サクサク読めて、アプリ限定の機能も多数!
トップへ戻る
体力トレーニング
scan.netsecurity.ne.jp
個人情報保護委員会は9月11日、株式会社NTTマーケティングアクトProCX等における不正持ち出し事案に対する個人情報の保護に関する法律に基づく行政上の対応について発表した。 NTTマーケティングアクトProCXが利用するコールセンタシステムを提供するNTTビジネスソリューションズでは、同システムの運用保守業務に従事するNTTマーケティングアクトProCXが派遣した元派遣社員がシステム管理者アカウントを悪用し、顧客データが保管されているサーバにアクセスし、顧客情報を不正に持ち出したことが明らかになっており、NTTマーケティングアクトProCXにテレマーケティング業務を委託していたクライアント69件の顧客情報 約928万件が流出が判明していた。
AWSアカウントについて、脆弱性を研究したエンジニアがいる。Aqua Securityの研究者(Yakir Kadkoa氏、Michael Katchinskiy氏、Ofek Itach氏)が、AWSアカウントに関する脆弱性とそれを利用することで成立するAWSのシャドーリソースを使った攻撃方法を発見した。
日立製作所を中心とした産業機器の販売や保守を行う福井電機株式会社は9月5日、同社へのランサムウェア攻撃について発表した。 これは8月30日に、同社に第三者からのランサムウェアによる不正アクセス攻撃があり、取引先及び社員情報が流出した可能性が否定できないことを確認したというもの。
2024 年 4 月に公開された、glibc の脆弱性を悪用する攻撃検証コードが公開されています。
株式会社ニチイホールディングスは9月2日、8月16日に公表したニチイグループへのランサムウェア被害について、調査結果を発表した。 ニチイグループでは8月8日に、ニチイホールディングス子会社の株式会社ニチイケアパレスのPCがランサムウェアに感染していることを確認しており、その後、ニチイホールディングスおよびニチイホールディングス子会社の株式会社ニチイ学館で使用するPCでも電子データの暗号化を確認していた。
侵入前提の対策である EDR や NDR の重要性は別として、そもそもまず足元の脆弱性管理等をちゃんとやった方が、断然費用対効果も高くないですか?
ソフトウェア開発を行う株式会社ヒロケイは8月26日、同社内ネットワークへの外部からの不正アクセスについて、第三報を発表した。 同社によると、同社サーバの脆弱性およびVPNルータの設定不備が原因で、攻撃者が社内ネットワークに不正侵入し、ランサムウェア「Phobos」で社内ネットワーク上の複数のサーバのデータの暗号化し、サーバのイベントログを消去、バックドアの設置を確認しているという。
果たして「手土産転職」に打つ手はあるのか。日本プルーフポイント株式会社 チーフエバンジェリスト 増田 幸美(そうた ゆきみ)と、シニアセールスエンジニア 木下 順一(きのした じゅんいち)に話を聞いた。
医療用医薬品やワクチンなどを提供するサノフィ株式会社は8月28日、同社のデータベースへの不正アクセスについて発表した。 これは7月10日に、海外の業務委託コンサルタントが使用していた個人用ノートパソコンに同社データベースの一部へのアクセスIDを保存していたところ、当該パソコンがマルウェアに感染し、7月10日から14日にかけて同社データベースの一部にアクセスしたというもの。当該コンサルタントが、同社のITセキュリティポリシーに違反して、アクセスID等を保存していたのが原因。
登壇者はなんと NTT「グループ」の CISO だ。こんな役職の人は、もし同じ社内に勤めていても、下手すると生涯お目にかかる機会が無いレベルだろう。しかも講演は KITTE のワンフロアで、席数も 100 を下回る規模。幕張メッセの大会場なら納得だが、これでは「雲の上の人」が市井に降り立ったような違和感がある。これが筆者が感じた一つ目の疑問だった。
「nOAuth(エヌオース)」と呼ばれる脆弱性が、よりによって脆弱性管理基盤「S4(エスフォー)」に存在し、かなり限定的な条件ではあったものの攻撃が成立することが 2024 年 5 月に開発者によって実証された。
フィッシング対策協議会は8月21日、2024年7月のフィッシング報告状況を発表した。
「人々は、一日中座ってシステムを更新するために IT 運用の仕事に就くわけではない。彼らはクールなプロジェクトや最先端のテクノロジーに取り組むためにこの仕事に就いている。誰も Windows Update を実行して適用するために就職したわけではないのだ」 パッチ適用が頭痛の種であり続ける最大の理由の一つは責任感の欠如である。セキュリティチームと IT運用チームは、このタスクの責任から逃れようと張り合っている。
伊藤忠テクノソリューションズ株式会社(CTC)は8月13日、同社の業務委託先へのランサムウェア攻撃について発表した。 これは同社の一部業務の委託先にランサムウェアによる攻撃があり、当該業務で利用するファイル共有サービスへの不正なアクセスが判明したというもの。閲覧もしくは持ち出しの可能性があるファイルには、顧客を含めた取引先の企業情報と個人情報が含まれていた。
なんだかこの記事が「いい話」にまとまろうとしているが、2024 年 7 月の取材時点で千葉県警のサイバー犯罪捜査官は、警察学校時代に短期間だが交番勤務の実習があり、また千葉県警ではサイバー犯罪捜査官も柔道または剣道いずれかが必修でありどちらかで 1 級を取る必要がある。この 2 項目だけで 95 %の本誌読者は読むのやめたはずだ。
これは、2016年にIPAにソフトウェアの脆弱性を約500件報告したときの話です。つい最近IPAにウェブサイトの脆弱性を報告する機会があり、2016年の苦行の日々がフラッシュバックしました。
株式会社Brave groupは7月31日、6月25日に公表した同社グループが運営するオーディションでの個人情報流出について、調査結果を発表した。 同社グループで利用している Googleドライブ で管理するファイルにて、同社グループである株式会社バーチャルエンターテイメントの「ぶいすぽっ!JP オーディション」の応募者用Google Form に回答された内容が、同Formの「編集用URL」を知る第三者が閲覧可能な状態であったことが6月25日に判明していた。
独立行政法人情報処理推進機構(IPA)は7月31日、映像コンテンツ「体験して学ぼう、脆弱性体験学習ツール『AppGoat(アップゴート)』利用の手引き」を、YouTubeのIPA Channelで公開した。
IPAは、「重要情報を扱うシステムの要求策定ガイド(別冊)活用の手引き」を公開した。同ガイドは、IPAが2023年7月に公開した「重要情報を扱うシステムの要求策定ガイド」の手引書となるもの。
宮崎県は8月1日、宮崎県企業振興課が管理する県外ICT人材マッチング支援サイト「ひなターンみやざき」の改ざんについて発表した。 これはインターネットの検索結果から「ひなターンみやざき」へアクセスすると、同ホームページとは関係のないサイトが表示されるというもの。サイト管理業者による7月26日の点検作業では問題がなかった、7月30日の点検作業中に判明した。
トレンドマイクロ株式会社は8月2日、OpenSSHの脆弱性「CVE-2024-6387」と「CVE-2024-6409」についての解説記事を発表した。
東京ガス株式会社と東京ガスエンジニアリングソリューションズ株式会社(TGES)は7月17日、不正アクセスによる顧客情報流出の可能性について発表した。
CISA は、これを「SILENTSHIELD 評価」と呼んでいる。CISA のレッドチームは、連邦民間行政機関 (FCEB)を選び、事前の通知なしに調査を行う。敵対的な国家の脅威グループによる長期的な策略をシミュレートしようとするのである。
次のページ
このページを最初にブックマークしてみませんか?
『ScanNetSecurity [国内最大級の情報セキュリティ専門ポータルサイト]』の新着エントリーを見る
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く