MFA – IoT OT Security News

Microsoft Exchange Server の侵害と乗っ取り：OAuth を悪用してスパムメールを配信

Cyberattackers Compromise Microsoft Exchange Servers via Malicious OAuth Apps

2022/09/24 DarkReading — Microsoft Exchange Server を乗っ取り、スパムの拡散を目的とする攻撃者たちが、侵害したクラウド・テナントに、悪意の OAuth アプリケーションを展開している。今週の Microsoft 365 Defender Research Team の発表では、多要素認証 (MFA) が無効な高リスクのアカウントに対して、クレデンシャル・スタッフィング攻撃が行われた後に、安全ではない管理者アカウントを利用した、イニシャル・アクセス獲得の様子が詳述されている。

Okta 報告：全ログイン試行の 34%を占めるクレデンシャル・スタッフィングの猛攻

Okta: Credential stuffing accounts for 34% of all login attempts

2022/09/21 BleepingComputer — 2022 Q2 にクレデンシャル・スタッフィング攻撃が流行し、そのためのトラフィックが、一般ユーザーからの正当なログイン試行回数を上回る国もあるという。この種の攻撃で悪用されるのは、複数のサイトで同じ認証情報のペア (ログイン名とパスワード) を使用する、パスワード・リサイクルという悪習慣である。

MFA 疲れを狙う攻撃：フィッシングで根負けさせ Microsoft／Cisco／Uber などを陥落

MFA Fatigue: Hackers’ new favorite tactic in high-profile breaches

2022/09/20 BleepingComputer — 企業の認証情報へのアクセスを試みるハッカーたちは、大規模なネットワークに侵入するために、ソーシャル・エンジニアリング攻撃を多用し始めている。多要素認証の普及に伴い、それらのを攻撃する際の構成要素の１つとして、MFA Fatigue (MFA 疲れ) と呼ばれる手法が一般的になってきた。企業ネットワークに侵入する際にハッカーたちは、盗み出した従業員のログイン認証情報を使って VPN や内部ネットワークに、アクセスするのが一般である。そしてハッカーたちにとっては、フィッシングやマルウェアで流出させた認証情報があり、また、ダークウェブ・マーケット・プレイスで購入した認証情報もありという具合に、さまざまな方法で企業の機密情報の入手が可能であり、それは難しいことではないというのが現実である。

Uber が主張する機密情報へのアクセスの証拠は無い：しかし無事だという証拠も無い

Uber Claims No Sensitive Data Exposed in Latest Breach… But There’s More to This

2022/09/17 TheHackerNews — Uber が更新した情報だが、木曜日の遅くに発覚した社内コンピューター・システムの侵害により、ユーザーの個人情報が漏えいしたという証拠は無いと述べている。同社は、「我々は、このインシデントが、機密性の高いユーザーデータへのアクセスに関連しているという証拠はないと捉えている。Uber／Uber Eats／Uber Freight／Uber Driver アプリを含む、当社の全サービスは稼働している」と説明している。

Cisco をハッキングした Yanluowang の手口：従業員の認証情報漏洩から始まった

Cisco confirms that data leaked by the Yanluowang ransomware gang were stolen from its systems

2022/09/12 SecurityAffairs — 8月に Cisco が公表したのは、Yanluowang ランサムウェア・ギャングが同社のネットワークに、5月下旬に侵入して内部データを盗んだというインシデントに関する詳細である。 Cisco Security Incident Response (CSIRT) と Cisco Talos が実施した調査で判明したのは、被害者のブラウザに保存された認証情報と同期している、個人の Google アカウントを操作する脅威アクターが、Cisco の従業員の認証情報を漏洩させたことである。

EvilProxy という Phishing-as-a-Service：低スキル・ハッカーに高度な手口を提供

New EvilProxy service lets all hackers use advanced phishing tactics

2022/09/05 BleepingComputer — 新たに登場した EvilProxy は、リバース・プロキシ型の Phishing-as-a-Service (PaaS) プラットフォームであり、Apple／Google／Facebook／Microsoft／Twitter／GitHub／GoDaddy に加えて、PyPI における多要素認証 (MFA) をバイパスするために認証トークンを窃取する。この、犯罪者のためのサービスにより、リバース・プロキシの設定方法を知らない低スキルの脅威アクターであっても、強固に保護されているアカウント情報の窃取が可能になる。

Microsoft Exchange Online のベーシック認証が終了：10月1日から無効化が始まる

Microsoft will disable Exchange Online basic auth next month

2022/09/01 BleepingComputer — 本日、2022年10月1日から Microsoft は、Exchange Online のセキュリティ向上を目的として、世界中のテナントからベーシック認証を、順次無効にしていくことを顧客に通知した。今日の発表は、最初に発表された 2019年9月以降の３年間において、同社から繰り返して行われてきた、注意喚起と警告に続くものである。

Twilio／Authy ハッキングの全容：2FA アカウントへの不正なアクセスとデバイス追加

Twilio breach let hackers gain access to Authy 2FA accounts

2022/08/26 BleepingComputer — 8月4日に発生した攻撃について、Twilio での調査が継続されている。そして、一部の Authy ユーザー・アカウントにハッカーアクセスし、不正なデバイスを登録したことが判明したという。Twilio 傘下の Authy が提供する２要素認証 (2FA) サービスは、ログイン認証情報の入力が成功した後に、専用アプリで２回目の認証を行うことで、同機能に対応したオンライン・アカウントを安全に利用できるようにするものだ。

Twilio／Okta ハッキングの全容：背後にいる脅威アクターの追跡も始まる

Twilio hackers hit over 130 orgs in massive Okta phishing attack

2022/08/25 BleepingComputer — 最近に発生した、Twilio／MailChimp／Klaviyo などへの、一連のサイバー攻撃を実行したハッカーは、同じフィッシング・キャンペーンにより 130以上の組織に侵入した。このフィッシング・キャンペーンでは、コードネーム 0ktapus と呼ばれるフィッシング・キットが使用され、合計で 9,931件のログイン情報が盗み出され、それを基に VPN などのリモートアクセス介して、企業のネットワークやシステムへのアクセスが行われた。

Google G-Suite 企業ユーザーを狙う AiTM フィッシング攻撃に注意

Researchers Warn of AiTM Attack Targeting Google G-Suite Enterprise Users

2022/08/24 TheHackerNews — Microsoft メールサービスの企業ユーザーを標的とする、大規模な中間者 (AiTM : Adversary-in-The-Middle) フィッシング・キャンペーンを仕掛けている脅威アクターたちが、Google Workspace のユーザーにも狙いを定めていることが明らかになった。Zscaler の研究者である Sudeep Singh と Jagadeeswar Ramanukolanu は、今月に発表したレポートで、「このキャンペーンは、Google Workspace を使用する、さまざまな組織の最高責任者などの、上級メンバーの標的を絞り込んでいる」と詳述している。

BEC の新たな手口：AiTM で MFA を突破して決済者の Microsoft 365 アカウントを狙う

Hackers use AiTM attack to monitor Microsoft 365 accounts for BEC scams

2022/08/24 BleepingComputer — 巧妙なスピアフィッシングと中間者攻撃 (AiTM：Adversary-in-The-Middle) を組み合わせて、企業の幹部たちの Microsoft 365 アカウントをハッキングする、新しいビジネスメール詐欺 (BEC：Business Email Compromise) キャンペーンが発見された。このキャンペーンの対象には、MFA で保護されているアカウントも含まれるという。

FBI 警告：クレデンシャル・スタッフィング攻撃で家庭用プロキシが悪用される

FBI warns of residential proxies used in credential stuffing attacks

2022/08/22 BleepingComputer — 米連邦捜査局 (FBI) は、大規模なクレデンシャル・スタッフィング攻撃を実行するサイバー犯罪者たちは、追跡／フラグ付け／ブロックなどを回避するために、家庭用プロキシを悪用する傾向にあると警告している。この警告は、先週末に、同局のインターネット犯罪苦情センター (IC3：Internet Crime Complaint Center) から民間企業への通知として発行された。その目的は、クレデンシャル・スタッフィング攻撃への防御策を実施する必要のある、インターネット・プラットフォーム管理者の意識を高めることにある。

Azure を侵害して Microsoft 365 ユーザーを狙う：ロシア APT29 の凄腕ぶり

Russian APT29 hackers abuse Azure services to hack Microsoft 365 users

2022/08/19 BleepingComputer — 国家を後ろ盾とするロシアのサイバースパイ・グループ Cozy Bear は、NATO 諸国の Microsoft 365 アカウントを標的とし、外交政策情報へのアクセスを試みるなど、2022年に入ってから活発に動き回っている。Microsoft 365 は、主にエンタープライズなどで使用されているクラウド・ベースの生産性スイートであり、コラボレーション／コミュニケーション／データストレージ／電子メールなどの、オフィスでの作業などを容易にする。

RubyGems でも MFA の運用がスタート：人気パッケージのメンテナに義務化

RubyGems Makes Multi-Factor Authentication Mandatory for Top Package Maintainers

2022/08/16 TheHackerNews — プログラミング言語 Ruby の公式パッケージ・マネージャである RubyGems は、NPM や PyPI に続くかたちで、人気のパッケージ・メンテナに対して多要素認証 (MFA) を義務付けるプラットフォームになった。そのため、総ダウンロード数が 1億8000万を超える gem の所有者は、2022年8月15日から MFA をオンにすることが義務付けられた。

Cookie セッション・ハイジャックの脅威：ZTNA／MFA ツールの大半は無力化される

Many ZTNA, MFA Tools Offer Little Protection Against Cookie Session Hijacking Attacks

2022/09/11 DarkReading — 組織において、内部ネットワークからインターネット・トラフィックを分離するためにディプロイされるツールの多く (多要素認証／ZTNA／SSO／ID プロバイダー・サービスなど) は、Cookie の盗難／再利用および、セッションハイジャック攻撃からの保護にはほとんど効果がない。今週にイスラエルの新興企業 Mesh Security の研究者たちが発表したところによると、これらの技術やサービスには、適切な Cookie セッション検証メカニズムがないことが多いという、したがって、これらの技術やサービスを、攻撃者は比較的容易に迂回できるという現実がある。

Microsoft のメール認証情報を狙うフィッシング・キット：MFA 回避機能を持つ？

Microsoft accounts targeted with new MFA-bypassing phishing kit

2022/08/03 BleepingComputer — Microsoft の電子メールサービスの認証情報を狙う、新たな大規模フィッシング・キャンペーンにおいて、カスタム・プロキシ・ベースのフィッシング・キットを用いられ、多要素認証 (MFA) を回避していることが判明した。このキャンペーンの目的は、エンタープライズ・アカウントに侵入して BEC (Business Email Compromise) 攻撃を行い、偽造書類を用いて支配下の銀行口座へと支払いを実行させることだと研究者たちは捉えている。

PyPI の Critical プロジェクトで 2FA が義務化：突然の決定に反発する開発者も

PyPI mandates 2FA for critical projects, developer pushes back

2022/07/09 BleepingComputer — 金曜日に、サードパーティのオープンソース Python プロジェクトための、公式リポジトリである Python Package Index (PyPI) は、重要なプロジェクトのメンテナに対して二要素認証 (2FA) を義務付ける計画を発表した。この動きに対して、多くのコミュニティ・メンバーが賞賛したが、ある人気 Python プロジェクトの開発者が、自分のプロジェクトに与えられた Critical ステータスを無効にするために、PyPI からコードを削除して再公開することになった。

MFA と中小企業の調査：採用 46% 不採用 54% というレベルまで来たが・・・

54% of SMBs do not implement MFA

2022/07/08 HelpNetSecurity — Cyber Readiness Institute (CRI) が発表した Global Small Business Multi-Factor Authentication (MFA) Study によると、世界中の中小企業における多くの経営者たちは、従業員／顧客／パートナーの重要なデータを保護するために、いまだにユーザ名／パスワードのみに頼っていることが明らかになった。

Microsoft Azure AD 認証がアップデート：期限付きパスコードの提供で高まる柔軟性

Microsoft updates Azure AD with support for temporary passcodes

2022/07/01 BleepingComputer — Azure Active Directory (Azure AD) の管理者による、期限付きのパスコードの発行が可能になった。このパスコードは、パスワードレス認証での新規登録や、Windows オンボーディング時において、また、認証情報や FIDO2 キー紛失などのアカウント復旧においても利用できる。 Microsoft は TAP (Temporary Access Pass) と表現しているが、Azure ポータルからAzure AD の認証方式ポリシーで TAP を有効にすると、(初回サインアップ時やデバイスのセットアップ時に) 認証情報を登録するために利用できるようになる。

CISA 勧告と Exchange Online：10月までに Basic 認証から Modern 認証へ切り替えよ

CISA warns orgs to switch to Exchange Online Modern Auth until October

2022/06/29 BleepingComputer — CISA は政府機関／民間企業に対して、クラウドメール・プラットフォームである Microsoft Exchange を、ベーシック認証からモダン認証 (MFA) へと早急に切り替えるよう促している。ベーシック認証 (プロキシ認証) は、アプリがサーバー／エンドポイント／オンラインサービスに認証情報を平文で送信する、HTTP ベースの認証スキームである。

Microsoft WebView2 の悪用：MFA をバイパスする狡猾なフィッシング手法が証明された

Clever phishing method bypasses MFA using Microsoft WebView2 apps

2022/06/26 BleepingComputer — Microsoft Edge WebView2 アプリケーションを悪用する、巧妙で新たなフィッシング手法により、被害者の認証クッキーが盗み出され、攻撃者によるアカウントへのログイン時に、多要素認証がバイパスされることが可能になるという。数多くのデータ漏洩や、リモートアクセス型トロイの木馬 (RAT)、フィッシング・キャンペーンなどにより、盗み出されたログイン認証情報は膨大な量になっている。その一方で、多要素認証 (MFA) の採用が進んでいるため、標的の MFA ワンタイム・パスコードやセキュリティ・キーに対しても、攻撃者がアクセスできない限り、これらの盗み出した認証情報の悪用は難しくなっている。

Microsoft が Azure AD 全テナントに対して Security Defaults を有効化

Microsoft to force better security defaults for all Azure AD tenants

2022/05/27 BleepingComputer — Microsoft の発表によると、すべての既存 Azure Active Directory (Azure AD) テナントにおいて、厳格なセキュリティ設定である Security Defaults を、2022年6月下旬には自動的に有効にするとのことだ。2019年10月に、新規テナントのみに対して導入された Security Defaults は、IT チームを持たない組織であっても、最小限の労力で優れた ID セキュリティ衛生を導入できるように設計された、一連の基本的なセキュリティ機構である。

米 FTC が Twitter に $150M の罰金：2FA のための情報をターゲティング広告に使っていた

FTC fines Twitter $150M for using 2FA info for targeted advertising

2022/05/25 BleepingComputer — 米連邦取引委員会 (FTC) は、二要素認証を運用するために収集した電話番号や電子メールアドレスを、Twitter がターゲット広告に使用したとして、$150 million の罰金を科した。裁判資料 [PDF] によると、2013年から Twitter は 1億4千万人以上のユーザーに対して、そのアカウントを保護するための情報を求めたが、そのデータがターゲット広告にも使われることを伝えていなかった。

アカウント・プレハイジャックという新たな攻撃手法：待ち伏せして悪さする

Learn How Hackers Can Hijack Your Online Accounts Even Before You Create Them

2022/05/25 TheHackerNews — 悪意の行為者は、アカウント・プリ・ハイジャックと呼ばれる新しい手法で、ユーザーのオンラインア・カウントに不正にアクセスできることが、新しい研究で明らかになった。この攻撃は、Web サイトなどのオンライン・プラットフォームにおける、一般的なアカウント作成プロセスを狙ったものであり、何も知らない被害者が対象サービスのアカウントを作成する前に、敵対者による一連のアクションの実行が可能となる。この研究は、独立系セキュリティ研究者の Avinash Sudhodanan が、Microsoft Security Response Center (MSRC) のAndrew Paverd と共同で行ったものである。

SaaS-to-SaaS サプライチェーンの時代：保護すべき対象がズレ始める時代

The SaaS-to-SaaS supply chain is a wild, wild mess

2022/05/12 HelpNetSecurity — クラウドへの移行と IT の民主化により、ビジネス・ワークフローのデジタル化と自動化のための統合が進み、相互に接続されたビジネス・アプリのネットワークが拡大し続けている。デジタル・トランスフォーメーション時代の従業員たちは、生産性を高めるために、SaaS アプリや、Workato／Zapier などの no／low code プラットフォーム、サードパーティ・アプリを独自に採用／接続している。

GitHub が 2FA への完全移行を 2023 年末まで実施：ソフトウェア・サプライチェーンを攻撃から守る

GitHub to require 2FA from active developers by the end of 2023

2022/05/03 BleepingComputer — 今日、GitHub は、同社のプラットフォーム上でコードをコントリビュートする、約 8300万人の開発者が使用するアカウントに対して、2023年末までに二要素認証 (2FA) の有効化を義務付けることを発表した。この、2FA 有効化が要求されるアクティブなコントリビューターに含まれるのは、コードのコミット／Actionsの使用／プルリクエストの open/merge／パッケージの公開などを行う GitHub ユーザーとなるが、それらに限定されるものではない。

Microsoft が Lapsus$ ハッキングを認める：Bing などのソースコードにアクセス

Microsoft confirms they were hacked by Lapsus$ extortion group

2022/03/22 BleepingComputer — Microsoft は、同社の従業員１名のアカウントが Lapsus$ にハッキングされ、この脅威アクターによる、同社のソースコードの一部へのアクセス／窃取が生じたことを認めた。昨夜、Lapsus$ ランサムウェアは、Microsoft の Azure DevOps サーバーから盗み出した 37GB のソースコードを公開した。このソースコードは、Bing／Cortana／Bing Maps などの、同社の様々なプロジェクトに関わるものである。

CISA／FBI 警告：MFA プロトコルと PrintNightmare を悪用するロシアからの攻撃

US Warns About Russian Attacks Exploiting MFA Protocols, PrintNightmare Flaw

2022/03/16 SecurityWeek — 3月2日に、米国 Cybersecurity and Infrastructure Security Agency (CISA) と FBI は、ロシアの国家に支援された脅威アクターが、デフォルトの多要素認証 (MFA) プロトコルと、PrintNightmare と呼ばれる Windows の脆弱性を悪用して、ネットワークやシステムに不正にアクセスしていると、各組織に警告を発した。この正体不明の脅威グループは、早ければ 2021年5月に NGO を標的とし、デフォルトの MFA プロトコル上に構成された、誤った設定のアカウントを悪用し、被害者のネットワークにアクセスしたとのことだ。

FBI 警告：SIM スワップ攻撃の拡大により数百万ドルが盗み出された

FBI warns of criminals escalating SIM swap attacks to steal millions

2022/02/09 BleepingComputer — 米連邦捜査局 (FBI) によると、犯罪者たちは SIM スワップ攻撃をエスカレートさせ、被害者の電話番号を乗っ取ることで数百万ドルを盗み出しているという。2021年に FBI が Internet Crime Complaint Center (IC3) を通じて受け取った報告書によると、2018年以降の米国において、一般市民から寄せられた苦情の数と報告された被害額は約５倍に増加している。

Google の 2FA 推進プロモーション：1.5 億人が追加されセキュリティが向上

Google sees 50% security boost for 150M users after 2FA enroll

2022/02/08 BleepingComputer — Google は、可能な限り多くのアカウントにおいて、２要素認証 (2FA) を自動的に登録する取り組みを加速させ、2FA を有効にするユーザー 1億5,000万人を追加したと発表した。Google は 2021年5月に、漏洩した認証情報や推測されたパスワードの悪用によるアカウント乗っ取り攻撃から、可能な限り多くのアカウントを保護するための広範な取り組みの一環として、すべてのユーザーに 2FA の使用させることを発表した。

Microsoft 警告：多要素認証 (MFA) 採用がエンタープライズで遅れている

Microsoft: Enterprise MFA adoption still low

2022/02/07 HelpNetSecurity — コンシュマー・ユーザーの間では、二要素認証の使用率が急速に上昇している一方で、エンタープライズでは、重要なアカウントを保護するための多要素認証 (MFA) の使用率が、依然として低いという現実がある。

多要素認証 (MFA) の第２ラウンド：脅威アクターはリバースプロキシ・キットで対抗

MFA adoption pushes phishing actors to reverse-proxy solutions

2022/02/03 BleepingComputer — オンライン・アカウントへの多要素認証 (MFA) の導入が進むにつれて、フィッシング詐欺師たちは悪質な活動を継続するために、より洗練されたソリューション (特にリバースプロキシ・ツール) を利用するようになっている。COVID-19 の大流行は、人々の働き方を大きく変え、自宅での仕事を可能にし、場合によっては望ましいことを証明した。

Microsoft 警告：Outlook と Azure AD を悪用するフィッシング・キャンペーン

Microsoft warns of multi-stage phishing campaign leveraging Azure AD

2021/01/27 BleepingComputer — Microsoft の脅威アナリストたちは、盗み出した認証情報を用いてターゲットのネットワークに悪意のデバイスを登録し、そのデバイスを用いてフィッシング・メールを配信するという、大規模かつ多段階なマルチステージ・フィッシング・キャンペーンを発見した。報告書によると、この攻撃は、多要素認証 (MFA) 保護が施されていないアカウントでのみ発生しており、それが要因となったことで乗っ取りが容易になっていた。

Box の SMS-based 多要素認証がバイパスされる：研究者たちが指摘する欠陥とは？

Researchers Bypass SMS-based Multi-Factor Authentication Protecting Box Accounts

2022/01/18 TheHackerNews — サイバー・セキュリティ研究者たちが、Box の多要素認証 (MFA) 機構に存在していた、パッチ適用済みのバグの詳細を公開した。Varonis の研究者たちは The Hacker News に対して「このバグを利用すると、攻撃者は盗んだ認証情報を使って組織の Box アカウントを侵害し、被害者の携帯電話にアクセスすることなく機密データを流出させることができる」と報告している。

クラウドの暗号化を改善するためのベスト・プラクティスとは？

Best Practices for Improving Cloud Encryption

2022/01/14 SecurityBoulevard — エンタープライズにおけるクラウドの採用が増大するにつれて、クラウド・セキュリティが最重要課題となっている。年々、クラウド・セキュリティへの脅威は増加しており、企業はオンプレミスからクラウドへの移行を再考し、クラウド・セキュリティを向上させる方法を検討している。クラウド・セキュリティを強化する１つの方法は、クラウドの暗号化を改善することだ。

ナショナル・セキュリティを改善する大統領令：2021年11月までの進捗を評価してみる

Update on the Executive Order on Improving the Nation’s Cybersecurity

2021/12/09 SecurityBoulevard — サイバー・セキュリティに関する新たな大統領令は、いつも前向きな行動と期限が決められている。バイデン政権は、SolarWinds や Colonial Pipeline への攻撃を受けて、国家のサイバー・セキュリティを向上させるための EO (Executive Order) を発表した。その主な内容は、連邦政府機関全体での MFA／ZeroTrust／EDR の実施を呼びかけるものだった。また、Cyber Safety Review Board も設立された。

Cisco レポート：パスワード依存から MFA／Biometric への移行が進んでいる

Cisco Report Shows Shift Away from Traditional Passwords

2021/10/15 SecurityBoulevard — 今週に Cisco の Duo Security Unit が発表したレポートによると、パスワードに代わる多要素認証 (MFA) とバイオメトリック認証の利用が増加していることが分かった。本レポートでは、3,600万台以上のデバイスで、40万以上のアプリケーションが実行され、月間で８億回の認証が行われた結果として、多要素認証とバイオメトリック認証の利用が、前年比でそれぞれ 39％増と 48％増となったことが報告されている。

Microsoft 警告：イランのハッカーが防衛産業にパスワード・スプレー攻撃

Microsoft: Iran-linked hackers target US defense tech companies

2021/10/11 BleepingComputer — イランに関連する脅威アクターが、米国とイスラエルの防衛技術企業が使用する Office 365 テナントを標的に、大規模なパスワード・スプレー攻撃を行っている。パスワード・スプレー攻撃では、複数のアカウントに対して同じパスワードを設定し、アカウント名を総当りするブルートフォースが試みられる。これにより、失敗したパスワードを異なる IP アドレスで隠すことが可能になる。

Google の二要素認証：年内に1億5000万人を自動的に移行させる

Google to turn on 2-factor authentication by default for 150 million users

2021/10/06 TheHackerNews — Google は、アカウントへの不正アクセスを防ぎ、セキュリティを向上させるための継続的な取り組みの一環として、約1億5,000万人のユーザーを二要素認証スキームに、年内を目標に自動的に登録する計画を発表した。また、200万人の YouTube クリエイターに対しても、二段階認証 (2SV) の設定を義務付けることで、チャンネル乗っ取りから守るとしている。

Microsoft Exchange Online から Basic 認証が消える日：１年後の 2022年10月1日に決定

Microsoft will disable Basic Auth in Exchange Online in October 2022

2021/09/26 BleepingComputer — Microsoft は、数百万人の Exchange Online ユーザーを保護するために、2022年10月1日から全てのテナントの全てのプロトコルで、Basic 認証をオフにすることを発表した。今回の発表は、COVID-19 パンデミック対応のために、Exchange Online からの Basic 認証の削除を、2021年後半に延期したことを受けてのものである。

加速する二要素認証：セキュリティ侵害とリモートワーク対応が要因

Security Fears & Remote Work Drive Continued 2FA Adoption

2021/09/14 DarkReading — Cisco System の Duo Labs が隔年で実施している調査によると、２年前には二要素認証 (2FA : Two Factor Authentication) に触れたことのなかった、米国と英国の人口の4分の1に相当する人々が、2021年には少なくとも１回は、同技術を使用していることが分かった。

国連のネットワーク侵害が判明：ダークウェブ上のログイン情報が悪用される？

Experts confirmed that the networks of the United Nations were hacked earlier this year

2021/09/10 SecurityAffairs — この木曜日に国連 (United Nations) は、今年初めに同組織のコンピュータ・ネットワークが、サイバー攻撃を受けたことを確認した。UN Secretary-General のスポークスマンである Stéphane Dujarric は Bloomberg に対して、「未知の攻撃者が 2021年4月に、国連のインフラの一部に侵入したことを認めた。国連は、持続的なキャンペーンを含め、頻繁にサイバー攻撃の標的となっている。また、この侵害に関連した、さらなる攻撃も検知され、対応していることを確認している」と述べている。

Coinbase からの恐怖の通知：あなたの 2FA が変更されましたけど

Coinbase seeds panic among users with erroneous 2FA change alerts

2021/08/31 BleepingComputer — 100以上の国々の約6800万人のユーザーを抱える、世界第２位の暗号通貨取引所である Coinbase が、誤った 2FA 警告を発してしまい、かなりのユーザーを怖がらせた。週末の Twitter スレッドで明らかにしたように、この暗号通貨取引所は、8月28日の午後1時45分〜午後3時7分 (PST) の間に、約125,000人の顧客に対して、2FA の設定が変更されているという、誤った警告を発してしまった。Coinbase はインシデント・レポートにおいて、この通知は誤送信であり、2FA 設定を回復するために、顧客が何かを行う必要はないと説明している。

CISA スバラシイ：一要素認証をバッド・プラクティスと認定する

CISA: Don’t use single-factor auth on Internet-exposed systems

2021/08/30 BleepingComputer — 今日のこと、米国の Cybersecurity and Infrastructure Security Agency (CISA) は、一要素認証 (SFA : Single Factor Authentication) を、同機関が推奨するサイバー・セキュリティのバッド・プラクティスに追加した。CISA のバッド・プラクティス・カタログには、連邦政府機関が非常に危険と判断したプラクティスが含まれており、政府機関や民間企業のシステムが脅威にさらされる、不必要なリスクを負うことになるため、使用すべきではないとしている。

Windows 365 から Microsoft Azure クレデンシャル情報を平文でダンプ

Windows 365 exposes Microsoft Azure credentials in plaintext

2021/08/13 BleepingComputer — ありセキュリティ研究者が、Mimikatz を使って、Microsoft の最新 Windows 365 Cloud PC Service から、ユーザーの Microsoft Azure 認証情報を平分でダンプする方法を発見した。Mimikatz とは、Benjamin Delpy が作成したオープンソースのサイバー・セキュリティ・プロジェクトであり、認証情報の窃取や成りすましの脆弱性をテストするために、研究者たちに利用されるソフトウエアである。このプロジェクトの GitHub ページには、「メモリから平文のパスワードや、ハッシュ、PIN コード、Kerberos チケットを抽出することはよく知られている。

多要素認証バイパスを引き起こすテクノロジー Top-5

Top 5 Techniques Attackers Use to Bypass MFA

2021/08/06 DarkReading — 企業では、サーバー攻撃を防ぐために、多要素認証 (MFA: Multi Factor Authentication) が利用されている。しかし、MFA により 100％が保護されるという考えは、まさに誤りだ。MFA とパスワードを比較すると、個人情報漏えいのリスクを 99％削減されると強調した統計があるが、それを回避する方法を攻撃者は知っている。では、どこに目を向ければ良いのだろうか。幸いなことに、すべてが悲観的な状況ではない。MFA がバイパスされたとしても、侵害になる前に攻撃を察知して阻止することは可能だ。

AMaaS ＞IDaaS：クラウドとオンプレの ID を統合

Pushing the Limits of IDaaS with AMaaS

2021/07/29 SecurityBoulevard — データへの安全なアクセスは、誰にとっても大きな懸念となる。そこで、クラウド ID 管理ソリューションとして、IDaaS (identity-as-a-service) が随所で採用され、アプリケーションにアクセスするユーザーが、本人であることの確認が、つまり、ID の認証が行われている。しかし、IDaaS は、問題の半分しか解決できない。個人情報保護法では、個人を特定できる情報 (PII) などの機密データに、適切な人だけが適切なタイミングでアクセスするよう求められている。

Amazon の Ring がビデオの End-to-End 暗号化を開始

Amazon starts rolling out Ring end-to-end encryption globally

2021/07/14 BleepingComputer — Amazon 傘下の Ring は、ビデオの End-to-End Encryption (E2EE) のグローバルを、限定したデバイスを持つ顧客に向けて開始すると発表した。それに先立ち、2021年1月13日に Ring は、米国の顧客向けに E2EE テクニカル・プレビューをリリースすると発表している。Ring の説明によると「本日、テクニカル・プレビューから移行し、この機能の提供をグローバルに拡大できることを、喜んで発表する。Ring はデフォルトで、顧客の動画がクラウドにアップロードされた時（転送時）と、Ring のサーバーに保存された時（静止時）に、動画を暗号化している。

ケミカル流通大手の Brenntag がランサムウェア攻撃に $4.4 million を支払った

Chemical distributor pays $4.4 million to DarkSide ransomware

2012/05/13 BeepingComputer — 化学製品の流通を行う Brenntag は、暗号化されたファイルの復号化ツールを受け取ために、また、盗まれたデータの公表を防ぐために、ランサムウェア・ギャングである DarkSide 対して、身代金 $4.4 million を Bitcoinで支払った。ドイツに本社を置く Brenntag は、世界有数の化学製品流通企業であり、世界の 670以上の拠点で 17,000人以上の従業員を抱えている。