MFA – IoT OT Security News

Cisco Duo で侵害が発生：サードパーティ MFA における論点とは？

Cisco Duo’s Multifactor Authentication Service Breached

2024/04/16 DarkReading — Cisco の MFA サービス Duo に関する、テレフォニー担当のサードパーティ・プロバイダーが、ソーシャルエンジニアリングによるサイバー攻撃を受けた。現時点において、Cisco Duo のユーザーたちは、それに続くフィッシング詐欺などに警戒する必要がある。

Tycoon 2FA という PhaaS の台頭：Microsoft 365／Gmail アカウントの MFA バイパスで収益

New MFA-bypassing phishing kit targets Microsoft 365, Gmail accounts

2024/03/24 BleepingComputer — Microsoft 365 および Gmail のアカウントを標的とし、二要素認証 (2FA) 保護をバイパスするために、Tycoon 2FA という PhaaS プラットフォームを使用する、サイバー犯罪者が増加している。2023年10月に実施された Sekoia の定期的な脅威ハンティングの最中に、Tycoon 2FA は発見されている。遅くとも 2023年8月には、Saad Tycoon グループがプライベートな Telegram チャンネルを通じて提供したようだ。

Okta で発生したデータ侵害：偽の流出データがハッキング・フォーラムに投稿された？

Okta says data leaked on hacking forum not from its systems

2024/03/11 BleepingComputer — 2023年10月の Okta へのサイバー攻撃で盗み出したとされるファイルが、ある脅威アクターによりハッカー・フォーラムに投稿された。しかし Okta は、このデータは同社のものではないと否定している。サンフランシスコを拠点とするクラウド ID アクセス管理ソリューション・プロバイダー Okta は、シングル・サインオン (SSO：Single Sign-On)／多要素認証 (MFA：multifactor authentication)／API アクセス管理サービスを提供しており、それらは世界中の数千の組織で利用されている。

GitHub の2FA 義務化：2024年1月19日から正式スタート

GitHub warns users to enable 2FA before upcoming deadline

2023/12/26 BleepingComputer — GitHub アカウントにおいて、２要素認証 (2FA) が有効化されていない場合には、同サイトでの機能が制限されると警告されている。クリスマス・イブに GitHub ユーザーに送られたメールには、 GitHub.com でコードをコントリビュートしている全ユーザーは、2024年1月19日までに 2FA を有効化する必要があると記されている。

Microsoft Authenticator に追加されたブロック機能：MFA 疲労攻撃を緩和

Microsoft Authenticator now blocks suspicious MFA alerts by default

2023/11/07 BleepingComputer — Microsoft は、Authenticator アプリに新しい保護機能を導入し、アカウントのログイン段階で実行される特定のチェックに基づき、疑わしいと思われる通知をブロックするようになった。Microsoft Authenticator は、Microsoftアカウントへの多要素認証／パスワード自動入力／パスワードレス・サインインを提供するアプリである。

Okta のサードパーティでデータ侵害：従業員たちの個人情報が盗まれてしまった

Okta hit by third-party data breach exposing employee information

2023/11/02 BleepingComputer — Okta のサードパーティー・ベンダーへの侵害により、個人情報が流出したことが、約5,000人の現従業員／元従業員に対して警告されている。Okta はクラウド ID／Access 管理ソリューション・プロバイダーであり、SSO (Single Sign-On)／MFA (Multi Factor Authentication)／API アクセス管理サービスなどを、世界中の何千もの組織に提供している。今回のデータ侵害に関する警告は、Okta の従業員と家族に医療保険を提供する、Rightway Healthcare に影響を与えたセキュリティ・インシデントに関するものである。

Citrix Bleed を解析：セッション・クッキー窃取と LOLBIN によるステルス化

Hackers use Citrix Bleed flaw in attacks on govt networks worldwide

2023/11/01 BleepingComputer — Citrix Bleed と名付けられた脆弱性CVE-2023-4966 を悪用する攻撃者が、南北アメリカ／ヨーロッパ／アフリカ／アジア太平洋地域の、政府／技術／法律などの組織を標的としている。Mandiant の研究者たちによると、現在進行中の４つのキャンペーンはCitrix NetScaler ADC／Gateway アプライアンスの脆弱性を標的としており、2023年8月下旬から攻撃が行われているようだ。

1Password が公表したインシデント：Okta 認証セッションなどが悪用された？

1Password discloses security incident linked to Okta breach

2023/10/23 BleepingComputer — 1Password は、人気のパスワード管理プラットフォームであり、100,000社以上の企業で利用されている。そして、同社の Okta ID 管理テナントにアクセスしたハッカーにより、セキュリティ・インシデントに見舞われている。1Password の CTO である Pedro Canahuati は、「私たちは、当社のサポート・システムのインシデントに関連する、Okta インスタンス上で不審な活動を検出した。そして、徹底的な調査の結果、1Password のユーザー・データへのアクセスな発見されなかった」と述べている。

Okta サポート・システムが侵害された：正規ユーザーを装う攻撃が予測される

Okta Support System Hacked, Sensitive Customer Data Stolen

2023/10/20 SecurityWeek — 10月20日 (金) に ID／Access 管理企業の Okta が警告したのは、同社のサポートケース管理システムに侵入したハッカーが、正当なユーザーを装うために悪用できる機密データを盗み出したことだ。Okta のセキュリティ責任者である David Bradbury によるセキュリティ通知には、盗み出されたクレデンシャルを悪用して、同社のサポートケース管理システムにアクセスする “敵対行為” を発見したと記されている。

MFA は信じて疑うべき存在：業界による宣伝に踊らされないために

Why MFA Is Not the Panacea the Industry Is Touting it to Be

2023/10/06 InfoSecurity — 多要素認証 (Multi Factor Authentication：MFA) とは、ユーザーが本人であることを証明するために、ユーザーと認証システムのみが知るべき２つ以上の「秘密」の共有を要求する、デジタル認証ソリューションのことである。MFA は、単純なログイン名とパスワードよりも改善されたものである。しかし、非常に危うくなっており、何十億とは言わないまでも、何億ものオンライン攻撃を成功させてしまっている。残念なことに、ほとんどの MFA はパスワードと比べて、あなたを遥かに安全にすることはできず、また、この業界は、あなたが使用すべき MFA について十分に話していない。それであっても、貴重なデータやシステムを守るためには、可能な限り MFA を使うべきである。

GitHub のシークレット・スキャンが拡張：AWS／Microsoft／Google／Slack などをカバー

GitHub’s Secret Scanning Feature Now Covers AWS, Microsoft, Google, and Slack

2023/10/06 TheHackerNews — GitHub が発表した、そのシークレット・スキャン機能の改良／拡張により、一般的な Amazon Web Services (AWS)／Microsoft／Google／Slack などのサービスでの有効性チェックも、カバーされるようになるという。今年のはじめに GitHub が導入した有効性チェックは、シークレット・スキャンにより発見されたトークンの有効性についてユーザーに警告し、効果的な修復措置を可能にするものだ。この有効性チェックは、まず GitHub トークンで有効化された。クラウドベースのコード・ホスティングとバージョン管理サービスを提供する GitHub は、より多くのトークンを、将来的にサポートするつもりだと述べている。

AWS の MFA が 2024年半ばから義務化：対象は特権アカウントだが推奨範囲は全体

AWS to Mandate Multi-Factor Authentication from 2024

2023/10/06 InfoSecurity — Amazon Web Services (AWS) の発表は、デフォルトのセキュリティを向上させ、アカウント乗っ取りのリスクを減らすために、2024年半ばから全ての特権アカウントに多要素認証 (MFA) を義務付けるというものだ。それが義務づけられる時点から、AWS Organizations 管理アカウントの root ユーザーとして、AWS Management Console にサインインする全ての顧客は MFA が必須になると、同社の Chief Security Officer である Steve Schmidt がブログで述べている。

NSA／CISA が概説：ミスコンフィグレーション Top-10 ついて特定していこう

NSA and CISA reveal top 10 cybersecurity misconfigurations

2023/10/05 BleepingComputer — 今日、米国の National Security Agency (NSA) と Cybersecurity and Infrastructure Security Agency (CISA) が公表したのは、大規模組織のネットワークでレッドチームとブルーチームが発見した、サイバーセキュリテで再重視すべきミスコンフィグレーションの Top-10 である。また、このアドバイザリでは、脅威アクターたちが用いる TTP (Tactics, Techniques, and Procedures) と、ミスコンフィグレーションの悪用方法に加えて、アクセス権の獲得／横方向への移動／機密情報やシステムの標的化といった、各種の目的を達成する方法についても詳しく説明されている。

EvilProxy は Phishing-as-a-Service：巧妙な手口で Microsoft 365 アカウントを狙う

EvilProxy uses indeed.com open redirect for Microsoft 365 phishing

2023/10/03 BleepingComputer — 最近になって発覚したフィッシング・キャンペーンは、求人情報サイト Indeed からのオープン・リダイレクトを悪用し、米国を拠点とする組織の主要幹部の、Microsoft 365 アカウントを標的にするものだ。この脅威アクターは、EvilProxy フィッシング・サービスを使用している。EvilProxy により、多要素認証 (MFA) メカニズムをバイパスするための、セッション・クッキーの収集も可能になるという。

GitHub の Passkeys サポートが始動：Apple／Google／Microsoft と協調

GitHub passkeys generally available for passwordless sign-ins

2023/09/21 BleepingComputer −−− 9月21日に GitHub が公開した Passkeys により、すべてのユーザーのパスワードレス・ログインが、このプラットフォーム全体で利用可能となり、フィッシングからアカウントが保護されるようになる。Passkeys は、コンピューター／タブレット／スマートフォンなどのデバイスにリンクされ、フィッシング攻撃からの保護や、不正アクセスの阻止を提供することで、データ漏洩のリスクを低減するという重要な役割を担っている。また、Passkeys は、暗証番号や指紋／顔認証などの生体認証といった、個人識別方法を通じて、アプリやオンライン・サービスへのアクセスを容易にする。

MFA に対する本質的な問題提起：Okta が護れなかった MGM Resorts インシデントとは？

Okta Agent Involved in MGM Resorts Breach, Attackers Claim

2023/09/16 DarkReading −−− 先週に発生した MGM Resorts と Caesars Entertainment へのサイバー攻撃だが、それを操る脅威アクターの主張は、組織の Active Directory に接続する軽量クライアントである Okta Agent をクラックし、何らかの方法で両社の Okta プラットフォームに侵入できたというものだ。Okta は、クラウド向けの IAM (Identity and Access Management) プロバイダーとして知られるサイバー・セキュリティ企業である。

時代遅れの認証ストラテジー：依然としてユーザー企業に残り続ける

Enterprises persist with outdated authentication strategies

2023/09/15 HelpNetSecurity — Enzoic の最新調査によると、認証はサイバー・セキュリティの要であるにもかかわらず、依然として時代遅れのリスク軽減戦略に依存していることが判明した。攻撃対象が拡大し続け、ますます巧妙化するサイバー脅威に対して、エンタープライズが苦慮しているのは、セキュアでユーザー・フレンドリーな認証の実現である。調査では、最新の戦略が登場している一方で、今回の調査で明らかになったのは、大半の企業が、依然として従来のアプローチに頼っていることである。

Google Authenticator MFA クラウド同期：深刻な問題が生じると Retool が非難

Retool blames breach on Google Authenticator MFA cloud sync feature

2023/09/15 BleepingComputer — ソフトウェア会社 Retool は、標的型の多段階ソーシャル・エンジニアリング攻撃により、クラウド顧客 27社のアカウントが侵害されたと発表した。Retool の開発プラットフォームは、スタートアップから Fortune 500 にいたるまで、さまざまな企業のビジネス・ソフトウェアの構築に利用され、その顧客には Amazon／Mercedes-Benz／DoorDash／NBC／Stripe／Lyft なども含まれる。Retool のエンジニアリング責任者である Snir Kodesh は、乗っ取られたアカウントは、すべて暗号通貨業界の顧客のものであることを明らかにした。この侵入は 8月27日に発生し、攻撃者は SMS フィッシングとソーシャル・エンジニアリングを使用して、複数のセキュリティ制御を迂回し、IT 従業員の Okta アカウントを侵害していった。

Okta ユーザーを欺くソーシャル・エンジニアリング：Super Admin アカウントが狙われている

Social Engineering Attacks Target Okta Customers To Achieve A Highly Privileged Role

2023/09/02 SecurityAffairs — Okta が顧客に発している警告は、この数週間で観察されている、管理者権限への昇格を目的としたソーシャル・エンジニアリング攻撃に関するものだ。この攻撃は、IT サービス・デスクのスタッフを騙して、高度な権限を持つユーザーが登録した、すべての多要素認証 (MFA) 要素をリセットするよう促すものである。なお、現時点において同社は、この攻撃を実施した脅威アクターを特定していない。Okta の顧客組織 (テナント) において、高度な特権ロールを獲得した脅威アクターは、横方向への移動を行い、また、防御回避の斬新な手法を採用している。

Akira ランサムウェア：Cisco ASA の SSL VPN へのブルートフォース攻撃を展開

Hacking campaign bruteforces Cisco VPNs to breach networks

2023/08/30 BleepingComputer — Cisco Adaptive Security Appliance (ASA) の SSL VPN を標的とし、多要素認証 (MFA) 未実施などのセキュリティ防御の不備を利用した、クレデンシャル・スタッフィング攻撃やブルートフォース攻撃が、ハッカーたちにより行われている。先週に BleepingComputer は、Akira ランサムウェア・ギャングがイニシャル・ネットワーク・アクセスのために、Cisco VPN を突破していることを報告した。

Phishing-as-a-Service の進化が止まらない：Microsoft が AiTM 攻撃を警告

Phishing-as-a-Service Gets Smarter: Microsoft Sounds Alarm on AiTM Attacks

2023/08/29 TheHackerNews — Phishing-as-a-Service (PhaaS) サイバー犯罪モデルの一部として、Adversary-in-The-Middle 攻撃が広まっていると、Microsoft が警告している。AiTM に対応した PhaaS プラットフォームの増加に加えて、PerSwaysion のような既存のフィッシング・サービスも、この AiTM 機能を組み込んでいると、同社は指摘している。Microsoft Threat Intelligence チームは、「この、PhaaS エコシステムにおける進化により、MFA 保護の回避を試みるフィッシング・キャンペーンを、攻撃者は大規模に展開できるようになる」と X (Twitter) への投稿で述べている。

Microsoft Teams の問題：外部からのマルウェア配信を証明するツールが公表された

New tool exploits Microsoft Teams bug to send malware to users

2023/07/05 BleepingComputer — 米海軍のレッドチーム・メンバーが、TeamsPhisher と呼ばれるツールを公開した。このツールは、Microsoft Teams の未解決のセキュリティ問題を悪用し、外部テナントからのファイル受信制限を回避させ、標的とする組織のユーザーに対して攻撃を行うものだ。このツールは、英国のセキュリティ・サービス会社 Jumpsec の Max Corbridge と Tom Ellson が提供したものである。先月に指摘された問題の悪用を証明するものであり、Microsoft Teams のファイル送信制限を回避した攻撃者が、外部アカウントからマルウェアを配信する方法を簡潔に説明している。

LastPass でユーザーがロックアウト：パスワード強化アルゴリズムに関連した不具合？

LastPass users furious after being locked out due to MFA resets

2023/06/24 BleepingComputer — LastPass パスワード・マネージャのユーザーたちが、5月上旬から認証アプリをリセットするよう促されたことで、ログインに重大な問題が発生している。同社による 5月9日の発表は、「セキュリティのアップグレードが予定されているため、ユーザーは LastPass アカウントにログインし、多要素認証の設定をリセットする必要があるかもしれない」というものだった。しかし、それ以降において、数多くのユーザーたちがロックアウトされ、MFA アプリケーション (LastPass Authenticator／Microsoft Authenticator／Google Authenticator など) のリセットに成功しても、LastPass vault にアクセスできなくなっている。

MFA 侵害キットの台頭：月間で 100万件のバイパス・メッセージを記録 – Proofpoint

MFA Bypass Kits Account For One Million Monthly Messages

2023/06/14 InfoSecurity — Proofpoint によると、脅威アクターは 2022年もユーザー防御を回避するための戦術を進化させ続けており、その中でも多要素認証 (MFA) バイパス・キットは、数百万件ものフィッシング・メッセージで利用されていたという。Proofpoint は最新のレポート The Human Factor 2023 で、数年前から市販のツールキットが、サイバー犯罪者たちによるフィッシング活動を推進してきたが、MFA バイパス専用の特殊ツールは、比較的新しい光景であると述べている。

AiTM フィッシング攻撃が多発：Office 365 認証をバイパスして BEC へと至る

Adversary-in-the-Middle Attack Campaign Hits Dozens of Global Organizations

2023/06/13 TheHackerNews — AitM (Adversary-in-The-Middle) 技術を用いた広範な BEC (Business Email Compromise) キャンペーンにより、世界の数十の組織が標的にされていることが判明した。Sygnia の研究者たちは、「フィッシングに成功した脅威アクターは、ユーザー組織の従業員アカウントにアクセスし、Office365 の認証をバイパスし、そのアカウントへの永続的なアクセスを得るために AiTM 攻撃を実行している」と The Hacker Newsと共有したレポートで述べている。

ID 保護ソリューションへの投資：積極的な企業は 49% に過ぎない – IDSA 調査

IDSA: Only 49% of Firms Invest in Identity Protection Before Incidents

2023/05/31 InfoSecurity — セキュリティ・インシデントが発生したことはないが、ID 保護ソリューションに積極的に投資しているという企業は、わずか 49% である。また、セキュリティ・インシデントを経験した後に、ID とセキュリティを保護するために投資したという企業は、わずか 29% に過ぎない。この数字は、5月30日 (火) 発表された Identity Defined Security Alliance (IDSA) の最新レポートによるものだ。

PyPI による 2FA 義務化のアナウンスメント：すべてのアカウントで年末までに対応

PyPI announces mandatory use of 2FA for all software publishers

2023/05/28 BleepingComputer — Python Package Index (PyPI) が発表したのは、同プラットフォーム上でプロジェクトを管理する全てのアカウントに対して、2023年内に二要素認証 (2FA) をオンにすることの義務付けである。PyPI とは、プログラミング言語 Python で作成されたパッケージのための、ソフトウェア・リポジトリのことである。このインデックスには、20万個のパッケージが登録されており、開発者は各種プロジェクトの要件を満たす既存のパッケージを、ここで見つけることにより、時間と労力を節約することが可能となる。

Microsoft と MFA 疲労攻撃：Authenticator のプッシュ通知で番号照合を実施

Microsoft enforces number matching to fight MFA fatigue attacks

2023/05/08 BleepingComputer — Microsoft は、MFA 疲労攻撃を防ぐため、Microsoft Authenticator のプッシュ通知において番号照合を実施することにした。この種の、プッシュボミング／MFA プッシュスパム攻撃を実施する脅威アクターたちは、盗み出した認証情報を悪用し、モバイル・プッシュ通知が承認されるまでターゲットに送り続け、企業アカウントにログインしようとする。多くのケースにおいて、標的にされた被害者は、無限に続く警告を止めるために、あるいは、誤って悪意の MFA プッシュ要求に応じ、アカウントへの攻撃者のログインを許してしまう。

Facebook を攻撃する NodeStealer は情報窃取マルウェア：セッション・クッキー侵害の容易さを証明

Facebook disrupts new NodeStealer information-stealing malware

2023/05/03 BleepingComputer — Facebook が発見したのは、新たな情報スティーラー・マルウェア NodeStealer であり、ブラウザ・クッキーを盗み出した脅威アクターに対して、Meta／Gmail／Outlook アカウントの乗っ取りを許すものである。有効なユーザー・セッション・トークンを含むクッキーのキャプチャは、サイバー犯罪者の間で人気が高まっている戦術であり、二要素認証による保護をバイパスしながら認証情報を盗み出し、ターゲットとの対話を必要とすること無く、アカウントの乗っ取りへと至るものだ。

Google Authenticator の新機能：TOTP コードのクラウド・バックアップが可能に

Google Authenticator App Gets Cloud Backup Feature for TOTP Codes

2023/04/25 TheHackerNews — 4月24日 (月) に Google は、12年の歴史を持つ Android／iOS 用の Authenticator アプリに関する、アカウント同期オプションのメジャー・アップデートを発表し、ワンタイム・パスワード (TOTPs：Time-based One-Time Passwords) コードを、ユーザーがクラウドにバックアップできるようにした。

LastPass 侵害を再考する：そこから学ぶことがタクサンあるはず

LastPass Breach Reveals Important Lessons

2023/04/13 DarkReading — LastPass の情報漏えいは、ある種の典型的な出来事として記憶されるだろう。この2022年8月に発生した情報漏えいの爆発半径は、6ヶ月の間に悪い状態から破滅的な状態にまで拡大した。当初、LastPass の CEO は侵害の封じ込めを宣言した。しかし、2022年11月に未知の脅威アクターが、8月のインシデントで得た情報を使って、LastPass のクラウドベース・ストレージ環境と暗号化されたパスワード保管庫にアクセスしたことが発覚した。そして、2022年末までに LastPass は、暗号化されたパスワードやユーザー名などの、顧客データが漏洩したことを認めた。

Xenomorph は最凶のバンキング・トロイの木馬：侵入後の不正送金まで自動化している！　

Latest version of Xenomorph Android malware targets 400 banks

2023/03/10 SecurityAffairs — Android マルウェアである Xenomorph の作者 Hadoken Security Group は、悪意のあるコードを改良し続けている。ThreatFabric の研究者たちが Xenomorph マルウェアを発見した 2022年2月の時点で、Google Play ストア経由での配布が行われ、すでに５万以上のインストールに達していたという。このバンキング・トロイの木馬は、欧州の 56 の銀行を標的とし、顧客のデバイスから機密情報を盗み出すために使用されていた。そのコードの分析により、未実装の機能が存在すること、そして、大量のログが存在することが明らかになり、この脅威の活性化が示唆されている。

MFA の限界を知ろう：Active Directory との相性の悪さについて深堀りする

When Partial Protection is Zero Protection: The MFA Blind Spots No One Talks About

2023/03/10 TheHackerNews — 多要素認証 (MFA) は、かなり以前から、標準的なセキュリティ手法になっている。アカウント乗っ取り攻撃の 99% 以上を防ぐという、MFA の性能は広く認められており、MFAの導入は必須だと、セキュリティ・アーキテクトが考えるのも不思議ではない。しかし、あまり知られていないのは、従来からの MFA ソリューションには、固有の適用範囲の制限であるという視点である。RDP 接続やローカル・デスクトップへのログインには対応しているが、たとえば PsExec や Remote PowerShell などの、リモート・コマンド・ライン・アクセス・ツールを保護する機能は備えていない。

多要素認証 (MFA) バイパス：３種類の侵入ベクターについて解説する

Cyberattackers Double Down on Bypassing MFA

2023/03/01 DarkReading — 企業が従業員や顧客に対して、より強固なセキュリティを企業が求めるにつれて、攻撃者たちは多要素認証 (MFA) の回避を進化させてきた。今週に発表された、サイバー・セキュリティ企業 LastPass におけるデータ漏洩や、２月の初めに発表されたソーシャルメディア・サービス Reddit における侵害のように、この種の侵害発生は、着実に増加している。

LastPass のデータ侵害：エンジニアの自宅 PC が企業ストレージへの侵入経路に

LastPass breach: Hacker accessed corporate vault by compromising senior developer’s home PC

2023/02/28 HelpNetSecurity — 2022年8月に発生した LastPass の開発環境への侵害と、その後に発生したバックアップ・ホストのサードパーティ・クラウド・ストレージ・サービスへの不正アクセスに関して、同社から顧客へを通知が改めて行われた。同社の通知には、「脅威アクターたちは、最初のインシデントで盗み出した情報や、サードパーティのデータ漏えいから得た情報に加えて、サードパーティのメディア・ソフトウェア・パッケージの脆弱性などを悪用することで、協調的な第２の攻撃を開始した」と記されている。２つの侵害の影響は壊滅的であり、盗まれた／危険にさらされたデータと、機密情報のリストは広範囲に及んでいる。

OAuth を悪用する偽アプリ攻撃： Office 365 アカウントへの不正アクセスが発生

Attackers used malicious “verified” OAuth apps to infiltrate organizations’ O365 email accounts

2023/01/31 HelpNetSecurity — ”Publisher identity verified” マークを取得したサードパーティ製 OAuth アプリが、英国／アイルランドの組織を標的とする、未知の攻撃者に利用されていることを、Microsoft が明らかにした。この攻撃は、2022年12月初旬に Proofpoint の研究者が発見したものであり、SSO／Zoom になりすました３つの不正なアプリが関与しているという。この手口に騙されたターゲット組織は、一連の不正アプリにより O365 メールアカウントにアクセスされ、組織のクラウド環境への侵入を許してしまった。

Facebook／Instagram の 2FA バイパスが FIX：バグ報奨金は $27,000

Researcher received a $27,000 bounty for 2FA bypass bug in Facebook and Instagram

2023/01/30 SecurityAffairs — Instagram／Facebook に影響を与える２要素認証 (2FA) バイパスの脆弱性を報告したことで、研究者の Gtm Manoz は $27,000 のバグバウンティを得た。この脆弱性は、電話番号／メールアドレスの確認のために、親会社である Meta が使用しているコンポーネントに存在する。Mänôz は、このソフトウェアがレート制限の保護メカニズムを実装していないことに気づいた。そして、Meta Accounts Center を使用して、ターゲット・ユーザーの認証済み Facebook 携帯電話番号を確認することで、Facebook の２要素認証を回避した。

GoTo で発生したデータ侵害：暗号化されたバックアップや MFA 設定などを窃取

GoTo Says Hackers Stole Encrypted Backups, MFA Settings

2023/01/24 SecurityWeek — IT マネージメント・ソフトウェアを提供する GoTo は、2022年に発生した LastPass 関連会社に影響を及ぼしたセキュリティ侵害において、暗号化されたバックアップと一部の暗号化キーが、正体不明の脅威アクターに盗まれたと発表した。GoTo の CEO である Paddy Srinivasan は、このセキュリティ侵害が、当初の報告よりもはるかに深刻であることを認めている。具体的に言うと、アカウントのユーザー名および、ソルト化／ハッシュ化されたパスワード、MFA 設定の一部に加えて、一部製品のコンフィグレーション／ライセンス情報が盗まれたようだ。

PayPal ユーザー 35,000 人の個人情報に不正アクセス：クレデンシャル・スタッフィングの可能性大

Massive Credential Stuffing Campaign Hits 35,000 PayPal Users

2023/01/20 InfoSecurity — 今週に PayPal が公表したのは、2022年12月に発生したアカウントへの不正アクセスと、米国の数万人の顧客に対して通知が行われたことだ。この不正アクセスは、12月6日〜12月8日に発生し、その後に事態を把握した同社は、脅威となった人物によるアクセスを排除した。PayPal からメイン州司法長官事務所に提出された侵害通知書には、「この間において、不正な第三者が、特定の PayPal ユーザーの個人情報の一部を閲覧し、取得した可能性がある」と記されている。

NortonLifeLock の Password Manager アカウントに侵害が発生：PW の使い回しが原因？

NortonLifeLock warns that hackers breached Password Manager accounts

2023/01/13 BleepingComputer — Gen Digital (旧 Symantec Corporation、NortonLifeLock) が顧客に送付したデータ侵害通知は、ハッカーによるクレデンシャル・スタッフィング攻撃で、Norton Password Manager アカウントの侵害に成功したことを知らせるものだ。バーモント州司法長官事務所に提出された書簡のサンプルによると、この攻撃の原因は、同社への侵入ではなく、他のプラットフォームでのアカウント侵害によるものとのことだ。

Okta の GitHub リポジトリ侵害から学ぶ：セキュリティ確保のための７つのヒント

Why Attackers Target GitHub, and How You Can Secure It

2022/12/28 DarkReading — 先週に Okta は、GitHub でホストされている同社のソースコードに、攻撃者がアクセスするというセキュリティ侵害について発表した。ただし、それは、GitHub に保存される企業のソースコードに対する、不正なアクセスを仕掛ける攻撃の、最新の事例に過ぎない。以前には、Dropbox／Gentoo Linux／Microsoft なども、GitHub のアカウントが狙われたことがあるのだ。

GitHub の 2FA 義務化：2023/03〜2023/12 で全ユーザーに対応

GitHub to require all users to enable 2FA by the end of 2023

2022/12/15 BleepingComputer — 2023年末までに GitHub は、このプラットフォーム上でコードをコントリビュートする全ユーザーに対して、アカウント保護の追加措置として 2FA の有効化を義務付ける予定である。2FA (二要素認証) とは、ワンタイム・コードを入力する追加ステップを、ログイン時に導入することで、アカウントのセキュリティを向上させるものだ。

LastPass のシステムで不正侵入：８月に窃取された情報により顧客データにアクセスか？

Lastpass says hackers accessed customer data in new breach

2022/11/30 BleepingComputer — LastPass の発表によると、2022年8月に発生したセキュリティ・インシデントで窃取した情報を悪用する未知の攻撃者が、同社のクラウド・ストレージに侵入し、顧客データへのアクセスに成功したようだ。 LastPass は、「当社と関連会社である GoTo の両社が現在共有している、サードパーティのクラウド・ストレージ・サービス内における異常な活動を検出した。不正な第三者が、2022年8月のインシデントで入手した情報を悪用して、顧客データの特定の要素にアクセスしたようだ」と述べている。

Microsoft 365 とユーザーを隔てるギャップ：90% の企業は何を思う？

90% of organizations have Microsoft 365 security gaps

2022/11/22 HelpNetSecurity — 前日に発表された CoreView の調査では、世界の 160万人の Microsoft 365 ユーザーの声を評価することで、90% もの組織においてセキュリティ保護にギャップが存在することを明らかにした。Microsoft 365 (M365) の管理は複雑である。どのようにすれば、IT チームは管理における頭痛の種を回避し、100% のコンプライアンスを維持し、M365 インスタンスを正しくコントロールできるのだろうか。

FBI／CISA／HHS 共同警告：ランサムウェア Hive の被害額が約 $100M に到達

Hive Ransomware Has Made $100m to Date

2022/11/18 InfoSecurity — 昨日に FBI／CISA／HHS (Health and Human Services) が発表した共同警告によると、ランサムウェア亜種 Hive は、これまでに 1,300以上のグローバル企業から約 $100 million の利益を得ているという。この推定利益は、2021年6月に Hive が発見されてから、約15カ月の間に発生したものだ。被害組織は、政府／通信／主要な製造業／IT企業など多岐にわたるが、特に医療機関へ攻撃が集中しているようだ。

Cookie 窃取と MFA バイパス：この組み合わせがサーバー攻撃を加速させる

Cookies for MFA Bypass Gain Traction Among Cyberattackers

2022/11/12 DarkReading — 最近の Lapsus$ マルウェア・グループは、侵害したシステムのアクセスを取得する際に、パスワードを探し出すだけではなく、デバイスやブラウザを正当なものとして認証するために使用される、Cookie セッション・トークンも検索している。このようなイニシャル・アクセスに関する傾向は、クラウド・サービスやオンプレミス・アプリケーションへのアクセスに攻撃者が使用するパスワードやクッキーが、犯罪者の予備軍から購入されるという状況を浮き彫りにしている。

Robin Banks は Phishing-as-a-Service：機能を充実させて脅威を増大させる

Robin Banks phishing-as-a-service platform continues to evolve

2022/11/07 SecurityAffairs — Phishing-as-a-Service (PhaaS) プラットフォームの Robin Banks は、以前は Cloudflare のプロバイダーによりホストされていたが、7月に通知を受けた同社が、Robin Banks のフィッシング・インフラをサービスから切り離し、現在に至っている。この変化により、Robin Banks の運営には数日の混乱が生じたが、このプラットフォームの管理者により、ロシアの防弾ホスティング・プロバイダー DDoS-Guard への移行などが行われたようだ。

Dropbox の開発者を狙うフィッシング：GitHub リポジトリ侵害と 130 件のコード流出

130 Dropbox code repos plundered after successful phishing attack

2022/11/02 HelpNetSecurity — Dropbox はデータ侵害に遭ったが、攻撃者による Dropbox のアカウント／パスワード／支払い情報などへのアクセスはなかったので、ユーザーは心配する必要ない。その代わりに、同社が GitHub にホストしている 130件のプライベート・リポジトリーからコードが取得されてしまった。

CISA の MFA ガイダンス：Number Matching 実装でフィッシングに対抗

CISA Urges Organizations to Implement Phishing-Resistant MFA

2022/11/02 SecurityWeek — 米国の CISA (Cybersecurity and Infrastructure Security Agency) は、フィッシングに耐性のある Multi Factor Authentication (MFA) と MFA 対応アプリの番号照合を導入することで、組織におけるフィッシング脅威などからの保護に関するガイダンスを発表した。MFA とは、漏洩したログイン情報を悪用する攻撃者からの、ネットワークやシステムへの不正アクセスを困難にするセキュリティ・コントロールのことであり、ユーザーによる本人確認を実施するために、２つ以上の異なる認証手段の組み合わせを要求するものだ。

Twilio 侵害の調査が完了：209人の顧客と 93人の Authy エンドユーザーに被害

Twilio discloses another hack from June, blames voice phishing

2022/10/27 BleepingComputer — クラウド・コミュニケーション企業の Twilio は、2022年6月のセキュリティ・インシデントに起因する新たなデータ侵害を開示したが、その背景には、８月に生じたハッキングで顧客の情報にアクセスした同一の攻撃者がいるようだ。Twilio によると、新たに開示された 6月29日の件は、短時間のセキュリティ・インシデントだったという。攻撃者はソーシャル・エンジニアリングを用いて、音声フィッシング攻撃で従業員を騙して認証情報を受け取った。その後に、盗まれた認証情報は、限られた顧客の情報にアクセスするために使われた。