あるAnonymous Coward 曰く、

カプコンのランサムウェア被害の絡みで流出した情報に採用応募者情報（氏名、生年月日、住所、電話番号、メールアドレス、顔写真など）が約12万5000件含まれていたが、これについて流出自体とは別に話題になっているそうだ（J-CASTニュース）。

話題になって理由としてカプコンの応募サイトには、「採用選考の結果、採用に至らなかった方、及び、採用を辞退された方の応募書類等は、選考後、当社において責任をもって破棄致します」と書かれていたためで、「（説明に反して）破棄されていなかったのでは?」という指摘が出ているようだ。

カプコン広報IR室によれば、履歴書などの書類は破棄した後も、「再応募いただける方もいらっしゃり、確認をスムーズにするため」電子化して一定期間（期間は非公表）保管しているという。流出の可能性があるのは電子データになる。」とのことだが、タレコミ人としてはそれ（電子データ）で保存していること自体、破棄していない事でしかないと思う。

そもそも、再応募事は再応募時で新しい履歴書来るのだからそれで判断すればいい話で保存する必要はないと思われ、（不採用や辞退後に）保管する必要性は見当たらない。

情報元へのリンク

すべて読む | セキュリティセクション | 犯罪 | 情報漏洩 |

関連ストーリー：
カプコンのランサムウェア脅迫事件、情報流出が確定へ。最大約35万件の個人情報が流出する可能性 2020年11月17日
カプコンがランサムウェアの被害に。1100万ドルの身代金を要求 2020年11月10日
マテル、ランサムウェア攻撃の封じ込めに成功していた 2020年11月08日
ランサムウェア攻撃の結果として初の死者、ドイツ・ケルンの検察が過失致死容疑で捜査 2020年09月20日
Windows 10の9月の累積更新プログラム、Bitdefenderにブロックされる 2020年09月12日

イベントチケット販売などを行っている「Peatix」は17日、外部からの不正アクセスによって顧客情報が流出したと発表した。不正アクセスは10月16～17日にかけて発生、氏名、メールアドレス、暗号化されたパスワードが最大で677万件引き出されたとしている。詳細については現在も調査中。すべてのユーザーにパスワードの再設定が必要となる措置を取ったとしている（Peatix、CNET）。

この影響でイベントやチケット販売などをPeatixに委託していた国内各自治体がお詫びと被害状況の告知などを行っている。TechCrunchの記事によれば、鹿児島県や埼玉県、栃木県宇都宮市、福井県福井市、宮崎県宮崎市などのイベント申込者の個人情報が流出したと見られている（TechCrunch）。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
カプコンのランサムウェア脅迫事件、情報流出が確定へ。最大約35万件の個人情報が流出する可能性 2020年11月17日
不正アクセスで連日発表の続くゆうちょ銀行、プレスリリースでUnicodeで互換用文字とされている半角カナを使用 2020年10月07日
東映子会社のサイトから10,395件のクレジットカード情報が漏洩した疑い。なぜかセキュリティコードまで保存 2020年10月06日
川崎市の野球場予約システムで不正アクセスが多発。利用不能となり紙での申し込みに変更 2020年09月24日
SBI証券、不正アクセスで利用者の資産9864万円流出　“本人名義の偽口座”へ送金される 2020年09月17日

CitizenLabによると、フィリピンのCOVID-19の症例データ共有アプリが情報を漏えいしたと報じられている（CitizenLab、Threatpost）。

このシステムは「OVID-KAYA」プラットフォームと呼ばれており、フィリピンの最前線の医療従事者がCOVID-19感染者の症例を収集し、フィリピン保健省と共有するために使用するためのもの。ウェブアプリとAndroidアプリの両方に脆弱性が存在しており、許可されていないユーザーが感染者や潜在的な感染者の情報を閲覧できていたという。

ウェブアプリ側では認証ロジックに脆弱性が含まれていた。これにより、ヘルスセンターの名前と場所、およびアプリのサインアップ時に利用される30,000を超えるヘルスケアプロバイダーの名前が公開された可能性があるとされる。Androidアプリでは、医療提供者の名前や機密性の高い患者データにもアクセスできるハードコードされたAPI認証情報が使用されていたとのこと。

CitizenLabは8月18日にDure Technologies、フィリピン保健省、フィリピン世界保健機関（WHO）の関係者などのアプリ開発者にウェブアプリの脆弱性を開示、続いて9月14日にAndroidアプリの脆弱性を公開した。判明した欠陥は10月29日の時点で解消されているそうだ。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
東映子会社のサイトから10,395件のクレジットカード情報が漏洩した疑い。なぜかセキュリティコードまで保存 2020年10月06日
IPAが「情報セキュリティ10大脅威 2020」を発表、「スマホ決済の不正利用」1位に 2020年01月31日
トレンドマイクロの「パスワードマネージャー」に情報漏えいにつながる可能性のある脆弱性 2020年01月20日
英政府から流出した文書がRedditで拡散される、Reddit運営はロシアの工作と判断 2019年12月11日
IPA、「情報セキュリティ10大脅威 2019」を発表 2019年02月01日

headless 曰く、

Mashableのユーザーデータベースとみられるファイルが4日、複数のハッカーフォーラムに投稿されて話題となっていた。これについてMashableが同サイトのものであることを認め、調査結果を報告している(Mashableの記事)。

Mashableによると、このデータベースはソーシャルメディアログインを利用するユーザーがMashableのコンテンツを容易に共有できるようにするため、かつて使われていたものだという。含まれるデータは姓名や大まかな場所(国名・都市名など)、電子メールアドレス、性別、登録日、IPアドレス、ソーシャルメディアのプロファイルページへのリンク、期限切れのOAuthトークン、ユーザーの誕生日(月日のみ)とのこと。

Mashableでは登録ユーザーに財務情報の入力を求めることはなく、保存することもない(ため、流出もしていない)。パスワードは流出したデータに含まれていなかったようだが、ユーザーのパスワードがアクセスされた形跡はないと説明している。

HackReadの記事によれば、データベースを投稿したのはShinyHuntersと名乗るハッカーで、データベースのサイズは5.22GBあったという。ShinyHunterは最近数か月の間にオンラインサービスなど十数件のユーザーデータベースを投稿して注目されている。

Mashableのデータベースにパスワードが含まれていなかったことはShinyHuntersも投稿時に説明していたそうだ。なお、HackReadではデータベースに含まれるアカウントの種類をスタッフ・ユーザー・サブスクライバーとしており、スクリーンショットでは mashable.comドメインの電子メールアドレスも確認できる。

すべて読む | セキュリティセクション | セキュリティ | インターネット | 情報漏洩 |

関連ストーリー：
中国のワクチン工場からブルセラ症原因菌が流出、周辺住民6620人の感染が確認 2020年11月07日
流失したGithubとGitHub Enterpのソースコード、Githubにうpされる(削除済み) 2020年11月06日
過去最大の上場が一時停止。アリペイのアントグループ、上海・香港への上場を直前で停止発表 2020年11月04日
Microsoft、流出したWindows XPのソースコードをGitHubから削除するのに10日を要する 2020年10月12日

「GitHub」のソースコードがGitHubのCEOであるNatFriedmanを名乗る人物によって公開された。もちろん偽物だ。このソースコードは削除されており、web archiveに残っていたものもアクセスできなくなっている。なお本物のNatFriedman氏は今回の経緯について、数か月前に一部の顧客宛に誤って出してしまったことがあり、それがアップされたものだとしている（Resynth、Hacker News、GIGAZINE）。

リポジトリの偽装については、もともとGitHubで課題とされていた「なりすまし」の方法が取られているという。GIGAZINEによれば、

手法としては、まず偽装したいリポジトリをフォークし、偽装したいアカウントのメールアドレスを利用してコミット。その後フォークしたリポジトリをGitHubに公開すれば、見た目上はリポジトリを偽装することができてしまいます。

とのこと。ただ、この流出を機にGitHubをオープンソースにすべきという意見も強まっているようだ。

あるAnonymous Coward 曰く、

1100人にフォークされた模様

情報元へのリンク

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
GoogleのProject Zero、GitHub Actionsの脆弱性を公表 2020年11月05日
youtube-dl削除でGithub／DMCAがネタ荒らしされる。GitHubのフリードマンCEOは復活へ支援を表明 2020年10月30日
YouTube動画のダウンロードツール「youtube-dl」関連プロジェクトを削除 2020年10月27日
Linux向けプリンタードライバCUPS、昨年末からコミット数激減 2020年10月26日
Microsoft、流出したWindows XPのソースコードをGitHubから削除するのに10日を要する 2020年10月12日
「オープンソースソフトウェア」を俺流解釈する人が増えている？ 2020年09月08日

あるAnonymous Coward 曰く、

米国国家安全保障局（NSA）が、位置情報を保護するためのガイダンス「Limiting Location Data Exposure」を発表したそうだ。このガイダンスは政府機関や一般ユーザーなどの位置情報漏洩を防ぐためのものだという（NSA、マイナビ、ガイダンス全文[PDF]）。

マイナビによると具体的な対策例としては、

• デバイスの位置情報サービス設定を無効にする
• Wi-FiやBluetoothを頻繁に使用していない場合にはオフにする
• デバイスを使用していない時は機内モードにする
• アプリには最低限必要な権限しか許可しないようにする
• "デバイスを探す"などの追跡機能をオフにする
• デバイスでのWebブラウジングは最小限にとどめ、ブラウザへの位置情報サービスへのアクセスは許可しない
• 匿名のVPNを使用する
• 可能であれば、クラウドに保存される位置情報を最小限にする

というものとなっている。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
Android 11 Beta 3 リリース 2020年08月09日
米上院議員、行動ターゲティング広告を表示するサービスプロバイダーを米通信品位法230条の免責対象外にする改正案を提出 2020年08月02日
GMOタウンWiFiがTwitterの誹謗中傷投稿を非表示にするサービスを開始 2020年06月24日
AppleとGoogleが協力する新型コロナ接触追跡システム、旧型端末を使用する約20億人は利用できない 2020年04月24日

あるAnonymous Coward 曰く、

やや旧聞に類する話だが、通販番組を手がける「ショップチャンネル」の通販サイトに不正ログインが発生していたそうだ。サイト上に登録されている顧客情報が流出した可能性があるという。7月15日に海外から不正ログインが試行されていることが定期チェックで判明、そこから調査した結果、不正ログインが判明したようだ（リリース[PDF]、ScanNetSecurity）。

運営会社ジュピターショップチャンネルによると、不正ログインはリスト型攻撃によって行われたと推測されている。発表によれば不正ログインされた情報は264件。そのうち22件が氏名、郵便番号、住所、電話番号、メールアドレス、生年月日、クレジットカード番号の下4桁と有効期限と本人以外へのお届け先として登録されている氏名や住所、郵便番号の情報も閲覧されている可能性があるとしている。

不正ログインされたユーザーのパスワードは7月16日にリセットされたとしている。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
ニンテンドーアカウントへの不正ログインが多発中？ 2020年04月23日
IPAが「情報セキュリティ10大脅威 2020」を発表、「スマホ決済の不正利用」1位に 2020年01月31日
効率的に不正接続を試みるリスト攻撃プログラムが見つかる 2020年01月17日
ID/パスワードに従業員番号が使われていたシステムに不正ログインして福利厚生を不正利用したドコモCS契約社員が逮捕される 2019年10月18日

headless 曰く、

US航空安全機関(EASA)は7月21日、エアバスA350型機の制御パネルにカバーを装備するよう運航会社に命ずる耐航空性改善命令(AD)を発行した(AD、 The Registerの記事)。

同型機では2つの操縦席の間にある制御パネルの組み込まれた台に液体をこぼした場合、運航中にエンジンが停止して再始動できなくなる可能性がある。エアバスは操縦室内の液体禁止ゾーンを定義する航空機運航マニュアル(AFM)暫定リビジョン(TR)を発行しており、EATAはAFM TRに従ったAFM修正を運航会社に命ずるADを2月に発行していた。

その後、エアバスは制御パネルを完全に液体から保護できる取り外し可能なカバー(mod 116010)を開発し、作業指示書(SB)を発行している。また、液体禁止ゾーンの定義に加えてカバーの使用方法や誤って液体をこぼしたときの対応などを含むAFM TRも同時に発行したという。エアバスはさらに、制御パネル自体を耐水化するmod 116038も開発したとのこと。

今回のADは2月のADを置き換えるもので、mod 116038を適用済みのものを除くすべてのA350-941/1041にカバーを装備し、AFMを更新するよう運航会社に命じている。

すべて読む | セキュリティセクション | セキュリティ | EU | スラッシュバック | Java | 交通 | 情報漏洩 |

関連ストーリー：
エアバスA380のエコノミークラス席を一時撤去し貨物輸送を可能に。貨物機転用は世界初 2020年07月14日
三菱重工業、ボンバルディアのCRJ事業を6月1日承継へ 2020年05月10日
エアバス、A350型機で操縦室内の液体禁止ゾーンを定義 2020年02月09日
機長のコーヒーがこぼれて緊急着陸したエアバスA330 2019年09月15日

あるAnonymous Coward 曰く、

VPNサービスのニュース・レビューサイト「vpnMentor」のブログ記事によると、香港を拠点とする複数の無料VPNアプリの個人情報が流出していたのを発見されたそうだ。各サービスの公称利用者数を合計すると約2000万人分の個人情報が流出している可能性がある（Digital Trends）。

各サービスでは本来はログは保存していないと説明されていたようだ。しかし、流出したデータには、ユーザ登録時のIPアドレスやアカウント名とパスワード、有料版利用者のビットコインの支払い情報やPayPalのURLなどが含まれていた。容量では1テラバイト、内容的には10億行のデータが含まれていたという。

これらのVPNサービスは異なる企業によって提供されていたものの、アプリの配布元はすべて同一の香港の会社だった。また支払いに関してはDreamfii HKという企業だったという共通点があった。さらに各サイトは同じIPアドレスで似たデザインになっていることから、同一提供者によるホワイトラベルだったのではないかとvpnMentorでは予想している。

それぞれのVPNサービスのアプリ名をアプリストアで見てみると、iOS版やGoogle Playでも日本語のレビューが見られることから、日本でも利用者が結構いた可能性があるようだ。利用していた方はパスワード変えるなど対策が必要だろう。

今回データが流出したのは以下のサービス

• UFO VPN
• FAST VPN
• Free VPN
• Super VPN
• Flash VPN
• Secure VPN
• Rabbit VPN

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
利用サービスで情報漏洩が発生しても、パスワードを変えるユーザーは3分の1程度 2020年06月05日
アイ・オー・データのNAS管理サービスに不正アクセス、6万件の個人情報流出 2020年05月19日
日経グループの社員がメール経由でウイルスに感染、社員ら1万2514人分の個人情報流出 2020年05月15日
SODの成人向け動画サービスでほかのユーザーのメールアドレスや閲覧履歴などが見えてしまうトラブル 2020年03月19日
Facebook、従業員29,000人分の給与情報を保存したハードディスクを盗まれる 2019年12月18日

taraiok 曰く、

過去に漏洩した10億を超える認証情報を元に分析したところ、未だに「123456」のパスワードが多く使われていることが分かった。この分析はコンピュータエンジニアリングの学生であるAtaHakçıl氏が先月実施したもの。さまざまな企業で発生したデータ侵害後、オンライン上に漏洩したユーザー名とパスワードの組み合わせを分析したという（ZDNet、分析に使われたデータセットなど、slashdot）。

同氏の分析結果によると、10億件以上のデータの中から重複していない一意のパスワードは168,919,919個であったという。さらに700万以上が毎度おなじみの「123456」文字列であったとしている。パスワード長に関しては平均で9.48文字であったことも分かったという。ほとんどのセキュリティ専門家は、16〜 24文字以上の長いパスワードを使うことを推奨しているが、9.48文字はとくに少ないはいえないとしている。

別の発見はパスワードに使われている文字の種類だ。特殊文字を含むと解析されにくくなるが、こうした特殊文字を使用しているのは全体の12％ほどだったという。ほとんどの場合、ユーザーは文字のみ（29％）や数字のみ（13％）だけのパスワードを使用している。
つまり10億個のデータセットに含まれていたすべてのパスワードのうち、約42％が辞書攻撃に対して脆弱であることを意味している。

すべて読む | ITセクション | セキュリティ | IT | 情報漏洩 |

関連ストーリー：
米インディアナ州最高裁判所、スマートフォンのロック解除強制は不利な証言の強制にあたると判断 2020年06月28日
今どきの探偵はスパイウェアやキーロガーを駆使する 2020年06月23日
ニンテンドーネットワークIDへの不正アクセス、約30万件 2020年06月11日
利用サービスで情報漏洩が発生しても、パスワードを変えるユーザーは3分の1程度 2020年06月05日