KuroCMS開発記 Vol.6 最近ハッキングで大量に個人情報漏れているらしいので対策しました
最近のセキュリティ侵害による個人情報の漏洩は、AIを使ったものではあるものの、結局は愉快犯にしろ強奪目的にしろ、いつの時代も悪いやついるものです。ロシアやイスラエルなどのように、国家ぐるみで土地だけでなく尊厳を奪う国すら出てくる世の中、自分の身は自分で守る必要があります。と言うわけで、オープンソースのベースは変わりませんが、今回セキュリティ対策を見直して大きく向上させました。
2026年９月ぐらいから現在も続いているハッキング被害は拡大が続いています。早急な対応が必要なことは分かっているはずなのに、まだまだ被害が拡大しています。参考までにまずはどんな被害があったのが表にしてみました。
2026年9月〜現在までに発生している情報漏洩の一覧#
不正アクセスなどで個人情報が漏洩した、またはその恐れがあると公表した企業・団体（日付は記事の公開日）。全 64 件。※新しい順
| 日付 | 企業・団体 | 内容 | 規模 | 原因 |
|---|---|---|---|---|
| 10/17 （土） | スカイチケット（旅行予約） | クレジットカード情報流出 | 約6,000人 | 不正アクセス |
| 10/16 （金） | ヤマト運輸 | 個人情報が流出 | 約531万件 | 不正アクセス |
| 日経 | 個人情報漏洩 | 183万件 | 不正アクセス | |
| 三菱ガス化学 | 元社員などの個人情報流出 | 2,000人 | 委託先 | |
| Studio（Web制作ツール） | 顧客情報流出か | — | 不正アクセス | |
| ファンケル系 | 個人情報漏洩 | 83万件 | 不正アクセス | |
| コミックシーモア | 会員情報流出（メアドや生年月日） | — | 不正アクセス | |
| 日本郵便 | 顧客情報が閲覧可能に | 600件 | 不正アクセス | |
| Astemo | 取引先などの個人情報流出 | 350人 | 不正アクセス | |
| タイムズカー（パーク24） | 情報流出の対応方針を10月23日に発表 | — | 続報 | |
| 岩井コスモ証券 | 顧客情報漏洩 | 4,600人 | 委託先 | |
| 浜松市 | 消防関連の個人情報流出の疑い（アルカディアのサービス利用） | — | 委託先 | |
| BASE子会社 | 個人情報漏洩、うち209万人は一部クレカ情報も | 2,335万人 | 記載なし | |
| 京王 | サイバー犯罪集団「Qilin」のランサム攻撃実行主張を確認 | — | ランサム攻撃 | |
| 10/15 （木） | エムスリー | 製薬向けサービスで個人情報漏洩 | — | 不正アクセス |
| ソースネクスト | 顧客情報流出か | 2,252万件 | 不正アクセス | |
| バーガーキング | アプリ会員情報流出 | 1,118万件 | 不正アクセス | |
| メドレー | 医療システムで情報漏洩か | 最大787機関 | 不正アクセス | |
| 10/14 （水） | トランスコスモス | 契約社員応募者の個人情報流出 | 約4,600人 | 記載なし |
| マツダ | 交流サイトの情報流出か | 4,103人 | 委託先 | |
| アエナ（化粧品販売） | 会員情報流出か | 81万人 | 不正アクセス | |
| イズミ | 情報流出の恐れ | 最大40万件 | ソフトバンク系 | |
| JR九州の飲食店子会社 | 個人情報漏洩か | 2万6,900人 | 記載なし | |
| 10/13 （火） | 日本郵便 | 顧客情報漏洩の恐れ | 最大4,807件 | システム不具合 |
| 防災情報サービス（自治体向け） | メールアドレス漏洩か | 313万件 | 不正アクセス | |
| 銀のさら | 外部サーバーから顧客情報漏洩か | 最大650万件 | 不正アクセス | |
| JR東海 | 自社ECでメールアドレス漏洩か | — | ソフトバンク系 | |
| 静岡県御前崎市 | 個人情報漏洩の恐れ（防災メール会社） | — | 委託先 | |
| スカパーJSAT | メールアドレス漏洩か | — | ソフトバンク系 | |
| ヤマハ・ヤマハ発動機 | SNS会員の情報流出か | 計3,200人 | 記載なし | |
| 10/10 （土） | ディップ（バイトル） | メールアドレス漏洩 | 最大388万件 | 記載なし |
| 手間いらず（宿泊予約システム） | 情報流出か | 445万人 | 不正アクセス | |
| 10/9 （金） | JR九州 | メールアドレス漏洩か | 最大130万件 | ソフトバンク系 |
| LINEヤフー | データ検索ツールで個人情報漏洩 | — | 委託先 | |
| バンダイナムコ系 | アーケードゲームの会員情報漏洩 | — | 不正アクセス | |
| ミツカングループ | メールアドレスなど漏洩 | — | 委託先 | |
| リゾートトラスト | サイト経由で会員情報漏洩 | 2万6,000件 | 不正アクセス | |
| Sansan | 外部クラウドから情報漏洩か | 1万人 | 不正アクセス | |
| スズキ | メールアドレスなど漏洩か | — | 委託先 | |
| JR東日本 | メールアドレス漏洩か | — | ソフトバンク系 | |
| ブックオフ子会社 | 顧客情報流出か | 最大643万件 | 不正アクセス | |
| 10/8 （木） | NewsPicks | 個人情報漏洩の可能性 | — | 不正アクセス |
| ローソン | 個人情報漏洩（氏名や住所など） | 約215万件 | 不正アクセス | |
| 第一興商 | 個人情報漏洩の恐れ | 872万件 | 委託先 | |
| 岩手銀行 | 顧客情報漏洩か（提携の大和証券の委託先） | — | 委託先 | |
| 10/7 （水） | HIS子会社 | パスポート情報流出か | 最大627人 | 不正アクセス |
| 損保ジャパン | 顧客情報漏洩の可能性 | 6万件 | 不正アクセス | |
| 10/6 （火） | 旭化成系 | 医療従事者向けサイトで情報漏洩か | 最大約56万人 | 記載なし |
| シチズン | 顧客情報漏洩か | 10万人 | 委託先 | |
| ニモカ（西鉄系） | 顧客情報流出 | 約500件 | 不正アクセス | |
| GMO系 | 個人情報漏洩、ポイント不正利用も | 95万人 | 不正アクセス | |
| ミスターマックス | 顧客情報流出 | 最大173万人 | 不正アクセス | |
| 10/5 （月） | 大起水産 | 情報漏洩か | 17万人 | 不正アクセス |
| 大阪公立大学 | 個人情報流出の恐れ | 13万人 | ランサム攻撃 | |
| 焼肉きんぐ | 顧客情報漏洩 | 1,000万件超 | 不正アクセス | |
| 大和証券 | 口座番号など顧客情報漏洩か | 22万件 | 委託先 | |
| 10/4 （日） | 日経 | 情報漏洩、不審メール9,000件送信 | — | 不正アクセス |
| 日経 | 不正ログインで個人情報漏洩か | 1,646人 | 不正アクセス | |
| 10/3 （土） | アバハウス | 全顧客の個人情報流出か（「不審なメール」報告で発覚） | 全顧客 | 記載なし |
| 10/2 （金） | 第一ライフグループ | 従業員の個人情報流出か（退職者含む） | 12万人 | 記載なし |
| 佐川急便 | 個人情報流出か（住所や氏名など） | — | 不正アクセス | |
| 9/30 （水） | 大阪ガス系2社 | 顧客情報漏洩の可能性 | 約8,260件 | 不正アクセス |
| 9/29 （火） | セコマ | アプリサーバーから情報流出か | 57万件 | 不正アクセス |
| 9/28 （月） | タイムズカー | 個人情報流出（免許証画像も） | 最大660万件 | 不正アクセス |
| 合計（規模の記載がある 44 件。件と人の合算・重複を含む） | 約1.24億 | |||
恐ろしい被害です。1.24億。数字がはっきりしないのも含め、また重複があるとしても、およそ日本国民全員と同数の情報漏洩被害が発生しています。
今回の被害と侵入方法の特徴#
今回は、過去の被害よりも莫大な被害が出ていますが、異常なのは毎日漏洩しているという事実。攻撃側も明らかにAIを駆使しているのは明確です。そして侵入された手段を公開していない会社も多いのですが、公開されている会社だけでも圧倒的に多いのは「WEBサイト・アプリ・APIの穴」を利用した侵入です。
次に多いのが「メールやサイト誘導など」を利用した侵入です。最近はAIが滑らかな文章を書くようになったので、知らずにクリックして本物のサイトじゃないのに本物と同じデザインのため、ID・パスワードを入力してしまったりしてログイン情報が漏れたりするパターン。
VPN 機器の脆弱性なども話題になりますが、この期間に明記されていたのはデジタル庁の 1 件だけという形で、圧倒的に上記2つの侵入口になっています。さらに予想されるのは、侵入後の脆弱な管理者ガード不足と思われます。※侵入されるとやりたい放題なシステム設計。
それじゃKuroCMSでのセキュリティ対策は？#
そもそも、メールやサイト誘導によるアカウント漏洩は、KuroCMSではパスキーのみなので発生しません。これは自分がパスワード覚えるのが嫌だったというのもありますが、パスワードは忘れるので結局簡単なパスワードを選んでしまう人が多く、セキュリティ的には構造的な問題があると考えていたからです。
それでは、以前までの KuroCMS で行っていたセキュリティはどんなものだったかの一覧です。
| 版 | 対策 | 内容 |
|---|---|---|
| v1 | ログインはパスキーだけ | パスワードを持たないので、漏れたり使い回されたりするパスワードがありません。指紋や顔認証で入り、鍵は端末の外に出ません。ログインの状態は、ほかのサイトやスクリプトから使えない形で持ちます。 |
| AI が書き換えても戻せる | 本文を上書き・削除する前に、毎回その時点の全文を版として残します。誰が書いたか（人・AI・API）は認証の仕組みから記録するので、偽れません。侵入者が勝手に記事を書き直しても戻せます。 | |
| API の鍵は控えだけを保存 | AIから操作するための、個人用アクセストークン（PAT）は、ハッシュ値だけを保存します。元の値はサーバーに残らないので、万一データが漏れても鍵としては使えません。 | |
| Cloudflare の鍵を預からない | 自分の Cloudflare に導入するとき、インストーラーに入れた API トークンは導入にだけ使い、どこにも保存しません。以後の自動更新は、Worker の更新しかできない専用のトークンで行います。 | |
| 公開ページは組み上がった HTML | 読者に表示されるのは組み上がった HTML だけで、閲覧のたびにデータベースへ問い合わせません。外から狙える入口を小さくしています。外部の URL を取りに行く機能は、行き先を確かめてから取ります（SSRF 対策）。これは結果的にCDNが使える事になり高速化にも貢献します。 |
それでは、今回どのような改良を施したかの一覧です。
| v2 | 本文にスクリプトを入れさせない | 記事やサイトの文字は、保存するときと表示するときの 2 回、script・イベント属性・javascript: などの危ない URL・許可していない外部の埋め込みを徹底して取り除きました（以前も多少は取り除いていたが今回徹底して行った）。人・AI・API・取り込みのどれが書いても、読者や管理者のブラウザでスクリプトは動きません。 |
| 更新は署名を確かめてから | 新しい版は KuroCMS の配布基盤から取り、電子署名と中身のハッシュを確かめてから入れます。入れた後に新しい版が正しく応答しなければ、WorkerOps が自動で前の版へ戻します。 | |
| データの置き場所がはっきりしている | 記事もメディアもお客様自身の Cloudflare アカウントの中だけにあります。委託なら、基盤と KuroCMS をアカウントで分離した上、サイトごとに専用のデータベースを用意し、ほかのお客様と混ぜません。不具合の報告で送るのは符号と数値だけで、記事の中身は送りません。 | |
| 管理画面は登録した回線からだけ | 管理画面は、パスキーでログインした回線からしか使えません。IP登録は全自動で、使い続ける間は延びます。ログインの状態が登録していない回線から使われると止め、本人へ確認のメールを送ります。盗まれたログインの状態は、ほかの場所では使えません。 | |
| ログインを回線と端末に縛る | ブラウザのログインは、始めたときの回線に縛ります。ログインを保つ鍵（リフレッシュトークン）は、発行した端末の鍵に縛ります（デバイス・バインディング）。万一盗まれても、別の回線や別の端末では使えません。 |
そしてどうなったか。今後と方針の変更#
一番の大きな部分は、IP制限です。IPv6の時代になり、パソコン１台１台にIPアドレスが設定できる時代ならではですが、IP制限が実装された KuroCMS の管理画面にログインするには、IPの偽装もしなければなりません。しかし、今の時代IPv6の偽装はプロバイダーやNTTの社員ですら難易度が高い行為です。その上、パスキーのようなブラウザと端末にがっちり張り付いている仕組みであれば、まず一般的な侵入は難しいと考えています。
それに伴い、KuroCMSの認証基盤を法人側のID基盤に置き換えました。これは Cloudflare のアカウントを作り、PAT登録まで出来ない人のために、委託方式を設けた事とも関係します。これに伴って、法人のID基盤が持つ、不審なアクセスによる警告などを KuroCMS ユーザーに、画面やメールで通知し、また法人側のセキュリティ管理基盤に、不審なアクセスがあった事を連絡することで早急な対応が取れるようになりました。
ここは、正直悩んだ頃ですが、KuroCMSのベースのソースは引き続きOSSとして公開するも、安全確保のために認証基盤だけはクローズドで、セキュリティガチガチの法人基盤に組み込む事にしました。ユーザーの方々には、それによるデメリットは無いように、今までの自分で所有する Cloudflare アカウントへの導入（v1での唯一の導入方法）は引き続き使えます。ただメールアドレス登録の必須化などの手間が増えてしまった事をご理解頂けると幸いです。
それでも過去のv1に比べれば、格段に安全性が向上したKuroCMS どうか、引き続きご愛顧頂けると幸いです。
※KuroCMS v2 のリリースは今週末ぐらいになると思います。