Expired US Cyber Law Puts Data Sharing and Threat Response at Risk
2025/10/02 InfoSecurity — 米国政府が公表したのは、サイバー脅威インテリジェンスの共有において、法的責任から企業を保護する重要な米国法が、政府予算をめぐる議会の膠着状態の中で合意に至らず失効したという事実である。CISA 2015 (2015 Cybersecurity Information Sharing Act) は、Automated Indicator Sharing Program (AIS) と呼ばれる任意のプログラムを通じて、サイバー脅威データを交換する際に、企業を訴訟から保護するものであった。この法律は、米国議会が期限前に延長を決議しない限り、9月30日に失効すると予想されていた。
Continue reading “米国法 CISA 2015 は存続できるのか？議会の膠着が引き起こすインテリジェンス共有の危機とは？”A Court Ruling on Bug Bounties Just Made the Internet Less Safe
2025/07/25 InfoSecurity — いまの時代の、サイバー脅威の頻度／規模／巧妙さが増大する現状において、官民の連携は強固な防衛手段である。しかし、United States v. Sullivan インシデントに関するU.S. Court of Appeals for the Ninth Circuit の最近の判決により、バグ報奨金プログラムを介した、責任のある脆弱性情報の開示のフレームワークが崩壊していく可能性が生じている。このフレームワークは、最も有効に機能している、官民連携の一つなのである。
Continue reading “バグバウンティを法的に規制する判決：本来の意図とは異なる判例がもたらす懸念とは？”Google Pays $1.375 Billion to Texas Over Unauthorized Tracking and Biometric Data Collection
2025/05/10 TheHackerNews — Google がテキサス州と合意したのは、ユーザーの同意を得ることなく、個人位置情報を追跡し、顔認識データを保持したとして提起された、２件の訴訟を和解するために $1.375 billion を支払うことだ。この支払い額は、他州からの同様の訴訟において、Google が支払った罰金を大きく上回っている。2022年11月に Google は、40州の連合に対して $391 million を支払い、また、2023年12月にはインディアナ州およびワシントン州に $29.5 million を、そして、同年 9月にはカリフォルニア州との和解で $93 million を支払っている。
Continue reading “Google とテキサス州が 14億ドルの罰金で合意：不正な位置追跡と生体認証データの収集”Top NSC official wants to normalize offensive hacking as tool of US might
2025/05/01 nextgov — SAN FRANCISCO ― 国家安全保障会議 (NSC：National Security Council) サイバー・セキュリティ担当トップとして、初めての重要な議論に臨んだ Alexei Bulazel は、米国の国家権力の手段としての攻撃的なサイバー活動の利用を常態化させたいと述べた。ドナルド・トランプ大統領の１期目において NSC サイバー政策局長を務めた Alexei Bulazel は、全米の重要インフラシステムを標的とする、中国をはじめとする敵対勢力からのサイバー攻撃に対して “同等の対応” を講じることが可能だと、サンフランシスコで開催された RSAC Conference でサイバー・セキュリティ専門家たちに述べた。
Continue reading “トランプ政権の安全保障会議：攻撃的ハッキングの可能性について述べる – RSAC 2025”CISA Clarifies CVE Program’s Stability Amid Funding Concerns
2025/04/24 SecurityOnline — CVE (Common Vulnerabilities and Exposures) プログラムの不安定さを懸念する、最近のメディア報道を受けるかたちで CISA は、最も重要なサイバー・セキュリティ・インフラの一つである CVE を維持するコミットメントを、強い声明で再確認している。
Continue reading “CVE プログラムの今後：CISA が再確認する継続的なサポートの約束とは？”CVE Foundation Launched to Secure Vulnerability Tracking
2025/04/16 SecurityOnline — サイバー・セキュリティ分野における重大な転換となる、CVE (Common Vulnerabilities and Exposures) Foundation の設立が正式に発表された。この動きは、脆弱性を追跡するためのグローバルなシステムである、CVE (Common Vulnerabilities and Exposures) プログラムの独立性と安定性を、長期的に確保するという目標の現れである。この発表は、MITRE による CVE プログラム運営に対する資金提供を、米国政府 終了するという内部文書が流出した翌日に行われた。つまり、1999年から 25年間も続いた、政府による支援が打ち切られることが明らかになったわけである。
Continue reading “CVE プログラムの未来を担う CVE Foundation が発足：グローバルな脆弱性管理体制へ”MITRE warns that funding for critical CVE program expires today
2025/04/16 BleepingComputer — 米国政府による CVE (Common Vulnerabilities and Exposures) および CWE (Common Weakness Enumeration) プログラムへの資金提供が、2025年4月16日で終了することを、MITRE の VP である Yosry Barsoum が発表した。それにより、世界中のサイバー・セキュリティ業界に、広範な混乱が生じる可能性があると、彼は警告している。
Continue reading “CVE プログラムに対する政府資金が終了：MITRE が懸念するセキュリティ分野への影響”NVD Revamps Operations as Vulnerability Reporting Surges
2025/04/11 InfoSecurity — 内部の混乱と脆弱性のバックログの増加に揺れた激動の１年を経て、米国 NIST (National Institute of Standards and Technology) 内の NVD (National Vulnerability Database) チームはようやく安定を取り戻した。しかし、いまの NVD は、新たな課題に直面している。つまり、報告される脆弱性の急増により膨れ上がったバックログが、再建されたチームの努力を上回る勢いを見せているのだ。
Continue reading “NIST NVD が運用体制を刷新：CVE バックログの解消に向けた改革とは？”NIST Defers Pre-2018 CVEs to Tackle Growing Vulnerability Backlog
2025/04/08 InfoSecurity — NIST (National Institute of Standards and Technology) の正式発表によると、2018年1月1日以前に公開された、すべての CVE に対して、NVD 上で “Deferred” (保留) としてマークされることが決定したようだ。このステータスが付与された CVE は、CISA (Cybersecurity and Infrastructure Security Agency) の KEV (Known Exploited Vulnerabilities) に登録されない限り、詳細情報の更新の優先順位が下げられる。
Continue reading “古い脆弱性は後回しに？ NIST が CVE データ管理の方針転換を発表”CISA Cuts $10M in ISAC Funding & 100s of Employees
2025/03/14 DarkReading — 米国の Cybersecurity and Infrastructure Security Agency (CISA)は、数百人のレイオフと数百万ドルの予算削減により、これまでの短い歴史の中で最大の変革期を迎えている。同庁は、この２月に数百人の職員を解雇した。このレイオフの正確な規模は不明だが、推定では 300～400人程度であり、１月時点での 3,300人という職員数を考えると、かなりの大人数である。
Continue reading “CISA の予算が $10M もカット：ISAC の活動が行き詰まり従業員が解雇される”OWASP Unveils Top 10 Smart Contract Vulnerabilities for 2025
2025/01/20 SecurityOnline — Open Web Application Security Project (OWASP) は、2025年において Smart Contract に影響を与え得る、脆弱性の Top-10 リストを更新した。この包括的なドキュメントは、Smart Contract で最重視されるべき脆弱性を特定し、分散型エコシステムのリスクを軽減するためのロードマップを、開発者とセキュリティ専門家に提供するものである。
Continue reading “OWASP の Smart Contract 脆弱性 Top-10：2025年の傾向を探る”Cyber Insights 2025: Open Source and Software Supply Chain Security
2025/01/15 SecurityWeek — RapidFort の CEO である Mehran Farimani は、「これまでの 10年間を経て、Open Source Software (OSS) は主要な脅威ベクターとなった。その理由は、500万を超える OSS パッケージが提供されているという、きわめて単純な数字にある」と説明する。Endor Labs の Chief Security Advisor である Chris Hughes は、「これまでの 10年間で、OSS の採用は飛躍的に増加しており、減速の兆候は見られない。現時点において OSS は、最新のコードベースの約 90% に存在し、それらのコードベースの 70～80% を占めている」と指摘する。
Continue reading “2025年のセキュリティを考える：OSS とソフトウェア・サプライチェーンに注目すべきだ”FBI deleted Chinese malware from 4,200 US computers
2025/01/14 NextGov — 2025年1月14日 (火) に FBI が発表したのは、中国政府が支援するマルウェアに感染した、米国内のコンピューター 約4,200台 から悪意のソフトウェアを排除するために、数か月にわたるオペレーションを実施していたことである。この悪意のソフトウェアは、被害者のマシンに感染した後に、それらを不正に制御し、情報を盗むようにデザインされている。
Continue reading “FBI による法的措置：中国由来のマルウェア PlugX を 4,200台のコンピュータから削除”Trump 2.0 Portends Big Shift in Cybersecurity Policies
2024/12/24 DarkReading — 政治的な論評に飲み込まれる前の CISA は、トランプ第一次政権の下で 2018年に発足した、彼の功績である。しかし、その後の CISA は、政治からの汚い非難と、言論の自由という悪ふざけにより、保守派から除け者にされてしまった。現在の CISA は、存亡をかけたトランプ政権との政治的衝突に直面しており、米国連邦政府によるサイバー・セキュリティへの関与自体が、新たな政権の中に引きずり込まれるという懸念が生まれている。その結果として、サイバー・リスクが増加するという可能性があるが、その一方では、ビジネス／イノベーション／投資の機会が生まれるだろう。つまり、数多くのことが、同時に起こり得るのである。
Continue reading “トランプ 2.0 と CISA の確執を紐解く：何が継続され 何が変化するのだろう？”Hundreds of organizations were notified of potential Salt Typhoon compromise
2024/12/23 NextGov — 米国のサイバーセキュリティ当局は、中国が支援する大規模なサイバー侵入の発見と緩和に取り組み、同国内の通信インフラに押し寄せる困難な時期に備えている。ハッキング集である Salt Typhoon は、大手テレコムである Verizon／AT&T／Lumen／T-Mobile などを罠にかけ、数十人の重要政治家を標的にしているが、その中には、ドナルド・トランプ次期大統領とつながる人物も含まれているという。
Continue reading “Salt Typhoon による侵害：テレコムを含む数百の組織に広がる被害とは？”US Ban on TP-Link Routers More About Politics Than Exploitation Risk
2024/12/21 DarkReading — 米国での TP-Link 製品の販売禁止を、政府機関や議員たちが検討していると報じられている。そこから推測されるのは、いまの TP-Link はサイバー攻撃者に最も頻繁に悪用される脆弱性を持つ、ネットワーク・ベンダーのリストで上位にランクされているという状況である。しかし、それは事実ではない。この中国企業の製品は、消費者や中小企業に人気を博しており、CISA の KEV という既知の悪用脆弱性リストには、現時点で２件のセキュリティ問題が掲載されているに過ぎない。それに対して、Cisco は74件、Ivanti は 23件、D-Link は 20件という状況にある。
Continue reading “TP-Link Router がバンされる？ 米政府が懸念する広大なシェアと北京からの影響”FCC proposes updates to wiretap security standards following Chinese telecom hacks
2024/12/05 NextGov — 12月5日 (木) に FCC (Federal Communications Commission) のトップは、そのチーム・メンバーたちに草案を共有した。FCC の報道発表によると、この草案が採用された場合には、法執行機関からの盗聴要求に対応するシステムへの不正アクセスは、通信会社により直ちに保護されるよう義務付けられることになる。また、FCC の Jessica Rosenworcel 委員長も、別の規則制定案を同僚たちに提案している。この案が承認されると、同委員会から通信会社に対して、セキュリティ態勢に関する年次証明書の提出が義務付けられる。
Continue reading “米 FCC の提案：Salt Typhoon 攻撃に対応する盗聴セキュリティの基準”Tor needs 200 new WebTunnel bridges to fight censorship
2024/11/28 BleepingComputer — 各国政府の検閲に対抗する Tor プロジェクトは、この年末までに 200 個の新しい WebTunnel ブリッジを展開したいと訴え、ボランティアの支援が必要だと、プライバシー・コミュニティに対して緊急の呼びかけを行っている。現時点において、Tor プロジェクトは 143 個の WebTunnel ブリッジを運用している。それにより、検閲が厳しい地域のユーザーに回避の道筋を提供し、インターネット・アクセス制限や Web サイト・ブロックを無効化している。
Continue reading “Tor が必要とする 200 の WebTunnel ブリッジ：協力者に T シャツをプレゼント！”DOJ Proposes Breaking Up Google: Calls for Sale of Chrome Browser
2024/11/21 HackRead — Google に対する反トラスト訴訟において DOJ は、Chromeブラウザの売却および、検索処理の制限、そして、独占を制限するための事業再編などの、厳しい提案を行っている。米国司法省 (DOJ) は、Google に対する反トラスト訴訟の一環として、同社の事業構造とインターネットにおける役割を完全に変えると思われる、きわめて大きな変革を提案している。
Continue reading “Google は Chrome 事業を売却すべきだ：米司法省が唱える反トラスト訴訟とは？”CISA Director Jen Easterly to Step Down
2024/11/19 SecurityWeek — 11月19日 (火) に米国の CISA が発表したのは、2025年1月20日付けで Jen Easterly 長官と Nitin Natarajan 副長官が退任し、新政権によるリーダーシップ刷新への道を開くことである。CISA の広報担当者は、「トランプ新大統領が 1月20日正午に就任までに、バイデン・ハリス政権が任命した、すべての幹部は退任し、新たな体制への移行に、CISA は全力で取り組んでいく」と、SecurityWeek に対して、
Continue reading “CISA 長官 Jen Easterly の退任：トランプ新政権による人事の刷新”Trump 2.0 May Mean Fewer Cybersecurity Regs, Shift in Threats
2024/11/15 DarkReading — 次期大統領ドナルド・トランプの復帰と、閉鎖的な外交政策への転換という約束により、一連のサイバー脅威に対する新たな方針が生み出され、大半の産業分野における規制の緩和や、企業に優しい連邦プライバシー法の制定につながる可能性が高いと、サイバー・セキュリティと法律の専門家たちは指摘する。
Continue reading “トランプ 2.0：米政府のサイバー・セキュリティ施策の変化を予想する”Open-source software: A first attempt at organization after CRA
2024/11/05 HelpNetSecurity — オープンソース・ソフトウェア (OSS) 業界が開発しているのは、グローバル・インフラスのコアとなるソフトウェアであり、プロプライエタリ・ソフトウェアの大手企業の一部でさえ、クラウド・サービスに Linux サーバを採用しているほどである。しかし、Cyber Resilience Act により提起されたヨーロッパにおける問題などに対して、有機的な対応ができる代表団体の設立／組織化などは、これまでに一度も試みられていない。
Continue reading “オープンソース・ソフトウェアの行方：Cyber Resilience Act 発行後の組織化に注目”CrowdStrike outage: lessons for operational resilience
2024/10/31 FCA — 2024年7月に CrowdStrike が引き起こした、大規模な Windows BSOD 障害への取り組みにおいて、それぞれの企業が対策を実施し、将来のインシデントへ向けて準備している。それについて、FCA の主たる観察／見解／教訓を述べたい。
Continue reading “CrowdStrike の障害から学ぶ、金融業務レジリエンスの教訓 – 英 FCA”Dutch Police Disrupt Major Info Stealers RedLine and MetaStealer in Operation Magnus
2024/10/29 TheHackerNews —オランダ国家警察が発表したのは、２つの情報窃取ツールである RedLine／ MetaStealer を動かすインフラを、各国のパートナーと共にテイクダウンしたことだ。2024年10月28日に行われた、このテイクダウンは、コードネーム Operation Magnus の成果であり、国際的な法執行機関のタスクフォースに、米国／英国／ベルギー／ポルトガル／オーストラリアの当局が参加した結果でもある。
Continue reading “情報窃取マルウェア RedLine／MetaStealer：国際協調 Operation Magnus がテイクダウン”AWS Seizes Domains Used by Russia’s APT29
2024/10/25 SecurityWeek — 10月24日に Amazon Web Services (AWS) が発表したのは、ロシアの脅威グループである APT29 が、フィッシング攻撃に用いたドメインの凍結に関する情報である。同社によると、APT29 が使用していたドメインの一部は、AWS のドメインであるかのような名称であったという。しかし、その攻撃の標的は、Amazon や顧客ではなく政府機関／軍事組織／企業であり、Microsoft Remote Desktop を介した Windows 認証情報の収集が目的だった。
Continue reading “AWS がロシアの APT29 ドメインを凍結：政府／軍事などにフィッシング攻撃”Microsoft’s Take on Kernel Access and Safe Deployment Following CrowdStrike Incident
2024/10/10 SecurityWeek — 2024年7月に CrowdStrike が原因となり発生した、大規模な Windows BSOD 障害の影響が落ち着きを見せる中で、再発を防ぐ方策の在り方が、いまの論点となっている。Microsoft Virus Initiative (MVI) サミットが開催され、CrowdStrike も含まれるメンバーたちが集まり協議したが、この問題に単純な解決策はない。SecurityWeek は、Microsoft の VP enterprise／OS security である David Weston にインタビューを行い、Microsoft の現在の考え方と計画について聞き出した。
Continue reading “CrowdStrike 障害：Microsoft の計画は安全なカーネル・アクセスの推進にあるのか？”Automattic blocks WP Engine’s access to WordPress resources
2024/09/26 BleepingComputer — WordPress.org は、WP Engine によるリソースへのアクセスを禁止し、このプラットフォームがホストする Web サイトへのプラグイン更新の配信を停止し、その影響を受けるユーザーに対して、他のホスティング・プロバイダーを選択するよう促している。WordPress の主張は、WP Engine が自社の利益のために WordPress のコア機能を変更しているというものだ。さらに、その行動に対する批判がユーザーに届かないようにするために、何千ものサイトでダッシュボードのニュース・ウィジェットをブロックしたことへの対応だと述べている。
Continue reading “WordPress と WP Engine の対立：セキュリティの問題へと拡大している”House lawmakers question CrowdStrike exec over July IT outage
2024/09/24 NextGov — 9月24日 (火) に下院議員たちが CrowdStrike の幹部に対して、この７月に発生した大規模な世界規模の IT 障害について、また、顧客の OS コアと同社のサイバー・セキュリティ・ソリューションを結びつける必要性の有無について質問した。Homeland Security Committee のサイバー・セキュリティ小委員会で、この夏に約 850万台の Windows マシンに障害をもたらした、同社の欠陥のあるアップデートの導入を精査するという注目の公聴会で証言したのは、CrowdStrike の敵対者対策担当 VP の Adam Meyers である。
Continue reading “CrowdStrike に対する米下院の公聴会：何が起こったのか？ これから どうするのか？”Tor Project responded to claims that law enforcement can de-anonymize Tor users
2024/09/20 SecurityAffairs — ドイツの法執行機関が主張する、ユーザーの匿名性を剥奪する手法の考案に対して、Tor プロジェクトのメンテナたちが反応している。ドイツのメディアによると、同国の法執行機関は匿名化ネットワークに侵入し、少なくとも１件のケースで犯罪者の正体を暴いたという。このドイツの法執行機関は、独自のサーバを運用することで、数ヶ月にわたり Tor ネットワークを監視してきた。ARD のPanorama と STRG_F が実施した調査では、監視中に収集されたデータは統計的手法を介して処理され、Tor の匿名性を事実上破っていることが明らかになった。
Continue reading “Tor Project がピンチ？ ドイツの法執行機関が主張する匿名性剥奪の手法とは？”Post-CrowdStrike Fallout: Microsoft Redesigning EDR Vendor Access to Windows Kernel
2024/09/13 SecurityWeek — Microsoft が発表した計画は、CrowdStrike のアップデートの不具合により、7月に発生した世界的な IT 障害に対応するものであり、Windows カーネルとマルウェア対策製品との連携方法を再設計するものである。現時点においては、この再設計に関する技術的な詳細は公表されていない。しかし Microsoft は、セキュリティ・ベンダーが “outside of kernel mode” を活用するための、新たなプラットフォームとしての機能を Windows 11 に搭載し、ソフトウェアの信頼性を確保する予定だとしている。
Continue reading “CrowdStrike 障害の余波：Windows カーネル連携方法の再設計を Microsoft が発表”CrowdStrike exec to testify in September on last month’s global IT outage
2024/08/30 NextGov — 2024年7月に発生し、約850万台のWindowsコンピュータを麻痺させた、世界的な CrowdStrike の IT 障害について証言するために、同社の Counter Adversary Operations SVP である Adam Meyers が、この 9月に開催される米下院の委員会に出席する予定とのことだ。8月30日付けの下院国土安全保障委員会の発表によると、Meyers は 9月24日に証言するという。
Continue reading “CrowdStrike 障害：９月に開催される米下院の委員会で幹部が証言”The Dutch Data Protection Authority (DPA) has fined Uber a record €290M
2024/08/27 SecurityAffairs — オランダの Data Protection Authority (DPA) は、欧州のタクシー運転手の個人データを米国に転送する際に、EU のデータ保護規則 GPDR を遵守しなかったとして、Uberに €290 million ($324 million) の罰金を科した。同機関が発表したプレス・リリースには、「オランダの DPA は Uber に対して、€290 million を科す。我々が発見したのは、Uber が欧州のタクシー運転手の個人データを米国に転送し、これらの転送に関してデータを適切に保護しなかったことである。それは、一般データ保護規則 (GDPR) の重大な違反に該当する。すれに Uber は、違反の状況を収束させている」と記されている。
Continue reading “Uber の GDPR 違反に対して €290M の罰金：オランダの当局に対して控訴の構え”Microsoft Convenes Endpoint Security Firms Following CrowdStrike Incident
2024/08/27 SecurityWeek — Microsoft が発表したのは、2024年9月10日にワシントン州レッドモンドの本社で、Windows Endpoint Security Ecosystem Summit を開催することだ。先月に発生した CrowdStrike のインシデントを受けるかたちで、同サミットにはエンドポイント・セキュリティ企業や政府関係者が招待され、セキュリティと回復力の向上に関する議論が行われるという。
Continue reading “Microsoft が CrowdStrike 障害を受けてサミットを開催：エンドポイント・セキュリティ企業が参加”National Public Data Confirms Massive Breach
2024/08/19 DarkReading — データ・アグリゲーターである National Public Data (NPD) は、米国／英国／カナダに所在する一般的なインターネット・ユーザー数億人分の、個人情報記録が流出した可能性があることを最終的に認めた。フロリダ州コーラル・スプリングスを拠点とする NPD は、詳細を全く明らかにしない声明の中で、2024年4月に悪質な第三者の行為者が、NPD のデータベース内のデータにアクセスしたことについて、他の多くの企業が報告している内容を認めた。同社の説明によると、不特定多数の人々のフルネーム／電子メールアドレス／電話番号／社会保障番号／住所などが含まれるデータが、脅威アクターによりアクセスされたという。
Continue reading “National Public Data が認めた情報漏洩：そこから考えるべきこと 実践すべきこと”CrowdStrike’s Legal Pressures Mount, Could Blaze Path to Liability
2024/08/09 DarkReading — CrowdStrike のアップデートの失敗により、さまざまなビジネスが妨げられ、人々の旅行の計画が混乱し、フランスとイギリスでは放送局がオフラインになった。したがって、このインシデントには、ソフトウェアの責任という、別の目的地へとつながる可能性もある。
Continue reading “CrowdStrike への法的圧力の高まり：賠償責任への道が開かれる可能性は？”SEC ends probe into MOVEit attacks impacting 95 million people
2024/08/07 BleepingComputer — 米証券取引委員会 (SEC：Securities and Exchange Commission) は、MOVEit Transfer のゼロデイ欠陥が広範囲に悪用され、9,500万人以上のデータが流出した件の、Progress Software の対応に関する調査を終了した。Progress Software は、8月6日に SEC に提出した FORM 8-K の中で、このインシデントに関して SEC の執行部門は、いかなる強制措置も求めていないと述べている。
Continue reading “9500 万人に影響を与えたMOVEit Transfer ゼロデイ攻撃：SEC による調査が完了”Microsoft Hits Back at Delta After the Airline Said Last Month’s Tech Outage Cost It $500 Million
2024/08/06 SecurityWeek — Microsoft と CrowdStrike は共に、先月の技術障害で数千便の欠航を招いたと主張する、デルタ航空に対して応戦している。Microsoft の弁護士は、デルタ航空の主要な IT システムは、Microsoft Windows ではなく、他のテクノロジー企業がサービスを提供しているのだろうと述べている。
Continue reading “CrowdStrike 障害で $500M の損害を主張するデルタ航空：Microsoft が反撃”CrowdStrike Releases Root Cause Analysis of Falcon Sensor BSOD Crash
2024/08/06 SecurityWeek — 窮地に立たされている CrowdStrike が、8月6日に発表したのは、この7月に世界中の Windows システムを麻痺させたソフトウェア・アップデートのクラッシュに関する、原因分析レポート (External Technical Root Cause Analysis) である。そこで同社は、このインシデントの原因は、セキュリティの脆弱性とプロセスのギャップが重なったことだと説明している。
Continue reading “CrowdStrike 障害：Falcon の BSOD クラッシュ分析のレポートが公開”Crowdstrike: Delta Air Lines refused free help to resolve IT outage
2024/08/05 BleepingComputer — デルタ航空と CrowdStrike の法廷闘争が過熱している。CrowdStrike は、デルタ航空の長時間の IT 機能停止の原因は、災害復旧対策の不備にあると述べている。CrowdStrike の具体的な主張は、Windows デバイスを復旧させるための無償のオンサイト支援を、デルタ航空は拒否したというものだ。
Continue reading “Crowdstrike 障害：デルタ航空は障害解決のための無償支援を拒否していた？”Hackers attempt to sell the personal data of 3 billion people resulting from an April data breach
2024/08/04 SecurityAffairs — National Public Data と連携して活動する Jerico Pictures Inc が、2024年4月に発生したデータ流出インシデントにおいて、約 30億人の個人情報を流出させたと訴える、集団訴訟案が提出された。4月8日のことだが、USDoD と名乗る脅威アクターが、ダークウェブ・フォーラムで National Public Data のデータベースを販売すると発表した。USDoD は29億人分の個人データを販売するとし、$3,500,000 という価格を設定した。
Continue reading “National Public Data のデータ侵害：30億人の個人情報の流出と集団訴訟”CrowdStrike Faces Lawsuits From Customers, Investors
2024/07/31 SecurityWeek — CrowdStrike (NASDAQ: CRWD)は、大規模な世界的障害を引き起こしたインシデントの後に、投資家や顧客からの訴訟に直面しているが、同社は法的措置から免れる可能性が高いとの見方もある。CrowdStrike が十分なテストを行わずに、不適切なアップデートをプッシュしたことで、7月19日の時点で世界中の 850万台の Windowsデバイスが BSOD (Blue Screen of Death) のループに入った。
Continue reading “CrowdStrike を 巡る訴訟： Microsoft も巻き込む Delta や投資家たちの動きは？”Verizon to pay $16 million in TracFone data breach settlement
2024/07/23 BleepingComputer — Verizon Communications は、完全子会社である TracFone Wireless が 2021年の買収後に被った３件のデータ漏洩に対して、$1.6M の和解金を支払うことで、米連邦通信委員会 (FCC：Federal Communications Commission) と合意した。電気通信サービス・プロバイダーである TracFone は、Total by Verizon Wireless／Straight Talk／Walmart Family Mobile などを介してサービスを提供する企業である。
Continue reading “Verizon が $1.6 Million の和解金に合意：TracFone のデータ流出問題”$115 Million Payout: Oracle Ends User Data Privacy Battle
2024/07/23 SecurityOnline — Oracle は、ユーザーデータの不適切な使用に関する、２年間にわたる集団訴訟と和解するために、$115M を支払うことに合意した。この和解案により、影響を受けた 2億2,000万人のユーザーに対して補償が提供される。
Continue reading “Oracle が $115M の支払いに合意：データ・プライバシーの争いに終止符”CISA Urges Software Makers to Eliminate OS Command Injection Vulnerabilities
2024/07/11 InfoSecurity — 米国政府からソフトウェア・メーカーへの要請は、OS コマンド・インジェクションの脆弱性の解消に取り組むべきというものだ。この、Cybersecurity and Infrastructure Security Agency (CISA) とFBI の警告は、ネットワーク・エッジ・デバイスの OS コマンド・インジェクションの欠陥を悪用してユーザーを危険にさらすという、2024年に注目された複数の脅威アクターたちのキャンペーンを受けたものである。
Continue reading “CISA が要請する OS コマンド・インジェクション脆弱性の排除とは？ – Security by Design”Microsoft Admits Security Failings Allowed China to Access US Government Emails
2024/06/14 InfoSecurity — 2023年の夏に中国に支援されるハッカーが、米国政府高官の電子メールにアクセスしたインシデントについて、Microsoft の Brad Smith 社長はセキュリティ上の失策を認めた。2024年6月13日に開催された、米下院の国土安全保障委員会のメンバーへの証言で、Cyber Safety Review Board (CSRB) の報告書に記載された全ての問題に対して、Microsoft は “躊躇することなく” 責任を負うと、Smith 社長は述べている。
Continue reading “Microsoft が認めたセキュリティ施策の失敗：米政府委員会での Brad Smith 証言”Google’s Privacy Sandbox Accused of User Tracking by Austrian Non-Profit
2024/06/14 TheHackerNews — Google Chrome の Privacy Sandbox において、サードパーティのトラッキング・クッキーを非推奨にする計画だが、新たな問題にぶつかっている。この機能は、依然としてユーザー追跡のために使用できると、オーストリアのプライバシー非営利団体 noyb (none of your business) が指摘しているのだ。
Continue reading “Google の Privacy Sandbox：欧州の非営利団体 noyb から痛烈に批判される”2023/08/18 SecurityAffairs — ハッカー・グループである Anonymous は、#OpFukushima と呼ばれるオペレーションの一環として、日本の原発関連団体に対するサイバー攻撃を開始した。このキャンペーンは、福島原発の処理水を海に放出するという、日本政府の計画に抗議するために開始された。NTT Security Japan によると、IAEA (International Atomic Energy Agency) が報告書を公表した直後の 2023年7月から、攻撃が増加しているという。IAEA は、この処理水の放出は世界的な安全基準に適合していると、報告書で述べている。また、Anonymous は、東京電力の福島第一原子力発電所から処理水を放出することを、2021年に日本政府が正式に決定した後に、”ターゲット・リスト” を公開していたことも、NTT Security Japan は明らかにした。
Continue reading “Anonymous による #OpFukushima オペレーション：福島原発の汚染水放出の計画に抗議”Browser developers push back on Google’s “web DRM” WEI API
2023/07/29 BleepingComputer — Google が Chrome に対して、WEI (Web Environment Integrity) API を導入するという計画は、ユーザーの自由を制限し、オープン Web の基本原則を損なうものだと、インターネット・ソフトウェア開発者から激しい反発を受けている。Vivaldi／Brave／Firefox の従業員たちは、この Google が提案する標準に対して強い反対の姿勢を示しており、Web サイトの DRM (デジタル著作権管理) とまで言う人もいる。
Continue reading “Google が提案する WEI API：大反対する Vivaldi／Brave／Firefox などの言い分は？”New CVSS Version Unveiled Amid Rising Cyber Threats
2023/07/13 InfoSecurity — CVSS (Common Vulnerability Scoring System) の新バージョンである CVSS 4.0 が、Forum of Incident Response and Security Teams (FIRST) により 2023年7月13日に公開された。CVSSは、コンピュータ・システムのセキュリティ脆弱性の深刻度を評価するためのオープンな業界標準であり、組織における脆弱性管理プロセスの優先順位付けを支援するものだ。CVSS は、脆弱性の主要な特徴を捉え、その深刻度を示す数値スコアを作成する方法を提供している。
Continue reading “CVSS Version 4.0 が公開：CVSS 3.1 に対する批判への対処が目的”EU Court Deals Blow to Meta in German Data Case
2023/07/05 SecurityWeek — 7月4日 (火) に、EU の最高裁判所が Meta に対して不利な判決を下したことを受け、その子会社である Facebook／Instagram／WhatsApp は、ヨーロッパにおけるユーザー・データ収集方法の見直しを迫られるかもしれない。欧州司法裁判所 ECJ (European Court of Justice) は、ドイツの反カルテル監視団を支持する判決を下した。この反カルテル監視団は、反トラスト法を検討する際に、データ・プライバシー問題を取り込めると主張していた。この裁判の重要な争点のひとつは、Meta のプラットフォーム間に、データをリンクさせる能力があることだった。
Continue reading “Facebook／Instagram／WhatsApp に大きな打撃：データ収集に関して EU の最高裁判所が厳しい判決”
IoT OT Security News 
You must be logged in to post a comment.