← 2026-03-14 の一覧へ戻るホーム
**タイトル：** スウェーデン政府サービスのソースコードが漏洩した

2026/03/13 18:45

**タイトル：** スウェーデン政府サービスのソースコードが漏洩した

RSS: https://news.ycombinator.com/rss

元のHacker News記事へ ↗
要約▶

Japanese Translation:

## Summary

脅威アクター「ByteToBreach」は、CGI Group の子会社である CGI Sverige AB のインフラを侵害し、スウェーデンの E‑Government プラットフォーム全体のソースコードを暴露しました。今回の違反では、スタッフデータベース、API ドキュメント署名システム、Jenkins SSH ピボットクレデンシャル、RCE テストエンドポイント、および初期フットホールドとジャイルブレイクアーティファクトも取得されました。さらに、市民の PII データベースや電子署名ドキュメントが収集され、別途販売されています。

攻撃は複数の脆弱性を利用しました：Jenkins の完全侵害、Docker ユーザーを Docker グループに置くことで実現した Docker エスケープ、SSH プライベートキーによるピボット、ローカル .hprof での情報収集、および SQL copy‑to‑program ピボットです。ByteToBreach は、Viking Line および Slavia Pojistovna の以前の事件を引用し、CGI インフラストラクチャへの侵害パターンを示しています。

漏洩したソースコードは複数のバックアップリンク経由で無料ダウンロード可能です。市民データベースは別途販売されています。この事案は **Source Code Leak** と分類され、重大度は **Critical** です。対象はスウェーデンの E‑Gov プラットフォームであり、アクセスは **Open Web** ネットワークを通じて行われます。被害組織は **Government / IT Services** 業界に属しています。

本文

日時
2026‑03‑12 18:25:21 UTC

脅威アクター
ByteToBreach

被害国
スウェーデン

業界
政府／ITサービス

被害組織
CGI Sverige AB

影響対象プラットフォーム
スウェーデン・E‑Gov プラットフォーム

カテゴリ
ソースコード流出

深刻度
クリティカル

ネットワーク
オープンWeb

価格
無料（ソースコード）

インシデント概要

ByteToBreach は、スウェーデンの E‑Government プラットフォーム全体のソースコードを流出させたと主張し、CGI Sverige AB のインフラが高度に侵害されたことから取得したと説明しています。CGI Sverige はグローバル IT サービス大手 CGI Group のスウェーデン子会社であり、重要な政府デジタルサービスを管理しています。同じアクターは昨日投稿された Viking Line の違反事件でも知られています。

アクターは「これは E‑Gov プラットフォームの完全なソースコード」であると強調し、設定スニペットだけではないことを明言しています。スウェーデンの e‑government が最も影響を受けた主体であり、市民 PII データベースや電子署名文書も収集済みだが、別途販売されると述べています。リストには従業員データベース、API 文書署名システム、RCE テストエンドポイント、初期侵入情報、ジャイルブレイクアーティファクト、Jenkins SSH ピボット認証情報などが含まれています。

公開された脆弱性は以下のとおりです：

  • Jenkins の完全な乗っ取り
  • Docker エスケープ（Jenkins ユーザーが Docker グループに属しているため）
  • SSH プライベートキーによるピボット
  • ローカル 
    .hprof
    ファイル解析を用いたリコンナイサンス
  • SQL の copy‑to‑program ピボット

アクターは、企業が第三者に責任転嫁するケースについて鋭く指摘し、今回の侵害は CGI インフラに明らかに起因すると述べ、Viking Line や Slavia Pojistovna を他例として挙げています。ソースコードは無料で複数のバックアップダウンロードリンクとともに公開され、市民データベースは別途販売されています。

侵害されたデータカテゴリ

  • 完全な E‑Gov プラットフォーム ソースコード
    • 従業員データベース
    • API 文書署名システム
    • Jenkins SSH ピボット認証情報
    • RCE テストエンドポイント
    • 初期侵入とジャイルブレイクアーティファクト
    • 市民 PII データベース（別途販売）
    • 電子署名文書（別途販売）

クレーム URL – サブスクライバー限定
本リストのクレーム URL は、サブスクライバー向けの Threat Feed または Ransomware Feed にて確認できます。

同じ日のほかのニュース

一覧に戻る →

2026/03/14 7:52

オープンソースドキュメントサイトで、39 個の Algolia 管理キーが漏洩していることを発見しました。

## Japanese Translation: ## 要約 この記事は、Algolia の DocSearch プログラムに広く蔓延するセキュリティ欠陥を暴露しています。多数のオープンソースプロジェクトが誤ってフルパーミッション API キーを公開サイトに掲載し、即座に脅威を生み出しました。 - **主なインシデント**：最初に報告された侵害は 10 月に *vuejs.org* で発生し、サイトがフルアクセスの管理者キーで動作していました。Vue はその漏洩を認め、レポーターを Security Hall of Fame に追加し、キーをローテーションしました。 - **問題の範囲**：調査により、影響を受けた 39 件すべての DocSearch デプロイメントがフロントエンド構成で管理者レベルのキーを使用していたことが判明しました（35 件は数千件の `docsearch-config` ファイルをスクレイピングし、約15 000 のドキュメントサイトをクロールした結果、4 件は GitHub 履歴分析で発見されました）。 - **漏洩した権限**：リークされたキーは検索、addObject、deleteObject、deleteIndex、editSettings、listIndexes、browse、analytics、logs、および NLU アクセスを含む広範な操作を許可しました。 - **高プロファイルの被害者**：Home Assistant（約85 k GitHub スター）、KEDA（CNCF プロジェクト）、vcluster（10万件以上のインデックスレコード）などが露出対象でした。 - **根本原因**：開発者は意図した検索専用キーではなく、書き込みまたは管理者キーを公開フロントエンド構成に誤って埋め込んでしまいました。 - **ユーザーと企業へのリスク**：攻撃者は任意のレコードを追加・変更・削除し、インデックス全体を削除したり、ランキング設定を変更したり、すべてのインデックス済みコンテンツをエクスポートしたり、悪意あるリンクで検索結果を汚染したり、フィッシングリダイレクトを開始したり、検索機能を完全に停止させる可能性があります。企業は評判損失と運用障害に直面しました。SUSE/Rancher は公開後 2 日以内にキーを取り消し、Home Assistant は修復を開始していましたが、報告時点では元のキーをアクティブなままでした。 - **著者のアウトリーチ**：著者は数週間前に Algolia に漏洩したすべてのキーの完全リストをメールで送付しましたが、返答はありませんでした。残りのすべてのキーは現在も有効です。 - **手法**：約3 500 のアーカイブ済み `docsearch-config` ファイルをスクレイピングし、15 000 近いドキュメントサイトで正規表現による埋め込みクレデンシャルのクロール、GitHub コード検索、および TruffleHog を 500 以上のリポジトリに対して実施しました。 - **将来展望と修復推奨**：誤設定されたキーは39 件を超えている可能性があります。DocSearch を運用している場合、フロントエンド構成に埋め込まれたキーが **検索専用** キーであることを確認し、公開サイト上で書き込み/管理者キーの使用を避けてください。 このインシデントは、Algolia の DocSearch プログラムにおいて開発者が意図せずフルアクセスキーをスケールして露出させるという体系的な問題を浮き彫りにし、オープンソースエコシステム全体でより厳格なキー管理実践の必要性を強調しています。

2026/03/13 21:46

はい。ご自身のハードウェア上で多くのAIモデルをローカルに実行することが可能です。 典型的な手順は次のとおりです。 1. **モデルを選択**（例：GPT‑2、LLaMA、Stable Diffusionなど）。 2. **依存関係をインストール**。PyTorchやTensorFlow、そして対象モデルのリポジトリをセットアップします。 3. **重みファイルをダウンロード**してローカルに保存します。 4. **推論を実行**。スクリプトやAPIラッパー経由でローカル上で動作させます。 GPT‑4規模の大型モデルの場合は、強力なGPUや専用ハードウェアが必要になります。一方、より小型・蒸留済みバージョンなら一般的なノートPCでも実行可能です。

## Japanese Translation: 提供された要約は明確で簡潔であり、リストのすべての重要ポイントを正確に反映しつつ、有用な文脈フレームワークも提示しています。修正は不要です。

2026/03/11 23:34

**Show HN：Channel Surfer – YouTubeをまるでケーブルTVのように見る**

## Japanese Translation: **概要：** Channel Surfer Press は準備が整い、すでにRDUによって構築されています。