AWS アクセス・トークンなどをハードコード:1,800 種類の Android/iOS アプリ

Over 1,800 Android and iOS Apps Found Leaking Hard-Coded AWS Credentials

2022/09/01 TheHackerNews — 研究者たちが提起した深刻なセキュリティ・リスクとは、Amazon Web Services (AWS) 認証情報などをハードコードしている、1,859 種類の Android/iOS アプリが特定されたというものだ。Broadcom Software 傘下 Symantec の Threat Hunter チームは、The Hacker News と共有したレポートの中で、「それらのアプリの 77% に、AWS プライベート・クラウド・サービスにアクセスできる、有効な AWS アクセス・トークンが含まれていた」と述べている。

Continue reading “AWS アクセス・トークンなどをハードコード:1,800 種類の Android/iOS アプリ”

Pegasus Airline から漏洩した 6.5TB の機密情報:CSPM があれば AWS S3 バケットを守れたのか?

6.5TB of Sensitive Data Flies Away in Airline Cloud Data Breach

2022/06/07 SecurityBoulevard — つい先日のこと、Pegasus Airline は大規模なAWSデータ侵害に見舞われ、6.5TB のデータを危険にさらすことになった。最終的に、乗務員の個人情報/平文パスワード/秘密鍵/ソースコードなどの機密情報を含む、2300万件のファイルが公開されてしまった。犯人と思われるのは、悪名高い S3 バケット問題である。

Continue reading “Pegasus Airline から漏洩した 6.5TB の機密情報:CSPM があれば AWS S3 バケットを守れたのか?”

SEGA Europe が AWS S3 バケットを誤って公開:データとインフラが危険に

SEGA Europe left AWS S3 bucket unsecured exposing data and infrastructure to attack

2022/01/03 SecurityAffairs — サイバー・セキュリティ企業の VPN Overview の報告によると、年末にゲーム大手の SEGA Europe が、Amazon Web Services (AWS) の S3 バケットにユーザーの個人情報を誤って公開し、放置していたことが分かった。この S3 バケットには、複数の AWS キーが含まれており、これらのキーを使用することで、SEGA Europe の複数のクラウド・サービスにアクセスすることが可能だった。また、MailChimp や Steam のキーも含まれており、これらのサービスに SEGA の名前でアクセスすることもできた。

Continue reading “SEGA Europe が AWS S3 バケットを誤って公開:データとインフラが危険に”

クラウド環境におけるペンテストは従来からのパターンとは全く異なる

Penetration Testing in the Cloud Demands a Different Approach

2021/10/20 DarkReading — ほとんどの企業は、攻撃者がテクニックを変更すれば、防御側はセキュリティ戦略を見直す必要があるというパターンを熟知している。そして今、犯罪者がクラウド環境を攻撃の標的にしていることで、企業はクラウド・インフラの安全性を確保する必要に迫られている。

Continue reading “クラウド環境におけるペンテストは従来からのパターンとは全く異なる”

6万以上のパークドメインに危機:レジストラだけではなく AWS にも問題が

Over 60,000 parked domains were vulnerable to AWS hijacking

2021/09/03 BleepingComputer — ドメイン・レジストラの MarkMonitor は、60,000件以上のパークドメインをハイジャックに対して脆弱な状態にしていた。Clarivate 傘下となった MarkMonitor は、世界のトップ・ブランドと、それを利用する何十億もの人々の、オンライン・プレゼンスの確立/保護を支援するドメイン管理会社である。そこにパークされたドメインは、存在しない Amazon S3 バケットのアドレスを指していることが確認されており、ドメイン乗っ取りの弱点が存在することを示唆している。

Continue reading “6万以上のパークドメインに危機:レジストラだけではなく AWS にも問題が”