流出ニュースの舞台裏：何を見て、何を届け、なぜすべての警告に署名するのか

公開 2026-11-08

キーを預けているサービスが侵害されたとき、役に立つのは、その日のうちに届き、どのキーを差し替えるべきかがわかり、しかも正しい警告です。流出ニュースはそのためにあります。署名付きのアドバイザリを KeyRotate と FrontierStack に配信し、同じものを流出ニュースで公開しています。この記事では、警告がどこから来るのか、何を配信しないのか、今月何が変わったのかを説明します。

3 か国語、約 50 の情報源

Enfour のクローラ Security Watch は、30 分ごとに情報源を読んでいます。これまでは主に英語と日本語のセキュリティ報道でしたが、新たに 4 地域の CSIRT も読むようになりました。米国の CISA、EU の CERT-EU と ENISA の EU 脆弱性データベース、日本の JPCERT/CC・IPA・JVN、韓国の KrCERT/CC と KISA です。あわせて、悪用が確認された脆弱性のリスト、PHP・Node.js・PostgreSQL のセキュリティ発表、そして 3 か国語のセキュリティ報道を読みます。BleepingComputer や The Record から、piyolog、ITmedia、Security NEXT、さらに Boan News、DailySecu、電子新聞（Electronic Times）まで。最新の一覧は「流出ニュースが見ているもの」にあります。

利用者に届くものだけ

セキュリティニュースの多くは、あなたには関係ありません。ある店舗の顧客データベースの流出、病院システムの脆弱性、統計レポート。誰かにとっては重要でも、API キーやサーバ群を管理している人には関係がありません。そこで Security Watch は、アプリの利用者に届きうる記事だけを残します。

• KeyRotate がキーを管理するサービスでの侵害・流出・強制リセット
• FrontierStack がサーバで確認しているサーバソフトウェア（PHP、OpenSSH、nginx など）のセキュリティリリース
• FrontierStack が監視するファイアウォール、VPN ゲートウェイ、ロードバランサ（NetScaler、FortiGate、PAN-OS など）の悪用された脆弱性
• 認証局の侵害、不正なパッケージ・拡張機能・アップデート

韓国と日本の 1 日分のニュースでこのルールを試したところ、残ったのはおよそ 40 本に 1 本で、残った記事は実際に私たちが警告を出したインシデントでした。

3 種類のアドバイザリ

流出アドバイザリは KeyRotate と FrontierStack に届きます。KeyRotate はそのサービスを使っていたかを尋ね、API キーが漏れた場合は、そこに保存したキーをまとめて差し替えられます。パッチアドバイザリは FrontierStack の「セキュリティアップデート」ペインに届き、修正版と各サーバのバージョンを比べます。今月から加わったエッジアプライアンスアドバイザリは「エッジアプライアンス」ペインに届き、新たに悪用された脆弱性を、リリースの合間にアプリ内蔵のベンダ表へ追加します。追加できるのは脆弱性だけで、表から取り除いたり条件を緩めたりはできないため、誤りがあっても脆弱な機器を「安全」と伝えることはありません。

元の発表の言語で書く

アドバイザリは英語・日本語・韓国語で届きます。元の発表が日本語や韓国語の場合（日本の事業者や KISA の発表など）、その言語のアドバイザリは原文の表現、つまりメニューや設定の名前、日付、手順に沿って書きます。ほかの 2 か国語はその翻訳なので、訳し直しで意味が失われることはありません。

すべての警告に人が署名する

Security Watch は下書きを作るだけで、公開はしません。すべての下書きを Enfour の担当者が読み、各社の発表と照らし合わせ、署名用の Mac から出ることのない鍵でオフライン署名します。アプリも流出ニュースのページも、表示する前にその署名を検証します。配信サーバを乗っ取られても、警告を偽造することはできません。

特に深刻なものは SNS でも

最も深刻な段階（キーやログイン情報が盗まれた、またはそのおそれがある）と判断した流出で、Mac の利用者に影響するものは、Enfour の Facebook ページにも短い警告を投稿し、アドバイザリ全文へのリンクを付けます。投稿は、署名済みのアドバイザリが配信されてからです。

どこで読めるか

KeyRotate と FrontierStack には、少なくとも 1 日 2 回、自動で届きます。Web では流出ニュースに現在のものを、アーカイブに過去のすべてを掲載しています。