まとめこれまでに報じた内容に加えて、最近の情報セキュリティに関するニュースを簡単にまとめます。
ブラックハットUSA、抗議を受けて予定していた基調講演者をキャンセル
今年のブラックハットUSAは、政治と投票実績に対する抗議を受けて、基調講演者のウィル・ハード下院議員（共和党、テキサス州）を解雇した。
TechCrunchが最初に報じたところによると、出席者や発表者は、下院議員が中絶反対法を支持し、家族計画連盟への資金提供を打ち切ろうとしていること、そしてSTEM分野で女性を支援しようとしないことを理由に、毎年恒例の安全保障会議をボイコットすると脅した。
テクノロジーと情報セキュリティの世界では、多様性と包摂性の向上が強く求められている中、ハード氏の講演依頼はサイバーコミュニティの一部に不快感を与えた。ちなみに、ハード氏はアメリカで最もテクノロジーに精通した議員の一人と言われている。
24時間にも満たない圧力の後、ブラックハットの主催者は金曜日、The Registerへの声明で、ハード氏が予定通り今年のラスベガスでセキュリティオタク向けの講義を行う予定はないと述べた。
一方、ハード氏の事務所は次のように反応した。
— エリック・ゲラー（@ericgeller）2019年6月14日@HurdOnTheHill 氏の事務所は、女性の権利問題に関する同氏の実績に対する批判を受けて、Black Hat が基調講演の招待を取り消したことに反応した。
「ハード下院議員は常に、必ずしも彼の投票や意見のすべてに同意しているわけではない人々のグループと関わろうとしてきた。」pic.twitter.com/zHjaBU59ZT
そして、ここはインターネットであり、2019年なので、抗議に対する抗議もあり、それが反発に対する反発を生み出しています...
テクノロジーと政治はもはや分離されておらず、ここ数年もそうでした。技術的な情報だけでなく、非技術系のニュースや解説も積極的に活用しましょう。特にサイバーセキュリティにおいては、より幅広い認識が必要です。
— ウェスリー・マクグルー（@McGrewSecurity）2019年6月14日
女性に基本的人権を与えるべきではないと考える議員による基調講演は、情報セキュリティコミュニティにおいて女性を歓迎する良い方法とは言えません。@BlackHatEvents https://t.co/0nFrY30KEF
— エヴァ（@evacide）2019年6月13日
念のためお伝えしますが、ハード下院議員は、議会におけるサイバーセキュリティの最も優れた擁護者として、Black Hatに講演するために来ていました。コミュニティの一部の人々は、ごくわずかな偏った情報に基づいて、分極化と政治的駆け引きに加担しようとしました。https://t.co/n7pnR1rZ4f
— マット・デヴォスト（@MattDevost）2019年6月14日
ブラックハット基調講演で不適格となるような見解は他に何があるでしょうか？1期以上の経験を持つ議員は招待しない方が良いでしょう。ブラックハットは、講演候補者に中絶に関する見解を尋ねるべきでしょうか？それとも、分からないままで構わないのでしょうか？ https://t.co/1TmcFMOLQk
— グラニック (@granick) 2019年6月14日
ねえ、それで、DEF CON に参加したい人はいますか?
レディオヘッドのハッカーがバンドを破り、録音を公開
憂鬱な英国ロックバンド、レディオヘッドのファンにとって、今週は嬉しい出来事がありました。バンドがスタジオ録音音源のコレクションをオンラインで購入・ダウンロード可能にしたのです。どうやら、この音源は以前ハッカーに盗まれ、身代金を支払わなければファイルを公開すると脅迫されていたようです。これに対し、バンドは6桁の要求額を支払う代わりに、Bandcampで自ら音源をリリースしました。
このオンラインリリースは、悪意ある者たちが既に金銭を受け取ることを諦め、コレクションをダークウェブに流出させた後に行われた。イスラエルのサイバーセキュリティ組織Sixgillの研究者たちは、バンドが正式に楽曲をリリースする2日前に投稿されたPastebinの投稿からリンクされた音源を発見したと主張し、その証拠としてThe Registerに以下のスクリーンショットを提供した。
しかし、だからといって、ダークウェブでファイルを探し回ったり、レディオヘッドの公式チャンネルを無視して楽曲を入手したりする必要はありません。これは正しい行動であるだけでなく、売上の一部は気候変動慈善団体「Extinction Rebellion」への寄付となります。
Emuparadise、フォーラムハッキングで100万以上のユーザーアカウントを失う
ヴィンテージゲームサイトEmuparadiseは、ユーザーアカウント情報がハッカーの手に渡った最新のウェブサイトです。100万件以上のアカウントがクライムウェアフォーラムで販売されていたと報告され、追跡サービスHaveIBeenPwned.comに追加されました。ハッカーは、このエミュレーションサイトのユーザーフォーラムを標的とし、名前、ソルト化およびハッシュ化されたパスワード、IPアドレス、メールアドレスを盗んだとされています。
重大な違反ではありませんが、Emuparadise アカウントをお持ちの場合は、パスワードが他のサイトで再利用されていないことを確認する必要があります。
シスコ、CSRFバグに対するパッチを公開
Switchzilla がクロスサイト リクエスト フォージェリ バグに関する警告を発したことを受けて、Cisco IOS XE 機器の管理者は、本日、適用可能なパッチがあるかどうか確認するために数分余分に時間を費やすことになるでしょう。
この脆弱性はIOS XEのウェブインターフェースにのみ存在しますが、悪用された場合、攻撃者は現在のユーザーの権限レベルで任意のコマンドを実行できる可能性があります。他のバージョンのIOSやウェブインターフェースが有効になっていないバージョンでは安全です。
Eviteはユーザーの恐怖を煽る
招待状サービス「Evite」は、2013年にアーカイブされていたデータバックアップファイルが攻撃者に盗まれたことを発見し、警告を発せざるを得なくなった。
アーカイブは6年前のものですが、含まれる情報は非常に機密性の高いものです。ハッカーは氏名、ユーザー名、メールアドレス、パスワード、そして場合によっては生年月日、電話番号、住所まで入手することができました。
同社はユーザーに通知中だが、2013年に同サイトを利用していた人は全員、安全のためにパスワードを変更することを勧める。
監視機関がMI5のデータ取り扱いの不注意を非難
英国の象徴的な諜報機関MI5は、英国の捜査権限委員が諜報員による国民データの取り扱いに問題があると発見したことを受けて、今週厳しい批判にさらされている。
監視機関は、MI5が令状に基づき大量に収集・保管している個人情報の保護に十分な対策を講じていないと述べた。機密データを適切に保護していなかっただけでなく、MI5は法的に認められている期間をはるかに超えて情報を保管していたとも言われている。
Eximがサーバーの欠陥を修正
先週、Eximメールサーバーソフトウェアに発見されたコマンド実行の脆弱性について警告しました。管理者は数週間前に最新バージョンにアップデートすることでこのバグを修正できたはずですが、今週、以前のビルドにもパッチがリリースされました。
Exim バージョン 4.87 から 4.91 を実行している場合は、この発表を確認して、修正プログラムが適用されていることを確認する必要があります。この欠陥を悪用した攻撃が、脆弱なシステムを侵害するために実際に使用されていることが最近確認されているためです。
英国の人権擁護活動家がスパイウェアハウスの所有者であるとの報告書
英国のギャラリーオーナーであり人権運動家でもあるラナ・ピール氏は、悪名高いスパイウェア開発者とつながりがあると非難されている。
ガーディアン紙によると、サーペンタイン・ギャラリーズのCEOであるピール氏は、NSOグループの株式も保有しているという。NSOグループは悪名高い監視ソフトウェア「ペガサス」を開発しており、これは世界中の政府に販売され、標的のデバイスに忍び込ませて監視する目的で使用されている。投資会社ノバルピナ・キャピタルが過半数の株式を保有するNSOは、悪意のある人々にソフトウェアを売りつけているわけではないと主張しているが、人権活動家たちはその主張を否定している。
「ピール家はノバルピナに投資しています。私はノバルピナの運営や意思決定に一切関与していません。ノバルピナは私の夫、スティーブン・ピールと彼のパートナーによって経営されています」とラナ・ピール氏は声明で述べた。
簡単に言うと...
一方、Citizen Labs とその学術界の仲間は、ストーカーウェアとその影響に関するレポート [PDF] を作成しました。
今週、AVG アンチウイルスと Firefox が衝突し、証明書の更新により保存されたパスワードが消えてしまいました。®
