【まとめ】シェミハザと振り返るネット安全（10/5〜10/10）見破りクイズ4問付き

こんにちは！守護者（センチネル）、シェミハザです。10月5日から10日までの1週間を振り返ります。

この1週間の「ネット安全」— 5つの止まる場所

10/5　職場の電話｜サポート詐欺の企業相談は68件、止めたのは「保留にして電源を落とす」一手

IPAが2026年7月22日に公表した、企業・組織向け相談窓口の4〜6月分のレポートが題材です。サポート詐欺の相談は68件で、前の四半期の41件から約66%増でした（当サイトの計算）。
IPAが紹介した事例は、国税庁を名乗る自動音声が「プッシュボタンの1を押してください」と言い、電話の相手にメールアドレスを答えると、すぐにメールが届き、指示どおりにファイルをインストールしてしまった、という流れです。止まったのは、気付いた別の職員が電話を保留にして、端末の電源を落としたからでした。
だから「1を押して」と言われたら押さずに切り、電話の相手にメールアドレスを教えないでください。途中で怪しいと思ったら、電話を保留にして周りの人に声をかけます。

10/6　SNS広告の偽サイト｜「代引きなら安心」とは限らない、届いた金貨は銅7割・鉄2割

消費者庁が2026年9月3日に出した注意喚起が題材です。SNS広告で「田中貴金属」「ミキモト」をかたる偽サイトでは、支払い方法が代金引換しか選べず、注文の約10日後に日本国外から届きます。検査では、金貨の主成分は銅7割・鉄2割、ネックレスは真珠の模造品でした。
国民生活センターは、偽物が届く通販トラブルのうち代引きが関係する相談の割合が、2020年度に50.8%、2021年度に63.5%、2022年度に59.3%だったと報告しています。払う前に中身を確認できないのが代引きの弱点です。
だから、広告の「購入する」ボタンからは買わず、ブランド名で自分で検索して公式サイトを開き直してください。支払いが代引きだけなら、注文しません。

10/7　情報漏えいのお知らせ｜漏れた情報は戻らない、危ないのはお知らせのあとの便乗連絡

大和証券（10月5日）とシチズン時計（10月6日）の発表が題材です。どちらも、お問い合わせの受付に使っていた同じ委託先のサーバーが不正アクセスを受けたとして、大和証券は約11万名、シチズン時計は約10万名の情報が漏れた可能性があると説明しています。シチズン時計は二次被害を確認していない、大和証券は不正な取引とインターネット上への公開・拡散を確認していないと書いています。
漏れてしまった情報を、個人が取り戻すことはできません。できるのは、何が漏れたかを確認し、次に来る連絡に備えることです。
お知らせのあとに来る電話・メール・SMSの、リンクや番号は使わないでください。確認するときは、自分で調べた公式の窓口にかけます。

10/9　交際あっせん詐欺｜件数+73.2%・被害額+83.2%、警察庁は「『保証金が必要』は詐欺」

警察庁が2026年10月2日に公表した、令和8年8月末の暫定値が題材です。交際あっせん詐欺は452件（前年同期比+73.2%）、被害額14.7億円（+83.2%）でした。警察庁の会話例では、登録料を払ったあとに「あなたを気に入っている人がいる。保留しておくために保証金を」と続きます。
なぜ増えたのかは、この統計からは分かりません。警察庁が示しているのは件数と金額の増減までです。
だから、登録料のあとに「保証金」が出てきた時点で、話の中身を検討せずに連絡を絶ってください。書かれた連絡先には連絡せず、確認は自分で調べた警察署へかけ直します。

10/10　チケットの先払い｜決済アプリの警告が出ても送金して、連絡が取れなくなった

国民生活センターが2026年10月6日に公表した注意喚起が題材です。事例1は、SNSで「定価で譲ります」と持ち掛けられ、運転免許証の画像が届いたので信用し、決済アプリの警告を気にせず約2万円を送金したところ、連絡が取れなくなったという内容です。相談者は、同じ相手がほかの人にも持ち掛けている様子で、被害者が複数いるようだったと書いています。
この発表に、相談件数の数字は載っていません。
だから、先にお金を送らず、チケットは公式の販売サイトや主催者のリセールで探します。決済アプリが警告を出したら、そこが止まる場所です。

エンジニア向け：この1週間のセキュリティアラート（10月11日時点の続報つき）

4件を扱いました。CISAのKEV（悪用が確認された脆弱性のカタログ）に載っているのは、NetScaler・Zammad・古い5件の3記事で、Atlassianだけが載っていません（2026年10月8日版のカタログで、記事に出てきたCVEをすべて確認しました）。
ただし、KEVに載っていないことは悪用されていない証拠ではありません。10月11日に取り直すと、Zammadでは修正版が出ていて、ほかの3件もNVD上の扱いが動いていました。

【緊急】NetScaler ADC/Gateway CVE-2026-88779（CVSS v4.0: 8.7 HIGH）— 修正版は変わらず、NVDの解析は完了

修正版は、Citrixの告知（CTX697174）で14.1-73.41／13.1-64.28以降のままです。9月27日の更新（73.37／64.23）では足りない点も、10月5日の記事のとおりです。KEVへの追加は10月4日でした。
続報はNVDの解析です。10月11日に取り直すと解析は完了していて、NIST自身はCVSS v3.1で7.5（HIGH）を付けています。記事に表示したv4.0の8.7は、NVDに別の評価者（Secondary）の値として載っているものです。版が違うので、数字が違っても矛盾ではありません。

【緊急】Zammad CVE-2026-102490（CVSS v4.0: 8.5 HIGH・DIVD評価）— 10月8日に修正版 7.2.2 が出た

10月6日の記事は「修正版がまだ無い」と書きましたが、状況が変わりました。Zammadは10月8日に7.2.2を出し、GitHubのセキュリティアドバイザリ（GHSA-p97w-927q-8vxq）はCVE-2026-102490の影響を7.2.1以前、修正版を7.2.2と記しています。リリースページによると、これはDEB/RPMパッケージ（packager.io）だけが影響を受けるroot昇格の脆弱性で、SaaSの利用者は作業が要りません。
自社で運用しているなら、7.2.2以降へ更新してください。Zammad 6.5以前はCVE-2026-102489の対象でもあり、サポートが終わっているので、更新が先です。
スコアも変わっています。10月11日に取り直すと、NVDではNIST自身がCVE-2026-102490をCVSS v3.1の7.8（HIGH・ローカル）、CVE-2026-102489を9.8（CRITICAL）と付けています。10月6日の記事の「NVDは両方9.8」は、102490については古くなりました。この記事が表示する8.5はDIVDの評価で、版も評価者も違います。

10月6日の記事の見出しと冒頭には、修正版が無いという記述が、まだ残っています。その記事は、この続報とあわせて読んでください。

【緊急】Atlassian Data Center製品 CVE-2026-21589（CVSS v4.0: 9.3 CRITICAL・Atlassian評価）— KEV未掲載、CISAの評価は「概念実証あり」

Atlassianのアドバイザリは、10月5日の最終更新のままです。NVDの解析は10月11日時点でAwaiting Analysisで、KEVにも10月8日版では載っていません。
続報はCISAの評価です。NVDには、CISAがSSVC（脆弱性の優先度を決める枠組み）で付けた評価が載っていて、exploitation（悪用状況）は「poc」、automatable（自動化できるか）は「no」、technical impact（技術的影響）は「total」です。「poc」は概念実証が公開されているなどの段階で、悪用が確認されている「active」ではありません。10月7日の記事は「攻撃コードの有無を確認できる資料がない」と書きましたが、この評価は、その時点より進んだ見方です。
対処は変わりません。修正版へ更新し、できなければ公式のWAFなどの暫定対策で「..」を含むURLを遮断してください。

【緊急】ProFTPD CVE-2015-3306 ほか古い脆弱性5件（CVSS v3.1: 10.0 CRITICAL・CISA-ADP評価）— 期限は今日、ただし対象は米国の連邦機関

5件とも、KEVへの追加は10月8日で、対処期限は10月11日（今日）です。この期限は米国の連邦機関向けで、日本の事業者に法的な期限があるわけではありません。ただし、悪用が確認された古い版が自分のサーバーに残っていれば、期限と無関係に危険です。
続報はNVDの状態で、CVE-2015-3306は10月11日に取り直すと解析が完了しています（NIST自身はCVSS v2.0で10.0）。記事が表示するCISAのv3.1の10.0とあわせて、数字は変わっていません。
今日のうちに、ProFTPD・Struts・BIND・Strapi・ONLYOFFICE Docsの古い版が動いていないかを棚卸ししてください。

今回の見破りクイズ — 力試し4問

この1週間の記事を読んでいれば見破れるはずです。前半2問はご家族と、後半2問は仕事仲間と一緒にどうぞ。

この1週間の記事一覧

家族に送るならこの3行

• ▸「1を押して」「購入するボタンから」「保証金が必要」「先に送金して」と言われたら、その場で一度止まって。今週扱った5つの手口は、どれも止まる場所が1つに決まっていました。
• ▸漏えいのお知らせが来たら、そのあとの電話・メール・SMSが一番あぶないよ。リンクや番号は使わず、自分で調べた公式の窓口に確かめてね（大和証券とシチズン時計は、同じ委託先から漏れた可能性を発表）。
• ▸迷ったら、相手が教えた番号ではなく自分から相談して。警察相談専用電話 #9110、お金の支払いや契約のことは消費者ホットライン 188（局番なし）へ。

困ったときは

「しまった！」と思ったら、落ち着いて順番に対処すれば大丈夫です。恥ずかしいことではありません。

お金を払ってしまった・請求で困っている → 消費者ホットライン 188（局番なし）
詐欺や犯罪かもしれない・相談先が分からない → 警察相談専用電話 #9110
アカウントを乗っ取られた・怪しいものを開いてしまった → 下の「被害別・緊急対応ガイド」に症状別の手順があります。