尚ブログ
← AIニュース

無印の MUJI Card、約109万件でカード番号の全桁が漏れたおそれ　メールなどの流出はネットストアも対象

📌 今日のポイント

⚠️ 注意：無印の MUJI Card、約109万件でカード番号の全桁が外に出たおそれ

MUJI Card の約109万件で、カード番号の全桁・生年月日・MUJI カード ID が外に出たおそれがあります。良品計画とクレディセゾンが11月4日、10月30日の発表の続報として公表しました。対象は2000年10月〜2021年7月に入会した人で、今も有効なカードは約34.5万枚です。カードの名義・有効期限・セキュリティコードは含まれません。ただ、有効なカードの約2.5万件は、社内で氏名・住所・電話番号と一緒に見られる状態でした。別の件の最大約2,726万件のメールアドレスなどは、ネットストアの利用者も対象と分かり、うち約52万件は氏名・住所・電話番号も含みます。被害やダークウェブへの流出は、今のところ確認されていません。

尚

尚の目線

僕は MUJI アプリを入れておらず、セゾンのカードも持っていませんが、ネットストアを使ったかは確かめています。
2021年7月までに作った人は、明細に覚えのない利用がないか確かめてください。
本物の連絡はメールか郵送で届き、良品計画がカード情報を聞くことはありません。
届いた案内の URL は、AI に貼って公式かを確かめさせましょう。

出典：良品計画／クレディセゾン

⚠️ 注意：Android 14〜17 に重大な穴、利用者が何もしなくてもプログラムを動かされるおそれ

端末のセキュリティ更新の日付が2026年11月1日以降なら、この穴は直っています。Google が11月のセキュリティ情報で公表した CVE-2026-58868 は、Android 14〜17 で、利用者の操作なしに遠隔でプログラムを動かされるおそれがある穴です。重大という評価は、Android の守りの機能が無効か突破された場合の想定です。悪用の報告は、情報の中にありません。更新が届く時期はメーカーと通信会社しだいで、11月分の全部の直しは11月5日以降の日付で入ります。

尚

尚の目線

僕のスマホは iPhone なので、対象外でした。
Android の人は、設定の「Android バージョン」の画面を写真に撮って AI に渡し、セキュリティ アップデートの日付が11月1日以降かを確かめさせてください。
家族のスマホも一緒に見ておくと安心です。

出典：Android セキュリティ情報（英語）／The Hacker News（英語）

⚠️ 注意：Codex の「脱獄」設定集が、AI の答えに広告を混ぜる指示を仕込んでいた

「hi」や「hello」と話しかけるだけで、AI の答えが広告の1行に変わります。Check Point Research が11月3日に報告した設定集 Haiou の手口です。Haiou は OpenAI の Codex の安全の決まりを弱めることを狙った「脱獄」の道具で、AI の全体の指示に、作者の AI 中継サービスの宣伝を書き足します。普通のプログラムではなく言葉の指示で動くので、見分けにくい点が厄介です。Check Point はこの手口を「prompt adware」と名付けました。GitHub では7月に公開され、The Hacker News の確認では403人が星を付けています。同じ作者の Claude Code 向けの版の保管庫に、広告の仕組みは見つかっていません。

尚

尚の目線

僕の Codex を確かめたら、この広告は入っていませんでした。
Codex や Claude Code の「便利な設定集」は、入れる前に中身を別の AI に読ませて、指示を書き換えるところと外の URL が無いかを聞いてください。
暗号化されて読めないものは、入れないのがおすすめです。

出典：Check Point Research（英語）／The Hacker News（英語）

🗞 動き：OpenAI の一部の社員が長年、社内の守りの甘さを経営陣に警告していたと Reuters が報道

ChatGPT の公開前から、一部の社員が経営陣と取締役会に守りの甘さを伝えていたと、Reuters が11月3日に関係者5人の話として報じました。社員らは、外国の政府も含む外部の人が開発の情報を比較的たやすく手に入れられると訴えていました。OpenAI の広報は、守りに大きく投資していると答えています。同社は11月2日、外部のセキュリティ企業 Cathedral と組む次の社内の集中点検を計画中と公表しました。その Cathedral は10月下旬、報奨金に似た枠の調査で Anthropic の社内に入ったと報じられました。Anthropic の説明では、入られたのは営業・人事・IT の一部で、取引先の連絡先と利用者の基本的なアカウントの記録を含み、Claude との会話やソースコードは含みません。Cathedral は社内の Slack にも届いたと主張しています。

尚

尚の目線

僕は Claude と Codex を毎日使いますが、他人の個人情報とパスワードは、AI に渡す前に伏せる決まりにしています。
使っている AI に「渡さない方がいい情報の一覧」を作らせて、作業の前に見返してみてください。
どの会社の AI でも、預けたものは相手の守りに頼ることになります。

出典：Reuters（Claims Journal の転載・英語）／OpenAI（英語）／Quartz（英語）

📎 短信

  • 🧰 Claude の旧「Max 20x」（今の Ultra）の20倍は5時間の枠の話で、週の枠は Pro の10倍だったと Anthropic が説明しました。→ 料金の倍率は枠ごとに読む
  • ⚠️ Google が、TV ボックスなど130万台超に出荷時から入っていた不正ソフトを公表しました。→ TV ボックスは名の通ったメーカーから買う
  • 🗞 Google が、小中高の生徒の Gemini と検索を管理者が有効にするまでオフにすると発表しました。検索だけ使えると補足しましたが、検索の中の AI を切れるとは説明していません。
  • 🗞 Anthropic が、AI の答えがそのモデルから出たことを証明する研究用の試作「FlashProve」を公開しました。測定は別社のモデルで、計算は通常の70〜95倍です。

出典：ITmedia AI+／Google の脅威情報チーム（英語）／ITmedia NEWS／Google（英語）／GovTech（英語）／Anthropic（英語）