Google は14日、Chrome 94 以降で HTTPS 優先モード(HTTPS-First Mode)を利用可能にする計画を発表した(Chromium Blog の記事、 The Verge の記事、 SlashGear の記事)。

Chrome では現在、Omnibox にプロトコルを省略した URL を入力した場合に HTTPS 接続を優先して接続するようになっているが、HTTP プロトコルを指定した場合にはサイト側でリダイレクトされない限り HTTP 接続となる。HTTPS 優先モードは HTTP プロトコルを指定した場合でもまず HTTPS で接続し、対応していない場合は HTTP でページを表示する前に全画面で警告を表示するという。

同様のオプションは既にFirefox が搭載しており、Microsoft Edge もプレビュー版(Beta/Dev/Canary)でedge:flagsのAutomatic HTTPS (edge://flags/#edge-automatic-https")を Enabled にすることでオプションが利用可能になる。Google では Chrome 94 以降でテストを行い、デフォルトで有効にするかどうかを決めるとのこと。

また、Chrome 93 では HTTPS 接続時の南京錠のアイコン表示をやめ、ドロップダウンボタンのようなニュートラルな表示に置き換える実験をするそうだ。これは南京錠のアイコンが通信の暗号化を示すだけなのにもかかわらず、サイトが信頼可能であるような印象を与えてしまいことを避けるためだという。その一方で、HTTP 接続時の「保護されていない通信」という表示は維持していくとのことだ。

米国土安全保障省 (DHS) の Cybersecurity & Infrastructure Security Agency (CISA) は13日、Windows の Print Spooler の脆弱性 PrintNightmare (CVE-2021-34527) への対策を命じる緊急指令を発出した(緊急指令 21-04、 Windows Central の記事)。

PrintNightmare は Print Spooler サービスが特権のあるファイル操作を適切に処理しないことにより、リモートから SYSTEM 権限で任意コード実行が可能になるというもの。CISA によれば、この脆弱性を狙う攻撃が複数の攻撃者により活発に行われており、政府機関のシステムが脆弱性を放置したままにすることは受け入れがたいとのこと。CISA の緊急指令は年に数本程度しか発出されないが、最近では SolarWinds Orion の脆弱性に対する緊急指令 21-01 や Microsoft Exchange Server の脆弱性に対する緊急指令 21-02 のほか、Pulse Connect 製品の脆弱性に対する緊急指令 21-03 が発出されている。

緊急指令 21-04 ではすべての連邦政府機関に対し、東部夏時間 (以下同) 7 月 14 日 23 時 59 分までに 1) Active Directory (AD) のドメインコントローラー (DC) で Print Spooler サービスを停止・無効化するよう命じている。また、20 日 23 時 59 分までに 2) Windowsの 7 月の累積更新プログラムをすべての Windows マシンに適用、3) 1) 以外の Windows ホストで Print Spooler サービスの停止・無効化、または「ポイント アンド プリントの制限」グループポリシーを(グループポリシーエディターまたはレジストリエディターで)有効化、4) グループポリシーまたはレジストリ設定が適切に行われていることを確認、5) Windows マシンを新規または再びネットワークに接続する場合は上述の対策を事前に行うことが必要だ。また、6) 対策完了の報告を 21 日 12 時までに提出する必要がある。

なお、PrintNightmare は発見者が修正済みと勘違いして PoC を公表したことによりゼロデイ脆弱性となった。当初 Microsoft はセキュリティ更新プログラムガイドの謝辞に発見者の名前を記載していなかったが、現在は記載されている。

読売情報開発大阪は14日、同社のECサイト「よみファネット」が不正アクセスを受けたと発表した。同社は読売新聞系列の企業。これにより1301人分のクレジットカード情報が流出した可能性が高く、なおかつ少なくとも58人分のカード情報が不正利用された。6月末の段階で被害も計767万4605円分が確認されているという。流出確認が判明した段階でよみファネットは閉鎖したとしている（読売ファミリー、ITmedia、東京新聞）。

流出した可能性が高い情報は、2020年10月24日から2021年3月2日までの期間に同サイト上にカード情報を入力した利用者。発表によれば、カード名義人、カード番号、有効期限、セキュリティコードが流出したとされる。2021年3月2日に決済代行事業者からの指摘うけたところ不正アクセスを受けていたことが4月13日に確定したという。

あるAnonymous Coward 曰く、

とあるが、なぜセキュリティコードが保存されているのか理解に苦しむところではある。

読売情報開発大阪は発表が遅れた理由について、漏えいした可能性のある件数を特定するのに時間がかかっていたと説明。

第一報において、漏洩した可能性の件数など分かっている必要はなく、不審な請求がないか注意喚起することはできたはずだ。しかし結果的に三ヶ月も経過してから公表するとは、非常に不誠実な姿勢ではないだろうか？

headless 曰く、

Twitter が 6 つの偽アカウントを認証済みアカウントとして誤って認定していたことを認めたそうだ(Daily Dot の記事、 The Verge の記事、 The Register の記事)。

Twitter ユーザー「Conspirador Norteño」が指摘した 6 つの偽アカウントはいずれも 6 月 16 日に作成されたばかりで 1 件もツイートしておらず、フォロワーが 1,000 アカウント程度という怪しいものだ。977 アカウントのフォロワーは 6 アカウントに共通しており、すべての認証済みアカウントを自動的にフォローする Twitter Verified (@verified) アカウントを除く 976 アカウントは6月19日から6月20日の間に作成され、すべてが同じ 190 アカウントをフォローしていたという。976 アカウントは astroturf ボットネットを構成する 1,212 以上のアカウントの一部とみられ、多くが AI 生成による重複するプロフィール写真を使用していたとのこと。

Twitter は Daily Dot に対し、少数の偽アカウントによる認証申請を誤って承認してしまったが、問題のアカウントを凍結し、認証済みバッジを外したと述べたという。しかし、元 Facebook の最高セキュリティ責任者 Alex Stamos 氏は内部の人間がかかわっている可能性を指摘する。また、一連のアカウントにはトルコ語の人名が多くみられることから、国家のかかわる作戦である可能性も示唆している。

headless 曰く、

Microsoft がボットネット TrickBot 撲滅作戦の一環で、戸別訪問によるルーター交換も行っていたそうだ(The Verge の記事、 The Daily Beast の記事)。

TrickBot はルーターや IoT に感染するボットネットで、ランサムウェアRyukを拡散することでも知られる。Microsoft は昨年10月、米大統領選に向けてサイバーセキュリティ各社や各国の通信事業者と協力して TrickBot 撲滅作戦を実施した。C&C サーバーの IP アドレス無効化などにより封じ込めは成功したように見えたが、ボットネットは再び勢いを取り戻しているという。

ボットネットを構成するルーターは TrickBot に感染したままであり、ユーザーによる除去作業は困難だ。そのため、Microsoft はこの数か月、ブラジルなど南米の ISP と協力して感染したルーターを一軒一軒交換して回ったとのことだ。

Amazon Echo等のIoTデバイスも普及して製品も世代を重ねていることから、中古が市場に流れることが多くなった。しかし、ノースイースタン大学の研究者の研究によると中古で流れているAmazon Echo Dotは出荷時状態にリセットされていることは少ないそうだ。このため、元の所有者の無線LAN情報、Amazonアカウントの認証情報、ルーターのMACアドレスなどにアクセスできる事例も多かったそう。また出荷時状態にリセットされていた製品であっても、専門的な知識があれば個人情報を復元することはできたそうだ（ノースイースタン大学研究論文[PDF]、PC Watch、GIZMODO）。

headless 曰く、

6 月にオーストラリアで大量の逮捕者を出して話題となった米連邦捜査局 (FBI) のバックドア付き暗号化通信アプリ「AN0M」だが、闇市場で取引されていた端末が格安の中古として一般の人に売却されるというケースもあったようだ。そのような端末の 1 台を Motherboard が入手し、ハンズオンリポートを公開している(Motherboard の記事、 Ars Technica の記事、 XDA Developers の記事、 Android Police の記事)。

こういった端末では ArcaneOS と呼ばれる機能の制限された Android OS がプリインストールされており、正常に動作しない改造 OS だと思った購入者がモバイル関係のオンラインフォーラムで相談するケースもみられる。3 月には Android-Hilfe.de で Pixel 3a 購入者、6 月には XDA Forum で Pixel 4a 購入者が相談していた。いずれのケースも最初の投稿は AN0M の存在が公表される前のことだ。Motherboard はオーストラリアでの購入者から Pixel 4a を入手しており、XDA Forum の相談者と条件が一致すると XDA Developers の記事でも指摘されているが、入手元は公表されていない。

端末には 2 種類の PIN が設定されており、その一つを入力すると通常の端末らしく見える「デコイ」モードに入る。このモードでは一般的なアプリが多数インストールされているように見えるが、実際にランチャーでアイコンをタップしてもアプリは起動しない。もう一つは AN0M モードに切り替えるためのもので、アイコンは「電卓」「時計」「設定」の3つのみ。電卓のアイコンをタップすると AN0M のログイン画面が表示されるという。

Ars Technica の記事に掲載されているスクリーンショットによると、「設定」アプリではストレージや位置情報、アカウントといった項目が削除されているようだ。その一方で、セキュリティ設定にはデコイモード用の PIN 設定や自動ワイプ設定、PIN 入力用キーパッドのランダム化設定などのオプションが追加されている。

新潟県の立加茂病院で5日、COVID-19ワクチン保管用の冷凍庫の内部温度が約22℃になっていることが見つかり、モデルナ製ワクチン約1000回分が使用不能となったことが報じられている。原因は電源のつなぎ部分が緩んでいたためと報じられていたが、朝日新聞が報じたところによれば、緩んだ原因として清掃業者が「モップが冷凍庫のACアダプターに当たった」と話していることが分かったそうだ。病院の聞き取りでは、清掃業者が3日午後1時30分ごろに清掃に入り、その後の午後1時36分から冷凍庫の温度が上がり始めていたことが分かったとしている（朝日新聞）。

カスペルスキー製パスワードマネージャー「Kaspersky Password Manager（KPM）」に脆弱性が見つかり、新たにCVE-ID（CVE-2020-27020）が割り当てられた。生成されるパスワードに偏りが生じているという。カスペルスキーは脆弱性の報告を受けて、すでに対策を取ったバージョンを配布している。影響を受けるのはのWindows版では9.0.2パッチF以前のバージョン、Android用ではバージョン9.2.14.872以前、iOS用では9.2.14.31以前のものだとしている（Kaspersky、Donjon、The Register、窓の杜 ）。

発見者であるLedger社のセキュリティチーム「Ledger Donjon」によれば、KPMのパスワードジェネレーターには時刻をキーに用いるロジックに欠陥があり、生成する数値に偏りが生じていた。攻撃者はパスワード生成時期を知ることができれば、総当たり攻撃により数分で解析できるとしている。同社では最新版への更新を行うと同時にランダムパスワードを再生成するよう呼び掛けている。

プレスリリース・ニュースリリース配信サービスの PR TIMES は 9 日、会員企業が下書き保存登録していた発表前のプレスリリース情報が不正に取得されていたことを発表した(プレスリリース: PDF)。

原因は画像一括ダウンロード機能と PDF ダウンロード機能のセキュリティホールで、プレスリリースの公開状態にかかわらず URL ロジックを推測および解析することでダウンロードが可能になっていたという。7 月 5 日に会員企業から発表前の情報が SNS 投稿されているとの報告を受けて調査を行い、6 日には公開状態でない場合に画像一括ダウンロードができないよう緊急改修が行われている。PDF ダウンロード機能のバグは8日に判明し、URL を予測困難なロジックへ変更する緊急改修を実施したとのこと。

不正に取得されたプレスリリース情報は会員企業 13 社 14 アカウントのプレスリリース 230 件に紐づく画像の ZIP ファイル 230 点と、うち 4 社のプレスリリース 28 件に紐づく PDF ファイル 28 点。「不正取得」は 5 月 4 日 ～ 7 月 6 日に特定の IP アドレスから行われており、プロバイダーにも申告したという。

このような形で情報が取得されることはシステム開発段階では想定していなかったとのことで、今後は人員を増強してセキュリティホールの存在を迅速に発見できる体制へと強化するそうだ。なお、緊急改修は暫定的なものであり、今後はセキュリティを強化しつつ利便性を高める機能に刷新するとのことだ。

Microsoft は 6 日と 7 日、Windows の Print Spooler で発見された脆弱性「PrintNightmare」の修正を含むセキュリティ更新プログラムを定例外でリリースした(Windows message center、 CVE-2021-34527、 Microsoft Security Response Center のブログ記事)。

PrintNightmare は Print Spooler サービスが特権のあるファイル操作を適切に処理しないため、リモートから SYSTEM の権限で任意コード実行が可能になるというもので、Windows 7 SP1 / Server 2008 / 2008 R2 を含む現在サポートされるすべての Windows バージョンが影響を受ける。発見者が 6 月の月例更新で修正された脆弱性と取り違え、修正済みだと思って PoC を公開してしまったため、ゼロデイ脆弱性となっていた。

6日に更新プログラムの提供が開始されたのは、Windows 10 バージョン 2004 / 20H1 / 21H1 (KB5004945)・バージョン 1909 (KB5004946)・バージョン 1809 / Server 2019 (KB5004947)・バージョン 1507 (KB5004950) のほか、Windows 8.1 / Server 2012 (マンスリーロールアップ KB5004954 / セキュリティのみの更新プログラム KB5004958、以下同)・Windows 7 SP1 / Server 2008 R2 SP1 (KB5004953 / KB5004951)・Windows Server 2008 SP2 (KB5004955 / KB5004959) となっている。7日にはWindows 10 バージョン 1607 (KB5004948) と Windows Server 2012 (KB5004956 / KB5004960) への提供も開始された。自動更新が有効になっていれば自動で適用されるため、何もする必要はない。8 日に提供が始まったWindows 11 Insider Preview ビルド 22000.65 にも修正が含まれる。

なお、更新プログラムを適用しても完全には脆弱性が修正されないとも報告されている。Microsoft の調べによれば更新プログラムは意図したとおりに機能しており、脆弱性が修正されないとの報告はポイント アンド プリントの安全性を低下させるレジストリ設定に依存するという。ただし、更新プログラムはこのようなレジストリ設定を変更しないため、適用後にレジストリ設定を確認する必要がある。該当のレジストリキーは「HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint」で、DWORD 値「NoWarningNoElevationOnInstall」および「UpdatePromptSettings」が存在しないか、値のデータが「0」であれば問題ない。デフォルトではレジストリキー自体が存在しないはずだ。また、グループポリシーの「コンピューターの構成→管理用テンプレート→プリンター」で「ポイント アンド プリントの制限」は未構成であれば問題ないが、KB5005010 には有効にしてセキュアな設定にする手順も記載されている。

河野太郎行政改革担当大臣は先月、全省庁に対して6月末でFAX利用の原則廃止を要請していた（内閣府、毎日新聞）。しかし、多数の反対意見が出たことから全廃に関しては断念することになったそうだ（北海道新聞）。

北海道新聞によるとFAX廃止に対して、各省庁から400件程度の反論が届いたという。曰く、民事裁判手続きや警察などの機密性の高い分野でFAXが使われているため、セキュリティーを確保する新システムが必要となるといった指摘があったとのこと。また通信環境が十分ではないことや危機管理に対応するため、複数の回線確保が必要などの声も出ており結局、電子メールに移行すると問題のある部署ではFAXの利用を認める方針に転換することになった模様。

エレコムは6日、2013年6月～17年12月に発売された無線LANルーターなどの14製品に脆弱性があった判明したと発表した（エレコム、PC Watch、毎日新聞）。同社は該当製品はサポートが終了していることからアップデートなどの対策予定はないとしている。

リリース文では以下の通りとなっている

対象製品のアップデートサービスは終了しております。お客様が気づかない状態でも悪用される場合がありますのでセキュリティ保護のため対象製品のご利用を中止いただき、現行製品への切り替えをご検討いただけますようお願い申し上げます。

対象となったのは2017年に発売された「WRC-1167FS-W」「WRC-1167FS-B」「WRC-1167FSA」の3機種と2014年発売の製品では「WRC-300FEBK」「WRC-F300NF」「WRC-733FEBK」の3機種。加えて2013年発売の「WRH-300RD」「WRH-300BK」「WRH-300SV」「WRH-300WH」「WRH-300BK-S」「WRH-300WH-S」「WRH-H300WH」「WRH-H300BK」の8機種となっている。

愛知県では1日から詐欺と想定されるような不審電話にだまされたふりをし、警察の捜査に協力した人などに報奨金を支払うという制度が開始されたそうだ。愛知県内のコンビニや金融機関で構成される「愛知県特殊詐欺撲滅プロジェクトチーム」が主導しているもので、先の「だまされたふり作戦」や犯行グループの拠点情報を提供して犯人の検挙につながった場合、報奨金1万円を支払うとしている（NHK、東京新聞）。

Kaseyaは7月4日、同社のIT環境管理・自動化サービス「Kaseya VSA」が2日に高度なサイバー攻撃を受けたと発表した。Kaseya VSAはソフトの更新を管理・配信するときに使用されるもので、サイバー攻撃により約40の顧客が影響を受けたことが判明しているとのこと。犯行は5月に鹿島建設の海外子会社を攻撃したロシアの犯罪集団「REvil」が関わっていると見られている（Kaseya、ITmedia、日経新聞）。

同社はサーバーを停止し、ソフトの使用停止や怪しいリンクをクリックしたりしないよう呼びかけた。また侵害検出ツールを公開するなどの対応を進めている。今回の攻撃により、中小企業を中心に1000社以上が影響を受けた模様。日経新聞によれば、Kaseyaと直接取引のないスウェーデンのスーパーマーケットがレジを動かせないことから、一時閉店することになったなどとしている。