【セキュリティニュース】2026年5月13日号（第2報）｜CAMPFIRE 22.5万件漏えい続報・オーミケンシ ランサムウェア被害で決算延期・Adobe Reader脆弱性

「GitHubはエンジニアが使うツール」と思われがちですが、ウェブ制作会社・システム会社・SaaS企業はもちろん、外注先や情報システム部がGitHubを使っている場合も同様のリスクがあります。開発用リポジトリに本番環境のパスワードやAPIキーが含まれていないかの確認は、ソフトウェアを内製・外注している全組織に必要な点検事項です。また、CAMPFIREのサービスに出店・利用しているプロジェクトオーナーは、自身の情報が漏えいした可能性があります。

• CAMPFIREを利用している場合：同社からの公式通知を確認し、不審なメール・電話・SNSメッセージに注意する（フィッシング詐欺に利用される可能性がある）
• 銀行口座情報が漏えいした可能性があるため、登録口座の取引履歴を定期的に確認する
• 自社でGitHub等のコードリポジトリを使用している場合：本番環境の接続情報（DB接続文字列、APIキー、パスワード）がリポジトリに含まれていないか点検する
• シークレットスキャンツール（GitHub Secret Scanning、truffleHog等）を導入し、機密情報の混入を自動検出する仕組みを整える
• 管理用アカウントには多要素認証（MFA）を必ず設定する

オーミケンシは上場企業ですが、同様の被害パターン（VPN経由の侵入→ランサムウェア展開→基幹システム停止→業務停止）は規模を問わず発生しています。業務停止から復旧まで数か月を要するケースが多く、中小企業の場合は事業継続そのものが危ぶまれることもあります。VPN機器のファームウェアが最後にいつ更新されたか、把握できていない企業は要注意です。

• 社内で使用しているVPN機器（Cisco、Fortinet、Check Point、Palo Alto等）のファームウェアバージョンを確認し、最新版にアップデートする
• VPN機器のベンダーサイトまたはJPCERT/CCの注意喚起ページで、使用機器に未対応の脆弱性情報がないか定期確認する
• VPN接続ログを定期的に確認し、業務時間外（深夜・休日）の接続や、普段とは異なる地域からの接続がないかチェックする
• 重要サーバのバックアップをネットワーク非接続の媒体（外付けHDD等）に保存する。バックアップが存在しない場合は今週中に対応する
• ランサムウェア被害に備えた対応手順書（IT担当者・経営者の連絡先、外部専門家の窓口）を作成し、紙でも保管する

取引先から送られてくるPDFファイルを業務で開く際、もしそのファイルに悪意ある細工が施されていた場合、古いバージョンのAcrobatで開くと端末が乗っ取られる可能性があります。請求書・契約書・カタログなど、業務上PDFを受け取る機会は多く、「送信元が取引先だから安全」とは言い切れない点に注意が必要です。フィッシングメールに添付されたPDFも同様のリスクを持ちます。

• 社内の全PCでAdobe Acrobat / Adobe Acrobat Readerのバージョンを確認する（ヘルプメニュー→「Adobe Acrobat Readerについて」で確認可能）
• バージョンが最新でない場合は「ヘルプ」→「アップデートの確認」から最新版に更新する
• Acrobat Readerを使用していない場合でも、Chrome・Edge等のブラウザ内蔵PDFビューアの更新も確認する（ブラウザのアップデートで対応されることが多い）
• 業務上PDFを扱う端末には、EDR（エンドポイント検出・応答）ツールの導入を検討する。導入が難しい場合はWindowsの「Microsoft Defender」が最新状態になっているか確認する