ハクソク

世界を動かす技術を、日本語で。

ネパール政府を「Have I Been Pwned」へ歓迎する

2026年8月7日原文(troyhunt.com)

概要

  • Nepal 政府が Have I Been Pwned (HIBP) の無料政府向けサービスに参加
  • National Cyber Security Centre (NCSC) がネパール政府ドメインの監視権限を取得
  • 政府メールアドレスの 漏洩検知 と迅速な対応が可能に
  • HIBP政府サービスの目的は サイバー脅威監視強化
  • 他国も同様に HIBP を活用し、リスク低減を図る動き

ネパール政府、Have I Been Pwned政府向けサービスに参加

  • Nepal が Have I Been Pwned (HIBP) の47番目の政府ユーザーとして参加
  • National Cyber Security Centre (NCSC) がネパール政府ドメインの監視権限を取得
  • NCSCは 政府メールアドレス の漏洩状況をHIBPデータで監視
  • 新たな データ侵害 発生時、迅速な対応と被害抑制が可能
  • 脅威の早期発見と インシデントレスポンス 能力の向上

HIBP政府サービスの役割と意義

  • HIBP政府向けサービス の主目的は、各国サイバー対策チームの支援
  • 政府ドメイン全体の 漏洩アカウント可視化 と情報提供
  • 脅威監視 と インシデント対応 の強化
  • 漏洩認証情報 の早期把握によるリスク低減
  • 攻撃者による悪用 を未然に防ぐ体制構築

世界的な政府利用の拡大

  • Nepal の参加により、利用国リストが拡大
  • 各国の 国家サイバーセキュリティチーム がHIBPを活用
  • 政府部門 や 公共リソース の保護強化
  • 漏洩認証情報 によるリスクの予防的管理
  • Have I Been Pwned の信頼性と国際的な重要性の高まり

Hackerたちの意見

ネパールの政府が運営しているITサービスの現状を考えると、これはいいニュースだね。パスポート更新の予約ページで、ローカルタイムゾーンを変更するか、TZをAsia/Kathmanduにオーバーライドしないといけないっていうのが、サービスの状態を物語ってる。ネパール政府のウェブサイトとやり取りしていると、基本的な入力のサニタイズすらしてないエンドポイントがあって、生体データに対して任意のクエリを実行できちゃうことに気づいた。これを報告する方法を技術業界で聞いてみたけど、どうやらこういうのはよくあることみたい。誰かは、意図的にパッチが当てられなかった脆弱性を見つけたらしいけど、それは腐敗を助けるためっぽい。

└

私の旅行経験から言うと、アジアやアフリカのほとんどの国がそんな感じだね。普通にサービスを使ってるだけで、すごく敏感なデータが漏れてる脆弱性を見つけることができるよ。調査しなくても、すぐに確認が壊れてるのが分かる。私は調査したり報告したりしないけど、それが問題につながるかもしれないからね。

└

こういう攻撃の良いところは、失敗を公にして、政府内部の良い人たちが改革を進めるためのデータを提供できることだよね。中国やインド、パキスタンの情報機関とか、犯罪組織なんかも何年も前からこういうシステムに入り込んでるだろうし、サイバーセキュリティ機関がどこが脆弱かを明確にするためのツールを持ってるのはいいことだと思う。

昨年、旧政府が暴力的に overthrow された後の新しい政府なの？

└

ネパールの他の政府については知らないな。

└

そうそう、これは去年の9月に前の政府が倒れて、今年の3月に選ばれた新しい政府だよ。

最初に思ったのは、痛いな、政府のデータが漏れてデータベースに追加されたってこと。

ほとんど無責任に誤解を招く見出しだね。

└

https://www.troyhunt.com/tag/government/ 新しい歓迎に使われるパターンだよ。

└

まあ、トロイ・ハントは君のデータが漏れることでお金を稼いでるから、期待するのはそれ以下だね。

└

ネパール政府がデータ漏洩したみたいに読んでるの？「歓迎する」ってポジティブな意味があるから、私はちょっと違う風に読んだけど、混乱するのも分かるよ。

メールアドレスを変更できるようにしてほしい。新しいアカウントを作って、すべてのドメインを再確認する必要がないように。素晴らしい無料サービスをありがとう。

Hacker Newsで議論の続きを見る