KeyRotate が「流出ニュース」を公開：アプリに配信している侵害アドバイザリを Web でも

公開 2026-10-26

KeyRotate の Web サイトに新しいページ「流出ニュース」を設けました。キーやログイン情報を預けているサービスが侵害されると、Enfour は数時間のうちに KeyRotate へアドバイザリを配信し、アプリはそのサービスを使っていたかを尋ねます。これまでアドバイザリはアプリの中でしか読めませんでしたが、これからは誰でも読めます。

掲載内容

各項目は、アプリが受け取るアドバイザリそのものです。何が起きたのか、影響を受けた期間、各社が封じ込めたとする日、影響を受けやすいキー、取るべき対応、そして各社のお知らせへのリンクを載せています。認証局が侵害されたインシデントは、別の項目にまとめています。

2026 年 10 月だけでも、13 件のインシデントと 1 件の認証局の侵害が並びました。

• キーを貼り付けて使うサービスからの流出：STUDIO、Railway、OpenCode Console
• 認証情報を盗むマルウェアを含んでいた LiteLLM のリリース
• セルフマネージド版 GitLab と Node.js の重大な修正
• お名前.com デスクトップクラウドの不正アクセスと、それを通じて取引ログインを盗まれた顧客を抱える FX 会社
• SBI証券、インドステイト銀行、DigiD からの警告
• eMudhra 認証局の侵害

このうち 2 件は詳しく書きました：STUDIO の不正アクセスとお名前.com デスクトップクラウドの不正アクセスです。

アラートの仕組みから、署名ごとそのまま

このページは、誰かが手作業で更新している写しではありません。アプリが読むのと同じ配信を読んでいます。アドバイザリの一覧は、サーバに置かれることのない Enfour の鍵でオフラインで署名されており、KeyRotate は組み込まれた鍵で署名されていない一覧を受け付けません。

流出ニュースのページも、同じ検証をブラウザの中で行います。最新の一覧を取得し、Ed25519 の署名を KeyRotate に組み込まれた鍵で検証して、署名が正しいときだけ新しい一覧を表示します。新しいアドバイザリはアプリに届くと同時に Web にも載り、仮に Web サーバに侵入されたとしても、Enfour の名前でページに文章を載せることはできません。JavaScript が無効な場合は、最後に更新した時点の一覧を表示します。

ページ上部の表示で、どのアドバイザリをいつ発行されたものとして読んでいるかがわかります。

アプリでは同じアドバイザリをこう使います

ニュースを読むのは始まりにすぎません。KeyRotate では、アドバイザリが概要画面のカードと、そのサービスを使っていたかを尋ねる通知になります。使っていた場合は手順がチェックリストになり、進み具合が保存されます。API キーが漏れたインシデントでは、そのサービスに保存したキーを「漏えい」として示し、使っていたファイルの更新も含めてまとめて差し替えられます。知らせるのは使っていると答えたサービスだけで、アドバイザリの取得はダウンロードだけなので、キーに関する情報が Mac の外に出ることはありません。

FrontierStack でも

FrontierStack にも同じ署名付きアドバイザリが届きます。Web サイトが使っているサービスの名前が挙がると、サイト画面にバナーが表示され、セキュリティにアラートが上がり、そのサービスのパネルにアドバイザリのカードが表示されます。AI 管理者は vendor_breaches ツールで一覧を確認できます。KeyRotate とペアリングしていれば、FrontierStack が持つキーも同じチェックリストから差し替えられます。

最新の一覧は流出ニュースのページでご覧ください。