DataBreach – IoT OT Security News

Firefox の Rabby を偽装する 13 種類の悪意のアドオン：ウォレットから機密情報を窃取

13 Malicious Rabby Firefox Extensions Steal Wallet Keyrings Before They Are Encrypted

2026/08/20 gbhackers — 大規模な Firefox アドオン・キャンペーンにより、Rabby Wallet を偽装する 13種類の悪意のアドオンが配布され、アプリケーションがウォレットのキーリング・データをローカルで暗号化する前に、そのデータを外部へ流出させている。この活動は、暫定的に “Offside Wallet Theft Factory” という名で追跡されている大規模なオペレーションの一部である。この作戦に関連付けられる 77種類の Firefox エクステンション ID により、クローン化されたコード／再利用されたインフラストラクチャ／欺瞞的な掲載情報／固定されたアドオン ID／バージョンの転用などが実行されている。

Stripe で発生した情報流出：659 件の加盟店 API 認証情報と決済関連データなどが露出

659 Stripe Merchant API Keys Leaked Online, Exposing 688,000 Customer Records

2026/08/19 gbhackers — 闇のデータ取引フォーラムで公開されたデータ流出により、659件の加盟店アカウントで使用される有効な Stripe API 認証情報と、約 35GB の顧客および決済関連データが露出した。この露出は、42カ国の加盟店にまたがる 688,363件とされる顧客レコードに影響を及ぼす。ただし、Stripe のインフラ自体が侵害されたわけではないことを、提供された証拠が示している。

Atlassian Rovo のプロンプト・インジェクション：Jira／Confluence／SharePoint からの機密データ流出

Atlassian Rovo Prompt Injection Exfiltrates Jira and Confluence Data Without User Approval

2026/08/10 CyberSecurityNews — Atlassian Rovo におけるワンクリック・プロンプト・インジェクションの脆弱性 RovoBlast は、Jira／Confluence／SharePoint などの接続サービスから機密性の高いエンタープライズ・データを流出させることを、攻撃者に許すものである。この URL ベースの脆弱性が適切に開示された後、Atlassian はサーバー・サイドにおいて対応し、2026年7月8日に修正をデプロイしている。

ModHeader という悪意の Chromium エクステンション：ユーザーの閲覧ドメイン・データを収集／窃取

Chrome Extension Used by 1.6 Million Users Silently Included Data Exfiltration Capabilities

2026/07/14 CyberSecurityNews — 広く利用されるブラウザ・エクステンション ModHeader が、Chrome Web Store から削除された。その署名済みリリースに含まれるものとして、ユーザーの閲覧ドメイン・データの収集と暗号化を行い、休眠状態ではあるがアップロードを実行する機能が備わっていることを、研究者が発見したからである。Chrome と Microsoft Edge を合わせると、このエクステンションは約 160 万件もインストールされたと報じられている。ModHeader は、HTTP リクエスト・ヘッダーおよびレスポンス・ヘッダーを変更するための、正規の開発者向けユーティリティである。

GitHub Agentic Workflows で情報漏洩：GitLost と名付けられた構造的な課題とは？

GitLost Vulnerability Tricks GitHub’s AI Agent into Leaking Private Repos

2026/07/07 CyberSecurityNews — GitLost と名付けられた新たな脆弱性を悪用する攻撃者が、単一の GitHub Issue を介して AI 搭載 Agentic Workflows を騙して、非公開リポジトリの内容をインターネット上へ漏洩させるという懸念が生じている。この攻撃の前提として、認証情報／コーディングスキル／システムアクセス権は一切必要とされない。

FortiBleed 続報：FortigateSniffer というツールで最大規模の認証情報窃取を展開

Hackers Using FortigateSniffer Tool That Turns Compromised Firewalls Into Password Collectors

2026/06/23 CyberSecurityNews — FortigateSniffer と呼ばれる Golang ベースのカスタム・ツールが、金銭的な動機を持つ脅威アクターにより、世界中の 430,000 台を超える FortiGate ファイアウォールに展開された。遅くとも 2026年2月以降に、この攻撃者は 1 億 1,000 万件を超える認証情報を密かに収集しており、その中には NATO と連携する防衛請負業者から流出したデータも含まれる。

CISA の認証情報／機密データが GitHub リポジトリに漏洩：GitGuardian が指摘した問題とは？

CISA Credentials, Sensitive Data Exposed in GitHub Repository

2026/05/19 SecurityBoulevard — CISA における深刻な情報漏洩が明らかにされた。同組織の外部契約者が、Amazon Web Services (AWS) 上に保存されている、連邦政府の最高サイバーセキュリティ機関のシステムに関する認証情報および高権限政府アカウントを、不適切に公開していたことが露見した。

セキュリティ企業 Trellix がデータ侵害を確認：RansomHouse がソースコードへの侵入を主張

Trellix Breach – RansomHouse Claims Access to Parts of Source Code

2026/05/08 CyberSecurityNews — McAfee Enterprise／FireEye の合併により設立されたグローバルなサイバー・セキュリティ企業である Trellix は、自社のソースコード・リポジトリの一部に対する不正アクセスを認めた。その一方で、ランサムウェア・グループである RansomHouse が、この攻撃への関与を正式に主張している。2026年5月2日頃に、このインシデントを公表した Trellix は、侵入を検知した直後に外部のフォレンジック専門家を招集して調査を開始するとともに、法執行機関への通報を完了させた。

RedAccess が警告：数千件の Vibe Coding アプリから企業情報と個人情報が漏洩

Thousands of Vibe-Coded Apps Exposing Corporate, Personal Data: RedAccess

2026/05/07 SecurityBoulevard — 迅速なソフトウェア開発を実現する Vibe Coding のための AI ツール群から、大量の個人データおよび企業データが漏洩していると、研究者たちが報告している。イスラエルのサイバーセキュリティ・スタートアップの研究者たちが、シャドー AI の動向を調査する中で、この問題を発見した。

大規模 AiTM フィッシング攻撃を検出：13,000 の組織から Microsoft 認証情報を窃取

Microsoft Flags Mass Phishing Campaign Using Fake Compliance Emails

2026/05/06 InfoSecurity — Microsoft Defender Research が検出したのは、13,000 を超える組織／35,000 人以上のユーザーを標的とする大規模フィッシング・キャンペーンである。この認証情報窃取キャンペーンでは、偽の内部コンプライアンス通知や規制関連連絡がルアーとして使用されていた。

Microsoft Edge における平文パスワード問題：メモリ上の認証情報窃取を実証する PoC

Microsoft Edge Found Storing Saved Passwords in Cleartext Memory at Startup

2026/05/05 gbhackers — Microsoft Edge に関する新たなセキュリティ調査により、ブラウザ起動時に保存済みの全パスワードが平文でプロセス・メモリへ読み込まれることが判明した。さらに注目すべき点として、この挙動について “仕様によるもの (by design)” と、Microsoft は公式に説明している。

CAPTCHA／ClickFix／QR Code による認証情報窃取キャンペーン：2026 Q1 の実態 – Microsoft

CAPTCHA and ClickFix Abuse Fuels Credential Theft Surge

2026/05/01 gbhackers — Microsoft のレポートによると、Tycoon2FA などの主要 Phishing-as-a-Service (PhaaS) プラットフォームに圧力がかけられているようだが、その一方で、QR コード／偽 CAPTCHA ゲート／ClickFix 型トリックを組み合わせる攻撃者たちは、認証情報を大規模に窃取する手法を強化している。これらの手法は、従来のマルウェア添付から、説得力の高いホスト型のフィッシング・フローへの移行を示すものであり、ユーザーとメールフィルタによる検知を困難にしている。

ClickUp のハードコードされた API Key：Fortune 500 企業のメールアドレス 959 件が漏洩

ClickUp’s Hardcoded API Key Exposes 959 Emails from Fortune 500 Giants

2026/04/27 CyberSecurityNews — ClickUp のホームページ上で公開されている JavaScript ファイルから、Home Depot／Fortinet／Autodesk／Tenable／Rakuten／Mayo Clinic／Permira／Akin Gump や米国州政府などにおける 1,000件弱のメールアドレスが漏洩していたことが判明した。この問題は、ハードコードされたサードパーティ API キーを介して発生しており、2025年1月に初めて報告されたが、2026年4月現在も更新されていない。

Notion の公開ページから編集者の UUID が漏洩：メールアドレスなどが露出する恐れ

Public Notion Pages Expose Editors’ Profile Photos and Email Addresses

2026/04/20 gbhackers — 広く利用される生産性向上およびノート作成アプリケーション Notion に存在する、深刻なデータ露出の問題が明らかになった。この露出は、認証／クッキー／アクセス・トークンを一切必要とせずに発生し、数千件のインデックス可能な企業 Wiki や個人ページが、データ・スクレイピングに対して脆弱な状態となっている。

K-pop グループ BTS のワールドツアーが標的：偽のチケット販売サイトで詐欺が横行

Hackers Use Fake BTS World Tour Ticket Sites to Scam Fans Across Multiple Countries

2026/04/10 CyberSecurityNews — 長期の休止を終えた K-pop グループ BTS の、復帰への高い関心を悪用するサイバー犯罪者が、偽チケットを販売する Web サイトを構築し、無防備なファンから金銭を窃取している。このキャンペーンは、すでに 9 カ国のファンに被害をもたらしており、近年では最大規模のコンサート・チケット詐欺となっている。

ChatGPT Ad Blocker という悪意の Chrome エクステンションに御用心：プライベートな会話を窃取

Malicious Chrome Extension “ChatGPT Ad Blocker” Steals ChatGPT Conversations

2026/04/03 CyberSecurityNews — OpenAI が無料プランへの広告導入を進める中、この機会を悪用するサイバー犯罪者たちが、偽ユーティリティ・ツールでユーザーを欺き始めている。セキュリティ研究者が発見したのは、ChatGPT Ad Blocker と名付けられた、悪意の Google Chrome エクステンションである。このエクステンションは、広告を非表示にすると謳っているが、実際の目的はユーザーのプライベートな会話を窃取し、隠された Discord チャネルへ送信することにある。

Mercor AI を標的とする大規模侵害：Lapsus$ の 4TB データ窃取主張を受けデータ侵害を認める

Mercor AI Confirms Data Breach Following Lapsus$ Claims of 4TB Data Theft

2026/04/01 CyberSecurityNews — Mercor AI が深刻なデータ侵害の発生を公式に認めたのは、悪名高いハッキング集団 Lapsus$ による 4 TB の機密データの窃取という主張を受けてのことである。このインシデントは、オープン・ソース LiteLLM プロジェクトに対する最近のサプライ・チェーン攻撃に起因するものであり、独自開発のソースコード／内部データベース／大量のユーザー本人確認データなどを露出するものだ。

Craft CMS の脆弱性 CVE-2025-32432 の悪用を検出：Yii の脆弱性との連鎖が発生

Craft CMS RCE exploit chain used in zero-day attacks to steal data

2025/04/25 BleepingComputer — Craft CMS に影響を及ぼす２件の脆弱性が、ゼロデイ攻撃で連鎖的に利用され、サーバへの侵入ベクターとなり、データ窃取にいたるという攻撃が発生し、現在も悪用が続いていると、CERT Orange Cyberdefense が警告している。これらの脆弱性は、侵害を受けたサーバの調査に招集された、Orange Cyberdefense の CSIRT により発見されたものだ。

コンテナ・イメージに流れ込む証明書と秘密鍵：SSH や VPN を守るために理解すべきことは？

Hackers Exploit Stolen Certificates and Private Keys to Breach Organizations

2025/04/22 gbhackers — コンテナ化されたアプリケーション領域において、盗み出した証明書と秘密鍵を悪用する脅威アクターが、組織に侵入するという懸念すべき脆弱性が、最近の調査により明らかになった。この戦術は、ハッカーに対して、セキュリティ対策の回避を許すだけではなく、長期間にわたって検知されない可能性もあるため、企業のセキュリティに重大なリスクをもたらすとされる。

CISA 警告：Oracle Cloud ハッキングに関する分析と予防措置

CISA Warns of Potential Credential Exploits Linked to Oracle Cloud Hack

2025/04/17 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Oracle Cloud のレガシー環境に対する不正アクセスの可能性があるとの報告を受け、警告を発した。現時点において、インシデントの全容と影響は調査中だが、CISA の警告が浮き彫りにするのは、認証情報の漏洩リスクに対する深刻な懸念である。この脅威には、組織／個人のユーザーに影響を及ぼす可能性がある。

IAB たちの戦術転換：イニシャル・アクセスの低価格／大量販売で攻撃を加速 – Check Point 調査

Initial Access Brokers Shift Tactics, Selling More for Less

2025/04/11 TheHackerNews — アンダーグラウンド市場の仲介業者であるイニシャル・アクセス・ブローカー (IAB：Initial Access Broker) は、コンピュータ・システムやネットワークへの不正侵入を専門とし、そのアクセス権を他のサイバー犯罪者に販売することで利益を得ている。この“役割分担”により、IAB はソーシャル・エンジニアリングやブルートフォース攻撃などの手法を使った脆弱性の悪用という、自身の本業に専念できるというわけだ。

Oracle Cloud 侵害を追跡：顧客たちへの通知でデータ漏洩の発生を認めたようだが

Oracle Confirms Cloud Hack

2025/04/04 SecurityWeek — Oracle は、自社のクラウド・システムの一部が侵害されたことを顧客に対して認めているが、そのプロセスは非公開であり、このインシデントの影響を矮小化しているようだ。

SendGrid の大規模データ侵害：848,000件の顧客データの窃取と販売を Satanic が主張

Hacker Claims Twilio’s SendGrid Data Breach, Selling 848,000 Records

2025/04/03 HackRead — Twilio 傘下のクラウド型メール配信プラットフォームである SendGrid で発生した大規模な情報漏えいについて、Satanic と名乗るハッカーが、自身の犯行だと主張している。サイバー犯罪者の人気プラットフォーム Breach Forums に、2025年4月3日に投稿された内容によると、Satanic は盗み出したとするデータを $2,000 で提供しており、その主張の裏付けとして、サンプル・データも公開している。

X (Twitter) ユーザー 28億人分の個人情報が流出か？内部犯行の可能性と沈黙する X

Twitter (X) Hit by 2.8 Billion Profile Data Leak in Alleged Insider Job

2025/03/29 HackRead — X (旧 Twitter) から流出した約 28億7000万件分ものユーザー・データ流出が、アンダーグラウンド・フォーラムの Breach Forums にて発見された。ThinkingOne と名乗るユーザーの投稿によると、X 社における大規模な人員削減の期間中に、不満を抱いた従業員が盗み出したデータに起因するという。もし、それが事実であれば、ソーシャル・メディア史上で最大規模のデータ流出インシデントとなる。しかし、驚くべきことに、X も一般ユーザーも、この件について、まだ認識していないようだ。

Oracle Cloud のアカウント情報窃取：ユーザーの証言と脆弱性 CVE-2021-35587 の悪用

Oracle customers confirm data stolen in alleged cloud breach is valid

2025/03/26 BleepingComputer — Oracle Cloud フェデレーション SSO ログイン・サーバの侵害と、600 万人分のアカウント・データの窃取について、同社は否定しているが、BleepingComputer が複数の企業に確認したところ、脅威アクターが共有した関連データ・サンプルは有効だと推定できる。

Raspberry Robin マルウェアの C2 ドメイン約 200件を特定：ロシアとの関係と EU 経由での拡散

Researchers Uncover ~200 Unique C2 Domains Linked to Raspberry Robin Access Broker

2025/03/25 TheHackerNews — Raspberry Robin マルウェアに関連する約 200のユニークな C2 (command-and-control) ドメインが、Silent Push の調査により発見された。Silent Push は、「Raspberry Robin (別名：Roshtyak／Storm-0856) は、複雑で進化し続ける脅威アクターであり、他の犯罪グループに対して初期アクセス・ブローカー (IAB：initial access broker) サービスを提供している。それらのグループの多くは、ロシアとつながりがある」と、 The Hacker News に共有したレポートで述べている。

Oracle Cloud からの 600 万件のレコード窃取：CloudSEK が提示する証拠とは？

CloudSEK Disputes Oracle Over Data Breach Denial with New Evidence

2025/03/24 HackRead — Oracle Cloud のインフラに、大規模なデータ侵害が発生し、同社のサイバー・セキュリティが混乱に巻き込まれていという議論がある。先週に HackRead は、サイバー・セキュリティ企業 CloudSEK の調査結果に基づく記事を公開し、ある脅威アクターが Oracle Cloud から 600 万件のレコードを盗んだことを明らかにした。”rose87168″ という名前で特定されたハッカーは、主要な SSO エンドポイントを侵害し、SSO と LDAP の認証情報／OAuth2 キー／顧客テナント情報などの、機密データを流出させたと主張している。

GitHub Actions の脆弱性 CVE-2025-30154／CVE-2025-30066：サプライチェーン攻撃の可能性を考える

Impact, Root Cause of GitHub Actions Supply Chain Hack Revealed

2025/03/21 SecurityWeek — GitHub Actions “tj-actions/changed-files” は、ファイルやディレクトリの変更を追跡するために、23,000 以上のリポジトリで積極的に使用されているアクションである。先週末のことだが、この GitHub Actions に発生した攻撃により、CI/CD シークレットをダンプしてログを作成するように設計された、悪意のスクリプトが実行されたことが判明した。

ServiceNow の古い脆弱性 CVE-2024-4879／5217／5178 が標的：データベース侵害の恐れ

New Attacks Exploit Year-Old ServiceNow Flaws – Israel Hit Hardest

2025/03/21 HackRead — ServiceNow で以前に公開された３つの脆弱性を狙う、悪意のある活動が大幅に増加していることを、脅威インテリジェンス企業 GreyNoise のセキュリティ研究者たちが警告している。ServiceNow は、ユーザー組織におけるデジタル・ワークフローの管理／自動化のためのクラウド・ベースのプラットフォームである。

GitHub Action の脆弱性 CVE-2025-30066：侵害によるシークレット漏洩と是正の手順

2025/03/15 SecurityOnline — GitHub Action “tj-actions/changed-files” は、広く使用されているソフトウェア・ワークフローのためのものだが、新たに検出された深刻なセキュリティ・インシデントが懸念を生じている。セキュリティ侵害を積極的に調査する Step Security は、ユーザーに警告を発し、速やかに是正措置を取るよう促している。このインシデントを追跡するコードとして、公式に CVE-2025-30066 が採番されている。

LLM Model 17 種類を調査：すべてのサービスでジェイルブレイクに成功

Researchers Jailbreak 17 Popular LLM Models to Reveal Sensitive Data

2025/03/07 gbhackers — Palo Alto Networks の Threat Research Center が発表した最新調査によると、研究者たちは 17 種類の GenAI 製品のジェイルブレイクに成功し、安全対策における脆弱性の存在が明らかになったという。この調査の目的は、有害／機密コンテンツの生成を防ぐように設計された、LLM のガードレールを回避する、ジェイルブレイク手法の有効性を評価することにあった。

NTT Com に発生したデータ侵害：2025年2月のインシデントと 18,000 の法人顧客への影響

18,000 Organizations Impacted by NTT Com Data Breach

2025/03/07 SecurityWeek — 日本の大手 ICT プロバイダーである NTT Communications (NTT Com) が、約18,000社の法人顧客に影響及ぼすデータ侵害の発生について明らかにした。同社によると、このインシデントは 2月5日に発生し、顧客企業に提供されているサービスに関する、情報をホストしている社内システムへの、未知の攻撃者にアクセスを許したとのことだ。

LLM トレーニングに用いられるデータセットの問題：約 12,000 個の API キーの発見

12,000+ API Keys and Passwords Found in Public Datasets Used for LLM Training

2025/02/28 TheHackerNews — LLM のトレーニングに使用されるデータセットに、認証を成功させるライブ・シークレットが約 12,000 個も取り込まれていることが判明した。

CrowdStrike の 2025 Global Threat Report：高度化する犯罪グループを数値で分析する

Unpatched Vulnerabilities Attract Cybercriminals as EDR Visibility Remains Limited

2025/02/27 gbhackers — CrowdStrike 2025 Global Threat Report によると、サイバー攻撃者たちの集団は、合法的なビジネスの業務効率を模倣し、高度に組織化されたプロ組織へと進化している。このレポートが強調するのは、2024年のサイバー脅威の状況が大きく変化し、高度な戦術を採用する攻撃者が、GenAI などの最新テクノロジーを活用して、そのアクティビティを拡大している状況である。

Have I Been Pwned に追加された 2億8,000万の漏洩アカウント：あなたも居るかもしれない

Have I Been Pwned adds 284M accounts stolen by infostealer malware

2025/02/25 BleepingComputer — Have I Been Pwned (HIBP) データ侵害通知サービスに追加されたのは、Telegram チャネルで発見された 2億8,400万件以上のアカウントだ。それらの情報は、情報窃盗マルウェアにより盗まれたものであると見られている。

中国政府によるインターネット検閲と民間企業の関与：SentinelOne が分析する漏洩データとは？

Leaked Files Tie Chinese Cybersecurity Firm to Government Censorship

2025/02/21 HackRead — 中国の著名なサイバー・セキュリティ企業 TopSec で生じたデータ漏洩により、同社の業務の詳細が明らかになり、また、中国政府によるインターネット検閲への関与が懸念されている。

HPE からの警告：ロシアの Cozy Bear が Office 365 メール・ボックスに不正アクセス

HPE notifies employees of data breach after Russian Office 365 hack

2025/02/07 BleepingComputer — HPE が従業員たちに通知しているのは、2023年5月のサイバー攻撃でロシアの APT により、同社の Office 365 メール環境からデータが盗まれたインシデントに関する警告である。

BeyondTrust のゼロデイ脆弱性：盗まれた API キー経由で 17社の SaaS 顧客に被害

BeyondTrust Zero-Day Breach Exposed 17 SaaS Customers via Compromised API Key

2025/02/01 TheHackerNews — BeyondTrust が明らかにしたのは、同社のリモートサポート SaaS インスタンスの一部を標的とし、不正に取得した API キーを悪用する、最近のサイバーセキュリティ・インシデントの調査の完了である。

大規模な Web スキミング・キャンペーンを検出：Casio UK などの 17の Web サイトに被害

Casio and 16 Other Websites Hit by Double-Entry Web Skimming Attack

2025/02/01 HackRead — 大手電子機器メーカーの Casio UK のサイトを含む、少なくとも 17の Web サイトに影響を与える、大規模な Web スキミング・キャンペーンが明らかになった。このキャンペーンによる感染を発見した研究者たちは、Magento などの e コマース・プラットフォームの脆弱性が悪用された可能性が高いとして、影響を受けた全ての関係者に通知する作業を行っている。

Mizuno USA が遭遇した攻撃：２ヶ月間にわたる BianLian ランサムウェアによる侵害が判明

Mizuno USA says hackers stayed in its network for two months

2025/01/31 BleepingComputer — 世界最大級のスポーツ用品メーカー Mizuno の子会社である Mizuno USA が、データ侵害通知書の中で認めたのは、2024年8月〜10月の期間において同社のネットワークから、未知の攻撃者がファイルを盗み出したことである。

DeepSeek からリークした大量のデータ：チャット・ログや機密情報が流出

DeepSeek AI Leaks Over a Million Chat Logs and Sensitive Data Online

2025/01/30 HackRead — 中国の AI 企業 DeepSeek が、OpenAI のシステムに匹敵する AI モデルで名を馳せている。しかし、同社の台頭につれて、深刻なセキュリティ問題が発生している。Wiz の研究者が発見したのは、同社に関連付けられたデータベースが一般公開されており、100 万件を超えるログ・エントリ／バックエンドの詳細／ソフトウェア・キーなどが公開されている状況である。

American National Insurance Company (ANICO) でデータ侵害が発覚：MOVEit の悪用？

American National Insurance Company (ANICO) Data Leaked in MOVEit Breach

2025/01/25 HackRead — American National Insurance Company (ANICO) に属すとされる、279,332 行の機密データを含むデータベースへのリンクが、データ侵害 Web プラットフォーム Breach Forums で共有されていることを、SafetyDetectives のサイバー・セキュリティ・チームが発見した。一連のデータは、2023年に発生したサイバー侵害によるものと思われ、顧客情報に加えて一部の従業員情報も含まれている。

State of Web Exposure 2025：隠された弱点を新たな手法で分析する

New Research: The State of Web Exposure 2025

2025/01/23 TheHackerNews — あなたの Web サイトから、機密データが漏洩していないだろうか？最新の調査によると、サードパーティ製アプリの 45% が、適切な許可なくユーザー情報にアクセスしており、小売業における Web Exposure リスクの 53% は、追跡ツールの過度の使用によるものだという。これらの隠れた脅威とリスクを発見し、軽減していく方法を学ぶべきだ。このフルレポートは、ココからダウンロードできる。

Microsoft Teams を介したソーシャル・エンジニアリング：STAC5143 と STAC5777 の戦術を解析

Ransomware Groups Abuse Microsoft Services for Initial Access

2025/01/21 SecurityWeek — Sophos が警告するのは、２つの脅威グループが Microsoft 365 サービスを侵害し、Microsoft Teams デフォルト・コンフィグレーションを悪用することで、組織内のユーザーとの会話に到達したという問題である。Microsoft 365 テナントを運用する２つのハッキング・グループは、この３ヶ月間に少なくとも 15件の攻撃を仕掛け、ユーザー組織を侵害してランサムウェアを展開し、データ窃取を施行していたという可能性が生じている。

2024年に盗まれたパスワードは 10億個：Redline／Vidar／Raccoon が悪意の Top-3

Redline, Vidar and Raccoon Malware Stole 1 Billion Passwords in 2024

2025/01/21 HackRead — Specops のサイバー・セキュリティ研究者たちが、パスワードに関連する重大な問題について警鐘を鳴らしている。2025年1月21日 (火) に公開された、Specops Software の “2025 Specops Breached Password Report” によると、この１年間で、10億を超えるパスワードが、マルウェアにより盗まれたという。また、盗まれたパスワードのうちの数百万件は、標準的な複雑さの要件を満たしていたとのことだ。

HPE がサイバー攻撃について公表：IntelBroker が主張するデータ侵害とは？

HPE investigates breach as hacker claims to steal source code

2025/01/20 BleepingComputer — Hewlett Packard Enterprise (HPE) は、同社の開発環境から文書を盗んだとする脅威アクターの主張を受けて、新たな侵害に関する調査を実施中であると公表した。HPE の広報担当である Clare Loxley は、「セキュリティ侵害の証拠は見つかっていないが、脅威アクターの主張を調査中である。2025年1月16日の時点で、HPE の情報を所有していると、IntelBroker と呼ばれるグループが主張していることを認識した」と、BleepingComputer に語っている。

Salt Typhoon 侵害：最初に発見されたのは政府のネットワーク内だった – CISA

Salt Typhoon breach was first detected on federal networks, CISA head says

2025/01/15 NextGov — 中国政府が支援するスパイ集団による、米国のテレコムなどへの広範囲にわたる侵入だが、最初に検知されたのは政府のシステム内である、1月14日 (水) に政府高官が述べている。Foundation for Defense of Democracies での討論会で、CISA 長官である Jen Easterly は、「Salt Typhoon と呼ばれるハッキング集団は、連邦政府のネットワークで最初に確認され、その後に法執行機関が仮想プライベート・サーバで正体を解明したことで、追跡のための手続きの請求が可能になった」と述べている。

Google Ads を舞台にしたマルバタイジング：ユーザーの認証情報や 2FA コードを盗み出していく

Google Ads Users Targeted in Malvertising Scam Stealing Credentials and 2FA Codes

2025/01/15 TheHackerNews — Google Ads で広告を出稿する企業や個人を装い、不正な広告を通じて認証情報を盗み取ろうとする、新たなマルバタイジング・キャンペーンについて、サイバー・セキュリティ研究者たちが警告している。Malwarebytes の senior director of threat intelligence である Jerome Segura は、「この悪意のオペレーションは、Google 広告を装うことで被害者のアカウントを盗み出し、偽のログイン・ページへとリダイレクトするものだ」と、The Hacker News に共有されたレポートで述べている。

“Sign in with Google” に深刻な問題：廃棄されたメアドでクラウドにログインできる？

Google’s “Sign in with Google” Flaw Exposes Millions of Users’ Details

2025/01/14 GBHackers —Google の認証システムである “Sign in with Google” に、重大な欠陥が発見された。この脆弱性の影響が及ぶ数百万人のアメリカ人が、データ窃取の危機に晒されているが、事業から撤退したスタートアップ企業の元従業員が、この欠陥の影響を受けやすいとされている。この欠陥の根本的な原因は、ドメイン所有権の変更に対して、Google OAuth ログインが適切に対応していない点にあると、Truffle Security は指摘する。

Fortinet Firewall を侵害したキャンペーンの詳細：ゼロデイ脆弱性の悪用が入口？

Zero-Day Vulnerability Suspected in Attacks on Fortinet Firewalls with Exposed Interfaces

2025/01/14 TheHackerNews — Fortinet FortiGate ファイアウォールをターゲットとし、管理インターフェースがパブリック・インターネットに露出するデバイスを狙う、新たなキャンペーンについて、脅威ハンターたちが注意を喚起している。先週にサイバー・セキュリティ企業 Arctic Wolf が公開したレポートには、「このキャンペーンを分析した結果として、ファイアウォールの管理インターフェースに関連する、不正な管理者ログイン／新規アカウントの作成などが確認された。具体的に言うと、それらのアカウントを介した SSL VPN 認証や、各種のコンフィグレーション変更などが行われていた」と記されている。