SBOM の品質をチェック:米政府基準の最小限要素を満たすものは1%に過ぎない

Chainguard Trains Spotlight on SBOM Quality Problem

2023/01/19 SecurityWeek — ソフトウェア部品表で品質を管理しているソフトウェア・エンジニアが、驚くべき発見をした。現時点で作成されている SBOM のうち、米国政府が定義した「最小限の要素」を満たしているものは、わずか 1% に過ぎないというのだ。ソフトウェア・サプライチェーン・セキュリティの企業である Chainguard の新しいデータによると、既存のツールで生成された SBOM は、ソフトウェアの脆弱性/ライセンス/在庫の追跡を管理するために、SBOM 内で定義されている必要最小限のデータフィールドを満たしていないことが判明した。

Continue reading “SBOM の品質をチェック:米政府基準の最小限要素を満たすものは1%に過ぎない”

WikiLeaks が暴露した CIA の Hive マルウェア:未知の脅威アクターが改造/悪用している

New Backdoor Created Using Leaked CIA’s Hive Malware Discovered in the Wild

2023/01/16 TheHackerNews — 2017年11月の WikiLeaks インシデントにより、ソースコードが公開された米国中央情報局 (CIA) のマルチ・プラットフォーム型マルウェア・スイート Hive だが、その機能を借用した新たなバックドアを、正体不明の脅威アクターが展開していることが判明した。先週に公開された技術文書において、Qihoo Netlab 360 の Alex Turing と Hui Wang は、「CIA Hive 攻撃キットの亜種が、野放し状態で活動している状況を捕捉し、埋め込まれた Bot 側証明書 CN=xdr33 に基づき、xdr33 と命名した」と述べている。

Continue reading “WikiLeaks が暴露した CIA の Hive マルウェア:未知の脅威アクターが改造/悪用している”

Twitter が2億人分のユーザーデータ販売を調査:同社の脆弱性とは無関係と主張

Twitter claims leaked data of 200M users not stolen from its systems

2023/01/11 BleepingComputer — Twitter の発表によると、数億人の Twitter ユーザーのメールアドレスが流出し、オンラインで販売されたとの報道があるが、同社システムの脆弱性を悪用してデータが取得された証拠は見つからなかったとのことだ。同社はブログで、「Twitter ユーザーのデータがオンラインで販売されているという最近の報道を受け、徹底的な調査を行ったが、最近販売されているデータが、Twitter システムの脆弱性を悪用して入手されたという証拠はない」と述べている。

Continue reading “Twitter が2億人分のユーザーデータ販売を調査:同社の脆弱性とは無関係と主張”

Facebook/Instagram に €390M の罰金:GDPR 違反という主張に Meta は反発

Meta to fight €390 million fine for breaching EU data privacy laws

2023/01/04 bleepingcomputer — アイルランドのデータ保護委員会 (DPC : Data Protection Commission) は、Facebook/Instagram のユーザーに対するターゲット広告のために、Meta が個人データ処理に同意するよう強制していたと認定し、合計で €390 million の罰金を科した。本日の決定は、EU の General Data Protection Regulation (GDPR) データプライバシー/セキュリティ法が施行された 2018年5月25日に、オーストリア/ベルギーのユーザー非営利団体 noyb が提出した苦情に端を発したものであり、Meta のデータ処理業務に関する2件の調査が終了した後に下されたものだ。

Continue reading “Facebook/Instagram に €390M の罰金:GDPR 違反という主張に Meta は反発”

Google の同意なき位置情報の追跡:米国で $29.5M の罰金が追加される

Google to Pay $29.5 Million to Settle Lawsuits Over User Location Tracking

2023/01/01 TheHackerNews — Google は、同社の不誠実な 位置追跡に関して、インディアナ州とワシントン D.C. から提訴された2つの訴訟で、合計 $29.5 million を支払うことに同意した。明示的な同意なしに、ユーザーの位置を追跡したとして、Google は両州から訴えられ、ワシントン D.C. に $9.5 million、インディアナ州に $20 million の支払うことが決定した。今回の和解は、2022年11月に Google が同様の申し立てについて、40州に支払うことで合意した $391.5 million に追加されるものだ。同社は、テキサス州とワシントン州で、さらに2件の位置情報追跡に関する訴訟に直面している。

Continue reading “Google の同意なき位置情報の追跡:米国で $29.5M の罰金が追加される”

Facebook が $725 Million の罰金に同意:Cambridge Analytica のデータ流出問題

Facebook to Pay $725 Million to settle Lawsuit Over Cambridge Analytica Data Leak

2022/12/27 TheHackerNews — Facebook/Instagram/WhatsApp などの親会社である Meta Platforms は、2018年からの長期間の集団訴訟に対して、$725 million を支払うことに合意した。この法的紛争が勃発した背景には、Cambridge Analytica が使用したようなサードパーティ・アプリが、政治的広告のためにユーザーの個人情報に同意なくアクセスすることを、Meta Platforms が許可していたことがある。

Continue reading “Facebook が $725 Million の罰金に同意:Cambridge Analytica のデータ流出問題”

Twitter ユーザー情報の大量流出:EU のデータ保護委員会が調査を開始

Massive Twitter data leak investigated by EU privacy watchdog

2022/12/23 BleepingComputer — アイルランド・データ保護委員会 (DPC : Data Protection Commission) は、Twitter における先月の大規模データ流出に関する報道を受け、調査を開始した。このインシデントは、Twitter ユーザー 540万人以上に影響を与えるだけではなく、サイトから収集された公開情報が流出させただけではなく、個人の電話番号/電子メール・アドレスなども流出させている。一連の流出したデータは、Twitter が 2022年1月に修正した API の、脆弱性を悪用して不正に取得されている。

Continue reading “Twitter ユーザー情報の大量流出:EU のデータ保護委員会が調査を開始”

Microsoft に $64m の罰金:Bing の広告 Cookie が GDPR 違反

France Fines Microsoft $64m for Imposing Ad Cookies to its Bing Users

2022/12/22 InfoSecurity — フランスのデジタル・プライバシー規制機関である Commission nationale de l’informatique et des libertés (CNIL) は、12月22日に Microsoft の広告 Cookie をめぐり、2022年最高額となる €60m ($64m) の罰金を課したことを発表した。CNIL の見解は、Microsoft の検索エンジンである Bing が、EU の General Data Protection Regulation (GDPR) の要件である、ユーザーによる Cookie を許可/拒否のシステムを、同じレベルで構築していなかったというものだ。

Continue reading “Microsoft に $64m の罰金:Bing の広告 Cookie が GDPR 違反”

Fortnite のプライバシー違反:FTC が要求する $520M という巨額の罰金に同意

Fortnite Dev to Pay $520m in Record-Breaking Settlement

2022/12/20 InfoSecurity — ゲーム大手の Epic Games は、FTC に数億ドルを支払うことで、子供のプライバシーとダークパターン使用に関する、2つの大きな疑惑を解決する予定だという。この支払いは、Children’s Online Privacy Protection Act (COPPA) 違反に関する $275 million と、明らかに怪しい課金を消費者に返金する $245 million の、2つの請求に対して適用される。

Continue reading “Fortnite のプライバシー違反:FTC が要求する $520M という巨額の罰金に同意”

TikTok における子供の保護に問題:米国のインディアナ州政府が提訴

TikTok Hit by US Lawsuits Over Child Safety, Security Fears

2022/12/08 SecurityWeek — 12月7日に米国のインディアナ州は、中国の TikTok アプリが、子供の安全性について虚偽の主張をしていると訴え、2件の訴訟を起こした。この訴訟は、TikTok が国家安全保障上の脅威であり、中国のスパイの手先であるという、複数の非難を受けたものだ。このように、米国内では TikTok に関する問題が山積してる。

Continue reading “TikTok における子供の保護に問題:米国のインディアナ州政府が提訴”

米国の国防産業に対する調査:87% がサイバー・セキュリティ要件に不適合

Majority of US Defense Contractors Not Meeting Basic Cybersecurity Requirements

2022/11/30 InfoSecurity — CyberSheath が委託した調査により、米国の防衛関連請負業者の 87% が、基本的なサイバー・セキュリティ規制の要件を満たしていないことが判明した。米国国防総省 (DoD) の請負業者 300社を対象にした調査では、Supplier Risk Performance System (SPRS) スコアが 70点以上である回答者は、わずか 13% であることが明らかになった。国防連邦調達規則補足文書 (DFARS: Defense Federal Acquisition Regulation Supplement) では、完全なコンプライアンスを得るためには、110点のスコアが要求されている。

Continue reading “米国の国防産業に対する調査:87% がサイバー・セキュリティ要件に不適合”

Facebook 対 GDPR:$275M の罰金とデータ・スクレイピングへの圧力

Meta fined €265M for not protecting Facebook users’ data from scrapers

2022/11/28 BleepingComputer — 世界中の数億人のユーザー情報が流出した、2021年の Facebook データ大量流出事件を追求する、アイルランドの DPC (data protection commission) は Meta に対して、€265 million ($275.5 million) の罰金を科した。5億3300万人の Facebook ユーザーのデータが、2021年4月14日にハッカーフォーラムで公開されたことを受けて開始された、Meta による GDPR 違反に関する DPC の調査は、これにより終了した。

Continue reading “Facebook 対 GDPR:$275M の罰金とデータ・スクレイピングへの圧力”

Huawei/Hikvision などへの制裁強化:米国家安全保障上のリスクから使用を禁止

U.S. Bans Chinese Telecom Equipment and Surveillance Cameras Over National Security Risk

2022/11/26 TheHackerNews — 米国連邦通信委員会 (FCC) は、Huawei/ZTE/Hytera/Hikvision/Dahua の電子機器に対して、国家安全保障上の脅威として「容認できない」とし、今後は認可しないことを正式に発表した。2021年3月12日の時点で、これらの中国の通信/映像監視企業は、Covered List に含まれていた。

Continue reading “Huawei/Hikvision などへの制裁強化:米国家安全保障上のリスクから使用を禁止”

Google が $391M の罰金に同意:Android における不誠実な位置情報の収集

Google will pay $391M to settle Android location tracking lawsuit

2022/11/14 BleepingComputer — Google は、米国 40州の検事総長連合が起こしたプライバシー訴訟に関して、$391.5 million を支払って和解することに合意した。この訴訟と和解は、位置情報追跡が無効になっていると Android ユーザーを誤解させ、2014年から Google が追跡していたことを、2018年の AP 通信の記事を調査中に、米検事総長が発見したことに起因している。

Continue reading “Google が $391M の罰金に同意:Android における不誠実な位置情報の収集”

FBI が Web ドメイン 18件を押収:マネーミュールで運び屋にされないために

U.S. seized 18 web domains used for recruiting money mules

2022/11/11 BleepingComputer — FBI と U.S. Postalは、在宅ワーク詐欺や再出荷詐欺に使用されていた、18件の Web ドメインを押収した。押収された Web サイトは、”品質管理検査員” としての正規の仕事を提供すると謳っており、”検査員” の自宅からの商品の発送や、”検査員” 自身のクレジットカードによる商品の購入など要求していた。被害者は受け取った荷物を写真に撮り、指示通りに別の住所に再発送し、処理した商品1個につき $20 を受け取っていた。

Continue reading “FBI が Web ドメイン 18件を押収:マネーミュールで運び屋にされないために”

T-Mobile/Experian と米国 40州が合意:和解金の総額は $16 million 以上

US States Announce $16M Settlement With Experian, T-Mobile Over Data Breaches

2022/11/08 SecurityWeek — 2012年/2015年に Experian と T-Mobile で生じたデータ侵害をめぐり、米国 40州の当局が総額 $16 million 以上の和解に合意した。Experian との複数州での和解金は総額 $13.67 million 以上、T-Mobile との和解金は $2.5 million となった。さらに、各社は、データ・セキュリティの実践を改善するための措置を講じることに同意している。

Continue reading “T-Mobile/Experian と米国 40州が合意:和解金の総額は $16 million 以上”

Microsoft と GitHub に対する提訴:Copilot を通じてオープンソースの著作権を侵害した疑い

Microsoft sued for open-source piracy through GitHub Copilot

2022/11/05 BleepingComputer — プログラマーで弁護士の Matthew Butterick が、GitHub の Copilot がオープンソースのライセンス条項に違反し、プログラマーの権利を侵害しているとして、Microsoft/GitHub/OpenAI を提訴している。2022年6月にリリースされた GitHub Copilot は、Visual Studio でソースコードや関数の推奨値を、OpenAI Codex を利用してリアルタイムに生成する、AI ベースのプログラミング支援ツールだ。公開リポジトリの数十億行のコードを使用して、機械学習によりトレーニングされた GitHub Copilot は、自然言語を、数十のプログラミング言語のコード・スニペットに変換できるとされる。

Continue reading “Microsoft と GitHub に対する提訴:Copilot を通じてオープンソースの著作権を侵害した疑い”

TikTok がプライバシー・ポリシーを改定:欧州ユーザーへの中国からのアクセスを開始

New TikTok Privacy Policy Confirms Chinese Staff Can Access European Users’ Data

2022/11/03 TheHackerNews — 人気の短編動画共有サービス TikTok は、欧州ユーザー向けのプライバシー・ポリシーを改訂し、そのユーザー・データに対するアクセスを、中国を含む世界各地の従業員に許す方針を明確にした。この、ByteDance が所有するプラットフォームは、ヨーロッパのユーザー・データを、現時点においては米国とシンガポールに保管している。そして、今回の改訂については、ヨーロッパのユーザーに対する従業員のアクセスを制限し、地域外へのデータの流れを最小限に抑え、情報を現地に保管するという、継続的なデータ・ガバナンスの一環であるとしている。

Continue reading “TikTok がプライバシー・ポリシーを改定:欧州ユーザーへの中国からのアクセスを開始”

Zurich と Mondelez の和解が成立:NotPetya マルウェアに関連する $100M の保険請求

Zurich and Mondelez Reach NotPetya Settlement, but Cyber-Risk May Increase

2022/11/03 InfoSecurity — Zurich American Insurance と製菓大手 Mondelez International の間で生じた、2017年の NotPetya サイバー攻撃に関連する、$100m の請求に関する論争に決着がついた。この訴訟は、サイバー攻撃に関連する戦争の状況と、保証の除外のテスト・ケースとして注目を集めていたが、イリノイの州裁判所で4年間続いた争いの末に和解が成立した。

Continue reading “Zurich と Mondelez の和解が成立:NotPetya マルウェアに関連する $100M の保険請求”

BestBuy という名のダークウェブ運営者が逮捕:米政府の機密データなどを販売

Notorious ‘BestBuy’ hacker arraigned for running dark web market

2022/10/26 BleepingComputer — 今は亡きダークウェブ・マーケットプレイス The Real Deal を運営していた疑いで、この水曜日に、英国のハッカーが米国司法省に喚問された。Daniel Kaye 被告 34歳 (別名:Bestbuy/Spdrman/Popopret/UserL0ser) は、The Real Deal が立ち上げられた 2015年初頭から、閉鎖された 2016年11月までの間に、違法なサービス市場を運営したとされる。

Continue reading “BestBuy という名のダークウェブ運営者が逮捕:米政府の機密データなどを販売”

Cisco AnyConnect の脆弱性 CVE-2020-3433 などの悪用を検出:CISA KEV リストにも追加

Cisco warns admins to patch AnyConnect flaw exploited in attacks

2022/10/25 BleepingComputer — 今日に Cisco は、Cisco AnyConnect Secure Mobility Client for Windows に存在する、2つの脆弱性が悪用されているとして、顧客に警告を発した。AnyConnect Secure Mobility Clientは、企業のエンドポイントへの安全なアクセスを簡素化し、SSL (Secure Sockets Layer) と IPsec IKEv2 を通じて、あらゆるロケーションからの安全な VPN 接続を提供するものである。

Continue reading “Cisco AnyConnect の脆弱性 CVE-2020-3433 などの悪用を検出:CISA KEV リストにも追加”

Raccoon Stealer が解体:ウクライナ人の Malware-as-a-Service 運営者が逮捕/起訴

Ukrainian charged for operating Raccoon Stealer malware service

2022/10/25 BleepingComputer — 26歳のウクライナ人 Mark Sokolovsky が、Raccoon Stealer というマルウェア・サービス (MaaS:Malware-as-a-Service) を介した、サイバー犯罪に関与したとして起訴された。Raccoon Stealer とは、MaaS モデルで配布される情報窃取型トロイの木馬であり、脅威アクターは $75/週あるいは $200/月でレンタルできる。利用者は、マルウェアのカスタマイズ/盗み出したデータ (ログとも呼ばれる) の取得/新しいマルウェア・ビルドの作成などを行うための、管理パネルへのアクセスが可能になる。

Continue reading “Raccoon Stealer が解体:ウクライナ人の Malware-as-a-Service 運営者が逮捕/起訴”

Google に対する提訴:同意なく生体認証データを収集/使用した疑い

Google sued over biometric data collection without consent

2022/10/20 BleepingComputer — テキサス州司法長官 Ken Paxton は、数百万人のテキサス州民が所有する生体認証データを、適切な同意なく収集/使用した疑いで Google を提訴した。テキサス州司法長官によると、Google は2015年以降において、Google Photos/Google Assistant/Nest Hub Max などの製品やサービスを利用し、声紋や顔形状の記録などの、膨大な数の生体識別情報を収集した疑いがあるという。

Continue reading “Google に対する提訴:同意なく生体認証データを収集/使用した疑い”

WhatsApp から 100万件の認証情報を窃取:Meta が中国企業を提訴

Meta sues app dev for stealing over 1 million WhatsApp accounts

2022/10/06 BleepingComputer — 2022年5月から非公式な WhatsApp Android アプリを開発/使用して、100万以上の WhatsApp アカウントを盗用したとして、HeyMods/Highlight Mobi/HeyWhatsApp などの複数の中国企業を、Meta が提訴した。Meta の訴状によると、これらの悪質なアプリは、上記3社のサイトに加えて、Google Play Store/APK Pure/APKSFree/iDescargar/Malavida などからダウンロードが可能だったとのことだ。

Continue reading “WhatsApp から 100万件の認証情報を窃取:Meta が中国企業を提訴”

Tor Browser のトロイの木馬版:中国で人気の YouTube チャネルからインストーラが配布される

Popular YouTube Channel Caught Distributing Malicious Tor Browser Installer

2022/10/04 TheHackerNews — 中国語の人気 YouTube チャネルが、トロイの木馬化した Windows 版の Tor Browser インストーラを配布する手段として浮かび上がっている。Kaspersky は、このキャンペーンを OnionPoison と名付け、被害者の全てが中国のユーザーであることを公表した。現時点で、攻撃の規模は不明だが、2022年3月にはテレメトリーで被害者を検出したと、同社は述べている。

Continue reading “Tor Browser のトロイの木馬版:中国で人気の YouTube チャネルからインストーラが配布される”

CISA から連邦政府への新指令 BOD 23-01:IT 資産の可視化/脆弱性検出を強化

CISA Directive Improves Asset Visibility, Vulnerability Detection on Federal Networks

2022/10/04 InfoSecurity — CISA は、連邦政府のネットワークにおける、IT 資産の可視性/脆弱性検出を改善するための、新たな拘束的運用指令 (BOD:Binding Operational Directive) を発表した。この新指令 BOD 23-01 は、2023年4月3日に発効され、また、連邦民間行政機関 (FCEB) に対して、IT 資産の発見を7日ごとに自動を行うよう求めるものとなる。BOD 23-01 の文書には、「この課題を達成するために、数多くの方法や技術を用いることが可能だが、最低限でカバーすべき範囲は、それぞれの機関が用いる IPv4 空間全体となる」と記されている。

Continue reading “CISA から連邦政府への新指令 BOD 23-01:IT 資産の可視化/脆弱性検出を強化”

TikTok に £27m の罰金:英国規制当局が 13歳未満ユーザーのプライバシー保護で提訴

TikTok Facing £27m UK Regulatory Fine

2022/09/27 InfoSecurity — 英国のプライバシー規制当局は、同国のデータ保護法違反に基づき、TikTok に対して £27m の罰金を科す意向を明らかにした。それを受けて、ICO (Information Commissioner’s Office) は、中国の SNS 大手である TikTok に対して、2018年〜2020年の間に法令違反が行われたと説明する通知を発行した。

Continue reading “TikTok に £27m の罰金:英国規制当局が 13歳未満ユーザーのプライバシー保護で提訴”

Morgan Stanley に $35M の罰金:1500万人分の顧客情報が入った HD を不適切に廃棄

Morgan Stanley to Pay $35M Fine for Exposing Information of Millions of Customers

2022/09/21 SecurityWeek — 火曜日の米証券取引委員会 (SEC) の発表は、数百万人の顧客の個人情報を流出させた Morgan Stanley が、$35 million 罰金の支払に同意したというものだ。SEC によると、Morgan Stanley の Smith Barney 資産管理事業は、5年間にわたる広範な失敗を理由に起訴された。具体的には、約 1500万人の顧客の個人情報を保護することができなかったとされている。

Continue reading “Morgan Stanley に $35M の罰金:1500万人分の顧客情報が入った HD を不適切に廃棄”

CISA/NSA が Open RAN (Radio Access Network) アーキテクチャの実装ガイダンスを発表

US Agencies Publish Security Guidance on Implementing Open RAN Architecture

2022/09/16 SecurityWeek — CISA (Cybersecurity and Infrastructure Security Agency) と NSA (National Security Agency) が、Open Radio Access Network (RAN) アーキテクチャの実装に関するガイダンスを発表した。このガイダンスは、Open Radio Access Network Security Considerations と題された汎用的な文書であり、現在の知識/推奨/慣行に基づき、さまざまな業界に適用されるはずだ。

Continue reading “CISA/NSA が Open RAN (Radio Access Network) アーキテクチャの実装ガイダンスを発表”

米政府がイランを制裁:MuddyWater と APT34 に対する国家による支援を指摘

US Sanctions Iran Over APT Cyberattack Activity

2022/09/10 DarkReading — 米国連邦政府は、イラン政府が APT (advanced persistent threat) グループを介して組織的に、米国を標的にしてきたサイバー犯罪行為について、制裁に乗り出した。米国財務省外国資産管理局 (OFAC : Department of the Treasury’s Office of Foreign Assets Control) は、イラン情報安全保障省 (MOIS : Ministry of Intelligence and Security) に対して、2007年以降における米国と同盟国に対するサイバー犯罪に関与していると判断/指定した。

Continue reading “米政府がイランを制裁:MuddyWater と APT34 に対する国家による支援を指摘”

WT1SHOP というオンライン犯罪市場:国際法執行機関によりシャットダウン

Authorities Shut Down WT1SHOP Site for Selling Stolen Credentials and Credit Cards

2022/09/07 TheHackerNews — 盗み出されたログイン認証情報や、その他の個人情報の販売に特化した、オンライン犯罪市場の WT1SHOP が、国際法執行機関により閉鎖された。今回の押収はポルトガル当局により計画され、この Web サイトが使用していた4つのドメイン wt1shop.net/wt1store.cc/wt1store.com/wt1store.net を、米国当局が掌握したとのことだ。

Continue reading “WT1SHOP というオンライン犯罪市場:国際法執行機関によりシャットダウン”

Instagram に €405M の罰金:アイルランド規制当局が不適切なアカウント保護を摘発

Irish Watchdog Fines Instagram 405M Euros in Teen Data Case

2022/09/06 SecurityWeek — 欧州連合の厳格なデータプライバシー規則に違反して、Instagram が 10代の若者の個人情報を誤って扱っていたことが判明した後に、このソーシャルメディア・プラットフォームは、アイルランドの規制当局により多額の罰金を科されることになった。 この月曜日のメールで、アイルランドのデータ保護委員会は、Instagram に €405 million ($402 million) の罰金を科す最終決定を、先週に下したことを明らかにした。

Continue reading “Instagram に €405M の罰金:アイルランド規制当局が不適切なアカウント保護を摘発”

NSA と CISA のガイダンス:サプライチェーン攻撃から組織を守るために

NSA and CISA share tips to secure the software supply chain

2022/09/01 BleepingComputer — 今日、米国の NSA と CISA (Cybersecurity and Infrastructure Security Agency) は、ソフトウェア・サプライチェーンを保護するためのチップスを発表した。この指針は、米国の重要インフラと国家安全保障システムに対する脅威に対処する、官民パートナーシップである Enduring Security Framework (ESF) により、ソフトウェア開発者向けの推奨事例集として作成されたものだ。

Continue reading “NSA と CISA のガイダンス:サプライチェーン攻撃から組織を守るために”

Facebook の Meta Pixel:ミスコンフィグレーションで 130万人分の医療データが流出

Misconfigured Meta Pixel exposed healthcare data of 1.3M patients

2022/08/22 BleepingComputer — 米国の医療機関である Novant Health は、Meta Pixel 広告トラッキング・スクリプト Meta Pixel により誤って機密情報を収集してしまった、136万2296人に影響をおよぼすデータ侵害を公表した。Meta Pixel (旧 Facebook Pixel) とは、Facebook の広告主が広告のパフォーマンスを追跡するためにサイトに追加する、JavaScript 追跡スクリプトのことである。

Continue reading “Facebook の Meta Pixel:ミスコンフィグレーションで 130万人分の医療データが流出”

Google に $60M の罰金:豪の公取委が主張する Android の不正な位置情報収集

Google fined $60 million over Android location data collection

2022/08/13 BleepingComputer — Australian Competition and Consumer Commission (ACCC) は Google に対して、$60 million の罰金を科したことを発表した。その理由は、2017年1月〜2018年12月の約2年間において、位置情報の収集/利用の説明に不備があり、オーストラリアの Android ユーザーに誤解を与えたと言うものだ。ACCC によると、 ユーザーが端末の設定で位置情報履歴を無効にしていたにも関わらず、Google は一部のユーザーの Android デバイスを、追跡し続けていたという。

Continue reading “Google に $60M の罰金:豪の公取委が主張する Android の不正な位置情報収集”

米 FTC の新たな規制:大手 IT 企業のデータ収集/利用の方法が疑問視される

FTC Looking at Rules to Corral Tech Firms’ Data Collection

2022/08/12 SecurityWeek — 手首に巻きつけたフィットネス・トラッカーも、居間に置かれたスマート家電も、子どもたちが夢中になるオンライン・ビデオでの流行も、その全てが、大手ハイテク企業にとっては個人データの宝庫となっている。これらのデータが、どのように利用され、どのように保護されているかについて、社会的な関心が高まっており、政府関係者の怒りも広がっている。そして今、連邦規制当局は、商業的で有害な監視と、がさつなデータ・セキュリティを取り締まるために、新たな規則の起草を検討している。

Continue reading “米 FTC の新たな規制:大手 IT 企業のデータ収集/利用の方法が疑問視される”

米財務当局が暗号通貨ミキサー Tornado Cash を制裁:北朝鮮 APT との関連性も指摘

US sanctioned crypto mixer Tornado Cash used by North Korea-linked APT

2022/08/09 SecurityAffairs — 米国財務省外国資産管理局 (OFAC : Treasury Department’s Office of Foreign Assets Control0) は、北朝鮮に関連する Lazarus APT Group が使用していた暗号ミキサー・サービス Tornado Cash を制裁した。暗号ミキサーとは、マネーロンダリングを利用するサイバー犯罪者にとって不可欠なコンポーネントであり、被害者から盗んだ暗号通貨を洗浄するために使用されていた。

Continue reading “米財務当局が暗号通貨ミキサー Tornado Cash を制裁:北朝鮮 APT との関連性も指摘”

Meta (FB) と米病院が提訴された:ターゲティング広告のために医療データを収集/使用?

Meta, US hospitals sued for using healthcare data to target ads

2022/07/30 BleepingComputer — ターゲット広告のために、患者の機密医療データを違法に収集しているとして、Meta (Facebook) /UCSF Medical Center/Dignity Health Medical Foundation に対し、カリフォルニア州北部地区で集団訴訟が起こされている。このトラッキングとデータ収集は、患者が自身の病状/担当医師/処方された薬などに関する、非常に機密性の高い情報を管理する、医療ポータルで行われているとされる。

Continue reading “Meta (FB) と米病院が提訴された:ターゲティング広告のために医療データを収集/使用?”

Chrome の使用制限:オランダの教育機関でセキュリティへの懸念が指摘される

Chrome use subject to restrictions in Dutch schools over data security concerns

2022/07/23 BleepingComputer — オランダの教育省は、データ・プライバシーへの懸念から、2023年8月まで Chrome OS/Chrome Web ブラウザの使用停止を決定した。Google サービスが、生徒たちのデータを収集し、大規模な広告ネットワークに提供するなど、教育支援以外の目的で使用することを、同教育省は危惧している。

Continue reading “Chrome の使用制限:オランダの教育機関でセキュリティへの懸念が指摘される”

米 国土安全保障省の勧告:VMware の深刻な脆弱性2件に5日間で対応せよ!

DHS orders federal agencies to patch VMware bugs within 5 days

2022/05/18 BleepingComputer — 今日、国土安全保障省のサイバー・セキュリティ部門は、連邦民間行政機関 (FCEB) に対して、VMware 製品を標的とする攻撃のリスクが高まっているとして、5月23日の月曜日までに緊急にアップデートするか、ネットワークから削除するよう命じた。同じく今日、Cybersecurity and Infrastructure Security Agency (CISA) も、VMware の製品群に影響を及ぼす、認証バイパスとローカル権限昇格の脆弱性 CVE-2022-22972/CVE-2022-22973 がパッチ適用されたことを受けて、緊急指令 22-03 を発表した。

Continue reading “米 国土安全保障省の勧告:VMware の深刻な脆弱性2件に5日間で対応せよ!”

米企業のプライバシー管理:お粗末な CCPA/CPRA/GDPR コンプライアンス対応

Companies poorly prepared to meet CCPA, CPRA and GDPR compliance requirements

2022/04/29 HelpNetSecurity — California Consumer Privacy Act (CCPA) および、California Privacy Rights Act (CPRA)、EU の General Data Protection Regulation (GDPR) への各企業の対応状況について、CYTRIO が 2022年 Q1 に行った独自調査の結果が発表された。2022年3月31日の時点において 90% の企業が、CCPA/CPRA の Data Subject Access Request (DSAR) 要件に対して、完全に準拠していないことが調査結果で明らかになった。さらに、95% の企業が、GDPR の DSAR の要件に対して、エラーの起こりやすい、時間のかかる手動プロセスを使用していることが分かった。

Continue reading “米企業のプライバシー管理:お粗末な CCPA/CPRA/GDPR コンプライアンス対応”

CISA 警告:Chrome/Redis などの 32 件の脆弱性を悪用リストに追加

CISA warns orgs to patch actively exploited Chrome, Redis bugs

2022/03/28 BleepingComputer — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、連邦政府民間機関に対し、野放し状態で積極的に悪用されている Google Chome のゼロデイと、Redis の深刻な脆弱性に対して、3週間以内にパッチするよう命じた。金曜日に公開された Google アドバイザリによると、Chrome のゼロデイ脆弱性 CVE-2022-1096 は、Chrome V8 JavaScript エンジンに存在するタイプ・コンフュージョンであり、脅威者に対して標的デバイス上で任意のコード実行を許す可能性があるとのことだ。

Continue reading “CISA 警告:Chrome/Redis などの 32 件の脆弱性を悪用リストに追加”

Kaspersky が FCC の禁止リストに追加:Huawei や ZTE と同じクラスに分類

Kaspersky added to FCC list that bans Huawei, ZTE from US networks

2022/03/25 CyberScoop — 金曜日に連邦通信委員会 (FCC) は、ロシアに本拠を置くサイバー・セキュリティ大手 Kaspersky を、米国の国家安全保障にとって受け入れがたいリスクをもたらす企業の、対象リストに追加した。この決定により、実質的に Kaspersky は、このリストが始まった 2021年に最初にリストに追加された、中国の通信ハードウェア・メーカーである Huawei や ZTE と同じクラスに入ることになる。

Continue reading “Kaspersky が FCC の禁止リストに追加:Huawei や ZTE と同じクラスに分類”

エネルギー分野への攻撃:米政府がロシアの国家支援ハッカーを起訴

Russian Nationals Indicted for Epic Triton/Trisis and Dragonfly Cyberattacks on Energy Firms

2022/03/25 DarkReading — 今日、米国政府は、2012年から2018年にかけて、世界のエネルギー分野を標的とした、2つの大規模な産業システム・サイバー攻撃キャンペーンを行った疑いで、ロシア政府のために働くロシア人4人を起訴するという、2021年に下された超大型起訴状を初公開した。

Continue reading “エネルギー分野への攻撃:米政府がロシアの国家支援ハッカーを起訴”

FCC 提示:健康保険会社によるロボコールに対して $45 M の反則金

FCC proposes $45 million fine for health insurance robocaller

2022/02/18 BleepingComputer — 今日、米国連邦通信委員会 (Federal Communications Commission:FCC) は、Telephone Consumer Protection Act (法) に違反したロボコール業者に対して、過去最大の罰金額を提示した。FCC は、フロリダ州を拠点とする Lead Generator である Interstate Brokers が、緊急の目的のためではなく、また、消費者の事前の同意を得ることもなく、50万件以上の違法なロボコールを行ったとして、$45 million の TCPA 反則金を科したいとしている。

Continue reading “FCC 提示:健康保険会社によるロボコールに対して $45 M の反則金”

カナダの大手銀行5行が長時間のサービス停止:緊急事態法との関連が疑われる

Canada’s major banks go offline in mysterious hours-long outage

2022/02/17 BleepingComputer — 今回の障害で、e-Transfers へのアクセスが止まり、被害を受けた銀行は Royal Bank of Canada (RBC) および、Bank of Montreal (BMO)、Scotiabank、Canadian Imperial Bank of Commerce (CIBC) などである。昨日に、カナダの大手銀行5行がオフラインになり、電子送金および、オンライン/モバイル・バンキング・サービスに、多くの人々がアクセスできなくなった。

Continue reading “カナダの大手銀行5行が長時間のサービス停止:緊急事態法との関連が疑われる”

中国政府の MIIT が新規則でデータの国外転送をさらに規制

China’s industry ministry gives itself more power over data transfers in updated rules

2022/02/10 SMCP — 中国の Ministry of Industry and Information Technology (MIIT) は、データの管理と転送に関する要件について更に厳しい規制案を発表し、国境を越えるデータ転送の審査において明確な発言権を持つことになった。木曜日に発表された新規制の草案では、データ処理業者は「MIIT の承認なしに、中国国内に保存されているデータを海外の産業/通信/電波法執行機関に提供してはならない」と規定されさ、2021年9月に発行された旧版よりも厳格化されることになる。

Continue reading “中国政府の MIIT が新規則でデータの国外転送をさらに規制”

日本政府の思惑:サーバー攻撃回避のために中国からのテクノロジー輸入を制約

Japan eyes tighter curbs to counter cyberattacks in move aimed at China

2022/02/02 SCMP — 火曜日に発表された委員会からの提案で、日本はサイバー攻撃への対策の一環として、セキュリティにセンシティブな分野の企業が、海外のソフトウェアを調達するときの審査を、より厳しく制限するための検討に入ったことが明らかになった。それは、岸田政権が、日本の経済的安全保障を中国から守るために、機密技術の漏洩を防ぎ、より弾力性のあるサプライチェーンを構築するという、構想の一環として行われるものだ。

Continue reading “日本政府の思惑:サーバー攻撃回避のために中国からのテクノロジー輸入を制約”

米 FCC が China Unicom Americas に業務停止命令:安全保障上の重大な懸念が理由

US FCC bans China Unicom Americas telecom over national security risks

2022/01/29 SecurityAffairs — 米連邦通信委員会 (FCC:Federal Communications Commission) は、国家安全保障上の重大な懸念を理由として、China Unicom Americas のライセンスを取り消した。同社は、加入者数で世界第6位のモバイル・サービス・プロバイダーである。この通信会社は、中国の国有通信会社である China Unicom の海外子会社であり、数十カ国で事業を展開している。

Continue reading “米 FCC が China Unicom Americas に業務停止命令:安全保障上の重大な懸念が理由”

Tor Project が抗議:ロシアの裁判所が Tor ノードと Web サイトをブロック

Tor Project appeals Russian court’s decision to block access to Tor

2022/01/24 BleepingComputer — 米国の Tor Project と ロシアのデジタル著作権保護団体 RosKomSvoboda は、公開されている Tor ノードとプロジェクトの Web サイトへのアクセスをブロックした、ロシアの裁判所の決定を不服としている。非営利団体である Tor Project は、インターネット上で動作する分散型ネットワーク Tor を運営しており、検閲の回避/Web サイトへの匿名アクセス/Tor だけがアクセスできる特別な「Onion」URL(.onion)などをユーザーに提供している。

Continue reading “Tor Project が抗議:ロシアの裁判所が Tor ノードと Web サイトをブロック”