2026.09.19（土）
- 注目検索ワード
毎年 Black Hat カンファレンス会場で開催されている、この Pwnie 賞の式典は、情報セキュリティの分野の「最高」と「最悪」とを発表するものだ。
どこかから流出したIDとパスワードを使った攻撃が後を絶たないけど、今度はじゃらんnetが被害に遭って、2万8000人分の名前や住所、ホテルの予約履歴などが流出したみたいなんだにゃー。
さらに研究者たちは、こういったデバイスにおける日常的な活動（たとえば充電などの行為）が行われる際、どの程度セキュリティの脅威が考慮されるのかを調査するため、「Mactans」と呼ばれる「悪意ある充電器」を作成した。
![[DEFCON21]ハッキング競技で日本人チームが6位の快挙 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/6565.jpg)
米ラスベガスで8月1日～4日に開催された世界最大のセキュリティ会議「DEFCON21」が行われた。
その後、これらの脆弱性にはパッチが適用されてきた。しかし研究者たちは、「構造物としてのフェムトセル」の今後の健全性について自信を持っていない。なぜなら、このハードウェアはベンダーによって完全にロックダウンすることができない。
デジタルライフ・スタイル調査（エフセキュアブログ）他
去る 2010 年、ATM のセキュリティ欠陥を強調するために、Jack はステージ上でキャッシュマシンを「ジャックポットする」技術を生で実演した――以下のビデオで見られるように。
なりすまし利用など、第三者による不正なIP電話利用等に関して（TCAほか）他
そのマルウェアが、自動マルウェア生成キットの一つから生み出されたものではなく、プログラマーの団体が連絡先の詳細を収集する目的で特別に書いたものであることが次第に明らかになった、と Thakur は語っている。
スマホ狙うワンクリック詐欺業者、トラフィックエクスチェンジサービス悪用（マカフィー：ブログ）他
SIM から秘密鍵を得ることは容易ではない――しかし計算能力の増加と貧弱な実装の状況との結合が、最初の欠陥を生んだ。この欠陥は、ネットワークオペレータと SIM だけが知っているものでなければならない秘密鍵を暴く。
Black Hat: 新しいマルウェア自動検出システムの詳細を研究者が発表（シマンテック：ブログ）他
夏休み中に海外へ渡航する人も多いだろう。厚生労働省や外務省では、海外での感染症予防について注意を呼びかけている。渡航先の感染症発生状況を事前にチェックし、適切な感染予防が重要だ。
DNSサーバーアプリケーションの「BIND 9」にDoS攻撃を受ける脆弱性が見つかったんだにゃー。リソースレコードのRDATA部分の取り扱いに問題があって、DNS問い合わせによって異常終了するんだにゃー。夏恒例のBINDの脆弱性なんだにゃー。
「この決定は、当社のネットワークセキュリティの機密性（それは上告手続きの過程において開示を求められる）を守るという我々の方針を反映したものだ」。ソニーのスポークスマンは BBC に語った。「我々は本案の判決とは意見を異にしつづける所存である」
![[DEFCON21] 如何にしてミニクーパーをハッキングするか ～ 自動車のCANメッセージのリバースエンジニアリング 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/6506.jpg)
iSecのセキュリティ研究者 Jason Staggs 氏は「DEFCON21」において、自動車を制御するCANネットワークのメッセージを解析することにより、ブレーキシステムやエンジン制御ユニットなどを不正に操作することを2003年型のミニクーパーを使用して検証したと発表した。
8月の呼びかけ「全てのインターネットサービスで異なるパスワードを！」（IPA）他
![[BlackHat2013] RFIDを3フィート離れた距離からハッキング 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/6466.jpg)
米ラスベガスで開催された「BlackHat2013」で、Bishop Fox のセキュリティ研究者 Francis Brown 氏は RFID を3フィート（約90cm）離れた距離から読み取るデモを実演した。
この厄介者は、サードパーティ製のコマンドライン・ユーティリティ SoX を利用し、感染させたコンピュータのオーディオを録音し、スクリーンショットをキャプチャするために設計されている。
各種相談の件数や傾向を更新（国民生活センター）他
この脆弱性が Android 1.6 (Donut) から存在するものであり、また、この脆弱性にパッチをあてている機種が Samsung Galaxy S4 のみであるため、ほぼ全ての Android デバイスが危機に晒されている状態だと Trend Micro は警告している。
情報収集するファイル感染型ウイルス「PE_EXPIRO」への対策とは（トレンドマイクロ：ブログ）他
「50 セント軍団」――1 回あたり 50 セント相当の報酬で、中国当局に対し肯定的なコメントを投稿することに同意しているネット市民たち――の存在は、ここ数年で知られるものとなった。
「家庭情報利活用のフレームワーク検討報告」を公開（JIPDEC）他
その研究は Chrome と Firefox における 2500 万件の警告の効果を収集した。慧眼の The Register 読者は、上記の表が「Chrome ユーザーの大半が警告を無視」という結果をも示唆していると、おそらく気づいただろう。
「サイバー情報共有イニシアティブ（J-CSIP）運用状況[2013年4月～6月]」（IPA）他
7月24日には大手ISP、OCNのIDサーバーに不正アクセスがあり、最大約400万のOCNのIDとして使うメールアドレスと、暗号化されたパスワードが流出した可能性があるんだって。今のところは被害は確認されてないんだにゃー。
当然のことながら、「違法プログラムをコード化するために利用することができるというだけの理由で、この興味深い数字そのものが違法となるのかどうか」という疑問がある。
Windows XPのサポート終了への対応（エフセキュアブログ）他
更新情報：エクスプロイトキット「Styx」の関与が判明（トレンドマイクロ：ブログ）他
この攻撃は、ASEANの加盟国で商業や貿易に関連付けられている個人と団体をターゲットとしているようだ。「マルウェアが仕掛けられたドキュメントファイルの一つは、US と ASEAN におけるビジネス評議会の内部メモだった」「ASEAN の誰もが攻撃対象だった」
Apache Struts2に任意のJavaコードが実行される脆弱性に関する検証レポート（NTTデータ先端技術）他
このキーを手に入れたなら、第 2 のテキストメッセージが、目標の携帯電話を完全に乗っ取るソフトウェア――そこには盗聴やなりすまし攻撃を行うものが含まれる――をインストールする。
ここで提案されているサイバー法案は、昨年のオバマ大統領による大統領命令（水道、その他の重大なインフラをハッカーから守るガイドラインの開発を、連邦機関に命じた）に続くものだ。
2013年6月25日に発生したサイバーテロの分析レポート（2）（アンラボ：ブログ）他
7月16日にWebアプリケーションフレームワーク「Struts2」の脆弱性が公開されたんだにゃー。外部から任意のJavaコードが実行されるんだって。脆弱性を修正したバージョン2.3.15.1が公開されているので、早めにアップデートした方がいいと思うんだにゃー。
その仕事は 2010 年 11 月、Skype へ PRISM を統合させることから始まったと彼らは主張している――それは、同社に対して米国司法長官から公式命令が出される 3 ヶ月前のことだった。
音楽ファイルの不正アップロードを行なった25名の情報開示請求を実施（RIAJ）他
「Oracle Outside In」のバッファオーバーフローの脆弱性対策について（IPA）他
HP では現在セキュリティアドバイザリを発表しており、それは以下のような文章で始まっている：「この脆弱性は、デバイスへの不正なアクセスを遠隔的に得る目的で悪用される可能性がある。
EMBASSY Remote Administration ServerにSQLインジェクションの脆弱性（JVN）他
Tempora プログラムは、FBI、NSA のものと同様に無差別的な走査だと主張されている。300 人の GCHQ スタッフと 250 人の NSA の研究者が、英国と世界を結ぶ光ファイバケーブルを介して膨大な量のプライベートな通信を読み漁っている、と Guardian は伝えている。
遠隔操作ウイルス事件に関連して、共同通信社と朝日新聞社の記者が「真犯人」と名乗る人物のメールサーバーに不正アクセスを行ったのが明らかになっていたけれど、結局起訴猶予ということでおとがめなしになったんだにゃー。
彼の家族によって準備されたオンライン嘆願書（事件の再考を要求するもの）は、これまで 90,000 件以上の署名を集めている。しかしテキサスの裁判官は現在のところ再考する兆候を示していない。
脆弱性検証結果：JREの脆弱性（FFRI）他
近年のソウルが受けているオンライン攻撃は、ますます頻繁かつ深刻なものとなっている。防御大臣の Kim Kwan-jin は先月、「北の隣国」に高度な訓練を受けた 3,000 人強のハッカー部隊がいると主張した。
サイバー犯罪対策「夏休み特集」（警察庁）他
「残念ながら、ほとんどの場合、逮捕される人々はボットマスターでも首謀者でもなくマネーミュールであり、彼らは犯罪に関わっていることにさえ気づいていない場合もある」
夏公開の超大作映画に便乗するサイバー犯罪者（トレンドマイクロ：ブログ）他
Brown は、PwC 内部のコンピュータネットワークにアクセスし、2010 年以前の会計年度におけるロムニーと彼の妻の納税務書類を盗んだという虚偽の主張をすることによって、会計会社、その他から金銭を騙し取る計画を考案した。
（トレンドマイクロ：ブログ）他
「我々は、第 2 の嫌疑のかかった脆弱性（CVE-2013-3926 と指定された脆弱性）の存在を立証できなかった。このレポートの著者は、これまで Atlassian に接触しておらず、この主張の検証を困難にしている」
Trojan-Downloader.JS.Iframe.degにご注意（カスペルスキー）他
マルウェア感染などを狙ったWebサイトの攻撃が7月になっても収まらないようで、新たにさまざまなサイトが改ざんされているよ。だからIPAが2度目の改ざんに対する注意を呼び掛けているんだにゃー。
ICS-CERT へ報告された 2012 年全体のインシデントが 198 件であったことと比較すると、この 6 か月で 200 件を超える報告数は、インシデントが劇的に増加していることを示している。
6月のIPAの活動（2013年6月）（IPA）他
その 63 歳の元将軍は、漏えい事件にまつわる調査（オバマ政権によるもの）の渦中にいる最新の公人だ。この調査においては、すでに 8 人の人々が諜報活動取締法（Espionage Act）の下で起訴、あるいは告発されている。
「ネット選挙の不審なメール受付サイト（投げ込み箱）」開設（JNSA）他
この進行中のプロジェクトは、数ヶ月に渡って運用されてきた。しかし、ここ数週間の出来事、NSA と GCHQ による制御不能のインターネット監視に関する暴露情報によって、プロジェクトの全てに再出発の機会が与えられた。
Monthly Research 「機械学習のセキュリティ技術応用」（FFRI：ブログ）他
しかし現在のところ、彼は香港にとどまるだけで満足しているように見える。彼はシスアドとして働いている一方で、NSA のネットワークから抜き取った最高機密のメモを公開し、ガーディアンと共に働き続けている。
今月の呼びかけ「止まらないウェブ改ざん！」（IPA）他
しかし、その発見は「モラルの問題」としてハッカーが責任を持って開示すべきであると反対派は示唆している。その一方で、ソフトウェアの欠陥に関しては、活発な闇市場（とりわけゼロデイ脆弱性を対象としたもの）が存在している。
