無料相談
メニュー
IT NEWS / 2026-11-02

ITニュース：2026年11月2日

メール配信サービス「アララメッセージ」での約7700万件の流出をはじめ、委託先や外部サービスを経由した情報漏えいの報道が相次いだ一日でした。PHP、WordPress、Ivanti製品など広く使われるソフトの脆弱性対応に加え、ChatGPTの利用枠変更といった生成AIサービスの動きも確認が必要です。

本日の主なトピック
  • アララのメール配信基盤から約7700万件流出：約380社に影響する可能性があり、全サービスが停止中です。
  • 国内サービスで大規模な情報漏えいが続出：クラブツーリズム、@cosme、RAGTAG運営会社などが不正アクセス被害を公表しました。
  • PHP脆弱性「PHP2Shell」の影響が機器にも拡大：IPAが製品ごとの確認を呼びかけ、QNAPも修正版を順次提供しています。
  • ChatGPTとCodexの利用枠が12月から共通化：Plus、Pro、Businessが対象で、利用量はトークン単位で計測されます。
  • IPAが個人情報漏えい被害者の相談にも対応：既存の「情報セキュリティ安心相談窓口」を強化しました。

1. セキュリティ・不正アクセス

アララのメール配信サービスから約7700万件のアドレスが流出

アララは、メール配信サービス「アララメッセージ」から流出の可能性を含め約7700万件のメールアドレスが持ち出されたと発表しました。契約企業の97サーバー、最大約380社に影響する見込みで、10月28〜30日には同サービスが悪用され、カード会社をかたるフィッシングメールが最大約713万通送信されました。全サービスは10月31日から停止しており、再開時期は未定です。

出典：ASCII.jp

クラブツーリズム、@cosme、RAGTAG運営会社で不正アクセスによる漏えい

クラブツーリズムは約432万件の個人情報が漏えいした可能性があり、サイトを停止して調査中です。@cosmeを運営するアイスタイルは会員約300万人分の漏えいを発表し、ワールド子会社では古着売買サービスRAGTAGの会員情報がのべ最大約120万件流出した可能性があります。いずれもクレジットカード情報の漏えいは含まれない、または確認されていないとしています。

出典：ITmedia NEWS、ITmedia NEWS、ITmedia NEWS

NTTデータの委託先に不正アクセス、社債購入者の情報に影響

社債の特典申し込みに使われるサービスの委託先が提供する基盤に不正アクセスがあり、楽天証券ではのべ362件、JR西日本では2件の情報が漏えいした可能性があります。野村證券は対象を確認中です。NTTデータは関連サービスを停止し、委託先が侵入経路などを調べています。

出典：ITmedia NEWS、ASCII.jp

GMOトラスト・ログイン、公開領域に顧客ファイルを約9年保存

シングルサインオンサービスで、ロゴ画像配信用の公開領域に顧客データを含むファイルが2017年11月から保存され、2492社、4万5030人分に影響しました。パスワードや多要素認証の情報は含まれていません。署名付きリンクの導入やストレージ全体の対策強化を進めています。

出典：ITmedia NEWS

「PHP2Shell」、VPN機器などPHP搭載製品にも確認を呼びかけ

IPAは11月2日、PHPの脆弱性CVE-2026-109618、CVE-2026-109619の情報を更新し、PHPがVPN機器やセキュリティ製品のWeb画面などにも使われていることから、製品ごとの対策確認を求めました。QNAPはOSや一部アプリの修正版を順次提供していますが、QNE ADRA向けは準備中です。修正版のPHPは8.2.35、8.3.36、8.4.27、8.5.12で、8.1以前には修正が提供されません。

出典：IPA、Security NEXT
当社コラム：PHP2Shellとは？中小企業がやるべきこと

Ivanti Connect Secureの脆弱性悪用、米CISAがKEVに追加

CISAは現地時間10月30日、リモートアクセス製品Ivanti Connect SecureのCVE-2026-111357とCVE-2026-118527を、悪用が確認された脆弱性のカタログに追加しました。3件の脆弱性を組み合わせた攻撃も確認されています。

出典：Security NEXT

WordPress 7.1.4で更新処理のリモートコード実行などを修正

開発チームは現地時間10月28日、セキュリティリリースのWordPress 7.1.4を公開しました。更新処理中のリモートコード実行につながる脆弱性や、複数の保存型クロスサイトスクリプティングを修正しており、速やかな更新を呼びかけています。

出典：Security NEXT

Cloudflareの確認画面を装う「ClickFix」攻撃を確認

不正アクセスを受けた正規サイトに偽の「人間であることを確認」画面が表示され、Win+R、Ctrl+V、Enterの操作で、クリップボードに自動コピーされたコマンドを実行させる手口です。コマンドは外部サーバーからファイルを入手して導入しようとするもので、WindowsとMacの両方を狙ったものが確認されています。

出典：GIGAZINE

暗号化をうたうLenovoのUSBメモリ、中身は暗号化なしのmicroSD

研究者の検証で、指紋認証とAES-256暗号化をうたう「ThinkPlus FU100」の内部は一般的なmicroSDカードで、データは暗号化されていなかったことが判明しました。指紋認証はPCとの接続許可の判断にとどまり、カードを直接読めばファイルを見られたとされています。

出典：GIGAZINE

2. 生成AI・DX

ChatGPTとCodexの利用枠を12月から共通化

OpenAIは12月からChatGPTとCodexの利用枠を共通にすると案内しました。Plus、Pro、Businessが対象で、利用量はトークン単位で計測され、高度なモデルや複雑な作業ほど多く消費します。利用量を消費しないのはInstantによるチャットのみで、切り替え日や各プランの枠の大きさは未発表です。

出典：ASCII.jp

AI学習の可否をrobots.txtで示す共通仕様にGoogleなどが対応へ

IETFで議論中の仕様では、robots.txtの新しいトークン「usage_ai-training」でAI学習への利用可否を示せるようにします。GoogleとMicrosoftは2027年、OpenAIは今後数カ月以内に対応する予定です。

出典：GIGAZINE

3. クラウド・ソフトウェア

Excelが1セルに複数の値を格納可能に

Microsoftは、1つのセルに複数の値をリストや配列として保持できる機能を発表しました。列や行を増やさずにフィルタリングや計算ができる一方、ASCII.jpの記事は可読性の低下を指摘し、業務では利用ルールが必要だとしています。

出典：ASCII.jp

4. 製品・ハードウェア

メモリ・SSDの高値、当面は続く見方

PC Watchの特集によると、DDR5の容量単価は8月ごろから上昇傾向にあり、MicronやKioxiaは2027年以降も需給の逼迫を見込んでいます。筆者は、AIバブルが崩壊しない限り値下がりの可能性は乏しいと分析しています。

出典：PC Watch

5. 行政・制度

IPA、個人情報漏えい被害者の相談にも対応

IPAは11月2日、「情報セキュリティ安心相談窓口」を強化し、個人情報漏えいの被害者からの相談も受け付けると発表しました。全国の個人ユーザーが対象で、電話は平日10時から17時まで、メールでも相談できます。

出典：ASCII.jp

中小企業が今日やるべきこと（株式会社情報システム室の視点）

  • 自社で利用しているメール配信サービスや外部委託先を一覧にして、アララなどの事故の影響がないか確認しましょう。
  • カード会社などをかたるメールのリンクは開かず、公式アプリや公式サイトから確認するよう社内に周知しましょう。
  • Webサイトの管理者は、WordPressを7.1.4へ更新し、サーバーのPHPも修正版になっているか確認しましょう。
  • VPN機器やNASの管理画面にPHPが使われていないか、メーカーの情報で確認し、修正版がない機器はインターネットから切り離しましょう。
  • 「Win+R」や「Ctrl+V」の操作を求めるWeb画面は攻撃の可能性があるため、従わずにIT担当者へ連絡するルールを決めましょう。

情報ソース

掲載している要約は、各報道機関・公的機関の記事をもとに株式会社情報システム室が独自にまとめたものです。正確な情報・詳細は、必ず出典元の記事をご確認ください。各記事の著作権は、それぞれの配信元に帰属します。

ITニュース一覧へセキュリティ対策について相談する

まだ疑問が残っていたら、直接ご相談ください。

「何から相談していいか分からない」状態でも問題ありません。IT環境の簡易診断・概算のお見積りは無料です。

お問い合わせフォーム（24時間受付）050-7119-3988（平日）