Amazon – IoT OT Security News

Facebook の GDPR 違反と $1.3 B の罰金：米国へのデータ転送により最高額に！

EU Regulators Hit Meta with Record $1.3 Billion Fine for Data Transfer Violations

2023/05/22 TheHackerNews — Facebook の親会社である Meta は、European Union のデータ保護規制当局から、同地域のユーザーの個人データを米国に転送したとして、過去最高となる $1.3 billion の罰金を科された。EDPB (European Data Protection Board) の拘束力のある決定により、Meta はデータ転送の方式を GDPR に準拠させ、違法に保存／処理されたデータを、６ヶ月以内に削除するよう命じられた。

ChatGPT／GPT-4 を止めろ：Musk／Wozniak などの著名人グループが申し立て

Musk, Scientists Call for Halt to AI Race Sparked by ChatGPT

2023/03/29 SecurityWeek — いつかは人間を凌駕するかもしれない、パワフルなな人工知能技術の展開において、テック企業の動きは速すぎるのだろうか。著名なコンピューター科学者や、Elon Musk、Apple の創業者 Steve Wozniak といったテック業界の著名人たちのグループは、リスクを考慮するために、６ヶ月間の一時停止を要求している。この申立は、サンフランシスコのスタートアップ OpenAI が、先日に発表した GPT-4 に対するものだ。広く使われている AI チャットボット ChatGPT を、さらに進化させた GPT-4 は、ビッグテックである Microsoft と Google のアプリケーション開発競争に火をつけるきっかけにもなっている。

Toyota Customer 360 の深刻な脆弱性が FIX：開発用／本番用 API の錯綜が原因

Vulnerability in Toyota Management Platform Provided Access to Customer Data

2023/03/07 SecurityWeek — Toyota Customer 360 という CRM (Customer Relationship Management) プラットフォームに、深刻な脆弱性が存在していたことが判明した。この脆弱性を発見したセキュリティ研究者によると、メキシコの顧客の個人情報にアクセスが可能だったという。この Web アプリケーションは、組織全体として顧客データを集約しており、個人情報／購入履歴／サービス内容などの、全ての顧客情報を一元的に把握するためのものだ。

Google 広告の悪用：AWS 検索で２番目に表示されるフィッシング・サイトとは？

Malicious Google ads sneak AWS phishing sites into search results

2023/02/09 BleepingComputer — Amazon Web Services (AWS) を狙う新たなフィッシング・キャンペーンでは、Google 検索の広告を悪用するフィッシング・サイトへの誘導が行われ、ログイン情報が盗み出されようとしている。 2023年1月30日に Sentinel Labs のアナリストにより、このキャンペーンが観測された。この悪質な広告の検索結果の順位だが、”aws” で検索した際に、Amazon に次いで２位にランクインしていた。

CISA が連邦政府組織に警告：正規の RMM ソフトウェアを介した攻撃が蔓延

CISA: Federal agencies hacked using legitimate remote desktop tools

2023/01/25 BleepingComputer — 今日の共同アドバイザリで CISA／NSA／MS-ISAC は、正規の RMM (Remote Monitoring and Management) ソフトウェアを悪意の目的で、攻撃者たちが使用する傾向が強まっていることを警告した。さらに心配なことに、2022年10月中旬の Silent Push レポートの発表後に、複数の連邦民間行政機関 (FCEB) ネットワーク内において、CISA が EINSTEIN 侵入検知システムで管理しているにも関わらず、悪意のアクティビティが発見されている点だ。

SBOM の品質をチェック：米政府基準の最小限要素を満たすものは１％に過ぎない

Chainguard Trains Spotlight on SBOM Quality Problem

2023/01/19 SecurityWeek — ソフトウェア部品表で品質を管理しているソフトウェア・エンジニアが、驚くべき発見をした。現時点で作成されている SBOM のうち、米国政府が定義した「最小限の要素」を満たしているものは、わずか 1% に過ぎないというのだ。ソフトウェア・サプライチェーン・セキュリティの企業である Chainguard の新しいデータによると、既存のツールで生成された SBOM は、ソフトウェアの脆弱性／ライセンス／在庫の追跡を管理するために、SBOM 内で定義されている必要最小限のデータフィールドを満たしていないことが判明した。

Amazon S3 上で AES-256 暗号化がデフォルト適用：新規／既存データの保護を強化

Amazon S3 will now encrypt all new data with AES-256 by default

2023/01/06 BleepingComputer — Amazon Simple Storage Service (S3) では、サーバ側でバケットに追加された全ての新規オブジェクトが、デフォルトで用いられる AES-256 により自動的に暗号化されるようになった。AWS におけるサーバ側での暗号化システムは、10年以上も前から利用可能だったが、それがデフォルトで有効化され、セキュリティが強化された。したがって、新しい暗号化システムによるバケット保護のための、AWS 管理者によるアクションは不要であり、また、パフォーマンスに悪影響が生じることもないと、Amazon は指摘している。

AWS Elastic IP transfer を悪用する新たな攻撃ベクター：Mitiga が警告

Organizations Warned of New Attack Vector in Amazon Web Services

2022/12/20 InfoSecurity — Amazon Web Services (AWS) に新たに導入された機能を悪用するセキュリティ脅威が、Mitiga の研究者たちにより発見された。この攻撃は、2022年10月に発表された AWS の Amazon Virtual Private Cloud 機能である、Elastic IP transfer を悪用するものだ。この機能は、ある AWS アカウントから別のアカウントへの、Elastic IP アドレスの移行を容易にするものである。したがって、IP の乗っ取りに成功した脅威アクターは、他者における信頼と信用の持ち方に応じて、幅広い攻撃を仕掛けることが可能になる。

AWS AppSync の脆弱性が FIX：クロステナントでのリソース・アクセスの問題

Researchers Detail AppSync Cross-Tenant Vulnerability in Amazon Web Services

2022/11/28 TheHackerNews — Amazon Web Services (AWS) は、攻撃者にリソースへの不正アクセスを許す可能性のある、AWS AppSync を悪用したクロステナントの脆弱性に対処した。この脆弱性は、権限昇格の一種である Confused Deputy Problem (混乱した代理の問題) に関連するもので、あるアクションを実行する権限を持たないプログラムが、より権限のあるエンティティに、そのアクションを実行するよう強要するものだ。

Amazon RDS スナップショットの問題：意図しない共有により PII が漏洩

Thousands of Amazon RDS Snapshots Are Leaking Corporate PII

2022/11/17 DarkReading — Amazon のクラウドベース・データバックアップ・サービスを介して、毎月のように何十万ものデータベースが不注意により公開されている。このような状況を悪用する脅威アクターたちは、個人を特定できる情報 (PII : Personally Identifiable Information) にアクセスし、恐喝やランサムウェアといった脅威のアクティビティに利用されることが、研究者たちにより判明した。

Amazon からユーザーへの警告：新しい手口のフィッシング詐欺が発生している

Amazon Customers Receive Smishing Warning After Receiving Fake Texts

2022/10/17 InfoSecurity — Amazon と消費者保護サイトである Which? が、Amazon のユーザーを狙う新しいテキスト・メッセージ詐欺について警告している。Amazon は、「我々を装う詐欺師が、我々の顧客とブランドを危険にさらしている。これらの詐欺行為は我々のショップの外で行われるが、我々は顧客を保護し、詐欺の回避についてユーザーを教育するための投資を続ける」と述べている。

NullMixer の新キャンペーン：ユーザーの認証情報窃取＋各種 RAT の大量散布

New NullMixer Malware Campaign Stealing Users’ Payment Data and Credentials

2022/09/27 TheHackerNews — このサイバー犯罪者は、クラックされた海賊版ソフトウェアを探そうとするユーザーを、武器化されたインストーラーをホストする不正な Web サイトに誘導してシステムを侵害し、NullMixer と呼ばれるマルウェアを展開している。月曜日のレポートで Kaspersky は、「ユーザーが NullMixer を解凍／実行すると、感染したマシンに多数のマルウェア・ファイルがドロップされる。NullMixer は、バックドア／バンカー／ダウンローダー／スパイウェアなどのような、さまざまな悪意のバイナリをドロップして、マシンに感染させる」と述べている。

Instagram に €405M の罰金：アイルランド規制当局が不適切なアカウント保護を摘発

Irish Watchdog Fines Instagram 405M Euros in Teen Data Case

2022/09/06 SecurityWeek — 欧州連合の厳格なデータプライバシー規則に違反して、Instagram が 10代の若者の個人情報を誤って扱っていたことが判明した後に、このソーシャルメディア・プラットフォームは、アイルランドの規制当局により多額の罰金を科されることになった。この月曜日のメールで、アイルランドのデータ保護委員会は、Instagram に €405 million ($402 million) の罰金を科す最終決定を、先週に下したことを明らかにした。

Amazon Ring for Android の脆弱性が FIX：画像の不正アクセスから機械学習への連鎖

Amazon fixes Ring Android app flaw exposing camera recordings

2022/08/18 BleepingComputer — Amazon は、Amazon Ring for Android において、侵害に成功したハッカーが、ユーザーの保存したカメラ録画をダウンロードできるという、深刻度の高い脆弱性を修正した。この脆弱性は、アプリケーション。セキュリティテスト会社である Checkmarx のセキュリティ研究者が発見し、2022年5月1日にアマゾンに開示し、5月27日に修正されたものである。

Android バンキング型トロイの木馬 SOVA：新たな機能でターゲットを拡大

SOVA Android Banking Trojan Returns With New Capabilities and Targets

2022/08/15 TheHackerNews — Android バンキング型トロイの木馬 SOVA は、バンキング・アプリ／仮想通貨取引／ウォレットなどの、200以上のモバイルアプリを標的とするために、積極的にアップグレードが続けられている。そして、ターゲットとなるアプリの数は、開発当初の 90から増加している。

OCFS でセキュリティ・アラートを正規化：AWS と Splunk が Black Hat で発表

New Cross-Industry Group Launches Open Cybersecurity Framework

2022/08/12 DarkReading — BLACK HAT USA – LAS VEGAS — Amazon Web Services (AWS) と Splunk は、各種の監視システムにおけるセキュリティ・アラートの標準化を推進するために、18種類のシステムおよびセキュリティ・ベンダーによる、業界としての取り組みを主導していく。その目的は、セキュリティ・チームのためにあり、セキュリティ・データを迅速に取り込み分析するための、ベンダーにとらわれない簡素化された分類法を提供することにある。

AWS における Security／Privacy／Compliance 対応：クラウド・ユーザーを強力に支援

AWS Announces Enhancements to Cloud Security, Privacy, Compliance

2022/07/27 SecurityWeek — AWS が新たに立ち上げた Customer Incident Response Team (CIRT) は、顧客が責任を負うシステムやデータに影響を与える、アクティブなセキュリティ・イベント時に、ユーザーを支援することを目的とする。AWS CIRT との連携は、サポートケースを開設することで実施される。また、AWSのアカウントとワークロード向けの脅威検知サービスである Amazon GuardDuty に、マルウェア検知機能が追加されることも発表された。この Malware Protection 機能を有効にすると、EC2 インスタンスやコンテナ・ワークロードで不審なアクティビティが検出されたたときに、マルウェアスキャンが開始される。

Linux 上の Docker API 狙う暗号マイナー・マルウェア Lemon_Duck とは？

Docker servers hacked in ongoing cryptomining malware campaign

2022/04/21 BleepingComputer — Linux サーバ上の Docker API が、Lemon_Duck ボットネット・オペレーターによる、大規模な Monero 暗号キャンペーンの標的になっている。このクリプトマイニング・マイニング集団は、セキュリティが不十分な Docker システムや、ミス・コンフィグレーションのある Docker システムにとって常に脅威であり、近年では複数の大規模なエクスプロイト・キャンペーンが報告されている。

Amazon の Log4Shell ホットパッチに問題：コンテナ・エスケープと権限昇格が生じる？

Amazon’s Hotpatch for Log4j Flaw Found Vulnerable to Privilege Escalation Bug

2022/04/21 TheHackerNews — Amazon Web Services (AWS) がリリースした Log4Shell 脆弱性に対するホットパッチだが、コンテナ・エスケープや権限昇格に悪用され、基盤となるホスト制御の乗っ取りを許してしまう問題があるようだ。Palo Alto Networks Unit 42 の研究者である Yuval Avrahami は、今週に発表したレポートにおいて、「コンテナの問題以外にも、このパッチを悪用することで非特権プロセスを特権昇格させ、root コードを実行させることが可能だ」と述べている。

Amazon RDS の脆弱性：PostgreSQL エクステンションの情報漏えいの問題が FIX

Amazon RDS Vulnerability Led to Exposure of Credentials

2022/04/12 SecurityWeek — 月曜日に Amazon Web Services (AWS) は、Amazon Relational Database Service (RDS) の脆弱性に対応したことについて、そして、内部認証情報の漏洩につながる可能性があることについて発表した。Amazon RDS は、MySQL や PostgreSQL をサポートする、AWS 独自のデータベースエンジン Amazon Aurora などの、複数のデータベース・エンジンをサポートするマネージド・データベース・サービスである。

Qihoo 360 の主張：中国からデータを盗み出すハッカーの背後に米 NSA がいる

Qihoo 360 says US NSA is behind hacking group that has stolen Chinese data

2022/03/23 SCMP — 米国の制裁対象となっている、中国のサイバー・セキュリティ企業の主張は、米国政府の支援を受けたハッカー集団が、10年以上にわたって中国を攻撃しているというものだ。中国の起業家 Zhou Hongyi が設立した Qihoo 360 は、APT-C-40 と呼ばれるハッキンググループが米国政府と提携しており、過去10年にわたり中国の大手企業／政府／研究機関／インフラをひそかに攻撃していると、最近の報告書で述べている。

Google が追跡：Conti／Diavol と連携するアクセス・ブローカー Exotic Lily

Google Uncovers ‘Initial Access Broker’ Working with Conti Ransomware Gang

2022/03/18 TheHackerNews — Google の Threat Analysis Group (TAG) は、ロシアのサイバー犯罪組織である Conti や Diavol などと密接に関係しているとされる、新たなイニシャル・アクセス・ブローカーの情報を公表した。この Exotic Lily と名付けられた脅威アクターは、Microsoft Windows の MSHTML プラットフォームに存在する、修正済みの深刻な脆弱性 CVE-2021-40444 を悪用し、世界の 650 の標的組織に対して、１日に 5000通以上のビジネス提案をテーマにした電子メールを送信する、フィッシング・キャンペーンを広く展開していると確認されている。

TrickBot の進化：難読化された 20本以上のモジュールを自在に操る

TrickBot developers continue to refine the malware’s sneakiness and power

2022/02/16 CyberScoop — Check Point Research によると、汎用性の高いマルウェア TrickBot の開発者は、サイバーセキュリティ・アナリストの一歩先を進み、金融機関やテクノロジー企業の顧客に対して大きな危険をもたらし続けているとのことだ。水曜日に発表した調査結果で同社は、「TrickBot の開発者は、アンチ分析と難読化の機能を幾重にも備えており、専門家がマルウェアのコードを解析しようとする際に、Command and Control との通信を遮断し、動作を完全に停止することがある。

OpenSSF の新プロジェクト Alpha – Omega：セキュリティのために Microsoft／Google が出資

OpenSSF Launches Project to Secure Open Source Software

2022/02/01 SecurityBoulevard — 今日、Open Source Security Foundation (OpenSSF) は、Microsoft と Google から提供された $5 million の初期投資を用いて、オープンソース・ソフトウェアのセキュリティを向上させるための Alpha-Omega プロジェクトを立ち上げた。

OpenSSF の General Manager である Brian Behlendorf は、このプロジェクトの目的について、セキュリティに関する専門知識を広範なオープンソース・ソフトウェア・プロジェクトに提供し、オープンソース・ソフトウェア構築で用いられる DevSecOps ワークフローに組み込むことが可能な、自動セキュリティ・テスト・ツールへのアクセスを提供することだと述べている。

ホワイトハウス OSS セキュリティ・サミット：各ベンダーの声明を集めてみた

U.S. Government, Tech Giants Discuss Open Source Software Security

2022/01/14 SecurityWeek — 2020年1月13日にホワイトハウス・サミットが開催され、米国の政府と大手ハイテク企業の代表者がオープンソース・ソフトウェアのセキュリティについて話し合った。広く利用されている Log4j ロギング・ユーティリティーに影響を与える脆弱性が、公開／悪用されたことで、オープンソースとソフトウェア・サプライチェーンのセキュリティの重要性が、あらためて浮き彫りになっている。ホワイトハウス・サミットの目的は、オープンソース・ソフトウェアのセキュリティを向上させ、オープンソース・コミュニティを効果的にサポートする方法を特定することだった。

ホワイトハウスの念押し：ハイテク大手のオープンソースが国家安全保障の問題

White House reminds tech giants open source is a national security issue

2022/01/14 BleepingComputer — Log4J の脆弱性による重要インフラへの脅威を受けて、ホワイトハウスは政府機関や民間企業に対して、オープンソース・ソフトウェアとサプライチェーンの安全確保に向けて、リソースを結集し努力するよう養成した。そのためのサミットが開催され、「オープンソース・ソフトウェアのセキュリティ上の欠陥や脆弱性の防止」「セキュリティ上の欠陥の発見と修正のプロセスの改善」「修正プログラムの提供と展開に要する時間の短縮」という、３つのテーマが取り上げられた。

サイバー攻撃の最新動向：クラウドからトロイの木馬を振り撒く攻撃者たち

New Cyberattack Campaign Uses Public Cloud Infrastructure to Spread RATs

2022/01/13 DarkReading — 最近の攻撃キャンペーンには、パブリック・クラウドのインフラを利用して、コモディティ RAT である Nanocore／Netwire／AsyncRAT の亜種を配信し、ユーザーのデータを標的にするものが見られると、研究者たちが報告している。この、10月に発見された攻撃キャンペーンは、攻撃者が自身でインフラをホストせずに目的を達成するために、クラウド利用を増やしていることが明示されていると、Cisco Talos の研究者たちが報告している。

AWS 顧客データ流出のバグが FIX：発見した Orca と AWS の間で評価にズレが

AWS fixes security flaws that exposed AWS customer data

2022/01/13 BleepingComputer — Amazon Web Services (AWS) は、他の AWS 顧客アカウントにリンクされたデータへのアクセス／変更を許す、AWS Glue のセキュリティ問題に対処した。AWS Glue は、サーバーレスのクラウド・データ統合サービスであり、アプリ開発／機械学習／分析のための、データの発見／準備／結合を支援するものだ。

FlexBooker から 370万人分以上のユーザー・アカウント情報が盗まれた

Over 3.7 million accounts were compromised in the FlexBooker data breach

2022/01/07 SecurityAffairs — FlexBooker が脅威アクターにより攻撃され、370万人以上のユーザー・アカウントが侵害された。この攻撃はクリスマス休暇前に行われ、盗まれたデータは複数のサイバー犯罪フォーラムで販売されている。FlexBooker は、オンラインのアポイントメント・スケジューリング・プラットフォームであり、予約のスケジュール化や、従業員のカレンダー同期などを提供している。

SEGA Europe が AWS S3 バケットを誤って公開：データとインフラが危険に

SEGA Europe left AWS S3 bucket unsecured exposing data and infrastructure to attack

2022/01/03 SecurityAffairs — サイバー・セキュリティ企業の VPN Overview の報告によると、年末にゲーム大手の SEGA Europe が、Amazon Web Services (AWS) の S3 バケットにユーザーの個人情報を誤って公開し、放置していたことが分かった。この S3 バケットには、複数の AWS キーが含まれており、これらのキーを使用することで、SEGA Europe の複数のクラウド・サービスにアクセスすることが可能だった。また、MailChimp や Steam のキーも含まれており、これらのサービスに SEGA の名前でアクセスすることもできた。

Log4j Java library の深刻なゼロデイ脆弱性 CVE-2021-44228 に対処するには？

New zero-day exploit for Log4j Java library is an enterprise nightmare

2021/12/10 BleepingComputer — ユビキタスな Java ベースのロギング・ライブラリである Apache Log4j の、深刻なゼロデイ脆弱性の PoC エクスプロイトがオンラインで共有されたことで、ホーム／エンタープライズ・ユーザーが、リモートコード実行の攻撃にさらされる可能性が生じている。

Eltima SDK の複数の脆弱性：Amazon WorkSpaces などのクラウドに影響をおよぼす

Eltima SDK Contain Multiple Vulnerabilities Affecting Several Cloud Service Provides

2021/12/08 TheHackerNews — この脆弱性は、Amazon Workspaces／Accops／NoMachine などのクラウド・デスクトップ・ソリューションに、知らず知らずのうちに引き継がれており、攻撃者による各種の悪意のアクティビティを行う経路となり得ると、サイバー・セキュリティ研究者たちが明らかにした。

AWS と顧客の責任分担モデル：14項目の Shared Responsibility を表にしてみた

SBN What is the AWS Shared Responsibility Model?

2021/12/02 SecurityBoulevard — 多くのクラウド・プロバイダーと同様に、AWS は責任共有モデル (Shared Responsibility Model) を基に運営されている。AWS は ‘of’ the cloud のセキュリティに責任を持ち、AWSの顧客は ‘in’ the cloud のセキュリティに責任を持つ。AWS は、顧客の重要な情報やアプリケーションを保護するために、プラットフォームのセキュリティを優先しており、インフラのセキュリティに責任を持つ。

Dell と Amazon がデータ保護で連携：PowerProtect Cyber Recovery for AWS が登場

Dell Allies with AWS to Protect Data

2021/12/01 SecurityBoulevard — Dell Technologies と Amazon Web Services (AWS) は、AWS re:Invent カンファレンスにおいて、Dell EMC PowerProtect Cyber Recovery for AWS を発表した。これにより、サイバー攻撃を受けた企業がアクセスするための、データの完全なコピーを作成することが可能になる。Dell EMC PowerProtect Cyber Recovery for AWS は、これまで VMware のハイパーバイザーで提供されてきたが、AWS の Amazon Machine Image (AMI) 仮想マシン・アプライアンスにも提供されることになった。

AWS S3 Buckets の管理：大多数のユーザーが潜在的に抱える問題とは？

New Research: The Urgent Threat of Ransomware to S3 Buckets

2021/10/07 SecurityBoulevard — AWS S3 Buckets は信頼性が高いと評価されており、安心して利用できる。しかし、多くのクラウド・セキュリティ関係者は、S3 Buckets が予期せぬソースからの、大きなセキュリティ・リスクに直面していることを認識していない。それは ID である。漏洩した ID は、資格の組み合わせにより、組織のデータに対するランサムウェア攻撃を容易に許してしまう。

Amazon 傘下の Twitch ストリーミングサイト：ハッキングの背景にある憎悪とは？

Streaming Site Twitch Confirms Hack

2021/10/06 SecurityWeek — Amazon 傘下の人気ライブ・ビデオ・ストリーミング・プラットフォーム Twitch は、同社の機密データが流出したとの報告がネット上に掲載された後に、ハッカーたちがネットワークに侵入してきたと発表した。Twitch は、ゲームのライブ配信などを行っているサービスだが、この侵入は Twitter を介して確認されている。

ImmuniWeb の無料の Cloud Security Test：保護されていないストレージを検出

ImmuniWeb Launches Free Cloud Security Test to Detect Unprotected Storage

2021/09/30 TheHackerNews — IDC Cloud Security Survey 2021 では、過去18ヶ月以内に 98％もの企業が、クラウド上でデータ侵害の被害に遭っているとしている。パンデミックに煽られて、世界中の中小企業や大企業のデータやインフラが、パブリック・クラウドに移行しているが、その一方では、クラウドの新規性やセキュリティ／プライバシー問題を過小評価していることが多いようだ。

Amazon AWS Cloud でのインシデント対応：どこから考え始めれば良いのか？

Incident Response In The AWS Cloud

2021/09/30 CyberSecurityIntelligence — Amazon Web Services (AWS) のクラウドは、他の主要クラウド。ベンダーと同様に、責任共有モデルで機能している。つまり、AWS 側は基盤となるインフラを保護し、クラウドの顧客側は、アカウントと権限、ネットワークとデータ、クラウドに配置されたアプリケーション・コードなどの、クラウド上のリソースとデータを保護することが求められている。

６万以上のパークドメインに危機：レジストラだけではなく AWS にも問題が

Over 60,000 parked domains were vulnerable to AWS hijacking

2021/09/03 BleepingComputer — ドメイン・レジストラの MarkMonitor は、60,000件以上のパークドメインをハイジャックに対して脆弱な状態にしていた。Clarivate 傘下となった MarkMonitor は、世界のトップ・ブランドと、それを利用する何十億もの人々の、オンライン・プレゼンスの確立／保護を支援するドメイン管理会社である。そこにパークされたドメインは、存在しない Amazon S3 バケットのアドレスを指していることが確認されており、ドメイン乗っ取りの弱点が存在することを示唆している。

Microsoft / Google / Amazon / Apple がセキュリティの未来を議論 @ White House

Microsoft and Google to invest billions to bolster US cybersecurity

2021/08/26 BleepingComputer — 昨日に、ホワイトハウスで開催された Cybersecurity Summit において、ビッグテック／教育／金融／インフラなどの、各分野におけるエグゼクティブおよびリーダーが、米国の利益の安全性を強化することに約束した。

Black Hat 2021：クラウドの脆弱性にも CVE アプローチが必要なのか？

Researchers Call for ‘CVE’ Approach for Cloud Vulnerabilities

2021/08/07 DarkReading — Black Hat USA 2021 – Las Vegas – これまでの１年間において、クラウド・サービスのセキュリティ上の欠陥や弱点を、徹底的に調査してきた２人の研究者が、Amazon Web Services (AWS) アカウント間の隔離が破られるという、新たな問題を明らかにした。クラウド・セキュリティ企業である Wiz.io の Ami Luttwak と Shir Tamari によると、このようなアカウントをまたぐクラウド・サービスの脆弱性は、AWS 以外にも広く存在する可能性があるという。今回の調査では、クラウド・サービスの利用者にとって、自分が利用しているクラウドのインスタンスが、他の利用者のインスタンスから、必ずしも隔離されているわけではないという、厳しい現実が示唆された。

Amazon に科された GDPR 罰金 970億円の意味と反論

Amazon gets $888 million GDPR fine for behavioral advertising

2021/07/30 BleepingComputer — Amazon だが、ターゲット行動広告の実施方法に関する GDPR 違反の疑いで、€746 million ($887 million : 970億円)という記録的な罰金を科せられた。この罰金は、個人情報の収集と使用の合法性を監視するために設立された、独立公的機関であるルクセンブルグの CNPD (Commission nationale pour la protection des données) から要求されたものだ。本日に提出された SEC Form 10-Q において、この巨額の罰金は、2021年7月16日に CNPD から科されたものであり、個人データの不適切な処理に対するものとされると、Amazon は述べている。

Amazon の Ring がビデオの End-to-End 暗号化を開始

Amazon starts rolling out Ring end-to-end encryption globally

2021/07/14 BleepingComputer — Amazon 傘下の Ring は、ビデオの End-to-End Encryption (E2EE) のグローバルを、限定したデバイスを持つ顧客に向けて開始すると発表した。それに先立ち、2021年1月13日に Ring は、米国の顧客向けに E2EE テクニカル・プレビューをリリースすると発表している。Ring の説明によると「本日、テクニカル・プレビューから移行し、この機能の提供をグローバルに拡大できることを、喜んで発表する。Ring はデフォルトで、顧客の動画がクラウドにアップロードされた時（転送時）と、Ring のサーバーに保存された時（静止時）に、動画を暗号化している。

Fastly CDN の障害により数多くの Web サイトがダウン

StackOverflow, Twitch, Reddit, others down in Fastly CDN outage

2021/06/08 BleepingComputer — グローバル・ネットワークの停止により、世界中の主要な Web サイトが完全にダウンし、また、正しくコンテンツを読み込めないという状況に陥った。BleepingComputerによると、この記事を執筆された 6月8日の時点で、影響を受けているサイトは以下の通りとなる。

Ubiquiti へのサイバー攻撃は当初の発表より深刻かも？

Ubiquiti cyberattack may be far worse than originally disclosed

2021/04/01 BleepingComputer — Ubiquiti による1月のデータ侵害レポートは、企業や家庭のネットワークにディプロイされた、顧客のデータやデバイスを危険にさらす大掛かりなインシデントを、隠蔽する工作だと言われている。サードパーティであるクラウド・プロバイダーがホストするITシステムの一部に、攻撃者がアクセスしてユーザー・アカウントに影響を与えるという、