山本洋介山（エヌ・ティ・ティ・コミュニケーションズ）

2018年10月のセキュリティクラスタは「ブロッキングの議論」「個人サービスを終了したgoogle+」「スマホアプリが個人情報を過剰に取得する問題」に注目が集まりました。

2018年9月のセキュリティクラスタは「繰り返される仮想通貨取引所への攻撃」「セキュリティ企業による個人情報の不当な収集」「ドメインが知らないうちに他人の手に渡ってしまった事例」に注目が集まりました。

8月のセキュリティクラスタをにぎわせた大きな話題は3つありました。「東京オリンピック開催時のサマータイム」「DEFCONやBlack Hat USAなどのサイバーセキュリティ関連のカンファレンス」「Apache Struts 2で見つかった新たな脆弱（ぜいじゃく）性」です。

7月のセキュリティクラスタは「豪雨災害とフリーWi-Fiスポットのセキュリティ」「不正アクセスで逮捕された若者がホワイトハッカーとして復活」「Chromeと非SSLサイトの警告表示」に注目が集まりました。

2018年6月のセキュリティクラスタは、「Coinhive」と「ルート証明書」に注目が集まりました。自サイトにCoinhiveを設置していた人物が書類送検された後、このような対応に対して警察や検察を非難するツイートが多くありました。もう一つの話題はルート証明書。銀行のWebサイトが行名の切り替えに当たり、ユーザーにルート証明書をインストールさせようとして、こちらもたたかれていました。6月最終週には「ZERO/ONE」編集長の岡本氏が刺殺されるという痛ましい事件が起こり、TLが悲しみに包まれました。

2018年5月のセキュリティクラスタは、引き続き「仮想通貨」関連の話題に注目が集まりました。ブロックチェーンの仕組み自体の弱点を突いた攻撃や、プラグインの改変などさまざまな手段を使って犯罪者がお金をかすめ取ろうとしています。加えて、仮想通貨を採掘させるスクリプトをサイトに設置すること自体が違法だという指摘がありました。仮想通貨以外では、情報漏えい事件の原因が「WAFの設定ミス」なのか「脆弱性」なのかという議論がありました。

2018年4月のセキュリティクラスタは「漫画村」「Wizard Bible」「Drupalgeddon2」に話題が集まりました。著作権を侵害するサイトのブロッキングに対し、大きく2つの意見が対立しました。メールマガジンWizard Bibleでは、表現の自由と犯罪につながりかねない情報の公開について、公権力が押し切る形になりました。Drupal CMSの脆弱（ぜいじゃく）性では、リモートからOSのコマンドを操作できることが実証されてしまいました。

2018年3月のセキュリティクラスタは「コインチェック」「IPA」「パスワード」に話題が集まりました。コインチェックから流出した仮想通貨NEM（通貨単位XEM）が、ついに全て売られてしまいました。IPAが注目を集めたのはユーザーの情報を漏らしてしまったためです。さて長年、定期的に変更するよう推奨されてきたパスワードはどうなったのでしょうか。

2018年2月のセキュリティクラスタは「サイバーセキュリティ月間」「Osushi」「仮想通貨」に話題が集まりました。サイバーセキュリティ月間では「SECCON 2017 決勝大会」が注目を集めた一方、セキュリティ上の突っ込み所がたくさんあったWebサービスOsushiがサービス開始当日に停止してしまいました。仮想通貨XEMでは、ホワイトハッカーがタグを付け、盗難分の流れが分かるようになったものの、徐々に資金洗浄されているようです。

2018年1月のセキュリティクラスタは「CPU」と「仮想通貨」に振り回されました。CPUに大きな脆弱（ぜいじゃく）性があるとすれば、現在のPCやスマホのほとんどが影響を受けるはずです。自分が当事者になったことで大騒ぎになりました。1月末には仮想通貨の取引所がハッキングの被害に遭い、約600億円分の仮想通貨が盗まれました。こうした中「Twitterのフォロー」の話題では和やかな雰囲気で盛り上がりました。セキュリティクラスタの個々人がどのTwitterアカウントをフォローしているのか、データを基に解析するというものです。

2017年12月のセキュリティクラスタはメールに始まり、メールで終わりました。「Mailsploit」というメールクライアントの脆弱（ぜいじゃく）性が見つかり、検証サイトが公開されて実際の攻撃があったからです。既に海外では流行している「ビジネスメール詐欺（BEC）」では、とうとう国内でも大きな被害に遭った企業が現れました。セキュリティ人材では斎藤ウィリアム浩幸氏が経歴詐称のために注目を集めました。

2017年11月のセキュリティクラスタ、キーワードは「macOS」「share」「国際会議」でした。新バージョンのmacOSで、パスワードを入力しなくてもログインできることが突然明らかになり、衝撃が走りました。Share監視サービスを行っていたセキュリティ企業の社員が、そのShareでウイルスを共有していたとして逮捕。毎年恒例の「CODE BLUE」と「AVTOKYO」では、興味深い各講演の合間にセキュリティクラスタの人々が交流を深めていました。

2017年10月のセキュリティクラスタ、話題の中心は「ビットコイン」「WPA2」「新ランサムウェア」でした。Webページの閲覧時にビットコインを採掘させる仕組みがマルウェアではないかと議論に。無線LANで広く使用されている暗号化方式「WPA2」では盗聴などにつながる脆弱（ぜいじゃく）性が見つかりましたが、こちらは尻すぼみ。東欧を中心に広がった新ランサムウェア「Bad Rabbit」では、国内サイトが拡散元となり、驚きを呼びました。

2017年9月のセキュリティクラスタ、話題の中心は「Apache Struts 2」でした。リモートからサーバOSのコマンドが実行できる脆弱（ぜいじゃく）性が見つかったのは、2017年に限っても3度目です。未成年者のネットを使った犯罪では、中学生とは思えないほど手の込んでいたチケットの販売詐欺と、メルカリを使ったウイルス情報販売が話題になりました。またBluetoothをオンにしているだけで乗っ取られるという「BlueBorne」脆弱性が公表されてAndroidユーザーを中心に騒ぎとなりました。

8月のセキュリティクラスタは毎年恒例となっている「セキュリティ・キャンプ」の話題が大盛り上がりでした。この他、大きな動きが2つ。1つ目はいろいろなWebサイトでSQLのダンプファイルが公開されており、企業サイトで情報漏えいが発生したこと。2つ目は大規模な接続障害が発生したことです。一時はDDoS攻撃かもしれないと疑われました。

2017年7月のセキュリティクラスタでは、「Adobe Flash Player」が話題になりました。脆弱性によってユーザーが攻撃にさらされることが多く、2020年末に廃止されることが発表されて、ようやくかとほっとするツイート、さらには移行について考えるツイートが多数ありました。7月はあまり大きなセキュリティインシデントが発生せず、無事に米国の「Black Hat USA」「DEF CON 25」に遠征できた方が多かったようです。どちらもとても盛り上がったようでした。

2017年6月のセキュリティクラスタでは、「WannaCry」の残り火にやられたホンダや亜種に感染したマクドナルドに注目が集まっていました。ランサムウェアを作成して配布した中学3年生や降伏した韓国のホスティング企業、そしてウクライナを中心として主にヨーロッパで猛威を振るった「Petya」亜種など、ランサムウェアの勢いがとどまるところを知りませんでした。

2017年5月のセキュリティクラスタ、ゴールデンウイークはのんびり過ごせたものの、その後が大変。ワームとして動くランサムウェア「WannaCry」の話題で持ち切りとなりました。騒ぎが落ち着いたと思ったら「SambaCry」が話題に。結局5月末まで、Windowsファイル共有サービスがタイムライン（TL）をにぎわしていました。この他、無線LANのタダ乗り無罪判決に対し、総務省が違法だと主張してTL上で意見が飛び交いました。

2017年4月、セキュリティクラスタが注目したのは先月に続いて「Apache Struts 2」の脆弱（ぜいじゃく）性。対応がよろしくない組織が目立ったためです。無線LANのただ乗りに対して「無罪判決」が出たことにも、話題が集まりました。

2017年3月、セキュリティクラスタが注目したのは簡単に外部からサーバコマンドを実行できる「Apache Struts 2」の脆弱性。Symantecの発行する電子証明書にも話題が集まりました。

WordPressの脆弱性に「SHA-1」衝突。2017年の「サイバーセキュリティ月間」は波乱の幕開けとなったのでした。

2017年年明けのサイバーセキュリティ界隈（かいわい）では、「マイナポータル」や「アパホテルへのDDoS攻撃」が話題に上る一方、「セキュリティフォント」が大注目を集めたのでした。

何事もなくお休みに入れるかと思いきや、クリスマス直後に大きなニュースが飛び込んできたセキュリティクラスタだったのでした……。

2016年11月のセキュリティクラスタは、「Chrome拡張機能の突然のマルウェア化」や「LINEアカウントの乗っ取り」事件を受け震え上がる一方で、詳細が公開された「情報処理安全確保支援士」の制度内容にはやはり納得がいかないのでした。

2016年のセキュリティクラスタは、IPAの新資格「情報処理安全確保支援士」の制度内容に猛烈な批判を加えるとともに、Twitterのダウンにヒヤヒヤ。一方で、数々のセキュリティイベントは目いっぱい楽しんでいたようでした。

2016年9月のセキュリティクラスタでは、日本の多数のWebサイトが対象となったDDoS攻撃やMySQLのゼロデイ脆弱（ぜいじゃく）性、米Yahoo!からの大量のアカウント情報漏えいが話題となりました。

2016年8月は、各所で恒例のセキュリティイベントが開催されました。また、PCデポやゴルスタの1件が話題になると同時に、「アカウントロック」や「攻撃手法の公開」の是非について議論が交わされたのでした。

2016年7月のセキュリティクラスタは、世間と一緒に「ポケモンGO」を楽しむ一方で、「セキュリティスペシャリスト日給8000円」問題や「httpoxy」脆弱性についてしきりに議論が交わされたのでした。

2016年6月のセキュリティクラスタでは、JTBや佐賀県の不正アクセス事件が大きな話題を呼ぶとともに、初心者が自前でWordPressサイトを立てることの是非が議論されたのでした。

ゴールデンウイーク中に公表された「ImageTragick」脆弱性に、「DEF CON CTF 2016」予選。2016年5月のセキュリティ関連トピックを振り返ります。

2016年4月は、「Apache Struts2」の脆弱性や「OSコマンドインジェクション」を使った攻撃が騒ぎを呼ぶ一方で、突如「Yahoo!知恵袋」に注目が集まったのでした。

2016年3月のセキュリティクラスタは、またしても公開されたOpenSSLの脆弱性に恐々とする一方、「eLTAX」や「ホワイトリスト」に関して激しい議論を交わしていました。

2016年2月は「サイバーセキュリティ月間」中ということもあってか、各所でセキュリティ関連イベントが開催されました。しかしその一方でアノニマス（Anonymous）のDDoS攻撃はやむ気配を見せず、さらに愛知県岡崎市「Librahack事件」を思い出させる図書館攻撃も……。

世間では「不倫騒動」でも、セキュリティクラスタにとっては「情報漏えい事件」なのでした。そして突然再燃した「Webカメラのぞき見問題」に、連続する「アノニマスのDDoS攻撃」。年明けから騒がしかった2016年1月のセキュリティクラスタを振り返ります。

あっという間に年も明け、2016年を迎えました。昨年末のセキュリティクラスタを振り返ってみると、「SECCON 2015」開催の一方で、vvvウイルスこと「TeslaCrypt」が話題になり、感染源や対策に関する情報が盛んにやりとりされました。また12月中旬にはオープンソースCMS「Joomla!」の深刻な脆弱性が公表され、その原因をめぐって議論が巻き起こりました。

2015年11月はAnonymousによるISへの「攻撃宣言」が大きな話題となりました。そして、「ハッカー」の呼称に関する議論がまたしても……。

2015年10月は特に大きなセキュリティインシデントは発生しませんでした。しかし「図書館」に「東京オリンピック4万人ボランティア発言」と話題は尽きることなく……

2015年9月には、テレビ番組にあのプロフェッショナルが登場し、セキュリティクラスター内外の反響を呼びました。

2015年8月は世界各地でセキュリティイベントがめじろ押しでした。しかしイベント参加者たちの熱狂の裏では、「不倫サイト」ユーザーたちの悲痛の叫びが……。

2015年7月には、FlashやAndroidなどの脆弱性が相次いで公開され、世界的な騒ぎになりました。さらに国内では不正アクセスで17歳の逮捕者も……。

また大きな事件が起きてしまいました。しかしこれは日本年金機構の問題だけではなさそうです。そして無線LAN乗っ取りで逮捕者が。これも大きな事件のきっかけにすぎませんでした……。

2015年5月は、三つの「名前付き」脆弱性が登場しました。が、その三つの名前を全部知っている方はどれくらいいますでしょうか？ CTFの結果や新しいWeb技術の動向と併せてどうぞ。

2015年4月もまたパスワードの話……と思いきや、想定外の角度からパスワードに関するキャンペーンが開催され、セキュリティクラスターならずとも騒然としました。

相次ぐWebサイト書き換え。とうとう日本のWebサイトがテロリストのターゲットになってしまった……と思いきや、共通点を探っていくとそんなわけでもなさそうです。

PCにプリインストールされたソフトが通信に割り込み、その内容を全て見ていたかもしれない――2015年2月、レノボの「SuperFish」問題は大きな爪痕を残しました。

2015年1月「GHOST」が登場します。名前の付いた脆弱性で、任意のコードが実行できるとあって大変なことになる……しかし、セキュリティクラスターは淡々と対応していたようです。

セキュリティクラスターが一堂に会したセキュリティイベントが多く開催された12月。一方、世界に目を向けると日本企業が深刻なサイバー脅威に見舞われていました。

小学4年生が作ったと自称するサイトをどのように見破るか、実はそこにはセキュリティ的なテクニックが多く使われていました。定期変更、プロキシと話題に事欠かなかった2014年11月をまとめましょう。

2014年10月は、SSLv3の脆弱性、通称「POODLE」の対応に追われました。各種バグを見つけて報奨金を得るバグ・ハンターにも注目が集まります。