この記事は、note掲載記事の転載です。
おはようございます、かーでぃです。
本記事は、様々なネットニュースサイトからセキュリティ記事を集めて提供している”セキュリティ関連ニュースRSS”から、気になったニュースをピックアップして紹介しています。
情シスさんやサイバーセキュリティを担当されている方、逆に私のようにセキュリティ商材を取り扱う営業の皆様などに活用頂けると幸いです。
40秒のショート動画解説
Claudeアカウント乗っ取りに注意、2要素認証でも防げない「セッション窃取」とは
攻撃者はClaudeのセッション情報を窃取し、アカウントを乗っ取ると「使用クレジット」を不正に消費したとされる。しかしながら、Anthropicにより検知され、不正利用分の請求は返金されたという。
セッションとは、**「Webサイトなどでユーザーとサーバーの一連の通信をひとまとまりとして管理する仕組みです。ログイン状態の維持などに使われます。」
**つまり、セッション情報を搾取されると、Claudeにログインされるのと同じ意味になっちゃいます。
ログインされているので、クレジットを勝手に使われたりするわけですね。ただ、この不正利用分については、Anthropicが返金してくれたということのようです。
今回、セッション情報搾取なので、多要素認証とか関係ないんですよね。ログインID/パスワード＋多要素認証でログインしたセッション情報を搾取されてるので、パスワードがいくら難しいパスワードであっても、多要素認証を設定してあっても意味がないのがコワイところ。
セッション情報を搾取された場合に注意すべきことは、一度セッション切断しないといけないこと。ログイン後の話なので、パスワードを変更しても意味がないんですよね。。
Anthropicは不正利用を検知し、関連するセッションをログアウトさせるとともに、登録された支払い方法を削除した。不正利用と判断した料金については返金したという。
Anthropicも、ちゃんとセッションをログアウトさせてくれてるますもんね。
Claudeでは、以下の手順でログイン中のセッションを確認できるようなので、あやしいセッションが居るようであれば、ログアウト→パスワード変更をしましょう（ここではパスワード変更は有効です！）。
AnthropicはClaudeに、ログイン中のデバイスやブラウザを確認できる「Active sessions（アクティブセッション）」機能を提供している。「Settings（設定）」→「Account（アカウント）」→「Active sessions」から、現在有効なセッションを確認できる。
AnthropicがフロンティアAIセキュリティサービス「EFS」を発表 履歴データを顧客環境に保持しながら自動監視で誤用を検知
Anthropicは2026年9月1日（米国時間）、企業が同社フロンティアAIモデルを利用する際のセキュリティとプライバシーを両立する新サービス「Enterprise Frontier Safeguards（EFS）」を発表した。
EFSの狙いは、企業が求める厳格なデータ保護と、AIの悪用／誤用を検知するための安全監視を両立させることにある。
企業のAI利用では、入力データや利用履歴をAIベンダー側に保存させないことが重要な要件になる。一方、サイバー攻撃や認証情報の窃取など、重大な悪用を検知するには、複数のセッションにまたがってAIの利用状況を監視する必要がある。EFSでは、このトレードオフを解消することを目指す。
最近は知ってて当たり前でしょ？という感じで、よくわからん言葉が使われるので、おじさんついてくのがしんどいですわ…
フロンティアAIとは、 現在の技術水準で最も高い能力を持つ最先端のAIモデル を指す言葉です。一般に、幅広い知識や推論、生成能力を持ち、社会や産業への影響が大きいAIを意味します。
だ、そうです。
Claude MythosとかGPT5.5-Cyber、GPT-6 Astra（リリースが発表されましたね！）などが「今は」フロンティAIですかね。半年もすれば、この辺りもすたれて、別のフロンティアAIが出てくるんでしょうが……
さて、EFS。
生成AIを安全に活用するには、AIに学習させないことが大切です。ChatGPTが世に出たころに、〇ムソンのエンジニアが社内情報をChatGPTに問い合わせたところ、その内容を学習され情報漏洩に至った、なんて話も聞きます。
なので、有料版の生成AIを使う / 学習スイッチを切って使うなどが学習させないためのポイントだったりするのですが、でも、いくら学習させない設定になっていても、履歴には問合せたプロンプトも、その結果も残ってるじゃないですか。
学習はしてないとは言え、会社の情報がそこに残り続けるのは、良くないですよね…。
学習した結果から漏れなくても、不正アクセスから漏れてしまう可能性がないとは言い切れな。それでは、安心して生成AIを活用してもらえないのでは？
というところから生まれたのがEFS。
EFS（Enterprise Frontier Safeguards）は、企業が安心してAIを使うための「データ漏洩と悪用防止の両立機能」です。
AIに入力した履歴をAI会社のサーバーではなく、自社専用のクラウド（S3等）に保存します。自社のセキュリティ基準でデータを守れるため、外部へのデータ残存や不正アクセスによる漏洩を防げます。さらに、データ自体はAI会社に見られずに、自動で悪用行為のみを監視・検知できる仕組みです。
もちろん、大企業向けの仕組みですよね。中小だと、自社基準より、AIベンダー基準の方がセキュリティが高い可能性ありますもんね💦
ランサム被害で店舗営業やサービスに影響 - REXT HD
REXT Holdingsは、子会社で書籍やゲームの販売、買い取りを行う専門店を運営するREXTのシステムが、サイバー攻撃を受けたことを明らかにした。一部店舗において臨時休業や営業時間の変更など影響が発生している。
ここ、素晴らしいのは最初の被害が8/9にあり、翌10日には第一報を報じています。14日には第二報。ここでは、対応状況の説明だけではありますが、進捗状況がわかります。そして、2週間ほど間をあけて、31日に第三報が出て、本記事になったようです。
一部サービスおよび決済方法等について制限がしていた店舗も、9月上旬には全ての制限がなくなる見込みとのこと。
これだけ細かに情報を提示してくれると、ステークホルダーとしてはありがたいと思います（私は部外者ですが…💦）
ただ、ちょっとキニナルのが……
6月に別の子会社がランサム被害にあっていること。こちらは、被害発覚から第一報までに12日の間があり、それ以降の報告なし。
なんとなく、その反省を踏まえての今回なのかな…？という気がします。
反省は報告だけではなく、セキュリティ全体を今一度見直してもらいたいところです（SCS評価制度も始まりますし！）。
セキュリティニュースの選定には、こちらのRSSを利用していますので、よかったらご利用ください。
https://script.google.com/macros/s/AKfycbzjvRpp8WisgfMKBpSH_Om97XMCO9grM-JpGPPZQoh0hzqMtqhHutmNifm1PlupILL_/exec
RSSについては、👇の記事をご参照ください。
[PR]「セキュリティ対策、できてますか？」に答える本/SCS評価制度で始める、取引先に説明できる備え
なかなかセキュリティ投資ができずに、むずむずしてる情シスの皆さん。今年度末からSCS評価制度が始まります。
これをやらされ感で進めるのと、利用してやろう！という気持ちで進めるのとでは、結果がかなり異なると考えています。
無論、利用してやろう！！と考えた方が良い結果につながります。
ということを書いてますので、キニナル方は是非🙌