🔥 この日の重要情報
2026-04-20 更新
B
今週中

AI開発プラットフォームのLovableにおいて、無料アカウントを作成するだけで他ユーザーのソースコードや認証情報、チャット履歴などの機密情報にアクセスできる深…

脆弱性🌐 英語ソース
🖥️ 製品WordTeamsLINE
📅 2026-04-20📰 theregister
📌 一言でいうと
AI開発プラットフォームのLovableにおいて、無料アカウントを作成するだけで他ユーザーのソースコードや認証情報、チャット履歴などの機密情報にアクセスできる深刻な脆弱性が報告されました。同社は当初、この挙動を「意図的な動作」であると主張し、データ漏洩を否定しましたが、その後はバグバウンティサービスのHackerOneに責任を転嫁するなどの不適切な対応を見せています。この問題は2025年11月以前に作成されたすべてのプロジェクトに影響が及んでいる可能性があり、多くの企業ユーザーにリスクが及んでいます。
🏢影響範囲
LovableのAIツールを利用している企業(Uber, Zendesk, Deutsche Telekom等)および同プラットフォームの全ユーザー
該当時の対応
Lovableを利用しているユーザーは、機密情報の漏洩がないか確認し、プラットフォーム側の修正状況を注視すること。また、APIキーや認証情報のローテーションを検討することを推奨します。
B
今週中

北朝鮮と中国の国家背景を持つハッキング組織が、AIを活用して攻撃速度を上げ、韓国政府、仮想通貨、防衛、通信などの広範な産業を標的にしています

脆弱性🌐 英語ソース
🖥️ 製品GmailLINE
📅 2026-04-20📰 dailysecu
📌 一言でいうと
北朝鮮と中国の国家背景を持つハッキング組織が、AIを活用して攻撃速度を上げ、韓国政府、仮想通貨、防衛、通信などの広範な産業を標的にしています。北朝鮮系組織(Kimsuky, Konni, APT37等)は資金調達と機密収集を目的とし、正規のクラウドサービスを悪用して検知を回避しています。一方、中国系組織は防衛や先端技術分野への長期的な潜伏浸透を継続しています。
🏢影響範囲
韓国政府機関、金融・仮想通貨企業、ITサービス、防衛産業、通信産業、外交・安全保障専門家
該当時の対応
AI駆動型の攻撃に対する検知能力の向上、正規クラウドサービス(Dropbox, GitHub等)への不審な通信の監視強化、およびフィッシングメールに含まれるショートカットファイルやスクリプトの実行制限を推奨します。
C
月内に

Microsoftは、2026年4月の更新プログラム(KB5082063)を適用した一部のWindows Serverで発生していた再起動ループ問題を修正する帯…

脆弱性🌐 英語ソース
🖥️ 製品WindowsEdgeOpera
📅 2026-04-20📰 theregister
📌 一言でいうと
Microsoftは、2026年4月の更新プログラム(KB5082063)を適用した一部のWindows Serverで発生していた再起動ループ問題を修正する帯域外アップデートをリリースしました。特権アクセス管理(PAM)を使用するマルチドメイン環境のドメインコントローラーにおいて、LSASSのクラッシュにより認証サービスが停止する可能性があります。この問題はドメイン全体の可用性に深刻な影響を及ぼすため、迅速な適用が推奨されます。
🏢影響範囲
Windows Server (Domain Controllers) を運用し、特権アクセス管理 (PAM) を利用している組織
該当時の対応
影響を受ける環境の管理者は、Microsoftが提供する修正済みの帯域外アップデートを速やかに適用すること。また、本番環境への適用前にテスト環境での検証を強く推奨します。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【重要】Windows Server 再起動ループ問題の修正パッチ適用について

お疲れさまです。Windows Serverの更新プログラムに関する重要情報をご共有します。

■ 概要
2026年4月のセキュリティ更新プログラム(KB5082063)を適用した一部の環境において、LSASSのクラッシュによりドメインコントローラーが再起動を繰り返す問題が報告されています。Microsoftより、この問題を解決するための帯域外(Out-of-band)アップデートがリリースされました。

■ 影響範囲
- 特権アクセス管理(PAM)を使用し、かつマルチドメイン環境で運用されているWindows Server(ドメインコントローラー)

■ 対応手順
1. 運用中のドメインコントローラーが上記の影響範囲に該当するか確認してください。
2. Microsoftが提供する修正済みの帯域外アップデートを適用してください。
3. 本番環境への適用前に、必ずテスト環境での動作検証を実施することを強く推奨します。

■ 参考情報
- Microsoft 公式サポートドキュメント / KB5082063 関連通知

対応優先度: 高(ドメイン全体の可用性に影響するため、速やかな対応を推奨します)
Subject: [Action Required] Fix for Windows Server Restart Loop (April Update)

Hi all,

This is a security advisory regarding a critical issue with the April 2026 Windows Server updates.

■ Overview
Microsoft has released an out-of-band update to address a critical bug in the April 2026 security update (KB5082063). In certain environments, specifically domain controllers (DCs) using Privileged Access Management (PAM) within multi-domain forests, the update causes LSASS crashes leading to continuous reboot loops.

■ Scope
- Windows Server Domain Controllers (DCs) in multi-domain forests utilizing Privileged Access Management (PAM).

■ Recommended Actions
1. Identify if your current DC infrastructure meets the affected criteria.
2. Apply the out-of-band fix provided by Microsoft promptly.
3. It is strongly recommended to validate the update in a staging/test environment before deploying to production to avoid potential downtime.

■ Reference
- Microsoft Official Security Update Guide / KB5082063

Priority: High (Prompt action is recommended as this can render the entire domain unavailable).
C
月内に

サイバー犯罪グループ「Scattered Spider」に関連するスコットランド人のタイラー・ロバート・ブキャナンが、米国で有罪を認めました

事案🌐 英語ソース
🖥️ 製品OperaLINE
📅 2026-04-20📰 theregister
📌 一言でいうと
サイバー犯罪グループ「Scattered Spider」に関連するスコットランド人のタイラー・ロバート・ブキャナンが、米国で有罪を認めました。彼はフィッシングやSIMスワップの手法を用いて、少なくとも800万ドルの仮想通貨を盗み出した罪に問われています。ブキャナンは電信詐欺共謀罪と加重身分盗用罪で起訴され、最大22年の禁錮刑に処される可能性があります。
🏢影響範囲
仮想通貨保有者、個人ユーザー、およびSIMスワップ攻撃の標的となる組織
該当時の対応
SMSベースの多要素認証(MFA)を避け、認証アプリや物理セキュリティキーへの移行を推奨します。また、通信事業者のSIMロック設定を有効にし、フィッシング攻撃に対する警戒を強めてください。
📧 メール案を見る (社員向け + 管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】フィッシングおよびSIMスワップ攻撃への警戒について

お疲れさまです。情報システム担当です。
巧妙なフィッシング詐欺や、電話番号を乗っ取る「SIMスワップ」という手法を用いて、資産を盗み出すサイバー攻撃グループの活動が報告されています。

ご協力をお願いしたいこと:
1. 不審なメールやSMSに記載されたURLを安易にクリックせず、個人情報やパスワードを入力しないようご注意ください。
2. SMS(ショートメッセージ)による二要素認証を利用している場合は、認証アプリや物理的なセキュリティキーへの切り替えを検討してください。

セキュリティ向上のため、お早めにご確認とご対応をお願いいたします。
Subject: [Security Notice] Beware of Phishing and SIM-Swap Attacks

Hi everyone,

Our IT security team would like to alert you to the activities of cybercrime groups using sophisticated phishing and "SIM-swap" techniques to steal sensitive information and assets.

How you can help:
1. Be cautious of suspicious emails or SMS messages. Avoid clicking unknown links or entering your credentials on unfamiliar sites.
2. If you currently use SMS-based two-factor authentication (2FA), we recommend switching to an authenticator app or a physical security key for better protection.

Please prioritize these security practices to keep your accounts safe.
件名: 【共有】Scattered SpiderによるSIMスワップおよびフィッシング脅威について

お疲れさまです。標的型攻撃グループ「Scattered Spider」に関連する脅威情報の共有です。

■ 概要
当該グループは、高度なソーシャルエンジニアリング、フィッシング、およびSIMスワップ(通信事業者を騙してSIMカードを再発行させ、電話番号を乗っ取る手法)を組み合わせて、多要素認証(MFA)を突破し、仮想通貨や機密情報を窃取します。

■ 影響範囲
- SMSベースのMFAを利用している全ユーザー
- 通信事業者の本人確認プロセスに依存しているアカウント

■ 対応手順
1. SMSベースのMFAから、FIDO2準拠の物理セキュリティキーや認証アプリ(TOTP)への移行を推進してください。
2. 従業員に対し、SIMスワップの危険性と、不審なSMSへの警戒について周知徹底してください。
3. 特権アカウントにおけるMFA設定の再点検を実施してください。

■ 参考情報
- Scattered Spider 関連レポート(The Register等)

対応優先度: 高(速やかな対策の検討を推奨)
Subject: [FYI] Threat Intelligence: Scattered Spider SIM-Swap and Phishing Campaigns

Hi all,

This is a security advisory regarding the threat actor known as "Scattered Spider."

■ Overview
Scattered Spider utilizes a combination of advanced social engineering, phishing, and SIM-swapping (hijacking a target's phone number via mobile carriers) to bypass multi-factor authentication (MFA) and steal cryptocurrency or sensitive corporate data.

■ Scope
- All users relying on SMS-based MFA
- Accounts dependent on mobile carrier identity verification

■ Recommended Actions
1. Transition users from SMS-based MFA to FIDO2-compliant physical security keys or authenticator apps (TOTP).
2. Conduct security awareness training focusing on the risks of SIM-swapping and sophisticated phishing.
3. Audit MFA configurations for all privileged accounts to ensure robust authentication.

■ Reference
- Related reports on Scattered Spider (e.g., The Register)

Priority: High (Prompt implementation of countermeasures is recommended)
C
月内に

Vercelは、サードパーティ製AIツールであるContext.aiの侵害を通じて、一部の顧客資格情報が漏洩したこと

事案🌐 英語ソース
🖥️ 製品OperaOfficeWord
📅 2026-04-20📰 theregister
📌 一言でいうと
Vercelは、サードパーティ製AIツールであるContext.aiの侵害を通じて、一部の顧客資格情報が漏洩したことを発表しました。攻撃者はVercel従業員が利用していたツールのOAuth連携を悪用し、内部システムへの不正アクセスを行ったとされています。Vercelは影響を受けた顧客に資格情報の即時更新を推奨し、現在も詳細な調査を継続しています。
🏢影響範囲
Vercelの顧客およびVercel内部システムを利用する組織
該当時の対応
影響を受けたユーザーは直ちにAPIキーやパスワードなどの資格情報をローテーションし、サードパーティ製アプリケーションへのOAuth権限を再確認すること。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【重要】Vercelにおける顧客資格情報の漏洩について

お疲れさまです。Vercelのセキュリティインシデントに関する情報共有です。

■ 概要
サードパーティ製AIツール「Context.ai」の侵害を起点として、Vercel内部システムへの不正アクセスが発生し、一部の顧客資格情報が漏洩したことが報告されました。攻撃者はOAuth連携を悪用してアクセス権限を取得したとされています。

■ 影響範囲
- Vercelを利用しているプロジェクトおよびアカウント
- 影響を受けた一部の顧客(Vercelより直接通知あり)

■ 対応手順
1. Vercelから通知が届いているアカウントがないか確認してください。
2. 影響が懸念される、または通知を受けた場合は、直ちにAPIキー、パスワード、認証トークンなどの資格情報をローテーション(更新)してください。
3. 連携しているサードパーティ製アプリケーションのOAuth権限を再点検し、不要な権限を削除してください。

■ 参考情報
- Vercel Security Bulletin

対応優先度: 高(速やかな確認と対応を推奨)
Subject: [Security Advisory] Customer Credential Compromise at Vercel

Hi all,

This is a security notification regarding a recent incident involving Vercel.

■ Overview
Vercel has reported a security incident where unauthorized access to internal systems led to the compromise of credentials for a limited subset of customers. The breach originated from a compromise of a third-party AI tool, Context.ai, where attackers exploited an OAuth integration used by a Vercel employee.

■ Scope
- Vercel customer accounts and associated internal systems.
- A limited subset of customers (those affected have been contacted directly by Vercel).

■ Required Actions
1. Verify if any organizational accounts have received direct notifications from Vercel regarding this breach.
2. For any affected or high-risk accounts, promptly rotate all credentials, including API keys, passwords, and authentication tokens.
3. Review and audit OAuth permissions granted to third-party applications to ensure the principle of least privilege.

■ Reference
- Vercel Official Security Bulletin

Priority: High (Prompt action is recommended)
C
月内に

Anthropic社のClaude Desktop(macOS版)が、ユーザーの同意なく他社製ブラウザの設定を変更し、拡張機能を事前承認させていること

事案🌐 英語ソース
🖥️ 製品macOSChromeOpera
📅 2026-04-20📰 theregister
📌 一言でいうと
Anthropic社のClaude Desktop(macOS版)が、ユーザーの同意なく他社製ブラウザの設定を変更し、拡張機能を事前承認させていることが判明しました。プライバシーコンサルタントのAlexander Hanff氏は、この挙動がEUのeプライバシー指令に違反しており、「スパイウェア」に相当すると指摘しています。安全性を重視するAI企業でありながら、不透明な方法で他アプリへのアクセス権限を操作している点が問題視されています。
該当時の対応
Claude Desktopのインストール状況を確認し、不要な権限付与やブラウザ設定の変更がないかチェックすること。プライバシー設定を再確認し、必要に応じてアプリケーションを削除または更新することを推奨します。