PII – IoT OT Security News

Firebase インスタンスのミスコンフィグ：平文パスワード 1900 万件が流出

Misconfigured Firebase instances leaked 19 million plaintext passwords

2024/03/19 BleepingComputer — データベース／クラウド／アプリ開発などをホスティングする、Google のプラットフォーム Firebase のミスコンフィグにより、1,900 万件あまりの平文のパスワードがインターネット上に流出していたことが、３人のサイバー・セキュリティ研究者たちの調査により明らかになった。研究者たちが 500 万件以上のドメインをスキャンしたところ、セキュリティ・ルールが有効化されていない組織の、あるいは、間違って設定されている組織の Web サイトが、916 件も発見されたとのことだ。さらに、電子メール／名前／パスワード／電話番号／銀行明細を含む請求情報などの個人情報が、1億2500万件以上も公開されていることも判明した。

Social Blade という SNS データ分析ツール：盗まれた PII がダークウェブで売られている

Social Blade Confirms Data Breach Exposing PII on the Dark Web

2022/12/16 InfoSecurity — ソーシャルメディア・データ分析ツールである Social Blade は、同社のシステムが 12月14日に侵害され、流出した PII (Personally Identifiable Information) がダークウェブに売りに出されていることを発表した。このインシデント関して、同社は公に警告を出さなかったが、電子メールで直接にユーザーに対して警告を発している。最近のことだが、ユーザーの１人が、アグリゲーター・プラットフォーム Ycombinator に、そのメールの内容を投稿した。

Amazon RDS スナップショットの問題：意図しない共有により PII が漏洩

Thousands of Amazon RDS Snapshots Are Leaking Corporate PII

2022/11/17 DarkReading — Amazon のクラウドベース・データバックアップ・サービスを介して、毎月のように何十万ものデータベースが不注意により公開されている。このような状況を悪用する脅威アクターたちは、個人を特定できる情報 (PII : Personally Identifiable Information) にアクセスし、恐喝やランサムウェアといった脅威のアクティビティに利用されることが、研究者たちにより判明した。

COVID-19 の情報を含む PII が漏洩：ダークウェブがタイ政府のデータを販売

COVID-19 data put for sale on the Dark Web

2022/08/29 HelpNetSecurity — カリフォルニアに本拠を置き、Fortune 500 を保護するサイバーセキュリティ企業 Resecurity は、タイの医療科学省から盗まれた個人情報 (PII：Personally Identifiable Information) の漏洩を確認した。この PII には、COVID-19 の症状がある市民の情報を含まれるという。このインシデントは発見されたのち、タイの CERTと共有された。

Amex と Snapchat にオープンリダイレクトの脆弱性：対応を間違えると悪用の範囲が拡大

American Express, Snapchat Open-Redirect Vulnerabilities Exploited in Phishing Scheme

2022/08/03 DarkReading — American Express と Snapchat のドメインに存在するオープン・リダイレクトの脆弱性を悪用する脅威アクターたちが、Google Workspace や Microsoft 365 のユーザーをターゲットにした、フィッシング・メールを送信していることが明らかになった。 INKY が発表した調査結果によると、どちらのケースにおいてもフィッシング詐欺師たちは、個人を特定できる情報 (PII) を、URL に含んでいたことが判明している。また、PII を Base 64 に変換し、ランダムな文字列に変換することで、それを隠蔽していた。

PayPal を装う新たなフィッシング・キット：狡猾な手口で個人情報を抜き取る

PayPal phishing kit added to hacked WordPress sites for full ID theft

2022/07/14 BleepingComputer — PayPal ユーザーを標的とした新たなフィッシング・キットにより、政府発行の身分証明書や写真などの、大量の個人情報を盗み出そうとするアクティビティが発見された。現時点において、４億人以上の個人および企業が、オンライン決済ソリューションとして PayPal を使用している。このキットは、ハッキングした正規の WordPress Web サイトをホストとしているため、ある程度は検出を回避することが可能である。

Amazon S3 バケットで繰り返されるミスコンフィグレーション：空港機密データ 3TB が流出

Cloud Misconfig Exposes 3TB of Sensitive Airport Data in Amazon S3 Bucket: ‘Lives at Stake’

2022/07/07 DarkReading — Amazon S3 バケットのミスコンフィグレーションにより、3TB の空港データ (150万以上のファイル) が漏洩し、アクセスに認証が不要なオープン状態となった。それにより浮き彫りになったのは、旅行業界が直面している、安全性が確保できないクラウド・インフラの危険性である。Skyhigh Security が公開した情報には、コロンビアとペルーの、少なくとも４つの空港の従業員の個人識別情報 (PII) や、その他の機密企業データが含まれているという。

FBI と司法省がダークウェブ WeLeakInfo.to を押収：個人情報販売と DDoS 攻撃請負を阻止

FBI seizes domains used to sell stolen data, DDoS services

2022/06/01 BleepingComputer — 米連邦捜査局 (FBI) と米司法省は、情報漏洩で盗み出された個人情報の販売や、DDoS 攻撃サービスを提供するために、サイバー犯罪者たちが使用していた３つのドメインを押収したと発表した。WeLeakInfo.to は、データ漏洩事件で盗まれた１万件以上の情報などを取り込んだデータベースを、サブスクリプションでユーザーに販売し、検索機能を提供していた。

Salt Security レポート：REST API の後継とされる GraphQL の脆弱性について

Salt Security Report Surfaces GraphQL API Vulnerabilities

2021/12/08 SecurityBoulevard — 今日、Salt Security は、非公開の金融サービス企業が実装している、GraphQL API で発見された脆弱性を紹介するレポートを発表した。Salt Security の Technical Evangelist である Michael Isbitski によると、同社の研究者が確認した限りでは、この脆弱性の悪用は検知されていない。しかし、このレポートは、REST API に代わるものとして、開発者が広く使用し始めている、この新しいクラスの API 保護の必要性を、セキュリティ・チームに警告するものになる。

SaaS を安全に運用するためのソリューション：CASB と SSPM の違いはどこに？

Securing SaaS Apps — CASB vs. SSPM

2021/11/01 TheHackerNews — Cloud Access Security Brokers (CASB) と SaaS Security Posture Management (SSPM) は、SaaS アプリケーションのセキュリティに対処するために設計されたソリューションであるため、しばしば混同される。CASBは、重要なデータを保護するために、複数のセキュリティ・ポリシーを実施することで、機密データを保護する。

Ford における顧客データの流出と対応：これじゃ研究者が可哀相

Ford bug exposed customer and employee records from internal systems

2021/08/15 BleepingComputer — Ford Motor Company の Web サイトのバグにより、機密システムへのアクセスが可能となり、顧客データベースや、従業員記録、社内チケットなどの、プロプライエタリ・データを窃取された。このデータ流出は、Ford のサーバー上で稼働している、顧客エンゲージメント・システム Pega Infinity のインスタンスが、誤って設定されていたことに起因している。

AMaaS ＞IDaaS：クラウドとオンプレの ID を統合

Pushing the Limits of IDaaS with AMaaS

2021/07/29 SecurityBoulevard — データへの安全なアクセスは、誰にとっても大きな懸念となる。そこで、クラウド ID 管理ソリューションとして、IDaaS (identity-as-a-service) が随所で採用され、アプリケーションにアクセスするユーザーが、本人であることの確認が、つまり、ID の認証が行われている。しかし、IDaaS は、問題の半分しか解決できない。個人情報保護法では、個人を特定できる情報 (PII) などの機密データに、適切な人だけが適切なタイミングでアクセスするよう求められている。

IBM Security 調査：データ侵害への対応コストは平均で $4.2M

IBM Cost of a Data Breach study: average Cost of Data Breach exceeds $4.2M

2021/07/28 SecurityAffairs — 今日、IBM Security が発表した Cost of Data Breach は、Ponemon Institute が実施した調査結果を、スポンサーでもある IBM が分析したものである。この調査は、2020年5月から2021年3月の間に、500以上の組織が被ったデータ侵害に関連する、データに基づいて実施された。この調査で明らかになったのは、現在進行中のパンデミックが、データの漏洩およびリカバリーのための労力とコストに、大きな影響を与えていることである。