パスワードを忘れた? アカウント作成

スラドのRSSを取り込んでみよう。

2020年のセキュリティ人気記事トップ10
14082690 story
テレビ

「天才プログラマ」が登場するというTBSの正月特番ドラマ、設定や描写がガバガバすぎてIT業界人からツッコみ多数 186

ストーリー by hylom
リサーチ不足 部門より

Anonymous Coward曰く、

1月3日に放送された正月特番ドラマ「半沢直樹Ⅱ エピソードゼロ 狙われた半沢直樹のパスワード」でのITやセキュリティ、プログラミング関連描写が現実離れしていると、IT業界人からのツッコミが多数出ている模様(市況かぶ全力2階建Togetterまとめ)。

『検索エンジン開発・運用を手がける新興IT企業が突然証券会社のトレーディングシステム開発のためのコンペに参加することになり、突如発生したシステムダウンのピンチを「プログラミング能力」で乗り切った新人プログラマーがプロジェクトリーダーとなって奮闘する』というあらすじからまずツッコミどころがあるが、作中ではプロジェクトの参加者が5人だったり、プロジェクトの総費用が数億円だったり、システム稼働日の朝にフィッシングが仕掛けられたりと、なかなかに現実離れしたストーリーだったようだ。

なお、現代っぽくKuberntesを使ったクラスタシステムで構築を行なうなど、出てくる単語だけは今時のトレンドワードが多く使われていた模様。

14176736 story
英国

英国家サイバーセキュリティセンター、用語「whitelist」「blacklist」を使用中止へ 199

ストーリー by headless
白黒 部門より
英政府通信本部(GCHQ)の国家サイバーセキュリティセンター(NCSC)は4月30日、サイバーセキュリティ用語としてこれまで使用してきた「whitelist」「blacklist」の使用をやめ、「allow list」「deny list」へ置き換えることをブログで発表した(NCSCのブログ記事The Registerの記事)。

現在、サイバーセキュリティの現場では「許可」「不許可」を示す用語として「whitelisting」「blacklisting」が普通に使われている。しかし、これは「white」を良い、「black」を悪いと結び付けた場合にのみ意味を成す表現であり、「allow list (許可リスト)」「deny list (不許可リスト)」と表現する方が明確だ。用語の置き換えはサイバーセキュリティから人種差別を取り除くのにも役立つという。

このような用語置き換えをする計画はないかと取引先から尋ねられたNCSCのEmma W氏は、なぜもっと前に気付かなかったかと自分の頭を叩き、すぐに変更すると喜んで回答したそうだ。W氏によれば、人種的ステレオタイプに影響を受けない人は幸運であり、悪い影響を受ける人にとっては価値ある変更とのこと。今後、NCSCはWebサイトでの用語置き換えを順次進めていく。ブログ記事が同様の変更を検討している組織を後押しすることにつながることも望んでいるとのことだ。

NCSCテクニカルディレクターのIan Levy氏は「これ(用語の置き換え)が狂ったポリティカルコレクトネスだと意見しようと思っているなら、その必要はない」と(NCSC運営委員会の全会一致による支持を受けたうえで)述べているそうだ。
14199793 story
インターネット

NURO光やフレッツ・v6オプションでIPv6ファイアウォールが設定されていないことが話題に 107

ストーリー by hylom
エンドツーエンドでセキュリティが必要に 部門より

ソニーネットワークコミュニケーションズの光インターネット接続回線サービス「NURO光」で提供されているホームゲートウェイにはIPv6でのファイアウォール機能が設定されていないという話がQiitaで取り上げられている。NURO光のホームゲートウェイをデフォルトで利用している場合、利用者には複数のIPv6アドレスが提供され、家庭内で利用する各機器にグローバルIPv6アドレスが割り当てられ、さらにそれらに対し直接インターネットからのアクセスが可能になっているという。

また、NTT東西のフレッツ光でもLAN内でIPv6アドレスが割り当てられた機器に対し、フレッツのIPv6網内から直接アクセスできるという話がある(Qiitaの別記事)。こちらはフレッツ・v6オプションの仕様となっており、意図的なものとなっている。

14094998 story
インターネット

三菱電機を狙ったサイバー攻撃、トレンドマイクロのセキュリティソフトの脆弱性が悪用されていた 66

ストーリー by hylom
Windows標準機能を使っていれば良かったのでは 部門より

三菱電機を狙ったサイバー攻撃が行われ、さまざまな情報が流出したことが報じられているが(過去記事)、この攻撃にはトレンドマイクロのセキュリティソフト「ウイルスバスター」の脆弱性が悪用されていたという(共同通信)。

トレンドマイクロのセキュリティソフトに関しては、法人向け製品での脆弱性対応が遅いとの指摘も出ている。

なお、共同通信の記事タイトルでは問題のセキュリティソフトを「ウイルスソフト」と呼んでいることも話題になっている

14131793 story
インターネット

「新型コロナは体調管理ができていない証拠」などとうたった求人広告が炎上、企業側は不正アクセスによる改ざんと発表 106

ストーリー by hylom
そんなことを言う役員はいなかったんですね 部門より

採用支援サービス「engage」上で、「執行役員からのメッセージ」として「新型コロナだって体調管理ができてない証拠」「気持ちいれて働いてたらかからない」などと記載していた企業が批判を浴びている。これに対しこの企業側は本人の投稿ではなく、不正アクセスで内容が改ざんされたなどと主張している(キャリコネニュースBuzzap!Togetterまとめ)。

この企業側の説明によると、「執行役人本人が投稿したものではない」「本人になりすました悪質な投稿」であり、社内でサイトの管理に使われていたIDが不正に使われた可能性があるとしている。なお、この企業の求人ページでは「残業代は一切出しません」などと書かれていたことも指摘されている。

14151084 story
インターネット

Web会議サービスZoomに対し複数の脆弱性があるとの指摘、暗号化への懸念の声も 66

ストーリー by hylom
いきなりクライアントをインストールさせるのはやばいでしょ 部門より

Anonymous Coward曰く、

新型コロナウイルスの感染拡大による外出自粛を受けて、オンラインでのミーティングを行えるビデオチャットサービスが注目されている。その1つに「Zoom」があるが、このZoomに対しセキュリティ面での懸念の声が出ている。

その1つに、通信内容の暗号化に関するものがある。Zoomの公式サイトには、すべてのミーティングはエンドツーエンド(E2E)で暗号化されると明示されているものの、The Interceptによると、実際にはエンドツーエンドでの暗号化は行われていないという(ITmediaSlashdot)。

エンドツーエンド暗号化の定義としては、暗号化された情報を復号できる鍵は利用者(クライアント)のみが所有することになっている。しかし、Zoomのビデオ会議はTCP接続ではTLSを使い、UDP接続ではTLS接続でネゴシエートされたキーを使ってAESで暗号化していると答えた。これではエンドツーエンド暗号化の要件には当てはまらないことになる。

また、これ以外にもWindows版のクライアントには悪意のあるリンクをチャット画面に送信することで接続情報を奪うことができるという脆弱性が存在するという話や(Business Insider)、Mac版クライアントでは攻撃者が外部から管理者権限を取得できる脆弱性や、利用者の同意なしにカメラやマイクへのアクセス権を取得できるという脆弱性も存在するという(TechCrunchITmediaの別記事)。

14150805 story
プライバシ

青森県で確認された新型コロナウイルス感染者のカルテが流出 82

ストーリー by hylom
ずさん 部門より

Anonymous Coward曰く、

青森県で3月30日に新型コロナウイルスへの感染が確認された20代男性のカルテが、SNSなどに流出した(NHK河北新報毎日新聞)。

地方では感染者を特定しろというような声が出ているという話も聞くのでそういう感じで出しちゃったのだろうか。

報道によると、流出しているのは電子カルテを印刷したものの一部を撮影したもので、データは30日午前時点のものだったという。このカルテは指定医療機関のほか4病院の医師や看護師、約500人が閲覧できた。

14300300 story
お金

ドコモ口座を悪用した不正引き落とし問題、ゆうちょやイオン銀行など大手銀でも被害 197

ストーリー by nagazou
10日午前段階の話です 部門より
ドコモ口座を悪用した不正引き落とし問題が大ごとになっている。当初は七十七銀行のみの問題とみられたが、全国の地方銀行でも同様の引き落としが発生していることが判明した。このため現在は35行すべてで連携が停止している。ドコモは再発防止策として本人確認を厳格化するとしている。(朝日新聞共同通信t)。

当初ドコモ側は一部銀行の銀行口座登録などを行うことで対処していたが、最終的にはすべての提携金融機関でのサービス申込受付が停止されたなど対応が二転三転した。ただ10日の午前段階では、すでに口座連携済みのドコモ口座に関してはまだチャージが可能とされ、口座の持ち主が気がついておらず、発覚していない場合は引き落としが可能。このため被害拡大が収まったとはとても言えない状況だ。

今回の件の大きな問題は、ドコモのキャリア契約をしていなくてもドコモ口座のアカウントは作りたい放題だったこと、ドコモ口座を利用していないどころか携帯やスマホを持っていなくても、ドコモ口座の提携銀行に口座を持っていれば誰でも被害に遭う可能性がある点にある。このほか、去年の5月にもりそな銀行から同様の不正引き出しが起きていたとも報じられている(NHK毎日新聞)。

当初の被害は地方銀行口座がほとんどだったが、今はゆうちょ銀行とイオン銀行などでも被害が報告されている(朝日新聞)。9日時点のITmediaによるドコモへの取材によると、被害にあった地方銀行に関してはいずれも『Web口振受付サービス』を使ってドコモ口座と連携していたそうだ。

このシステムの場合、ドコモ口座側から預金口座振替の新規登録が可能となっていた。つまりネットバンキング口座のないユーザーでも被害に遭う可能性がある。また、いずれも登録には口座番号と名義、4桁の暗証番号の3点を利用していたとも話しているとのこと。

これらの話や被害者などの発言などから、ネット上では4桁の暗証番号だけを固定して口座番号を総当たりするリバースブルートフォースとIPアドレスを変えて攻撃を気付かれにくくするパスワードスプレーが使われたのではないかという推測が出回っている模様。

また今回の被害について、ドコモに被害を通知しても無関係だと言われ、当初はドコモ側に信じてもらえない事例も複数発生していたようだ(NHK)。

ドコモは10日、被害者に全額補償する方向で銀行と協議を開始した模様(共同通信)。
14197674 story
Windows

不正疑惑の出ていたトレンドマイクロのドライバ、Windows 10 May 2020 Updateでブロック対象に指定される 90

ストーリー by hylom
次から次へとネタが出てくる 部門より

先日、トレンドマイクロ製品のドライバでWindowsの「ドライバーの検証ツール」実行の有無をチェックするコードが見つかるという話題があったが、これを受けてMicrosoftはWindows 10においてこのドライバの実行をブロックする対応を行ったとのこと(RegisterITPro)。

報道によると、問題のドライバである「tmcomm.sys」が、Windows 10 20H1(May 2020 Update)にてブロック対象のドライバリストに入れられており、これによってこのドライバやこれを利用するトレンドマイクロの「Rootkit Buster」ソフトウェアは動作しなくなるとのこと。

MicrosoftはWindows向けソフトウェアやハードウェアに対し、適切に動作していることを検証する「WHQL」という認定プログラムを提供している。トレンドマイクロの問題のドライバは、そのための要件となっている検証ツールの実行時に挙動を変えることで、不正にWHQL認定を得ているのではないかという疑惑が出ていた。これに対しトレンドマイクロの広報担当者は「不正は行なっていない」と主張しているが、なぜこのような動作を行なっているのかについては回答していない。また、問題のドライバがブロック対象となったことについては「Windows 10の大型アップデートに向けた内部的な互換性テストのためにブロックを申請した」と述べている。

14088557 story
OS

Windows 7のサポートが本日で終了 98

ストーリー by hylom
気付いたら終了していた 部門より

Anonymous Coward曰く、

ついに本日1月14日でWindows 7のサポートが終了する(INTERNET Watch)。今後は一部法人向けの有償サポート契約者向け以外にはセキュリティアップデートは提供されず、新たな脆弱性が見つかっても原則として対応は行われなくなる。

また、明日15日の12時以降は、Windows 7マシンを起動すると全画面で「お使いのWindows 7 PCはサポート対象外になっています」との案内が表示されることになるようだ。

typodupeerror

私は悩みをリストアップし始めたが、そのあまりの長さにいやけがさし、何も考えないことにした。-- Robert C. Pike

読み込み中...