Literacy – Page 8 – IoT OT Security News

DragonForce が RansomHub を敵対的買収？サイバー犯罪グループ間の抗争が激化

DragonForce Engages in “Turf War” for Ransomware Dominance

2025/05/23 InfoSecurity — サイバー犯罪市場における優位性を確立しようとする DragonForce が、ライバルのランサムウェア・オペレーターとの縄張り争いを繰り広げていることが、Sophos の最新調査により明らかになった。2025年3月下旬に RansomHub のインフラが停止した事件にも、この DragonForce が関与している模様だ。この事件は、４月のランサムウェア攻撃件数の大幅な減少に貢献した。この件は、DragonForce から RansomHub に対する、敵対的買収の試みの結果だとも言われている。

LEV による KEV と EPSS の強化：CISA と NIST の研究者が新たな指標の計算式を発表

Vulnerability Exploitation Probability Metric Proposed by NIST, CISA Researchers

2025/05/20 SecurityWeek — CISA と NIST の研究者たちが提案するのは、脆弱性が実際に悪用される可能性を算出するための、新たなサイバー・セキュリティ指標である。NIST の Peter Mell と CISA の Jonathan Spring が発表したのは、Likely Exploited Vulnerabilities (LEV) と呼ばれる指標の計算式を解説する論文である。ソフトウェアとハードウェアにおいて、毎年、数千件もの脆弱性が発見されている、実際に悪用されるのは、そのうちのごく一部である。

Chrome Extension ユーザーが標的：100+ の悪意のエクステンションと Web サイトを準備するキャンペーン

100+ Fake Chrome Extensions Found Hijacking Sessions, Stealing Credentials, Injecting Ads

2025/05/20 TheHackerNews — 2024年2月以降において、正体不明の脅威アクターが作成した悪意の Chrome エクステンション群は、無害に見えるユーティリティを装いながら、データの窃取／コマンドの受信／任意コードの実行といった機能を隠し持っている。

AWS のデフォルト IAM ロール：自動的に付与される過剰な権限とラテラルのリスク

AWS Default IAM Roles Found to Enable Lateral Movement and Cross-Service Exploitation

2025/05/20 TheHackerNews — Amazon Web Services (AWS) に影響を及ぼす、IAM (identity and access management) の高リスクのデフォルト・ロールを、サイバー・セキュリティ研究者たちが発見した。これらのロールを悪用する攻撃者は、権限の昇格や、他の AWS サービスの操作を達成し、AWSアカウントの完全な侵害の可能性を手にするという、きわめて危険なものである。

Microsoft Windows 11 に MCP を統合：OS を AI agentic プラットフォームに変革する？

A New Era for Windows: Microsoft’s Protocol Transforms OS into AI Agent Platform

2025/05/20 SecurityOnline — Microsoft Build 2025 において同社が発表したのは、 Windows 11 への Model Context Protocol (MCP) の統合であり、オペレーティング・システムを AI agentic プラットフォームへと変革する重要な一歩を踏み出した。Microsoft によると、MCP は AI agentic ベース・コンピューティングのための統一プロトコルとして、安全かつ相互運用可能な基盤層を提供するという。

日本の Active Cyberdefense Law が制定：先制的な攻撃的サイバー作戦を可能に

Japan passed a law allowing preemptive offensive cyber actions

2024/05/19 SecurityAffairs — 日本が制定した Active Cyberdefense Law は、被害が発生する前に脅威に対抗するための、先制的な攻撃的サイバー作戦を可能にするものだ。それが示すのは、憲法第９条に基づく日本の平和主義的な立場からの転換であり、サイバー防衛力を西側主要国と同等に高め、同盟国への広範な軍事支援を可能にすることを目指している。

2024年の脆弱性を分析：Linux の発生件数は 967% 増／全体的な悪用件数は 96% 増

New Linux Vulnerabilities Surge 967% in a Year

2025/05/15 InfoSecurity — 2024年に Linux と macOS で発見された脆弱性の件数が劇的に増加したと、Action1 の最新分析が語っている。サイバー・セキュリティ・ベンダーである Action1 の、2025 Software Vulnerability Ratings Report は、National Vulnerability Database (NVD) とSecurityScorecard の CVEdetails.com サイトの詳細分析をベースにしたものだ。Action1 の推計によると、2024年に発見された脆弱性の総数は、前年比で 61% 増の 6,761件となるが、Linux の脆弱性は “前例のない” 967%増の 3,329件に達したという。

コンプライアンスのためのペンテスト？そんな時代遅れのループに嵌まっていませんか？

Pen Testing for Compliance Only? It’s Time to Change Your Approach

2025/05/15 TheHackerNews — 次のような状況を想像してほしい。ある組織が、１月に年次ペネトレーション・テストを完了し、セキュリティ・コンプライアンスで高い評価を得た。そして２月には、開発チームが定期的なソフトウェア・アップデートを導入した。しかし４月には、そのアップデートで混入した脆弱性を悪用する攻撃者が、顧客データにアクセスした。それは、この脆弱性が検知される数週間前のことだった。

Google とテキサス州が 14億ドルの罰金で合意：不正な位置追跡と生体認証データの収集

Google Pays $1.375 Billion to Texas Over Unauthorized Tracking and Biometric Data Collection

2025/05/10 TheHackerNews — Google がテキサス州と合意したのは、ユーザーの同意を得ることなく、個人位置情報を追跡し、顔認識データを保持したとして提起された、２件の訴訟を和解するために $1.375 billion を支払うことだ。この支払い額は、他州からの同様の訴訟において、Google が支払った罰金を大きく上回っている。2022年11月に Google は、40州の連合に対して $391 million を支払い、また、2023年12月にはインディアナ州およびワシントン州に $29.5 million を、そして、同年 9月にはカリフォルニア州との和解で $93 million を支払っている。

Gemini Nano vs. テック・サポート詐欺：Chrome の新機能で即時検出

Google Chrome to use on-device AI to detect tech support scams

2025/05/09 BleepingComputer — Google が発表したのは、組み込みの LLM である Gemini Nano を活用する、新しい Chrome セキュリティ機能の実装である。その機能はというと、Web の閲覧中にテクニカル・サポート詐欺を検出／阻止するものだ。テクニカル・サポート詐欺とは、悪意の Web サイトでユーザーを欺き、その PC にウイルス感染やシステム不具合が生じていると見せかける手口である。それらの悪意の警告は、フルスクリーンのブラウザ・ウィンドウやポップアップとして表示され、ユーザーの操作を妨げる特徴がある。

ポスト・クォンタムのセキュリティ：耐量子暗号化の導入は５％に過ぎない – DigiCert 調査

Just 5% of Enterprises Have Deployed Quantum-Safe Encryption

2025/05/08 InfoSecurity — DigiCert によると、米国／英国／オーストラリアの企業の大多数は、量子コンピューティングにより５年以内に、現在の暗号化が破られると考えているようだが、現時点では耐量子暗号 (PQC：post-quantum cryptography) の導入には至っていないようだ。

Radware Cloud Web App Firewall の脆弱性 CVE-2024-56523／56524 が FIX：フィルター・バイパスの恐れ

Radware Cloud Web App Firewall Flaw Allows Attackers to Bypass Security Filters

2025/05/08 gbhackers — Radware の Cloud Web Application Firewall (WAF) に存在する２件の深刻な脆弱性が、CERT/CC のセキュリティ研究者たちにより発見された。この脆弱性 CVE-2024-56523／CVE-2024-56524 を悪用する攻撃者は、セキュリティ・フィルターをバイパスし、保護されている Web アプリへ向けた悪意のペイロードの配信を可能にする。これらの脆弱性が浮き彫りにするのは、非標準の HTTP リクエストや特殊文字を含むユーザー入力データを、WAF が処理する方法の根本的な弱点である。これらの脆弱性は 2025年5月7日に公表され、最近のアップデートで修正が示唆されているが、現時点でも Radware は公式に認めていない。

AI と NHI：増え続ける非人間 ID の管理がセキュリティの強化と効率化のカギになる

How agentic AI and non-human identities are transforming cybersecurity

2025/05/08 HelpNetSecurity — 平均的な企業において、NHI (non-human identities) の数と、従業員／請負業者／顧客の数を比較すると、10対1 〜 92対1 の割合で、前者が上回っているという。それに加えて、人間のアイデンティティ管理における断片化という問題もある。具体的に言うと、オンプレミス／クラウド／ハイブリッドなど複数の環境へのアクセスを、１人の人物に対して許可することで生じる問題であり、それにより、企業の IAM (identity and access management) は、きわめて困難な時代を迎えている。

パスワードへの向き合い方：BB／X／Y／Z 世代ごとの感覚の違いと共有と再利用におけるギャップ

People know password reuse is risky but keep doing it anyway

2025/05/02 HelpNetSecurity — Bitwarden によると、Z世代の 35% は、自身のアカウントに影響を及ぼすデータ侵害の後であっても、”ほとんど” あるいは “まったく” パスワードを更新しないと回答しているようだ。侵害されたパスワードを、常に更新していると回答したのは、わずか 10% に過ぎないとのことだ。

トランプ政権の安全保障会議：攻撃的ハッキングの可能性について述べる – RSAC 2025

Top NSC official wants to normalize offensive hacking as tool of US might

2025/05/01 nextgov — SAN FRANCISCO ― 国家安全保障会議 (NSC：National Security Council) サイバー・セキュリティ担当トップとして、初めての重要な議論に臨んだ Alexei Bulazel は、米国の国家権力の手段としての攻撃的なサイバー活動の利用を常態化させたいと述べた。ドナルド・トランプ大統領の１期目において NSC サイバー政策局長を務めた Alexei Bulazel は、全米の重要インフラシステムを標的とする、中国をはじめとする敵対勢力からのサイバー攻撃に対して “同等の対応” を講じることが可能だと、サンフランシスコで開催された RSAC Conference でサイバー・セキュリティ専門家たちに述べた。

AI プロトコル MCP／A2A に潜む脅威：新たな視点から AI ツールとデータ流出を考える

Researchers Demonstrate How MCP Prompt Injection Can Be Used for Both Attack and Defense

2025/04/30 thehackernews — AI 分野が急速に進化する中で、Model Context Protocol (MCP) の悪用方法が分析され、プロンプト・インジェクション攻撃だけではなく、セキュリティ・ツールの開発や悪意のツールの特定などもカバーできそうなことが、Tenable の調査により明らかになった。Anthropic が 2024年11月に発表した、新しいプロトコル MCP は、大規模言語モデル (LLM：Large Language Models) と外部のデータソース／サービスを接続するために設計されたものだ。その目的は、LLM が選ぶ外部ツールを通じて、それらのシステムと連携し、AI アプリケーションの精度／関連性／実用性などを高めるところにある。

OAuth ミスコンフィグの脆弱性：YesWeHack バグ・バウンティで判明した際限のない PII の抽出

Researchers Exploit OAuth Misconfigurations to Gain Unrestricted Access to Sensitive Data

2025/04/30 gbhackers — 先日に実施された YesWeHack バグ・バウンティ・キャンペーンにおいて、OAuth2 認証情報のミスコンフィグに起因する深刻な脆弱性が、あるセキュリティ研究者により発見された。Web アプリケーションを詳細に分析した結果として、この認証フレームワークにおける些細な見落としが深刻なリスクをもたらすという、驚くべき状況が明らかになった。

2024年に発生したゼロデイ攻撃は 97件：50%以上がスパイウェア攻撃に関連 – Google 調査

Google: 97 zero-days exploited in 2024, over 50% in spyware attacks

2025/04/29 BleepingComputer — Google Threat Intelligence Group (GTIG) によると、2024年には 75件のゼロデイ脆弱性が実際の攻撃で悪用され、そのうちの半数以上がスパイウェアによる攻撃に関連していたという。この数値は、2023年の 97件から減少しているが、2022年の 63件からは増加している。GTIG のアナリストたちは、この変動について、「ゼロデイ脆弱性の悪用件数は全体として増加傾向にあり、このばらつきは想定内である」と分析している。なお、Google によるゼロデイ脆弱性の定義は、「ベンダーがパッチを公開する前に実環境で悪用された脆弱性」である。

DDoS 2025 Q1 – Cloudflare：急増するネットワーク層攻撃と CLDAP／ESP リフレクション攻撃

Cloudflare mitigates record number of DDoS attacks in 2025

2025/04/28 BleepingComputer — インターネット・サービス大手の Cloudflare は、2024年に過去最多となる DDoS 攻撃を緩和したと発表した。攻撃件数は前年比で 358%、前四半期比で 198%と、いずれも大幅な増加となっている。この数字は、Cloudflare が公開した 2025 Q1 DDoS レポートに基づくものであり、2024 年を通じて合計 2,130 万件の DDoS 攻撃を緩和したと、同社は報告している。しかし、2025 年はオンライン企業や組織にとって、さらに深刻な年となる兆しを見せている。Cloudflare は、2025 Q1 だけで、すでに 2,050 万件の DDoS 攻撃に対応したと報告している。

GoSearch は OSS の OSINT ツール：Hudson Rock などのデータを解析／視覚化

GoSearch: Open-source OSINT tool for uncovering digital footprints

2025/04/28 HelpNetSecurity — GoSearch が提供するものは、Hudson Rock のサイバー犯罪データベースのデータを取り入れ、サイバー犯罪との関連性に示す詳細な情報である。また、BreachDirectory.org と ProxyNova のデータベースも活用し、ユーザー名に関連付けられたプレーン・テキストやハッシュ化されたパスワードなどの、侵害されたデータへの広範なアクセスを提供している。不要な複雑さを避け、信頼性の高い結果を求める捜査官にとって、GoSearch は最適なツールとなっている。

サイバー犯罪フォーラム BreachForums の突然の消失：MyBB の脆弱性との決別を主張

BreachForums Displays Message About Shutdown, Cites MyBB 0day Flaw

2025/04/28 hackread — BreachForums 投稿した PGP 署名付きのメッセージは、2025年4月の突然の閉鎖を説明するものだ。その管理者は、MyBB のゼロデイ脆弱性が、自身のサイトに影響を与えていることを理由に挙げ、差し押さえを否定し、復旧の計画とクローンの存在を警告している。2025年4月の初旬に、サイバー犯罪とデータ漏洩に関する著名フォーラムである BreachForums が、何の説明もなくインターネットから姿を消した。ハッカー集団 ShinyHunters が管理／所有するフォーラムは、終了の説明もなくオフラインとなり、法執行機関による差し押さえの可能性について、さまざまな憶測が飛び交った。

Brave の Cookiecrumbler が OSS 化：AI を用いて Cookie 同意通知をブロック

Brave’s Cookiecrumbler tool taps community to help block cookie notices

2025/04/27 BleepingComputer — Brave の Cookiecrumbler という新しいツールが、オープンソース化された。このツールは、大規模言語モデル (LLM) を用いて Cookie 同意通知を検出し、コミュニティ主導のレビューに基づき、サイトの機能に支障をきたさない通知をブロックするものだ。

CVE プログラムの今後：CISA が再確認する継続的なサポートの約束とは？

CISA Clarifies CVE Program’s Stability Amid Funding Concerns

2025/04/24 SecurityOnline — CVE (Common Vulnerabilities and Exposures) プログラムの不安定さを懸念する、最近のメディア報道を受けるかたちで CISA は、最も重要なサイバー・セキュリティ・インフラの一つである CVE を維持するコミットメントを、強い声明で再確認している。

2025 Q1 に悪用された CVE は 159件：１日以内に攻撃が始まったのは 28.3% – VulnCheck 調査

159 CVEs Exploited in Q1 2025 — 28.3% Within 24 Hours of Disclosure

2025/04/24 TheHackerNews — 2025 Q1 において、実環境で悪用された CVE は 159件にのぼり、2024 Q4 の 151件から増加していることが明らかになった。セキュリティ企業 VulnCheck は、「脆弱性の情報が公開されてから、悪用されるまでの時間の短縮という傾向が続いており、CVE 公開から 1 日以内に悪用された脆弱性は、28.3% に達している」と、The Hacker News に共有したレポートで述べている。

Verizon DBIR 2025：脆弱性悪用とサードパーティ経由による侵害が急増

Verizon DBIR 2025: Vulnerability Exploitation Surges, Third-Party Breaches Double

2025/04/24 SecurityOnline — Verizon のデータ漏洩調査報告書 2025年版 (Data Breach Investigations Report：DBIR) が明らかにするのは、組織が注意を払うべき、サイバー脅威の状況における重要な変化である。このレポートでは、データ侵害が確認された 12,195 件のインシデントが分析されており、攻撃者による脆弱性の悪用が、主要なイニシャル・アクセスポイントとして増加している状況が示されている。

AI によるエクスプロイト開発の自動化：Erlang の脆弱性 CVE-2025-32433 が数時間で武器化

AI Turns CVEs into Exploits in Hours: The Case of CVE-2025-32433

2025/04/23 SecurityExpress — エクスプロイト開発の自動化は、もはや遠い未来の話ではなく、現実の世界のものである。適切なプロンプトとオープンソース・データへのアクセスがあれば、人工知能は脆弱性に関する説明を、わずか数時間で実用的なエクスプロイトに変換できる。それを実証したのは ProDefense のエキスパート Matthew Keeley であり、Erlang SSH ライブラリの深刻な脆弱性 CVE-2025-32433 のエクスプロイトを、僅か一晩で作成することに成功したのだ。

CISA における予算削減の余波：VirusTotal と Censys との利用契約が終了か？

CISA warns threat hunting staff of end to Google, Censys contracts as agency cuts set in

2025/04/18 NextGov — Cybersecurity and Infrastructure Security Agency (CISA) が、今週に数百人の職員に対して通知した内容は、サイバー・セキュリティ・ツールの１つを廃止し、脅威ハンティングに特化したツールの廃止も予定しているというものである。事情に詳しい２人の関係者の内部メールを、Nextgov/FCW が確認したことで、この動きが明らかになった。

GCVE という新たな取組：CVE ID 管理を中央集権から分散へと向かわせる

GCVE: Decentralizing Vulnerability Identification for Greater Agility

2025/04/18 SecurityOnline — 新たな取り組みとして始動した Global CVE (GCVE) 割り当てシステムは、セキュリティ脆弱性の特定と、CVEID の採番という重要な作業に、分散型のアプローチを導入している。このシステムでは、独立した GCVE Numbering Authorities (GNA) が CVE ID を直接的に割り当てられるようになるため、従来の中央集権型の手法と比べて、より高い自律性と迅速さが期待されている。

CVE Program の危機が回避された：CISA から MITRE への資金提供の継続が決定

CISA Extends CVE Program Funding to Prevent Critical Service Disruption

2025/04/16 SecurityOnline — Cybersecurity and Infrastructure Security Agency (CISA) が発表したのは、サイバー・セキュリティ・コミュニティの基盤となるツールである、Common Vulnerabilities and Exposures (CVE) プログラムへの資金提供を延長し、その運用を継続して保護することである。この土壇場での介入により、25年の歴史を持つ脆弱性追跡システムの運用の、中断の危機が回避されたことになる。

CVE プログラムの未来を担う CVE Foundation が発足：グローバルな脆弱性管理体制へ

CVE Foundation Launched to Secure Vulnerability Tracking

2025/04/16 SecurityOnline — サイバー・セキュリティ分野における重大な転換となる、CVE (Common Vulnerabilities and Exposures) Foundation の設立が正式に発表された。この動きは、脆弱性を追跡するためのグローバルなシステムである、CVE (Common Vulnerabilities and Exposures) プログラムの独立性と安定性を、長期的に確保するという目標の現れである。この発表は、MITRE による CVE プログラム運営に対する資金提供を、米国政府終了するという内部文書が流出した翌日に行われた。つまり、1999年から 25年間も続いた、政府による支援が打ち切られることが明らかになったわけである。

CVE プログラムに対する政府資金が終了：MITRE が懸念するセキュリティ分野への影響

MITRE warns that funding for critical CVE program expires today

2025/04/16 BleepingComputer — 米国政府による CVE (Common Vulnerabilities and Exposures) および CWE (Common Weakness Enumeration) プログラムへの資金提供が、2025年4月16日で終了することを、MITRE の VP である Yosry Barsoum が発表した。それにより、世界中のサイバー・セキュリティ業界に、広範な混乱が生じる可能性があると、彼は警告している。

NIST NVD が運用体制を刷新：CVE バックログの解消に向けた改革とは？

NVD Revamps Operations as Vulnerability Reporting Surges

2025/04/11 InfoSecurity — 内部の混乱と脆弱性のバックログの増加に揺れた激動の１年を経て、米国 NIST (National Institute of Standards and Technology) 内の NVD (National Vulnerability Database) チームはようやく安定を取り戻した。しかし、いまの NVD は、新たな課題に直面している。つまり、報告される脆弱性の急増により膨れ上がったバックログが、再建されたチームの努力を上回る勢いを見せているのだ。

IAB たちの戦術転換：イニシャル・アクセスの低価格／大量販売で攻撃を加速 – Check Point 調査

Initial Access Brokers Shift Tactics, Selling More for Less

2025/04/11 TheHackerNews — アンダーグラウンド市場の仲介業者であるイニシャル・アクセス・ブローカー (IAB：Initial Access Broker) は、コンピュータ・システムやネットワークへの不正侵入を専門とし、そのアクセス権を他のサイバー犯罪者に販売することで利益を得ている。この“役割分担”により、IAB はソーシャル・エンジニアリングやブルートフォース攻撃などの手法を使った脆弱性の悪用という、自身の本業に専念できるというわけだ。

MCP に潜む脆弱性：AI 時代の新たな脅威として浮上するツール・ポイズニング攻撃

Tool Poisoning Attacks: Critical Vulnerability Discovered in Model Context Protocol (MCP)

2025/04/10 SecurityOnline — Model Context Protocol (MCP) に存在する深刻な脆弱性は、ツール・ポイズニング攻撃 (TPA：Tool Poisoning Attacks) を可能にするものだと、Invariant Labs が明らかにした。AI エージェントが利用する、無害に見えるツールを悪用する TPA により、機密データの流出／AI の挙動の乗っ取り／リモート・コード実行などが引き起こされる恐れがある。Invariant のセキュリティ・チームは、ユーザーに対して、「サードパーティの MCP サーバに接続する際には十分な注意を払い、機密情報を保護するためのセキュリティ対策を実施してほしい」と促している。

古い脆弱性は後回しに？ NIST が CVE データ管理の方針転換を発表

NIST Defers Pre-2018 CVEs to Tackle Growing Vulnerability Backlog

2025/04/08 InfoSecurity — NIST (National Institute of Standards and Technology) の正式発表によると、2018年1月1日以前に公開された、すべての CVE に対して、NVD 上で “Deferred” (保留) としてマークされることが決定したようだ。このステータスが付与された CVE は、CISA (Cybersecurity and Infrastructure Security Agency) の KEV (Known Exploited Vulnerabilities) に登録されない限り、詳細情報の更新の優先順位が下げられる。

CISA KEV 警告 25/04/07：CrushFTP の脆弱性 CVE-2025-31161／2825 を登録

CISA Warns of CrushFTP Vulnerability Exploitation in the Wild

2025/04/08 InfoSecurity — 米国のサイバーセキュリティ最高機関である CISA は、ファイル転送ソリューションの CrushFTP に存在する重大な脆弱性が、実際に悪用されていることを明らかにした。CVE-2025-31161 として追跡されている、この認証バイパスの脆弱性は、2025年4月7日付で CISA (Cybersecurity and Infrastructure Security Agency) の KEV (Known Exploited Vulnerabilities) カタログに追加された。

EncryptHub の悪意と SkorikARI の善意：600+ の組織を侵害し Microsoft にはバグを報告する人物とは？

EncryptHub’s dual life: Cybercriminal vs Windows bug-bounty researcher

2024/04/07 BleepingComputer — 618 の組織に対する情報漏洩インシデントに関与したとされる、悪名高い脅威アクター・グループ EncryptHub は、Microsoft に対しても２件の Windows ゼロデイ脆弱性を報告したとみられ、サイバー犯罪とセキュリティ研究の境界線をまたぐ、矛盾した人物の姿を明らかにしている。

Google の Sec-Gemini が登場：Mandiant のデータと LLM を統合

Google Pushing ‘Sec-Gemini’ AI Model for Threat-Intel Workflows

2025/04/07 SecurityWeek — Google が発表したのは、脅威インテリジェンス部門 Mandiant のインシデント対応および、脅威分析ワークフローを支援するために設計された、実験的な人工知能モデルである。この “Sec-Gemini v1” と呼ばれる AI モデルは、Google の LLM である Gemini の機能と、Google Threat Intelligence (GTI)、Open Source Vulnerability (OSV) データベースなどの社内リソースを統合することで、ほぼリアルタイムのセキュリティ・データとツールを構成するという。

Windows 11 Enterprise でホットパッチ・サポートが開始：メモリ内でのコード操作で再起動が不要に？

Microsoft adds hotpatching support to Windows 11 Enterprise

2025/04/03 BleepingComputer — Microsoft が発表したのは、x64 (AMD/Intel) システムで Windows 11 Enterprise 24H2 を使用している、ビジネス・カスタマー向けのホットパッチ・アップデートが、4月2日付で利用可能になったことだ。ホットパッチが利用可能なデバイス上の Windows は、デバイスを再起動せずにバックグラウンドでダウンロード／インストールすることで、ユーザーによる OS セキュリティ・アップデートのインストールが可能になる。

AWS 環境で注意すべき５種類の脆弱性：利用者側の責任範囲とは？

5 Impactful AWS Vulnerabilities You’re Responsible For

2025/03/31 TheHackerNews — AWS を利用していると、自分のクラウドのセキュリティは対処済みだと考えがちだが、それは危険な誤解である。AWS は、自社インフラのセキュリティは確保しているが、クラウド環境内のセキュリティは、利用者自身の手に委ねられている。AWS のセキュリティ体制を建物の保護に例えてみよう。AWS は、強固な壁と頑丈な屋根を提供してくれる。しかし、鍵の管理／警報システムの設置／貴重品の管理などは、顧客の責任となるというわけだ。

X (Twitter) ユーザー 28億人分の個人情報が流出か？内部犯行の可能性と沈黙する X

Twitter (X) Hit by 2.8 Billion Profile Data Leak in Alleged Insider Job

2025/03/29 HackRead — X (旧 Twitter) から流出した約 28億7000万件分ものユーザー・データ流出が、アンダーグラウンド・フォーラムの Breach Forums にて発見された。ThinkingOne と名乗るユーザーの投稿によると、X 社における大規模な人員削減の期間中に、不満を抱いた従業員が盗み出したデータに起因するという。もし、それが事実であれば、ソーシャル・メディア史上で最大規模のデータ流出インシデントとなる。しかし、驚くべきことに、X も一般ユーザーも、この件について、まだ認識していないようだ。

Cloudflare の OPKSSH が OSS として提供：SSH に Single Sign-On がやってくる

Cloudflare open sources OPKSSH to bring Single Sign-On to SSH

2025/03/28 HelpNetSecurity — OPKSSH は IdP (identity providers) との緊密な統合により、信頼できるサードパーティであっても介在をすることで、合理的かつ安全性の高い方法で SSH 認証を管理するものだ。今週に、OpenPubkey プロジェクト傘下に位置するかたちで、OPKSSH は正式にオープンソース化された。OpenPubkey 自体は、2023 年に Linux Foundation のオープンソース・イニシアチブになったが、これまでの OPKSSH はクローズド・ソースだった。

Cloudflare の断固たる HTTPS 対応：HTTP を介した API リクエストを完全に遮断

Cloudflare now blocks all unencrypted traffic to its API endpoints

2025/03/22 BleepingComputer — Cloudflare の発表は、API エンドポイント (api.cloudflare.com) へ向けた、すべての HTTP 接続を終了し、今後はセキュアな HTTPS 接続だけを受け付けるというものだ。この措置の目的は、HTTP 接続を終了したサーバが、安全な通信チャネルにリダイレクトする前に、機密情報が平文の状態で漏洩するリスクを排除することにある。そのため、誤操作などにより送信されるケースも含めて、暗号化されていない API リクエストの送信は停止される。

Microsoft Trusted Signing：マルウェアのコード署名での悪用が判明

Microsoft Trust Signing service abused to code-sign malware

2025/03/22 BleepingComputer — Microsoft の Trusted Signing プラットフォームを悪用するサイバー犯罪者たちが、有効期限が３日間のコード署名証明書を使って、マルウェアに署名していたことが明らかになった。コード署名証明書を悪用するマルウェアを、正規のソフトウェアに見せかける機会を、以前から攻撃者たちは窺っていた。なぜなら、通常はブロックされやすい未署名の実行可能ファイルと比べて、署名されたマルウェアはセキュリティ・フィルターを回避しやすく、また、疑わしいものとして警戒され難いという利点を持つからだ。

武器化された CAPTCHA に御用心：PowerShell の実行とマルウェアのデプロイ

Attackers Leverage Weaponized CAPTCHAs to Execute PowerShell and Deploy Malware

2025/03/21 gbhackers — 近ごろの高度なサイバー攻撃の急増の背景にあるのは、偽の CAPTCHA チャレンジを悪用してユーザーを騙す、脅威アクターたちの存在である。それにより、悪質な PowerShell コマンドを実行させ、マルウェア感染を引き起こしているという。HP Wolf Security Threat Insights Report for March 2025 が強調する、この戦術は、悪質な Web サイトへと潜在的な被害者を誘導し、検証手順を完了するように促すものである。

NIST NVD がバックログの解消に苦戦：今後も停滞が続く見通し

NIST’s vulnerability database logjam is still growing despite attempts to clear it

2025/03/19 NextGov — NIST (National Institute of Standards and Technology) は、昨年から続いている NVD (National Vulnerability Database) におけるセキュリティ脆弱性の分析遅延について、2025年の春頃にはバックログを解消する目標を掲げていた。しかし、先日の NIST の発表は、「当面は改善する見込みがない」というものだった。

Web Browser フィッシング調査：2023-2024 比較で 140% 増の 752,000 件

752,000 Browser Phishing Attacks Mark 140% Increase YoY

2025/03/19 InfoSecurity — Web ブラウザ・ベースのフィッシング攻撃が急増し、この１年間で 752,000 件のインシデントが確認されている。この件数が示すのは、2023年と 2024年の比較における 140% の増加率である。人工知能 (AI) 主導のフィッシング手法の台頭と、エンタープライズでの Web ブラウザへの攻撃が、この傾向の要因となっている。

Akira ランサムウェアに対する複合ツール：GPU を用いて暗号化キーにブルートフォースを仕掛ける

New Akira ransomware decryptor cracks encryptions keys using GPUs

2025/03/15 BleepingComputer — Akira ランサムウェアの Linux 版に対する復号ツールが、セキュリティ研究者の Yohanes Nugroho によりリリースされた。この無料のツールは、GPU パワーを利用して復号キーを取得し、ファイルのロックを解除する。Nugroho は、友人から助けを求められ、この復号ツールを開発することになった。Akira が暗号化キーを生成する方法に、つまり、タイムスタンプを用いる方法を分析すれば、１週間以内で暗号化されたシステムを復号できると判断したのだ。

CISA の予算が $10M もカット：ISAC の活動が行き詰まり従業員が解雇される

CISA Cuts $10M in ISAC Funding & 100s of Employees

2025/03/14 DarkReading — 米国の Cybersecurity and Infrastructure Security Agency (CISA)は、数百人のレイオフと数百万ドルの予算削減により、これまでの短い歴史の中で最大の変革期を迎えている。同庁は、この２月に数百人の職員を解雇した。このレイオフの正確な規模は不明だが、推定では 300～400人程度であり、１月時点での 3,300人という職員数を考えると、かなりの大人数である。