第三者が個人情報15万人分ダウンロード 労務管理クラウド「WelcomeHR」で漏えい マイナカードや免許証の画像も
カオナビ子会社のワークスタイルテック（東京都港区）は3月29日、同社の労務管理クラウドサービス「WelcomeHR」について、ユーザー情報が外部から閲覧可能な状態になっていたと発表した。16万2830人分の情報が閲覧可能だったとしており、うち15万4650人分の情報が実際に第三者にダウンロードされたという。 2020年1月5日から24年3月22日にかけて、ユーザーの氏名、性別、住所、電話番号、ユーザーがアップロードした身分証明書（マイナンバーカード、運転免許証、パスポートなど）や履歴書の画像が閲覧可能だった。情報がダウンロードされたのは23年12月28日から29日にかけてだったという。3月29日時点では二次被害は確認していないとしている。 「本来 ユーザーがストレージサーバに保存するファイルの一覧は外部からアクセスできない仕様とすべきところ、当該サーバのアクセス権限の誤設定により、閲覧可能
xz-utils backdoor situation (CVE-2024-3094)
xz-backdoor.md FAQ on the xz-utils backdoor (CVE-2024-3094) This is still a new situation. There is a lot we don't know. We don't know if there are more possible exploit paths. We only know about this one path. Please update your systems regardless. This is a living document. Everything in this document is made in good faith of being accurate, but like I just said; we don't yet know everything abo
生成AIの幻覚で指定される「架空のパッケージ」に悪用の危険性があるとセキュリティ研究者が警告
GPT-4やClaude 3のような大規模言語モデルは人間が書いたように自然な文章を生成できますが、時として事実に基づかない情報を生成する「ハルシネーション(幻覚)」という現象を起こします。セキュリティ企業・Lasso Securityの研究者であるバー・ラニャド氏が、ハルシネーションによって存在しないパッケージを組み込んだソースコードが生成され、実際に使われていると指摘しています。 Diving Deeper into AI Package Hallucinations https://lasso-security.webflow.io/blog/ai-package-hallucinations AI bots hallucinate software packages and devs download them • The Register https://www.theregis
PyPIを悪用した攻撃グループLazarusのマルウェア拡散活動 - JPCERT/CC Eyes
JPCERT/CCでは、攻撃グループLazarusが不正なPythonパッケージを公式PythonパッケージリポジトリーであるPyPIに公開していることを確認しました（図1）。今回確認したPythonパッケージは以下のとおりです。 pycryptoenv pycryptoconf quasarlib swapmempool pycryptoenvやpycryptoconfは、Pythonで暗号化アルゴリズムを使う際に用いられるPythonパッケージpycryptoに類似したパッケージ名になっており、攻撃者は、ユーザーが同名のパッケージをインストールする際のタイポを狙って、マルウェアを含む不正なパッケージを準備していたと考えられます。 今回は、この不正なPythonパッケージの詳細について紹介します。 図1: 攻撃グループLazarusが公開していたPythonパッケージ 不正なPython
NauNau利用者の位置情報が外部から閲覧可能となっていた問題についてまとめてみた - piyolog
2023年12月7日、Suishowは、同社が運営する位置情報共有アプリ「NauNau」より一時230万人分以上の位置情報やチャット履歴が閲覧可能となっていたとの報道を受け調査を行った結果を公表しました。ここでは関連する情報をまとめます。 230万人のNauNau利用者の位置情報などが一時閲覧可能と報道 www3.nhk.or.jp 位置情報共有アプリ「NauNau」の問題が広く公になったのはNHKの2023年10月21日報道が発端。NHKの報道では大まかに次の４点が取り上げられていた。 NauNauはサービス開始の時点からセキュリティの対策が十分ではなかった。そのため閲覧をしようとする者に「一定のITの知識」があれば少なくとも230万人分のアプリ利用者の位置情報、チャット履歴が外部から閲覧可能な状態になっていた。 NauNauの開発元であるSuishowは、2022年12月以降複数回にわ
中国との関連が疑われる攻撃的、かつ高度なスキルを持つ攻撃者が Barracuda ESGのゼロデイ脆弱性（CVE-2023-2868）を悪用 | Mandiant
2023年5月23日、Barracudaは同社のEメールゲートウェイ「Barracuda Email Security Gateway（ESG）」のゼロデイ脆弱性（CVE-2023-2868）が2022年10月の時点で悪用されており、その調査のためにMandiantに支援を依頼したことを発表しました。Mandiantは調査を通じて、中国との関連が疑われる攻撃者を特定しました。この攻撃者は、現在UNC4841として追跡されており、世界中のさまざまな地域および業界にまたがるスパイ活動の初期侵入経路としてBarracuda ESGアプライアンスのサブセットをターゲットにしています。Mandiantは、中華人民共和国を支援するこの広範な攻撃キャンペーン活動の背後にいるのはUNC4841であると、高い確信を持って評価しています。 UNC4841は、早ければ2022年10月10日から、CVE-2023
英国政府が全世界のエンドツーエンド暗号化を破壊する | p2ptk[.]org
以下の文章は、電子フロンティア財団の「The U.K. Government Is Very Close To Eroding Encryption Worldwide」という記事を翻訳したものである。 Electronic Frontier Foundation 英国議会が世界のプライバシーを崩壊させかねないインターネット規制法案を推進している。現在、貴族院での可決を目前に控えた「オンライン安全法案」は、メッセージングサービスにバックドアを強制する権限を英国政府に与え、エンド・ツー・エンド暗号化を破壊するものとなる。法案の最も危険視されている部分を軽減する修正案は全く受け入れられていない。 オンライン安全法案が可決されれば、世界のプライバシー、そして民主主義そのものを後退させることになるだろう。我々が使用するメッセージングサービスに政府承認ソフトウェアの導入を義務づける悪しき前例を生み出
![英国政府が全世界のエンドツーエンド暗号化を破壊する | p2ptk[.]org](https://cdn-ak-scissors.b.st-hatena.com/image/square/171668db90a0ff80748b8fd9ae1136bc54446b0d/height=288;version=1;width=512/https%3A%2F%2Fp2ptk.org%2Fwp-content%2Fuploads%2F2023%2F08%2Fdefend-encryption-cyan-1_0.png)
開発者のWindows、macOS、Linux環境を狙ったDangerousPasswordによる攻撃 - JPCERT/CC Eyes
JPCERT/CCは、2019年6月から継続して攻撃を行っている標的型攻撃グループDangerousPassword [1][2]（CryptoMimicまたは、SnatchCryptoとも呼ばれる）に関連すると思われる、暗号資産交換事業者の開発者を狙った攻撃を5月末に確認しています。この攻撃は、マシン上にPythonやNode.jsがインストールされたWindows、macOS、Linux環境をターゲットとしたものです。 今回は、JPCERT/CCが確認した攻撃および使用されたマルウェアについて解説します。 Pythonマルウェアを起点としたWindows環境における攻撃 攻撃者は、QRコードを扱うためのPythonモジュール(https://github.com/mnooner256/pyqrcode)のbuilder.pyというファイルに不正なコードを挿入したものをあらかじめ用意し、
Linuxルーターを狙ったGo言語で書かれたマルウェアGobRAT - JPCERT/CC Eyes
JPCERT/CCでは、2023年2月頃、国内のルーターにマルウェアを感染させる攻撃を確認しています。今回は、JPCERT/CCが確認した攻撃および使用されたマルウェアGobRATの詳細について解説します。 マルウェア実行までの攻撃の流れ 初めに攻撃者はWEBUIが外向けに開いているルーターを狙って脆弱性などを使用し、各種スクリプトを実行した後、最終的にマルウェアGobRATを感染させます。図1は、マルウェアGobRATがルーターに感染するまでの攻撃の流れです。 Loader Script には主に次の機能があり、各種スクリプトの生成やGobRATのダウンロードを行うなど、ローダーの役割を担っています。なお、バックドア用と推測されるSSH公開鍵は Loader Script 内にハードコードされています。 Loader Script はcrontabを使って Start Script のフ
「餃子の王将」ギョーザたれを客の前から撤去 虫混入の動画や迷惑行為対応で｜経済｜地域のニュース｜京都新聞 ON BUSINESS
中華チェーン「餃子（ギョーザ）の王将」が、店内のテーブルに置くギョーザのたれなどの調味料を撤去し、注文を受けてから店員が提供する形式に変更したことが分かった。容器に虫が混入した動画の投稿や飲食店で相次ぐ迷惑行為を踏まえ、衛生管理を徹底するために運用を見直したという。 運営会社の王将フードサービス（京都市）が９日以降、調味料をテーブルに置かないよう全店に指示した。従来は、大半の店でギョーザのたれやラー油、酢、コショウのほか、「鶏の唐揚げ」などに使う人気調味料「王将マジックパウダー」を置いていた。 現在は、ギョーザのたれを小皿に入れて料理とともに提供し、注文があればラー油や酢をテーブルに運んでいるという。 同社は、餃子の王将でギョーザのたれの瓶に虫が入った動画がネットに投稿されたとする一部報道を受け、９日付でホームページに「ご不快な思いをさせたことに対しまして、心より深くおわび申し上げます」と
「うちの情報、freeeから漏れたんじゃないんですか？」 顧客から問い合わせ殺到──したらどうする？ freeeが再び全社訓練
「アイティメディアの高橋と申します。今、Twitter上で、御社から顧客情報が漏えいしているのではないかという書き込みが複数流れているのですが、どういうことでしょうか？」──もし広報の窓口にこんな問い合わせが来たら、皆さんの会社ではどう対応するだろうか。クラウド型会計・人事サービスを提供するfreeeではこんな風に、広報や営業・顧客対応も含めた包括的な障害対応訓練を実施した。 顧客・マスコミなど社外とのやりとりにもフォーカス freeeには2018年10月、会計処理の集中する月末に2時間半にわたってサービスが停止するという大障害を発生させてしまった苦い経験がある。その反省を踏まえ、記憶を風化させず、いざというときに適切な対処を迅速に取れるよう、全社にまたがる障害対応訓練を毎年10月に実施している。 21年の障害対応訓練は、今まさに猛威を振るうランサムウェアを題材にしたものだった。サプライチ
DJRIO.eth @ REALITY on Twitter: "TikTokのアプリ内でwebサイトを開いたら、すべてのタップやパスワードふくむ全ての文字入力がTikTokに取得されている。 そういう処理をするJavascriptコードが自動挿入されていることが発見され、会社側もそれを認めた。… https://t.co/RxCNaJNiEd"
TikTokのアプリ内でwebサイトを開いたら、すべてのタップやパスワードふくむ全ての文字入力がTikTokに取得されている。 そういう処理をするJavascriptコードが自動挿入されていることが発見され、会社側もそれを認めた。… https://t.co/RxCNaJNiEd
「まだTelnetを使い、インターネットに公開している企業がある」 ExtraHopが警告
同社は「意図的であれ、偶発的であれ、こうしたプロトコルを通じてサイバー攻撃者によるネットワークへの侵入が容易になり、企業に対する攻撃リスクが増大する」と警告している。 非推奨のTelnetだが、12％の企業が利用 このレポートは、ExtraHop Networksが世界の企業のIT環境を分析して、開いているTCP／IPポートと、インターネットに公開されている通信プロトコルを観点に、企業のサイバーセキュリティ体制を調べたもの。それによると、企業が公開しているプロトコルとセキュリティには幾つかの特徴があるという。 関連記事 「脅威ベースアプローチ」のリスク評価とは何か――MITRE ATT&CKとNavigatorで攻撃グループと対策を特定してみた ここ数年一気に注目度が高まり進化した「脅威ベースのセキュリティ対策」。その実現を支援する「MITRE ATT&CK」（マイターアタック）について解
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ソフトバンク系、期限切れオープンOSの修正ソフト販売 - 日本経済新聞
情報流出でNTT社長が謝罪 USBメモリーは全面使用禁止に | 毎日新聞
security-research/pocs/cpus/zenbleed at master · google/security-research
「強制BCCシステム」停止 メールアドレス 652 件流出、ライセンス更新怠る | ScanNetSecurity
Pixel 6/7採用のSamsung製モデムに脆弱性。対策までLTE/Wi-Fi通話オフを推奨
アンチウイルスやEDRを逆手に取りWindowsを破壊する“合気道ワイパー”
娘の彼氏がテレグラムを使っているらしい→解決
