2023年9月28日、警視庁は双日の元従業員の男が前職の兼松から営業機密を不正に持ち出したとして不正競争防止法違反の容疑で逮捕したと発表しました。ここでは関連する情報をまとめます。 元同僚から認証情報を聞き出し不正入手か 不正競争防止法違反’（管理侵害行為）の容疑で逮捕されたのは双日元従業員の男。2022年7月16日21時から17日1時5分頃、自宅のPCから男の前職である兼松のデータベースに元同僚の認証情報を使用してログインし、一部の社員しかアクセスのできない3点の営業秘密情報（海外の自動車メーカーとの取引台帳、自動車新製品開発に関連する提案書、採算表）をダウンロードしPCに保存した疑い。男は容疑を否認している。*1 *2 *3 男は前職の兼松で自動車部品の取引部門に所属。転職先の双日でも自動車関連の担当をしていたが、完成車の担当となる取引が多かったことから前職との業務内容は重複していなか
2022年12月26日 12時00分更新 文●EGセキュアソリューションズ株式会社 取締役CTO 徳丸 浩 編集●MOVIEW 清水 こんにちは。「KUSANAGI」の開発チームで取締役をしている相原です。 「KUSANAGI」はWordPressをはじめとするCMSを高速に動作させる仮想マシンです。わたしたちは「KUSANAGI」を開発して皆様にご利用いただくほか、お客様のWebサイトを「KUSANAGI」で運用しています。 この連載では、「KUSANAGI」の開発やお客様とのお話の中で感じた課題や実際の運用の中で得た知見などをお伝えしています。 今年もあとわずかとなってきました。連載25回目は、Webセキュリティの大家でプライム・ストラテジーの顧問でもある徳丸 浩先生に「Webセキュリティの2022年の振り返り」と題して寄稿をいただきました。今年を振り返りつつ、来年からのセキュリティに
Microsoftの設定ミスで2.4TBもの機密データが公開されていた、111カ国の6万5000もの企業が影響を受けた可能性
Microsoftのクラウド用オブジェクトストレージサービスであるAzure Blob Storageの構成に設定ミスが存在し、合計2.4TBに及ぶMicrosoftの顧客の機密データが公開状態となっていたことが判明しました。問題を発見したセキュリティ企業のSOCRadarによると、公開されていたデータにはユーザー情報や業務に関するファイルが含まれており、111カ国の6万5000もの企業が影響を受けたとのことです。 Sensitive Data of 65,000+ Entities in 111 Countries Leaked due to a Single Misconfigured Data Bucket https://socradar.io/sensitive-data-of-65000-entities-in-111-countries-leaked-due-to-a-sin
GitHubが「GitHub Desktop」や「Atom」に関連するリポジトリへの不正な侵入を検出したと報告しました。GitHubは証明書の無効化を実施しており、macOS版GitHub DesktopとAtomのユーザーに対してアップデートの適用を呼びかけています。 Action needed for GitHub Desktop and Atom users | The GitHub Blog https://github.blog/2023-01-30-action-needed-for-github-desktop-and-atom-users/ GitHubによると攻撃が発生したのは2022年12月6日で、攻撃者は不正な個人用アクセストークンを用いてGitHub DesktopやAtomの開発リポジトリをクローンしたとのこと。GitHubは翌日に攻撃を検出し、侵害された資格情報
2022年8月にパスワード管理アプリ「LastPass」のソースコードの一部が何者かに盗み出されたことが報じられ、その後、2022年12月になってようやくLastPassはユーザーデータが不正アクセスされたことを認めました。この事件によりユーザーがパスワードを保管している「Vault(保管庫)」のデータが流出したことが報告されており、パスワードの流出が懸念されています。この事件を受け、セキュリティ研究者のナズ・マルクタ氏が「Vaultをクラッキングする方法」を実演し、その危険性に警鐘を鳴らしました。 Cracking encrypted Lastpass vaults | Markuta https://markuta.com/cracking-lastpass-vaults/ LastPass Security Breach UPDATE: What You Need to Know h
パスワード管理システム「LastPass」は、2022年8月にソースコード流出が判明したり、2022年12月にはユーザー情報の流出が判明したりと情報流出が相次いで報告されています。新たに、LastPassは一連の情報流出が「従業員のPCが攻撃され、キーロガーを仕込まれた」ことに起因していることを発表しました。 Incident 2 – Additional details of the attack - LastPass Support https://support.lastpass.com/help/incident-2-additional-details-of-the-attack LastPassはウェブサービスのパスワード情報を保存しておけるサービスで、LastPassのサーバー上にはユーザーのパスワードが暗号化された状態で保存されています。ところが、2022年8月にはLast
生理や排卵などの日程を記録する女性に人気の健康管理アプリ「Premom」のデータが、「疑わしいプライバシー慣行」で知られる中国企業に送信されていたことが判明したと、アメリカの連邦取引委員会(FTC)が発表しました。 Ovulation Tracking App Premom Will be Barred from Sharing Health Data for Advertising Under Proposed FTC Order | Federal Trade Commission https://www.ftc.gov/news-events/news/press-releases/2023/05/ovulation-tracking-app-premom-will-be-barred-sharing-health-data-advertising-under-proposed-ft
LINEヤフーは11月27日、委託先企業への第三者による不正アクセスにより、ユーザー情報、取引先情報、従業員などに関する情報漏えいが判明したと発表した。該当情報は合計で最大約44万件に上る。 漏えいのうち最大30万2569件が「ユーザーに関する利用情報」。そのうちLINE IDとは別に、内部でユーザーを識別する文字列にひも付く、サービス利用履歴などが4万9751件。メッセージなど特定の人とのやり取りに関するような通信の秘密に該当する情報が2万2239件。日本に限ると漏えいしたユーザー利用情報は最大12万9894件で、ユーザー識別子にひも付くサービス利用履歴が1万5454件、通信の秘密に該当する情報が8981件。 なお、口座情報やクレジットカード情報、LINEアプリにおけるトーク内容は含まれないとしている。 取引先に関する個人情報は最大8万6105件が該当。そのうち、取引先などの従業員の氏名
ジブリ映画のテーマパーク「ジブリパーク」の運営を担当する中日新聞社傘下のジブリパーク社は9月24日、スタッフ募集に応募した1525人の個人情報が流出したと発表した。委託先企業が金銭を要求される事件に発展している。 不正アクセスがあったのは9月22日。ジブリパークがスタッフの派遣を委託しているテツコーポレーションの採用管理システムから応募者の氏名や住所といった個人情報が盗み出され、その後テツコーポレーションに対して金銭を要求してきたという。 テツコーポレーションは警察に報告するとともに被害に遭った応募者に連絡をとり始めた。ジブリパーク社は「今回の事態を重く受け止め、委託先を含めた情報管理の一層の強化を図り、再発防止に努める」としている。 ジブリパークは愛知県が事業主体となり、「愛・地球博記念公園」に建設を勧めているジブリ映画のテーマパーク。企画監修と開発をスタジオジブリ、管理運営を中日新聞社
小児病院への身代金ウイルス攻撃を犯罪グループが謝罪「仲間が掟に違反」と解除キー提供 | テクノエッジ TechnoEdge
ガジェット全般、サイエンス、宇宙、音楽、モータースポーツetc... 電気・ネットワーク技術者。実績媒体Engadget日本版, Autoblog日本版, Forbes JAPAN他 12月中旬よりカナダ・トロントのSickKids小児科専門病院が標的になっていたサイバー攻撃について、犯人にツールを提供していた犯罪グループが異例の謝罪を表明し、ランサムウェアの解除キー提供を申し出ました。理由はこの攻撃が犯罪グループの「ルールに違反」していたからとのことです。 近年、コンピューターネットワークを一斉に暗号化・ロックして、その解除キーと引き換えの身代金を要求するランサムウェアによる攻撃は多様化・巧妙化しています。LockBitを使うサイバー犯罪グループは「パートナー」と称する別のグループに攻撃インフラを提供し、パートナーが獲得した身代金から手数料(20%)を徴収する仕組みを構築していることが知
トヨタ自動車は5月31日、クラウド設定のミスにより、保管していた顧客情報約26万人分が外部から閲覧された可能性があると発表した。同社は12日にも215万人分の顧客情報が漏えいした可能性があると公表しており、詳細に調査したところ今回の件が発覚した。原因は社内でのデータ取り扱いのルール説明や順守が不十分だったためと説明している。 外部からアクセスされた可能性があるのは、車載端末に割り当てられたIDと更新用地図データ、更新用地図データ作成年月。子会社のトヨタコネクティッドがクラウド環境で管理していた。これらのデータのみでは顧客の特定はできず、車両へのアクセスに使うこともできないという。車両位置情報やクレジットカード情報などは含まれておらず、二次被害なども確認していないとしている。 対象者は車載ナビ「G-BOOK」及び車とネットワークをつなげるサービス「G-Link」「G-Link Lite」の一
位置情報アプリ「NauNau」で漏えいか、200万人以上のチャット履歴などが外部から丸見えだった可能性 提供元「確認中」
位置情報アプリ「NauNau」で漏えいか、200万人以上のチャット履歴などが外部から丸見えだった可能性 提供元「確認中」 スマートフォン向けゲーム事業を手掛けるモバイルファクトリー（東京都品川区）は10月23日、子会社のSuishow（同渋谷区）が手掛ける位置情報アプリ「NauNau」について、少なくとも200万人以上のユーザーの位置情報やチャット履歴が外部から閲覧できた可能性があるとして、詳細を調査中と発表した。NHKが21日に問題を報じたことを受けての発表で、2社は現在「報道内容について、事実確認を行っている」という。 NauNauは、位置情報や歩数などを友人同士で共有できるアプリ（iOS／Android）。リリースは2022年10月で、23年2月にサービスを終了した位置情報アプリ「zenly」の代替として、若年層を中心にユーザーを獲得している。 NHKの報道によれば、NauNauは「
決済事業者メタップスペイメント（東京都港区）は1月25日、同社のクレジットカード決済システムのデータベースに不正アクセスがあり、情報が流出した可能性があると発表した。不正アクセスの原因や流出の内容は調査中。安全のためクレジットカード決済のサービスを停止した。 同社は2021年12月14日、クレジットカード会社からイベント主催者向けサービス「イベントペイ」で不正利用が疑われる決済があったと連絡を受け、16日にはイベントペイのクレジットカード決済機能を停止。17日には第三者機関による調査を始めた。22年1月21日に情報流出の可能性が高まったため、25日にクレジットカード決済サービスを全面停止した。
セキュリティ企業・Wizの研究により、「Storm-0558」というコードネームで呼ばれている中国系ハッカーによってMicrosoftの消費者署名キーが盗み出され、Exchange OnlineやOutlook.comのアカウントへのアクセスが可能になったことが指摘されています Compromised Microsoft Key: More Impactful Than We Thought | Wiz Blog https://www.wiz.io/blog/storm-0558-compromised-microsoft-key-enables-authentication-of-countless-micr Stolen Microsoft key offered widespread access to Microsoft cloud services https://www.bl
JTBは10月25日、データのアクセス権限設定ミスにより情報漏えいが発生したと明かした。同社が事務局を担当する観光庁の事業支援施策において、応募した事業者の申請書データ約1698件と個人情報最大1万1483人分がダウンロードされた。 情報漏えいがあったのは観光庁の「地域独自の観光資源を活用した地域の稼げる看板商品の創出事業」。JTBは同庁や応募事業者との情報共有のためクラウドサービス上でデータを管理していた。 データには個別にアクセス権限を設定。申請書や個人情報は応募事業者以外に見えないようにするはずだったが、同事業に応募した別の応募者がダウンロードできる状態だった。 データをダウンロードしたのは18事業者。25日までに 全てのデータが削除されたことを確認した。今後は設定のチェック体制や事業の管理体制を徹底強化し、再発防止を目指すとしている。 関連記事 Microsoft、クラウドサービス
山田養蜂場は10月19日、NTT西日本子会社のNTTマーケティングアクトProCX（大阪市）で発生した情報の不正持ち出しの影響で、顧客情報約400万件が漏えいした可能性があると発表した。 顧客の氏名、住所、電話番号、生年月日、性別が不正に持ち出された可能性がある。クレジットカードやマイナンバーの情報は含まない。NTTマーケティングアクトProCXからは「2016年2月～23年1月の期間に約400万件の漏えいと報告を受けた」といい、現在詳細を確認中としている。 NTTマーケティングアクトProCXは17日、コールセンター用システムの運用保守を依頼していたNTTビジネスソリューションズ（同）の元派遣社員が、クライアントから預かっていた顧客情報900万件を不正に持ち出していたと発表。これにより、NTTドコモなどのグループ企業やWOWOW、福岡県といった自治体の情報にも影響が出たことが分かっている
2023年11月22日、J:COMは同社のサービスであるメッシュWi-Fiのアプリ一部利用者および同社からメッシュWi-Fiサービスの提供を受けているケーブルテレビ会社の一部の利用者の情報が不正アクセスにより外部に流出したと公表しました。ここでは関連する情報をまとめます。 米国企業への不正アクセスが発端 不正アクセスはJ:COMに直接行われたのではなく、同社へメッシュWi-Fiサービスの提供を行っていたPlume Designが被害にあったことを発端とするもの。*1 Plume社は米国カリフォルニアに本社を置くスマートWifiなど、45か国以上でSaaS型ビジネスを行っている企業。Plume社が運用していたモバイルアプリのアクセスログサーバーに対して不正アクセスが行われ、サーバー上からJ:COM、ケーブルテレビ事業者の一部の顧客含む情報が外部に流出した。サービス提供にあたり、J:COMはカ
女性服ECサイトを運営するmachatt（神戸市）は5月18日、第三者の不正アクセスによりECサイトの決済システムが改ざんされ、ユーザーのクレジットカード情報1万6093件が漏えいした可能性があるとして謝罪した。公式ECサイトは再発防止に向けた改修のため休止状態になっている。 同社は2月22日に、クレジットカード会社から情報漏えいの懸念があると連絡を受けてカード決済機能を停止。第三者機関による調査の結果、ECサイト「MACHATT ONLINE STORE」の決済システムが改ざんされていたことが分かった。 漏えいした可能性があるのは、2021年8月10日から22年2月22日の間にMACHATT ONLINE STOREを利用したユーザーのクレジットカード番号、カード名義人名、有効期限、セキュリティコード。一部は不正利用された可能性もあるという。漏えいした可能性があるカードの取引状況は不正利
中国政府と関係のあるサイバー犯罪グループが、2年以上にわたってオランダの半導体企業であるNXPのネットワークにアクセスしてデータを盗み出していたことが判明したと、オランダのニュースメディアであるNRCが報じています。サイバー犯罪グループは、従業員のアカウントを通じてNRCのシステムにアクセスしていました。 Chinese hackers hadden ruim twee jaar onopgemerkt toegang tot netwerk NXP - NRC https://www.nrc.nl/nieuws/2023/11/25/chipindustrie-chinese-hackers-hadden-ruim-twee-jaar-onopgemerkt-toegang-tot-netwerk-nxp-a4182246 Chinese hackers steal chip desig
サポートケース管理システムへの不正アクセスから派生して行われたサイバー攻撃についてまとめてみた - piyolog
2023年10月23日、Oktaは自社のサポートケース管理システムへ不正アクセスがあり、一部のOktaのユーザー企業がアップロードしたファイルを閲覧されたと公表しました。窃取されたファイルには認証情報などが含まれる場合があり、このファイルを悪用したとみられる活動を検知したとBeyondTrust、Cloudflare、1Passwordがそれぞれ対応などを公開しています。ここではこれら関連する情報をまとめます。 サポートシステムから顧客の認証情報を窃取 Oktaが不正アクセスの被害にあったのはサポートケース管理システム。攻撃者は不正アクセス後に特定のOktaユーザー企業がサポートシステム上にアップロードされたHARファイルを窃取していたとみられる。 Oktaはサポートケース管理システムへの不正アクセスに際し、システム自体に保存されている認証情報が悪用されたと説明。サービスアカウントはサポー
システム開発支援ツール「CircleCI」を提供する米CircleCI社は1月4日（現地時間）、同社でセキュリティインシデントが発生し、同ツールユーザーのデータが侵害される可能性があるとして注意を呼び掛けた。 インシデントの詳細については調査中として公開していない。ユーザーに対してはCircleCI上で使うシークレット（秘密鍵）の更新と、利用中のデータなどへの不正アクセスがないかの確認をするよう呼び掛けている。現時点においてデータなどの不正利用は確認されていないとしている。 CircleCIはプログラムのテストやビルドなどを自動化するツール。メルカリやDeNAなどの利用実績もあり、影響範囲が大きくなる可能性もある。 関連記事 CircleCIがレイオフ 人員を17％削減 CI／CDサービスを提供する米CircleCIが、レイオフへの着手を発表した。人員の17％を削減するという。 Circl
米Twitter社から漏えいしたTwitterアカウントデータ約540万件が、ハッカーフォーラムで公開されていると、米メディアBleeping Computerが報じている。公開されたのはアカウントのID、名前、ログイン名、電話番号、メールアドレスなど。1月に見つかったTwitterの脆弱性を突いた攻撃により盗まれたもので、8月には3万ドル（約405万円）で販売されていた。 Bleeping Computerは同じ脆弱性を悪用してさらに大規模な情報が漏えいしたとも報じた。8月に販売されたものとは異なる情報が大量に含まれるという。情報量は1700万件を超えるとみられるが、実際の量と攻撃者は不明としている。 同誌は、Twitterに関するフィッシングメールなどが出回る可能性もあるため、開かずに削除するなどの対策が必要と注意喚起している。 問題の脆弱性は、22年1月にTwitter社が実施したバ
衣料品の製造販売を手掛けるアダストリア（東京都渋谷区）は1月24日、18日早朝に受けた不正アクセスの影響で、100万件超の個人情報が漏えいした可能性があると発表した。同社は不正アクセスの影響で物流システムを停止しており、ファッションECサイト「ドットエスティ」のサービスも休止している。 漏えいの可能性があるのは、（1）2022年7月から23年1月17日の間に、ドットエスティから商品を受け取った、もしくは受け取り予定の人、（2）21年4月から23年1月17日の間に、店舗受け取りや自宅配送サービスを使った人、（3）19年8月から9月の間に、ドットエスティで商品を購入した人の一部──の、氏名、住所、電話番号、メールアドレス、アダストリア内での管理番号など104万4175件。 クレジットカード番号などの決済情報は含まれていない。同日時点では実際の漏えいも確認していないという。 個人情報保護委員会へ
秋田県のJA大潟村が運用しているシステムが、「ランサムウエア」と呼ばれるコンピューターウイルスによるサイバー攻撃を受け、組合員などおよそ5000人分の個人情報が流出した可能性があることがわかりました。 これまでのところ、流出した個人情報が不正に利用されたケースは確認されていないということです。 JA大潟村によりますと、ことし9月上旬、運用しているシステムを立ち上げようとしたところ、データが暗号化され、稼働できない状態になっていたということです。 そして、外部のセキュリティー会社による調査を受けた結果、「ランサムウエア」と呼ばれる身代金要求型のコンピューターウイルスによるサイバー攻撃を受けていたことが分かったということです。 JA大潟村は、このサイバー攻撃によって、組合員や利用者およそ5000人分の名前や口座、マイナンバーなどの個人情報が流出した可能性があるとしています。 これまでのところ、
明海大学は8月23日、学生の個人情報が書かれた書類を遺失したと発表した。元パートタイマーの職員が個人情報を含む書類を無断で持ち帰り、“裏紙”として私的に利用。一部は保管していたが、それ以外は廃棄したり、飲食店で紛失していたりしたという。紛失した書類に含まれていた情報の一部は漏えいの可能性がある。 元パートタイマーが持ち帰った書類は、2011年当時に在籍してた学生20人の氏名、学部、学科、学生番号などが含まれる資料など100枚程度。 事態は18日に発覚した。元パートタイマーが紛失した書類を第三者が拾い、そのまま明海大学に郵送したことで明らかになったという。同学は漏えいした可能性がある情報の悪用は確認していないとしている。今後は情報管理を再徹底し、再発防止を目指すという。 関連記事 日本郵便、約21万人分の顧客情報を紛失 “紙多すぎ”で扱いきれず 日本郵便が、郵便局で取り扱った投資信託取引と国
流出したアメリカ政府の機密文書はDiscordに投稿され4chanやTelegramに拡散された＆なぜかTRPGのキャラクターシートが含まれていたことも判明
2023年4月に、インターネット上にアメリカ政府の機密文書が流出していることが大きく報じられました。この機密文書の出所について、「2023年1月頃にDiscordサーバー上に投稿されていた」という報告が上がっています。 New Details on Intelligence Leak Show It Circulated for Weeks Before Raising Alarm - WSJ https://www.wsj.com/articles/new-details-on-intelligence-leak-show-it-circulated-for-weeks-before-raising-alarm-7730a395 From Discord to 4chan: The Improbable Journey of a US Intelligence Leak - bellin
京都大学は6月1日、同学大学院の工学研究科に所属する教職員のPC1台がマルウェアの「Emotet」に感染し、不審なメールを大量送信したとして謝罪した。メール内の添付ファイルやURLを開かないよう注意喚起している。 工学研究科のメールアドレス（～@***.kyoto-u.ac.jp）から不審なメールを送信していたが、すでにEmotetの駆除は完了し、メールの不正送信も停止している。 再発防止に向け、京都大学工学研究科は、全従業員に対してマルウェアに注意するよう呼び掛けるとともに再発防止の処置を講じるとしている。 関連記事 「Emotet」感染確認ツールに新たな検知手法 「EmoCheck v2.3」 JPCERT/CCがマルウェア「Emotet」の感染有無を確認するツール「EmoCheck」をアップデートし、新たな検知手法を追加した。 ランサムウェアの知識、古くなってない？ 従来型とは別手法
酒造会社の日本盛（兵庫県西宮市）は10月25日、第三者による不正アクセスを受け、社内システムに障害が発生したと明らかにした。社内サーバがランサムウェアに感染していた。個人情報漏えいの有無は不明。 9月18日に、同社が利用しているデータセンターの管理会社から、サーバに不具合があるとの報告を受けた。社内で調査したところサーバがランサムウェアに感染していたことが分かった。 事態を受け、日本盛は9月19日に所轄警察署に被害を申告。20日には個人情報保護委員会に報告し、第三者機関での調査も始めた。 攻撃者は日本盛が導入していたSSL VPN機器の脆弱性を悪用して社内システムに侵入したとみられる。侵入後、ランサムウェアを設置して保存されていたデータを暗号化。社内システムに障害が発生した。 日本盛は障害の影響で、通信販売の商品の発送を一時見合わせた。現在は、問題となったVPNの利用を停止し、情報セキュリ
ビジネスソフトウェア構築プラットフォームを提供する Retool がスピア型のフィッシング攻撃を受けたのだが、Google Authenticator によりその被害が大きくなったそうだ (Retool のブログ記事、 Ars Technica の記事、 Bleeping Computer の記事)。 複数の Retool 従業員は 8 月 27 日、ユーザーアカウントの問題で健康保険関連の登録が妨げられているといった内容のフィッシング SMS を受信する。社内ログインシステムの Okta への変更が告知された直後であり、社内ポータルに似せた偽の URL が添付されていたそうだ。一人だけ騙された従業員が多要素認証 (MFA) フォームを含む偽ポータルにログインすると、ディープフェイクボイスで社員になりすました偽の IT スタッフから電話がかかってくる。話をする間に従業員は疑いを深めていった
2023年1月13日、Gen Digitalよりリスト型攻撃によりアカウントが不正ログインされた可能性を知らせるアナウンスが利用者へ行われているとBleeping Computerが報じました。同社のパスワードマネージャーを利用している場合は影響を受ける恐れがあるとして注意が呼び掛けられています。ここでは関連する情報をまとめます。 侵害開始10日超で事態把握 既に外部へ流出している認証情報を使用するリスト型攻撃を行うことでNortonアカウントへの不正ログインが行われた。Bleeping Computerによれば、Gen Digitalは攻撃の標的となった可能性のある925,000件のNortonアカウント（非アクティブなものを含む）に対してパスワードリセットや追加的なセキュリティの対策といった保護措置を講じたとしている。*1 顧客宛に通知された内容によれば、Gen Digitalが攻撃に
MicrosoftのAI研究部門が2020年7月にオープンソースのAI学習モデルをGitHubのリポジトリに公開した際に38TBにおよぶ機密データを漏えいしていたことを、クラウドセキュリティ企業のWizが公表しました。機密データにはパスワードや秘密鍵、3万件を超えるMicrosoft Teamsの内部メッセージが含まれていました。 38TB of data accidentally exposed by Microsoft AI researchers | Wiz Blog https://www.wiz.io/blog/38-terabytes-of-private-data-accidentally-exposed-by-microsoft-ai-researchers Microsoft mitigated exposure of internal information in a
なぜ被害公表時に原因を明示するのか／しないのか～個別被害公表と事案全体のコーディネーションの観点から～ - JPCERT/CC Eyes
はじめに 複数の省庁からメール関連システムへの不正アクセスによる情報漏えいについて被害公表がなされていますが、報道やSNS上では、どの製品の脆弱性が原因なのか明かされないことへの疑問などが指摘されています。悪用された脆弱性に関する情報の被害公表時の取り扱いは、サイバー攻撃被害に係る情報の共有・公表ガイダンス[1]検討会（事務局：NISC、警察庁、総務省、経済産業省、JPCERT/CC）で議論され、同ガイダンスにて示されています。あらためて、個別の被害公表時の扱い方と、複数組織がいる場合の全体のコーディネーションについて解説します。 ※なお、公表のあった事案の詳細は不明ですが、現時点において関連する被害公表がなされた事案について弊センターは関与していないため、本稿については個別のインシデント対応に係る守秘義務契約等になんら影響するものではない点を記しておきます。 原因となった製品の脆弱性に関
Twitterの脆弱(ぜいじゃく)性を突いて盗み出したとされる4億人分のユーザーデータを、Ryushiと名乗るハッカーが売り出そうとしていることが分かりました。RyushiはTwitterやイーロン・マスクCEOを相手取ってデータの購入を迫り、「EUの一般データ保護規則(GDPR)による多額の罰金を食らう前に即刻購入せよ」と要求しています。 Hacker claims to be selling Twitter data of 400 million users https://www.bleepingcomputer.com/news/security/hacker-claims-to-be-selling-twitter-data-of-400-million-users/ ハッカーフォーラムに投稿されたRyushiの声明によると、Ryushiはメールアドレスや名前、電話番号などの非公
2億件を超えるTwitterアカウントのメールアドレスなどを含む個人情報がハッカーフォーラムでわずか2ドルで販売されている
2億件超のTwitterアカウントの電子メールアドレスなどを含む個人情報が流出し、ハッカーフォーラムでわずか2ドル(約260円)で販売されていることが明らかとなりました。一連のデータは2021年の時点で、TwitterのAPIの脆弱(ぜいじゃく)性を悪用して盗み出されていたとみられています。 200 million Twitter users' email addresses allegedly leaked online https://www.bleepingcomputer.com/news/security/200-million-twitter-users-email-addresses-allegedly-leaked-online/ Twitter leak of email addresses totals at least 200 million - The Washin
クラウド環境構築などを手掛けるネットワンシステムズ（東京都千代田区）は7月24日、東京都葛飾区立小中学校で個人情報の漏えいがあったとして謝罪した。葛飾区で使っていたID連携システムに個人情報が混入したことと、そのID連携システムを別の教育委員会などに流用したことが原因としている。 漏えいした情報は学校名、生徒管理コード、学籍、氏名、性別、生年月日、国籍、転入編入に関する情報など2万3508件。データは削除済みで、不正利用などの事実は確認されていないとしている。 ネットワンシステムズは葛飾区から学校教育総合システムを受託したベンダー。同システムの中のID連携システムは教育支援業のチエル（品川区）が担当していた。 チエルは2021年1月にID連携システムのメンテナンスを実施。その際に個人情報を含むファイルが修正プログラムの中に混入したが、同社は気付かずに修正プログラムを持ち帰ったという。 修正
パスワード管理ツール「LastPass」開発の親会社であるGoToが、顧客データの暗号化済みバックアップを保存したクラウドストレージへの不正アクセスが2022年11月に発生した件について、この不正アクセスでリモートコンピューター管理ソフトのLogMeIn CentralやLogMeIn Proなどの顧客データの一部がやはり盗み出されていたと発表しました。 Our Response to a Recent Security Incident- GoTo https://www.goto.com/blog/our-response-to-a-recent-security-incident GoTo says hackers stole customers' backups and encryption key https://www.bleepingcomputer.com/news/sec
ブラザー工業傘下のブラザー販売は、ブラザー製品のユーザー向け会員制サイト「ブラザーオンライン」が悪意のある第三者から不正ログインを受けたと発表した。犯人は、ユーザーが保有する「トク刷るポイント」を不正利用した可能性がある他、顧客の登録情報を閲覧した可能性があるという。 犯人は、何らかの方法で入手したユーザーIDとパスワードの組み合わせを利用し、不正なログインを試みたみられる。 被害アカウント数は最大12万6676件。第三者に閲覧された可能性があるのは、顧客の氏名、生年、メールアドレス、電話番号、法人情報（法人として登録した場合）と、任意で登録された住所、携帯電話番号、FAX番号、性別、プロフィール画像。 また、最大683件で、独自のポイント「トク刷るポイント」最大40万4900円相当が、換金性の高い別のポイントに交換され、取得された可能性があるという。 5月6日に不正ログインが判明し、ブラ
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://www.mitsubishielectric.co.jp/news/2020/0212-b.pdf
前職のデータベースに週末アクセス繰り返し不正発覚した事案についてまとめてみた - piyolog
Webセキュリティの2022年の振り返り
GitHubがハッキングされる、デスクトップアプリの更新が必要
データ侵害が発生したパスワード管理アプリ「LastPass」をクラッキングする方法をセキュリティ研究者が実演
パスワード管理アプリ「LastPass」の情報流出は社員の自宅PCハッキングが原因
女性の「妊活アプリデータ」が中国にダダ漏れだったと当局が発表、Googleが一枚かんでいたことも判明
「ChatGPT」を含むOpenAIの認証情報が66万件以上流出など、ダークウェブで取引される認証情報についてカスペルスキーが調査
LINEヤフーで不正アクセス、約44万件の利用情報などが漏えい 委託先PCがマルウェア感染
ジブリパークで個人情報流出 スタッフ応募の1525人、金銭の要求も
トヨタ、クラウド環境の誤設定がまた発覚 8年以上外部アクセス可能、26万人分の顧客情報漏えいの可能性
ドコモから最大529万件の個人情報漏えいの可能性、「ぷらら」や「ひかりTV」の契約者情報
クレカ決済システムに不正アクセス受けサービス停止 メタップス「原因や流出内容は調査中」
Microsoftの消費者署名キーが中国系ハッカー集団に盗まれる、Microsoftのクラウドサービス全般が影響下に
JTB、設定ミスで1.1万人分の情報漏えい 観光庁補助事業で
山田養蜂場でも情報漏えい、最大400万件か NTT西子会社の不正持ち出しで
J:COMのメッシュWi-Fiの情報流出についてまとめてみた - piyolog
女性服ECでクレカ情報1.6万件漏えいの可能性 不正アクセス・システム改ざん被害で
中国のハッカーが大手半導体企業のネットワークに2年以上潜伏してチップ設計を盗み出すことに成功したと判明
開発支援ツール「CircleCI」でセキュリティに問題発生 ユーザーに迅速な対応呼び掛け
540万件のTwitter漏えいデータが公開される 1700万件以上の新たな流出の可能性も 米報道
個人情報100万件超漏えいの可能性 ファッションEC「ドットエスティ」運営元への不正アクセスで
JA大潟村のシステムにサイバー攻撃 5000人分の個人情報流出か | NHK
パートが資料を持ち帰って裏紙に→実は個人情報 明海大学で漏えいの可能性
京大大学院のPCがEmotetに感染 不審メールを大量送信
酒造会社にランサム攻撃 VPN機器の脆弱性を悪用 商品発送が一時見合わせに
Google Authenticatorの同期機能がフィッシング詐欺の被害を拡大したという話 | スラド IT
Nortonアカウントへのリスト型攻撃についてまとめてみた - piyolog
MicrosoftのAI研究部門がMicrosoft Azure経由で38TBもの内部機密データを漏えいしていたと判明
ハッカー「Ryushi」が4億以上のTwitterアカウントの個人情報削除と引き換えに20万ドルを要求、自衛方法はコレ
葛飾区で小中学生の個人情報が漏えい データが混入したシステムを別案件で流用
LastPass親会社が不正アクセスで顧客データの一部を盗み出されていたことを認める
「ブラザーオンライン」に不正ログイン 最大12万件の個人情報・40万円相当のポイント流出した可能性