あるAnonymous Coward 曰く、

職場でEndpointセキュリティ製品として「Symantec Endpoint Protection」を使用している。2021年度の予算検討で販売代理店からSymantec Endpoint Protectionの見積もりをとろうとしたところ、販売代理店を通じ、2019年8月にSymantec社を買収したBroadcom(以降、ブロードコム)社から以下のような通知があった（Microsoft）。

「製品販売の制度ならびに提供価格の変更」(抜粋)
1.価格表やルールの刷新
2.追加契約や更新契約の廃止。全て新規買い直しへ変更
3.これまでの継続的な特別価格提供の廃止
※上記の変更に伴い、ブロードコム社による個別の販売店さまおよびお客さまとの交渉の実施、ならびに特別価格での提供などは今後行われません。また、上記変更に関しては例外措置も一切ございません。
以上

そして、販売代理店から「Symantec Endpoint Protection」の見積をとったら2020年度に対し2021年度は3倍程度の値上げとなっていた。また、2022年度以降も約10%程度の値上りが見込まれていると言う。
価格を出すとユーザーが特定されるので詳細情報は出せないが、数千ライセンスの購入で1ライセンスあたり2020年度が約500円だったのに対し、2021年度は約1500円になっている。

Symantecのサイバーセキュリティ事業が2019年8月にブロードコムに買収され、2020年1月には、その中のサービス事業のみがAccentureに買収された(2020年3月に買収完了)。法人向けセキュリティ製品はAccentureの買収対象外となっている。ブロードコム社はどのようなビジネスを想定しているのだろうか？これではエンタープライズ向け製品においてSymantecは大幅にシェアが低下するであろう。

Microsoftの「Symantec 製品ご利用中のお客様に捧げる Microsoft セキュリティへの移行のススメ」というプレゼンにもあるように、次回のライセンス更新時は3倍の値上げになるといったタレコミにあったような告知事例が多く発生しているようだ。

Let's Encryptがルート証明書の切り替えに向け、古いバージョンのAndroidへの対策をサイトオーナーとユーザーに呼びかけている(Let's Encryptのブログ記事、 The Registerの記事)。

5年前にLet's Encryptが立ち上げられた際にはIdenTrustのクロス署名を得たルート証明書「DST Root X3」を使用することで、メジャーなソフトウェアプラットフォームすべてで信頼される証明書をすぐに発行することが可能だったという。しかし、DST Root X3は2021年9月1日に失効する(ただし、実際に証明書を見ると有効期限は日本時間2021/9/30 23:01:15となっている)。他のCAからクロス署名を得た証明書を使い続けることはリスクが高いため、Let's Encryptでは既に独自のルート証明書「ISRG Root X1」を発行している。このルート証明書はメジャーなソフトウェアプラットフォームから信頼されているが、2016年以降更新されていないソフトウェアには信頼されない。Androidではバージョン7.1.1よりも古いバージョンが該当するとのこと。

Androidは更新されない古いバージョンが多数存在することで知られるが、Android Studioのデータによると9月時点でAndroid 7.1よりも古いバージョンのシェア合計は33.8%(StatCounterの10月分Androidバージョン別シェアデータでは18.87%)だったという。DST Root X3が失効するまでにAndroidの古いバージョンが使われなくなることは期待できないため、Let's Encryptでは早めに情報を提供することでサイトオーナーと古いバージョンのAndroidユーザーに事前の対策を促している。

過去にウォルマートが独占販売していた「Jetstream」ブランドのWiFiルーター、およびAmazonやeBayで販売されている「Wavlink」ブランドのWiFiルーターに不審なバックドアが見つかったそうだ。いずれも古い製品だが、手頃な価格で入手可能であったことから当時は人気があったようだ（Cyber​​News、Mashable、GIGAZINE）。

この二つのブランドのルーターには、ルーターを通じて接続されている機器すべてのデバイスを制御可能なバックドアが仕掛けられていたとしている。このバックドアを発見したCyber​​Newsのチームは、Jetstreamの販売元であるウォルマートに状況を把握しているかどうか認識しているか確認を取ったが、現在確認中という回答があったという。製品については現在販売していないとしている。

もう一つのWavlinkルーターでは、近くのWi-Fiを一覧表示し、それらをネットワークに接続する機能を備えたスクリプトが含まれていた。これらのバックドアが積極的に悪用されているという証拠も見つかっているという。これらのルーターは、接続しているデバイスをマルウェアMiraiのボットネットに端末を追加しようとする試みるという。リモート制御された端末はボットネットの一部として被害者のルーターをリモートで制御されてしまう。実際に2016年に発生したDynDNSへのDDoS攻撃で悪用されたとしている。

この二つのブランドであるWavlinkとJetstreamは「Winstars Technology Ltd.」という深圳の企業の子会社らしいが、他に「Ematic」と言うブランドもあり、対象ブランド、製品は今回の報告に留まらない可能性が高いとしている。

あるAnonymous Coward 曰く、

小説投稿サイト・小説家になろうで作品を公開していたポンポコ秋氏本人のtweetによると、知人の悪戯でアカウントが勝手に削除され、全ての作品が閲覧できなくなってしまったそうだ。経緯は、
1.飲み屋で知人と話すうち自分の小説の話になった
2.知人が読んでみたいという事になり、端末を渡した
3.知人が悪戯でアカウントを削除した
ということらしい。
胸の悪くなるような話だが、皆さんはこういった事に対して何か対策はとっているだろうか。

情報元へのリンク

間もなくサポートが終了するWindows 10/Server バージョン1809/1903について、サポートされるバージョンへの早めの更新をMicrosoftが呼びかけている(Windows message centerのメッセージ[1]、 [2]、 Windows 10 リリース情報)。

Windows 10 バージョン1809(Home/Pro/Pro Education/Pro for Workstation/IoT Core) およびWindows Server バージョン1809(Datacenter Core/Standard Core)は5月にサポート終了予定だったが、世界的な公衆衛生上の問題を考慮して11月10日まで延長されていた。これらのエディションのサポート期間がさらに延長されることはなく、11月の月例更新が最後の更新プログラム提供となる。Windows 10 Enterprise/Education/IoT Enterpriseの各エディションについては、バージョン1809が2021年5月11日までサポートされる。

なお、バージョン1809ではサポート期間延長と同時に機能アップデート(バージョン1909)の自動更新による提供も一時中止となっていた。リリース情報では6月から機能アップデートの提供を段階的に再開すると説明(Internet Archiveのスナップショット)されていたが、現在は削除されている。

バージョン1903はすべてのエディションで12月8日にサポート終了となる。Neowinの記事によれば、バージョン1903を対象に自動更新によるバージョン1909の提供が始まったそうだ。バージョン1903から1909へのアップグレードはイネーブルメントパッケージをインストールするだけなので短時間で完了するが、バージョン1909(Home/Pro/Pro Education/Pro Workstation/IoT Core)のサポートは2021年5月11日に終了する。

スマートフォンにマイナンバー機能を搭載するための有識者会議が10日から総務省でスタートした（NHK、テレ東NEWS、ITmedia）。

総務省の武田大臣は冒頭で、「マイナンバーカードの機能のスマートフォンへの搭載についてご議論いただき、実現に向けた方向性を得たいと考えております」と話した。マイナンバーカードには「署名用電子証明書」および「利用者証明用電子証明書」という二つの電子証明書が含まれており、有識者会議ではこの機能をスマートフォンに搭載するための仕組みなどを議論していく。

会議は一部を除いて非公開で行われた。NHKによると出席者から、「端末の機種変更などの際に必要な、セキュリティー確保のための手続きは、より簡単にすべきだ」といった意見が出たとしている。またテレ東NEWSによれば、AndroidとiPhoneのいずれの端末でも搭載できるような方策についても議論されるとしている。次の通常国会で法改正を行い、2022年度中の機能搭載を目指すとしている。

中国成都市で今月の7日と8日の二日間にわたってハッキングコンテスト「天府杯 2020（Tianfu Cup 2020）」が開催された。このコンテストでは34の国際チームが参加し、数百万ドルの賞金をかけてテクニックを競い合ったという。ターゲットにされた16の製品のうち、下の11の製品がこれまでにないエクスプロイトによって攻略されたとしている（四川オンライン、Tianfu Cup公式Twitter、ZDNet、窓の杜）。

• Google Chrome
• Safari
• Firefox
• Adobe PDF Reader
• Docker CE
• VMware EXSi
• Qemu
• CentOS 8
• iPhone 11 Pro（iOS 14）
• Galaxy S20
• Windows 10 バージョン 2004
• TP-Link製のルーター
• ASUS製のルーター

優勝したのは、中国のテクノロジー大手である奇虎360（Qihoo 360 Technology）所属の「360 ESG Vulnerability Research Institute」チーム。このチームは賞金総額121万ドル（約1億2500万円）のうち、74億4500ドル（約7700万円）を獲得することに成功したそうだ。審判チーム代表の鄭文濱氏は、iPhone 11 Pro（iOS 14）やGoogle Chrome、Docker CEなどの複数のプロジェクトで、世界初のブレークスルーを達成したことは注目すべきことだと話している。

あるAnonymous Coward 曰く、

https://japan.zdnet.com/article/35162119/
https://forest.watch.impress.co.jp/docs/news/1288055.html

多彩な対象にハックを成功させていて、今や普通にIT先進国ですね。

政府機関や企業などでパスワード付きzipファイル廃止の動きが広がっているようだ。　平井卓也デジタル改革担当相が17日の会見で廃止について触れている（ITmedia）。政府の意見募集サイトである「デジタル改革アイデアボックス」に送られてきたアイデアを採用したものだという。マルウエア「Emotet」がパスワード付きzipファイルを使用して、セキュリティを回避していることなどが一因と思われる。

またクラウド会計ソフトなどのスモールビジネス向けの事業を手がけている「freee」も、メールによるパスワード付きファイルの受信を廃止すると発表している。こちらに関してはEmotet感染の緩和策であると明言している（freee株式会社、日経新聞）。

なおプライバシーマーク付与事業を行っているJIPDECは11月18日、こうした発表を受けてメール添付のファイル送信についてという発表を行った。曰く

昨今、個人情報を含むファイル等をメールで送信する際に、ファイルをパスワード設定により暗号化して添付し、そのパスワードを別メールで送信することについて、お問合せを多くいただいております。

プライバシーマーク制度では上記の方法による個人情報を含むファイルの送信は、メールの誤送信等による個人情報の漏洩を防げないこと等から、従来から推奨しておりません。

としてそもそもパスワード付きのZipファイルなどに意味はないと強調している。

カプコンは16日、同社のサーバーが不正アクセスを受け情報が流出していたことが確認されたと発表した（カプコン、PC Watch）。同社は11月4日のリリース段階では不正アクセスがあったことは認めていたものの、情報の流出等には触れていなかった。経緯については過去記事で触れた内容に準じたものであり、ランサムウェアを用いてサーバー暗号化されていたことや「Ragnar Locker」を名乗る集団から身代金要求があったことなどを認めた内容となっている。

リリースによれば、11月16日段階で判明している情報流出は以下の通り。

1. 流出を確認した情報

(1) 個人情報9件

元従業員の個人情報5件
（氏名・サイン2件、氏名・住所1件、パスポート情報2件） 従業員の個人情報4件

（氏名・人事情報3件、氏名・サイン1件）
(2) その他

販売レポート
財務情報
2. 流出の可能性がある情報

(1) 個人情報（お客様・お取引先等）最大約35万件

国内 お客様相談室 家庭用ゲームサポート対応情報（約13万4千件）
氏名、住所、電話番号、メールアドレス
北米 Capcom Store会員情報（約1万4千件）
氏名、生年月日、メールアドレス
北米 eスポーツ運営サイト会員情報（約4千件）
氏名、メールアドレス、性別
株主名簿情報（約4万件）
氏名、住所、株主番号、所有株式数
退職者およびご家族情報（約2万8千件）、採用応募者情報（約12万5千件）
氏名、生年月日、住所、電話番号、メールアドレス、顔写真等
(2) 個人情報（社員およびご関係者）

人事情報（約1万4千人）
(3) 企業情報

売上情報、取引先情報、営業資料、開発資料等

ゲーム会社のカプコンのサーバーにランサムウェアが仕掛けられ、犯人グループから身代金が要求されているようだ。カプコンのリリースによれば、攻撃は11月2日未明に行われたとされ、同日より社内ネットワークの稼働を部分的に見合わせているという（BleepingComputer、Threatpost、朝日新聞）。

BleepingComputerによれば、犯人グループは9日午前に声明を出しており、日本、米国、カナダの各拠点のサーバーから合計1テラバイトの暗号化されていないデータを盗んだとしている。その中には会計ファイル、銀行取引明細書、機密として分類された予算および収益ファイル、税務書類、知的財産、専有事業情報、クライアントおよび従業員個人情報（パスポートとビザ）、取引企業とのメールやメッセンジヤーのデータなどが含まれているらしい。

使用されたランサムウェアはRagnarLockerだとしている。これにより、カプコンの社内ネットワーク上の機器約2000台がランサムウェアによって暗号化されてしまったという。犯人はこれらのデータの復号化のためにビットコインで1100万ドル（約11億6000万円）を要求しているとのこと。