IPA、「情報セキュリティ10大脅威 2024」の解説および対策のための資料公開 
情報セキュリティ10大脅威 2024 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
「情報セキュリティ10大脅威 2024」簡易説明資料（スライド形式） 情報セキュリティ10大脅威 2024 [組織編] 104ページ(PDF:3.7 MB) 情報セキュリティ10大脅威 2024 [個人編] 94ページ(PDF:3.7 MB) 情報セキュリティ10大脅威 2024 [個人編]（一般利用者向け） 72ページ(PDF:3.9 MB) 情報セキュリティ10大脅威 2024 [組織編]（英語版） 104ページ(PDF:4.2 MB) 「情報セキュリティ10大脅威 2024」簡易説明資料（脅威個別版） 情報セキュリティ10大脅威 2024 [組織編]（脅威個別版）(ZIP:6.8 MB) 情報セキュリティ10大脅威 2024 [個人編]（脅威個別版）(ZIP:6.4 MB) 10大脅威の引用について 資料に含まれるデータやグラフ・図表・イラスト等を、作成される資料に引用・抜粋してご利
プレス発表「情報セキュリティ10大脅威 2024」を決定 | プレスリリース | IPA 独立行政法人 情報処理推進機構
「個人」向け脅威は、家庭等でパソコンやスマホを利用する人を対象としています。脅威の順位は、「10大脅威選考会」の投票で社会的影響が大きかった脅威を決定したものですが、危険度を示すものではなく、各脅威の危険度は人によって異なります。しかし個人ユーザーが順位を危険度と誤って認識してしまうと、下位の脅威への注意が疎かになることが懸念されます。そのためIPAでは本年、「個人」向け脅威については順位表示を廃止し、五十音順での紹介としています。 「個人」向け脅威の種類は10個とも前年と変化がありませんでした。しかし、種類が同じであっても脅威を取り巻く環境は前年と同じというわけではありません。攻撃の手口は古典的で変わらないとしても、その中で被害者を騙す手口は常に更新されています。攻撃者は時機を見ながら、社会的に注目されているニュースや新しい技術（生成AI等）などを駆使して攻撃を仕掛けます。例えば、フィッ
ビル点検員に変装→オフィスにラズパイ持ち込んで社内システム侵入 Sansanが本当にやった“何でもアリ”なセキュリティ演習
ビル点検員に変装→オフィスにラズパイ持ち込んで社内システム侵入 Sansanが本当にやった“何でもアリ”なセキュリティ演習（1/6 ページ） ビル点検の作業員に変装して、もしくは偽の名刺や社員証を作り、従業員に変装してオフィスに侵入。「Raspberry Pi」を社内ネットワークに接続することでシステムに侵入し、感染を広げて従業員の端末を乗っ取る──これは、クラウドベースの名刺管理サービスなどを手掛けるSansanが実施したセキュリティ演習で、実際に試みられたサイバー攻撃だ。 名刺管理や請求書管理サービスを手掛け、顧客や“顧客の顧客”の情報まで扱うことになるSansanにとって、セキュリティは重要事項だ。セキュリティポリシーの制定に加え、「CSIRT」「SOC」といったセキュリティ組織の整備、従業員教育、技術面など多面的な対策を施している。その一環として、攻撃者の視点に立って、どんな経路で
ESET社員、生成AIで自社CEOの声を作って不正送金させる実験に成功
ESETは11月22日(現地時間)、「Your voice is my password – the risks of AI-driven voice cloning」において、生成AIにより合成した音声を悪用したソーシャルエンジニアリング攻撃の実験に成功したと伝えた。この実験では、従業員が自社の最高経営責任者(CEO: Chief Executive Officer)になりすまして、財務責任者から自分宛てに送金させることに成功しており、生成AIの危険性について注意喚起している。 Your voice is my password – the risks of AI-driven voice cloning これは事前にCEOの許可を得て行っ実験であり、ここで解説する手法をまねることは犯罪となる可能性があることに注意。この実験と同様の攻撃が今後増加する可能性があると懸念されており、企業や組
ITに強いはずのハイテク企業で、1億人超の個人情報が流出…… 「新技術こそ優れている」という思い込みが招いた大規模事件
連日さまざまなサイバーセキュリティ犯罪のニュースが報じられる中、いまだに日本のセキュリティレベルは高いとは言えない状況にあります。一方で、企業がサイバーセキュリティ対策を進める上では、人材不足や経営層の意識・関心、コスト、導入による利便性の低下など、さまざまな壁が立ちはだかっています。 そこで今回は、株式会社網屋が主催する「Security BLAZE 2023」より、サイバーセキュリティのエキスパートによる講演をお届けします。本記事では、米金融大手で1億人以上の個人情報が漏えいした事件の背景をひもときながら、問題点とセキュリティ対策のポイントを解説します。 Webセキュリティの第一人者が語る、個人情報流出事件の裏側 徳丸浩氏：ただいまご紹介いただきました、EGセキュアソリューションズの徳丸でございます。本日は「米国金融機関を襲った個人情報大規模流出事件の真相」というテーマでお話をさせてい
「経営層への情報セキュリティの説明大変ですよね？」 IPA、予算確保の説得材料を出してくれるツール公開
情報処理推進機構（IPA）は1月20日、気になるサイバー攻撃や自社の情報セキュリティ対策状況といった情報を入力すると、想定損害額や対策、効果などの情報を出力するExcelシート「NANBOK」を公開した。 従業員数やサービスの提供状況、「インシデントの初動対応を自社で実行できますか？」といった対策状況を入力すると、想定損害額を算出。攻撃手口の解説、具体的な対策製品・サービス、国内の導入状況、対策で得られる効果なども提示できる。 IPAは、情報セキュリティ製品購入の予算確保において「担当者は情報セキュリティ対策を経営者が理解できる言葉で説明することに苦悩し、自社のセキュリティ対策を遂行するための予算確保に苦労する方が多い」として、支援ツールの提供を決めたとしている。 関連記事 年末年始はいつも以上にご用心！ IPAの「情報セキュリティ注意喚起」で万全な仕事納めを 年末年始の長期休暇では、シス
MITRE ATT&CK（マイターアタック）とは？ 「今のサイバー攻撃って何してくるの？」が分かる6つの利用方法
MITRE ATT&CK（マイターアタック）とは？ 「今のサイバー攻撃って何してくるの？」が分かる6つの利用方法：MITRE ATT&CKで始める脅威ベースのセキュリティ対策入門（1） ここ数年一気に注目度が高まり進化した「脅威ベースのセキュリティ対策」。その実現を支援する「MITRE ATT&CK」（マイターアタック）について解説する連載。初回は、概要や6つ使用方法について、具体例を挙げて解説する。 サイバー攻撃は日々進化もしくは変化し続けており、近年ではランサムウェアやオープンソースソフトウェア（OSS）の脆弱（ぜいじゃく）性を突いた攻撃など、全く新しい手法というよりも、従来の手法の発展形といった形態が見られます。こういった攻撃への対策として世の中にはセキュリティ対策の基準やフレームワークが存在しますが、それらを用いて網羅的に対応しようとすると膨大な投資が必要となります。 そこでここ数
「2022年の10大セキュリティ脅威」の手口と対策、IPAが約60ページの資料公開 「組織編」を追加
情報処理推進機構（IPA）は3月10日、2021年に起きた情報セキュリティ事案を基に、社会的影響の大きさをまとめたランキング「情報セキュリティ10大脅威2022」について、ランクインした脅威の動向や対策をまとめた資料を公開した。ランサムウェアや標的型攻撃、フィッシング詐欺といった脅威の特徴や手口を、約60ページに渡って解説している。 情報セキュリティ10大脅威2022はIPAが1月に策定。組織向けTOP10と個人向けTOP10で2つランキングを公開しており、組織向けでは「ランサムウェア」「標的型攻撃」「サプライチェーン攻撃」などが、個人向けでは「フィッシング詐欺」「ネット上での中傷やデマ」「メールやSMSを使った詐欺・脅迫」などが上位に入った。 今回公開したのは、2月に公開した個人向けTOP10の解説資料に、組織向けTOP10の解説を加えて編集し直したもの。追記部分では、組織向けTOP10
社内でUSBメモリーを使用禁止にしているのですが、隠れて使っている社員がいるようです。禁止ルールを徹底させる方法はありますか？ | サイバーセキュリティ情報局
USBメモリーを使用できなくする制御機能で管理 まずUSBメモリーによる不正な情報の持ち出しを防ぐには、「USBメモリーの使用を禁止する」というポリシーを徹底させ、すべての従業員に遵守させること。しかし、実際には従業員が上司に黙ってこっそりとUSBメモリーを使っていて、紛失や盗難にあい、結果的に業務情報が漏えいしてしまったというような事故があとを絶ちません。 より確実にUSBメモリーの使用を禁止にするには、従業員への教育と同時に、技術的な対策が必要です。たとえば、外部メディアを制御する「デバイスコントロール機能」は、代表的な対策といえるでしょう。 最近は、その機能が標準搭載されているセキュリティ製品もあります。ESET製品もそのひとつで、USBメモリーをパソコンと接続した場合は、「ブロック（認識させない）」「読み込み専用」「読み込み/書き込み」などのルールが設定できます。 またUSBメモリ
IIJ、PPAP廃止へ 社外から届くパスワード付きZIPファイルは削除
インターネットイニシアティブ（IIJ）は11月15日、パスワード付きZIPファイルをメールに添付して送信し、パスワードを記載したメールを別送する、いわゆる「PPAP」を廃止すると発表した。2022年1月26日以降はパスワード付きZIPファイルをフィルターによって削除し、メール本文のみを受信する。 同社は「PPAPは、日本で多く見られる情報セキュリティ対策の一つだが、（情報漏えいを防ぐ）効果が薄いだけでなく、ウイルススキャンをすり抜けてしまう」と説明。この仕組みを悪用したマルウェアが、今後も発生すると予想し、同社とその顧客、取引先の情報を守るためにも対応が必要と判断したという。 今後、IIJは別のファイル共有手段に移行する方針で、顧客や取引先には個別に連絡するとしている。 PPAPは、日本の企業を中心に広く普及したセキュリティ対策であったが、メールを傍受された時の情報漏えいリスクが高く、パス
スーパーマーケットのECサイトで個人情報25万件が流出か 非会員含む8年分の顧客情報が対象
1都14県でスーパーマーケット138店舗を展開するベイシア（群馬県前橋市）は11月1日、同社が運営するECサイト「ベイシアネットショッピング」の運営委託先が第三者による不正アクセスを受け、顧客の個人情報25万4207件とクレジットカード情報3101件が流出した可能性があると発表した。 情報流出の可能性があるのは、2013年10月1日から21年8月6日までに予約カタログ注文で商品を店頭受け取りした顧客の氏名と電話番号が19万3766件、同期間に会員登録をせずに商品を購入した顧客と、21年4月26日までに会員登録をした顧客の氏名や電話番号、住所、メールアドレスなどが各2万1340件と3万9101件。 加えて、21年4月26日から21年8月19日までに、同サイトでカード番号を入力した顧客3101件分のカード番号やセキュリティコード、氏名、住所、メールアドレス、電話番号、高度に暗号化されたパスワー
日立グループにおけるパスワード付きZIPファイル添付メール(通称PPAP)の利用廃止に関するお知らせ：日立
2021年10月8日 株式会社日立製作所 日立グループは、2021年12月13日以降のすべてのメール送受信において、パスワード付きZIPファイルの利用を廃止させていただくことを、お知らせいたします。 パスワード付きZIPファイルが添付されたメールは日立グループにて送受信されず、受信者/送信者の日立グループ従業員に対して、配送を抑止した旨がメールで通知されることとなります。 お客さまおよびお取引先さまにおかれましては、日立グループとのデータの授受の方法につきまして、適宜担当者にご相談頂けますと幸いです。 弊社施策に対するご理解とご協力を賜りますよう、何卒よろしくお願いいたします。 背景 従来、通称PPAP*は、多くの人が利用可能で通信経路上の暗号化を保証する方式として日立グループにおいても利用されてきました。しかし、すでに暗号方式としてセキュリティを担保できるものでなく、昨今はパスワード付き
日本の製粉大手に「前例ない」大規模攻撃 大量データ暗号化 起動不能、バックアップもダメで「復旧困難」
「システムの起動そのものが不可能で、データ復旧の手段はない」――製粉大手のニップン（東証一部上場）は8月16日、7月7日に受けたサイバー攻撃の詳細と影響を明らかにした。 グループ会社を含むサーバの大半が同時攻撃を受け、バックアップを含む大量のデータが暗号化されて復旧不能に。外部専門家に「前例のない規模」と報告を受けたという。 財務システムも被害を受け、早期の復旧が困難なため、8月5日に発表予定だった2021年4～6月期の決算は、約3カ月延期。8月16日が提出期限だった四半期報告書の提出も、11月15日に延期する。 サイバー攻撃を受けたのは7月7日未明。グループの情報ネットワークのサーバや端末が同時多発的な攻撃を受け、大量のファイルが暗号化された。 ニップン単体の財務・販売管理データを保管しているファイルサーバに加え、グループ企業で同じ販売管理システムを使っていた11社と、同じ財務会計システ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
害悪とまで言われる日本特有のメールセキュリティ「PPAP」から企業はどう脱出するか
Hiromitsu Takagi on Twitter: "こんなことやってたら配達員が石投げられるようになるぞ。 https://t.co/XQiaIOXa5e 「郵政グループは、郵便物の配達時の状況からリアルタイムの居住者情報や自動車の保有状況…などを把握している。今後、…自動車保有状… https://t.co/HTIDD3KHz5"
開発者向けブログ・イベント | GMO Developers
セキュリティ事故が起こるといくらお金がかかるのか、JNSAが画期的資料公表 | ScanNetSecurity
[みんなのケータイ]スマートロックが解除できず遂に締めだしにあってしまった話![[みんなのケータイ]スマートロックが解除できず遂に締めだしにあってしまった話](https://cdn-ak-scissors.b.st-hatena.com/image/square/bd5800de752485e6209554415c2666e2f129bff0/height=288;version=1;width=512/https%3A%2F%2Fk-tai.watch.impress.co.jp%2Fimg%2Fktw%2Flist%2F1340%2F971%2Feyecatch.jpg)
「習近平のID番号でユーザー登録すると…」ダメ警官が指導者の個人情報を転売、中国“最強監視社会”のショボい裏側 | 文春オンライン
