DeepSeek Exposes Major Cybersecurity Blind Spot
2025/02/13 SecurityWeek — 今月の流行語は DeepSeek である。この中国の AI 企業は、OpenAI ChatGPT や Google Gemini などの競合他社の数分の１のコストで R1 チャットボットを開発したと報じられており、米国のハイテク株式市場に波紋を広げ、AI インフラのコストと競争力に関する議論を引き起こした。しかし、より憂慮すべき問題も浮上している。米政府職員を含む何百万人もの無知なユーザーが、DeepSeek の Web サイトに殺到し、セキュリティやプライバシーのリスクを考慮せずに、個人情報を登録して共有したのだ。
Continue reading “DeepSeek をベースに考える：サイバー・セキュリティの大きな盲点”Lazarus APT targets crypto wallets using cross-platform JavaScript stealer
2025/02/06 SecurityAffairs — 北朝鮮に由来する Lazarus グループの新たなハッキング・キャンペーンにより、暗号通貨および旅行分野を標的とする偽の LinkedIn 求人情報が展開されていると、Bitdefender の研究者たちが報告している。
Continue reading “Lazarus APT の新たなキャンペーン：洗練された JavaScript スティーラーで機密情報を盗み出す”Researchers Uncover Lazarus Group Admin Layer for C2 Servers
2025/01/30 DarkReading — 世界中の暗号通貨企業やソフトウェア開発者に対する、最近の北朝鮮の Lazarus グループによる攻撃の調査により、攻撃者が一連のキャンペーンの Command and Control (C2) インフラを集中管理するために使用していた、隠されたマネージメント・レイヤーの存在が明らかになった。
Continue reading “北朝鮮 Lazarus の舞台裏：巧妙に隠されたインフラ Phantom Circuit が判明 – SecurityScorecard”OpenAI Blocks 20 Global Malicious Campaigns Using AI for Cybercrime and Disinformation
2024/10/10 TheHackerNews — 10月9日に OpenAI が発表したのは、同社のプラットフォームをグローバルで悪用する、20件以上の悪意のアクティビティとネットワークを、2024年に入ってから阻止したというメッセージである。阻止された悪質な活動として挙げられるのは、マルウェアのデバッグ／悪意の Web サイト記事執筆／悪意の SNS アカウント経歴の作成／X の偽アカウント用の AI 生成プロフィール画像の作成などである。
Continue reading “OpenAI を悪用するサイバー犯罪と偽情報拡散：20件以上の悪意のキャンペーンを阻止”Targeted PyPi Package Steals Google Cloud Credentials from macOS Devs
2024/07/27 DarkReading — macOS ユーザーの一部から Google Cloud Platform の認証情報を盗み出す、かなり奇妙な悪意の Python コードのパッケージを、研究者たちが発見した。Checkmarx の 7月26日のブログによると、このパッケージ “lr-utils-lib” は、6月初旬の時点で Python Package Index (PyPI) にアップロードされたものだが、セットアップ・ファイルに悪意のコードを隠し持っていた。 そのコードは、macOS システム上で実行されていることをチェックし、続いて、システムの IOPlatformUUID をチェックする。この値は、特定の Mac コンピュータを識別するために使用されるものである。
Continue reading “lr-utils-lib という悪意の PyPI パッケージ：macOS 開発者から Google Cloud の認証情報を窃取”Experts Warn Of A Flaw In Fluent Bit Utility That Is Used By Major Cloud Platforms And Firms
2024/05/21 SecurityAffairs — 主要クラウド・プラットフォームで使用されている、Fluent Bit ユーティリティに深刻な脆弱性が存在することを、Tenable の研究者たちが発見した。オープンソースとして提供される Fluent Bit は、ログを取り扱うための軽量かつ高性能なプロセッサ／フォワーダである。このユーティリティは、各種のソースから各種のディスティネーションへと、ログなどの多様なデータを収集／処理／転送するように設計されている。Fluent Bit は Fluentd エコシステムの一部であり、リソース効率に最適化されているため、IoT デバイス／エッジ・コンピューティング／コンテナ化されたアプリケーションなどの、リソースが限定されている環境に適している。
Continue reading “Fluent Bit ログ管理に深刻な脆弱性 CVE-2024-4323：DoS 攻撃のための PoC が提供される”LinkedIn users targeted in account hijacking campaign
2023/08/16 HelpNetSecurity — 複数の LinkedIn ユーザーが、アカウント乗っ取りキャンペーンの標的にされ、アカウントからロックアウトされている。最近になって Cyberint の調査チームが気づいたことは、LinkedIn アカウントの乗っ取りについて、各種の SNS 上の会話が大幅に増加していることだった。Google Trends によると、”LinkedIn account hacked 2023″ や “LinkedIn account recovery appeal “といった検索クエリが爆発的に増加しており、5000% 以上の伸びを示しているという。
Continue reading “LinkedIn ユーザーは御用心：大規模なアカウント・ハイジャック・キャンペーンが発生”Banking Sector Targeted in Open-Source Software Supply Chain Attacks
2023/07/24 TheHackerNews — 銀行業界を初めて標的とする、オープンソース・ソフトウェアのサプライチェーン攻撃が、サイバー・セキュリティの研究者たちにより発見された。Checkmarx は先週に公開したレポートで、「これらの攻撃では、被害者である銀行の Web 資産に悪意の機能を追加することで、特定のコンポーネントを標的にするといった、高度なテクニックが使用されている」と述べている。
Continue reading “バンキング OSS サプライチェーン攻撃：銀行員を装う脅威アクターが悪意の npm パッケージを展開”Researcher breaches Toyota supplier portal with info on 14,000 partners
2023/02/07 BleepingComputer — トヨタ自動車の Global Supplier Preparation Information Management System (GSPIMS) が、セキュリティ研究者により侵入され、その結果が同社に報告されたことが明らかになった。 GSPIMS は、従業員やサプライヤーがリモートでログインし、トヨタのグローバル・サプライチェーンを管理する、自動車メーカーのための Web アプリケーションである。この研究者が、EatonWorks というペンネームで発表したのは、トヨタのシステムに存在するバックドアの発見と、電子メールさえ知っていれば、誰もが既存のユーザー・アカウントにアクセスできるという現状である。
Continue reading “TOYOTA サプライヤー・ポータルに侵入：機密データへのアクセス方法を研究者が報告”Yahoo Overtakes DHL As Most Impersonated Brand in Q4 2022
2023/01/25 InfoSecurity — Check Point チェック・ポイントのセキュリティ研究者たちは、2022年 Q4 に最も成りすまされたブランドは、フィッシングの全試行の 20% を占めた Yahoo であり、DHL をトップから陥落させたことを明らかにした。この調査結果は、同社の最新ブランド・フィッシング・レポートから得られたものであり、数十万ドル相当の賞金が Yahoo から提供されるというメールを、複数のサイバー犯罪者たちが配信していることが確認されたようだ。メールの送信者は、”Award Promotion” や “Award Center” といった名前を使用している。
Continue reading “フィッシング・ブランドの首位は Yahoo：2022年 Q4 の調査結果で DHL を逆転”Meta fined €265M for not protecting Facebook users’ data from scrapers
2022/11/28 BleepingComputer — 世界中の数億人のユーザー情報が流出した、2021年の Facebook データ大量流出事件を追求する、アイルランドの DPC (data protection commission) は Meta に対して、€265 million ($275.5 million) の罰金を科した。5億3300万人の Facebook ユーザーのデータが、2021年4月14日にハッカーフォーラムで公開されたことを受けて開始された、Meta による GDPR 違反に関する DPC の調査は、これにより終了した。
Continue reading “Facebook 対 GDPR：$275M の罰金とデータ・スクレイピングへの圧力”Ducktail information stealer continues to evolve
2022/11/23 SecurityAffairs — 2022年7月下旬に WithSecure (旧 F-Secure Business) の研究者たちが発見したのは、Facebook Business／Ads プラットフォームの組織／個人を標的とする、Ducktail という名の進行中のオペレーションだ。このキャンペーンの主体については、2018年から活動していると見られる、ベトナムの経済的な動機を持つ脅威アクターだと、専門家たちは考えている。この脅威アクターの主目的は、ターゲットの Facebook Business アカウントを乗っ取ることだ。
Continue reading “Ducktail 情報スティーラーが進化：狙いは Facebook Business アカウント”7 Hidden Social Media Cyber Risks for Enterprises
2022/10/27 DarkReading — ブランドを持つ企業はソーシャルメディアを好み、ビジネスの拡大／新入社員の採用／新製品の宣伝／消費者への直販などに活用している。最近の統計によると、ソーシャルメディア上のブランド広告は、昨年には 53% 増という成長を示し、それぞれのブランドは、コンテンツの開発と配布に投資し続けている。また、コンテンツとしては、バイラルビデオ／興味深いミーム／ポッドキャスト／ドキュメントなどがあり、顧客とのエンゲージメントを高めている。
Continue reading “企業が SNS を使うとき：そこに隠された７つのリスクとは？”LinkedIn’s new security features combat fake profiles, threat actors
2022/10/26 BleepingComputer — LinkedIn は３つの新機能を導入し、偽プロフィールやプラットフォーム悪用に対抗していくという。それらの新機能には、認証された勤務先のＥメール／電話番号の有無により、プロフィールの正真性を確認するなどの、新たな手法が含まれている。この数年において、同サービスは脅威アクターたちに悪用され、マルウェアの配布／サイバースパイ活動／認証情報の窃盗／金融詐欺などの温床となっていた。
Continue reading “LinkedIn の新しいセキュリティ機能：偽プロフィールをチェックして詐欺を防ぐ”DHL Replaces LinkedIn As Most Imitated Brand in Phishing Attempts
2022/10/24 InfoSecurity — 2022年7月〜9月にかけて、フィッシング詐欺に悪用されたブランドの第１位は、海運会社の DHL となり、LinkedIn はその座を明け渡した。このデータは、今日に Check Point が InfoSecurityと共有した、Q3 Brand Phishing Report によるものだ。新しいデータによると、DHL を模倣したフィッシングは、現在、全世界のフィッシング試行の４分の１弱 (22%) を占めているという。それは、DHL が Q3 が始まる数日前に警告した、世界規模の大規模な詐欺とフィッシングの攻撃に一因であると、Check Point は述べている。
Continue reading “DHL を装うフィッシングに御用心：2022 Q3 調査で LinkedIn を抑えてトップに！”LinkedIn Smart Links abused in evasive email phishing attacks
2022/09/21 BleepingComputer — フィッシング詐欺師たちが LinkedIn の Smart Link 機能を悪用してメールセキュリティ製品を回避し、フィッシング・ページにターゲット・ユーザーを誘導した後に、支払い情報を盗み出すことに成功している。この Smart Link は、LinkedIn の Sales Navigator／Enterprise のユーザーだけが使える機能であり、追跡可能な１つのリンクを使用して、最大 15件の文書をまとめて送信することができる。
Continue reading “LinkedIn の Smart Link を悪用：セキュリティを回避するフィッシング攻撃に御用心”LinkedIn phishing target employees managing Facebook Ad Accounts
2022/07/25 BleepingComputer — Ducktail というコードネームで呼ばれる、新しいフィッシング・キャンペーンが進行中だ。そこでは、LinkedIn に登録されている専門家がターゲットにされ、企業の広告を管理する Facebook のビジネス・アカウントが乗っ取られている。Ducktail のオペレーターは、ターゲットの範囲を絞り込み、犠牲者を慎重に選び出し、Facebook ビジネス・アカウントの管理者権限を持っている人を見つけようとする。
Continue reading “Facebook ページ担当者に迫る乗っ取りの脅威：LinkedIn での怪しい勧誘に御用心”Learn How Hackers Can Hijack Your Online Accounts Even Before You Create Them
2022/05/25 TheHackerNews — 悪意の行為者は、アカウント・プリ・ハイジャックと呼ばれる新しい手法で、ユーザーのオンラインア・カウントに不正にアクセスできることが、新しい研究で明らかになった。この攻撃は、Web サイトなどのオンライン・プラットフォームにおける、一般的なアカウント作成プロセスを狙ったものであり、何も知らない被害者が対象サービスのアカウントを作成する前に、敵対者による一連のアクションの実行が可能となる。この研究は、独立系セキュリティ研究者の Avinash Sudhodanan が、Microsoft Security Response Center (MSRC) のAndrew Paverd と共同で行ったものである。
Continue reading “アカウント・プレハイジャックという新たな攻撃手法：待ち伏せして悪さする”LinkedIn brand takes lead as most impersonated in phishing attacks
2022/04/19 BleepingComputer — セキュリティ研究者たちの警告によると、フィッシング攻撃で最も詐称されるブランドは LinkedIn であり、世界レベルで全体の 52% 以上を占めているとのことだ。サイバー・セキュリティ企業の Check Point のデータによると、2022年 Q1 のフィッシング・インシデントにおける、LinkedIn ブランドの悪用が劇的に増加している。同社によると、2021年 Q4 は、LinkedIn はリストの５位であり、なりすまし攻撃の件数は 8％ というレベルであった。
Continue reading “LinkedIn ユーザーなりすましが急増：大量の実用的な情報を狙うハッカーたち”Google Uncovers ‘Initial Access Broker’ Working with Conti Ransomware Gang
2022/03/18 TheHackerNews — Google の Threat Analysis Group (TAG) は、ロシアのサイバー犯罪組織である Conti や Diavol などと密接に関係しているとされる、新たなイニシャル・アクセス・ブローカーの情報を公表した。この Exotic Lily と名付けられた脅威アクターは、Microsoft Windows の MSHTML プラットフォームに存在する、修正済みの深刻な脆弱性 CVE-2021-40444 を悪用し、世界 の 650 の標的組織に対して、１日に 5000通以上のビジネス提案をテーマにした電子メールを送信する、フィッシング・キャンペーンを広く展開していると確認されている。
Continue reading “Google が追跡：Conti／Diavol と連携するアクセス・ブローカー Exotic Lily”Russia Fines Google For Illegal Content Breach
2022/01/06 CybersecurityIntelligence — モスクワの裁判所が、ロシアで違法とされるコンテンツの削除を、繰り返して怠ったとして、Google に 7.2bn roubles ($98m : £73m) の罰金を科した。これは、欧米のテクノロジー企業を統制しようとするロシア政府において、最大の罰金額であり、ロシア国内での起訴が続く可能性がある。今回の判決は、ロシアでは初となる、収益に連携する罰金となる。インターネットの取り締まりが懸念される中、欧州連合 (EU) で初めて実施された年間売上高に基づく罰金が、さらに増える可能性もある。
Continue reading “ロシア政府：違法とするコンテンツの掲載／削除をめぐり Google に罰金”Biggest API Security Attacks of 2021 … So Far
2021/11/30 SecurityBoulevard — 脅威アクターたちにより、API セキュリティのギャップが露呈され続けている。デジタル・サービスを革新し、他のサービスと接続したいという願望は、悪意の脅威アクターたちの攻撃対象を広げることになる。セキュリティ上の懸念よりも、開発の俊敏性／革新性／反復性が優先されがちな世界では、敵対者たちは API を介してサービスに侵入し、いとも簡単に機密データを盗み出していく。そして 2021年には、多くの API 攻撃が発生している。ここでは、その中でも最大級のものを４つ紹介する。
Continue reading “2021年の API 大惨事：Parler／Clubhouse／LinkedIn／NoxPlayer インシデントをふり返る”Google: Russian SVR hackers targeted LinkedIn users with Safari zero-day
2021.07/14 BleepingComputer — Google Threat Analysis Group (TAG) と Google Project Zero の研究者たちは、Google Chrome / Internet Explorer / Apple Safari で使用されている WebKit の、４つのゼロデイ脆弱性を明らかにした。今年の初めに Google の研究者により発見された４つのゼロデイ・エクスプロイトは、悪用の実例があるものになった。
・ Chrome の CVE-2021-21166 / CVE-2021-30551
・ Internet Explorer の CVE-2021-33742
・ WebKit (Safari) の CVE-2021-1879
Authentication Bypass in Adobe Experience Manager Impacts Large Organizations
2021/06/29 SecurityWeek — Adobe Experience Manager (AEM) は、Web サイトやモバイル・アプリの構築に用いられる CMS (content management solution) であると同時に、開発者によるコンテンツやアセットの管理にも活用される。Detectify Crowdsource Community の研究者である Ai Ho と Bao Bui が、この製品に認証バイパスの脆弱性があることを発見した。
Continue reading “Adobe Experience Manager の認証バイパスの脆弱性が大手企業に影響をおよぼしている”China calls out ByteDance, Kuaishou, and LinkedIn for illegal data collection
2021/05/21 SCMP — 中国のインターネット監視当局は、中国版 TikTok / Kuaishou / LinkedIn と 102 種類のモバイル・アプリケーションを、個人データの違法な収集と利用があったとして名指しで非難した。Cyberspace Administration of China (CAC) は、ユーザーからの苦情を受けた後に、105のアプリが複数の法律に違反したと判断した。
Continue reading “ByteDance / Kuaishou / LinkedIn は違法にデータを収集していると中国政府が批判”
IoT OT Security News 