2026.10.06（火）
- 注目検索ワード
2020 年 12 月に、Microsoft Windows で管理者権限で任意のファイルが作成可能となる脆弱性が報告されています。
先週の終わりを画したのは、敬愛すべき情報セキュリティメーリングリストの Bugtraq が月末に閉鎖されるというニュースだった。
民主主義統治への擾乱を助長する組織に対して距離を置くことを決めた IT 企業の列に、Amazon、Twitter、Facebook に続いてクラウド CRM（顧客管理システム）最大手の Salesforce が新たに加わった。
Microsoft OS の遠隔管理ツールである Sysinternals Suite の PsExec に、SYSTEM 権限の奪取が可能となる手法が公開されています。
Check Point社の一部顧客が頭の痛い正月を迎えたのは、二日酔いのせいだけではなかったようだ。パッチの適用が遅れたために、中にはシステムが操作不能のままとなったり修正が困難な状況が続いているケースもある。
![2020 総括／SolarWinds 介しサプライチェーン攻撃／不完全パッチによる残留 0day 公開 ほか [Scan PREMIUM Monthly Executive Summary] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/33082.jpg)
2020 年最後の月は、インシデントが多く報じられました。まず、米国政府
機関などへの SolarWinds 社製品を介したサプライチェーン攻撃は、米国土安
全保障省（ DHS ）が緊急指令を発出するなど、世界的な注目を集めました。
株式会社ディアイティの青嶋信仁氏の講演（CODEBLUE2019＠TOKYO）をもとに、インシデント対応における情報公開と謝罪会見・記者発表の注意点をまとめてみたい。
2020 年 11 月に Apache 財団のソフトウェア Apache Unomi に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。
今月（編集部註：2020年11月）、さまざまな暗号通貨関連の Web サイトに向かうトラフィックやメールを悪党がハイジャックしてしまった。GoDaddy の従業員をまんまとひっかけることで。
Ticketmaster は、同社ネットワークのカードスキミング・マルウェア感染について、ICO の課したデータ漏えいに対する 1,250,000 ポンドの罰金に関して一切の責任がないと主張している。The Register 誌の入手した往復書簡の内容から明らかになった。
サイバーセキュリティパラサイト（寄生虫）。攻撃機能の全部または一部を宿主（感染 PC ）が持つ機能でまかなうマルウェアだ。一般的なマルウェアはエクスプロイトやダウンローダーなどの攻撃機能を自前で持つが、そうではないマルウェアを研究している研究者たちがいる。
独占記事
![カナダ版「 セキュリティ１０大脅威」 ／ ワーム化可能 iOS 脆弱性 ／ 認証情報４２億件 配布中 ほか [Scan PREMIUM Monthly Executive Summary] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/32880.jpg)
11 月は日本でのインシデント報告も散見され、特定国からのサイバー攻撃が活気付いている印象がありました。特に、IT サービスプロバイダーを介したサイバー攻撃は、諸外国を含め流行しており、組織規模は関係なく警戒が必要です。
2020 年 4 月に報告された、GitLab における任意のファイル読み取りの脆弱性に対するエクスプロイトコードが、2020 年 11 月に公開されています。
アダルトコンテンツを AI で生成するために必要な機械学習モデルによく使われる訓練用データセットには、性的虐待で告発されているアダルト動画制作会社が撮影したヌード画像がしばしば含まれている。
昇給を見送られた仕返しにブリティッシュ・ビジネス・バンクのシステムを改ざんしたエセックスの IT ワーカーの裁判が閉廷した。
わかりやすく言えば、従来型の物理的な紛争において学校や病院への空爆を野蛮な行為と見なすような、サイバー空間における協定や基準である。
Microsoft Windows OS において、ユーザアカウント制御 (UAC) による制限を回避することが可能となる新たな手法が公開されています。
中小企業セキュリティについて、Interop Tokyo 2020においてベンダーや商工会議所の担当者によるセッションが行われた。
2020 年 10 月に、Oracle 社が提供する Java アプリケーションサーバ製品である WebLogic Server に、任意のコード実行につながる脆弱性が報告されています。
あるイギリス人男性が、数百名もの女性のノートパソコンに Web カメラ監視用のマルウェアを仕込んで脱衣や性行為を覗き見した罪で起訴され、アメリカ合衆国への身柄の引き渡しの回避を試みていると報道されている。
![日本企業台湾現地法人に２重恐喝ランサムウェア／北朝鮮の多次元ＡＰＴ攻撃／ＦＢＩが中国人スパイ実録風動画公開 ほか [Scan PREMIUM Monthly Executive Summary] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/32622.png)
何かと諜報活動に利用されている印象のある Linkedin ですが、在宅勤務者の増加で、悪用リスクはこれまで以上に増大するのではないでしょうか。副業を認める企業も増加傾向にあると言われています。これまで以上にターゲットへ接近しやすくなることは想像がつきます。
2019年に発見されたEXODUSはアンダーグラウンドのハッカーではなく、イタリアのセキュリティベンダーによって開発されたとされる。EXODUSを発見し調査を行った研究者のレポートをもとに、このマルウェアの背景などをまとめたい。
Microsoft Windows OS において、ユーザアカウント制御 (UAC) による制限を回避することが可能となる新たな手法が公開されています。
後編では、これからも長い付き合いになりそうなパスワードの、不都合な真実って奴に突っ込んで、真実を暴きます。そしてもちろん言いっぱなしにはしません。何が何故、残念で、どうすればいいかを説明します。
2020 年 7 月に、UNIX 系 OS である FreeBSD に、管理者権限の奪取が可能となる脆弱性が報告されています。
マイクロソフトのGitホスティングサービス「GitHub」の競合サービスである「GitLab」が顧客のホストするソフトウェアプロジェクトのセキュリティについて2回目のテストを実施、そして不備を発見した。
![日本トップ１０入り、ハーバード大学 世界各国のサイバーパワーをランク付け ほか [Scan PREMIUM Monthly Executive Summary] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/32337.png)
測定結果の内容については賛否両論あるかと思いますが、日本のトップ 10 へのランクインは思いのほか高評価です。測定項目は「Surveillance」「Defense」「Information Control」「Intelligence」「Commercial」「Offense」「Norms」の 7 つです。
東京証券取引所（東証）は、木曜日の大半がオフラインとなり、これまでで最長の停止となった。
2020 年 8 月に、WordPress のプラグインである File Manager に、遠隔から任意のファイルがアップロード可能となる脆弱性が報告されています。
Interop2020で、ATT&CKフレームワークの概要とこれを2015年の年金機構のインシデント（124万件以上の個人情報が流出したとされる）にあてはめるとどうなるかを考察したセッションが行われた。その内容を紹介する。
前回の大統領選挙ではクリントン陣営にロシアからの選挙介入があったとされ、今回の選挙でも他国からの介入や選挙妨害が予想されている。しかし、選挙へのサイバー攻撃の狙いは、特定候補や政党を当選させる工作だけではないという。
専門は機械学習であるバス氏は、ネットフリックスのドラマにも触発され、バーチャル空間に自分の人格を学習させた疑似人格を生成する実験を始めたという。
スタンフォード大学インターネット観測所は、TwitterやFacebook他のアカウントを数万から数百万、プロフィールを含め解析し、とくに中国とロシアの世論操作（Hacking Public Opinion）の手法を研究した。その内容がBlackHat USA 2020の基調講演で発表された。
2020 年 6 月に、Microsoft Windows で管理者権限の奪取が可能となる脆弱性が報告されています。
![パッチリリースから１ヶ月後適用でも侵害ケース有り、調査も併せて実施推奨 ほか [Scan PREMIUM Monthly Executive Summary] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/32080.jpg)
インシデントは、Maze ランサムウェアの被害が話題となりました。業務関連データの暗号化に加え、社外秘情報などの一般公開は、新型コロナウイルスの売上減への更なる追い討ちとなりかねません。
2020 年 8 月に、Microsoft Windows で管理者権限の奪取が可能となる脆弱性が報告されています。
今回のコラムでは、社内のOAの一般利用者のパスワードを想定することにした。ＩＤの持ち主はIT音痴なオッサンや、スマホしか使ったことのない新入社員も含める。企業のセキュリティ管理者の悩みどころだ。
サイバーセキュリティのトレーニング機関 SANS Institute の職員の電子メールアカウントが不正アクセスされ 28,000 件の個人情報が失われた。
民主主義的価値は『超限戦』と相容れないため、捨てることを余儀なくされる。実際、フェイスブックグループはその方向で事業展開しているとしか思えない。
作家・評論家の一田和樹氏に、今年復刊されたサイバーセキュリティ分野の超重要書のレビューを依頼し快諾をいただきました。本稿前編を終戦記念日を目前に控える今週配信します。
Web アプリケーションフレームワークである Rails に、遠隔から任意のコードを実行させることが可能となる脆弱性が報告されています。
![ホームルーター調査、127製品ほぼ全てに脆弱性／英・加、APT29 による攻撃報告 ほか [Scan PREMIUM Monthly Executive Summary] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/31879.png)
7 月は米国を中心に、中国やロシアによるサイバー攻撃のアドバイザリーが複数発表されました。
毎年「夏を告げる男」として鵜飼さんのインタビューを ScanNetSecurity に掲載しているのですが今年はいつもと違う夏になりました。
2020 年 7 月に Windows で管理者権限の奪取が可能となる脆弱性が報告されています。
人間はちっぽけな存在ではあるが、情報セキュリティ分野では AI より優れていると考えている。また、あえて現実世界に姿を現わしたり十分な陽光を浴びようとする人は少数だ。
2020 年 5 月に、Microsoft Windows で管理者権限の奪取が可能となる脆弱性が報告されています。
そう、営業トークに不安を煽られてはいけない。自分で考えるんだ。それは本当に必要な対策か？むしろ大事なことは、基本的な対策でありながら、多くの組織ではできていないここと、パッチ適用とパスワード管理問題だろう。
関東の自治体のサーバで使用されていた、ハードディスクの処分を請け負った企業の従業員が、私益のためにハードディスクを持ち出しネットで不正に転売していたことが 2019 年 12 月に明らかになった。
![NTTコミュニケーションズのインシデント、想起されるグループほか [Scan PREMIUM Monthly Executive Summary] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/31690.jpg)
6 月初旬は、5 月末に発表された NTTコミュニケーションズのインシデントの話題で持ちきりでした。
ガートナー社によると、新型コロナのパンデミック以前にビジネスを行うために構築された機械学習モデルは、経済がロックダウンから立ち直るにつれもはや有効ではなくなり、企業は機械学習と企業データ管理において新たな課題に直面することになるという。
ScanNetSecurity編集部は7月17日、同誌編集長上野宣の編集長就任10周年記念オンライン飲み会を開催する。7月13日(月)までWebフォームで参加申込を受け付けている。
2020 年 5 月に、Hewlett Packard 社の OSS である LinuxKI に遠隔コード実行につながる脆弱性が報告されています。
ニューヨーク市議会は圧倒的多数の賛成で警察に監視テクノロジーの使用報告を義務づける法案を可決した。
北朝鮮。インターネット接続の実態さえ不明な国だが、市販のアンチウイルスソフトが存在するという。北朝鮮製アンチウイルスソフト、およびその市場はどうなっているのだろうか。
不運な一人の情報システム担当者が、本人が断じて希望しない方法で、Have I Been Pwned サービス（ HIBP ）が彼の情報提供への依頼に回答したのを発見した ―― SQL 文を含む侵害報告メールが会社のヘルプデスクシステムをたたきのめした後で。
とある詐欺師が、メールで下請業者と小売店のスタッフを装い、2 つの企業を騙して 50 万ドルを超える金を払い込ませたことを認めた。
構成管理ツールである SaltStack Salt に、遠隔から任意のコード実行につながる脆弱性が報告されています。
![[ブラックマーケット最新価格一覧] ランサムウェア,ボットレンタル, 盗難アカウント,パスポート, 偽造処方箋, 性恐喝用偽造動画：各USドル表記 ～ コモディティと高級サービスの違い 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/31412.jpg)
犯罪をやってのけるのがこれほどリーズナブルになったことはない。質にこだわらなければだが。
![エアギャップ攻撃ツール Ramsay が日本で発見された可能性／北朝鮮による防衛・航空宇宙分野の攻撃増加 ほか [Scan PREMIUM Monthly Executive Summary] 画像](/imgs/p/WskKra9E7Ikkd0qzSpAbbW8JUgdCBQQDAgEA/31411.png)
エアギャップ環境に対応したスパイ活動ツールキット「 Ramsay 」が、日本国内で発見された可能性が報告されています。同ツールは、朝鮮半島を拠点とする Darkhotel が利用したとみられ、その対象とみられる政府関連機関やメディアは警戒が必要です。
2020 年 2 月に、Google Chrome の遠隔からの任意のコード実行につながる脆弱性が公開されています。
インドネシアがデジタルサービスに対する課税の詳細を発表し、7 月 1 日から 10 % の課税を開始すると明らかにした。
改めて敬意と喜びと誇り、そして今後の活躍への期待をこめて「また上野宣か」と申し上げます。
