September 21, 2023 – IoT OT Security News

オンライン詐欺の動向：偽 Eショップ／性的脅迫／偽技術サポートが急増 – Norton 調査

2023/09/21 InfoSecurity — Norton の最新データによると、2023年上半期において、デスクトップを標的とする脅威の 75％を、人為的な操作を伴う詐欺が占めているという。コンシューマ向けのセキュリティ・ベンダーである Norton は、Consumer Cyber Safety Pulse レポートを作成するために、トラッキング／ブロックにおける独自のデータを分析した。その結果として、2023年上半期に 15億件以上の脅威をブロックしたが、そこに含まれるものとして、800万件のフィッシング試行および、350万件のデスクトップ脅威、約 33,000件のモバイル脅威があると主張している。

GitHub の Passkeys サポートが始動：Apple／Google／Microsoft と協調

GitHub passkeys generally available for passwordless sign-ins

2023/09/21 BleepingComputer −−− 9月21日に GitHub が公開した Passkeys により、すべてのユーザーのパスワードレス・ログインが、このプラットフォーム全体で利用可能となり、フィッシングからアカウントが保護されるようになる。Passkeys は、コンピューター／タブレット／スマートフォンなどのデバイスにリンクされ、フィッシング攻撃からの保護や、不正アクセスの阻止を提供することで、データ漏洩のリスクを低減するという重要な役割を担っている。また、Passkeys は、暗証番号や指紋／顔認証などの生体認証といった、個人識別方法を通じて、アプリやオンライン・サービスへのアクセスを容易にする。

ボット攻撃による利益損失は平均で $86m：2020年の $33.3m から急増

Bot Attack Costs Double to $86m Annually

2023/09/21 InfoSecurity — Netacea の最新レポートによると、悪質なボット攻撃が原因となり、一般的な米国／英国の企業は、毎年オンライン収益の 4％以上を失っているという。Netacea の Death by a Billion Bots レポートは、米国と英国におけるツアー／エンターテインメント／eコマース／金融サービス／電気通信の各分野において、440社を対象とした調査から作成された。なお、それらの企業におけるオンライン収益は、平均で $1.9bn にいたるという。

Apple が３件のゼロデイ脆弱性を FIX：攻撃での積極的な悪用を確認

Apple emergency updates fix 3 new zero-days exploited in attacks

2023/09/21 BleepingComputer — Apple は、iPhone／Mac ユーザーを狙った攻撃で悪用された、新たなゼロデイ脆弱性３件を修正する緊急セキュリティアップデートをリリースした。今年に入ってから修正されたゼロデイ脆弱性は、これで合計16件となった。２つのバグは、WebKit ブラウザエンジンに存在する CVE-2023-41993 と、Security フレームワークに存在する CVE-2023-41991 である。悪意のアプリを用いた署名検証の回避や、細工された Web ページを介した任意のコード実行にいたる恐れがあるという。

Atlassian の４件の脆弱性が FIX：Jira／Confluence／Bitbucket／Bamboo に影響

Atlassian Security Updates Patch High-Severity Vulnerabilities

2023/09/21 SecurityWeek — 今週に Atlassian が発表したのは、Jira／Confluence／Bitbucket／Bamboo に影響を及ぼす、４つの深刻な脆弱性に対するパッチである。これらの問題の中で最も深刻なものは、Bitbucket に存在するリモートコード実行 (RCE) の脆弱性 CVE-2023-22513 (CVSS:8.5) であり、機密性／完全性／可用性に影響を及ぼす可能性があるという。なお、認証されている攻撃者であれば、ユーザーとの対話を必要とせずに悪用できると、Atlassian は説明している。この問題は、Bitbucket バージョン 8.0.0 で発生したものであり、バージョン 8.14.0 までの大半のリリースに影響する。また、Bitbucket のバージョン 8.9.5／8.10.5／8.11.4／8.12.2／8.13.1.8.14.0 および、それ以降のバージョンでは、この脆弱性に対処している。