まとめアメリカとイギリスでは3連休が続いていますが、今回は長々とお伝えしません。El Regが既に報じている内容に加え、過去1週間の情報セキュリティ関連ニュースをまとめてご紹介します。
ボルチモア市のランサムウェア被害が深刻化：米国ボルチモア市の行政ウェブサイトとオンラインサービスは、2週間前にランサムウェアによってファイルが暗号化された後もオフラインのままで、コンピュータシステムも依然として深刻な被害を受けている。職員のボイスメールとメールボックスに加え、駐車違反金データベース、そして住民が水道料金、固定資産税、自動車税などの支払いに利用するシステムもダウンしている。
さらに追い打ちをかけるように、市長、市議会議員、そして官僚たちがマルウェア感染によるシステム障害中に連絡を取るために開設したGmailアカウントがGoogleのソフトウェアによって凍結され、利用を継続するには法人向けサブスクリプションを購入する必要があると通知されました。これは、職員が同じパブリックIPアドレスから個人アカウントを開設したことが原因のようです。最終的に、オンライン広告大手Googleは彼らにアカウントを返還しました。
Googleの広報担当者は木曜日、「ボルチモア市職員のGmailアカウントへのアクセスを復旧しました」と述べた。「同一ネットワークから複数の一般向けGmailアカウントが大量に作成されたため、当社の自動セキュリティシステムによりアカウントが無効化されました。」
Huawei が危険地帯へ:セキュリティに直接関係しているわけではないが、北京へのバックドアへの懸念からこのすべてが始まったことによるものである。Huawei は今週、世界的な無線ネットワーク標準を策定する Wi-Fi Alliance から冷遇された。
業界団体は、アップル、クアルコム、ブロードコム、インテルを含む同団体へのファーウェイの参加を「一時的に制限」したと発表した。一方、ファーウェイは半導体標準を定めるJEDEC（国際電気通信標準化機構）からの会員資格を自主的に剥奪した。米国によるファーウェイへの米国技術輸出の取り締まりの結果、この中国の巨大企業は、現在、これら2つの標準策定団体から締め出されている。
数億件の個人文書がオンラインで公開：米国の不動産保険会社ファースト・アメリカン・ファイナンシャルが、顧客の極めて個人的なファイルを誤ってオンラインで漏洩していたことが発覚した。
同社のウェブサイトには、16年前まで遡る約8億8500万件の保険関連文書（電信送金の詳細や不動産記録など）が保管されており、URL内の連番ID番号を使ってアクセスできる。調査ブロガーのブライアン・クレブス氏と不動産開発業者のベン・ショヴァル氏は金曜日、000000075から順にファイルを開くと、各ファイルが一つずつ表示されることを明らかにした。
同日東部時間14時頃（協定世界時18時）に、ファースト・アメリカン・ファイナンシャルのウェブサイトが更新され、ファイル配信が停止されました。広報担当者は「現在、顧客情報のセキュリティにどのような影響があったか、もしあったとすればどのような影響があったかを評価中です。社内調査が完了するまで、これ以上のコメントは控えさせていただきます」と述べました。
TalkTalk NaughtyNaughty：英国のISP TalkTalkの加入者約4,500人のアカウント情報と銀行口座の詳細がGoogle検索で公開されていたと、BBCウォッチドッグが今週報じた。この情報は、2015年に同インターネットプロバイダーが大規模ハッキングを受けた際にウェブ上に流出したと伝えられている。
Microsoft は、「Chrome と Firefox を封じ込めろ」と述べています。悪意のあるブラウザベースのコードやエクスプロイトを PC の他の部分から隔離するために Microsoft Edge が使用する Windows 10 のソフトウェア封じ込め技術が、新しいプラグインを介して、レドモンド オペレーティング システム上の Google Chrome と Mozilla Firefox でも利用できるようになりました。
フィッシャー集団が、機密スタッフデータが詰まったコンピュータセンターのセキュリティ審査用メールボックスに侵入
続きを読む
グラフィックデザイン・ウェブビジネスが大規模ハッキング被害に： 16のウェブサイトから6億2000万件のアカウント情報を盗み出し、その後のサーバー侵入でさらに数百万ドルのアカウント情報を盗み出し、ダークウェブで販売したハッカーが、再び攻撃を仕掛けた。今回のハッカーは、ロゴなどのオンライングラフィックデザインサービスを提供するオーストラリアのCanvaを標的とし、1億3900万件のユーザー情報を盗み出したと、ZDNetが金曜日に報じた。
金曜日に盗まれたこれらの記録には、ユーザー名、メールアドレス、実名、都市と国の情報、および個別にソルト化されたbcryptハッシュパスワード、または利用可能な場合はGoogleが発行したアプリごとのログイントークンが含まれています。
「Canvaは本日、多数のユーザー名とメールアドレスへのアクセスを可能にしたセキュリティ侵害を認識しました」と広報担当者は金曜日にThe Registerに語った。
当社では、すべてのパスワードを最高水準のセキュリティ基準（個別にソルト化およびbcryptによるハッシュ化）で安全に保管しており、ユーザーの認証情報が漏洩したという証拠は一切ありません。安全策として、コミュニティの皆様には予防措置としてパスワードの変更を推奨しています。状況がさらに進展するにつれ、引き続きコミュニティの皆様とコミュニケーションを図ってまいります。
T-Mobile USA の Web 漏洩: T-Mob USA は今月、開発者兼ハッカーの Daley Bee 氏によって発見され報告された脆弱性を、HTTP リクエストで丁寧に尋ねられた場合に顧客の名前とアカウント番号が漏洩する可能性がある同社の Web サイトに修正しました。
簡単に言うと...
- WindowsのいわゆるBluekeep（CVE-2019-0708）RDPホールに脆弱なPCやサーバーをネットワーク上で検出する、Metasploitベースのスキャナーがリリースされました。ホワイトハットからブラックハットまで、様々なチームがこの脆弱性を利用して認証なしでリモートコード実行を実現するエクスプロイトを開発しているため、このセキュリティバグへの早急なパッチ適用が推奨されます。このスキャナーにより、リスクの高いマシンを特定し、優先順位付けを行うことが容易になります。
- Docker Hubで最も人気のある1,000個のDockerコンテナのうち、約194個にルートパスワードが設定されていません。これは、実行中のコンテナに悪意のあるユーザーやマルウェアが侵入した場合、ルート権限を取得される可能性があるため、問題となります。コンテナが悪用されるには、認証にPAM、またはシャドウファイルを使用する他の方法を使用している必要があります。同様の問題はAlpine LinuxのDockerイメージでも発見され、現在は修正プログラムが適用されています。
- 奇妙なことに、 Facebookの顔認識プライバシー設定が一部ユーザーに対して欠落していることが判明しました。
- エクイファックスは今週、サイバー攻撃、具体的には2017年に発生した大規模ハッキングの結果として、ムーディーズによって格付けの見通しが安定からネガティブに引き下げられた最初の企業となった。エクイファックスは、集団訴訟の和解金や規制当局の罰金を賄うために2019年第1四半期に6億9000万ドルを積み立てたほか、サイバーセキュリティ防御に数億ドルを費やすことを約束し、金融アナリストを驚かせた。
- 33歳のオーストラリア政府職員が、所属機関のコンピューターシステムで私的な利益のために暗号通貨を採掘したとして告発された。
- Snapchatがユーザー アカウントを管理し、法執行機関に情報を提供するための社内ツールは SnapLion と呼ばれていますが、確かに過去には数人の従業員がこれを悪用して他人を詮索していたようです。®
