経産省、安全保障に関わる技術流出防止へ

2022年5月6日 13:25

NHKの記事によれば、経済産業省は、日本の安全保障関連の技術流出を防止するための規制強化を1日から開始したそうだ。企業や大学などが対象となる。内容としては、年間所得の25％以上を外国政府などから受け取っている研究者などに重要な技術や情報を提供する場合、事前に国の許可が必要になるという。また日本国内の行動について海外から指示を受けている人なども規制の対象になるとしている（NHK）。

インド政府、企業や政府機関にサイバーインシデント認識後 6 時間以内の報告義務付けへ

スラド

著者: headless

2022年5月3日 15:25

インド政府のサイバーセキュリティ当局 CERT-In は 4 月 28 日、サイバーインシデント発生を認識後 6 時間以内に報告するよう企業や政府組織に義務付ける指令を発表した (プレスリリース、 The Register の記事、指令: PDF)。

報告が義務付けられるインシデントとしては、不正アクセスやマルウェア攻撃、DoS/DDoS、データ侵害、データ漏洩、ウェブサイト改変、偽モバイルアプリなど20 種類が挙げられている。報告には電子メールや電話、Fax が利用できる。6 時間以内の報告義務付けは EU (72 時間) や米国 (24 時間) と比べて大幅に短い。CERT-In ウェブサイトのインシデント報告に関するページには報告書式の PDF も用意されているが、書式で挙げられているインシデントの種類は報告が義務付けられるインシデントの種類とは異なる。指令は 60 日後に発効する。

すべて読む | セキュリティセクション | セキュリティ | バグ | 政府 | 情報漏洩 | ワーム |

情報公開請求でコロナ患者管理システムの認証情報が漏洩、大阪市

スラド

著者: nagazou

2022年5月2日 12:00

大阪市で市民からの情報公開請求が行われた結果、「新型コロナウイルス感染者等情報把握・管理システム（HER-SYS）」の認証情報がそのまま記載されてしまい、ログインに必要なIDやパスワードなどが外部に流出していたことが判明した（Security NEXT、産経新聞）。

情報公開請求に応じて交付した資料に本来行うべきマスキングしていなかったことが原因だった。4月20日に請求者に対して資料を送付したところ、問題が指摘されて発覚。遡って調査したところ、3月24日や4月20日に行われた情報公開請求を行った6人に対しても、マスキングなしで情報公開していたことが判明したとしている。同市ではすでにパスワードを変更し、新たなIDを厚生労働省に申請しているとのこと。

GitHubから非公開リポジトリなどのデータが流出

スラド

著者: nagazou

2022年4月22日 13:03

GitHubは15日、OAuthインテグレーターであるHerokuとTravis-CIからに発行されたOAuthユーザートークンが盗まれ、リポジトリのコンテンツを不正にダウンロードされたと発表した。GitHub側は影響を受けたアプリケーションに対し、関連するすべてのOAuthユーザートークンを失効させ、加えてユーザーへ通知する措置を講じたとしている（GitHubブログ、窓の杜）。

同社は13日から14日にかけてHerokuとTravis-CIに調査結果を開示した。これらのアプリを使用していた数十の組織が被害に遭った可能性があるという。4月15日段階で影響を受けるOAuthアプリケーションは以下の通りとなっている。

Heroku Dashboard（ID: 145909）
Heroku Dashboard（ID: 628778）
Heroku Dashboard - Preview（ID: 313468）
Heroku Dashboard - Classic（ID: 363831）
Travis CI（ID: 9216）

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

ネスレ曰く、Anonymous がリークだと主張する 10 GB のデータはダミーデータ

スラド

著者: headless

2022年3月26日 19:21

Anonymous がネスレのビジネスに関連するデータ 10 GB をリークしたと主張しているが、ネスレ側はダミーデータだと反論しているそうだ (The Register の記事、 @LatestAnonPress のツイート、 @YourAnonTV のツイート)。

Anonymous がサンプルとして公開しているデータは展開後のサイズが 50 MB 強のもので、example.com ドメインの電子メールアドレスなど明らかなダミーデータが目立つ。ネスレが The Register に語ったところによれば、データは本物でも機密情報でもなく、誤って同社の Web サイトで公開してしまったものだという。

同社のビジネステスト用 Web サイトで短時間の誤公開事故が発生したのは 2 月。大半は一般に入手可能なランダム化された B2B 用テストデータであり、事故後の調査では特に追加の対応は必要ないと判断しているとのこと。そのため、ネスレがサイバー攻撃を受けて情報を流出させたという主張は根拠のないものとのことだ。

ネスレはロシアに対する国際的な制裁措置に従うこと、ロシアでの宣伝活動や投資、輸出入を停止することなどを発表する一方、人道的に必要な食糧供給を継続すると述べたため、Anonymous のターゲットになったようだ。

同社はその後、ロシアで近い将来の間に利益を上げるつもりはなく、利益は人道支援組織にすべて寄付すると述べているが、ロシアでの人道的に必要な食料供給は同社の価値観に合うものだとして、継続する意思を示している。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

日本の医療Q&Aサイト、公開状態のAmazon S3バケットからおよそ30GBの顧客データが流出

スラド

著者: headless

2022年3月26日 11:39

日本の医療 Q&A サイト Doctors Me がおよそ 30 GB の顧客データを格納した Amazon S3 バケットを誤設定で公開状態にしていたと、発見したセキュリティ情報サイトの SafetyDetectives が報告している (SafetyDetectives のニュース記事、 HackRead の記事)。

Doctors Me は匿名でヘルスケアの専門家に直接相談できる Q&A サイトで、症状の写真をアップロードすることも可能だ。公開状態になっていたバケットは発見時にも更新が続けられており、ファイル 30 万点以上、患者の写真およそ 12,000 点が含まれていたという。写真は相談者が本人や家族の症状を撮影したもので、顔面を撮影したものは子供の写真が中心とのこと。少数ではあるが、動物の写真も含まれていたそうだ。SafetyDetectives ではこのトラブルで患者のプライバシーが侵害されただけでなく、脅迫の材料となる可能性や、未成年者のプライベートな写真が捕食者間で流通する可能性を指摘している。

SafetyDetectives は昨年 11 月 11 日に問題を発見し、同日 Doctors Me に通知している。反応がなかったのか、11 月 21 日には Doctors Me に加えて JPCERT/CC にも連絡。以降は JPCERT/CC を通じたやり取りになり、今年 1 月 11 日になって AWS に連絡したと通知を受けたとのことだ。

Bing や Cortana のものとされる約 37 GB のソースコードが流出

スラド

著者: nagazou

2022年3月23日 16:07

headless 曰く、

ハッキンググループ Lapsus$ がおよそ 37 GB のソースコードを Microsoft 内部の Azure DevOps サーバーから盗み出したものだと主張し、Torrent ファイルを放流したそうだ (Bleeping Computer の記事、 Cyber Kendra の記事、 The Register の記事、 Neowin の記事)。

Lapsus$ は先週末、本件に関連するスクリーンショットを Telegram に投稿し、その後削除した。Microsoft はLapsus$の主張を認識しており、調査を進めていると述べていた。

ソースコードは 7-ZIP アーカイブに格納されており、圧縮状態で約 9 GB。250 以上のプロジェクトが含まれるという。Lapsus$ の Torrent ファイル放流時のコメントによれば、Bing のソースコードの 90 % 、Bing Maps と Cortana のソースコードの 45 % を含むとのことだ。

ロシアが中国に食糧支援を要請。日本ではロシア軍の横流し品が購入報告

スラド

著者: nagazou

2022年3月23日 07:03

ロシアがウクライナに侵略行為を行ってからひと月が経過しようとしている。当初は大軍を率いたロシア軍が短期間でウクライナを制圧するとする見方が強かったが、実際にはウクライナ軍は苦しいながらも持ちこたえている状況にある。予想が外れた原因に関しては、ウクライナ側の強い防衛意識と西側の武器支援のほか、ロシア軍側の通信網の不備（ミリレポ[動画]）や士気の低さなどいろいろな要因が指摘されている。また前線部隊に食料や弾薬補給がうまく回っていないと言った問題も指摘されている。このためロシア側は中国に食糧の支援を求めたとの報道も出ている（、Yahoo!ニュース個人）。

一方でロシア軍の食料（軍用レーション）がAmazonなどで販売され（その1、その2）、日本国内などに出回っており、購入者の報告などがネット上にアップされている。Twitterで上げられた購入者の報告によれば2週間程度で届いたとのこと（クソ聖杯マイスター斑鳩氏のツイート、まとめぶ）。購入者によれば梱包も厳重な状態で送られてきたという。一方で前線の兵士には賞味期限切れのレーションが出回っているなどの報告も出ている（海外の反応）。

ドコモとソフトバンクに平文パスワード提示機能が存在。セキュリティ上の懸念が指摘される

スラド

著者: nagazou

2022年3月18日 12:00

ITmediaの記事によると、携帯通信キャリアの一部が自社のアカウントサービスの利用者に対してパスワードを平文で提示する機能が用意されているとして、記事ではセキュリティ上の懸念を提示している（ITmedia）。

記事によると、この機能はユーザーがログイン画面のパスワードを忘れたときのための機能で、電話番号や契約時に設定した4桁のネットワーク暗証番号などを入力すると、パスワードが掲示されるものとなっている。記事ではこうした事業者側がパスワードを平文保持している状況は、不正アクセスなどで情報漏えいが起きた際のリスクになるとしている。

掲示されるのはドコモ系列がdアカウントはポータル内で、ソフトバンク系列はSMSでの通知となっている。KDDI（au/UQ mobile）と、楽天モバイルの会員サービスに関しては、本人確認の後にパスワードの通知を行う方法ではなく、新規パスワードの設定画面に移行する方式であるとしている。またソフトバンクにおいては、パスワードを暗号化せず平文のまま保管していることも確認できたとしている。

ノートPCの内蔵マイクは、offでもFM変調された音声を漏洩させている？

スラド

著者: nagazou

2022年3月9日 18:06

JJ5RBD / Code10-4 ﾌｧｲﾌｧｲﾓﾃﾞ完さんのツイートによると、ノートPCの動作中に発生するノイズに、PCの再生サウンドや周囲音が輻射される現象が発生していたそうだ。同氏が広帯域受信機でサーチしてたところ、自宅の室内音声がそのまま飛び込んできたことから分かったものだそうだ。PCの電源を落とすとノイズが消えることから、自宅PCが発生源であることはほぼ間違いないという（JJ5RBD / Code10-4 ﾌｧｲﾌｧｲﾓﾃﾞ完さんのツイート）。

スペアナの近くでノイズ源となっているPCを動作させ、ノイズ輻射の様子を観測してみたところ、PCから出力されたサウンドだけでなく、周囲の音声も拾っていることが判明した。このほか様々な調査が行われているが、その結果、音声は内蔵マイクで拾った信号が変調されており、デバイスマネージャーからサウンドデバイスやマイク系列を無効化しても止まらなかったという。最終的には内蔵カメラ関連のケーブルを外すというハードウェア的な対策を取って解決しているようだ。

Samsung、データ侵害にあっていたことを認める

スラド

著者: nagazou

2022年3月8日 17:05

headless 曰く、

ハッキンググループ Lapsus$ が Samsung のものだと主張する 190 GB 近いデータの Torrentファイルを週末に放流していたが、Samsung は攻撃者を特定せずにデータ侵害を認めたそうだ (HackRead の記事、 The Verge の記事、 9to5Google の記事、 SamMobile の記事)。

Samsung は社内データに対するセキュリティ侵害があったことを認め、セキュリティシステムを強化したと述べている。Samsung の初期の分析によれば、侵害されたのは Galaxy デバイスの動作に関連するソースコードで、消費者や従業員の個人情報は含まれないという。そのため、現時点では業務や顧客に影響しないとみているとのことだ。

Lapsus$ は NVIDIA のデータも侵害し、ドライバーのオープンソース化などを要求して注目されていた。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

露国営メディアが勝利記事を誤公開。ウクライナが押収した作戦資料では占領まで15日間と見積

スラド

著者: nagazou

2022年3月4日 12:10

ロシアによるウクライナへの侵略でロシア側は攻撃開始後、短時間で勝利を見込んでいたようだ。国営ロシア通信は2月26日午前8時1分、ウェブサイト上にロシアが勝利したことを前提とする記事を誤って公開してしまったそうだ。内容はロシアと新たな世界の到来とするもので、ウクライナ以外の占領地域の拡大も示唆するような内容となっている。事前に用意していた記事が設定ミスでアップロードされたものと見られている。記事は短時間で削除されたものの、Internet ArchiveのWayback Machineに補足されていたという。タレコミにもあるが、内容に関しては山形浩生氏が日本語訳を掲載している（毎日新聞、クーリエ・ジャポン[会員記事]）。

またウクライナ国防省が発表した内容によると、ロシア軍から押収した占領作戦資料から、ロシア側はウクライナ占領までの期間を15日間と見積もっていたらしいことが分かった。この資料はロシアの黒海艦隊所属部隊から押収したものだという。航空万能論GFの記事によれば、作戦命令書、コールサイン表、指揮管制用コード表、秘密コード表、人員リスト表などを入手したとしている。今回の作戦の承認に関しては2022年1月18日付で承認されていたことも判明しているとのこと（ウクライナ国防省情報局の公式Facebook、航空万能論GF）。

maia 曰く、

ロシアのウクライナ侵攻成功後（計画では2月26日）にロシア国営RIAノーボスチ通信で出すはずだった予定稿では「ロシアと新たな世界の到来」）の翻訳を紹介する。ウズベキスタンのスプートニクのサイトにまだ載ってたのと、パキスタンのメディアに英訳が載ってたというから、原文はまあ本物だろう。読むと、その世界観に疲れるかもしれないが、興味深いのは間違いない。一読と、できれば分析をお勧めする。原文は署名記事だが、プーチン大統領の意を体したものと見做してよいだろう。
「ロシアの攻勢と新世界」（山形浩生訳）

NVIDIAがサイバー攻撃を受ける。NVIDIA側もサイバー攻撃で反撃とも

スラド

著者: nagazou

2022年3月2日 13:03

あるAnonymous Coward 曰く、

南米で活動する脅迫グループ「LAPSU$」が、「NVIDIAに侵入して1TB以上の独自データを盗み出した」と主張しているという。また興味深いことに、同グループは「NVIDIA側の反撃により同グループのマシンがランサムウェアに侵された」とも主張しているとのこと。なおタイミング的にウクライナ情勢の影響も疑われたが、本件は特に関係なさそうだとも報じられている（NVIDIA、ZDNet、Engadget、Bloomberg）。

なお1日時点ではNVIDIA側は正式なリリースを出していない。Engadgetの記事によれば、メールや開発者用ツールが使用できなくなる問題が2月25日に発生したものの復旧済みであるという。NVIDIAの広報担当者はZDNetに対し、業務には影響を及ぼしていないと話していた模様。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

メタップスペイメントの不正アクセスでクレカ情報46万件が流出。AKB48関連や日本赤十字社などが影響

スラド

著者: nagazou

2022年3月2日 12:00

クレジットカード基盤を提供するメタップスペイメントは28日、同社のデータベースから最大46万件のクレジットカード情報が流出したと発表した。外部からの不正アクセスを受けて流出したとされている（メタップスペイメントリリース、ITmedia）。

流出した情報は2021年8月2日から22年1月25日までに決済で使われたクレジットカードの番号、有効期限、セキュリティコードなど46万395件。21年5月6日から22年1月25日までに実行された決済情報593件と加盟店情報38件であるとしている。同社の調査によれば、サーバへの不正ログイン、SQLインジェクション、バックドアの設置などさまざまな攻撃を受けていたことが判明しているという。今年の1月の段階で社内システムへの不正ログインやバックドアの存在などが確認されたとしている。

この影響で多くのサービスに影響が出ている。ITmediaの記事によれば、28日までにメタップスペイメントのクレジット決済サービス「トークン方式」や「イベントペイ」「会費ペイ」などを利用していた企業が謝罪のプレスリリースを公開する事態になっている。目立つものとしてAKB48グループチケットセンター、福山市スポーツ協会、日本赤十字社などの名前が挙がっている（ITmedia）。

あるAnonymous Coward 曰く、

攻撃の内容もサーバへの不正ログイン、SQLインジェクション、バックドアの設置など多岐にわたるようでいろいろ酷そうだ。カードの情報漏洩対策としては自前で実装せずに決済代行会社を使うのがまず定石だが、その決済代行会社がこれでは事態は深刻である。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

Amazonのほしい物リストから電話番号が漏洩する？

スラド

著者: nagazou

2022年2月18日 17:03

インフラエンジニアの「糟屋もふ」さんが、Amazonの公開中の欲しいものリストを元に、電話番号を取得できる手法が存在しているとの警告を行っている。セキュリティ上の問題があるため具体的な手法については触れられていないものの、同氏はセキュリティ資格保持者として、この手法が自アカで再現可能なことを確認したという。「ほしい物リスト」では、以前にも「本名が公開される問題」や「本名とメールアドレスがセットで公開される」といった問題が起きており、リストを公開中の方は警戒して置いた方が良いだろう（糟屋もふさんのツイート）。

なお同氏によると、発見された手法ではリストに「第三者の出品の商品の発送同意書」にチェックがなされていない場合でも機能するとのこと。問題に関してはすでにAmazon側に連絡済みだとしている。同氏はAmazon側で対策が行われるまで、欲しいものリストを非公開にすることを推奨している。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

日能研、不正アクセスによるメールアドレス流出の可能性。顧客の指摘で気がつく

スラド

著者: nagazou

2022年1月31日 14:32

学習塾大手の日能研が29日、同社のWebサイトのサーバーにSQLインジェクションを利用した外部からの不正アクセスが発生。保護者などのメールアドレス最大28万106件が、外部に流出した可能性があると発表した。脆弱性が発生した場所は特定しており、すでに対策を施しているとしている。共同通信などの報道によると迷惑メールが届いているとの相談を受け調査したところ、2021年12月上旬に不正アクセスを受けていたことが判明したという。同社では流出したメールアドレスがフィッシング詐欺などに使われる恐れがあるとして対象アドレスにメールで通知したとしている（日能研、共同通信、NHK）。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

セキュリティ企業ラック、元従業員がフリマで売却した私物HDD内に取引先情報が

スラド

著者: nagazou

2022年1月19日 13:31

情報セキュリティ企業ラックで、元社員の私物HDDが第三者に売却され、社内文書や個人情報が流出しかけるというトラブルが生じていたと報じられている。HDDを購入した人物が善意で同社に通報したため情報の流出はなかったとのこと。このHDDは元社員がビジネス文書等を個人所有のハードディスクに保管、その後HDDをフリーマーケットで売却していたという。中には業務上のビジネス文書約2000件と最大約1000件の個人情報が含まれていたとしている。同社は「情報流出事案」として14日午後、情報流出の経緯と概要についての発表を行っている（ラックの発表、朝日新聞その1、朝日新聞その2）。

あるAnonymous Coward 曰く、

ラック子会社のネットエージェント（現在はラックに吸収合併）がブロードリンクの事件を受けて「意外と難しいデータ消去」と題したブログを公開していたのは何とも皮肉な話である。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

中国軍指示で日本製セキュリティーソフトを購入しようとした元留学生に逮捕状

スラド

著者: nagazou

2021年12月29日 17:30

中国籍の元留学生男性が偽名でウイルス対策ソフト購入しようとしたとして、警視庁が逮捕状を取ったそうだ。警視庁が逮捕状を取ったのは、元留学生の王建彬容疑者。同容疑者は、非実在の日本企業の名前を名乗り、日本製の企業向けセキュリティ対策ソフトを不正に購入しようとした模様。なお同容疑者はすでに中国に帰国済みとのこと（読売新聞、産経新聞、TBS NEWS）。

読売新聞によると、中国人民解放軍のサイバー攻撃部隊「61419部隊」に所属する妻が「国に貢献しなさい」「国が守ってくれる」などとSNSやメールなどを通じて指示を出していたそうだ。企業向けのセキュリティ対策ソフトを研究し、日本企業のシステムの脆弱性を把握することが目的だとされている。

追記 by headless: 容疑は詐欺未遂とのこと。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

LINE Pay、国内外13万人分のキャンペーン参加情報を誤ってGitHubにアップロード

スラド

著者: nagazou

2021年12月7日 16:09

LINE Payは6日、同社のキャンペーン参加に関わる情報が閲覧できる状態になっていたと発表した。流出したのはLINE Payユーザー13万3484アカウント分の情報。流出の内訳としては、ユーザーの識別子、加盟店管理番号、キャンペーン情報（キャンペーンコード等）となっている。このうちキャンペーン情報には、キャンペーン名称、決済金額、決済日時が含まれている可能性がある。氏名・住所・電話番号・メールアドレス・クレジットカード番号・銀行口座番号等の情報は含まれていないそうだ。委託先であるグループ会社の従業員が「GitHub」上にアップロードしたものだとしている。すでに情報は削除され、該当ユーザーに関しては個別に連絡済みだとしている（LINE Payのプレスリリース）。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

練馬区の中学校で生徒からSNSパスワードを収集し問題に。区教委が作成したリーフレットが発端

スラド

著者: nagazou

2021年12月7日 12:00

東京都練馬区の中学校で、生徒に対してSNSのパスワードを書かせた書類を提出させようとしていたことが分かった。こうなった原因は複数あるが、最大の理由は東京都練馬区教委会が配布したSNS利用の啓発用のリーフレットに、SNSのパスワードを記入する欄があったこと。もともと区教委はパスワードを収集する意図があったが、パンフレットの内容がTwitterで出回り、人権侵害であるなどの指摘がでて炎上。その結果、区教委はパンフレットはそのままで提出時にパスワードを記載しない状態で提出してもらうと通知していたようだ（練馬区リリース[PDF]、弁護士ドットコム、毎日新聞）。

しかし練馬区内の中学校1校がこの通知を生徒や各家庭に伝達し忘れた。それによりパスワードが記載されたリーフレットが家庭に届き、学校側が生徒のパスワードを知り得る状態になってしまったという。練馬区のリリースによれば12月2日時点で276名からリーフレットの提出を受けていたとしている。このため区では3日、各家庭にあてて謝罪文を送付したとしている。

リーディングビュー