「資安」專欄文章（16 篇） | TIMEWELL股份有限公司

PHP重大漏洞，連日本首相也出面呼籲。發生了什麼事，以及接下來的準備

2026年10月21日，針對PHP的2個重大漏洞（CVSS 9.2），據報導日本國家網路安全統括室與首相高市早苗分別在X上呼籲因應。本文把PHP開發團隊公告中可確認的事實，與媒體報導的日本政府動向分開整理。同一天Node.js也釋出了10項修補，本文也寫出我們實際確認的內容。並以「往後還會再發生」為前提，列出企業平時就該備好的運作方式。

2026-10-22濱本隆太

AI資安

針對電網的網路攻擊：日本對太陽能與儲能設備的新規定與防範

日本經濟新聞在2026年10月16日報導，針對日本電網的網路攻擊，標的超過1億處。日本政府預定從2027年4月起，要求太陽能與儲能電池併聯電網時，必須使用取得JC-STAR★1的產品。本文把已公布的事實與無法確認的部分分開，並依據公部門資料，整理設置者、營運業者與採購人員現在就能準備的項目。

2026-10-21濱本隆太

AI資安

AI滲透測試工具與開放權重模型被用於攻擊：已公布的事實與防範

2026年10月，CrowdStrike公布了結合中國開發的開源AI滲透測試工具ARTEX，以及DeepSeek v4.1-flash等模型的攻擊報告。本文加上NIST與Anthropic對GLM-5.3的評估，把已公布的事實與尚不清楚的部分分開，並整理企業該準備的6個項目。

2026-10-20濱本隆太

AI資安

從社群SaaS遭入侵事件，看邀請連結與管理員權限該怎麼守

2026年10月，日本一家社群營運SaaS發生約30.7萬人的會員資料外洩。公布的手法是不當取得非公開社群的邀請連結，以及冒充管理員。本文先把已公布的事實與尚未確認的部分分開，再依據OWASP與RFC 8725，整理SaaS營運方與導入使用的一方，各自該檢視的項目。

2026-10-20濱本隆太

AI資安

公司內部系統的防護：Workspace、Apple、Claude Code與瀏覽器AI的設定

把守護公司內部系統的設定，分成Google Workspace、Apple Business、Claude Code與瀏覽器AI代理四個部分來整理。依據各家的官方文件與OWASP，依優先順序說明管理員帳號、兩步驟驗證、第三方應用程式、裝置加密、AI代理的權限，以及提示詞注入的防範。

2026-10-20濱本隆太

AI資安

從Sourcenext 2,252萬筆外洩，看會員資料API該怎麼守

2026年10月15日，日本軟體公司Sourcenext公告，會員資料擷取API遭到未經授權的利用，最多2,251萬9,960筆資料可能外洩。本文先把已公布的事實與尚未釐清的部分分開，再依據OWASP與日本個人情報保護委員會的資料，整理營運會員資料API的業者該檢視的6個項目，以及事發時的處理方式。

2026-10-20濱本隆太

AI資安

DKIM重放攻擊是什麼？網域擁有者該檢視的電子郵件DNS設定

日本出現了帶有官方帳號標章的網路釣魚郵件。即使SPF、DKIM、DMARC全部通過，冒名寄信也不會就此結束。本文先把NTT Docomo與樂天卡公布的內容，和技術人員的分析分開整理，再說明DKIM重放攻擊的原理，並依據RFC與M3AAWG的指引，列出網域擁有者在DNS與郵件寄送上該檢視的6個項目。

2026-10-19濱本隆太

AI資安

遭遇網路攻擊時該怎麼辦｜日本的個人與企業最先該做的事

2026年9月底到10月初，韓國幾家大型銀行接連公布遭到網路攻擊。如果同樣的事發生在日本，使用者與企業最先該做什麼？本文依據第一手資料，整理向日本三家信用資訊機構辦理本人申告、警察與消費者熱線等諮詢窗口、向日本個人資料保護委員會通報的期限，以及日本主動式網路防禦相關法律的通報義務。

2026-10-04濱本隆太

AI資安

封鎖海外連線真的有效嗎？從日本統計看住宅代理與家用路由器跳板

依國家封鎖連線，對減少自動化掃描與DDoS攻擊的雜訊確實有效。但日本警察廳等機關已明白指出，只要以家用設備當跳板，連限制海外存取的伺服器也進得去。本文依官方資料整理攻擊看起來從哪裡來、依國家封鎖的極限、允許清單與管理介面的防護方式，以及如何避免自家設備淪為攻擊他人的跳板。

2026-10-04濱本隆太

AI資安

從日本接連發生的入侵事件學到的事（上）｜AI加速的攻擊與身分證明文件的保管

2026年6月到9月，日本有12個組織接連公告遭未經授權存取或網路攻擊。這篇只依各組織的官方公告整理事實，從公部門統計找出共同點，再從AI業者的威脅報告與日本經濟產業省的討論，確認AI代理時代升高的風險；最後以日本汽車共享服務Times Car的公告為起點，一般性地討論身分證明文件該怎麼保管、加密要做到哪裡。也納入截至10月下旬的後續公告，包括Times Car的第五則公告。

2026-09-30濱本隆太

AI資安

從日本接連發生的入侵事件學到的事（下）｜電腦與端點防護，中小企業該先做什麼

2026年日本接連公告多起未經授權存取事件，下篇整理企業現在就能動手的防護。內容涵蓋VPN設備的更新、抗網路釣魚的多因素驗證、電腦與端點的基本設定（EDR、硬碟加密、管理員權限、竊密軟體）、備份、委外廠商與AI的管理、發現入侵時的處理步驟，以及中小企業優先執行的檢查清單，全部以日本與美國公部門的資料為依據。

2026-09-30濱本隆太

AI資安

從日本數位廳GSS遭入侵學到的事｜「中」等級的VPN漏洞也會被打，企業的修補與連線設計該怎麼改

2026年9月11日，日本數位廳公告政府共用辦公環境GSS遭未經授權存取。入口是一個已公開、嚴重度評為「中」的VPN設備漏洞。這篇依官方公告整理事件經過，說明為什麼依嚴重度排序修補來不及、VPN設備為何成了最常見的入侵口、採用零信任為什麼仍然被攻破，以及企業這一週就能改的修補流程與連線設計。內容也納入截至2026年11月6日的後續動向。

2026-09-11濱本隆太