❌

リーディングビュー

ソニー傘下のInsomniac Gamesから大量の開発ファイルが流出

著者: nagazou

2023年12月21日 14:02

>ソニーのゲーム部門であるインソムニアック・ゲームズから130万以上のファイルが流出したそうだ。ハッカー集団の「リサイダ」がその犯行を公表したという。報道によると1.67TBに及ぶデータを盗み出されたとされ、流出したファイルの中には、「ウルヴァリン」新作の開発工程表や予算、開発状況やリリース予定、10年以内に発売されるタイトルのスケジュールなども含まれていたようだ（Bloomberg、Cyber Daily、GIGAZINE）。

このハッキングは、ランサムウェアグループのリサイダによって12日に発表された。不正に入手したデータを約200万ドル相当のビットコインで競売にかけるとしていたが、19日にそのデータを公開した。米政府によるとこの集団は教育や医療、製造業、情報技術（IT）セクターを標的にしているハッカー集団だとされる。

流出した情報によると、ソニーは「スパイダーマン3」などマーベル作品に基づく複数のタイトルを10年以内にリリースする計画を立てているほか、2029年までには「ラチェット＆クランク」シリーズの新作も出す予定だと報じられている。ほかにも2035年までに「X-MEN」のゲームを開発・販売するという内容も含まれていたという。

すべて読む | セキュリティセクション | セキュリティ | ニュース | ゲーム | 情報漏洩 |

関連ストーリー：
カプコン、昨年発生の不正アクセス事件の調査結果を発表。古いVPN装置が原因 2021年04月15日
警察庁、サイバー攻撃に関する統計を発表。コロナ禍便乗やランサムウェア関連など 2021年03月09日
カプコン、採用応募者の情報を破棄していなかったことが判明 2020年11月20日
カプコンのランサムウェア脅迫事件、情報流出が確定へ。最大約35万件の個人情報が流出する可能性 2020年11月17日
カプコンがランサムウェアの被害に。1100万ドルの身代金を要求 2020年11月10日

IT導入補助金事務局のHPに不正アクセス。3.8万人の個人情報が漏えいの恐れ

著者: nagazou

2023年12月21日 07:13

IT導入補助金の事務局のウェブサイトが不正アクセスを受け、IT導入支援事業者約3.8万人の個人情報が漏えいした恐れがあることが判明した。IT導入補助金は、独立行政法人中小企業基盤整備機構が補助金を提供する事業で、不正アクセスを受けたのはTOPPANが実施する「IT導入補助金2023後期」の事業（ IT導入補助金2023（後期事務局）、ネットショップ担当者フォーラム）。

不正アクセスは、IT導入補助金2023後期事務局のウェブサイトで2023年8月1日から発生したとされ、漏えいの恐れのある個人情報は3万8269人分に相当する。漏えいした可能性のある情報には、一部個人情報を含む事業者の登録情報で、ITツール登録担当者の氏名とメールアドレス、実施者・販売者の氏名とメールアドレスも漏えいした可能性がある模様。漏えいの原因は、ウェブサイトで使用されているプログラムの設計不備によるものとしている。

すべて読む | セキュリティセクション | ビジネス | セキュリティ | ニュース | インターネット | 政府 | お金 | 情報漏洩 |

関連ストーリー：
JAXAがサイバー攻撃か。警察から連絡受けるまで気がつかない状況 2023年11月30日

JAXAがサイバー攻撃か。警察から連絡受けるまで気がつかない状況

著者: nagazou

2023年11月30日 14:06

読売新聞の記事によれば、JAXAが夏頃にサイバー攻撃を受け、中枢サーバーに不正アクセスを受けていたことが判明したそうだ。これにより宇宙開発に関する機密情報が閲覧された可能性があるという（読売新聞）。

警察が秋に不正アクセスを察知し、JAXAに通報したことで発覚した。JAXAはそれまで攻撃に気づいていなかったという。関係者によれば、大半の情報が見られる状態だった恐れが強いとしている。非常に深刻な事態だと述べている。JAXAは政府や警察と連携し、情報漏洩の実態解明とネットワークの脆弱性を調査する方針。

すべて読む | セキュリティセクション | セキュリティ | JAXA | 情報漏洩 | ワーム |

関連ストーリー：
中国共産党員の男を書類送検。JAXAらのサイバー攻撃に関与の疑いで 2021年04月21日

2023年版流出パスワードランキング、「123456」が1位に復帰

著者: nagazou

2023年11月22日 08:07

headless 曰く、

NordPass が 2023 年版の流出パスワードトップ 200 を公開している (Top 200 Most Common Passwords、 The Register の記事)。

今回のランキングは外部リサーチャーの協力を得てダークウェブを含むさまざまなソースから抽出した流出パスワードのデータベース 4.3 TB を調査したもので、35 か国分のデータが含まれる。日本のデータは昨年も少なかったが、今年は含まれていないようだ。

昨年のランキングでは何年も1位を維持していた「12345」「123456」といったパスワードを抑えて「password」が 1 位となっていたが、今年は昨年 2 位の「123456」が 1 位に復帰した。「password」は 7 位に後退しており、過去 4 年間のランキング (PDF) に入っていなかった「admin」が 2 位となっている。

パスワードのクラックに要する時間でみると、139 件が 1 秒未満でクラック可能とされる。クラックに時間がかかるパスワードは 173 位の「theworldinyourhand」が数世紀、54 位の「admintelecom」が 23 日、56 位の「123meklozed」が 12 日、151 位の「undefined」が 16 時間となっている。

これらのクラックに時間がかかるパスワードは過去 4 年間のランキングには入っていないものばかりだ。このほか、過去 4 年間のランキングに見られないパスワードとしては、1秒未満でクラック可能な「*」の羅列が (19 位「********」、27 位「******」、52 位「**********」、63 位「*************」) が目立つ。

すべて読む | セキュリティセクション | セキュリティ | 統計 | 情報漏洩 |

関連ストーリー：
隣接したキーを組み合わせたパスワード、欧文キーボード配列別調査結果 2023年07月22日
流出パスワードトップ 200、2022 年版では「password」が 1 位に 2022年11月27日
最悪なパスワードランキングで「123456」が5年連続ナンバー1に輝く 2017年12月23日

セイコーグループ、7月に発生したランサムウェア被害で6万人の個人情報流出を確認

著者: headless

2023年10月28日 15:53

セイコーグループは 10 月 25 日、7 月に発生したランサムウェア被害に関する第 3 報を公表した (重要なお知らせ、 The Register の記事)。

同社サーバーへの一部に対する第三者の不正アクセスが確認されたのは 7 月 28 日。8 月 2 日に外部専門機関に調査を依頼した結果、サーバーから同社及びグループ会社の情報が流出した可能性が判明した。その後の調査で不正アクセスがランサムウェア攻撃であり、同社グループ会社の従業員や関係者に関する一部の情報が漏洩したことが確認されていた。

今回の発表によれば、顧客の情報を含む約 60,000 件の個人データが外部に流出したことが確認されたという。

漏洩が確認された個人データは以下の通り。

セイコーウォッチ株式会社の顧客の連絡先 (クレジットカード情報は含まれない)
同社とセイコーウォッチ株式会社およびセイコーインスツル株式会社の取引先担当者の連絡先等
同社とセイコーウォッチ株式会社の採用応募者の連絡先や学歴等
同社及びグループ会社の従業員および退職者の人事情報や連絡先等

同社は今後、不正アクセス被害の全容解明を行うとともに、セキュリティ強化等、再発防止に向けた取り組みを進めるとのことだ。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
カシオのICT教育アプリClasspad.net開発環境に不正アクセス、セキュリティ機能解除が原因か 2023年10月22日
名古屋港のシステム停止、VPNの脆弱性を突かれたか 2023年07月28日
LPガス用クラウドにサイバー攻撃。1100社の検針システムに影響 2023年06月15日
コクヨ、ランサムウェアを使った攻撃を受けたと発表 2023年06月09日
エーザイ、ランサムウェア被害に 2023年06月07日
ランサムウェアの身代金支払いで全データを復旧できたのは、日本でわずか13% 2023年05月26日
大阪急性期・総合医療センターがランサムウェア感染、31日から診療が停止 2022年11月02日
千葉南房総市の情シスにランサムウェア攻撃、身代金払わねば成績表公開と脅迫 2022年09月02日
サイバー攻撃、同じ企業が何度も被害に 2022年07月29日

東京大学、マルウェア感染で個人情報流出か

著者: nagazou

2023年10月26日 14:27

東京大学は24日、大学のコンピューターシステムが標的型攻撃メールによってマルウェアに感染し、学生や教職員などの約4300人分の個人情報（氏名、住所など）が流出した可能性があると発表した。在宅勤務の教員が実在する組織名をかたったメールを2022年7月に受信、感染したファイルを開いた結果、個人情報が流出したとされている（東京大学発表、日経新聞）。

漏洩した可能性のある情報は以下の通り。
・東京大学関係者の個人情報（2409件）
・学会会員やイベント参加者の情報（1082件）
・他大学で授業を受けていた学生の情報（796件）
・過去の成績や試験問題（24件）
・教員の評価（30件）

すべて読む | セキュリティセクション | セキュリティ | 教育 | 情報漏洩 |

関連ストーリー：
パスワードに『,』を含めておくと、流出時の被害確率が下がるかもしれない 2022年10月14日
インド政府、企業や政府機関にサイバーインシデント認識後 6 時間以内の報告義務付けへ 2022年05月03日
メールによるパスワード付きファイルの受信禁止広がる。マルウェア拡散防止で 2020年11月20日
マルウエア「Emotet」を拡散させる攻撃メール、7月中旬から拡散再開を観測 2020年08月03日
三菱電機に対する不正アクセス、同社が概要を公開 2020年02月17日

カシオのICT教育アプリClasspad.net開発環境に不正アクセス、セキュリティ機能解除が原因か

著者: headless

2023年10月22日 19:19

カシオ計算機は 18 日、同社の ICT 教育アプリ「Classpad.net」のシステムが不正アクセスを受け、国内外の一部の登録ユーザーの個人情報が外部に漏洩したことを明らかにした (不正アクセスによる個人情報漏えいのお詫びとご報告、質問と回答、 HackRead の記事、 Bleeping Computer の記事)。

不正アクセスを受けたのは開発環境のデータベース。10 月 11 日夕方に担当者が開発環境で作業しようとした際にデータベースの障害発生を確認し、翌 12 日夕方に個人情報漏洩を確認したという。開発環境ではネットワークセキュリティ設定の一部が解除状態になっていたことが確認されており、第三者が外部からアクセスできる状況にあったことが原因と考えられるとのこと。

不正アクセスの影響を受けたのは国内が個人と 1,108 教育機関の計 91,921 件、海外が 148 か国・地域の計 35,049 件。漏洩した個人情報は氏名・メールアドレス・国や地域・学校に関する情報・購買に関する情報・サービス利用履歴やニックネームなど。クレジットカード情報は保持していなかったという。漏洩の対象となったのは 2023 年 7 月 17 日以前に登録したユーザーで、ログインにメールアドレスを使用している場合は対象外となる。アプリ自体は不正アクセスを受けておらず、利用に関しては影響ないとのこと。

今後はセキュリティ強化施策を行うほか、セキュリティ運用ルール見直しやセキュリティ対策に関する教育を継続して行うとのことだ。

すべて読む | セキュリティセクション | セキュリティ | 教育 | 情報漏洩 |

関連ストーリー：
練馬区の中学校で生徒からSNSパスワードを収集し問題に。区教委が作成したリーフレットが発端 2021年12月07日
gmailをgmaiと誤入力して新入生135人の個人情報が流出。京都市立芸術大 2021年04月02日
共通テスト「情報」試作問題はどこから漏れたのか？ 2020年12月07日
飲み会の場で院試の内容を事前に漏らしていた首都大学東京の教授、懲戒解雇に 2019年12月26日
大阪大学、不正アクセスを受けて個人情報約7万件を漏えい 2017年12月14日
一部の教育機関ではネット接続された複合機等で不適切な設定によりデータ丸見え 2016年01月07日
トランスコスモスのコールセンターでベネッセの顧客情報流出、「紙に書き写す」手口 2015年03月18日
PC管理運用システムを無効化するソフトを組み込んだ中学教諭 2013年05月14日

過去に利用された2つ以上のパスワードから、変更後のパスワードを推測する手法

著者: nagazou

2023年10月10日 17:01

過去に使用された2つ以上のパスワードから、変更後のパスワードを推測することを可能にする「Pass2Edit」と呼ばれる新しい手法が発表された。この手法は中国の複数の大学の研究者によって開発されたもの（USENIX、INTERNET Watch）。

ネット上に流出したパスワードから同じメールアドレスに紐付けられている二つ以上のパスワードを抽出。それらを比較して、ユーザーがパスワードを変更する際にどの部分をどのようなルールで変更しているかを機械学習を用いて推測する。この方法を用いることで、一般ユーザーの場合には平均24.2％、セキュリティに精通したユーザーの場合には11.7％という成功率でクラッキングができるという。研究者たちは、パスワードを単純なルールに基づいて変更し続けることがセキュリティに対して予想以上の脅威をもたらす可能性があると警鐘を鳴らしている。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
LastPassから流出したパスワード保管庫、クラックされて暗号通貨窃盗に用いられているとの見方 2023年09月10日
BL特化SNSのpictBLandが不正アクセス、ユーザーのパスワードも流出で被害拡大 2023年08月17日
Adobe が他社サービスでの認証情報流出を受けてパスワードをリセットしたとの報道 2023年04月08日
ドコモから「ぷらら」や「ひかりTV」の契約者情報最大529万件が漏えいした可能性 2023年04月03日

Microsoft Outlookの「メッセージの取り消し機能」を誤使用しメールアドレスが再流出

著者: nagazou

2023年10月3日 15:10

三重県の9月27日の発表によると、三重県立高校でメールを誤送信する問題が再発したという。最初の問題は、同校が9月19日に高校生活入門講座に参加登録した中学生421人に対してアンケートメールを送信。その際、BCCに記載するべきアドレスを宛先部分に誤って記載したことから、メールアドレスが漏洩。同校はこの問題を公表、謝罪していた。ところが同月26日に再び誤送信が発生しまったという（三重県リリース、Security NEXT）。

2回目の誤送信の原因は、学校の教頭が「Microsoft Outlook」の「メッセージの取り消し機能」を誤って利用していたことにある。この機能は、同一ドメイン内で同じ「Microsoft Exchange」環境を使用している場合、一部の条件下でメールを削除できるものだが、外部宛のメールには適用されない。この際、19日付メールの送信先全員に「このメールを取り消します」という内容が自動的に送信される仕組みが発動したことで、再びメールアドレスが漏洩した。学校側は対象者に謝罪し、誤送信したメールの削除を依頼しているという。

すべて読む | セキュリティセクション | セキュリティ | idle | 情報漏洩 |

関連ストーリー：
数百万通の米軍宛てメールがマリのアドレスに送られていたことが覚発 2023年07月19日
管理者用の非公開URLを契約者へメールで送信してしまい情報漏洩、マニュライフ生命保険 2022年10月28日
トレンドマイクロが感謝しまくるメールを誤送信 2022年08月01日
Twitter、用もないのにアカウント確認メールを多数のユーザーへ送るトラブル 2021年04月25日

キーボード音から9割以上の確率でパスワードを推測

著者: nagazou

2023年8月14日 18:04

イギリスの研究者は、AIがオンライン会議中のキーボード入力を解読し、画面やキーボードが見えなくてもタイピング内容を判断できることに成功したと発表した（Hacker News、PCMag）。

パスワードを入力する際に画面やキーボードを隠すことはよくあるものの、キータイプの音を隠すことはあまり行われない。携帯電話で記録されたキーストロークをAIに学習させたところ、95％の精度で解読可能であることが判明したという。ビデオ会議システムのZoomから記録されたキーストロークを学習したAIに関しても93％の精度を達成することに成功したとしている。

AIが内容を解読できなかった場合でも、ほとんどの場合キーが一つずれる程度の誤差で、潜在的なハッカーがこの誤差を回避するのは容易だったという。研究者は対策として、タイピングスタイルを変えたり、ソフトウェアベースのキーストローク音声フィルターを使用してキーストローク音を偽装することなどを提案している。

すべて読む | YROセクション | セキュリティ | YRO | 情報漏洩 |

関連ストーリー：
指先に貼る絆創膏型発電機、発汗や押す動作で発電 2021年11月30日
漏えいした3200万のパスワードを米企業が分析、最も使われていたのは「123456」 2010年01月26日

中国軍が防衛省の機密ネットワークに侵入か。米政府が日本に連絡との報道

著者: nagazou

2023年8月11日 06:04

中国人民解放軍のハッカーが、日本の防衛省の高度に機密性のある情報を取り扱うコンピューターシステムに侵入したと、米ワシントン・ポストが7日に報じている。この報道によると、ハッキングは2020年秋に米国家安全保障局（NSA）によって察知され、その後日本政府に通報されていたのだという。日本側の対応が十分でなかったことから、2021年秋にも米国側が対策を促したなどとしている（時事ドットコム、産経新聞）。

松野博一官房長官は8日の記者会見で、ワシントン・ポストの報道に関して、「サイバー攻撃により防衛省が保有する秘密情報が漏えいしたとの事実は確認されていない」とコメントした。浜田靖一防衛相も閣議後の記者会見で「サイバー攻撃によって任務の遂行に影響が生じる事態は生じていない」と強調している（時事ドットコム）。

すべて読む | セキュリティセクション | 日本 | 軍事 | セキュリティ | 政府 | 情報漏洩 |

関連ストーリー：
内閣サイバーセキュリティセンター、8か月分のメールデータが流出の可能性 2023年08月07日
米政府、IoT向けセキュリティ認定・ラベルプログラム「US Cyber Trust Mark」を発表 2023年07月21日
「通信の秘密の保護」に制限検討。サイバー攻撃への対処、政府が強化 2023年06月27日

電話オペレーター経由で旅行契約した一部のクレジットカードで不正利用被害

著者: nagazou

2023年7月25日 13:31

JTBは20日、JTB旅物語中部販売センターで旅行商品を申し込み、電話でクレジットカード決済を行った一部顧客に対してクレジットカードの不正利用被害が発生したことが判明したと発表した。被害の対象となるのは、4月1日から7月3日にかけて、JTB旅物語中部販売センターへ電話で「JTB旅物語」の中部発商品を申し込み、電話口でオペレーターにクレジットカード情報を伝えて決済を行った一部顧客。不正利用が懸念される顧客には個別に連絡。被害を受けた顧客に対しては、書面により状況を報告するとともに、注意を呼びかけている。なお、ウェブサイト経由でクレジットカード決済した顧客は対象外としている（JTBリリース、Security NEXT）。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
ドコモから「ぷらら」や「ひかりTV」の契約者情報最大529万件が漏えいした可能性 2023年04月03日
ソースネクストから最大12万人超の個人情報漏洩のおそれ 2023年02月15日
大手ECで使用中の入力フォームプログラムが改ざん、3800件以上のクレカ情報などが流出 2022年10月28日
EVANGELION STOREで不正アクセス、1万7828件のクレカ情報漏洩の可能性 2021年12月02日
東映子会社のサイトから10,395件のクレジットカード情報が漏洩した疑い。なぜかセキュリティコードまで保存 2020年10月06日

Minecraft用MODにウイルス感染、対策ツールを提供へ

著者: nagazou

2023年6月15日 16:03

あるAnonymous Coward 曰く、

Minecraft (マインクラフト / マイクラ)用MOD・プラグインにマルウェア・ウイルス感染されたものが配布されていた模様。6/7の時点で複数のコミュニティから報告があり(タレコミ子のフォローしていたminecraftmod作者からも報告があった）。マインクラフトMOD数十種類がマルウェア「Fractureiser」に感染していると判明。CurseForgeやCraftBukkit等MOD配布サイトのMODの中身が書き換えられ混入された（Prism Launcher、GIGAZINE）。実際はこのgigazineのリストに載っていないものも感染があった。

約4日後、CurseForgeから続報があり、問題の対処とマルウェアの検出ツールを配布すると報告があった（CurseForge）。問題のMODリストはまだ更新中のため6月前後にMinecraft用MOD・プラグインをダウンロードした方はチェックすることを強く推奨する。以上、問題が収束に向かったのでタレコミ

#　まさに呪われた鍛冶屋（これがいいたかっただけ）

タレコミにあるように、6月になってMinecraft用のMODがアップロードされたCurseForgeとBukkitに「Fractureiser」というウイルスが混入していることが判明したそうだ。CurseForgeは6月8日時点で感染したファイルを削除したが、感染したファイルは過去数週間から1か月程度の間に約6000回ダウンロードされたと見られている。この発表に伴い、CurseForgeはPCのウイルス感染をチェックする「Malware Detector」およびMOD/Jarファイルの感染をチェックする「Jar Malware Scanner」を公開しているとのこと（ニッチなPCゲーマーの環境構築Z[使い方説明など]）。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
「Minecraft」がNFT禁止を明言。理念に反する 2022年07月26日
ロシアの「マインクラフト事件」で少年に 5 年の実刑判決 2022年02月16日
小学生プログラミングバトル番組が10月放送開始 2017年09月06日
角川アスキー総研、小中学生プログラミング大会を開催へ 2016年06月23日

トヨタ、約10年間約215万人分の車両情報が漏洩。クラウド設定ミスが原因

著者: nagazou

2023年5月16日 12:00

トヨタ自動車は12日、関連子会社のトヨタコネクティッド（TC）に管理を委託していた顧客データ約215万人分が漏洩した可能性があると発表した。TCのクラウド環境の誤設定により、一部のデータが10年近くネット上で公開状態になっていたとされる。漏れたとみられるのは2012〜23年に契約した顧客の車両番号や位置情報など。いずれも個人が特定できる内容ではないとし、現時点で悪用は確認されていないとしている（トヨタリリース、ロイター、日経新聞、朝日新聞）。

情報漏洩の対象となったのは、ネットで車の位置を把握したり、異常を検知したりするサービス「ティーコネクト」などを2012年1月~今年4月に契約した顧客。車載機（ナビ端末）ごとに割り振られた識別番号と車両一台ずつに割り当てられた識別番号が漏れていた。今年4月の点検で判明し、外部からのアクセスを遮断する処置を実施したとしている。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
炎上した大手中古車販売社、完全黙殺でメディア対策に成功か 2023年05月12日
Western Digitalのオンラインストア顧客情報を含むデータベース、不正アクセス者が取得 2023年05月10日
eBay に出品された米軍の生体識別デバイス、2,600 人以上のデータが含まれていた 2022年12月30日
Twilio、フィッシングで奪われた従業員の認証情報による不正アクセスで顧客の情報が漏洩 2022年08月11日
Samsung、修理中のスマートフォンからの個人情報漏洩を防ぐ「修理モード」を発表 2022年07月31日
中国で10億人規模の個人情報が流出 2022年07月06日

Western Digitalのオンラインストア顧客情報を含むデータベース、不正アクセス者が取得

著者: nagazou

2023年5月10日 06:02

headless 曰く、

Western Digital は 5 日、3 月に確認されたネットワークセキュリティインシデントで不正アクセス者が顧客の個人情報を含むデータベースを取得していたことが判明したと発表した (プレスリリース、 Neowin の記事、 Ghacks の記事)。

このセキュリティインシデントは同社のシステム多数に権限のない第三者が不正アクセスしたというもので、3 月 26 日に確認され、4 月 2 日に公表されていた。当初は具体的な被害が確認されておらず、外部のセキュリティおよびフォレンジック専門家の協力により調査を進めていることや、念のため同社のシステムやサービスをオフラインにしたことなどの発表のみだった。My Cloud 製品の障害発生もこれに伴うものだったようだ。

不正に取得されたことが判明したのはオンラインストアの顧客情報を含むデータベースで、顧客の名前や請求先・送付先住所、電子メールアドレスや電話番号のほか、パスワードのソルト付きハッシュやクレジットカード番号の一部が暗号化された状態で含まれていたという。同社は影響を受けた顧客に個別連絡しているとのこと。

このほか、同社の情報とされるものが公開されている件については調査を進めており、同社のコンシューマー製品に関連するデジタル署名技術が不正に用いられる可能性については必要に応じて証明書を無効にすることが可能な状態であると説明している。

現在のところ日本向けサイトに本件の記載はないが、オンラインストアはダウンしている。英語版プレスリリースによれば、オンラインストアのアカウントアクセスは 5 月 15 日の週に復旧予定とのことだ。

すべて読む | セキュリティセクション | セキュリティ | ストレージ | 情報漏洩 |

関連ストーリー：
Western Digital、障害発生中のMy Cloud製品でローカルアクセスの使用方法を公開 2023年04月11日
ソースネクストから最大12万人超の個人情報漏洩のおそれ 2023年02月15日
eBay に出品された米軍の生体識別デバイス、2,600 人以上のデータが含まれていた 2022年12月30日
熊本県立大学で情報漏洩、2要素認証の例外扱いを突いたか？ 2022年12月16日
3.5″HDDはV字曲げ破壊、2.5″HDD/SSDは押しつぶし破壊。1個約6秒で連続破壊可能 2022年12月12日
杉並区職員が住基ネット閲覧で情報漏洩。暴力団関与か 2022年12月07日

福井市、URLを推測し公開前の人事異動情報を閲覧した職員を戒告の懲戒処分

著者: nagazou

2023年5月2日 14:04

福井市は28日、公開前の職員人事異動のファイルを不正に閲覧し、その閲覧方法を別の職員にも伝えたとして30歳代男性職員を戒告の懲戒処分にした。人事異動情報のファイルは職員専用の掲示板に保存されていたもので、ファイルは未公開の状態だったが、URLの一部を書き換えると閲覧できたという（読売新聞）。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
PR TIMES、公開状態になっていた発表前のプレスリリース情報が「不正アクセス」を受けたと発表 2021年07月10日
トルネを含むPS3ゲーム/アプリのトロフィー情報は一般公開されている 2011年11月09日

Adobe が他社サービスでの認証情報流出を受けてパスワードをリセットしたとの報道

著者: headless

2023年4月8日 11:39

報じているのは HackRead のみのようだが、Adobe がユーザーのパスワードをリセットしたと通知しているそうだ (HackRead の記事)。

Adobe から届いたというメッセージによると、Adobe ID で使われているものと同じユーザー名またはパスワードが他のオンラインサービスのデータ侵害で流出した可能性があるということのようだ。Adobe はウェブサイトごとに異なる認証情報を使うべきだと述べ、この機会に Adobe ID と同じユーザー名やパスワードを使用しているすべてのウェブサイトでパスワードを変更することを推奨している。さらにセキュリティ強化を図りたい場合は Adobe の二要素認証を有効化すればいいとも述べている。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
全国280の大規模病院でIDとパスワード使い回しが判明。サイバー攻撃被害の一因に 2023年03月31日
SpyCloud が 2022 年に発見した流出認証情報は 7 億 2,150 万件 2023年03月17日
(自分を含む) 誰かの名前、パスワードに含めたことある？ 2022年11月20日
Uber や Rockstar Games への不正アクセスは「多要素認証疲れ」攻撃だった 2022年10月01日
AppleとGoogle、Microsoft、パスワードレスサインイン標準のサポート拡大を共同発表 2022年05月08日
米国とカナダでの調査、最近90日以内にパスワードを忘れてパスワードリセットが必要になったとの回答が78％ 2019年12月19日
Slack、2015年の不正アクセスに関連してアカウントの約1％でパスワードをリセット 2019年07月21日
再利用や共有、パターンなどが複雑なパスワードを台無しにする 2017年03月14日
IoTバービー人形でさまざまなセキュリティ上の問題が見つかる 2015年12月06日

SpyCloud が 2022 年に発見した流出認証情報は 7 億 2,150 万件

著者: nagazou

2023年3月17日 08:03

headless 曰く、

2023 SpyCloud Identity Exposure Report によると、SpyCloud の研究者は 2022 年に流出した認証情報 7 億 2,150 万件を発見したそうだ (ニュースリリース、 Neowin の記事)。

2020 年にマルウェアに感染したデバイスは 2,200 万台が見つかっており、SpyCloud が確認した認証情報 7 億 2,150 万件の半数はボットネットから来たものだという。また、220 億台近いデバイスでは多要素認証のバイパスに利用可能なセッションクッキーが取得可能な状態にあり、14 億人分のフルネームや 3 億 3,200 万件の社会保障番号、6,700 万件のクレジットカード番号などを含む 86 億件の個人を特定可能な情報 (PII) が入手可能だったとのこと。

パスワードの安全性は相変わらず向上しておらず、2022 年にパスワードが流出したユーザーの 72 % が過去に流出したパスワードを再利用しており、話題の人物や出来事、製品等に関連するパスワードの人気も高い。SpyCloudが復元したパスワードのうち 327,000 件以上が歌手テイラー・スウィフトやバッド・バニーに関連する語句を含み、Netflix や Hulu に関連する語句を含むパスワードは 261,000 件以上、英国のエリザベス女王逝去や王室に関連する語句を含むパスワードも 167,000 件以上に上る。

政府関連組織では、昨年 2 件以上のパスワードが流出したユーザーのパスワード再利用率が 61 % に上り、最も多いパスワードは「123456」「12345678」「password」だったそうだ。政府関連組織は企業と比べてマルウェア感染デバイスによるリスクが高く、全世界の政府関連組織から 2022 年に流出した認証情報の 74 % 近くはマルウェアが送り出したものだったとのことだ。

すべて読む | セキュリティセクション | セキュリティ | 政府 | 情報漏洩 | プライバシ |

関連ストーリー：
パスワードに『,』を含めておくと、流出時の被害確率が下がるかもしれない 2022年10月14日
マルウェアEmotetに盗み出された400万件以上の認証情報、Have I been pwned?で確認可能に 2021年05月01日
米ルイジアナ州地裁、ランサムウェア攻撃を受けて裁判所文書が流出 2020年09月14日
Google Playでダウンロード1億回を超えるアプリにマルウェアが混入 2019年08月30日
マカフィーが2018年10大セキュリティ事件を発表 2018年12月13日

ソースネクストから最大12万人超の個人情報漏洩のおそれ

著者: nagazou

2023年2月15日 12:51

ソースネクストは14日、同社サイトが第三者による不正アクセスを受け、利用者のクレジットカード情報11万2132件と個人情報12万982件が漏えいした可能性があると発表した。同社が依託した調査機関によると、2022年11月15日~2023年1月17日の期間にクレジットカード情報を登録した顧客のクレジットカード情報および個人情報が漏えい、一部に関してはクレジットカード情報が不正利用された可能性があるとしている（ソースネクストリリース、ケータイ Watch、NHK）。

漏えいした可能性のあるクレジットカード関連情報としては「カード名義人名」「クレジットカード番号」「有効期限」「セキュリティコード」が、個人情報に関しては「氏名」「メールアドレス」「郵便番号」「住所」「電話番号」となっている。パスワードの漏えいはないとしている。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

関連ストーリー：
eBay に出品された米軍の生体識別デバイス、2,600 人以上のデータが含まれていた 2022年12月30日
熊本県立大学で情報漏洩、2要素認証の例外扱いを突いたか？ 2022年12月16日
杉並区職員が住基ネット閲覧で情報漏洩。暴力団関与か 2022年12月07日
管理者用の非公開URLを契約者へメールで送信してしまい情報漏洩、マニュライフ生命保険 2022年10月28日

米全国労働関係委員会、Apple のリーク防止ポリシーや重役の発言が労働者の権利を制限していると判断

著者: nagazou

2023年2月3日 17:02

headless 曰く、

米全国労働関係委員会(NLRB)がAppleのリーク防止ポリシーや重役の発言について、違法であるとの結論に達したそうだ (Bloomberg の記事、 Ars Technica の記事、 9to5Mac の記事、 Mac Rumors の記事)。

本件は 2021 年に Apple CEO のティム・クック氏がリーカーへの不快感を従業員と共有した内部メモなどを証拠として元従業員 2 名が NLRB に訴えたものだ。これについて NLRB 法務顧問室は Apple の就業規則や機密保持規定などが従業員の共同行動を起こす権利を制限すると判断。さらに、重役の発言等は全国労働関係法に違反するという。これについて Apple が和解しなければ、NLRB が Apple を提訴することになるとのことだ。

すべて読む | アップルセクション | アップル | アメリカ合衆国 | 政府 | 情報漏洩 |

関連ストーリー：
iPhone SE4は発売されない？ 2023年01月10日
ティム・クック氏がリーカーへの不快感を共有する Apple の内部メモがリーク 2021年09月26日