リーディングビュー

ブラジルの裁判所｢充電器なしでiPhoneを売ったAppleは罰金27億円ね｣

2022年12月24日 16:35

Photo:ヤマダユウス型2022年10月17日の記事を編集して再掲載しています9月、ブラジル法務省は、Appleに対しブラジル国内で充電器なしでのiPhone販売を停止するよう命令。1200万レアル（約3億300万円）の罰金をAppleに課していました。が、今度は、罰金約27億円。充電器なしiPhoneについてAppelを訴えたのは、ブラジルの消費者や市民などで結成した団体。ブラジル裁判所の判決

LastPass への不正アクセス、攻撃者はパスワード保管庫のバックアップをコピー可能な状態だった

スラド

著者: headless

2022年12月24日 15:25

LastPass が不正アクセスに関するブログ記事を更新し、11 月に発表した 2 回目の不正アクセスでは攻撃者が顧客のパスワード保管庫のバックアップをコピー可能な状態であったことを明らかにした (LastPass のブログ記事、 The Verge の記事、 Ars Technica の記事、 The Register の記事)。

8 月に発生した最初の不正アクセスでは LastPass 開発環境の一部が侵入を受けた。開発環境に顧客データは含まれないが、ソースコードと技術情報の一部が奪われ、2 回目の攻撃で LastPass 従業員をターゲットにしてクラウドストレージサービスへのアクセスと復号に必要な鍵の窃取に用いられている。

これにより、攻撃者は LastPass 顧客のアカウント情報やメタデータにアクセス可能だったほか、暗号化されたストレージコンテナからパスワード保管庫のバックアップをコピー可能だったという。なお、攻撃者が暗号化されていないクレジットカード情報にアクセスした痕跡はないとのこと。

保管庫はプロプライエタリなバイナリ形式でウェブサイトの URL など暗号化しないデータと、ウェブサイトのユーザー名とパスワード、フォーム入力データなどの暗号化されたデータが格納されている。暗号化されたフィールドには 256-bit AES 暗号化が用いられており、顧客だけが知るマスターパスワードでのみ復号できる。

これにより、顧客が LastPass のベストプラクティスに従ったマスターパスワードを作成して使用している限り、現在一般に利用可能なパスワードクラック技術では数百万年を要するため何もする必要はないという。ただし、弱いマスターパスワードを使用していた場合は各ウェブサイトでパスワードを変更してリスクを最小化することを検討すべきとのことだ。