Ankerのスマートホームブランド「Eufy」のカメラ付きインターホンが、撮影した映像をユーザーの許可なく、暗号化していない状態でアップロードしていたことが、2022年11月に発覚しました。さらに、問題が明るみに出た後に、Eufyのページからプライバシーに関する文言が削除されていることが分かりました。 Anker’s Eufy deleted these 10 privacy promises instead of answering our questions - The Verge https://www.theverge.com/2022/12/16/23512952/anker-eufy-delete-promises-camera-privacy-encryption-authentication Eufy has removed privacy-focused language
この記事は、 NTT Communications Advent Calendar 2022 7日目の記事です。 はじめに こんにちは、イノベーションセンター所属の志村と申します。 「Metemcyber」プロジェクトで脅威インテリジェンスに関する内製開発や、「NA4Sec」プロジェクトで攻撃インフラの解明・撲滅に関する技術開発を担当しています。 今回は「開発に使える脆弱性スキャンツール」をテーマに、GitHub Dependabot, Trivy, Grypeといったツールの紹介をさせていただきます。 脆弱性の原因とSCAによるスキャン 現在のソフトウェア開発は、多くのOSSを含む外部のソフトウェアに依存しています。Python、Go、npm など多くの言語は、様々なソフトウェアをパッケージとして利用できるエコシステムを提供しており、この仕組みを利用してOSSなどのコンポーネントをソフト
中国で2022年11月下旬から政府の「ゼロコロナ」政策に対する抗議活動が広がっています。この動きの中で、抗議活動の様子を撮影した映像が、Huaweiのスマートフォンではユーザーが操作していないにもかかわらず勝手に消されているという疑いが浮上しています。 Chinese social media users report Huawei phones automatically deleting* videos of the protests that took place in China, without notifying the owners. *Not sure if it’s from the cloud or device level Our sci-fi movies have not even imagined this level of dystopia… pic.twit
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 中国の浙江大学、上海交通大学、Microsoft Research Asiaに所属する研究者らが発表した論文「DeHiREC: Detecting Hidden Voice Recorders via ADC Electromagnetic Radiation」は、オフラインの隠しボイスレコーダーを検出するシステムを提案した研究報告だ。ボイスレコーダーから放出される電磁波を記録装置で捉え解析する方法で、ボイスレコーダーの存在を判別する。 不正な音声録音は、企業秘密や個人のプライバシーを脅かす脅威の一つとなっている。技術進歩によりボイスレコーダーは小型化され、発見が困難になっている。中には、
国立天文台などが参加する国際プロジェクトで南米のチリに建設された世界屈指の性能を誇る電波望遠鏡のシステムが先月、サイバー攻撃を受け、およそ1か月たった現在も観測できない状態が続いていることが分かりました。 国際プロジェクトに参加している国立天文台によりますとサイバー攻撃を受けたのは、南米のチリにある電波望遠鏡「アルマ」の運用などに使われているシステムで、先月29日に異常が確認されてから観測ができない状態が続いているということです。 「アルマ」は宇宙からの微弱な電波を捉えてさまざまな天体現象に迫ろうと欧米や日本などが協力して建設し、2011年から観測を始めた世界屈指の性能を誇る電波望遠鏡で、これまでもブラックホールに関する観測など重要な発見に貢献しています。 「アルマ」では年内の観測再開を目指しているということで、国立天文台の齋藤正雄副台長は「サイバー攻撃を受けたことは大変驚いています。観測
マイクロソフトは2022年11月4日に「Microsoft Digital Defense Report 2022」（https://www.microsoft.com/en-us/security/business/microsoft-digital-defense-report-2022）を公開し、11月7日には抄訳の日本語訳の「独裁的指導者の攻撃性の増加に伴い、国家支援型のサイバー攻撃がより大胆に」（https://news.microsoft.com/ja-jp/2022/11/07/221107-microsoft-digital-defense-report-2022-ukraine/）を公開した。2022年に起こった主要なサイバーセキュリティ5つのポイントについてまとめている。 ピックアップされた5つのポイント ・サイバー犯罪の状況（The State of Cybercri
セキュリティ相談を受けたときに引用したい記事・ニュース集・事例集 これは何？ セキュリティ相談受けた際、過去のインシデントや事例などを引用して、「その対策必要なの？」というい疑問への説得力を持たせたりすることがあります。 が、その場で思い出せることは稀です。よく引用できていますが、「どっかにあった気がするんだけどな〜」と思って思い出せないことが7割くらいな気がします。 そんなことがないように、ここにまとめていきます。 いつかまとめたいと思っていたんですが、すぐ思い出せないので永遠に先延ばしにしていたので、未完成のまま公開します。 少しずつ思い出す度に増やします。 BetterThanNothingの精神です。 参考: https://www.youtube.com/watch?v=bnfPUrJQh1I 事例集 各種プロダクトのセキュリティガイドラインなど メルカリさんのgithub ac
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 カナダのUniversity of Waterlooと米University of Illinois Urbana-Champaignによる研究チームが発表した「Non-cooperative wi-fi localization & its privacy implications」は、上空のドローンからWi-Fiを利用して壁越しに屋内を攻撃する手法を提案した研究報告だ。建物の近くを飛行し、住民のWi-Fiネットワークを利用して、数分のうちに建物内の全てのWi-Fi対応機器を識別して位置を特定することができるという。 「Wi-Peep」と呼ぶ今回のプライバシー攻撃は、家の上空にドローンを
端末をロックするPINや指紋認証をすべて回避し、内部のデータにアクセスできる脆弱(ぜいじゃく)性がGoogle Pixelにあったことが報告されました。このバグは2022年11月5日に配信されたセキュリティアップデートで修正されたばかりでした。 Accidental $70k Google Pixel Lock Screen Bypass - bugs.xdavidhu.me https://bugs.xdavidhu.me/google/2022/11/10/accidental-70k-google-pixel-lock-screen-bypass/ セキュリティ研究者のデビット・シュッツ氏は、このバグを修正の5カ月以上前に発見していました。バグの存在により、悪意のある攻撃者が端末のロックを解除できる危険性がありましたが、セキュリティアップデートにより修正されました。ロック解除にはSI
この度、ソフトウェア開発のプラットフォームである「GitHub」上で、当社グループ（グループ会社のP2C Studio株式会社、UUUM GOLF株式会社、NUNW株式会社、LiTMUS株式会社を含む、以下当社）の管理下全てのソースコードを取得可能な認証キーが公開状態にあり、ソースコードに含まれるデータベースへのアクセスキーを利用することでデータベースに保存されている個人情報へアクセスできる状態であったことが判明致しました。 当社のサービスをご利用されているお客様をはじめ、関係者の皆様に多大なるご迷惑とご心配をおかけする事態となりましたことを深くお詫び申し上げます。 今回の事象について、2022年10月25日付で個人情報保護委員会への報告を行った上で、個人情報へのアクセス有無について社内および外部機関による調査を進めてまいりましたが、アクセス履歴は確認されませんでした。 1. 経緯と対応
Microsoftが中国で制定された2021年の法律によって、中国のサイバー攻撃の能力が向上したと指摘しています。 China likely is stockpiling vulnerabilities, says Microsoft • The Register https://www.theregister.com/2022/11/07/china_stockpiles_vulnerabilities_microsoft_asserts/ 中国政府が制定した2021年の法律では、企業がセキュリティー上の脆弱(ぜいじゃく)性を公表する前に地元当局に報告することが義務づけられました。一方でこの法律では政府が現地の報告を利用することで脆弱性に関する情報をため込むことができるとされています。 2022年には、アトランティック・カウンシルの研究者が、中国から報告される脆弱性の減少と匿名の報告の増
OpenSSLに重大度「CRITICAL(致命的)」の脆弱(ぜいじゃく)性が発見されました。脆弱性への対応は迅速に行われており、日本時間の2022年11月1日22時～2022年11月2日4時の間に修正版の「OpenSSL 3.0.7」が公開予定です。OpenSSLに重大度「CRITICAL」の脆弱性が発見されたのは、2014年に報告されて世界中を騒がせた「Heartbleed」に続いて史上2回目。修正版のリリース後には、速やかにアップデートを適用する必要があります。【2022年11月2日追記】その後の分析の結果、OpenSSL 3.0.7で修正された脆弱性の重大度は「HIGH(CRITICALの1段階下)」に修正されました。 Forthcoming OpenSSL Releases https://mta.openssl.org/pipermail/openssl-announce/202
Googleは独自のルールに従って検索結果の表示順位を決めていますが、Googleの広告枠を購入すれば任意のウェブサイトを検索結果の最上部に表示することができます。この広告枠を悪用して人気画像処理ソフト「GIMP」の公式サイトになりすました偽サイトが検索結果の最上部に表示されてしまう事態が発生しました。偽サイトはドメインの見た目までソックリで、インターネットに慣れている人でも見分けることは困難となっています。 Dangerous Google Ad Disguising Itself as www.gimp.org : GIMP https://www.reddit.com/r/GIMP/comments/ygbr4o/dangerous_google_ad_disguising_itself_as/ Dangerous Google Ad Disguising Itself as www
ゼロトラストアーキテクチャ 適用方針 2022 年（令和 4 年）6 月 30 日 デジタル庁 〔標準ガイドライン群ＩＤ〕 DS-210 〔キーワード〕 ゼロトラスト、ゼロトラストアーキテクチャ、 〔概要〕 政府情報システムのシステム方式について、より堅牢なシステム構築の観 点からゼロトラストアーキテクチャの適用方針を示す。 改定履歴 改定年月日 改定箇所 改定内容 2022年6月30日 初版決定 i 目次 １ はじめに ......................................................... 1 １.１ 背景と目的 .................................................. 1 １.２ 適用対象 .................................................... 1
イスラム国家であるイランで、22歳の女性であるマハサ・アミニさんが「イスラム教で定められているヒジャブを着用せずに髪や頭を露出した」として警察に撲殺された事件を受けて大規模なデモが起こり、反政府を訴える声が大きくなりつつあります。そんなイランの原子力機関の電子メールサーバーがハッキンググループによって攻撃され、発電所の建設計画や契約書類を含む50GBのファイルが流出したと報じられています。 Iran releases footage from prison fire, adding to mystery | AP News https://apnews.com/article/iran-technology-dubai-middle-east-business-944d99079fca61439d64054db6bde941 アミニさんの事件を受けて、イランの首都・テヘランでは大規模な反政
ウクライナの治安機関「ウクライナ保安庁」（ＳＢＵ）は２３日、ロシアに軍事装備を違法に供給したとして、ウクライナの世界的航空エンジン企業「モトール・シーチ」トップのボグスラエフ氏と同社幹部を反逆罪で拘束したと発表した。ウクライナメディアが伝えた。 ＳＢＵによると、ボグスラエフ氏らは露国営軍事企業と共謀し、「東アジアや中東、欧州に供給する」との名目で、モトール・シーチの戦闘ヘリ用エンジンを輸出。しかし実際は、エンジンは露軍に供給されていたという。 モトール・シーチを巡っては、５０％を超す株式が中国企業に取得されていたことが２０２０年までに発覚。中国による軍事技術の取得を警戒する米国は中国企業に制裁を発動した。ウクライナも昨年３月、中国による買収を阻止するため、モトール・シーチの国有化を決定した。
Microsoftのクラウド用オブジェクトストレージサービスであるAzure Blob Storageの構成に設定ミスが存在し、合計2.4TBに及ぶMicrosoftの顧客の機密データが公開状態となっていたことが判明しました。問題を発見したセキュリティ企業のSOCRadarによると、公開されていたデータにはユーザー情報や業務に関するファイルが含まれており、111カ国の6万5000もの企業が影響を受けたとのことです。 Sensitive Data of 65,000+ Entities in 111 Countries Leaked due to a Single Misconfigured Data Bucket https://socradar.io/sensitive-data-of-65000-entities-in-111-countries-leaked-due-to-a-sin
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
