LastPass にまた不正アクセス、今回は顧客情報の一部にもアクセスされた可能性

2022年12月5日 14:28

headless 曰く、

LastPass は 11 月 30 日、傘下の GoTo と共用しているサードパーティのクラウドストレージが不正アクセスを受けたと発表した (The LastPass Blog の記事、 Neowin の記事、 The Register の記事、 HackRead の記事)。

LastPass は 8 月にも開発環境が不正アクセスの被害にあっているが、開発環境に顧客のデータは含まれず、プロダクション環境とも物理的に分離しているので顧客のデータは安全だと説明していた。今回の不正アクセスは攻撃者が 8 月に入手した情報を用いており、顧客情報の特定の部分へアクセス可能だったとみられるという。ただし、LastPass では顧客のパスワード保管庫のマスターパスワードを保持していないため、パスワードは安全だとの説明を繰り返している。LastPass はクラウドストレージサービスでの通常とは異なる活動を検知後すぐにサイバーセキュリティ企業 Mandiant と協力して調査を開始し、捜査機関に通報したとのことだ。

すべて読む | ITセクション | セキュリティ | クラウド |

あるReddit投稿者がNetflixの使用済キャッシュサーバ入手、262TBのストレージ装備

スラド

著者: nagazou

2022年11月1日 15:09

海外掲示板のRedditで活動している「PoisonWaffle3」というユーザーが、2013年製造のNetflixのキャッシュサーバー本体を手に入れたことが話題となっている。このキャッシュサーバーは「Open Connect Appliance（OCA）」と呼ばれ、Netflixのコンテンツ配信ネットワークの一部として運用されていたという。昔のNetflix製サーバーの情報は少ないそうで中身が注目されていたようだ（（VICE、Ars Technica）。

PoisonWaffle3氏がユニットの内部を調べたところ、SuperMicro製マザーボード、CPUにはIntel Xeon (E5 2650L v2)、64GBのDDR3 RAM、36個の7.2TB Western Digital製ハードディスク (7200 RPM)、6個のマザーボードがあったとされる。このほかのパーツとしては、500GB のMicron製SSD、750ワットの電源装置が2台、および4ポート10ギガビットイーサネットNICカードが1枚。PoisonWaffle3氏によると、サーバーには合計で「262TB のストレージ」が含まれていたという。

LINEのAIスピーカー販売終了。BTスピーカー利用にはサービス終了前に設定が必要

スラド

著者: nagazou

2022年11月1日 13:24

LINEは10月26日、同社のAIアシスタント「CLOVA」を搭載したスマートスピーカー「CLOVAシリーズ」の販売を10月いっぱいで終了すると発表した。販売が終了するのは、「CLOVA WAVE」「CLOVA Friends Dock」「CLOVA Friends」「CLOVA Friends Mini」「CLOVA Desk」の5種類。この販売終了と合わせて音声操作サービス「CLOVA Assistant」の提供も2023年3月30日に終了するという。同社はCLOVA Assistantの提供終了後はBluetoothスピーカーとして、引き続き利用可能だとしている。ただしBluetoothスピーカーとして利用するためには、サービス終了前に設定が必要で、サービス終了後は設定ができなくなるとしている（LINE CLOVA公式ブログ、ITmedia）。

大手ECで使用中の入力フォームプログラムが改ざん、3800件以上のクレカ情報などが流出

スラド

著者: nagazou

2022年10月28日 17:06

東京港区のIT企業、ショーケースは25日、同社が提供する電子商取引（EC）サイト向け入力フォームのプログラムが外部から改ざんされ、少なくとも3800件以上のクレジットカード番号やセキュリティーコードが流出した可能性があることが分かった。同社の入力フォームはエービーシー・マートなど複数の企業に導入されているとのこと（ショーケースリリース[PDF]、NHK、共同通信）。

pongchang 曰く、

「エービーシー・マート」のサイトで、ことし7月24日から26日までに入力フォームを使った利用者のおよそ2300件のクレジットカードの番号やセキュリティコードなどが流失したおそれがあるとされていた。

入力フォームを提供していたショーケースの報道発表(2022年10月25日)によると、「2022年7月26日顧客から、「フォームアシスト」のソースコードに不審な記述がある旨の指摘を受け、直ちに、当社において運営するサービスのソースコードを調査いたしました。調査の結果、冒頭に記載しましたとおり、対象サービスにおいてシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ソースコードの書き換えがなされ、一部のお取引先様のウェブサイト等において入力された情報が外部へ流出した可能性があることが判明いたしました。」としている。

ABCマートも「既に弊社ではショーケース社のサービスの切り離しを行っております。また、第三者調査機関によるフォレンジック調査を実施し、当該サービス以外の理由による個人情報の漏えいが無いことおよび本サイトのプログラム改ざん、サイト実行環境への不正アクセスが存在しないことを確認いたしました。上記を踏まえ、本サイトでのクレジットカード決済機能は、本日2022年10月25日再開予定となりますが正式な日程につきましては、あらためまして本サイトにてご案内いたします。」としている。

NHKの報道では、「ユーキャン・富士フイルムイメージングシステムズ・出光クレジット」もこのショーケース社のフォームアシストの影響を受けたとしている。

デジタル庁、2022 年度のガバメントクラウド対象クラウドサービスを発表

スラド

著者: headless

2022年10月8日 15:25

miishika 曰く、

デジタル庁は 10 月 3 日、2022 年度のガバメントクラウド (Gov-Cloud) 対象クラウドサービスを発表した (PDF)。

前年度から対象となっている Amazon Web Services と Google Cloud Platform に加え、Microsoft Azure と Oracle Cloud Infrastructure が新たに選定された。

ちなみに、AC0x01 のコメントによれば、

日本企業は技術要件を満たせなかったのかまたはそれ以外の理由か不明ですが、応札しなかったとのことでした。

とのこと。

スラドに聞け！クラウドサービスの設定ミスでコスト超過はある？

スラド

著者: headless

2022年9月11日 15:45

あるAnonymous Coward 曰く、

AWS や Azure などのクラウドサービスを使うことが当たり前になっているが、ラック社では設定ミスで請求がとんでもない金額になったという (LAC WATCH の記事、 Cloud USER の記事)。

エンジニアが自由に試せる検証環境で発生したトラブルで、JSON 形式の Okta ログを Lambda でダウンロードして S3 に配置し、配置を検知して CSV に変換するものだが、ルール設定の考慮漏れで変換後の CSV を検知して変換を繰り返す無限ループ状態に陥った。本来は 1 日 1 回行うはずだった処理が 1 分に 160 万回以上発生したことで約 300 万円の請求が確定してしまったという。

検索すると設定ミスで高額請求の顛末が散見されるがスラド諸氏のやらかし事例はあるだろうか。

すべて読む | ITセクション | クラウド | スラドに聞け！ |

GoogleとOracleのCloudサーバー、英国の記録的な暑さで冷却障害に

スラド

著者: nagazou

2022年7月21日 14:04

英国では記録的な熱波に襲われており、この影響により様々な被害が出ているようだ。19日には中部コニングスビーで40.3℃を観測。観測史上初の40℃超えとなった。このほかの34地域でもこれまでの最高気温を上回ったことが報じられている（ITmedia、BBC、読売新聞、アクシオン、日経新聞、GIZMODO、CNN）。

この影響によりGoogleとOracleのクラウドサービスに障害が発生、サーバーなどが一時的に利用できなくなったとしている。Google Cloudはサーバーが過熱により損傷するのを防ぐため、電源を落として対応したという。Google Cloudの障害に関しては20日12時45分ごろに解決したと発表している。またロンドン東部ウェニントンでは大火災が発生、ロンドン・ルートン空港は18日に高温の影響で滑走路の一部が隆起、修繕が必要になった事などが報じられている。また英国最大のブライズ・ノートン空軍基地でも滑走路が溶けたことが報じられている。

すべて読む | ITセクション | テクノロジー | 地球 | 英国 | クラウド | IT |

梅雨、まだ明けてないんじゃないの？

スラド

著者: nagazou

2022年7月19日 13:28

6月27日に梅雨明けが発表されたにもかかわらず、東京では12日以降は雨が降り続いた。九州北部と九州南部には、7月15日午前に線状降水帯に関する事前情報が初めて出されたほか、九州では19日にかけて災害危険度の高い線状降水帯の発生も予測されている。これ以外にも全国的に大気の状態が不安定な状態が続いている。ネットなどでも「気象庁の梅雨明け宣言は絶対早すぎただろ」とする意見が散見される状況にある（SmartFLASH）。

そこでFLASH編集部が気象庁「大気海洋部気候情報課」に「梅雨、まだ明けてないんじゃないの?」と質問したところ、「この状況が長引くようであれば、『梅雨明けの時期の見直し』ということも、あるかもしれません」との回答があったという。気象庁が発表している梅雨明けは、あくまで「速報値」でしかなく、確定は9月に入ってからになるため、その見通しは「申し上げられません」との回答だったそうだ。

すべて読む | ITセクション | 地球 | クラウド | IT | 政府 |

アメリカのクラウド専門職、平均収入は年18万2千ドル

スラド

著者: nagazou

2022年6月28日 18:02

あるAnonymous Coward 曰く、

オライリー社の調査によると、アメリカのクラウドの専門家（cloud professionals）の平均年収は昨年から4.3%伸びて18万2千ドル。15万ドル-17.5万ドルの層が最多。年収7万5千ドル（約1000万円）以下はグラフで見た感じでは5％にも満たないようだ（O'Reilly 2022年のクラウド給与調査）。額面だけで単純に比較できるものではないが、それにしても…という感はある。

調査はメールで募集して得た1408件の回答から年齢・居住地・未回答項目ありなどを弾いた778件をまとめたもので、平均年齢は47歳。43％がプログラマ、33％がアーキテクト、14％がエグゼクティブとのこと。

すべて読む | ITセクション | クラウド | IT |

CloudFlareeで障害発生、pixivなど多数のサイトで一時500エラーに

スラド

著者: nagazou

2022年6月21日 17:07

「CloudFlare」で障害が発生した影響で、様々なサービスに影響が出ていたようだ。障害が発生したのは日本時間の21日15時43分ごろで、システムステータスの表示によれば16時20分に修正対策がおこなわれた模様。16時12分前後に回復したサービスが多いようだ。影響があったのは「pixiv」「Discord」「DeepL」などのサービスのほか、さまざまなWebサービスでアクセスできないトラブルが生じていたとしている（Cloudflare System Status、ケータイ Watch、ケータイ Watchその2）。

あるAnonymous Coward 曰く、

未確定ですが、cloudflareを使用してるサービスがあちこちで500エラーで死んでます。
ステータスは現状OK　https://www.cloudflarestatus.com/
ですが、公式サイトもnginxの500 Internal Server Errorで死んでます。
公式サイト　https://www.cloudflare.com/ja-jp/

すべて読む | ITセクション | クラウド | IT |

ウクライナ政府のデータはAWSで保全されていた。4か月で1万TB超

スラド

著者: nagazou

2022年6月16日 15:13

実質的な戦争状態にあるロシアとウクライナ。そのロシアの攻撃直後から、ウクライナ政府が国家の活動継続に必要となるデータのクラウド移行を進めていたことが判明した。AWSが10日に公開したブログに経緯等が紹介されている（AWSのブログ、ITmedia）。

それによると、攻撃が開始された2月24日から米AWSと協力してデータの移転を始めていたという。6月10日までに移転されたデータは27省庁、18大学などのデータ計10PB（1万TB）以上に及ぶという。今後も増加する予定であるとしている。ウクライナでは政府などの所有する重要なデータは、国内サーバーに保存するよう法律で定めていた。しかし、ロシア側の攻撃が始まる約1週間ほど前に法律を改正。国家のデータ保全に向けて、クラウド移行を可能にしていたとしている。

すべて読む | ITセクション | 軍事 | セキュリティ | クラウド | 政治 | 政府 |

富士通の政府認定クラウドの不正アクセス問題、メール本文なども盗まれていた？

スラド

著者: nagazou

2022年6月7日 14:04

5月に富士通クラウドテクノロジーズの提供するCloudサービス「FJcloud-V」および「ニフクラ」において、不正アクセスがあったことが報告されていた。発表当時はサービス提供基盤で利用する一部のロードバランサ―に見つかった脆弱性が原因とされていたが、5月31日に以前の報告とは異なる問題が起きていたことが発表された（ニフクラリリース、ITmedia）。

新たに発見された問題は、脆弱性の見つかっていたロードバランサーを、復号後の通信パケットが通過していたことが確認されたという。復号された状態でロードバランサーを通過していたデータは、メール配信サービス、お客様からのお問合せやお申込みの各種受付システム、契約管理システムなどが含まれており、データの内容には、メール本文・メールアドレス・会社名・担当者名などが含まれている可能性があるとしている。

富士通の政府認定クラウド”に不正アクセスが発生。認証情報など盗まれた可能性

スラド

著者: nagazou

2022年5月21日 08:12

政府のクラウドサービス認定制度に登録されている富士通クラウドサービスに、不正アクセスがあったことが報じられている。パブリッククラウド「ニフクラ」「FJcloud-V」を運営する富士通クラウドテクノロジーズが16日、不正アクセスを受けたことを発表した。ロードバランサーの脆弱性を突かれ、一部ユーザーのデータや認証情報を盗まれた可能性があるとしている（富士通クラウドテクノロジーズリリース、ITmedia）。

月額600円で容量無制限バックアップの「Dropbox Backup」日本で提供開始

スラド

著者: nagazou

2022年4月20日 13:06

Dropbox Japanが14日からバックアップサービス「Dropbox Backup」を開始したそうだ。このDropbox Backuが安価かつ条件付きで容量無制限でバックアップができる内容であることから話題になっている。Dropbox Backupでは、PC1台と外部HDD1台のデータを、30日間自動でクラウド上に保存が可能。新規加入の場合年額7200円（1カ月当たり600円）もしくは月額750円という価格で利用できる。一度削除・編集したデータも、30日前までの状態であれば復元・巻き戻しできるとしている。ただ条件付きとはいえ、この手の容量無制限のストレージサービスは長続きしない傾向にあることから、Twitterでは「すぐ無制限じゃなくなりそう」などの声も出ている模様（Dropbox Japanリリース、ITmedia、GIZMODO、窓の杜）。

すべて読む | ITセクション | クラウド | IT |

オフライン時に検知率が大幅に低下する Microsoft Defender

スラド

著者: headless

2022年4月16日 19:55

Microsoft Defender は近年大幅に性能が向上しているが、オフライン時には検知率が大幅に低下するようだ (AV-Comparatives の記事、 Neowin の記事、 Windows Central の記事)。

AV-Comparatives の 3 月分テストで Microsoft Defender は最高評価の Advanced+ を得ているが、オフラインでの検知率は 60.3 % にとどまる。これはテスト対象となった 18 製品中 16 位の検知率であり、Microsoft Defender よりも低いのは Panda Free Antivirus (40.6 %) と Trend Micro Internet Security (36.1 %)のみ。逆にオンラインでの検知率は98.8%で、NortonLifeLock Norton 360 Deluxe (99.6 %) と Avast Free (99.5 %)、AVG Free (99.5 %)、McAfee Total Protection (99.3 %) に次ぐ 5 番目の検知率となっている。オンラインに比べてオフラインでの検知率が大幅に低いのはクラウド依存が強いことを示し、AV-Compratives はクラウドに接続できない場合に大幅に検知率が低下することをベンダーがユーザーに警告すべきだと述べている。

AV-Comparatives のトータルの評価は検知率ではなく、保護率と誤検知数により決定する。検知率はマルウェアを実行前に検知した割合を示すのに対し、保護率は最終的にシステムの変更を防いだ割合を示す。Microsoft Defender のオンラインでの保護率は 99.96 % で 11 位だが、100 % で 1 位タイの NortonLifeLock と Panda、98.61 % で最下位の Trend Micro を除き、15 製品が 99 % 台後半で並んでおり、大きな差はみられない。なお、Panda は誤検知数が 96 と多く、Trend Micro とともに最低評価の「Tested」となった。

政府、外交・防衛など国家機密の管理は国産プライベートクラウドを使用する方針へ

スラド

著者: nagazou

2022年2月10日 13:03

読売新聞の記事によると、政府はネット上で国家機密にあたるデータをやりとりする場合、日本企業のクラウドサービスを採用する方針を固めたとしている。政府はクラウド上で行政データをオンラインで共有する仕組みを進めている（読売新聞）。

日本では政府調達の対象になるクラウドサービスの認定制度「政府情報システムのためのセキュリティ評価制度」（ISMAP）が用意されている。ISMAPに登録されているリスト上では、AWSやGoogle系などを含む国内外の様々なクラウドサービスが提供されているが、重要度の高い国家機密に関しては国内企業系のサービスを使うことにしたという。これには機密情報の海外流出を防ぐとともに、日本企業の技術開発を後押しする目的があるという。

国内クラウドでの利用が想定されているのは、3段階の機密情報のうち、防衛装備や外交交渉の資料を含む最高レベルにあたる「機密性3」や、流出した場合国民の権利を侵害する恐れがある「機密性2」の一部があるという。NTTデータや富士通、NECのほか、新興企業の参画も念頭にある模様。4月にも公募を始め2022年度内に企業を選定、23年度の運用開始を目指すとしている。

厚労省の感染者等情報把握・管理支援システム、感染者急増でアクセス集中が発生する事態に

スラド

著者: nagazou

2022年1月24日 13:02

厚生労働省は20日、「新型コロナウイルス感染者等情報把握・管理支援システム（HER-SYS）」で入力ができない不具合が同日に発生したと発表した。不具合が生じたのは午後1時半から6時半ごろの期間で、東京都、大阪府、神奈川県などの一部地域からHER-SYSにログインできなかったり、データ入力などができなかったりする不具合が生じていたという。ここ最近のオミクロン株による感染者急増を受け、感染者のデータ入力が増えアクセス集中が起きたのが原因であるとしている。Med IT TechによるとシステムはマイクロソフトのAzure上で構築されていることから、サーバー増強で不具合は解消されたとしている（日経クロステック、Med IT Tech）。

すべて読む | ITセクション | クラウド | 医療 | IT | 政府 |

17日にさくらインターネットの複数のサービスで障害。現在は復旧

スラド

著者: nagazou

2022年1月18日 13:31

さくらインターネットの提供するレンタルサーバとクラウドサービスなどで17日、障害が発生したことが伝えられている。障害は17日10時28分から翌18日0時35分まで発生、現在はすべて解消しているそうだ。障害はさくらのレンタルサーバの一部とさくらのレンタルサーバ・データベースの一部に発生。サーバに接続できなくなる障害が発生した（[さくらのセキュアモバイルコネクト]障害発生のお知らせおよび復旧のお知らせ、[さくらのレンタルサーバ]障害発生のお知らせ、[さくらのクラウド]障害発生のお知らせおよび復旧のお知らせ、[さくらのVPS for Windows]障害発生のお知らせおよび復旧のお知らせ、[さくらのレンタルサーバ/さくらのクラウド/さくらのセキュアモバイルコネクト/sakura.io]障害発生のお知らせ、ITmedia）。

IoTプラットフォームである「さくらのセキュアモバイルコネクト」と「sakura.io」の一部につながらなかったほか、同社サービスの「メンテナンス・障害情報」にもつながりにくくなったタイミングもあったようだ。メンテナンス・障害情報に関しては17日の午後3時頃に復旧した模様だが、すべての障害の回復までには18日の0時35分までかかっている。原因に関しては一部サービスに関してはネットワークメンテナンスの影響で障害が発生、サーバ・アプライアンスが電源停止状態となったとする告知が出ている。

すべて読む | ITセクション | クラウド | IT |

東急電鉄ら、乗車客のスマホからBluetooth信号を取得、混雑状況を可視化する実証実験

スラド

著者: nagazou

2022年1月13日 06:05

東急電鉄と阪急電鉄、東京工業大学は11日、乗客のスマートフォンのBluetooth信号を取得し、列車内の混雑状況を可視化する実証実験を1月から実施することを発表した。東京工業大学が開発した「列車内の混雑度解析技術」の精度を検証する目的だそうだ。混雑情報を可視化して乗車前の利用客にリアルタイムで提供することで混雑の分散を図る意図があるらしい（プレスリリース、TECH+）。

このシステムでは、乗車前の客のスマートフォンが発するBluetooth信号を駅に設置した「混雑解析装置」で取得、合わせて顔を識別できない「高速度カメラ」で撮影した混雑状況などのデータを組み合わせ、これらのデータをクラウド上に置かれたAIが混雑状況を解析するとしている。

韓国で電子接種証明書の運用初日、アクセス集中でアプリエラーが発生して混乱する事態に

スラド

著者: nagazou

2021年12月17日 16:24

韓国では13日から不特定多数の人が使用する施設に出入りする場合、COVID-19のワクチンやPCR検査の陰性を証明する「防疫パス」制度が開始された。そのための電子予防接種証明書「COOV（クーヴ）」の運用が同日から開始されたが、アクセスが集中し障害が発生、運用できない状況になったようだ。最終的には初日から運用できない事態となった。スポーツソウル日本版の記事によれば、ランチタイムに近い11時40分頃からアクセスが集中して接続が困難になったという（スポーツソウル日本版、WoW!Korea）。

COOVアプリに障害が発生したことにより、COOVと連動して接種履歴を確認できるNAVERやカカオなどのアプリでもQRコードが開かず、パスを認証できなくなったとしている。同国では飲食店やカフェなどの施設に入場するときに防疫パス指針を守る義務があり、違反した場合は罰金を支払う必要があるとしている。COOVを運用する疾病管理庁は謝罪するとともに、13日は防疫パス指針を適用しないことを発表している（聯合ニュース）。

あるAnonymous Coward 曰く、

こういうのって日本だけじゃないのね。

リーディングビュー