COVID-19 の情報を含む PII が漏洩:ダークウェブがタイ政府のデータを販売

COVID-19 data put for sale on the Dark Web

2022/08/29 HelpNetSecurity — カリフォルニアに本拠を置き、Fortune 500 を保護するサイバーセキュリティ企業 Resecurity は、タイの医療科学省から盗まれた 個人情報 (PII:Personally Identifiable Information) の漏洩を確認した。この PII には、COVID-19 の症状がある市民の情報を含まれるという。このインシデントは発見されたのち、タイの CERTと共有された。

Continue reading “COVID-19 の情報を含む PII が漏洩:ダークウェブがタイ政府のデータを販売”

Amex と Snapchat にオープンリダイレクトの脆弱性:対応を間違えると悪用の範囲が拡大

American Express, Snapchat Open-Redirect Vulnerabilities Exploited in Phishing Scheme

2022/08/03 DarkReading — American Express と Snapchat のドメインに存在するオープン・リダイレクトの脆弱性を悪用する脅威アクターたちが、Google Workspace や Microsoft 365 のユーザーをターゲットにした、フィッシング・メールを送信していることが明らかになった。 INKY が発表した調査結果によると、どちらのケースにおいてもフィッシング詐欺師たちは、個人を特定できる情報 (PII) を、URL に含んでいたことが判明している。 また、PII を Base 64 に変換し、ランダムな文字列に変換することで、それを隠蔽していた。

Continue reading “Amex と Snapchat にオープンリダイレクトの脆弱性:対応を間違えると悪用の範囲が拡大”

PayPal を装う新たなフィッシング・キット:狡猾な手口で個人情報を抜き取る

PayPal phishing kit added to hacked WordPress sites for full ID theft

2022/07/14 BleepingComputer — PayPal ユーザーを標的とした新たなフィッシング・キットにより、政府発行の身分証明書や写真などの、大量の個人情報を盗み出そうとするアクティビティが発見された。現時点において、4億人以上の個人および企業が、オンライン決済ソリューションとして PayPal を使用している。このキットは、ハッキングした正規の WordPress Web サイトをホストとしているため、ある程度は検出を回避することが可能である。

Continue reading “PayPal を装う新たなフィッシング・キット:狡猾な手口で個人情報を抜き取る”

Amazon S3 バケットで繰り返されるミスコンフィグレーション:空港機密データ 3TB が流出

Cloud Misconfig Exposes 3TB of Sensitive Airport Data in Amazon S3 Bucket: ‘Lives at Stake’

2022/07/07 DarkReading — Amazon S3 バケットのミスコンフィグレーションにより、3TB の空港データ (150万以上のファイル) が漏洩し、アクセスに認証が不要なオープン状態となった。それにより浮き彫りになったのは、旅行業界が直面している、安全性が確保できないクラウド・インフラの危険性である。Skyhigh Security が公開した情報には、コロンビアとペルーの、少なくとも4つの空港の従業員の個人識別情報 (PII) や、その他の機密企業データが含まれているという。

Continue reading “Amazon S3 バケットで繰り返されるミスコンフィグレーション:空港機密データ 3TB が流出”

FBI と司法省がダークウェブ WeLeakInfo.to を押収:個人情報販売と DDoS 攻撃請負を阻止

FBI seizes domains used to sell stolen data, DDoS services

2022/06/01 BleepingComputer — 米連邦捜査局 (FBI) と米司法省は、情報漏洩で盗み出された個人情報の販売や、DDoS 攻撃サービスを提供するために、サイバー犯罪者たちが使用していた3つのドメインを押収したと発表した。WeLeakInfo.to は、データ漏洩事件で盗まれた1万件以上の情報などを取り込んだデータベースを、サブスクリプションでユーザーに販売し、検索機能を提供していた。

Continue reading “FBI と司法省がダークウェブ WeLeakInfo.to を押収:個人情報販売と DDoS 攻撃請負を阻止”

Salt Security レポート:REST API の後継とされる GraphQL の脆弱性について

Salt Security Report Surfaces GraphQL API Vulnerabilities

2021/12/08 SecurityBoulevard — 今日、Salt Security は、非公開の金融サービス企業が実装している、GraphQL API で発見された脆弱性を紹介するレポートを発表した。Salt Security の Technical Evangelist である Michael Isbitski によると、同社の研究者が確認した限りでは、この脆弱性の悪用は検知されていない。しかし、このレポートは、REST API に代わるものとして、開発者が広く使用し始めている、この新しいクラスの API 保護の必要性を、セキュリティ・チームに警告するものになる。

Continue reading “Salt Security レポート:REST API の後継とされる GraphQL の脆弱性について”

SaaS を安全に運用するためのソリューション:CASB と SSPM の違いはどこに?

Securing SaaS Apps — CASB vs. SSPM

2021/11/01 TheHackerNews — Cloud Access Security Brokers (CASB) と SaaS Security Posture Management (SSPM) は、SaaS アプリケーションのセキュリティに対処するために設計されたソリューションであるため、しばしば混同される。CASBは、重要なデータを保護するために、複数のセキュリティ・ポリシーを実施することで、機密データを保護する。

Continue reading “SaaS を安全に運用するためのソリューション:CASB と SSPM の違いはどこに?”

Ford における顧客データの流出と対応:これじゃ研究者が可哀相

Ford bug exposed customer and employee records from internal systems

2021/08/15 BleepingComputer — Ford Motor Company の Web サイトのバグにより、機密システムへのアクセスが可能となり、顧客データベースや、従業員記録、社内チケットなどの、プロプライエタリ・データを窃取された。このデータ流出は、Ford のサーバー上で稼働している、顧客エンゲージメント・システム Pega Infinity のインスタンスが、誤って設定されていたことに起因している。

Continue reading “Ford における顧客データの流出と対応:これじゃ研究者が可哀相”

AMaaS >IDaaS:クラウドとオンプレの ID を統合

Pushing the Limits of IDaaS with AMaaS

2021/07/29 SecurityBoulevard — データへの安全なアクセスは、誰にとっても大きな懸念となる。そこで、クラウド ID 管理ソリューションとして、IDaaS (identity-as-a-service) が随所で採用され、アプリケーションにアクセスするユーザーが、本人であることの確認が、つまり、ID の認証が行われている。しかし、IDaaS は、問題の半分しか解決できない。個人情報保護法では、個人を特定できる情報 (PII) などの機密データに、適切な人だけが適切なタイミングでアクセスするよう求められている。

Continue reading “AMaaS >IDaaS:クラウドとオンプレの ID を統合”

IBM Security 調査:データ侵害への対応コストは平均で $4.2M

IBM Cost of a Data Breach study: average Cost of Data Breach exceeds $4.2M

2021/07/28 SecurityAffairs — 今日、IBM Security が発表した Cost of Data Breach は、Ponemon Institute が実施した調査結果を、スポンサーでもある IBM が分析したものである。この調査は、2020年5月から2021年3月の間に、500以上の組織が被ったデータ侵害に関連する、データに基づいて実施された。この調査で明らかになったのは、現在進行中のパンデミックが、データの漏洩およびリカバリーのための労力とコストに、大きな影響を与えていることである。

Continue reading “IBM Security 調査:データ侵害への対応コストは平均で $4.2M”