ゲームパブリッシャー 2K は 21 日、同社の使用するヘルプデスクプラットフォームが不正アクセスを受け、一部のプレイヤーに悪意あるリンクが送信されたと発表した (The Verge の記事、 BleepingComputer の記事、 2K Support のツイート)。

BleepingComputer によると、ターゲットとなったプレイヤーにはまずサポートチケット作成を知らせる電子メールメッセージが届き、その続報としてパスワードを盗むマルウェア RedLine のリンクを含むメッセージが届いたという。

2K サポートではリンクをクリックしてしまった人に対し、念のため下記のような対応を推奨している。

• ブラウザーに保存されているすべてのユーザーアカウントパスワードのリセット
• 利用可能なすべてのアカウントで多要素認証を有効化。テキストメッセージによる認証は避け、認証アプリを使用すること
• 信頼できるアンチウイルスソフトウェアのインストールと実行
• 電子メールアカウントで転送設定が変更されていないか確認

関連会社の Rockstar Games も先日不正アクセスを受けているが、こちらとの関連は不明だ。なお、2K はサポートサイトの再開を 24 日に発表している。サイト保護強化の一環として、サポートサイトへの次回ログイン時にはすべてのユーザーにパスワードリセットが求められる。新しいパスワードに関しては、複雑さの要件が強化されているとのことだ。

標的型暴力とテロリズムを防ぐプロジェクトに対する米国土安全保障省 (DHS) の補助金プログラムで、ビデオゲームを通じた過激主義者の活動拡大を防ぐプロジェクトに補助金 699,763 ドルが支給される (Ars Technica の記事、 Motherboard の記事)。

プロジェクトは Middlebury Institute of International Studies at Monterey の Center on Terrorism, Extremism, and Counterterrorism (CTEC) および、ビデオゲームにおける精神衛生を専門にする非営利組織 Take This と オンラインでの問題行動解決に取り組む Logically が共同で実施し、ゲームにおける過激主義を理解するための枠組みを開発する。

ゲームを通じた暴力的過激主義の拡大は昨年 12 月に国連が開催した専門家による円卓会議でも議題となっているが、ゲーム開発者は規模にかかわらず、過激主義者がどのようにゲームを悪用してその思想を広げていくのかについて理解が遅れているという。プロジェクトでは過激主義者を監視してゲームの悪用を防ぐためのリソースの開発や、ゲーム開発者やコミュニティマネージャーなどが過激主義を防ぐためのワークショップ開催なども行うとのことだ。

人気ゲーム「Grand Theft Auto（グランド・セフト・オート）」シリーズの発売予定の次回作に関して、大量の画像や映像などが出回ったそうだ。開発元であるRockstar Gamesは19日、新作の開発中映像が流出したことを認めた。画像は海外フォーラムなどで出回っていたものとされる。Rockstar Gamesの発表によると、リークは「権限のない第三者」がシステムに侵入、機密情報をダウンロードした結果だとしている。流出した映像は開発初期のものだったとしている（Rockstar Games公式Twitter、AUTOMATON、Game Spark、IGM）。

このリークをおこなったハッカーは、先日、Uberが被害を受けた大規模なサイバー攻撃についても自分の犯行だと述べているという。UberはFBIおよび米司法省と積極的に協力して問題の解決にあたっている。Uberによるとこのハッカーは、ここ最近になってNVIDIA、マイクロソフト、Samsungを攻撃したハッカー集団Lapsus$に所属していると考えていると述べているそうだ（IGM）。

台風14号が日本を通過したばかりだが、FNNプライムオンラインで台風のときに「川の様子」を見たくなる現象についての記事が掲載されている。危険であるにもかかわらず、このような行動をとってしまう人がいるのは、一体なぜなのか（FNNプライムオンライン）。

山口大学・人文学部の高橋征仁教授によると、一般には川や用水路の様子を見に行ってしまう心理は、仕事上の責任感から見に行ってしまうとされているが、進化心理学の観点では自分の縄張りを維持するためのスカウティング（偵察・哨戒行動）の一種なのだという。

教授によると、田んぼや川の様子を見に行って亡くなるのは基本的に男性であり、「若い男性」と「初老の男性」がこうした行為をおこないやすいのだという。教授によると女性の場合は、子どもや親の救出・安否確認が関心の焦点となることから、田んぼや川の様子を見に行って死亡することは聞いたことがないとしている。

headless 曰く、

Microsoft Edge の新しいタブページで、ニュースフィードに表示される広告を悪用した不正広告攻撃が確認されたそうだ (Malwarebytes Labs の記事、 Neowin の記事)。

不正広告は広告ネットワーク Taboola を通じて配信され、ユーザーの興味を引き付けそうな奇妙なストーリーへのリンクとして表示される。広告がクリックされるとユーザー環境のチェックが行われ、不正広告のターゲットにならないと判定した場合は広告に表示されていた通りの無害なページを表示する。一方、ターゲットと判定した場合はテクニカルサポート詐欺のページにリダイレクトするとのこと。Malwarebytes によれば、このような活動が少なくとも 2 か月間は行われていたとのことだ。

headless 曰く、

LastPass が 8 月に発生した不正アクセスの調査について続報を発表している (The LastPass Blog の記事、 Ghacks の記事)。

不正アクセスは開発者アカウントの一つが侵害され、開発環境の一部が侵入を受けたというもの。LastPass がサイバーセキュリティ企業 Mandiantと協力して進めていた調査は完了しており、不正アクセスは 4 日間に限られることが確認できているという。最初のエンドポイント侵害手法について結論は出ていないものの、攻撃者は開発者が多要素認証に成功してから継続的になりすましを続けたとのこと。

LastPass では不正アクセスが開発環境に限られ、顧客データにアクセスされた痕跡はないと説明していたが、根拠は示していなかった。今回の発表では、開発環境がプロダクション環境と物理的に分離していて直接接続する手段がないこと、開発環境に顧客データや暗号化されたパスワード保管庫は含まれないこと、LastPass は顧客のマスターパスワードを保持していないため、パスワード保管庫を復号できるのはオーナーのみであること、を挙げている。

また、攻撃者がソースコードに悪意あるコードを挿入しようとした痕跡はないが、開発者の権限では開発環境からプロダクション環境にソースコードをプッシュすることもできないとのこと。LastPass では今回の問題を受け、エンドポイントのセキュリティコントロールと監視の強化を含むセキュリティ強化をデプロイしたとのことだ。

あるAnonymous Coward 曰く、

朝日新聞の記事によると、米Uber Technologiesがハッキング攻撃を受けたそうだ。>配車サービス等への影響は不明のようだ。Uberは、2017年にもハッキング攻撃を受け個人情報を盗まれたが、1年以上隠蔽していたらしい。

攻撃を受けたのは15日で、ニューヨーク・タイムズが接触した攻撃者を名乗る人物によれば、この攻撃者は自分は18歳のハッカーだと話しているという。Slackのアカウントをを乗っ取り、従業員らにシステム侵害を宣言、Uberの運転手に対してもっと高い報酬を払うべき的な主張していたらしい。各種アプリやサービスはすべて稼働を続けているとのこと。16日午前の段階では機密データにアクセスした形跡はないとしている（日経新聞）。

ビデオ会議中、眼鏡に映り込んだ画面から漏洩する情報について、米ミシガン大学と中国浙江大学の研究グループが研究成果を発表している (論文アブストラクト、 The Register の記事)。

Amazon Mechanical Turk のワーカーと OCR モデルにより研究室環境で用意した 720p のウェブカメラ映像を処理する実験では、画面上での表示サイズが高さ 10 mm のテキストを 75 % の正確さで復元できたという。そのため、ビデオ会議参加者が大きなフォントを用いるウェブサイトを画面に表示している場合、十分にテキスト読み取りが可能とみられる。また、テキストではなくグラフィカルなコンテンツから Alexa トップ 100 ウェブサイトを当てる実験では、94 % の正確さでサイトを推定できたとのこと。

このような情報は上司による部下の監視から、ビジネスの交渉に重要な情報の読み取りにまで用いられる可能性があり、将来的により高解像度な 4K などのウェブカメラが普及すればその危険性はさらに高まる。研究グループでは対策として、照明の位置変更などで眼鏡の反射を低減する物理的な方法や、映像の眼鏡部分にぼかしをかけるソフトウェア的な方法を提案している。眼鏡にぼかしをかけるフィルターのプロトタイプは GitHub で公開されている。

最新の Android 版 Chrome ブラウザーではシークレットタブをロックし、画面ロック時と同じ操作でロックの解除が可能になっている (9to5Google の記事、 Ars Technica の記事、 Android Police の記事)。

この機能を使用するには、Chrome の設定画面で「プライバシーとセキュリティ」の「Chrome を終了するときにシークレットタブをロックする」をオンにすればいい。これにより、アプリ切り替え後やロック画面解除後などには開いている Chrome のシークレットタブがロックされた状態となり、指紋認証や PIN 認証などを行わなければ表示できなくなる。

なお、このオプションは現在ロールアウト中だといい、最新の Chrome でも表示されないことがあるようだ。この場合は「chrome://flags」で「Enable device reauthentication for Incognito」(chrome://flags/#incognito-reauthentication-for-android)を「Enabled」にして Chrome を再起動すれば表示されるようになる。

Microsoft が再び、Internet Explorer 11 (IE11) の早期無効化を推奨している (Windows IT Pro Blog の記事、 Neowin の記事、 Softpedia の記事)。

半期チャネルの Windows 10 では 6 月に IE11 のサポートが終了したが、現在は 2 段階で進められる IE11 退役計画の第 1 段階であり、IE11 から Microsoft Edge へのリダイレクトを順次増加している段階だという。その後の第 2 段階では Windows Update を通じて IE11 が完全に無効化される。ただし、既に IE11 を必要としない組織では IE 無効化ポリシーにより Windows Update による無効化を待たずに完全無効化できる。

なお、Microsoft はテクニカルドキュメントのサイトを Microsoft Docs から Microsoft Learn に変更しており、IE11 無効化に関するドキュメントは一見新しいドキュメントに見えるが、内容的には以前 Microsoft Docs で公開されていたものとほぼ同じだ。そのため、無効化ポリシーを使用した早期無効化も 4 月に推奨されていたものと特に変わりない。

人気の高いブラウザー拡張機能「I don't care about cookies」の作者が素晴らしいニュースとして Avast によるプロジェクト買収を発表したのだが、買収先が Avast であることを嫌うユーザーも多いようだ (Ars Technica の記事、 Ghacks の記事、 Android Police の記事)。

I don't care about cookies は GDPR で表示が義務付けられた cookie 確認画面を非表示化するブラウザー拡張機能で、Firefox や Chrome、Edge など主要なブラウザーで利用できる。Avast による買収後も作者の Daniel Kladnik 氏はこれまで通りプロジェクトでの仕事を続け、拡張機能は引き続き無料で提供されるほか、寄付をしてもらう必要もなくなるという。

Avastは 2019 年、ブラウザー拡張機能で必要以上のデータを収集していると指摘され、各社拡張機能ストアから一時削除された。拡張機能やセキュリティソフトウェアで収集したデータは子会社のアナリティック企業 Jumpshot を通じて販売していたが、2020 年には Jumpshot によるデータ収集の即時終了と段階的な廃業を決めている。

公式サイトのコメント欄や、拡張機能ストアのレビュー欄(Firefox、 Chrome)ではこの件を念頭に置いた投稿が数多く見られ、買収が開発者にとっては素晴らしいことであるが、ユーザーにとっては残念なことであるなどと指摘されている。

Microsoft Teams のデスクトップアプリが認証トークンを平文で保存していることが Vectra の調べにより判明したのだが、報告を受けた Microsoft では修正の必要な問題ではないと回答しているそうだ (Vectra のブログ記事、 Ars Technica の記事、 Dark Reading の記事、 VentureBeat の記事)。

Microsoft Teams のデスクトップアプリ (Windows / Mac / Linux) は Electron ベースのウェブアプリケーションだ。しかし、標準状態のElectronでは、通常のウェブブラウザーで利用可能なファイルをセキュアに保持する仕組みなどが利用できない。Microsoft Teams アプリでは認証トークンが特別な権限なく読み取り可能な場所に平文で保存されているため、ローカルやリモートの攻撃者は容易に認証トークンを入手できる。認証トークンは Microsoft Teams 以外の Microsoft 365 アプリケーション等への攻撃も可能にし、多要素認証もバイパス可能だ。

しかし、Microsoft では攻撃者が初めにターゲットのネットワークへのアクセスを可能にする必要があることから、至急サービスの必要な問題の要件を満たさないなどと回答したという。ただし、Dark Reading に提供した声明では将来の製品リリースでの対応を検討するとも述べているとのこと。このような回答について、Vectra の Connor Peoples 氏は Progressive Web App への移行を進める Microsoft が Electron アプリの修正に力を割きたくないのだとの見方を示す。そのため、Vectra では Microsoft Teams アプリの利用中止と、ブラウザー上での利用を推奨している。

Microsoft は 15 日、Windows 10 バージョン 21H1 (May 2021 Update) のサービス終了に関するサポートドキュメントを公開した (Microsoft Learn の記事、 Neowin の記事、 Softpedia の記事)。

21H1 は半期チャネルでリリースされた最後のバージョンであり、すべてのエディションでサービス期間は 18 か月間となる。そのため、最初のリリース (2021 年 5 月 18 日)から18か月間経過し、最初の月例更新にあたる 12 月 13 日を最後に更新プログラムの提供が終了する。この日以降 Microsoft サポートに問い合わせた顧客は、サポートを継続して受けるため最新版の Windows 10 または Windows 11 へ更新するよう案内されることになる。なお、Windows 10 バージョン 2004 以降は同じサービシングコンテンツを共有しており、最新版へのアップグレードはイネーブルメントパッケージを実行して再起動するだけでいい。これにより、無効化されている新機能が有効化される。

Electronic Arts (EA) は 13 日、自社開発したカーネルモードのチート対策ソリューション EA anticheat (EAAC) を発表した (EAセキュリティニュースの記事、 The Verge の記事、 Neowin の記事)。

EA ではカーネルモード採用の理由として、チート開発者のカーネルモード移行を挙げている。カーネルモードで実行されるチートプログラムはユーザーモードのチート対策ソリューションからチートの機能を検出できないようにすることが可能だ。このようなチートを検出するにはチート対策もカーネルモードで実行する必要がある。また、自社開発することでサードパーティ製では困難だったカスタマイズや、迅速なバグ修正が可能になるという。

他社では既にカーネルモードのチート対策を導入しているところもあるが、高い権限で実行されることからプライバシーやセキュリティへの懸念も強い。EAAC はゲーム実行時のみ実行され、ゲームが終了するとシャットダウンする。チート対策に直接関係しない情報を収集することはなく、収集した情報についてもハッシュによる一意の識別子を用いて元の情報は破棄するとのこと。また、セキュリティ評価とプライバシー評価を行うサードパーティ企業により、PC のセキュリティを低下させることなく、厳格なプライバシー境界を保つとの評価を得ているそうだ。

EAAC は今秋リリースの「FIFA 23」で導入されるが、今後すべての EA ゲームに導入されるわけではなく、必要に応じて選択されるとのことだ。

Microsoftは米国時間の9月13日、64件の脆弱性を修正する月例パッチを公開した。この中には「Critical」（緊急）に分類される脆弱性5件と、悪用されている脆弱性1件が含まれている。米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、脆弱性を悪用されるとリモートからシステムの制御権が乗っ取られる危険性があることから、セキュリティ情報をチェックした上で必要に応じてアップデートを適用することを推奨している。なお以下のMicrosoft製品に対しても、セキュリティアップデートが提供されている（Microsoftリリース、CISAリリース、TECH+、窓の杜）。

脆弱性が存在するとされる製品は以下のとおり。

• .NET and Visual Studio
• .NET Framework
• Azure Arc
• Cache Speculation
• HTTP.sys
• Microsoft Dynamics
• Microsoft Edge (Chromium-based)
• Microsoft Graphics Component
• Microsoft Office
• Microsoft Office SharePoint
• Microsoft Office Visio
• Microsoft Windows ALPC
• Microsoft Windows Codecs Library
• Network Device Enrollment Service (NDES)
• Role: DNS Server
• Role: Windows Fax Service
• SPNEGO Extended Negotiation
• Visual Studio Code
• Windows Common Log File System Driver
• Windows Credential Roaming Service
• Windows Defender
• Windows Distributed File System (DFS)
• Windows DPAPI (Data Protection Application Programming Interface)
• Windows Enterprise App Management
• Windows Event Tracing
• Windows Group Policy
• Windows IKE Extension
• Windows Kerberos
• Windows Kernel
• Windows LDAP - Lightweight Directory Access Protocol
• Windows ODBC Driver
• Windows OLE
• Windows Photo Import API
• Windows Print Spooler Components
• Windows Remote Access Connection Manager
• Windows Remote Procedure Call
• Windows TCP/IP
• Windows Transport Security Layer (TLS)