【まとめ】シェミハザと振り返るネット安全（9/7〜9/12）見破りクイズ4問付き

こんにちは！守護者（センチネル）、シェミハザです。9月7日から9月12日までの1週間を振り返ります。
今週はネット安全の記事が6本、それぞれ違う手口を扱いました。並べてみると、ひとつの共通点があります。どれも「本物か偽物かを見分ける」より先に、「お金や情報が動く前の一点で止まる」ルールを決めておく話だったのです。文面が上手くなっても、見た目が本物そっくりでも、止まる地点さえ決めてあれば手口は成立しません。

この1週間の「ネット安全」— 6つの手口と止まる一点

9/7　「〇〇Payで返金します」は詐欺です｜1,000円が1,200円で戻ってきても信じないで

国民生活センターが2026年8月17日に公表した速報をもとにした記事です。被災地支援をうたうSNSのDMからLINEのグループへ誘導され、「コード決済で買うと購入額より多く返金される」と持ちかけられる手口でした。相談事例では、1,000円の支払いに1,200円が本当に返ってきたあと、10万円を決済した回だけ返金がありませんでした。
決め手は、「買うほど手元のお金が増える」という話は成立しないことです。途中で本当に戻ってきた少額は、大きな金額を出させるための費用にすぎません。

9/8　注文した商品が来ない通販サイト｜支払いで「送る」を指示されたら止める

国民生活センターが2026年6月17日に公表した注意喚起によると、悪質通販サイトには、コード決済の「送る」機能で個人アカウント宛に支払わせる手口が確認されています。国民生活センターは「一般的に、〇〇ペイの『送る』機能は個人間のやり取りに用いる機能であり、事業者に支払う際は『支払う』機能を利用します」と書いています。
銀行振込で口座名義が個人名の場合も同じ考え方です。支払い画面で一度だけ立ち止まれば、この手口はほとんど成立しません。

9/9　「15,622ポイント」のメールで不正アプリを入れさせる手口

フィッシング対策協議会が2026年9月8日に出した緊急情報を扱いました。Android向けの不正アプリを入れさせるメールで、協議会は同日11時30分の時点で配信が続いていることを確認しています。
記事では、協議会が公表した件名14件のうち7件に画面に表示されない文字が混ざっていたことも当サイトで確かめています。つまり「日本語が不自然だから偽物」という見分け方は当てになりません。ルールは1つ、アプリはメールのリンクからではなくアプリストアからです。

9/10　宅配の不在通知SMS｜怪しいメッセージを開いてしまったときの手順

フィッシング対策協議会の月次報告（2026年8月17日公開・7月分）は、SMSから誘導されるフィッシングについて「報告数は少ない状態が続いています」としつつ、宅配便の不在通知をよそおう文面の報告を受領していると書いています。記事では「急増」とは書かず、それでも警戒する理由を整理しました。
いちばん強い対策は、荷物の確認を自分が起点になる経路で行うことです。SMSのリンクではなく、配送業者の公式アプリか、自分でブラウザに入力した公式サイトで追跡番号を調べます。開いただけで何も入力していなければ、まだ多くの場合は間に合います。

9/11　子どもが勝手に課金していた｜返金できる場合とできない場合、今日変える5つの設定

国民生活センターの相談統計（2026年7月31日更新）を題材にした記事です。オンラインゲームの相談件数は2023年度 8,473件 → 2025年度 6,234件と減っていますが、国民生活センターが2024年3月13日に公表した注意喚起では、小中高生が契約当事者の相談の契約購入金額は平均約33万円でした。
要点は、課金を承認制にしていても、親のアカウントにログインしたまま渡すと、子どもが自分の指紋を追加登録できてしまうことです。そして返金は確実ではありません。親のアカウントで課金された場合は、保護者が決済したとみなされる場合もあると国民生活センターは書いています。だから止まる一点は、貸す前のログオフです。

9/12　メールや貼り紙のQRコード｜指で触れば防げる手口と、読み取ってしまった後の3手順

国民生活センターの見守り新鮮情報 第550号（2026年9月3日）と、警視庁「QRコードを利用する時の注意点」（2026年7月10日更新）をもとにした記事です。QRコードは読み取るまで行き先のURLが見えないため、「怪しいリンクか見てから押す」という習慣が一段飛ばされます。
警視庁が挙げている対策は、貼り紙のQRなら「QRコードを読み取る前に、指で実際に触ってみる。」、送金用のQRを送られたら「「金額の入力」を求められたら直ぐに操作を中断する。」です。9/7の「〇〇Payで返金します」と、ここでつながります。

エンジニア向け：この1週間のセキュリティアラート

5件を扱いました。このうち1件は、CISAが実際の悪用を確認してKEV（悪用が確認された脆弱性カタログ）へ追加したものです。
今週の共通点は、公表された深刻度の区分や影響範囲を、そのまま読んで終わりにしてはいけないということでした。Googleの評価が「Medium」でも悪用されている脆弱性があり、アドバイザリの範囲表記から外れて見える版が未修正のままのものもありました。

【緊急】Chrome CVE-2026-87491（CVSS v3.1: 8.8 HIGH／Google評価 Medium）— 悪用確認済み

JavaScriptエンジンV8の境界外書き込みです。Googleは2026年9月8日の公式リリースノートで悪用の存在を把握していると明記し、CISAは9月9日にKEVへ追加、期限を9月23日としています。8.8はCISA-ADPが付けた値で、Google自身の深刻度評価は「Medium」です。
区分がMediumでも、悪用されているなら今日塞ぐ対象です。Chromeを153.0.8010.36（Windows・Macは.37も該当）以上へ更新し、必ず再起動してください。CISAはEdgeやOperaを含むChromium系ブラウザにも影響しうると書いています。

【緊急】Google ADK for Python CVE-2026-79696（CVSS v4.0: 10.0 CRITICAL）

AIエージェント開発キット `google-adk` で、pytestが入った環境の `adk web` に細工したテストセッションの再生を送られると、未認証で任意コードを実行されます。修正版は2.7.0です。
要注意なのは影響範囲の読み方です。アドバイザリの記述は「2.0.0〜2.6.0」ですが、当サイトがソースを確認したところ、2.6.1・2.6.2・2.6.3も未修正でした。「2.6.3だから範囲外」と判断せず、2.7.0以降へ上げてください。

【緊急】miniOrange 2FA CVE-2026-77770（CVSS v3.1: 10.0 CRITICAL）

WordPressの二要素認証プラグインで、未認証の誰でもサイトの設定値（option）を名前を指定して削除できる欠陥です。発見者側は、全管理者が締め出されるか全プラグインが無効化されると説明しています。10.0は採番したWPScanの値です。
CISAのKEVには入っておらず、悪用も確認されていません。それでも急ぐ理由は、WPScanが実証コードの公開を2026年10月8日と予告していることです。無料版は6.3.1、Pro版は19.3へ更新してください。

【緊急】Frontend Admin by DynamiApps CVE-2026-75816（CVSS v3.1: 9.8 CRITICAL）

WordPressプラグインの3.29.12以前で、未認証の攻撃者が管理者のメールアドレスを書き換え、パスワード再設定で乗っ取れる認証バイパスです。9.8は採番したWordfenceの値です。
修正版3.29.13は2026年8月25日に公開済みで、CVEの公表（9月6日）より12日早く用意されていました。更新後は、管理者の元のアドレスにWordPress本体の「Email Changed」通知が届いていないかも確認してください。ただし届いていないことは安全の根拠になりません。

Oracle HTTP Server／WebLogic Proxy Plug-in：使用コンポーネントとパッチ適用状況の確認表

CVEの速報ではなく、8月26日のOracle速報とあわせて使う管理者向けのチェックリストです。「WebLogicは更新済み」だけでは、前段のプラグインまで確認できません。入口のWebサーバから転送先まで、どのホストのどのコンポーネントが動いているかを記録し、Oracle Homeごとに適用履歴を残す形で整理しました。
コマンドが失敗したときに「パッチなし」と読み替えず「未確認」と書く、という線引きは、どの製品の棚卸しにもそのまま使えます。

今回の見破りクイズ — 力試し4問

この1週間の記事を読んでいれば見破れるはずです。前半2問はご家族と、後半2問は仕事仲間と一緒にどうぞ。

この1週間の記事一覧

家族に送るならこの3行

• ▸「〇〇ペイで返金します」「金額を入力して」と言われたら、そこで止めて。返金なのにこちらが入力するのはおかしい。お店への支払いは「送る」ではなく「支払う」だよ。
• ▸宅配SMSやメールのリンク・QRコードからは開かないで。荷物もポイントも、アプリを自分で開いて確かめる。アプリはアプリストアからだけ入れてね。
• ▸子どもにスマホを貸すときは、親のアカウントからログオフ。困ったら消費者ホットライン188、詐欺かもと思ったら警察相談専用電話#9110へ。

困ったときは

「しまった！」と思ったら、状況別の緊急対応ガイドへ。落ち着いて順番に対処すれば大丈夫です。恥ずかしいことではありません。
カード番号やパスワードを入力してしまったなら、まずカード会社と該当サービスへ。コード決済で支払ってしまったなら、まずそのコード決済サービスの事業者へ連絡してください。
消費者ホットライン：188（局番なし。「いやや！」と覚えます。最寄りの市区町村や都道府県の消費生活センター等につながる全国共通の3桁番号です）
警察相談専用電話：#9110（最寄りの警察の相談窓口につながる全国共通の番号です）