東京ガスの運営する恋愛ゲーム「ふろ恋 私だけの入浴執事」で、ウェブ会員1万365件分のメールアドレスとニックネームが流出していたことが判明したという。同社リリースによれば、1月28日にウェブ版アプリ内で海外アダルトサイトに誘導するリンクがあったことが判明。不正アクセスが疑われることから調査をしたところ、29日の夜に不正アクセスが確認されたとしている。対応としてウェブ版アプリの運用を停止したとしている。原因等は調査中だとしている（東京ガス、公式Twitter、東京新聞）。

なお「ふろ恋 私だけの入浴執事」は

入浴執事「フロピスト」の男性達と交流することで癒やされる、“頑張るあなたへ贈るおかえり入浴アプリ”です。

だそうです（4Gamer）。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
2018年のコインチェック事件で、盗まれたNEMのマネーロンダリングに関与したと見られる31人を検挙 2021年01月26日
あいちトリエンナーレのメール配信システムに不正アクセス。なりすましメールが送信される 2021年01月06日
PayPay、ブラジルから不正アクセス。加盟店の情報が最大2007万件流出した可能性 2020年12月08日
2020年版パスワードを正しく使用していない人・団体のランキング、1位はTwitter従業員、2位はZoomユーザー 2020年12月05日
Canon USA、7月から8月に不正アクセスを受けて従業員の個人情報が流出 2020年11月29日
チケット販売プラットフォーム「Peatix」に不正アクセス、最大677万件の個人情報が漏洩 2020年11月20日

あるAnonymous Coward 曰く、

近年ではGitHubと連携するサービスが多々あるが、あるユーザーが「GitHubのコードで年収を査定してくれるサービスを使うため」という理由で、手元にあった会社のソースコードをそのままpublicリポジトリにアップロードして放置してしまい、それが発見されるという事件があり大騒ぎになっている（Togetter、経緯のまとめっぽいツイート）。

発端となったのはゲームを巡るTwtter上での炎上事件だったようで、炎上した結果個人情報などが調べられた末に、28日夜にGitHubに会社のコピーライト表記が入ったソースコードが公開されているのが判明。慌てた周囲の人が本人に問い合わせるも「それ単体では動かない」「商用利用していない」「GitHubは非公開にした」「デフォルトで公開になるとは思ってなかった」「コードから推定年収を計算してくれるサイトを使うために、手元にあったコードをすべてアップした」「どこで作ったコードか覚えていない」「明日営業さんに聞いてみる」と全く問題を理解していない感じの返答が続いて、逆に周囲が騒然となる事態となっている。

アップロードされていたソースのコピーライトとしては、SMBCやNTTといった企業の名が挙がっている。SNS上では、本人の危機意識の無さを嘆く一方、とばっちりでGitHub禁止令が出るのではと危惧する声や、多重請や派遣が溢れるのにコンプライアンス教育が徹底できるわけがないと業界構造の問題を訴える声も上がっている。

情報元へのリンク

日経クロステックによれば、この件を受けて三井住友銀行（SMBC）は流出したコードが行内システムのソースコードの一部と一致していたことを認めているという。セキュリティーに影響を与えるものではないことは確認済みだとしている。公開されていたコードは、複数ある事務系のシステムのエラーチェックに関するものだとしている。ITmediaによると関連する流出コードに対し、コピーライトに名前の出ている関係各社は対応に追われている模様（日経クロステック、ITmedia）。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
日産の社内ツールやソースコードがサーバーの設定ミスで流出 2021年01月08日
新型コロナワクチンをリバースエンジニアリングする 2021年01月06日
Microsoft、SolarWindsの悪用攻撃によりソースコードを閲覧される 2021年01月05日
流失したGithubとGitHub Enterpのソースコード、Githubにうpされる(削除済み) 2020年11月06日
YouTube動画のダウンロードツール「youtube-dl」関連プロジェクトを削除 2020年10月27日
本レビューサイト「ブクログ」、2年弱ソースコード上にメールアドレスが表示された状態に 2020年10月27日
Microsoft、流出したWindows XPのソースコードをGitHubから削除するのに10日を要する 2020年10月12日

あるAnonymous Coward 曰く、

埼玉県の新型コロナウイルス新規感染者情報ページで、一部の患者の氏名や検査機関と思われる個人情報が公開されてしまっていたらしい。公開されていた期間は25日午後5時から同10時半ごろまでの5時間半程であるようだ。(埼玉新聞、NHK、テレ朝NEWS)。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
ランサムウェア被害にあったスコットランド環境保護庁、身代金は支払わないと明言 2021年01月23日
米非営利組織、App StoreでのTelegramアプリ公開差止を求めてAppleを訴える 2021年01月23日
ソフトバンク元社員、楽天モバイル転職時に機密情報を持ち出したとして逮捕。楽天は情報利用を否定 2021年01月15日
福岡県が管理する新型コロナ陽性者数千人分の個人情報が流出、経緯に不可解な点も 2021年01月07日

あるAnonymous Coward 曰く、

2018年1月に発生した仮想通貨取引所のコインチェックから不正アクセスで約580億円相当のNEMが盗まれた事件で、警視庁は盗まれたNEMと知りながら別の仮想通貨との交換に応じたとして、31人を組織犯罪処罰法違反の疑いで検挙した（NHK、日経新聞）。

盗まれたNEMは最終的に全額が換金されてしまったとみられるが、今回検挙された人々はそのうち計190億円分のマネーロンダリングに応じたとみられている。一方で、NEMを盗んだ犯人は未だ特定に至っていない。

情報元へのリンク

すべて読む | セキュリティセクション | 犯罪 | セキュリティ | 情報漏洩 |

関連ストーリー：
お名前.comが顧客に提供する管理ツールに脆弱性が見つかる、コインチェックなどがこれを狙った攻撃を受ける 2020年06月05日
国連の北朝鮮制裁に関する報告書からコインチェックへの言及が消える、北朝鮮の関与を示す根拠なし 2019年09月13日
北朝鮮、サイバー攻撃で5億ドル以上を稼いでいたとの試算 2019年03月18日
マカフィーが2018年10大セキュリティ事件を発表 2018年12月13日
ハードフォークで生じた仮想通貨を利用者に適切に付与することを求めた集団訴訟が提起される 2018年06月01日
暗号通貨に対する「Block withholding attack」が初めて確認される 2018年05月18日
コインチェックから流出したNEMの追跡打ち切り、犯人らはすでに匿名で換金済みか 2018年03月22日
流出したNEM、匿名ネットワーク上での交換を行う動きが確認される 2018年02月10日
仮想通貨取引所コインチェック、不正アクセスによって約580億円相当のNEMが引き出される 2018年01月29日

1月12日に元ソフトバンク社員が社内の営業秘密を不正に持ち出したとして警視庁に逮捕されたそうだ。この人物は2019年末にソフトバンクを退職し、楽天モバイルに社員として転職していたという（ケータイ Watch、ITmedia）。

12日のソフトバンク側の発表によれば、この人物はソフトバンクの4Gおよび5Gネットワーク用の基地局設備の情報を持ち出したとしている。顧客などの個人情報についてはアクセス権がなかったことから持ち出しはされていないとのこと（ソフトバンク）。

この発表を受けて、楽天モバイル側も同日にリリースを出している。従業員1名が、不正競争防止法違反の容疑により逮捕されたことは認めつつも、この従業員が前職により得た営業情報を業務に利用していたことはないと否定している（楽天モバイル）。

東洋経済の記事では、持ち出しの手法についての解説が行われている。これによれば、容疑者はソフトバンク在籍の最終日に社内サーバーに接続し、機密情報を自分の別メアドに送信するという単純な手法であったようだ。同記事ではソフトバンク側の情報管理体制にも問題があったと指摘している（東洋経済）。

すべて読む | セキュリティセクション | 犯罪 | セキュリティ | 携帯電話 | 携帯通信 | 情報漏洩 |

関連ストーリー：
楽天モバイル、「Rakuten UN-LIMIT」の契約申し込み数が200万回線突破 2021年01月04日
楽天モバイルが総務省に周波数再編とプラチナバンド割り当てを要求 2020年12月26日
ソフトバンクが月額2980円・20GBのahamo対抗料金プランを発表。LINE使い放題が特徴 2020年12月22日
総務省、代理店がマンション関係者を装いSoftBank Airの営業したとしてソフトバンクを指導 2020年12月16日
ソフトバンク、Boston Dynamicsをヒュンダイに売却へ 2020年12月14日
MMD研究所、11月の携帯電話料金の調査結果発表。大手3キャリアは平均8000円以上 2020年12月03日
KDDI、楽天モバイルへのローミングエリアを一部終了。東京都は2021年3月末までに停止へ 2020年10月29日

AppleのワイヤレスヘッドフォンAirPods Maxで、数時間使用するとイヤーカップ内部に結露が発生することが話題になっている(Mac Rumorsの記事、 Forbesの記事、 9to5Macの記事、 iPhone in Canada Blogの記事)。

報告によれば、結露が発生するまでの使用時間は1時間～数時間で、外気温にかかわらず発生するという。耳を覆う形のヘッドフォンを気温の高いときに使用するとイヤークッションが汗で湿って不快なこともあるが、AirPods Maxのイヤークッションは湿っておらず、取り外すとアルミニウム製のイヤーカップ内部に結露がみられるとのこと。水滴が流れるほどの結露が発生することもあるようで、防水でないAirPods Maxでは故障の可能性もある。水と無関係な故障でも水没と判定されることを懸念する人もいるようだ。

すべて読む | セキュリティセクション | ハードウェア | アップル | 音楽 | 情報漏洩 |

関連ストーリー：
イタリア当局、iPhoneの防水機能に関する宣伝と製品保証についてAppleに1,000万ユーロの制裁金 2020年12月01日
Apple、製品のお手入れ方法に消毒剤の使い方を追記・取り消し 2020年03月13日
Apple、クレジットカードのお手入れの方法を公開 2019年08月24日
イヤホンの長時間使用で、耳の穴の中にカビが生えることがある 2019年06月14日
HP、耳をアクティブに冷却するゲーミングヘッドセットを発表 2018年06月02日
iPhone4 の受信障害、解決策は「そこを触るな」 2010年06月28日

あるAnonymous Coward 曰く、

TBS系列のJNNによると、新型コロナウイルス陽性患者・数千人分の個人情報の記載された福岡県の内部文書が少なくとも1か月以上に渡ってインターネットに公開されていたという（TBS NEWS）。

報道されたニュース映像では、氏名、年齢、性別、市区町村レベルの住所、詳しい症状といった要配慮個人情報がGoogle スプレッドシートで管理され、適切なアクセス制限が行われていなかったことが伺える。しかし、Google スプレッドシート文書は誤ってアクセス制限を行わなずに公開したとしても、ランダムに発行される共有URLを知らなければアクセスすることはできない。

発覚のきっかけは、去年11月末に神奈川県在住の無関係の男性の元に内部文書が送られてきたことだという。この男性は福岡県に連絡したものの、第三者が内部文書にアクセスできる状態が1か月あまりも続き、（おそらくは男性からの情報提供を受けた）JNNが取材したところ、1月6日になってネット上から削除されたとのこと。

漏洩の件数や内容を考えると重篤なインシデントと言えるが、男性に文書を送ったのは何者なのか？ どうして共有URLを知っていたのか？ なぜ無関係の男性に文書を送ったのか？ なぜ県は1ヶ月も放置したのか？ など、謎が尽きない。

情報元へのリンク

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
ポイ活ブラウザ「SMOOZ」サービス終了のお知らせ 2020年12月24日
中国・東莞市、市民の反発を受けて顔認識トイレットペーパーディスペンサーの使用を中止 2020年12月09日
オリックス系旅館・ホテル運用会社で個人情報入りのサーバーまるごと紛失 2020年12月10日
2020年版パスワードを正しく使用していない人・団体のランキング、1位はTwitter従業員、2位はZoomユーザー 2020年12月05日
Canon USA、7月から8月に不正アクセスを受けて従業員の個人情報が流出 2020年11月29日
チケット販売プラットフォーム「Peatix」に不正アクセス、最大677万件の個人情報が漏洩 2020年11月20日
カプコンのランサムウェア脅迫事件、情報流出が確定へ。最大約35万件の個人情報が流出する可能性 2020年11月17日
日産の社内ツールやソースコードがサーバーの設定ミスで流出 2021年01月08日

サイバーセキュリティ企業のFireEyeが8日、サイバー攻撃により同社の所有する攻撃診断ツール「Red Team」が盗まれたと発表した（FireEye、ITmedia）。

このツールは、多くのサイバー攻撃役を模倣し、その攻撃パターンを再現する機能を持つようだ。これまでFireEyeは、このツールを使用して診断セキュリティサービスを提供してきたとしている。同社は今回の攻撃は、過去の経験から国家による攻撃だと断言した。過去に目撃したことのない新しい技術の組み合わせを使用して攻撃を行ってきたとしている。なお、同社はGitHub上で、このツールを使った攻撃への対策をするためのツールを公開したとのこと。

すべて読む | セキュリティセクション | 犯罪 | セキュリティ | 情報漏洩 |

関連ストーリー：
ベトナム政府、新型コロナウイルス対策のため中国政府機関に対しサイバー攻撃を仕掛けていた？ 2020年04月28日
セキュリティソフトウェアの多くが当面はWindows 7をサポート 2020年02月01日
中国のサイバー攻撃集団によるものとみられる医療業界を狙った攻撃、2013年より継続中との分析 2019年08月28日
OneDriveに保存したファイルを使用するマルウェア・フィッシング攻撃が急増 2019年06月30日
中国の掲示板サイトで日本人のものと見られる大量のメールアドレス/パスワードが販売される 2018年05月21日

あるAnonymous Coward 曰く、

カプコンのランサムウェア被害の絡みで流出した情報に採用応募者情報（氏名、生年月日、住所、電話番号、メールアドレス、顔写真など）が約12万5000件含まれていたが、これについて流出自体とは別に話題になっているそうだ（J-CASTニュース）。

話題になって理由としてカプコンの応募サイトには、「採用選考の結果、採用に至らなかった方、及び、採用を辞退された方の応募書類等は、選考後、当社において責任をもって破棄致します」と書かれていたためで、「（説明に反して）破棄されていなかったのでは?」という指摘が出ているようだ。

カプコン広報IR室によれば、履歴書などの書類は破棄した後も、「再応募いただける方もいらっしゃり、確認をスムーズにするため」電子化して一定期間（期間は非公表）保管しているという。流出の可能性があるのは電子データになる。」とのことだが、タレコミ人としてはそれ（電子データ）で保存していること自体、破棄していない事でしかないと思う。

そもそも、再応募事は再応募時で新しい履歴書来るのだからそれで判断すればいい話で保存する必要はないと思われ、（不採用や辞退後に）保管する必要性は見当たらない。

情報元へのリンク

すべて読む | セキュリティセクション | 犯罪 | 情報漏洩 |

関連ストーリー：
カプコンのランサムウェア脅迫事件、情報流出が確定へ。最大約35万件の個人情報が流出する可能性 2020年11月17日
カプコンがランサムウェアの被害に。1100万ドルの身代金を要求 2020年11月10日
マテル、ランサムウェア攻撃の封じ込めに成功していた 2020年11月08日
ランサムウェア攻撃の結果として初の死者、ドイツ・ケルンの検察が過失致死容疑で捜査 2020年09月20日
Windows 10の9月の累積更新プログラム、Bitdefenderにブロックされる 2020年09月12日

イベントチケット販売などを行っている「Peatix」は17日、外部からの不正アクセスによって顧客情報が流出したと発表した。不正アクセスは10月16～17日にかけて発生、氏名、メールアドレス、暗号化されたパスワードが最大で677万件引き出されたとしている。詳細については現在も調査中。すべてのユーザーにパスワードの再設定が必要となる措置を取ったとしている（Peatix、CNET）。

この影響でイベントやチケット販売などをPeatixに委託していた国内各自治体がお詫びと被害状況の告知などを行っている。TechCrunchの記事によれば、鹿児島県や埼玉県、栃木県宇都宮市、福井県福井市、宮崎県宮崎市などのイベント申込者の個人情報が流出したと見られている（TechCrunch）。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
カプコンのランサムウェア脅迫事件、情報流出が確定へ。最大約35万件の個人情報が流出する可能性 2020年11月17日
不正アクセスで連日発表の続くゆうちょ銀行、プレスリリースでUnicodeで互換用文字とされている半角カナを使用 2020年10月07日
東映子会社のサイトから10,395件のクレジットカード情報が漏洩した疑い。なぜかセキュリティコードまで保存 2020年10月06日
川崎市の野球場予約システムで不正アクセスが多発。利用不能となり紙での申し込みに変更 2020年09月24日
SBI証券、不正アクセスで利用者の資産9864万円流出　“本人名義の偽口座”へ送金される 2020年09月17日

CitizenLabによると、フィリピンのCOVID-19の症例データ共有アプリが情報を漏えいしたと報じられている（CitizenLab、Threatpost）。

このシステムは「OVID-KAYA」プラットフォームと呼ばれており、フィリピンの最前線の医療従事者がCOVID-19感染者の症例を収集し、フィリピン保健省と共有するために使用するためのもの。ウェブアプリとAndroidアプリの両方に脆弱性が存在しており、許可されていないユーザーが感染者や潜在的な感染者の情報を閲覧できていたという。

ウェブアプリ側では認証ロジックに脆弱性が含まれていた。これにより、ヘルスセンターの名前と場所、およびアプリのサインアップ時に利用される30,000を超えるヘルスケアプロバイダーの名前が公開された可能性があるとされる。Androidアプリでは、医療提供者の名前や機密性の高い患者データにもアクセスできるハードコードされたAPI認証情報が使用されていたとのこと。

CitizenLabは8月18日にDure Technologies、フィリピン保健省、フィリピン世界保健機関（WHO）の関係者などのアプリ開発者にウェブアプリの脆弱性を開示、続いて9月14日にAndroidアプリの脆弱性を公開した。判明した欠陥は10月29日の時点で解消されているそうだ。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
東映子会社のサイトから10,395件のクレジットカード情報が漏洩した疑い。なぜかセキュリティコードまで保存 2020年10月06日
IPAが「情報セキュリティ10大脅威 2020」を発表、「スマホ決済の不正利用」1位に 2020年01月31日
トレンドマイクロの「パスワードマネージャー」に情報漏えいにつながる可能性のある脆弱性 2020年01月20日
英政府から流出した文書がRedditで拡散される、Reddit運営はロシアの工作と判断 2019年12月11日
IPA、「情報セキュリティ10大脅威 2019」を発表 2019年02月01日

headless 曰く、

Mashableのユーザーデータベースとみられるファイルが4日、複数のハッカーフォーラムに投稿されて話題となっていた。これについてMashableが同サイトのものであることを認め、調査結果を報告している(Mashableの記事)。

Mashableによると、このデータベースはソーシャルメディアログインを利用するユーザーがMashableのコンテンツを容易に共有できるようにするため、かつて使われていたものだという。含まれるデータは姓名や大まかな場所(国名・都市名など)、電子メールアドレス、性別、登録日、IPアドレス、ソーシャルメディアのプロファイルページへのリンク、期限切れのOAuthトークン、ユーザーの誕生日(月日のみ)とのこと。

Mashableでは登録ユーザーに財務情報の入力を求めることはなく、保存することもない(ため、流出もしていない)。パスワードは流出したデータに含まれていなかったようだが、ユーザーのパスワードがアクセスされた形跡はないと説明している。

HackReadの記事によれば、データベースを投稿したのはShinyHuntersと名乗るハッカーで、データベースのサイズは5.22GBあったという。ShinyHunterは最近数か月の間にオンラインサービスなど十数件のユーザーデータベースを投稿して注目されている。

Mashableのデータベースにパスワードが含まれていなかったことはShinyHuntersも投稿時に説明していたそうだ。なお、HackReadではデータベースに含まれるアカウントの種類をスタッフ・ユーザー・サブスクライバーとしており、スクリーンショットでは mashable.comドメインの電子メールアドレスも確認できる。

すべて読む | セキュリティセクション | セキュリティ | インターネット | 情報漏洩 |

関連ストーリー：
中国のワクチン工場からブルセラ症原因菌が流出、周辺住民6620人の感染が確認 2020年11月07日
流失したGithubとGitHub Enterpのソースコード、Githubにうpされる(削除済み) 2020年11月06日
過去最大の上場が一時停止。アリペイのアントグループ、上海・香港への上場を直前で停止発表 2020年11月04日
Microsoft、流出したWindows XPのソースコードをGitHubから削除するのに10日を要する 2020年10月12日

「GitHub」のソースコードがGitHubのCEOであるNatFriedmanを名乗る人物によって公開された。もちろん偽物だ。このソースコードは削除されており、web archiveに残っていたものもアクセスできなくなっている。なお本物のNatFriedman氏は今回の経緯について、数か月前に一部の顧客宛に誤って出してしまったことがあり、それがアップされたものだとしている（Resynth、Hacker News、GIGAZINE）。

リポジトリの偽装については、もともとGitHubで課題とされていた「なりすまし」の方法が取られているという。GIGAZINEによれば、

手法としては、まず偽装したいリポジトリをフォークし、偽装したいアカウントのメールアドレスを利用してコミット。その後フォークしたリポジトリをGitHubに公開すれば、見た目上はリポジトリを偽装することができてしまいます。

とのこと。ただ、この流出を機にGitHubをオープンソースにすべきという意見も強まっているようだ。

あるAnonymous Coward 曰く、

1100人にフォークされた模様

情報元へのリンク

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
GoogleのProject Zero、GitHub Actionsの脆弱性を公表 2020年11月05日
youtube-dl削除でGithub／DMCAがネタ荒らしされる。GitHubのフリードマンCEOは復活へ支援を表明 2020年10月30日
YouTube動画のダウンロードツール「youtube-dl」関連プロジェクトを削除 2020年10月27日
Linux向けプリンタードライバCUPS、昨年末からコミット数激減 2020年10月26日
Microsoft、流出したWindows XPのソースコードをGitHubから削除するのに10日を要する 2020年10月12日
「オープンソースソフトウェア」を俺流解釈する人が増えている？ 2020年09月08日