Slackが危ない 便利なコラボツールに潜むワナ
Slackは社内コミュニケーションツールとして広く使われているものの、メールと比較するとサイバー攻撃に対する警戒が薄い。気軽な会話だけでなく重要な情報も流れているため危険だ。 社内のコミュニケーションツールとして、「Slack」が人気を集めている。2023年時点で全世界に約2000万人のアクティブユーザーがいるほどだ。電子メールと比較すると、迅速にコミュニケーションを取ることができるため、関係者からのフィードバックを得やすく、ビジネスが円滑に進みやすい。多様な働き方にも適したコミュニケーションツールで、テレワークとの相性も良い。 企業組織の内外でのコミュニケーションを円滑にできる「Slack Connect」によって、ベンダーやパートナーともチャットで情報をやりとりできる。 Slackはおいしい標的 だが、Slackの会話には企業の財務や製品、経営に関する内容などビジネスの重要な部分が含ま
「OSSの脆弱性にはパッチ適用を」が通用しない理由
Lineaje Data Labsは、Apache Software Foundationのプロジェクトに組み込まれている41,989のオープンソースコンポーネントを分析した調査レポートを発表した。 セキュリティマネジメントを提供するLineaje Data Labsは、2023年4月17日（米国時間）、Apache Software Foundationの上位44の人気プロジェクトに組み込まれている4万1989のオープンソースコンポーネントを、過去3バージョンにわたり分析した調査レポートを発表した。 コンポーネントを分析したところ、82％は脆弱（せいじゃく）性やセキュリティ問題、コード品質または保守性の懸念によって本質的にリスクを抱えていることが分かった。 OSSのリスク Lineaje Data Labsが実施した調査によって、オープンソースソフトウェア（OSS）のリスクに関して追加で
「Google認証システム」のコード同期、エンドツーエンド暗号化には未対応と判明
「Google Authenticator（Google認証システム）」アプリが今週アップデートされ、2段階認証（2FA）用のコードをGoogleアカウント（クラウド）に保存できるようになったが、ソフトウェア企業Myskによると、エンドツーエンドの暗号化が適用されていないという。 Myskは4月26日、「アプリがシークレット（認証用コード）を同期する時のネットワークトラフィックを解析したところ、トラフィックはエンドツーエンド暗号化がなされていないことが判明した。スクリーンショットで分かるように、これはGoogleがシークレットを、おそらくそれが同社サーバーに保存されている間も、見ることができることを意味する。シークレットを保護するためのパスフレーズを追加するオプションはない」とツイートした。 シークレットとは、保護された情報や機密情報のロック解除に使われる認証情報を指す用語だ。 Googl
スマホ「解約されています」、突然乗っ取り「ＳＩＭスワップ」横行…不正送金１０００万円被害も
【読売新聞】 他人になりすましてスマートフォンのＳＩＭカードを不正発行させ、電話番号を乗っ取る「ＳＩＭスワップ」の被害が相次いでいる。番号を悪用してネットバンキングで不正送金を行う被害も確認されており、警察や専門家が注意を呼びかけて
7割が“人質”経験済み、ランサムウェアが猛威を振るう工場セキュリティの今
産業制御システム向けのセキュリティを展開する台湾のTXOne Networksは2023年3月30日、2022年版の「OTサイバーセキュリティレポート」を発表した。サプライチェーン攻撃や重要インフラ資産向け攻撃などが増えている現状や、ランサムウェア攻撃をサービス形式の分業により行うRaaS（Ransomware-as-a-Service）型で行うケースが増えている状況について説明した。 「OT サイバーセキュリティレポート 2022」は、TXOne Networksとフロスト＆サリバンの共同で制作したものだ。日本、米国、ドイツなどの世界の製造先進国のさまざまな組織に属する300人の経営幹部、ディレクター、マネジャーを対象とした調査に基づき、それぞれの事象についての考察などを加えてまとめている。 OTを対象としたランサムウェア攻撃が増加
YouTubeで“聞こえない音”を流し、スマホを遠隔操作する攻撃 音声アシスタント機能を悪用
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。Twitter: ＠shiropen2 米テキサス大学サンアントニオ校と米コロラド大学コロラドスプリングス校に所属する研究者らが発表した論文「Near-Ultrasound Inaudible Trojan（NUIT）: Exploit Your Speaker to Attack Your Microphone」は、スマートフォンやスマートスピーカーの音声アシスタント（Siri、Google Assistant、Alexa、Cortana）に対する不可聴攻撃を提案した研究報告である。 その手口は、インターネット（動画や音楽、Web会議など）を通じて、人間には聞こえない音を流し、リモートでス
Wi-Fiルーターの不正利用に新たな手口、警視庁が注意喚起 「従来の対策のみでは対応できない」
警視庁は3月28日、家庭用Wi-Fiルーターの不正利用に関する注意喚起を発表した。従来の対策のみでは対応できないサイバー攻撃を観測したという。新たな対策として「見覚えのない設定変更がなされていないか定期的に確認する」ことを推奨している。 新たに確認したサイバー攻撃は、攻撃者が一般家庭のルーターを外部から不正に操作して搭載機能を有効化するというもの。一度設定を変更されると、従来の対策のみでは不正な状態を解消できず、永続的に不正利用できる状態になるという。 この攻撃に対しては、従来のサイバーセキュリティ対策として勧めていた「初期設定の単純なIDやパスワードは変更する」「常に最新のファームウェアを使用する」「サポートが終了したルーターは買い替えを検討する」では対応が不十分であるという。警視庁は新たに「見覚えのない設定変更がなされていないか定期的に確認する」ことを推奨している。 具体的には、ルータ
iOS 16公開を急いだか？ 専門家が見る「Apple脆弱性“多発”のなぜ」
関連キーワード Apple | iOS | 脆弱性対策 Appleが2022年10月にパッチ（修正プログラム）を公開した、モバイルOS「iOS 16」の重大な脆弱（ぜいじゃく）性「CVE-2022-42827」。攻撃者はCVE-2022-42827を悪用すれば、任意のプログラムを実行できるようになる。 CVE-2022-42827の他にも、Apple製品の脆弱性が複数見つかっている。セキュリティ専門家は、Appleデバイスのリスクをどう見ているのか。 Appleは「iOS 16提供を優先してセキュリティ対策を後回しか」と専門家 併せて読みたいお薦め記事 連載：またか「Appleが脆弱性修正」 前編：iOS 16に見つかった“危ない脆弱性” 影響を受けるAppleデバイスはこれだ Apple製品に潜む脅威 Apple Payに不正決済の脆弱性 「AppleにもVisaにも責任」と専門家が語る
iOS 16に見つかった“危ない脆弱性” 影響を受けるAppleデバイスはこれだ
関連キーワード Apple | iOS | 脆弱性対策 2022年10月、AppleはモバイルOS「iOS 16」の脆弱（ぜいじゃく）性「CVE-2022-42827」に対するパッチ（修正プログラム）を公開した。CVE-2022-42827は、確保した領域外のメモリにデータを書き込んでしまう「境界外書き込み」の脆弱性だ。攻撃者が悪用すると、任意のプログラムの実行が可能になるという。 影響を受けるAppleデバイスはこれだ Appleが公開したパッチは、確保済みメモリ領域の境界チェック機能を改善し、CVE-2022-42827を修正する。下記のAppleデバイスのユーザーはセキュリティ強化のために、パッチを適用する必要がある。 スマートフォン iPhone 8以降 タブレット iPad Pro全機種 iPad Air第3世代以降 iPad第5世代以降 iPad mini第5世代以降 併せて読
サイバー攻撃者が「ChatGPT」に熱視線、AIによるマルウエア作成の可能性が急浮上
AI（人工知能）チャットボットの「ChatGPT」が話題だ。日本語にも対応しているので試してみた人は多いだろう。 ChatGPTは質問に答えるだけではない。条件や要求などを箇条書きにするだけで、もっともらしい長文を生成してくれる。例えば、物語のあらすじやメールの文面を生成してくれる。言葉で指示した処理をするプログラムも生成できる。 そうなると、気になるのはサイバー攻撃への悪用だ。フィッシングメールの文面やマルウエア（コンピューターウイルス）なども生成できるのではないだろうか。 2022年12月以降、セキュリティーベンダーやセキュリティー研究者はこぞって悪用の可能性について言及している。実際のところ、どうなのだろうか。 自然なフィッシングメールを生成 イスラエルのCheck Point Software Technologies（チェック・ポイント・ソフトウェア・テクノロジーズ）は2022年
整合規格が未定の中、欧州向けIoTセキュリティの設計開発をどう進めるか
整合規格が未定の中、欧州向けIoTセキュリティの設計開発をどう進めるか：欧州のIoT機器セキュリティ対策最新動向（2） IoT機器を狙ったサイバー攻撃の脅威が現実のものとなる中、世界各国でセキュリティ対策の整備が進んでいる。本連載では欧州当局が出すセキュリティ要件や規制動向に焦点を当て、国内製造業が意識すべきポイントを解説していく。 連載第1回目では、Wi-Fi、Bluetoothをはじめとした、無線を利用するIoT（モノのインターネット）機器を欧州で上市する際に必要なRED（Radio Equipment Directive）のArt. 3.3 （e）と（d）、（f）の要求が実行され、それによって2024年8月からサイバーセキュリティ対策が要求されること、そしてこれまで整合規格候補とされていた、欧州電気通信標準化機構（ETSI）のEN 303 645より厳しい規格が策定されるであろうこと
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
