カテゴリー: セキュリティ
情報セキュリティ、コンピュータセキュリティ、プライバシー保護などセキュリティ関連の最新ニュース
元NSAの専門家がZoomのMac乗っ取り脆弱性を警告、Zoomからは回答なし
すでにTechCrunchでもZoomのセキュリティー対策が最悪だということは報じているが、さらに悪いニュースが出ている。 新型コロナウイルスの流行の影響で世界では多数の人々がリモートワークに移行し、ビデオ会議アプリのZoomの人気も急上昇している。しかしこの関心の高まりはZoomのセキュリティ対策とプライバシー保護のずさんさに注目を集めることになった。セキュリティ専門家2名がZoomのバグを利用してユーザーのWindowsパスワードを盗む方法を発見したのに続き、別の専門家がMacを乗っ取ることができるバグをさらに2つ見つけ出した。こ…続きを読む
Social Bluebookがハッキング被害、インフルエンサー21.7万人のアカウント情報が流出
広告主と数千人のインフルエンサーをマッチングするためのソーシャルメディアのプラットフォームがハッキングされた。Social Bluebook（ソーシャル・ブルーブック）は米国ロサンゼルスに拠点を置く企業で、広告主は自社の製品やサービスを投稿し宣伝するソーシャルメディアの「インフルエンサー」に対価を支払うことができる。同社は約30万人のインフルエンサーを抱えているという。 しかし2019年10月、Social Bluebookのバックエンドデータベース全体のデータが漏洩し盗まれた。TechCrunchが入手したこのデータベースには、イン…続きを読む
マイクロソフトが顔認証スタートアップから撤退、海外の顔認証技術への投資を終了
Microsoft（マイクロソフト）は、顔認証を研究・開発するスタートアップの株式の一部保有を取り止めるという大きな方針転換の一環として、イスラエルの顔認証技術を開発する企業への投資を引き上げることにしたと先週発表した。 顔認証技術を開発するイスラエルの企業であるAnyVision（エニービジョン）から投資を引き上げるという決断は、AnyVisionの技術がイスラエル政府によるヨルダン側西岸地区住民の監視に使われているという報道を調査したうえでのことだ。 元米国検事総長のEric Holder（エリック・ホルダー）氏が、法律事務所Co…続きを読む
新型コロナの自発的感染による免疫獲得の勧めをTwitterが削除
保守系のオンライン雑誌であるThe Federalistが「人々は意図的に新型コロナウイルスに自分を感染させるべきである」とツイートで勧めていた。Twitterはそのツイートを、Twitterのルール違反であるとして削除した。 その違反ツイートは米国時間3月25日の朝に投稿された。内容は「既存の枠から外れた考え方をすべき時だ。新型コロナウイルスに対する、常識を超えたやり方をすべきだ。それは、慎重にコントロールされた自発的な感染だ」というもの。 Twitterのスポークスパーソンは、そのツイートが同社の新型コロナウイルス関連の新しい規則…続きを読む
パッチ未適応のフォント関連バグを利用したWindowsへのハッカーからの攻撃が発生中
Microsoft（マイクロソフト）によると、攻撃者はWindows 10を含むサポート継続中の全バージョンのWindowsに存在するこれまで公表されていなかったセキュリティ上の脆弱性を利用しているという。 米国時間3月23日の月曜日に投稿された勧告によると、マイクロソフトが「重大」と認定したこのセキュリティ上の脆弱性は、Windowsがフォントを処理およびレンダリングする方法に存在するという。このバグは、悪意のある文書を開くようにユーザーを騙すことで悪用される。文書を開いたり、Windowsのプレビューで閲覧したりすると、攻撃者はリ…続きを読む
米連邦通信委員会が多発する新型コロナ関連ロボコールの被害を警告
ロボコールは何年も前から不注意な人々をターゲットにしてきたため、詐欺師たちが現在の世界的な大惨事を利用して活発に詐欺活動を行うことは、驚くに値しない。FCC（連邦通信委員会）は、新型コロナウイルスに関連したロボコールの被害が多数報告されていると警告している。 これまでのロボコール詐欺はIRS（米合衆国内国歳入庁）の罰則で脅かしたり、無料休暇を約束したりしていたのに対して、今回新たに登場した詐欺はパンデミック関連の情報と個人情報の両方を利用して、かなり説得力のある詐欺をしかけるというものだ。FCCに寄せられた一般的な詐欺をいくつか紹介し…続きを読む
Googleの高度な保護機能プログラムに対マルウェア保護が加わる
Googleの高度な保護機能プログラム（Advanced Protection Program）が機能を拡充する。このセキュリティサービスは、システムではなく特定の人物に対する攻撃から彼らのGoogleアカウントを保護するもので、主に政治家やジャーナリスト、活動家、企業のトップなどの利用を想定している。このプログラムはすでに、これらのアカウントに高いレベルの保護を提供し、データへのアクセスを制限したり、アカウントへの不正アクセスをブロック、物理的なセキュリティキーの使用などのサービスを提供している。米国時間3月18日、Googleはこ…続きを読む
Facebookが正しい新型コロナウイルス情報へのリンクもブロック
Facebook（フェイスブック）のニュースフィードのスパムフィルターにバグがあり、MediumやBuzzfeed、USA Todayのような正しいウェブサイトの記事やコメントがブロックされている。一部の新型コロナウイルス関連コンテンツが共有をブロックされ、そのほかのリンクも、ブロックされるものとされないものがまちまちになっている。フィルターの不具合の原因は、よくわからない。Facebookはこれまでずっと、この感染拡大に関する誤報と戦ってきたが、ある種のやりすぎや技術的エラーが起きたのかもしれない。 情報筋はブロックされたリンクの例…続きを読む
社員がフィッシング詐欺にあわないように偽メールを送り教育する「Riot」
Y Combinatorに現在参加しているRiotは、フィッシング詐欺を防ごうとしている。Riotは、偽のフィッシングをクライアント企業の社員に対して試みる。例えば「あなたのGoogleアカウントが無効になった」というメールを社員に送り、その通知メールの真偽を見分けられるかどうかを確かめる。 2ファクタ認証、シングルサインオン、アクセスポリシーのおかげで、プロダクトや社内ツールの保護はかつてないほど容易になっている。しかし大きな脆弱性として残っているのは人間だ。データ侵害の多くは、社員のアカウントの問題から始まる。 言い換えれば、企業…続きを読む
新型コロナで揺れるプリンセス・クルーズが過去のデータ漏洩を認める
クルーズ客船を運行するPrincess Cruises（プリンセス・クルーズ）は、横浜港に停泊していたダイヤモンド・プリンセスを含む同社の2隻の船で新型コロナウイルス感染が確認された後、全世界で運航を停止せざるを得なくなったが、さらにデータの流出も確認された。 3月初旬に公開されたと思われるPrincess Cruisesのホームページ上の投稿によれば、2019年4月から7月までの4カ月間に、社員や乗組員、来客者などの個人情報を含む多数のメールアカウントへの不正アクセスが発見されたという。 Princess Cruisesによると氏名…続きを読む
米政府職員の仕事用携帯でTikTok使用を禁止する法案を上院議員が提出
米上院議員のJosh Hawley （ジョッシュ・ホーリー、共和党・ミズーリ選出）氏とRick Scott（リック・スコット、共和党・フロリダ選出）氏は、3月12日に政府のデバイスでの人気バイラルビデオアプリTikTok使用をさらに制限する法案を提出した。 この法案は、米政府が職員に貸与しているデバイスの安全を確保するためにTikTokの使用を禁止するという、すでに導入されているガイダンスを拡大するものだ。中国で開発されたテックソフトウェアやデバイス、部品を使用しているプロダクトが中国政府の監視下に置かれているのではという懸念から、そ…続きを読む
ハッカーが新型コロナのパンデミックに乗じてマルウェア拡散
パンデミックの最中に必ず起きることがあるとすれば、悪意のハッカーがそれに乗じることだ。 驚かないでほしい。大きなニュースや世界的イベントさらには税金申告シーズンのような定期的国内イベントでさえも、悪意のハッカーたちは無防備な標的を攻撃する好機と捉えて虎視眈々と狙っている。 もちろん新型コロナウイルス（COVID-19）のパンデミックも例外ではない。 進行中の新型コロナのパンデミックを利用して犠牲者を騙しマルウェアを実行させようとする攻撃について、いくつものサイバーセキュリティー会社が警鐘を鳴らしている。現在世界の大部分がコロナウイルス…続きを読む
米国が外国製ドローンの政府使用を禁止へ
TechCrunchが得た情報によると、米トランプ政権は国家安全保障上のリスクを理由に、連邦政府の部門や機関が外国製ドローンを購入または使用することを禁止する大統領令を準備している。 TechCrunchが確認した大統領令の草案は、この数週間で起草されたものだ。ドローンが収集した機密データが敵国に送信される恐れがあるため、外国製ドローンと外国製部品を使用するドローンの両方を事実上禁止する案だ。草案は特に中国の脅威を強調している。中国は米国で政府と消費者の双方にドローンを供給する主要拠点だ。他国製も後で追加される可能性がある。 草案は、…続きを読む
Windows 10の脆弱性修正パッチを緊急配布、月例アプデのSMBにバグ
Microsoft（マイクロソフト）がWindowsのセキュリティ脆弱性を修正するパッチを緊急リリースした。これは今週はじめにネット上に公開されてしまった脆弱性を修正するものだ。 問題のバグの深刻度は「critical」で緊急に対応が必要だ。バグは月例アップデート、いわゆる「アップデートの火曜日」に配布されたプログラムのSMB（Windowsのサーバーのメッセージを処理するブロック）に含まれていた。SMBはプリンターやファイルだけでなく、ローカル、さらにはインターネットに接続された他のデバイスとのコミュニケーション全般を処理する。 攻…続きを読む
ウィキリークスから漏洩した外交公電の影響で国家支援ハッカーの追跡が困難に
2010年に流出した機密文書は、WikiLeaks（ウィキリークス）が公開した機密扱いの外交公電により、外国のスパイが使用する戦術と手法に「目に見える変化」が生じる可能性が高いと警告していた。 この文書は最近、非営利団体である米国家安全保障文書館が行った情報公開法に基づく請求により機密解除され、TechCrunchにも共有された。それによれば、米軍の主要なサイバー戦争部隊である米国サイバー軍（United States Cyber Command、USCYBERCOM）は、漏えいした在外米国大使館間の外交公電が今も行われている同軍のサ…続きを読む
インテルチップに新たな欠陥、攻撃者が難攻不落のセキュア領域にデータを忍び込ませることが可能に
Intel（インテル）チップに新しく見つかった欠陥 は、攻撃者がシステムを通過する特権情報を見ることを可能にするだけでなく、新しいデータを挿入することさえ可能にする恐れがある。この欠陥は、普通のユーザーが心配する必要のあるものではないが、情報のセキュリティに対する脅威といういう意味では時代の象徴だ。 読者はおそらくMeltdownやSpectre、そしてHeartbleedという驚異はご存知だと思うが、今回の脅威に与えられているのはそれよりは控えめなLoad Value Injection（LVI）と言う名前だ。この欠陥は、BitDe…続きを読む
他のハッカーとその侵入先を狙いツールにトロイの木馬を忍ばせるハッカー
最近発見されたマルウェアは、ハッカーが別のハッカーを攻撃するのに使われ、ターゲットがよく使っているハッキングツールに感染して、それらを改造しているらしい。 CybereasonのAmit Serper（アミット・サーパー）氏の発見によると、ここ数年におよぶマルウェアの攻撃において、犯人は既存のハッキングツールを乗っ取り、強力なリモートアクセス用トロイの木馬を注入しているという。それらのツールを開くと、ハッカーはターゲットとコンピューターのどこにでも自由にアクセスできるようになる。被害に遭うハッキングツールの一部は、データベースからデー…続きを読む
Cobalt.ioの「侵入テスト」は問題発見とデベロッパー対応を直結させる
Cobalt.ioは企業がもっと正しいやり方で「侵入テスト」を行ってもらいたい、と願っている。侵入テストとは、アプリケーションを実際に稼働させる前にその脆弱性をテストする工程だ。侵入テストを提供しているCobalt.ioが、このたびプラットフォームをさらに強化した。 Cobalt.ioのCEOであるJacob Hansen（ジェイコブ・ハンセン）氏によると、従来の侵入テストは時間も費用もかかる作業で、最後にテスターが見つけた問題点をリストアップしたPDFを納めて終わる。彼と共同創業者たちが2013年に同社を立ち上げたときは、その工程全…続きを読む
私は暗号解読バックドア法案に反対する
これからお話したいのは、選りすぐりであるはずの公人たちの救いがたい無能さについてだ。なおパンデミックについての話題ではない。そうではなく、お話ししたいのは、米国、オーストラリア、カナダ、英国、ニュージーランド、いわゆる「Five Eyes」（ファイブアイズ）たちによる、エンドツーエンドの暗号化に対する、見事に見当違いで逆効果で高価で、そして高圧的なアプローチについてだ。 TSAロックプログラムのことを思い出してほしい。そして、重要な話なので少しだけ我慢して読んでほしい。これは、TSAやその他の航空保安機関が所有するマスターキーを使って…続きを読む
米連邦通信委員会は議会に急かされてロボコール対策技術の実装をキャリアに義務化
通信キャリアに対して、1年間の猶予期間を与えた米国のFCC（Federal Communications Commission、連邦通信委員会）は、米国時間3月7日からロボコール排撃技術の実装を彼らに要請する。もちろんFCC自身も、待ちくたびれた議会にせっつかれて通信キャリアに対する行動を起こさざるをえない。 この技術は「Secure Telephony Identity Revisited / Secure Handling of Asserted information using toKENs」と呼ばれ、幸いにも「STIR/SH…続きを読む
近日開催のイベント
