KeyRotate
KeyRotate › 流出ニュース

流出ニュース：キーが危険にさらされたインシデント

キーやログイン情報を預けているサービスが侵害されると、KeyRotate は数時間のうちにそれを知り、そのサービスを使っていたかを尋ねます。このページに載せているのは、Enfour がアプリに配信しているものと同じアドバイザリです。何が起きたのか、影響を受けやすいキー、取るべき対応を掲載しています。

各アドバイザリは Enfour の鍵で署名されており、アプリもこのページも、表示する前に署名を検証します。KeyRotate では手順が概要画面のチェックリストになり、API キーが漏れたインシデントでは、そこに保存したキーをまとめて差し替えられます。

アドバイザリ #5（2026年10月24日 発行）

緊急影響期間 2026年10月21日 · 2026年10月22日 封じ込め

Railway の環境変数が漏えい（2026 年 10 月）

攻撃者が Railway の環境変数を保存するシステムに侵入し、その一部（API キー、データベースのパスワード、プライベートレジストリの認証情報）を復号しました。Railway は AI プロバイダのキーが狙われたとみています。Railway の変数に保存しているすべてのシークレットをローテーションし、新しい値を Railway に貼り付けて再デプロイしてから、各ベンダーで古い値を失効させてください。

影響を受けやすいキー： OpenAI, Anthropic, OpenRouter, xAI (Grok), Stripe, GitHub

対応手順（8 項目）
  1. Railway の変数（サービス変数と共有変数）にあるすべての API キー、トークン、パスワードをローテーションし、新しい値を Railway に貼り付けて再デプロイしてから、各ベンダーで古いキーを失効させてください。
  2. OpenAI、Anthropic、OpenRouter、xAI（Grok）、Stripe で、2026 年 10 月 21 日以降に心当たりのない利用がないか確認してください。
  3. 接続文字列が Railway の変数に入っていた PostgreSQL、MySQL、MongoDB、Redis データベースのパスワードを変更してください。
  4. Railway に保存したプライベートコンテナレジストリの認証情報を置き換えてください。
  5. Railway の API トークンを新しく作成してください。Railway は 10 月 22 日にすべてのトークンを無効にしたため、古いトークンを使うスクリプトや CI は動かなくなっています。 ↗
  6. Railway Buckets を使うサービスを再デプロイして新しいバケットの認証情報を読み込ませ、GitHub を接続し直してください。
  7. GitHub、AWS、Google Cloud の監査ログに心当たりのないアクセスがないか確認してください。
  8. アカウントが影響を受けたかを知らせる Railway からのメールを確認し、Railway のパスワードやトークンを求めるメッセージはフィッシングとして扱ってください。

お知らせを読む

緊急影響期間 2026年10月21日 · 2026年10月22日 封じ込め

LiteLLM 1.107.0 のリリースに認証情報を盗むマルウェア（2026 年 10 月）

PyPI の LiteLLM 1.107.0（2026 年 10 月 21 日 11:39〜13:23 UTC）と、Docker Hub・GHCR の v1.107.0、latest、main-latest、main-stable タグのイメージ（14:20 UTC まで）は攻撃者がビルドしたもので、認証情報を盗みます。対象は AI プロバイダのキー（LiteLLM プロキシのデータベースに保存したものを含む）、クラウドと Kubernetes の認証情報、SSH と Git の鍵、Claude・Codex・Gemini・Cursor のサインイン情報です。LiteLLM を読み込まなくても、Python が起動するたびに実行されます。インストールしたマシンやコンテナがあれば、そこから届くものはすべて盗まれたと考えてください。先にマシンを駆除してから、ローテーションしてください。攻撃者は、Claude Code の出力を記録したログに残っていた GitHub トークンを使って侵入しました。

影響を受けやすいキー： OpenAI, Anthropic, Google (Gemini), OpenRouter, GitHub

対応手順（8 項目）
  1. すべての仮想環境・CI ジョブ・コンテナで litellm 1.107.0 がないか、10 月 21 日に latest・main-latest・main-stable タグから取得したイメージがないか確認してください。site-packages に cook.pth、cook.py、sitecustomize.py があれば感染しています。
  2. 先に pip を実行しないでください。Python を起動するたびにマルウェアが再実行されます。すべての site-packages から cook.pth、cook.py、sitecustomize.py と対応する __pycache__ ファイルを削除し、/tmp/remote_code_loader.lock を保持している Python プロセスを止めてから、litellm==1.106.2 で作り直すか再インストールしてください。 ↗
  3. LiteLLM プロキシに保存したすべてのプロバイダキー（設定・環境変数・データベース）、マスターキー、すべてのバーチャルキー、DATABASE_URL のパスワードをローテーションしてください。
  4. マシンから届くほかのシークレットもすべてローテーションしてください。クラウドのロールとアクセスキー、GitHub と Git のトークン、SSH と GPG の鍵、データベースのパスワード、プロセスの環境変数にあるシークレットです。駆除前に交換したものは、もう一度交換してください。
  5. そのマシンの Claude Code、Codex、Gemini CLI、Cursor からサインアウトしてサインインし直し、ブラウザに保存したパスワードを変更してください。
  6. 2026 年 10 月 21 日 11:00 UTC 以降の AWS CloudTrail で GetCallerIdentity の呼び出し、Bedrock の利用、IAM の列挙、新しいアクセスキーがないか、また AI プロバイダの利用状況に心当たりのないリクエストがないか確認してください。
  7. DNS またはファイアウォールで litellm.dev ドメインをブロックしてください。マルウェアは盗んだ情報をそこへ送ります。
  8. AI ツールの出力を記録したログ（Claude Code の会話記録、プロキシのリクエストログ）に GitHub トークンなどのシークレットが残っていないか探し、見つかったものは失効させてください。

お知らせを読む

緊急影響期間 2026年10月19日 – 2026年10月22日 · 2026年10月22日 封じ込め

FXTF：VPS サービス経由で取引口座のログイン情報が盗まれる（2026 年 10 月）

FXTF（ゴールデンウェイ・ジャパン）は、他社の VPS サービスへの攻撃により、VPS で取引していた一部のお客様の取引口座 ID とパスワードが取得され、ログインや取引に使われた可能性があると発表しました。FXTF 自体のシステムへの攻撃ではないとしています。VPS 利用者には至急パスワードを変更するよう求め、それ以外のお客様にも変更を推奨し、10 月 23 日から MT4/MT5 のワンタイムパスワードを必須にしています。

対応手順（6 項目）
  1. VPS 以外の端末から、今すぐ FXTF の取引口座のパスワードを変更してください。変更できない場合は FXTF のサポート（0120-445-435）へ電話してください。 ↗
  2. マイページでパスキーを登録し、パスキーログインを有効にしてください。
  3. 他人のセッションが残らないよう、FXTF MT4、FXTF MT5、FXTF GX、マイページからすべてログアウトしてください。
  4. 取引履歴と残高に身に覚えのない取引がないか確認し、あれば FXTF に連絡してください。
  5. 10 月 23 日から FXTF の MT4/MT5 ログインで必須になるワンタイムパスワードを設定してください。
  6. 同じパスワードを使っているほかのサービスでも、パスワードを変更してください。

お知らせを読む

緊急影響期間 2026年10月19日 – 2026年10月21日 · 2026年10月21日 封じ込め

お名前.com デスクトップクラウドに不正アクセス、取引口座のログイン情報が盗まれる（2026 年 10 月）

GMO の FX 自動売買向け VPS「お名前.com デスクトップクラウド」のサーバに第三者が不正なプログラムを設置し、最大 26,739 台に影響した可能性があります。サーバ上の MT4/MT5 などのツールに保存した取引口座のログイン情報が取得され、顧客の口座で不正な取引が行われ、数百万円規模の損失も報告されています。GMO は 10 月 21 日 4:00（日本時間）から全サーバを停止しており、再開時期と侵入の開始時期は公表していません。別の端末から、サーバで使っていたすべての取引口座とその他のログインのパスワードを変更し、すべてのセッションを切断してください。

対応手順（8 項目）
  1. VPS 以外の端末から、サーバで使っていたすべての取引口座と取引ツール（MT4/MT5、cTrader、各社のマイページ）のパスワードを変更してください。 ↗
  2. その後、盗まれたログイン情報が使われないよう、すべてのセッションをログオフしてください。プラットフォームでできない場合は、取引会社のマイページや窓口で切断してください。
  3. 取引履歴と残高を確認し、身に覚えのない取引があればすぐに取引会社へ連絡してください。
  4. 取引会社が提供していれば、二段階認証・ワンタイムパスワード・パスキーを設定してください。
  5. サーバで使った・保存した・メモしたほかのパスワード（ブラウザ、メモ帳、メール）もすべて変更し、同じパスワードを使っているサービスも変更してください。
  6. サーバ停止中は EA が動いていません。保有中のポジションはご自身で管理・決済してください。
  7. 取引会社のお知らせを確認してください。OANDA 証券、Titan FX、AXIORY、IronFX、IS6FX、XMTrading、FXTF などが案内を出しています。
  8. 攻撃者を名乗るメールや、パスワード・カード情報を求めるメッセージには応じないでください。GMO はメールや電話でそれらを尋ねることはないとしています。

お知らせを読む

緊急影響期間 2026年10月17日 – 2026年10月19日 · 2026年10月20日 封じ込め

OpenCode Console のプロバイダキーが漏えい（2026 年 10 月）

侵入者が OpenCode Console の旧システムに到達し、Console 利用者の約 1.4% がワークスペースに連携していた OpenAI、Anthropic、Google のキーを読み取った可能性があります。数時間で高額な不正請求を受けた利用者もいます。Mac 上の OpenCode（CLI とデスクトップアプリ）はキーをローカルに保存しており、影響はありません。OpenCode Console に連携したすべてのプロバイダキーを各プロバイダで失効させ、新しいキーを作成して、使っていたアプリを更新してください。

影響を受けやすいキー： OpenAI, Anthropic, Google (Gemini)

対応手順（6 項目）
  1. OpenCode Console のワークスペースに連携した OpenAI、Anthropic、Google のキーを、各プロバイダのダッシュボードですべて失効させ、新しいキーを作成して、古いキーを使っていたすべてのアプリを更新してください。
  2. OpenAI、Anthropic、Google Cloud で、2026 年 10 月 16 日以降の利用状況と請求に心当たりのないリクエストがないか確認し、不正な請求はプロバイダと OpenCode に報告してください。
  3. 各プロバイダで月額の利用上限か予算アラートを設定し、盗まれたキーで高額な請求が発生しないようにしてください。
  4. Google Cloud がリソースの乗っ取りを理由にプロジェクトを停止した場合は、先にそのキーをローテーションしてから、Google Cloud コンソールで停止の解除を申し立ててください。 ↗
  5. 影響を受けた利用者への OpenCode からのメールを確認してください（OpenCode は、メールが届いていなければキーは影響を受けていないとしています）。OpenCode がインシデントの終息を発表するまで、Console にプロバイダを再び連携しないでください。
  6. 侵害を知らせるメールのリンクからではなく、各プロバイダのダッシュボードに直接アクセスしてください。API キーや OpenCode のサインイン情報を求めるメッセージはフィッシングとして扱ってください。

お知らせを読む

緊急影響期間 2026年9月30日 – 2026年10月1日 · 2026年10月15日 封じ込め

STUDIO 不正アクセス（2026 年 10 月）

STUDIO の API 連携（Data Connect、API Connect）に保存したサードパーティの API キーとトークン、カスタムプロキシキー、Google スプレッドシート連携の認証情報、ページのパスワードが、それらを復号する鍵とともに読み取られた可能性があります。STUDIO に保存したすべてのキーをローテーションし、新しいキーを STUDIO に貼り付けてから、各ベンダーで古いキーを失効させてください。

影響を受けやすいキー： OpenAI, Google (Gemini), Anthropic, Stripe

対応手順（10 項目）
  1. Data Connect または API Connect に保存したすべての API キーとトークンをローテーションし、新しいキーを STUDIO に貼り付けてから、各ベンダーで古いキーを失効させてください。
  2. STUDIO にキーを保存していた各ベンダーで、2026 年 9 月 30 日以降の利用状況・請求・ログに心当たりのない動きがないか確認してください。
  3. STUDIO のパスワードを変更してください（メールでサインインしている場合のみ）。同じパスワードを使っている他のサービスも変更してください。 ↗
  4. パスワード保護したすべてのページのパスワードを変更してください。
  5. フォーム ▸ Google スプレッドシートと同期 ▸ 同期を停止し、Google の連携アプリから STUDIO を削除してから、同期を設定し直してください。 ↗
  6. カスタムプロキシ：10 月 16 日の STUDIO からのメールから 30 日以内に、サーバを新しいプロキシキーに切り替えて STUDIO に連絡してください。
  7. すべての Webhook 通知 URL を変更し、URL に含まれるシークレットもローテーションしてください。
  8. ライブプレビュー URL を削除し、必要なら新しく発行してください。 ↗
  9. フォーム送信内容に関する STUDIO からのメールを確認し、個人情報が含まれていた場合は送信者への通知が必要か判断してください。
  10. STUDIO のパスワードを求めるメールや電話はフィッシングとして扱ってください。STUDIO はパスワードを尋ねることはないとしています。

お知らせを読む

高影響期間 2026年10月12日 – 2026年10月21日 · 2026年10月22日 封じ込め

GitLab セルフマネージド：深刻なリモートコード実行の脆弱性（2026 年 10 月）

GitLab は 2026 年 10 月 21 日に CVE-2026-110264（CVSS 10.0）を修正しました。細工した正規表現により、サインインしていない誰でもセルフマネージドの GitLab サーバでコードを実行できるものです。7.0 以降のすべてのバージョンが対象で、GitLab.com と GitLab Dedicated は修正済みです。今月 GitLab が修正した正規表現の脆弱性の一つで、10 月 12 日に修正されたものには公開済みのエクスプロイトがあります。攻撃は報告されていませんが、この方法で乗っ取られたサーバからは CI/CD 変数、トークン、リポジトリが漏れます。今すぐ更新し、インターネットから到達できたサーバならシークレットもローテーションしてください。

影響を受けやすいキー： GitLab

対応手順（5 項目）
  1. 19.5.1、19.4.3、19.3.6、19.2.9、19.1.9、19.0.10、18.11.13 以降に更新してください。シングルノードのサーバはマイグレーション中は停止します。 ↗
  2. 更新前にインターネットから到達できたサーバは、乗っ取られた可能性があるものとして扱ってください。ログで「Onigmo native worker crash」や Org モードのレンダリングエラーの急増を探し、心当たりのない管理者ユーザー、トークン、SSH 鍵がないか確認してください。
  3. CI/CD 変数（プロジェクト・グループ・インスタンス）のシークレット、デプロイトークン、個人とプロジェクトのアクセストークン、Runner トークン、Webhook シークレットをローテーションし、古いものを失効させてください。
  4. 自分が起動していないパイプラインのジョブ、自分がしていないコミット・タグ・ブランチ保護の変更がないか確認してください。
  5. GitLab.com と GitLab Dedicated では更新は不要です。

お知らせを読む

高影響期間 2026年10月19日 – 2026年10月21日 · 2026年10月22日 封じ込め

外為ファイネスト：流出したパスワードによる不正ログインと不正取引（2026 年 10 月）

外為ファイネストは、他社のサービスから流出した可能性のある ID とパスワードを使って、一部のお客様の口座に第三者がログインし取引したことを確認しました。同社のシステムからの漏えいは確認されていないとしています。該当する口座の利用を制限し、対象のお客様には個別に連絡するとしています。マイページと MT4/MT5 のパスワードを変更し、ワンタイムパスワードを設定して、履歴を確認してください。

対応手順（4 項目）
  1. マイページのパスワードと MT4/MT5 の取引パスワードを変更してください。 ↗
  2. 同じパスワードを使っているほかのサービスでも、パスワードを変更してください。
  3. ログイン履歴と取引履歴を確認し、身に覚えのない取引があれば外為ファイネスト（0120-217-033、平日 10:00〜17:00）へ連絡してください。
  4. 口座にワンタイムパスワードを設定してください。

お知らせを読む

注意影響期間 2026年10月21日 · 2026年10月22日 封じ込め

Node.js セキュリティリリース：Brotli のコード実行と TLS 検証（2026 年 10 月）

Node.js 26.12.1、24.22.1、22.23.4（2026 年 10 月 21 日）で 10 件の脆弱性が修正されました。最も深刻な CVE-2026-111497 は、node:zlib に渡した不正な Brotli データでメモリが壊れるもので、他者から受け取ったデータを展開するサーバではリモートコード実行につながるおそれがあります。ほかに 3 件、TLS 証明書が誤った IP アドレスに対して受け入れられる脆弱性があり、クライアントが API キーやパスワードをなりすましの相手に送ってしまうおそれがあります。このリリースでは、侵害された eMudhra の中間証明書も信頼しなくなります。攻撃は報告されていません。Node.js 20 以前には修正が提供されません。

対応手順（5 項目）
  1. すべての Node.js（サーバ、コンテナ、CI イメージ、Lambda などの固定ランタイム）を 26.12.1、24.22.1、22.23.4 以降に更新し、アプリを再起動してください。 ↗
  2. Node.js 20 以前で動いているアプリは、サポート中のバージョンに移行してください。修正は提供されません。
  3. Node.js を同梱するデスクトップアプリやツール（Electron アプリ、CLI）は、提供元が修正版を出したら更新してください。
  4. インターネットに公開したアプリがリクエストの Brotli を展開していて、未修正のバージョンで動いていた場合は、その環境変数と .env ファイルのシークレットをローテーションしてください。
  5. IP アドレスで指定したサービスに TLS で API キーやパスワードを送るアプリは、更新後、経路のネットワークが信頼できない場合はその認証情報をローテーションしてください。

お知らせを読む

注意影響期間 2026年10月19日 – 2026年10月22日 · 2026年10月22日 封じ込め

ThreeTrader：不正アクセスの可能性（2026 年 10 月）

ThreeTrader は、お名前.com デスクトップクラウドの VPS への攻撃やほかの FX 会社での不正取引と同じ時期に、自社システムへの不正アクセスの可能性についてお客様にメールで知らせました。詳細は公表されていません。クライアントポータルのパスワードとすべての MetaTrader 口座のパスワードを変更し、二段階認証を設定してください。ここでリンクしたお知らせは Myforex によるまとめで、一次情報は ThreeTrader からのメールです。

対応手順（5 項目）
  1. ThreeTrader のクライアントポータル（マイページ）のパスワードを変更してください。
  2. すべての MetaTrader（MT4/MT5）口座のパスワードを変更してください。
  3. 利用できる場合は二段階認証を設定してください。
  4. 取引履歴と残高を確認し、心当たりのないものがあれば ThreeTrader に連絡してください。
  5. この件のメールが threetrader.com から届いているか確認し、メール内のリンクではなく直接ポータルを開いてください。

お知らせを読む

注意影響期間 2026年10月21日 – 2026年10月22日 · 2026年10月22日 封じ込め

DigiD と MijnOverheid が PHP の脆弱性で一時停止（2026 年 10 月）

Logius は 2026 年 10 月 21 日、PHP の深刻な脆弱性（PHP2Shell）への予防措置として DigiD.nl、MijnOverheid.nl などの政府サイトを停止し、修正後に再開しました。DigiD アプリとほかのサイトでの DigiD ログインは使えていました。DigiD のアカウントやデータが盗まれたという報告はなく、NCSC も悪用を確認していません。詐欺師はこうした停止を利用します。別のログイン方法を案内するメッセージや、DigiD の「再有効化」を求めるメッセージに注意してください。

対応手順（4 項目）
  1. ログインは digid.nl、DigiD アプリ、または手続き先の組織のサイトからだけ行い、メールや SMS のリンクからは行わないでください。 ↗
  2. ユーザー名とパスワードだけでなく、DigiD アプリか SMS 認証を使ってください。
  3. Mijn DigiD の利用履歴に心当たりのないログインがないか確認してください。
  4. リンクから開いたサイトに DigiD の情報を入力してしまった場合は、すぐに DigiD ヘルプデスクに連絡してください。

お知らせを読む

注意影響期間 2026年10月16日 – 2026年10月21日 · 2026年10月21日 封じ込め

インドステイト銀行（SBI）の顧客データがダークウェブに（2026 年 10 月）

インドステイト銀行は 2026 年 10 月 21 日、ダークウェブで出回った約 37 万 5 千件の記録のうち 3,897 件に顧客の個人情報（氏名、性別、生年月日、携帯番号、メールアドレス、住所、支店と CIF の識別子）が含まれていたと証券取引所に届け出ました。パスワードの流出は報告されていません。SBI はデータの出どころをまだ特定しておらず、対象の顧客に知らせたかどうかも明らかにしていません。これらの情報を使った本物らしいフィッシングの電話、SMS、メールに注意してください。

対応手順（5 項目）
  1. OTP、PIN、パスワード、カード情報を電話・SMS・メールで伝えないでください。SBI がそれらを尋ねることはありません。
  2. 口座の情報を口にする電話やメッセージも偽物の可能性があります。SBI のウェブサイトやカードに書かれた番号にかけ直してください。
  3. インターネットバンキングのパスワードや MPIN をほかでも使っている場合は変更してください。
  4. SMS とメールの通知が有効になっていること、登録済みの携帯番号とメールアドレスが自分のものであることを確認してください。
  5. 詐欺に遭ったら、すぐに SBI とインドのサイバー犯罪窓口（1930）または cybercrime.gov.in に届け出てください。 ↗

お知らせを読む

注意影響期間 2026年10月2日 – 2026年10月8日 · 2026年10月9日 封じ込め

SBI 証券の注意喚起：乗っ取られた Google / Apple アカウント経由でパスキーが悪用（2026 年 10 月）

SBI 証券は、フィッシングで Google や Apple アカウントのログイン情報が盗まれ、そのアカウントに同期されたパスキーやパスワードのメモを使って証券口座にログインされ、取引される手口について注意を呼びかけました。事案はほかの証券会社で報告されたもので、SBI 証券は自社の証券口座での被害は確認されていないとしています。パスキーを Google や Apple アカウントに保存している場合は、そのアカウントも証券口座のログインと同じくらい厳重に守ってください。

対応手順（5 項目）
  1. パスキーを保存している Google / Apple アカウントで、二段階認証と復旧用のメールアドレス・電話番号を確認し、心当たりのない端末を削除してください。 ↗
  2. SBI 証券ではパスキーでログインし、ログインパスワードを無効にしてください。
  3. 証券口座のパスワードを、クラウドのメモなどアカウントを乗っ取られたら見られてしまう場所に保存しないでください。
  4. メールや SMS のリンクからログインせず、サイトやアプリを直接開いてください。
  5. 取引履歴と口座の登録情報に、身に覚えのない変更がないか確認してください。

お知らせを読む

認証局の侵害

高2026年10月17日 公表

eMudhra 認証局の鍵が漏えい（2026 年 10 月）

eMudhra の中間認証局 8 つ（EM DV・OV・EV TLS CA - G3B と G3C、EM OV CS CA - G3B と G3C）は、2025 年 4 月に誰でも割り出せる秘密鍵で作られていました。ブロックされるまでは、誰でも任意の名義で信頼されるウェブサイト用またはコード署名用の証明書を発行できた状態でした。ブラウザ、Apple、Microsoft は 2026 年 10 月 17 日から 20 日にかけてこれらをブロックし、eMudhra は失効させました。これらが発行したすべての証明書を置き換え、信頼する認証局の一覧を独自に持つソフトウェアを更新してください。

対応手順（5 項目）
  1. これらの中間認証局が発行した証明書をすべて置き換えてください。eMudhra はこれらからの発行を停止し、顧客を RSA 系統（emSign Root CA - G1）へ移行しています。別の認証局の証明書でもかまいません。
  2. EM OV CS CA - G3B または G3C の証明書で署名したソフトウェアは署名し直し、その証明書で署名された古いビルドは信頼しないでください。
  3. Certificate Transparency で自分のドメインを検索し、これらの中間認証局から自分が申請していない証明書が出ていないか確認してください。 ↗
  4. macOS、ブラウザ、Python certifi、Node.js、Go、Java を更新し、漏えいした中間認証局を信頼しないようにしてください。 ↗
  5. macOS 標準の curl など失効を確認しないツールは、これらの証明書をまだ受け入れます。/etc/ssl/cert.pem から emSign のルートを取り除く方法は Mozilla の勧告にあります。 ↗

お知らせを読む

文面は各社のお知らせを Enfour が要約したもので、正式な情報は各社のお知らせです。日付は各社の発表に基づきます。

このアドバイザリを Mac で、リアルタイムに

KeyRotate は少なくとも 12 時間ごとに新しいアドバイザリを確認し、使っていると答えたサービスについてだけ知らせ、すべての手順が終わるまで進み具合を記録します。

Mac App Store でダウンロード