セキュリティ対策
［記事公開日］2026/10/28
［最終更新日］2026/11/11
セキュリティ対策
テレビでは放送されないですが、
今、日本は、中国から大量にサイバー攻撃されてます。
個人情報を盗むのが目的です。
2026年10月23日
中国系ハッカー集団（Storm-0940）、AIツールで世界数百組織に大規模サイバー攻撃
https://x.com/i/trending/2112874482721571303
前は、ここまでひどくなかったですが、日本はセキュリティ対策が甘いのか狙われやすいです。
いろんなサービスを使う時に、
メールアドレス、パスワード、個人情報などを入力します。
ですが、見知らぬ間いに勝手に個人情報が流出され被害にあう場合もあります。
自分で設定など変えておくといいです。
普段からGmailを使っている方
Googleのメール（Gmail）
【緊急】Gmail使ってる人は今すぐ確認してください
https://youtube.com/shorts/Yj4N3VUSZmU
AIを悪用した不正アクセスへの対策として、今すぐ見直しておきたい設定を3つ解説しています。
この動画では
・2段階認証を有効にする方法
・パスキーを設定する方法
・不要なアプリのアクセス権を確認する方法
をスマホだけで分かりやすく紹介しています。
設定を見直しておくのがおすすめです。
楽天カード海外で不正利用された
すぐ気付いて利用停止したけど
カード裏に電話番号書いてないどこに連絡すればええんや? https://t.co/nXTAjGiiAs
— スタジオサンフラワー🌻WF4-35-07 (@studio_sf) November 11, 2026
【Gmail使ってる人へ警告】
乗っ取りは、パスワードを変えても終わらないことがあります。
犯人が、メールを読み続ける「合鍵」を設定の奥に残していくからです。
隠し場所は6か所。しかもスマホのGmailアプリからは、ほぼ見えません。
確認する場所、動画で全部見せます↓ https://t.co/ZZSxzaDCG7— 動画で解説 (@singaporetweet2) November 5, 2026
楽天
https://x.com/search?q=%E6%A5%BD%E5%A4%A9&src=typed_query
恥ずかしながら、IT出身ながら初めて詐欺に遭いそうになりました…
①10/19(月)起床すると明け方3:58に楽天市場から認証コードがメールに届いている事に気が付き不正アクセスを知る。(二段階認証のためカード利用等はされていない。)
②同日午後に楽天より不正アクセスの通知が届く。 https://t.co/IXGdeppkaW— なぎちゃん🐾 (@_anne_coco) October 20, 2026
【ヨドバシ・ドット・コムを使っている人へ】
Xで「不正ログインされて43万円分の注文をされた」という報告が広がっています。
11月4日時点の公式案内では
・二段階認証 ✕
・パスキー ✕
ログインは「パスワード1本だけ」です。
（Amazonや楽天にはどちらもあります）しかも同じIDで、通販・ポイント・カード会員ページまでつながっています。
▼今日5分でできる対策
① 登録クレジットカードを削除（会員ページ→「お支払いの設定」）
② パスワードを使い回しのない16文字以上に変更
③ カード会社側の本人認証（Visaセキュア等）を確認
④ ポイントをため込まない
⑤ メールやSMSのリンクからログインしない（入口はブックマークから）▼被害に気づいたら、この順番で
パスワード変更＋カード削除 → ヨドバシの窓口へ連絡 → 出荷前なら注文キャンセル → カード会社へ連絡
やり取りは「いつ・誰と・何を」メモしておくことが大事です。画面の順番どおりに動画で解説しました👇
ご家族、とくに親御さんにも共有してあげてください。— 動画で解説 (@singaporetweet2) November 5, 2026
まだXを乗っ取られていない人、今すぐ確認して😭
仕事中、別垢の乗っ取り通知😱
この2項目がOFFだった💦Xアプリ→設定とプライバシー
→セキュリティとアカウントアクセス
→セキュリティ→追加のパスワード保護画像の2項目をONにしてください🙏
使い回しパスワードも必ず変更してくれよな👍 https://t.co/jSetYrkexD— 瑞馬かおり｜動ける完璧主義 (@mizumakaori) October 30, 2026
WordPress プラグインの脆弱性一覧（直近90日・国内の利用数つき） | WPカタログ
https://wpcatalog.jp/vulnerabilities/
【Googleアカウントのセキュリティ設定について】
アカウントのセキュリティ対策をする方が先という声もあったので、整理しました
まだ設定していない人は必見
これから追加で設定する人も、設定はしたけどちゃんとできてるか正直自信がない人も、このポストに書いてる9個を順番にやってください（もしくはできてるかチェック）前の投稿で「同期を切るより、Googleアカウントのセキュリティを頑丈にする方が先」と書いたので、その具体的な設定方法です
設定は全部「セキュリティとログイン」の中にあります
（GmailアプリかGoogleアプリの右上の自分のアイコン → 「Googleアカウントを管理」→ 上の「セキュリティとログイン」タブ）
画面の名前や場所は機種や更新で多少変わるので、もし違っていたら近い名前を探してください先に理由だけ
Gmailは他のサービスの「パスワードを忘れた」を押した時の再設定用メールが全部届く場所です
Google認証システムを同期している人は、2段階認証のコードもここです
なのでGoogleアカウントを乗っ取られると、他のサービスも芋づる式に乗っ取られますということで、設定の話に入ります
まずは全員この4つから設定してください
（10分～20分くらいでできる）1. パスキーを作る
セキュリティとログイン → パスキーとセキュリティキー → パスキーを作成
これをやると、ログインがFace IDか指紋認証になって、パスワードを打つ場面がほぼ無くなります
普段パスワードを打たなくなるので、偽サイトでいきなりパスワードを聞かれた時点で「おかしい」と気付けます
iPhoneの人は、パスキーの保存先になるiCloudキーチェーンをオンにしておいてください2. 2段階認証プロセスをオンにする
方法は「パスキー」「Googleプロンプト（スマホに出る『はい』のやつ）」「認証アプリ」のどれか
SMS（ショートメッセージで届くやつ）は一番弱いので、上のどれかを登録してからSMSを外してください
先にSMSを外すとログイン手段が減るだけです
ここで外すのは2段階認証の方法としてのSMSで、3で入れる再設定用の電話番号とは別の設定です3. 再設定用の電話番号とメールアドレスを入れる
締め出された時と、乗っ取られた時に取り戻すための連絡先（電話番号と予備のメールアドレス）です
再設定用のメールは、別のアドレスにしてください
アカウントと同じGmailを入れても意味がありません
（自分の緊急連絡先に自分の携帯番号書くのと同じ）4. セキュリティ診断を一回実行する
同じ画面の上の方に出る「アカウントを保護」から
出ていなければ、管理画面の一番上の検索欄に「セキュリティ診断」と入れると出ます
今ログインしている端末、Gmailを読める外部アプリ、保存したパスワード、最近のログイン、Gmailの設定が一覧で出てきます
知らない端末があればログアウト、使っていないアプリは解除
設定済みの人も、ここを一回実行すると「やったつもりでもやってなかった」という部分が大体出てきます余裕があれば追加でこの4つ
5. 2段階認証のバックアップコードを出して、紙に書いておく（またはプリンターで印刷）
スマホを失くしても入れる最後の鍵です
10個出てきて、1個の番号につき1回使えて、使った番号はもう使えなくなります
減ってきたら再作成（多分10個も使うこと無いけど）6. Gmailの「転送」と「フィルタ」を見る
PCのブラウザ版Gmailで（スマホならブラウザで開く）
設定 → すべての設定を表示 → 「メール転送とPOP/IMAP」と「フィルタとブロック中のアドレス」
乗っ取った人が最初に仕込むのがここです
知らない転送先が入っていたら消してください7. パスワードマネージャーの「オンデバイス暗号化」をオンにする
Chromeの設定 → 自動入力とパスワード → Googleパスワードマネージャー → 設定 → オンデバイス暗号化
Chromeに保存したパスワードを、Googleにも読めない形にします
ただし一回オンにすると戻せません
鍵はGoogleアカウントのパスワード（もしくは対応端末の画面ロック）で、これを忘れて復旧でリセットすると、保存したパスワードが消えることがあります
3の再設定用の連絡先を入れて、PCなど2台目にもパスワードを同期してからやってください
パスワードに自信がない人は後回しでいいです8. 使っていないサードパーティアプリの連携を切る
セキュリティとログイン → サードパーティ製のアプリとサービス
昔入れた診断アプリやゲームが、今もGmailを読める権限を持ったままだったりします本気でアカウントを守りたい人は最後の9個目をすべし
9. 高度な保護機能プログラムに入る
同じセキュリティとログインの画面の一番下「高度な保護機能プログラム」から
Googleが用意している中で一番厳しい設定です
パスキー（もしくはセキュリティキー）でしかログインできなくなって、Gmailやドライブを読める外部アプリもかなり制限されます
その代わり、自分がアカウントを取り戻す時も数日かかります
2024年7月からは物理のセキュリティキーが無くても、スマホのパスキーだけで登録できるようになってます
締め出されないように、2つ目のパスキーか予備のセキュリティキーは必ず登録しておいてください
経営者の人、発信している人、口座にそれなりに資産がある人は、入っておいて損はないかなと思いますあと一つだけ
パスキーの鍵は、結局はスマホのロック（Face IDとパスコード）です
ロック番号は、電車や店で打つ所を見られれば分かってしまいます
その番号を知った人にスマホが渡ると、パスキーもそのまま使われます
ロック番号は4桁ではなく6桁以上にして、人前ではできるだけ打たないようにしてくださいなので、iPhoneは「盗難デバイスの保護」、Androidは「盗難防止」を一緒にオンにしておいてください
ここまでやっておけば、引用元の「同期を切るか」の話は、切らなくても大丈夫な状態にはなります
— おむらいす@ブランド屋経営してる人／ベンチプレス30kg (@omurice_brand) October 29, 2026
2026年10月29日
AppleがiOS 27.2などセキュリティアップデート公開、SIMロックに注意呼びかけ
https://x.com/i/trending/2114793017370615997
LINEの設定
衝撃だった。
『スマホが乗っ取られる』原因って「個人情報の漏洩」だと思ってたけど、実はこれは表面的な問題で
携帯ショップの店員いわく
1番乗っ取りの原因になっているのは
怪しい海外サイトの閲覧でもなく
不審なアプリのインストールでもなく
公共Wi-Fiの利用でもなく、、— しょうた | Z世代が教えるiPhone活用術 (@iphone__syouta) October 28, 2026
ちょっとこれ、目を通してほしいです。
本物の銀行アプリの上に偽のログイン画面を重ねてくる手口です。
■本物の銀行アプリを開いたのに「偽画面」 認証情報を盗む詐欺が発生、金融機関が相次ぎ注意喚起
https://t.co/1EbFhE8zi8 https://t.co/3L4OAY71LT— おたくま経済新聞📰 (@otakumatch) October 26, 2026
【緊急】今、確認しておきたいセキュリティ問題8選
PHP、Node.js、Java、Next.js、Apache Tomcatに加え、GitLabやOracle関連製品にも重大なセキュリティ更新が出ています。
公式発表だけを調べてまとめました。
ただし、全員が8件すべてに対応する必要はありません。自分や会社が使っている技術が対象かどうかを確認してください。
① PHP【最優先で確認】
10月21日、PHP公式が重大な脆弱性2件の修正版を公開。
危険度はどちらも9.2。
条件によってはログインなしでサーバー上のプログラムを不正に実行される恐れがあります。
修正版：
・8.5.12
・8.4.27
・8.3.36
・8.2.35
WordPressを利用している方も、サーバー側のPHPが対象か確認してください。
WordPress本体を更新するだけでは、この問題への対処は完了しません。
② Node.js【開発者・サイト運営者向け】
10月21日、公式がセキュリティ修正版を公開。合計10件の脆弱性を修正し、最高深刻度は「高」。
圧縮データの処理やネットワーク関連の問題などが含まれます。
修正版：
・22.23.4
・24.22.1
・26.12.1AIツール、Webアプリ、自動化システムなどでNode.jsを使っている人は要確認。
一般のWebサイト閲覧者が、全員更新する必要があるわけではありません。
③ Java【企業システムで要注意】
10月20日、Oracleがセキュリティ更新を公開。
日本のIPAも10月21日に注意喚起しています。
悪用された場合、アプリの異常終了や不正操作などにつながる恐れがあります。
Javaを使う業務システム、社内ツール、サーバーを管理している場合は、利用バージョンと更新状況を確認してください。④ Next.js【Webアプリ開発者は重要】
10月14日、Next.js公式が重大なセキュリティ更新を公開。
深刻度9.5の脆弱性が2件あります。
特定のキャッシュ処理や画像最適化処理を悪用され、条件次第でログインなしの不正コード実行につながる恐れがあります。
修正版：
・16.4.1
・15.5.28該当するNext.jsアプリを運営している場合は、依存パッケージも含めて更新してください。
⑤ Apache Tomcat【Javaサーバー運営者向け】
10月20日、複数の脆弱性が公表されました。
主な問題は以下のとおり。
・特定の認証設定でパスワード確認を回避される恐れ
・HTTP/2通信で別ユーザーの応答が混ざる恐れ
・AJP通信で情報が漏れる可能性Tomcat 11系では11.0.27などで修正されています。
利用している系列と設定によって影響が異なるため、公式の対象バージョンを確認してください。
⑥ GitLab【危険度10.0】
10月21日、GitLab公式が緊急セキュリティ更新を公開。今回特に深刻なのがCVE-2026-110264。
危険度は最高評価の10.0。
特定条件下で、ログインしていない攻撃者がGitLabサーバー上で不正なプログラムを実行できる恐れがあります。
修正版：
・19.5.1
・19.4.3
・19.3.6
・19.2.9
・19.1.9
・19.0.10
・18.11.13https://t.co/udjd3Pbdelはすでに修正済み。
自社でGitLabを運用している管理者は、早急に確認してください。
⑦ Oracle製品群【企業向けの大規模更新】10月20日、Oracleが合計1,295件のセキュリティパッチを公開。
データベース、業務システム、クラウド関連製品など、幅広い製品が対象です。
一部にはログインなしで悪用される可能性がある深刻な脆弱性も含まれます。
ただし、すべてのOracle製品に同じ危険があるわけではありません。
企業のシステム管理者は、自社が利用する製品の更新情報を確認してください。
⑧ MySQL【データベース管理者向け】
10月20日、MySQL 8.4.13が公開。
セキュリティ関連の修正も含まれています。
データベースへの認証処理や、入力データの検証などの不具合が修正されています。
MySQLを直接運用している場合は、利用バージョンと提供元の更新情報を確認してください。
【今すぐやること】
一般利用者
・怪しい更新メールやリンクを開かない
・公式サイトや利用サービスの案内を確認
・自分で管理していないサーバーを無理に操作しない
サイト・アプリ運営者
・使用している技術とバージョンを調べる
・公式の脆弱性情報と照合する
・バックアップを取る
・必要な修正プログラムを適用する
・更新後に動作確認とログ確認を行う
大切なのは、情報に振り回されることではなく、自分が使っている環境を把握すること。
脆弱性が公表されたことと、すでに全サイトが攻撃されていることは別です。特にPHP、GitLab、Next.jsは重大なリスクが公式に確認されています。
自分でサイトを運営している方、会社のシステムを管理している方は、早めに確認してください。
2026年10月22日時点の公式発表に基づくまとめです。
— ラッキー｜AIを武器に。 (@lucky_note_lab) October 22, 2026
この見出しはどうなの？
PayPay不正利用について、
公式ストア以外から入れたアプリ入れてると遠隔操作で送金されるそうです。
2026年10月27日
PayPay不正利用で銀行口座から残高抜き取り被害相次ぐ
https://x.com/i/trending/2114692490737353207
あたかもPaypayが不正アクセスをうけて「紐付けた銀行口座から全部抜かれる」みたいな投稿が回ってますが、半分本当で半分違います
本当の部分
8月から「身に覚えのない送金」の報告がPayPayに急増してて、紐付けた口座からチャージされて送金された人は実際にいる
5月には口座2つとカードで約200万円抜かれた人もいる違う部分
PayPayのシステムが破られた訳じゃない
原因は「TikTok18+」みたいな、公式ストア以外から入れたアプリ
入れるとスマホを遠隔操作されて、画面は真っ暗に見せたまま、裏でPayPayを開いてチャージして送金される
SMSの認証コードもパターンロックも、画面を見られてるので効かない
以前にポストした銀行アプリの偽画面の件と、犯人は同じ
だから「気を付けようがない」は逆で、自分でアプリを入れなければ起きない紐付けを外さなくても、やれる対策はある
・PayPayの「利用可能額の設定」で、チャージの上限を1日分くらいまで下げて「取引を一時保留にする」にしておく
上限を上げるには端末の認証が要るので、Face IDか指紋にしておく
パスコードだと画面を見られて突破される・取引の通知をオンにして、身に覚えのない送金があれば60日以内に警察に届けて補償を申請する（原則全額補償）
・紐付けは、給料が入る口座だけ外すか、チャージ用の口座に分ける
「全部解除」までしなくていい
この流れに乗ってインプレッションを稼ごうと大げさに表現してるポストも多いので全てを真に受けて焦らないように
その焦ってる時にタイミングよく届いた偽メールとかでフィッシングされるパターンもありえます
— おむらいす@ブランド屋経営してる人／ベンチプレス30kg (@omurice_brand) October 26, 2026
PayPay詐欺対策したはいいが、（セキュリティ対策）とても面倒、なので解除した
Yahoo!ショッピングでのPayPayポイントを全額使って、PayPayポイントだけで決済したかった。
そしたら
システムエラーが発生しました。時間をおいて再度ご注文いただくか、その他のお支払い方法をご利用ください。(エラーコード:301031)
こんなメッセージが出たけど。
これは、どうやら、PayPayで金額設定してるとエラーが出る
クレジットカードを使わないのに、エラーなるらしい
面倒だが、金額設定をオフ
すると、すんなりPayPayポイントだけで購入できた。
これだと、なんのためのセキュリティ設定したのかわからないし
とても手こずった。
セキュリティ対策したら、使いにくいってなんだかな
【PayPay詐欺】残高0円でも70万円以上が奪われる…今すぐ確認するべき3つの設定はコレ
PayPayの「利用可能額の設定」を確認
まず、PayPayのログイン履歴を確認
PayPayからアカウントをタップ
セキュリティとプライバーをタップ
端末の管理をタップ
ここで、PayPayにログインしてるスマートフォン名が表示されます。
自分が持ってない見知らぬスマートフォン名の場合は他人がログインしてます。
1つ目の設定
PayPayからアカウントをタップ
利用可能額の設定
ここで自分で設定するといいです
支払いは、お店での買い物
友達に送るは、個人宛の送金
チャージは、銀行口座からの入金
1日あたりの利用可能額を変更
1月あたりの利用可能額を変更して、
取引を一時保留するにする
2つ目の設定
送る・受け取る設定
携帯電話番号を公開しない
PayPay ID（PayPayの中で使うIDのこと）を公開しない
連絡先からの検索を許可しない
もし家族に送金するなら
Myコードを共有する、QRコードが出ます。
3つ目の設定
外部サービス連携について
外部サービス連携をタップ
ここに、PayPayと紐付けされたサービス一覧が表示されてるので
権限管理の部分、ここは、あなたのPayPayからお金を払わせる権限を許可してるので、もし使ってないサービスや、見知らぬ店名などあったら、不要なら解除。
知らぬ間に、ずっとお金が引き落としされます。
Twitterでの不正アクセスの確認
みんな一応不正アクセスされてないか確認したほうがいいですよ。私も知らないアクセスが5件もあってびっくりしました
手順
1.設定とプライバシー
↓
2.セキュリティとアカウントアクセス
↓
3.アプリとセッション
↓
4.セッション
↓
5.見覚えのないアクセスがあったらログアウト https://t.co/0hbo307LTa— ハヤ (@Ksv1kvJbse36599) October 22, 2026
【サイバーセキュリティ対策本部】
本日、警視庁で初めてオンラインによる「サイバーセキュリティセミナー」を実施し、多くの方に聴講いただきました。今後も有用な情報を発信していきますので、どうぞよろしくお願いします！
#サイバーセキュリティセミナー #警視庁 https://t.co/N2sZP0Gm8K— 警視庁サイバー (@MPD_cybersec) October 23, 2026
