パスワードを忘れた? アカウント作成

スラドのRSSを取り込んでみよう。

15752479 story
Twitter

乗っ取られた AV-TEST の公式 Twitter アカウント、復元までに 1 週間を要する 12

ストーリー by headless
反応 部門より
AV-TEST の公式 Twitter アカウント (@avtestorg) が乗っ取られ、回復までに 1 週間を要したそうだ (PCMag の記事Neowin の記事)。

AV-TEST CEO の Andreas Marx 氏によると、アカウントがハックされたのは 7 月 25 日。10 分ほどのちによく知られたセキュリティリサーチャーが WhatsApp で異変を知らせてきたのをはじめとして、次々に通知が届いたという。

Marx 氏は Twitter にログインしようとしたが既に利用できなくなっており、Twitter からはロシア語の電子メールでパスワード変更や電子メールアドレス変更の通知が届く。ドイツ人の Marx 氏はドイツ語で Twitter を使用しており、攻撃者はアカウントへのアクセスを獲得後、言語変更を行ってからパスワードや電子メールアドレスを変更したとみられる。

Marx 氏はすぐに Twitter サポートへ連絡したが、乗っ取られたアカウントが明らかなスパム投稿に使われているにもかかわらず、Twitter 側の反応は鈍い。2 日待っても応答はなく、ドイツ語のツイートに使用している別アカウント (@avtestde) でも @TwitterSupport に呼び掛けているが、少なくともさらに 2 日間は反応がなかったようだ。

Twitter アカウントは強いパスワードを使い、2 要素認証も有効にしていたため、Marx 氏はセッションの乗っ取りによるアカウント乗っ取りとみているそうだ。しかし、電子メールアカウント変更で 2 要素認証が行われなかった理由は不明だ。また、電子メールアカウント変更時の元のアカウントへの通知では新しい電子メールアドレスが一部非表示となっており、元のアカウント側での確認処理は不要だったという。そのため、これらの点は Twitter のセキュリティ上の弱点だと Marx 氏は指摘している。
15752402 story
セキュリティ

キーフォブを電子レンジにしまう英自動車協会会長 43

ストーリー by headless
心配 部門より
英自動車協会会長のエドムンド・キング氏は自動車盗難を恐れるあまり、キーフォブを電子レンジにしまっているそうだ (The Guardian の記事The Telegraph の記事)。

キング氏は既にファラデーポーチを使用しており、家の外からのスキャンを防ぐため玄関からできるだけ離れた場所に保管していたが、それでも妻の Lexus がハッカーに盗まれたという。そのため、現在はファラデーポーチに入れたキーフォブを金属製の手提げ金庫に入れ、それをさらに電子レンジに入れるという多重の保護になっている。さらに安全を守るため、金属製のハンドルロックも使用しているとのこと。キング氏は自動車メーカーに対し、キーフォブを無効化して簡単にはハックできない従来のシンプルなセキュリティを選択可能にするよう要望しているとのことだ。
15750265 story
テクノロジー

パリティ対称性を利用して理想的な乱数実現 38

ストーリー by nagazou
乱数 部門より
原子核の崩壊のタイミングを乱数生成に使用する手法が以前から研究されていたそうだ。しかしそのランダム性と秘匿性の厳密な証明は確立していなかった。そんな中、高エネルギー加速器研究機構(KEK)の筒井泉氏らの研究グループは、パリティ(空間反転)対称性を持つ原子核の崩壊現象から生成される量子乱数のランダム性と秘匿性に、厳密な証明を与えることに成功したという。世界初とのこと。これにより、信頼性の保証された小型の乱数生成器の実用化が期待できるとしている(東京大学工学部プレスリリース日経クロステック)。
15747327 story
iPhone

米シークレットサービス、職員に支給する iPhone で iMessage の無効化を検討 7

ストーリー by nagazou
疑惑対策 部門より
headless 曰く、

米シークレットサービスが職員に支給する iPhone について、iMessage が使用できないよう無効化を検討しているそうだ (9to5Mac の記事POLITICO の記事)。

シークレットサービスでは昨年 1 月 5 日から 6 日に送受信したテキストメッセージを失っており、連邦議会襲撃に関連する証拠隠滅を図ったのではないかという疑惑を否定している。同局の説明によれば、国土安全保障省監察総監室 (DHS OIG) が本件に関する調査を開始する前から 3 か月にわたる新 (モバイルデバイス管理) システム移行を計画しており、これに伴う携帯電話のファクトリーリセットにより一部のデバイスに保存されていたデータが失われたという。ただし、OIG が要求したテキストメッセージは移行で失われていないことを確認済みとのこと。

移行時に失われたデータはファクトリーリセット前にバックアップが保存されていなかったものだ。iMessage で送受信したメッセージはデバイス内に暗号化して保存されており、新システムではバックアップできないのだという。そのため、職員が自力で事前にバックアップを保存していなければ復元できなくなることから、iMessage 自体の無効化を検討しているとのことだ

15747297 story
交通

高齢ドライバーの免許更新実写試験、15%が不合格になっていた 123

ストーリー by nagazou
15%は多いか少ないか 部門より
5月に施行された改正道路交通法では、過去3年間に信号無視などの違反をした75歳以上のドライバーは、免許更新時に実車に乗る「運転技能検査」を受ける必要がある。警察庁によると6月末までに「運転技能検査」を受験した高齢者の合格率は84.8%ほどで15%あまりが不合格だったことが判明した。運転技能検査は、6か月の更新期限内であれば、何度でも受験可能ではあるものの、合格できない場合は免許が失効するという(FNNプライムオンライン)。

あるAnonymous Coward 曰く、

このレベルの試験すらクリアできない人が公道に出てこないようブロックしているようで、うまく機能しているようです。

15746494 story
アナウンス

第2回防衛省サイバーコンテスト参加者募集中 20

ストーリー by nagazou
締め切り延期 部門より
防衛省が企画していたサイバーコンテストに関して、参加の締め切りが8月7日にまで延期されていたようだ。当初の締め切りは7月31日までだった。実際のコンテストは8月21日に開催される(防衛省ScanNetSecurity[告知当時の記事])。

このコンテストはサイバーセキュリティに関する人材を発掘することを目的としたもので、オンラインで開催される。コンテスト内容はクイズ形式の問題を参加者が回答していくものになるという。なお防衛省・自衛隊の職員は参加できない。コンテスト参加に必要なものとしては、PPTPまたはL2TP/IPsecでVPN接続が可能なネットワーク環境と、LinuxまたはWindowsが動作するPCとのこと。

あるAnonymous Coward 曰く、

募集期間が1週間延長されたのは、やはり参加者登録が少なかったからだろうか

15746447 story
セキュリティ

H81チップセット上で動作するUEFIルートキットが見つかる 35

ストーリー by nagazou
日本では確認されていない模様 部門より
マザーボードのUEFIを狙ったマルウェアが出回っているという。このマルウェアはルートキット機能を持つことから一般に「UEFIルートキット」と呼ばれているが、Kasperskyの研究者は今回発見したUEFIルートキットに「CosmicStrand」という名称を与えているという(KasperskyBleepingComputerArs TechnicaGIGAZINE)。

マザーボード上のファームウェアに当たるUEFIにマルウェアを仕込まれると特定が困難な上、OSの再インストールやストレージドライブの交換では削除できない。Kasperskyによると、今回発見されたCosmicStrandは、ASUSとGIGABYTE製のH81チップセットを搭載する古いマザーボードから発見されたという。2016年の終わり頃から何年にもわたって運用されてきた形跡があるとしている。その構造から中国語を話すハッキンググループが作成したものである可能性が高いとしている。
15746459 story
変なモノ

トレンドマイクロが感謝しまくるメールを誤送信 29

ストーリー by nagazou
やらかしダミーデータ 部門より
トレンドマイクロは7月26日、同社のコミュニティユーザー向けに、タレコミにあるような感謝だらけのお知らせメールを送信したとして謝罪発表を行った。件名は「トレンドマイクロ お客さまコミュニティからのお知らせ」となっている。発表によれば、コミュニティ上の記事に更新があった場合などに使用するお知らせメールの編集作業の誤りで発生した事故であるという。7月28日に該当者にお詫びメールを送信したとしている(トレンドマイクロねとらぼ)。

あるAnonymous Coward 曰く、

トレンドマイクロお客様コミュニティをご利用いただきありがとうございます。以下のお知らせを公開しましたので、ご確認くださいますよまコミュニティをご利用いただきありがとうござまコミュニティをご利用いただきありがとうござまコミュニティをご利用いただきありがとうござまコミュニティをご利用いただきありがとうござまコミュニティをご利用いただきありがとうござまコミュニティをご利用いただきありがとうござまコミュニティをご利用いただきありがとうござまコミュニティをご利用いただきありがとうござまコミュニティをご利用いただきありがとうござまコミュニティをご利用いただきありがとうござまコミュニティをご利用いただきありがとうござま(以下略)

15746082 story
ビジネス

Microsoft、オーストリア製とみられる商用サイバー兵器の使用を阻止 11

ストーリー by headless
阻止 部門より
Microsoft は 7 月 27 日、商用サイバー兵器 Subzero の使用阻止を発表した (Microsoft On the Issues の記事Microsoft Security Blog の記事The Verge の記事Neowin の記事)。

Subzero は Microsoft が KNOTWEED と呼ぶ民間のサイバー攻撃者 (PSOA) グループにより開発・販売されているもので、ゼロデイを含む Windows の脆弱性や Adobe Reader の脆弱性を悪用して攻撃を行う。KNOTWEED の実体はオーストリアのサイバーセキュリティ企業 DSIRF とみられ、攻撃の対象はオーストリアや英国、パナマの法律事務所・銀行・コンサルタント会社が確認されているという。

サイバー傭兵とも呼ばれる PSOA はさまざまなビジネスモデルでハッキングツールやサービスを提供する。最も一般的なビジネスモデルは購入者自らサイバー攻撃を実行可能なハッキングツールを販売する access-as-a-service と、PSOAがサイバー攻撃を実行する hack-for-hire の 2 種類。KNOTWEED は両方のビジネスモデルを用いているそうだ。Microsoft では攻撃を阻止するため脆弱性の修正とマルウェアのシグニチャを発行したほか、米下院の情報委員会に証言書 (PDF) を提出したとのことだ。
15743809 story
インターネット

サイバー攻撃、同じ企業が何度も被害に 26

ストーリー by nagazou
狙われやすくなるのか 部門より
イスラエルのサイバーセキュリティ企業Cymulateによると、サイバー攻撃を経験した企業の多くは、複数回被害に遭うことが多いのだという(CymulateのレポートITmedia)。

Cymulateは2022年4月に世界のIT、金融、政府機関など幅広い業種のセキュリティ担当者858人を対象に調査をおこなったところ、過去1年の間にサイバー攻撃に遭ったことがあるという回答は40%におよんだそうだ。そのうち分の2に当たる67%が2回以上の被害に遭っていたという。また1年間に10回以上の攻撃を経験したという回答も10%ほどあったそうだ。攻撃方法としてはマルウェアが55%と最多で、次いでランサムウェアが40%、DDoS攻撃が32%の順だった。

記事では被害企業は1度攻撃されても対策が進まず、簡単に食い物にできるとみられているのではないかとしている。
15742849 story
お金

ゲームストップのNFT販売サイト、NY同時多発テロのビルから落ちる男のパロディが出品 7

ストーリー by nagazou
NFTアート 部門より
ネット仕手株として話題となった米ゲームソフト小売大手「GameStop」が、7月11日からNFTマーケットプレイス『GameStop NFT』のベータ版を公開している。サービス公開からわずか2日間で約3,167ETH(約383万ドル)に達したとの報告もあるようだ。しかし公開されているNFTの中には悪質なものも含まれているようで、その一つとして炎上しているのが「Falling Man」と呼ばれるアートワーク(Engadget)。

このNFTはアメリカ同時多発テロ事件(9.11)当時、ビルから落ちる男性を撮影した写真を元に作られたものとみられている。販売されたNFTの説明には、ロシアの宇宙ステーション・ミールから落下したものとの説明書きがあったようだ。この作品の制作者は、2種類のバージョンの「Falling Man」を販売していたとされ、事故で亡くなった人の最後の瞬間を利益化しようとしたとして炎上したようだ。

このNFTに関しては現在は販売リストから削除された模様。GameStop側は公式のコメントを出していないようだが、個人への返答として「このNFTは、マーケットプレイスから完全に削除された。作者はマイニング機能をすでに削除しており、NFT販売などの行為に関して現在直接連絡を取り合っている」とするコメントを返していた模様。
15740706 story
お金

「Minecraft」がNFT禁止を明言。理念に反する 69

ストーリー by nagazou
禁止 部門より
マインクラフトの開発元であるMojangは20日、「マインクラフトとNFTの統合を認めない」とする内容の声明を発表した。Mojangはマインクラフト上のコンテンツは、コミュニティの誰でもアクセスできる必要があるとし、NFTに紐付くことで限られた人しかアクセスできない仕組みはマインクラフトの精神に反するとしている(MINECRAFT公式による声明GIGAZINEAUTOMATONCNET)。

AUTOMATONの記事によれば、年初にマインクラフトの非公式NFTプロジェクト「Blockverse」が多額詐欺の疑いをかけられた騒動があったことも今回の禁止の決定に影響しているのではないかとしている。
15739802 story
Windows

Windows 11 Insider Preview、アカウントのロックアウトポリシーを既定で有効化 5

ストーリー by nagazou
既定 部門より
headless 曰く、

Microsoft の David Weston 氏は 21 日、Windows 11 Insider Preview でアカウントロックアウトのポリシーをデフォルト有効にしていたことを明らかにした (Weston 氏のツイートGhacks の記事BetaNews の記事Softpedia の記事)。

アカウントロックアウトのポリシー有効化は、リモートデスクトッププロトコルを通じたものも含め、パスワード総当たりによるログイン試行を困難にするものだ。現在、Dev チャネルのデフォルトでは 10 分以内に連続で 10 回ログオンに失敗すると、管理者アカウントを含めて 10 分間ロックアウトされる設定となっている。設定はグループポリシーの「ローカル コンピューター ポリシー \ コンピューターの構成 \ Windows の設定 \ セキュリティの設定 \ アカウント ポリシー \ アカウント ロックアウトのポリシー」で確認・設定できる。

なお、Weston氏 はビルド 22528.1000 で変更が導入されたと説明しているが、このビルドはどのチャネルでもリリースされていない。また、現在のビルドは Beta チャネル・Dev チャネルともにこれより新しいビルドとなるが、手元の環境で有効になっていたのは Dev チャネルのビルドのみだった。Twitter でも 22528.1000 以降のビルドで有効になっていないというコメントが見られる。ただし、Weston 氏によると Windows 10 にもバックポートするとのことなので、Beta チャネル (Windows 11 バージョン 22H2) にも今後適用される可能性がある。

15739818 story
セキュリティ

オープンドキュメント形式のマルウェアが確認される。感染はユーザーによる操作などが必要 19

ストーリー by nagazou
あらゆる手段で 部門より
窓の杜の記事によると、ISO標準のファイル形式であるオープンドキュメント形式で作られたマルウェアが発見されたそうだ。確認されたマルウェアはテキスト文書(ODT)の体裁をとっており、開いてしまうと他のファイルへの参照を含むフィールドを更新するかを問うダイアログが表示される。ユーザーが[はい]ボタンを押してしまうと「Excel」が起動、今度はマクロを有効にするかを問うダイアログが表示される。さらにマクロを有効にすると、「AsyncRAT」と呼ばれるマルウェアが実行されるとしている(窓の杜)。
15739486 story
Google

Google Play、強い反発を受けてアプリの権限表示を復活へ 29

ストーリー by headless
復活 部門より
Google Playではアプリの権限セクションの廃止が強い反発を受けていたが、結局復活することになったそうだ (Android Developers のツイートAndroid Police の記事The Verge の記事Ars Technica の記事)。

Google Play ではアプリ開発者の自己申告による「データセーフティ」が導入されているが、7 月 20 日の新規・更新アプリに対する申告義務付け開始を前にアプリの権限セクションが削除された。しかし、データセーフティセクションではアプリが収集するユーザーデータなどを確認できるものの、具体的な権限を確認することはできないため、ユーザーによる安全確認が難しくなるなどと批判されていた。これに対し、 Google の Android Developers 公式 Twitter アカウントはアプリの権限セクションがユーザーにとって有用なことを確認したなどとして、近いうちに復活させる計画を示した。
typodupeerror

日々是ハック也 -- あるハードコアバイナリアン

読み込み中...