Regulations – IoT OT Security News

Tesla に対する訴訟：車載カメラによる侵入的な撮影とプライバシーの無視

Tesla Sued Over Workers’ Alleged Access to Car Video Imagery

2023/04/10 SecurityWeek — Tesla の車載カメラで撮影されたプライベートな画像を、同社の従業員たちが [娯楽] として使用したいたことで、Tesla 所有者が集団訴訟を呼びかけている。Reuters によると、サンフランシスコ在住の Henry Yeh は、Tesla の車載カメラで撮影したビデオや写真に、同社の元従業員がアクセスしたとして、金曜日に連邦裁判所に訴訟を提起した。裁判所に提出された書類は主張しているのは、この元従業員が、高度な車載カメラ・システムで記録されたデータを、本人の同意なしに流通させたという点だ。

GitHub が SBOM エクスポートをサポート：ソフトウェア要件への対応を容易にする

GitHub Adds SBOM Export to Make it Easier to Comply with Security Requirements

2023/04/06 InfoQ — GitHub が発表した SBOM エクスポートは、セキュリティ・コンプライアンスのワークフローやツールの一部として、使用されることを意図したものである。この新機能により、NTIA に準拠した SBOM を、容易にエクスポートできるようになったと GitHub は述べている。手動または自動化されたプロセスなどの各種の方法により、ユーザーは SBOM をエクスポートできる。手動で SBOM を生成するには、リポジトリ内の依存関係グラフにアクセスし、新たに提供された Export SBOM ボタンをクリックする。それにより、SPDX 形式の、マシン・リーダブルの SBOM が作成される。

Genesis のテイクダウン：Operation Cookie Monster が老舗のダークウェブを追い詰めた

FBI Seizes Genesis Cybercriminal Marketplace in ‘Operation Cookie Monster’

2023/04/06 DarkReading — 盗み出されたクッキーなどの、危険なデータを流通させるために広く利用されている、ダークウェブ・フォーラムのホームページが、米国連邦法執行機関の押収通知に置き換えられた。FBI が押収した Genesis Market は、盗み出されたクッキー／認証情報／トークンだけではなく、被害者のネットワークにイニシャル・アクセスするための、ボットなどのツールを提供する、最大かつ広範に利用されるダークウェブ・フォーラムの１つである。この出来事は、世界中でサイバー犯罪に関与している人々に、国際的な法執行機関が与えた新たな打撃である。

Docker の BuildKit で SBOM をサポート：どのように機能するのか？どんな制限があるのか？

Docker’s BuildKit adds SBOM attestation capabilities: How they work — and key limitations

2023/04/04 SecurityBoulevard — 今年の初めに Docker は、BuildKit ツールにおいて、ビルド時の証明書と SBOM (Software Bills of Materials) のサポートを追加し、それぞれのイメージ内のソフトウェア・コンポーネントのビルド・プロセスを、開発チームが完全に記録する方法を提供するようになった。BuildKit とは、コンテナ・イメージを構築するための Docker のビルド・エンジンであり、従来からのスクリプト・ベースの Dockerfile ビルド・エンジンを改良したものである。Docker は、このツールにより、ビルドのパフォーマンスが向上し、Dockerfile の再利用性が高まったと主張している。

ChatGPT／GPT-4 を止めろ：Musk／Wozniak などの著名人グループが申し立て

Musk, Scientists Call for Halt to AI Race Sparked by ChatGPT

2023/03/29 SecurityWeek — いつかは人間を凌駕するかもしれない、パワフルなな人工知能技術の展開において、テック企業の動きは速すぎるのだろうか。著名なコンピューター科学者や、Elon Musk、Apple の創業者 Steve Wozniak といったテック業界の著名人たちのグループは、リスクを考慮するために、６ヶ月間の一時停止を要求している。この申立は、サンフランシスコのスタートアップ OpenAI が、先日に発表した GPT-4 に対するものだ。広く使われている AI チャットボット ChatGPT を、さらに進化させた GPT-4 は、ビッグテックである Microsoft と Google のアプリケーション開発競争に火をつけるきっかけにもなっている。

FBI／CISA／MS-ISAC の共同勧告：ランサムウェア LockBit 3.0 攻撃について

US Government Warns Organizations of LockBit 3.0 Ransomware Attacks

2023/03/17 SecurityWeek — 今週に、FBI／CISA／MS-ISAC は共同で、ランサムウェア LockBit 3.0 のオペレーションに関するアラートを発表した。LockBit は2020年1月以降において、Ransomware-as-a-Service (RaaS) モデルをベースに活動し、広範囲におよぶ企業や重要インフラ事業体をターゲットに、さまざまな TTP (Tactics, Techniques, and Procedures) を用いてきた。

CISA の Secure Cloud Business Applications：パブリック・コメントの募集を開始

CISA Seeks Public Opinion on Cloud Application Security Guidance

2023/03/16 SecurityWeek — CISA は、クラウド・ビジネス・アプリケーションの安全性確保のためのガイダンスについて、パブリック・コメントを募集している。この、SCuBA (Secure Cloud Business Applications) Hybrid Identity Solutions Architecture と題されたドキュメントは、連邦政府機関におけるクラウドベースのソリューションと、既存のオンプレミス・インフラとの安全な統合を支援するものだ。

米国の国家サイバー戦略が規制を強化：攻撃的な Hack-Back アプローチも容認

US National Cyber Strategy Pushes Regulation, Aggressive Hack-Back Operations

2023/02/27 SecurityWeek — 米国政府は、重要インフラ・ベンダーに対する強制的な規制を承認する一方で、外国の敵対者に対する積極的な Hack-Back アプローチを容認するための、サイバー・セキュリティ戦略文書を発表する予定である。ワシントンで話題になっている、この戦略文書に関する初期の報道によると、国家安全保障における公平な競争条件のために規制を利用する、35 ページに及ぶ国家サイバーセキュリティ戦略の最終詳細を、バイデン政権は熟考しているとのことだ。

WhatsApp が GDPR 違反：Meta に €5.5m の罰金を科した EU 委員会内に摩擦

WhatsApp Hit with €5.5m fine for GDPR Violations

2023/01/20 InfoSecurity — アイルランドのデータ保護委員会 (DPC : Data Protection Commission) が WhatsApp に対して、GDPR 違反があったとして €5.5m ($5.9m) の罰金を科した。また、この罰金に加えて、WhatsApp Ireland は 6ヶ月以内に、データ処理業務をコンプライアンスに適合させるよう指示された。この WhatsApp の責任範囲に関する訴訟については、欧州のデータ保護当局の間に、大きな意見の相違があることを示すものだ。

SBOM の品質をチェック：米政府基準の最小限要素を満たすものは１％に過ぎない

Chainguard Trains Spotlight on SBOM Quality Problem

2023/01/19 SecurityWeek — ソフトウェア部品表で品質を管理しているソフトウェア・エンジニアが、驚くべき発見をした。現時点で作成されている SBOM のうち、米国政府が定義した「最小限の要素」を満たしているものは、わずか 1% に過ぎないというのだ。ソフトウェア・サプライチェーン・セキュリティの企業である Chainguard の新しいデータによると、既存のツールで生成された SBOM は、ソフトウェアの脆弱性／ライセンス／在庫の追跡を管理するために、SBOM 内で定義されている必要最小限のデータフィールドを満たしていないことが判明した。

WikiLeaks が暴露した CIA の Hive マルウェア：未知の脅威アクターが改造／悪用している

New Backdoor Created Using Leaked CIA’s Hive Malware Discovered in the Wild

2023/01/16 TheHackerNews — 2017年11月の WikiLeaks インシデントにより、ソースコードが公開された米国中央情報局 (CIA) のマルチ・プラットフォーム型マルウェア・スイート Hive だが、その機能を借用した新たなバックドアを、正体不明の脅威アクターが展開していることが判明した。先週に公開された技術文書において、Qihoo Netlab 360 の Alex Turing と Hui Wang は、「CIA Hive 攻撃キットの亜種が、野放し状態で活動している状況を捕捉し、埋め込まれた Bot 側証明書 CN=xdr33 に基づき、xdr33 と命名した」と述べている。

Twitter が２億人分のユーザーデータ販売を調査：同社の脆弱性とは無関係と主張

Twitter claims leaked data of 200M users not stolen from its systems

2023/01/11 BleepingComputer — Twitter の発表によると、数億人の Twitter ユーザーのメールアドレスが流出し、オンラインで販売されたとの報道があるが、同社システムの脆弱性を悪用してデータが取得された証拠は見つからなかったとのことだ。同社はブログで、「Twitter ユーザーのデータがオンラインで販売されているという最近の報道を受け、徹底的な調査を行ったが、最近販売されているデータが、Twitter システムの脆弱性を悪用して入手されたという証拠はない」と述べている。

Facebook／Instagram に €390M の罰金：GDPR 違反という主張に Meta は反発

Meta to fight €390 million fine for breaching EU data privacy laws

2023/01/04 bleepingcomputer — アイルランドのデータ保護委員会 (DPC : Data Protection Commission) は、Facebook／Instagram のユーザーに対するターゲット広告のために、Meta が個人データ処理に同意するよう強制していたと認定し、合計で €390 million の罰金を科した。本日の決定は、EU の General Data Protection Regulation (GDPR) データプライバシー／セキュリティ法が施行された 2018年5月25日に、オーストリア／ベルギーのユーザー非営利団体 noyb が提出した苦情に端を発したものであり、Meta のデータ処理業務に関する２件の調査が終了した後に下されたものだ。

Google の同意なき位置情報の追跡：米国で $29.5M の罰金が追加される

Google to Pay $29.5 Million to Settle Lawsuits Over User Location Tracking

2023/01/01 TheHackerNews — Google は、同社の不誠実な位置追跡に関して、インディアナ州とワシントン D.C. から提訴された２つの訴訟で、合計 $29.5 million を支払うことに同意した。明示的な同意なしに、ユーザーの位置を追跡したとして、Google は両州から訴えられ、ワシントン D.C. に $9.5 million、インディアナ州に $20 million の支払うことが決定した。今回の和解は、2022年11月に Google が同様の申し立てについて、40州に支払うことで合意した $391.5 million に追加されるものだ。同社は、テキサス州とワシントン州で、さらに２件の位置情報追跡に関する訴訟に直面している。

Facebook が $725 Million の罰金に同意：Cambridge Analytica のデータ流出問題

Facebook to Pay $725 Million to settle Lawsuit Over Cambridge Analytica Data Leak

2022/12/27 TheHackerNews — Facebook／Instagram／WhatsApp などの親会社である Meta Platforms は、2018年からの長期間の集団訴訟に対して、$725 million を支払うことに合意した。この法的紛争が勃発した背景には、Cambridge Analytica が使用したようなサードパーティ・アプリが、政治的広告のためにユーザーの個人情報に同意なくアクセスすることを、Meta Platforms が許可していたことがある。

Twitter ユーザー情報の大量流出：EU のデータ保護委員会が調査を開始

Massive Twitter data leak investigated by EU privacy watchdog

2022/12/23 BleepingComputer — アイルランド・データ保護委員会 (DPC : Data Protection Commission) は、Twitter における先月の大規模データ流出に関する報道を受け、調査を開始した。このインシデントは、Twitter ユーザー 540万人以上に影響を与えるだけではなく、サイトから収集された公開情報が流出させただけではなく、個人の電話番号／電子メール・アドレスなども流出させている。一連の流出したデータは、Twitter が 2022年1月に修正した API の、脆弱性を悪用して不正に取得されている。

Microsoft に $64m の罰金：Bing の広告 Cookie が GDPR 違反

France Fines Microsoft $64m for Imposing Ad Cookies to its Bing Users

2022/12/22 InfoSecurity — フランスのデジタル・プライバシー規制機関である Commission nationale de l’informatique et des libertés (CNIL) は、12月22日に Microsoft の広告 Cookie をめぐり、2022年最高額となる €60m ($64m) の罰金を課したことを発表した。CNIL の見解は、Microsoft の検索エンジンである Bing が、EU の General Data Protection Regulation (GDPR) の要件である、ユーザーによる Cookie を許可／拒否のシステムを、同じレベルで構築していなかったというものだ。

Fortnite のプライバシー違反：FTC が要求する $520M という巨額の罰金に同意

Fortnite Dev to Pay $520m in Record-Breaking Settlement

2022/12/20 InfoSecurity — ゲーム大手の Epic Games は、FTC に数億ドルを支払うことで、子供のプライバシーとダークパターン使用に関する、２つの大きな疑惑を解決する予定だという。この支払いは、Children’s Online Privacy Protection Act (COPPA) 違反に関する $275 million と、明らかに怪しい課金を消費者に返金する $245 million の、２つの請求に対して適用される。

TikTok における子供の保護に問題：米国のインディアナ州政府が提訴

TikTok Hit by US Lawsuits Over Child Safety, Security Fears

2022/12/08 SecurityWeek — 12月7日に米国のインディアナ州は、中国の TikTok アプリが、子供の安全性について虚偽の主張をしていると訴え、２件の訴訟を起こした。この訴訟は、TikTok が国家安全保障上の脅威であり、中国のスパイの手先であるという、複数の非難を受けたものだ。このように、米国内では TikTok に関する問題が山積してる。

米国の国防産業に対する調査：87％がサイバー・セキュリティ要件に不適合

Majority of US Defense Contractors Not Meeting Basic Cybersecurity Requirements

2022/11/30 InfoSecurity — CyberSheath が委託した調査により、米国の防衛関連請負業者の 87％が、基本的なサイバー・セキュリティ規制の要件を満たしていないことが判明した。米国国防総省 (DoD) の請負業者 300社を対象にした調査では、Supplier Risk Performance System (SPRS) スコアが 70点以上である回答者は、わずか 13% であることが明らかになった。国防連邦調達規則補足文書 (DFARS: Defense Federal Acquisition Regulation Supplement) では、完全なコンプライアンスを得るためには、110点のスコアが要求されている。

Facebook 対 GDPR：$275M の罰金とデータ・スクレイピングへの圧力

Meta fined €265M for not protecting Facebook users’ data from scrapers

2022/11/28 BleepingComputer — 世界中の数億人のユーザー情報が流出した、2021年の Facebook データ大量流出事件を追求する、アイルランドの DPC (data protection commission) は Meta に対して、€265 million ($275.5 million) の罰金を科した。5億3300万人の Facebook ユーザーのデータが、2021年4月14日にハッカーフォーラムで公開されたことを受けて開始された、Meta による GDPR 違反に関する DPC の調査は、これにより終了した。

Huawei／Hikvision などへの制裁強化：米国家安全保障上のリスクから使用を禁止

U.S. Bans Chinese Telecom Equipment and Surveillance Cameras Over National Security Risk

2022/11/26 TheHackerNews — 米国連邦通信委員会 (FCC) は、Huawei／ZTE／Hytera／Hikvision／Dahua の電子機器に対して、国家安全保障上の脅威として「容認できない」とし、今後は認可しないことを正式に発表した。2021年3月12日の時点で、これらの中国の通信／映像監視企業は、Covered List に含まれていた。

Google が $391M の罰金に同意：Android における不誠実な位置情報の収集

Google will pay $391M to settle Android location tracking lawsuit

2022/11/14 BleepingComputer — Google は、米国 40州の検事総長連合が起こしたプライバシー訴訟に関して、$391.5 million を支払って和解することに合意した。この訴訟と和解は、位置情報追跡が無効になっていると Android ユーザーを誤解させ、2014年から Google が追跡していたことを、2018年の AP 通信の記事を調査中に、米検事総長が発見したことに起因している。

FBI が Web ドメイン 18件を押収：マネーミュールで運び屋にされないために

U.S. seized 18 web domains used for recruiting money mules

2022/11/11 BleepingComputer — FBI と U.S. Postalは、在宅ワーク詐欺や再出荷詐欺に使用されていた、18件の Web ドメインを押収した。押収された Web サイトは、”品質管理検査員” としての正規の仕事を提供すると謳っており、”検査員” の自宅からの商品の発送や、”検査員” 自身のクレジットカードによる商品の購入など要求していた。被害者は受け取った荷物を写真に撮り、指示通りに別の住所に再発送し、処理した商品１個につき $20 を受け取っていた。

T-Mobile／Experian と米国 40州が合意：和解金の総額は $16 million 以上

US States Announce $16M Settlement With Experian, T-Mobile Over Data Breaches

2022/11/08 SecurityWeek — 2012年／2015年に Experian と T-Mobile で生じたデータ侵害をめぐり、米国 40州の当局が総額 $16 million 以上の和解に合意した。Experian との複数州での和解金は総額 $13.67 million 以上、T-Mobile との和解金は $2.5 million となった。さらに、各社は、データ・セキュリティの実践を改善するための措置を講じることに同意している。

Microsoft と GitHub に対する提訴：Copilot を通じてオープンソースの著作権を侵害した疑い

Microsoft sued for open-source piracy through GitHub Copilot

2022/11/05 BleepingComputer — プログラマーで弁護士の Matthew Butterick が、GitHub の Copilot がオープンソースのライセンス条項に違反し、プログラマーの権利を侵害しているとして、Microsoft／GitHub／OpenAI を提訴している。2022年6月にリリースされた GitHub Copilot は、Visual Studio でソースコードや関数の推奨値を、OpenAI Codex を利用してリアルタイムに生成する、AI ベースのプログラミング支援ツールだ。公開リポジトリの数十億行のコードを使用して、機械学習によりトレーニングされた GitHub Copilot は、自然言語を、数十のプログラミング言語のコード・スニペットに変換できるとされる。

TikTok がプライバシー・ポリシーを改定：欧州ユーザーへの中国からのアクセスを開始

New TikTok Privacy Policy Confirms Chinese Staff Can Access European Users’ Data

2022/11/03 TheHackerNews — 人気の短編動画共有サービス TikTok は、欧州ユーザー向けのプライバシー・ポリシーを改訂し、そのユーザー・データに対するアクセスを、中国を含む世界各地の従業員に許す方針を明確にした。この、ByteDance が所有するプラットフォームは、ヨーロッパのユーザー・データを、現時点においては米国とシンガポールに保管している。そして、今回の改訂については、ヨーロッパのユーザーに対する従業員のアクセスを制限し、地域外へのデータの流れを最小限に抑え、情報を現地に保管するという、継続的なデータ・ガバナンスの一環であるとしている。

Zurich と Mondelez の和解が成立：NotPetya マルウェアに関連する $100M の保険請求

Zurich and Mondelez Reach NotPetya Settlement, but Cyber-Risk May Increase

2022/11/03 InfoSecurity — Zurich American Insurance と製菓大手 Mondelez International の間で生じた、2017年の NotPetya サイバー攻撃に関連する、$100m の請求に関する論争に決着がついた。この訴訟は、サイバー攻撃に関連する戦争の状況と、保証の除外のテスト・ケースとして注目を集めていたが、イリノイの州裁判所で４年間続いた争いの末に和解が成立した。

BestBuy という名のダークウェブ運営者が逮捕：米政府の機密データなどを販売

Notorious ‘BestBuy’ hacker arraigned for running dark web market

2022/10/26 BleepingComputer — 今は亡きダークウェブ・マーケットプレイス The Real Deal を運営していた疑いで、この水曜日に、英国のハッカーが米国司法省に喚問された。Daniel Kaye 被告 34歳 (別名：Bestbuy／Spdrman／Popopret／UserL0ser) は、The Real Deal が立ち上げられた 2015年初頭から、閉鎖された 2016年11月までの間に、違法なサービス市場を運営したとされる。

Cisco AnyConnect の脆弱性 CVE-2020-3433 などの悪用を検出：CISA KEV リストにも追加

Cisco warns admins to patch AnyConnect flaw exploited in attacks

2022/10/25 BleepingComputer — 今日に Cisco は、Cisco AnyConnect Secure Mobility Client for Windows に存在する、２つの脆弱性が悪用されているとして、顧客に警告を発した。AnyConnect Secure Mobility Clientは、企業のエンドポイントへの安全なアクセスを簡素化し、SSL (Secure Sockets Layer) と IPsec IKEv2 を通じて、あらゆるロケーションからの安全な VPN 接続を提供するものである。

Raccoon Stealer が解体：ウクライナ人の Malware-as-a-Service 運営者が逮捕／起訴

Ukrainian charged for operating Raccoon Stealer malware service

2022/10/25 BleepingComputer — 26歳のウクライナ人 Mark Sokolovsky が、Raccoon Stealer というマルウェア・サービス (MaaS：Malware-as-a-Service) を介した、サイバー犯罪に関与したとして起訴された。Raccoon Stealer とは、MaaS モデルで配布される情報窃取型トロイの木馬であり、脅威アクターは $75／週あるいは $200／月でレンタルできる。利用者は、マルウェアのカスタマイズ／盗み出したデータ (ログとも呼ばれる) の取得／新しいマルウェア・ビルドの作成などを行うための、管理パネルへのアクセスが可能になる。

Google に対する提訴：同意なく生体認証データを収集／使用した疑い

Google sued over biometric data collection without consent

2022/10/20 BleepingComputer — テキサス州司法長官 Ken Paxton は、数百万人のテキサス州民が所有する生体認証データを、適切な同意なく収集／使用した疑いで Google を提訴した。テキサス州司法長官によると、Google は2015年以降において、Google Photos／Google Assistant／Nest Hub Max などの製品やサービスを利用し、声紋や顔形状の記録などの、膨大な数の生体識別情報を収集した疑いがあるという。

WhatsApp から 100万件の認証情報を窃取：Meta が中国企業を提訴

Meta sues app dev for stealing over 1 million WhatsApp accounts

2022/10/06 BleepingComputer — 2022年5月から非公式な WhatsApp Android アプリを開発／使用して、100万以上の WhatsApp アカウントを盗用したとして、HeyMods／Highlight Mobi／HeyWhatsApp などの複数の中国企業を、Meta が提訴した。Meta の訴状によると、これらの悪質なアプリは、上記３社のサイトに加えて、Google Play Store／APK Pure／APKSFree／iDescargar／Malavida などからダウンロードが可能だったとのことだ。

Tor Browser のトロイの木馬版：中国で人気の YouTube チャネルからインストーラが配布される

2022/10/04 TheHackerNews — 中国語の人気 YouTube チャネルが、トロイの木馬化した Windows 版の Tor Browser インストーラを配布する手段として浮かび上がっている。Kaspersky は、このキャンペーンを OnionPoison と名付け、被害者の全てが中国のユーザーであることを公表した。現時点で、攻撃の規模は不明だが、2022年3月にはテレメトリーで被害者を検出したと、同社は述べている。

CISA から連邦政府への新指令 BOD 23-01：IT 資産の可視化／脆弱性検出を強化

CISA Directive Improves Asset Visibility, Vulnerability Detection on Federal Networks

2022/10/04 InfoSecurity — CISA は、連邦政府のネットワークにおける、IT 資産の可視性／脆弱性検出を改善するための、新たな拘束的運用指令 (BOD：Binding Operational Directive) を発表した。この新指令 BOD 23-01 は、2023年4月3日に発効され、また、連邦民間行政機関 (FCEB) に対して、IT 資産の発見を７日ごとに自動を行うよう求めるものとなる。BOD 23-01 の文書には、「この課題を達成するために、数多くの方法や技術を用いることが可能だが、最低限でカバーすべき範囲は、それぞれの機関が用いる IPv4 空間全体となる」と記されている。

TikTok に £27m の罰金：英国規制当局が 13歳未満ユーザーのプライバシー保護で提訴

TikTok Facing £27m UK Regulatory Fine

2022/09/27 InfoSecurity — 英国のプライバシー規制当局は、同国のデータ保護法違反に基づき、TikTok に対して £27m の罰金を科す意向を明らかにした。それを受けて、ICO (Information Commissioner’s Office) は、中国の SNS 大手である TikTok に対して、2018年〜2020年の間に法令違反が行われたと説明する通知を発行した。

Morgan Stanley に $35M の罰金：1500万人分の顧客情報が入った HD を不適切に廃棄

Morgan Stanley to Pay $35M Fine for Exposing Information of Millions of Customers

2022/09/21 SecurityWeek — 火曜日の米証券取引委員会 (SEC) の発表は、数百万人の顧客の個人情報を流出させた Morgan Stanley が、$35 million 罰金の支払に同意したというものだ。SEC によると、Morgan Stanley の Smith Barney 資産管理事業は、５年間にわたる広範な失敗を理由に起訴された。具体的には、約 1500万人の顧客の個人情報を保護することができなかったとされている。

CISA／NSA が Open RAN (Radio Access Network) アーキテクチャの実装ガイダンスを発表

US Agencies Publish Security Guidance on Implementing Open RAN Architecture

2022/09/16 SecurityWeek — CISA (Cybersecurity and Infrastructure Security Agency) と NSA (National Security Agency) が、Open Radio Access Network (RAN) アーキテクチャの実装に関するガイダンスを発表した。このガイダンスは、Open Radio Access Network Security Considerations と題された汎用的な文書であり、現在の知識／推奨／慣行に基づき、さまざまな業界に適用されるはずだ。

米政府がイランを制裁：MuddyWater と APT34 に対する国家による支援を指摘

US Sanctions Iran Over APT Cyberattack Activity

2022/09/10 DarkReading — 米国連邦政府は、イラン政府が APT (advanced persistent threat) グループを介して組織的に、米国を標的にしてきたサイバー犯罪行為について、制裁に乗り出した。米国財務省外国資産管理局 (OFAC : Department of the Treasury’s Office of Foreign Assets Control) は、イラン情報安全保障省 (MOIS : Ministry of Intelligence and Security) に対して、2007年以降における米国と同盟国に対するサイバー犯罪に関与していると判断／指定した。

WT1SHOP というオンライン犯罪市場：国際法執行機関によりシャットダウン

Authorities Shut Down WT1SHOP Site for Selling Stolen Credentials and Credit Cards

2022/09/07 TheHackerNews — 盗み出されたログイン認証情報や、その他の個人情報の販売に特化した、オンライン犯罪市場の WT1SHOP が、国際法執行機関により閉鎖された。今回の押収はポルトガル当局により計画され、この Web サイトが使用していた４つのドメイン wt1shop.net／wt1store.cc／wt1store.com／wt1store.net を、米国当局が掌握したとのことだ。

Instagram に €405M の罰金：アイルランド規制当局が不適切なアカウント保護を摘発

Irish Watchdog Fines Instagram 405M Euros in Teen Data Case

2022/09/06 SecurityWeek — 欧州連合の厳格なデータプライバシー規則に違反して、Instagram が 10代の若者の個人情報を誤って扱っていたことが判明した後に、このソーシャルメディア・プラットフォームは、アイルランドの規制当局により多額の罰金を科されることになった。この月曜日のメールで、アイルランドのデータ保護委員会は、Instagram に €405 million ($402 million) の罰金を科す最終決定を、先週に下したことを明らかにした。

NSA と CISA のガイダンス：サプライチェーン攻撃から組織を守るために

NSA and CISA share tips to secure the software supply chain

2022/09/01 BleepingComputer — 今日、米国の NSA と CISA (Cybersecurity and Infrastructure Security Agency) は、ソフトウェア・サプライチェーンを保護するためのチップスを発表した。この指針は、米国の重要インフラと国家安全保障システムに対する脅威に対処する、官民パートナーシップである Enduring Security Framework (ESF) により、ソフトウェア開発者向けの推奨事例集として作成されたものだ。

Facebook の Meta Pixel：ミスコンフィグレーションで 130万人分の医療データが流出

Misconfigured Meta Pixel exposed healthcare data of 1.3M patients

2022/08/22 BleepingComputer — 米国の医療機関である Novant Health は、Meta Pixel 広告トラッキング・スクリプト Meta Pixel により誤って機密情報を収集してしまった、136万2296人に影響をおよぼすデータ侵害を公表した。Meta Pixel (旧 Facebook Pixel) とは、Facebook の広告主が広告のパフォーマンスを追跡するためにサイトに追加する、JavaScript 追跡スクリプトのことである。

Google に $60M の罰金：豪の公取委が主張する Android の不正な位置情報収集

Google fined $60 million over Android location data collection

2022/08/13 BleepingComputer — Australian Competition and Consumer Commission (ACCC) は Google に対して、$60 million の罰金を科したことを発表した。その理由は、2017年1月〜2018年12月の約２年間において、位置情報の収集／利用の説明に不備があり、オーストラリアの Android ユーザーに誤解を与えたと言うものだ。ACCC によると、ユーザーが端末の設定で位置情報履歴を無効にしていたにも関わらず、Google は一部のユーザーの Android デバイスを、追跡し続けていたという。

米 FTC の新たな規制：大手 IT 企業のデータ収集／利用の方法が疑問視される

FTC Looking at Rules to Corral Tech Firms’ Data Collection

2022/08/12 SecurityWeek — 手首に巻きつけたフィットネス・トラッカーも、居間に置かれたスマート家電も、子どもたちが夢中になるオンライン・ビデオでの流行も、その全てが、大手ハイテク企業にとっては個人データの宝庫となっている。これらのデータが、どのように利用され、どのように保護されているかについて、社会的な関心が高まっており、政府関係者の怒りも広がっている。そして今、連邦規制当局は、商業的で有害な監視と、がさつなデータ・セキュリティを取り締まるために、新たな規則の起草を検討している。

米財務当局が暗号通貨ミキサー Tornado Cash を制裁：北朝鮮 APT との関連性も指摘

US sanctioned crypto mixer Tornado Cash used by North Korea-linked APT

2022/08/09 SecurityAffairs — 米国財務省外国資産管理局 (OFAC : Treasury Department’s Office of Foreign Assets Control0) は、北朝鮮に関連する Lazarus APT Group が使用していた暗号ミキサー・サービス Tornado Cash を制裁した。暗号ミキサーとは、マネーロンダリングを利用するサイバー犯罪者にとって不可欠なコンポーネントであり、被害者から盗んだ暗号通貨を洗浄するために使用されていた。

Meta (FB) と米病院が提訴された：ターゲティング広告のために医療データを収集／使用？

Meta, US hospitals sued for using healthcare data to target ads

2022/07/30 BleepingComputer — ターゲット広告のために、患者の機密医療データを違法に収集しているとして、Meta (Facebook) ／UCSF Medical Center／Dignity Health Medical Foundation に対し、カリフォルニア州北部地区で集団訴訟が起こされている。このトラッキングとデータ収集は、患者が自身の病状／担当医師／処方された薬などに関する、非常に機密性の高い情報を管理する、医療ポータルで行われているとされる。

Chrome の使用制限：オランダの教育機関でセキュリティへの懸念が指摘される

Chrome use subject to restrictions in Dutch schools over data security concerns

2022/07/23 BleepingComputer — オランダの教育省は、データ・プライバシーへの懸念から、2023年8月まで Chrome OS／Chrome Web ブラウザの使用停止を決定した。Google サービスが、生徒たちのデータを収集し、大規模な広告ネットワークに提供するなど、教育支援以外の目的で使用することを、同教育省は危惧している。

米国土安全保障省の勧告：VMware の深刻な脆弱性２件に５日間で対応せよ！

DHS orders federal agencies to patch VMware bugs within 5 days

2022/05/18 BleepingComputer — 今日、国土安全保障省のサイバー・セキュリティ部門は、連邦民間行政機関 (FCEB) に対して、VMware 製品を標的とする攻撃のリスクが高まっているとして、5月23日の月曜日までに緊急にアップデートするか、ネットワークから削除するよう命じた。同じく今日、Cybersecurity and Infrastructure Security Agency (CISA) も、VMware の製品群に影響を及ぼす、認証バイパスとローカル権限昇格の脆弱性 CVE-2022-22972／CVE-2022-22973 がパッチ適用されたことを受けて、緊急指令 22-03 を発表した。

米企業のプライバシー管理：お粗末な CCPA／CPRA／GDPR コンプライアンス対応

Companies poorly prepared to meet CCPA, CPRA and GDPR compliance requirements

2022/04/29 HelpNetSecurity — California Consumer Privacy Act (CCPA) および、California Privacy Rights Act (CPRA)、EU の General Data Protection Regulation (GDPR) への各企業の対応状況について、CYTRIO が 2022年 Q1 に行った独自調査の結果が発表された。2022年3月31日の時点において 90% の企業が、CCPA／CPRA の Data Subject Access Request (DSAR) 要件に対して、完全に準拠していないことが調査結果で明らかになった。さらに、95% の企業が、GDPR の DSAR の要件に対して、エラーの起こりやすい、時間のかかる手動プロセスを使用していることが分かった。