転現象が起きているのかもしれないと思います。さすがにメガクラウドにまでなれば話もまた変わりますが…いずれにせよ記事の主旨とだいぶ変わってくるので別の記事でまた取り上げるかもですけどね。

ただまぁ、結果論ですが、ユーザは取る必要のないリスクを取っていた、とは言えてしまう。でもVPS・クラウドを使いましょう、はこれまでむしろスマートとされたやり方でした。ユーザは勉強熱心な層だったんじゃないでしょうか…それに自動トレードユーザは基本的に資金管理をしっかりしながら地道に稼くことを目指す堅実な人が多いんじゃないでしょうか。多分。自動トレードって基本的には中長期目線になるので。それだけにやるせないんですが…。

やっぱり、この10-15年くらいの常識が通用しなくなり始めている、大きな転換点にいるのかもしれません。

<関連記事>

あわせて読みたい

AIによるサイバー攻撃時代の個人サイト・個人ブログのセキュリティ

AIによるサイバー攻撃時代の個人サイト・個人ブログのセキュリティ

Sat, 24 Oct 2026 00:00:00 +0900

定期的にくる全裸待機イベントがPHPに襲来。

PHPに「緊急」レベルの脆弱性2件修正版を日本時間21日深夜に公開へ、事前準備を呼び掛け - ITmedia NEWS

全裸で待て！

とにかく地球がヤバい

技術的な詳細が不明なのは仕方無いですが、「とにかくやべぇからPHPユーザは全員23時全裸な！」ということで、こういうことがあると、WordPressユーザとしては限界みを感じます。特に昨今はAIのせいでサイバー攻撃が激化していることもあり、それは自動ですから、場末の当サイトも常にアタックを受けていることを思うと、対策しないわけにもいきません。

そんでまぁ、当日こられた方は珍しくサイトに赤帯出ているのを見たかもしれません。

で、23時前からしばらく落としました。

それでまぁしばらくは、X上でも様々な人が話題にしていて、少し本当にお祭りのような気分になりテンションも上がりました。

著名ITサービス相次いで緊急メンテへコドモン、シャドバ、BASE、さくらのレンタルサーバなど「PHP」脆弱性に起因か（1/2 ページ） - ITmedia NEWS

当サイトはDocker版のため、大元のPHPの更新から降ってくるまでけっこう時間がかかりました。一人ポチポチと下記コマンドでDocker版の更新はまだかなぁと確認していました。

curl -s "https://hub.docker.com/v2/repositories/library/wordpress/tags/latest" | grep -o '"last_updated":"[^"]*"'

これの結果が2026-10-21T14:00より後になったらOKなのですが、結局"last_updated":"2026-10-21T17:50:57.852281Z"を確認できたのは夜中の3時くらいだったかな。お、と思ってイメージ更新して、バージョンを確認します。

$ docker run --rm wordpress:latest php -v
PHP 8.3.36 (cli) (built: Oct 21 2026 15:57:18) (NTS)

OK、ということでサイト復活。この頃になると大方みんな対策が終わっており、Docker版を話題にしている人はほとんどおらず、なにしてるんだろうなぁという気分になっていました。

せっかく頑張ったので青帯で頑張りましたの告知を誰に向けたわけでもなくしています。複数サイトやってるので対策は複数やったのですが、このサイトでしか帯は出していません。所詮個人サイト、告知というより祭り参加表明だったので…。場末でも一応今も技術系のサイトのつもりだしね。

実際の所脅威はどれくらいだったの？

終わってみると、かねてより考えてはやめていた脱WordPress計画も現実味を帯びてきます。今回のようなことが今後もけっこうありそうだな、とまず思えました。地味にNode.jsも騒がれていましたしね（「「Node.js」にセキュリティ更新～10件の脆弱性を修正、「eMudhra」の侵害にも対応 - 窓の杜」）。

しかし実際のところ、今回の脅威（後にphp2shellとされる）が本当にどれほどの被害をもたらすものだったのかは謎です。真の影響力について実はちょっと疑っています。CVSSスコア9.2とか数字ばかり独り歩きし、対策しなければサービスにあらずみたいな空気が醸成されても、本当のところどうだったのかはわからないわけでしょう。試みがあったということ自体は既に「PHP「緊急」脆弱性悪用の試み、数百万件に CloudflareのCEOが報告 - ITmedia NEWS」のようにニュースになっていますけれど、ではそれでどうかなったのか…。

この手のものは、何か起きていた時にはもう遅いのだとか、未来の危機を予言した預言者が迫害されるとか、まぁそんな話になるわけですが、しかし今回については、PHPサイトの有名どころとしてアンサイクロペディアがノーガード戦法だったらしいので、今後このサイトがどうなるのかでわかるかもしれません。

UnNews:PHPに史上最悪級の穴、世界が予防停止する中アンサイクロペディアだけ止められる人がおらず平常運転。 - アンサイクロペディア

サイト内でもネタにされています。しかしまだやってたんですね。元気そうでなにより。

ま、だからといって事前に脅威を告知されればやらないわけにはいかないんですが…今回の脅威はOpenAIが検知したとのことでしたけれど、世界中が一斉に全裸待機するほどのものだったのかな…とは少し思います。個人的には見えている脅威はそりゃ対応すべきだと思うんですが、祭り状態になるのも何か違和があります。

今後こんな感じでAIにより新たな脆弱性発見！深刻度9.3…9.4…100だーーーー！全裸で待て！とか毎日のように言われることになったら、みんなどこまでついていくんだろう。どうせ侵入されても詫びメール一本で済ます癖に…（余計なこと）。今回総理大臣までツイートしていましたが、総理のツイートは脆弱性の報告で埋まるんでしょうか。

怪しいもんです。対応した中の人はこれが技術的に必要なことだという思いで対応されたかもしれませんが、組織の観点では、やるべきことはやりましたというポージング、免責の観点でコストを払っているように思われます。でなければ、事前対応は熱心なのに、いざ本当にインシデントが起きたら詫びメール1本で済ませようとする態度は説明がつきません…。ま、情報漏洩のエース・タイムズカーはPHPではなかったようですが（永遠に言い続ける）。

クラウドなら安心伝説

まぁそうはいっても、現実上のセキュリティリスクは確かに上がっているのでしょう。求められるセキュリティパッチの適用であるとか、対策なんかは、これから目に見えて高まっていくのかなぁ、という感じはしています。

これについて、中小まして個人が防ぎ切るのはもう無理だ、クラウドに任せよう！みたいな論調も最近はちらほら見かけるのですが、大手クラウドなら信用できるのか？と思います。実際、最近俺たちのGMOがやられました。

「お名前.com デスクトップクラウド」不正プログラム設置で全プラン停止 FX用VPS、2万6739サーバに影響か - ITmedia NEWS

これは記事だと実際どこまで基盤に侵入されたのかわからないんですが、不正にプログラム設置されてるんですよね。少なくともそこにおいては実行権限まで取られている中で、本当にGMOの言う通り情報閲覧があるかも程度の被害なのかな…僕がユーザだったらちょっと信じられないですけどね。まぁ実際被害者は滅茶苦茶可哀想ですよ、FX自動取引の基盤でしょう。つらすぎる（実感）。

……とか書いて予約投稿していたんですが、Xを見ていたら次の展開が。

https://x.com/yutoriineet/status/2113264833307267254?s=20

口座破綻させられているのあまりにも悲惨で可哀想過ぎる。ご愁傷さまです……。これマジで洒落にならない金額の被害が出ているのでは。やっぱり情報閲覧程度じゃなかったのか。攻撃されたといえば企業は被害者だが、本当の被害者は企業を信じて情報を預けたのに漏洩されたユーザで、企業はその被害を隠蔽と過小申告するモチベがあるから信じられない。報道する側も企業側の言うことをそのまんま垂れ流すだけじゃダメだし、見る側ももっと疑う必要がある。……と言い始めるとちょっと話が完全に逸れるので、本件滅茶苦茶興味深いけどここまでにしておいて…。

まぁこういう投資にかかるサービスで、クラウドを銘打ったサービスで、GMOがやられた、というのはこれは重たいんじゃないでしょうか（GMOだけど）。いや、ここでいうクラウドとはAWS/GCP/Azure/OCIとかそのへんのことを言うのだ、AWSにあらずんばクラウドにあらずみたいなことは言えるかもしれないし、実際信用レベルでいえばまだかなり差があるのはそうなんですけれど、しかしAWSだから大丈夫だ、は原理原則の話をするならやはりあり得ず、それは技術的判断というより信仰というべきではないでしょうか。

一方でAWSがやられたらもう仕方ない、は現実的な妥協点として言えるかもしれません。もしかしたらそういう気持ちは業界としてあるのかなぁという気もするし、正直私も組織のエンジニアの立場ならそう言ってしまう気はします。ただ一人の場末の管理者として考えた時、それはすごく納得できません。

まぁこれは信条なので並行線なんですけれど、ただ個々人がそれぞれ自分の城で守るのは合理の観点でも無謀とは言えません。まず分散されることによって、攻撃側は攻撃成功時の報酬が下がるため、モチベーションが著しく低下します。多くの小規模サービス・サイトで標的型攻撃の的になる可能性はかなり下がるでしょう。また、自分ところでの対策はネットワーク層、物理層などあらゆるところで対策が打てるため、本当に必要な保護を必要なだけやることができます。極端なことを言えば最終奥義物理遮断も可能です。

一方で大手サービスは高い壁があるものの、その壁を超えられると全員巻き添えでとんでもない被害になりますし、またその時出来ることは非常に限られています。

まぁイメージとしては高い壁に囲まれたデカくて整った街にレンタルオフィスを構えるか、孤島に手作りの拠点を構えるのかという違いになるわけですけれど、AIがあろうがなかろうが、リスクのトレードオフの本質が変わらない以上、どちらが間違っているとも言えないんじゃないでしょうか。少なくとも私は討ち死にするならせめて自分の居場所で死にたい。

まぁそうは言っても、自動攻撃も今後激しくなっていくことは予想され、無駄にアタックサーフェスが多いことから、WordPressはちょっと限界を感じています。そろそろ10年ぶりくらいのサイト大改造に着手する時がきたのだろうか…。

<関連記事>

/timescar/

あわせて読みたい

タイムズカーと焼肉きんぐの個人情報漏洩における深刻さのベクトルの違い

/timescar-yakinikuking/

あわせて読みたい

セキュリティリスク再考 KADOKAWAの情報漏洩レベルでも特損36億円らしい

/securityrisk/

タイムズカーと焼肉きんぐの個人情報漏洩における深刻さのベクトルの違い

Thu, 15 Oct 2026 00:00:00 +0900

世は空前の個人情報漏洩ブームとなり、毎日多くの個人情報漏洩のニュース記事が矢継ぎ早に放たれています。どうなってんだマジで。

これは非常に深刻な問題で、多くの切り口があるわけですけれど、今回はタイムズカーと焼肉きんぐの漏洩のそれぞれ異なる質的な深刻さについて考えます。

タイムズカーと焼肉きんぐはそれぞれ何をした？

まずタイムズカーと焼肉きんぐについて、それぞれ何をやらかしたか。

数百万規模の運転免許証の画像まで含む本人情報確認等の漏洩、退会者もあり！

まずタイムズカーは当初660万の個人情報漏洩があったとし、うち160万件が本人確認書類まであるとした。さらに本人確認書類には運転免許証の「画像」含む可能性あり。

この規模での運転免許証、しかも画像含むまである、というのは前代未聞。…と言いつつ実は調べて見るとOmiaiなるマッチングアプリで同等規模のことをやらかしており、前例はあることを知りました。

【不正アクセス対策】マッチングアプリ「Omiai」の個人情報漏えいは防げたのか？ | 不正検知Lab -フセラボ-【かっこ株式会社公式メディア】

これは170万クラスの本人確認書類、うち100万件が運転免許証画像ということで、今回のタイムズにまさるとも劣らない規模でした。

今回は明らかに騒がれ方が違うのは、AI時代であるということ、またカーシェアリングという一般の人はもちろん法人利用まであるものだからでしょうか。実際に行政まで動く騒ぎになっています。

「タイムズカー」６６０万件の情報漏洩をうけて免許証の再交付を認める特例措置〈宮城〉（仙台放送） - Yahoo!ニュース

もう一つ重要なタイムズカーに言い訳できなさそうな瑕疵として、「退会者」や「入会未完了」の者のデータまであったということです。これを税法上の取引記録として7年保存する必要があった、というのはかなり無理筋に思えます。ここは突かれるとかなり厳しいでしょう。また、 「退会してもだめだった」という点で多くの人に衝撃を与えたものと思います。

焼肉きんぐ 1000万クラスだが内容は普通…だが何故持っているのかわからない

一方で、焼肉きんぐはタイムズカーを超える1000万規模となります。

焼肉きんぐに不正アクセス、1078万人分の情報流出アプリ登録者ほぼ全員が対象（アスキー） - Yahoo!ニュース

流出した情報には、会員番号、氏名（アプリ登録名）、メールアドレス、電話番号が含まれる。一方、ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴は流出していない

直ちに比べられないのは、本人確認書類のような重篤な情報が含まれていないことです。大規模ではありますが、現実的な悪用可能性としては、もはやみんな慣れっこかもしれません…これはこれでかなり問題なんですが……。

ただ問題は、そもそもなんで焼肉きんぐが1000万規模の個人情報を持っているのか？でしょう。どちらかというとそこに衝撃を受けていた人が多かったと思います。以下のツイートは笑ってしまいました。

https://x.com/41_36_22/status/2107055935541702752?s=20

もうこれを機に企業からサービスを受け取るために会員登録をすることの一切をやめようぜ　なんで焼肉を食べるために、カラオケで歌を歌うために、髪を切るために本名と住所と電話番号とメールアドレスが必要なんですか？　戸籍でも作りたいのか？ 　みなさんは騙されているよ

戸籍笑う。まぁでも端的です。なんで焼肉屋や寿司屋がそんなに本名と住所を知りたがるんだ？という疑問の声はたくさんありますし、完全に正当な疑問だと思います。

タイムズカーと焼肉きんぐのベクトルの違い

タイムズカーも焼肉きんぐもそれぞれ問題なのですが、両者は深刻さのベクトルが異なることが明白です。

タイムズカーの問題は、どこまでも管理の問題です。カーシェアリングという業態から、一時的に運転免許証の画像データが同社のサーバを経由することは理解できますし、一定期間の保存も必要かもしれません。問題はその管理が杜撰であったことです。セキュリティの問題のみならず、データのサイクルについて適切に管理されていたとは思われません。

一方で焼肉きんぐの問題は、セキュリティの問題以前に、そもそも何故そんなデータを持っているのか、という問題であると思います。

これは体裁としてはマーケティングなどあるかもしれないのですが、しかし現在の焼肉きんぐの営業利益について、個人情報に基づく個別具体的な販促のおかげである、というような分析は見たことがありませんし、社も株主も全然そんなこと考えていないでしょう。もし個人情報が利益の源泉ならば、今回の騒動は株価にもショックがあるはずですが、そんなことは今のところなさそうなのでね…（それもどうかと思いますが…）。

そもそも大手チェーンはそういう個別具体的な属性を排除して一般化するところに利益の源泉があるはずですし、パーソナライズするにせよ本名住所性別年齢のような外形からいったい何を判別できるというのか。そしてそれがどう利益に繋がるというのか…。

まぁ利益にならないものは持ってはいけないとは言わないんですけれど、だったら漏洩しないでくれ、それでもどうしても漏洩したら、そんときはケジメをつけてくれという話です。今のサイバー攻撃はすごくて、とても防げないんだ、漏洩しても仕方ないんだ、企業も被害者なんだ、悪くない、というのであれば、個人情報を預かるに資する能力がないと言わざるを得ません。必要なものとしてメールアドレスくらいは理解しますが、逆に言うとそれくらいではないですかね…。

個人情報はどこへ消えた？

この不必要としか思えない個人情報を集めたがる企業の傾向は、すべてに通底しており、タイムズカーの杜撰な管理の根底にもあるのではないでしょうか。個人情報はとりあえず持っとけという感じ。

なんでこうなっちまったんだろうなぁ……と考えた時、日本のセキュリティインシデントに対する社会的な甘さのみならず、2010年代のビッグデータ信仰みたいなものの残滓があるように思われます。なんかデータがいっぱいあったらなんかできんじゃないのという漠然とした期待。ビールとおむつ理論何回聞いたかわからんわ。あの頃は私もピュアだったので、データには価値があるんだとか思っていましたけれど、今振り返ると、本当に誰かの作ったトレンドで踊らされていたように思います…。

そして特に何か成果を出すことはないまま、しかしトレンドだけが残り、また個人情報漏洩に対する企業側の実際的なリスクの低さにより、とりあえずデータ取っとけ、という態度になってしまっているのではないでしょうか。

企業なんかあてにしちゃだめ、自己防衛だよね

もちろんすべての企業がそうではなく、思えばかつて私のいた組織では個人情報はかなり大事に扱われていました。あそこはやはりそういう面で誠実な企業だったんだなと、ふと思います。しかしながら、外側から我々はそれを判別する術を持ちません。

ここにおいて、もし企業が相変わらず個人情報を取得しながら、平気で漏洩し、それについて通り一遍の公表と謝罪文で終わらせるならば、次に来るのはユーザ側の自己防衛としてのデータポイズニングでしょう。

つまり偽名をなのるわけですね。実際、焼肉屋に本名名乗る必要なんて本来ないでしょう。いや、彼らがそれを大事に守ってくれるなら、行きつけの店で聞かれれば、教えるのもやぶさかでもないかもしれません。しかし漏洩するんじゃねぇ。それに対して実態としてペナルティもない。この非対称であまりにもユーザが不利な状況では、自己防衛のために偽名を名乗ることにも道義的な正当性が生じると思います。

私たちが本当のことを言うのは、規約で決まっているからではなく、信用しているからです。その信用をぶち壊せば、しっぺ返しがあるのは当然の帰結だと思います。そうすれば結果、ダークウェブに流出した個人情報も、「本人確認済み本人確認書類」じゃないと価値がない！となったりしてね。

サービスの登録は偽名、偽住所、捨てアドが常識、馬鹿正直に本名名乗るのは情弱……そういう25年前のような世界線に、再び戻る日が来るのかもしれません。

タイムズカーのトップ画像が変わっている

Mon, 12 Oct 2026 00:00:00 +0900

個人情報漏洩記念キャンペーン（違

10月11日現在のタイムズカーのトップが変わっていました。一応トップで情報漏洩があったことを大きく告知するようになりました。

これは当たり前のように見えますが、漏洩からしばらく400万人突破記念キャンペーン（意味深）をデカデカと貼り続けていたことを私は記録しています。あれから騒動が大きくなったことを受けてか、多少悔い改めた体裁を取ったようです。なにしろこんなでしたからね。

赤帯警告すらしばらく存在していなかったという事実

いつ見ても酷い。しかもタイムズカーはメールを送るまでかなり時間がかかっており、公式サイトが唯一の情報源であったにも関わらず、その公式サイト見に行くと＼400万人突破記念キャンペーン／という有様でした。

この対応だけでもタイムズカーが今回の漏洩について舐めきっていたことは想像できます。今も多分舐めていると思うんですが、さすがに行政が動き始めるなど大事になり始めて、多少なりとも反省のポーズを見せる必要があると考えたのかもしれません。

ま、一つスライドしたらやっぱりポイントプログラムのバナーだったんですがね…だからやめなさいよ…。

＼いいことたくさん／じゃないんだよ

「ちっ、うっせーな、反省してまーす」という声が聞こえてくる。

対応ゼロ？

なお今回の騒動で個人が自己防衛のために取らざるを得なくなった諸手続きの手数料については、現状は払う意思がなさそうで荒れていました（「タイムズカー流出、免許再交付に「なんで手数料こっち持ち」と不満の声パーク24、補償はどうなる？ - ライブドアニュース」）。

本人確認書類の画像が漏えいした人が再交付を受けることへの考えについて聞くと、同社は改めて謝罪したうえで、「再交付につきましては、お客様それぞれのご事情やご判断によるものと考えております」と回答した。

払う意思が無いというよりは、現時点で回答を避けたという形になるのかなと思います。これまでの不誠実な対応から見ても、払わなくて済むなら払いたくないという意思が透けて見えるのはそう思いますので、批判を受けるのはそうでしょうね。

一方で、迂闊に払うとは言えないかなとも思います。具体的な金銭の保証が数百万単位で発生すれば、下手するとパーク24の利益が吹き飛びますし。

パーク24は実は絶好調で、パーク24の売上高4,062億円・10年の業績推移によると2025年10月期で159億円の純利益、2026年10月期はさらに440億円予想というすごいことになっています。配当も大幅に増える見込みで期待があったところです。

しかしそれも、本当に賠償が発生してしまうと、単純計算で最悪のケースを考えた場合、運転免許証再交付の手数料を認めるなら信用情報機関の本人確認の費用も認めろとなり、それで全660万アカウントでそれぞれ1万円の損失となったら660億円の損失なわけで、これはさしものパーク24も利益が消し飛ぶ。当然配当どころではない。

さすがにこのシナリオは考えづらいと思うんですが、リスクを考えるならそこまで考えているのだろうか？いずれにせよ影響範囲についてタイムズカー自身わかっていない以上、踏み込んだことが言えないということは理解します。

しかしそこまで深刻に考えるなら誠実に対応せぇよとも思います。実際ユーザへの謝罪や少なくとも今くらいは販促キャンペーン系は全部取り下げるとか色々できることはあるはずです。それがないので、深刻に考えているというよりやはりひたすら保身とユーザ舐めているだけと考えるほうがしっくりきてしまうため、やっぱりなんだかモヤモヤしますね。

大公開時代でいいのか？

ちなみに私はその後のメールで画像の流出対象ではないと言われたのですが、正直信じられるものではなく、今なお集団訴訟に参加の意思表明するかは検討中といったところです。やや懲罰的な感情と道義的な義憤があります。

なにしろ空前の大公開時代と揶揄される昨今、継ぎ早に企業の情報漏洩公表が相次いでおり、ここまでくると分散して気を逸らしているというよりみんなで元気玉を作っている感じがあります。企業は今のところ何も責任を取りませんし、連絡もしません。

実際、タイムズカーの後には「ブックオフ約643万件情報流出か - Yahoo!ニュース」ブックオフにもやられたのですが、ブックオフも知ったのはブックオフからの連絡ではなく、SNSのニュースでした。いったいどうなっているんですか？なぜ彼らは顧客に連絡をしないのでしょうか？その漏洩させたメールアドレスに事の次第を送ることが、そんなに難しいことなのでしょうか。サイトに掲載するのは通知したという体裁を整えて法的リスクを回避する狙いでしょう。これは不誠実です。

一方でSansanのように、ここがやられたのか、と思いつつも事態の深刻さを認識し直ちにサービス停止をした企業などもあるのですが、これは少数派でしょう（ついでですが、Sansanはちょっとマジかと思いました。他んところは名前は有名だけど技術的にはでしょうね感がありましたので。今後業界的にも洒落にならないと思うところが突破されるかもしれないですね）。いったいぜんたい、普段口酸っぱく唱えていたユーザファーストとは、なんだったのですか。

さすがに政府もほっとけないレベルになってきているのではないでしょうか。いや実際、こんなのほっといていいならセキュリティなんてもう二度と口にしないでほしい……。社会全体としても意思を示す必要はあるように思われます。膨れ上がった元気玉をぶつける相手は、やはりタイムズカーに一票。

<関連記事>

/timescar/

あわせて読みたい

セキュリティリスク再考 KADOKAWAの情報漏洩レベルでも特損36億円らしい

/securityrisk/

タイムズカー情報漏洩被弾しました＼(^o^)／前代未聞の運転免許証シェアリングサービスここに爆誕！！

Thu, 01 Oct 2026 00:00:00 +0900

タイムズカーの個人情報漏洩が話題です。話題というか…今回漏れたのは、運転免許証の画像です。

「タイムズカー」で約660万件の情報漏えい「運転免許証などの画像160万件」流出で、次に狙われる恐れがあるのは - ITmedia ビジネスオンライン

個人情報ってレベルじゃねーぞ！！ いや真面目に日本のインターネット史上最悪レベルのセキュリティインシデントなんですけお！ タイムズカー絶対自覚してないよね。すごい対応舐めてるもん。

クレカ以外全部流出！？

そして運の悪いことに、僕も9月からタイムズカーに入会していたのでした😭

お陰様でバッチリと漏洩しました＼(^o^)／

SNSで運転免許証シェアリングサービスとかいわれてて草ぁ！なんも面白くねぇ！前代未聞のサービスがここに爆誕です！ 何を言っているのかわからねぇと思うが俺も何をされているのかわからねぇ！

今この瞬間も、僕の運転免許証画像がダークウェブを漂っているというのか…。いや実際のところまだ確定とは言えないんだけど、全然わからないんだよ実情が。だって教えてくれねぇから！「「タイムズカーWebサイト」への不正アクセスに関する調査結果および今後の対応について（第2報） | カーシェアリングのタイムズカー（旧：タイムズカーシェア」みても

4. 漏えいした情報
対象者により異なりますが、漏えいした情報は以下のとおりです。・氏名・法人会員様の所属部署名・住所・生年月日・電話番号・メールアドレス・運転免許情報・本人確認書類情報（運転免許証画像等）・パスワード ※1 ・連携サービスID ※2 ※1 パスワードは復元できない形式で保管しており、当該情報を用いてお客様アカウントが不正に利用される恐れはありません ※2 連携サービスIDは「JR西日本グループの会員サービスWESTER ID」等（計9件）となります

クレカ以外全部可能性ありじゃねぇか！ちなみに第三報では本人確認書類には画像もあるやでって報告されてました！っつか場合によってはクレカより酷いんじゃないかね運転免許証の画像は。少なくともクレカは無事だからって全然安心できねぇ。テンプレメールで済ませていい問題じゃないんだよなぁ。

メールは漏洩確定演出！

しかもこれ、メールが届いた時点で漏洩確定演出なんですよ。どういうことかというと、漏洩確定してない人にはメール送ってないんです。便りがないのは無事の便りをセキュリティインシデントでやっていいと思ってるのか？ もはやいつものことですが僕もまたSNSで知りましたよ。もう全部SNSだよ。どうなってんの。

いやまぁ、もう他の企業もそうなんですけどね…GMOとかGMOとかGMOとか…（永遠にConoHaの障害時の対応を擦り続ける）。普段はログインするたびにチンパンジーの絵合わせテストみたいなのをさせた挙句、ログインのたびにメールまで送ってくる癖に！本当に意図しないログインがあったときにはメールしやがらねぇのさ。攻撃者に認証コードは発行したかい？

本当に舐めきってるぜ。9月28日18時時点で、メールも送らず、Webサイトで一報入れていただけだったからね！9月28日当時のトップページがこれよ。

400万人突破記念キャンペーン（意味深）

いや、キャンペーンしてる場合じゃ無いやろ！

が、ここで冷静な人は、400万人なのに660万件とはこれいかに？と思われるかもしれない。なんと今回の被弾者には、「退会済み」と「入会完了してない人」が含まれています。どういうことなの…。

ここで退会済みの人の情報を保持していることについては、取引記録を持つことが法律上必要云々みたいなこと言うわけですが、騙されてはいけません。これは税制上の問題なのであって、運転免許証画像の記録を延々と保存しておく必要があるわけないでしょう。もっといえば金銭の発生していない、契約もしていないだろう入会完了前の人にいたっては本当に意味不明です。

ちなみにトップ画像のちょっと下を見ると、「おすすめコンテンツ」があり、その下の「新着情報」にしれっと今回のやらかしが一行掲載されていました。

燦然と輝く「お友達紹介」 。このタイミングで紹介してくるやつは友達じゃねぇ。

さすがにまずいと思ったのか、同日21時に確認したところ、赤帯でインシデントがあったことは注意書きされていました。

だから400万人突破キャンペーンさぁ……もう別の意味にしか見えないんだよ。なおこの時点でメールなし。キャンペーンを見に来いってか？

一番可哀想なRTAを見た

タイムズ舐めきってんだろ。

こうなる理由はわかっていて、過去にもベネッセの判例なんかを見ると、雀の涙みたいな賠償で終わってるわけ。だからまぁ企業はPマークを取ります！みたく無意味に上納金だけ納めて、実質的にはなにもせず、いざインシデントが起きたら素知らぬ振りというわけよ。

こうなってくるともう、セキュリティ対策ってなんなんだってなる。小文字大文字記号を織り交ぜた12桁以上のパスワードとMFAとパスキーを設定したところで企業側のクソ雑魚サーバから漏れたらなんにもならないんだよ！もうサービス使うこと自体がセキュリティリスクとしか言えないじゃない。この人とかすごい可哀想だよ！

https://twitter.com/BIG_the_NAMEKO/status/2104957454408876200?s=20

個人情報漏洩RTAで草。いや笑っちゃいけないんだけど申し訳ないんだけど笑ってしまった。こんなんもう公式フィッシング詐欺やろ。

10年前のフレームワークが魔法をかけてくれる

こんな感じですけどね、今回はちょっとタイムズさんまずいと思いますよ。運転免許証の画像というのは、本人確認書類として一線を超えていると思います。前代未聞ですよ。こんな重大な漏洩しておいて、「パスワードは平文ではありません（キリッ」もないもんだ。パスワード漏洩のほうがよっぽどマシだったよ！

こんな重大なものを保持しているのも謎です。法律で7年の取引記録を保持する義務が云々ありますが、それは税制上の問題のはずで、運転免許証の画像を保存せよということになるとは到底思えません。

また仮に保存する必要があったとしても、このように重大なお漏らしをしている以上、その管理体制が適切であったかは当然問われます。で、今回のタイムズカーについては、客観的に確認できる事実だけで、外形的にアウトなんじゃないでしょうか。

マイページログインしてみたら本当にSeasarだったｗ

そりゃやられるわｗ

SeasarはEOLが10年前だったようで、そんなものを使い続けていたとなれば、これは技術的に適切な措置を講じていたとは到底言えませんよ（僕も確認しました）。この手の問題は企業の責任を追求するにあたってどうしてもサーバの情報は企業側というのがネックになるわけですが、まさかF12で確認できる範囲で既にもうアウトだとは…。

これにはAIも

個人情報保護法第23条が求める「安全管理措置」において、企業側が不可抗力を主張するための大前提は「社会通念上、その時点で合理的と考えられる適切な技術的対策を講じていたこと」です。

10年前にEOLを迎えたフレームワークを放置していた事実は、単なる「防ぎきれなかった過失」の枠を完全に踏み越えています。

とのこと。珍しくAIと同意見です。

まぁマイページから見られる脆弱性が即漏洩に繋がったとは断定できないんですが、これでは裏側がどうなっているかも推して知るべしといったところです。少なくともちゃんとやっていたと主張するのは厳しくなるんじゃないですかね。たとえ保存する必要があるにせよ、普段照会する必要があると思えないし、であるならばコールドストレージに保存など合理的にそうすべきだったと考えられる対応はあったはず。

こうして実際に漏れた以上、いかなる説明も言い訳ですし、外形的に見てもおかしいと言えるところはありそうに思います。

株価の影響は限定的…だが

パーク24の株価は多少下がったものの、未だその影響は限定的です。

2000円程度だったところから1800円台。1800円の底値から少しリバってますね。落ちてはいるものの、事の重大性を考えると、株主は影響を未だ舐めていると思います。

実害が今後出てくるかどうかが問題だと思うのですが、可能性はありうると見ています。実際、既にもう見え始めています。

https://x.com/yukimakino2023/status/2104966722436685990?s=20

タイムズカー関連で今わかっているのは CIC：本人申告は不安定だけど生きてる JICC：鯖落ち全銀協：本人申告の受付休止

警察未確定情報だが、免許証の再交付について何かしらの措置を検討中？

少なくとも信用情報機関に対する本人申告をせざるを得ない状況に追い込まれたことは、財産権の侵害であるように思われます。また、もし今後警察が動くようなことになれば、それは行政が動くようなことであるということですから、社会的な重大性と、対応の必要性の根拠にもなるんじゃないでしょうか。ま、ちょっとこのへんは今後の展開次第なのですが…。

既に集団訴訟の名乗りを上げている弁護士の方もいらっしゃるようです。

https://twitter.com/yukimakino2023/status/2104966722436685990?s=20

僕は様子見中ですが、今後の展開次第で実際のアクションも検討します。

タイムズカー情報漏えいで集団訴訟呼びかけ…参加希望2000人超、募集開始からわずか1日で「この勢いは驚き」（弁護士ドットコムニュース） - Yahoo!ニュース

これでいいのか？

というかですね、これだけ盛大に運転免許証の画像みたいなものまで漏洩して、社会のみんなにコストをばら撒いておきながら、もしなんのお咎めもないのであれば、日本企業にセキュリティリスクなんて存在しません。いったい、企業の存在理由とはなんなのですか。

いくらなんでも今回は一線を超えていると思います。僕自身も被弾したことで当事者となりましたので、この問題は引き続き追っていきます。タイムズの誠実な対応を願います。

続・タイムズカー

<関連記事>

セキュリティリスク再考 KADOKAWAの情報漏洩レベルでも特損36億円らしい

/securityrisk/