11月第2回号)2022-11-29株式会社サイバープロテックのサイバーセキュリティアカデミー(サイアカ)より、サイバーセキュリティに関する最近のインシデントや最新の動向などの情報をシェアする目的で毎月2回程度ニュースレターを発信させていただきます。今回が11月第2回目のニュースレターとなります。UUUMグループ管理下の全ソースコードを取得可能な認証キーがGitHubで公開状態にUUUM株式会社は11月10日、同社グループの管理下全てのソースコードを取得可能な認証キーがGitHubで公開状態であったと発表した。認証キーを利用することで第三者がGitHub上にある非公開を含む全てのソースコードの取得が可能で、かつソースコードにあるアクセスキーを使いデータベースへアクセスすることで個人情報の閲覧・取得ができる状態であったという。同社では、開発組織内でのGitHubの認証キーの不適切な取り扱いがあり、強力な権限を持つキーを本番サーバーにアップロードしたことが原因としている。詳しくは:UUUMニュースリリース注目ポイント:GitHub起点の情報流出は枚挙に暇がないが、原因は往々にして利用方法をよく分からず使っていることである。GitHubは便利なリポジトリツールであるが、インターネット上に機密情報を置くことに対する危機意識を持って、利用方法を策定して欲しい。埼玉大学でドッペルゲンガードメイン「@gmai.com」に自動転送、約10ヶ月間続く埼玉大学は11月18日、メール転送先ミスによる情報漏えいについて発表した。ドッペルゲンガードメインと呼ばれる「@gmai.com」は、転送先のメールアドレスが存在しない場合もエラー等を返さずにメールを全て受信するため、メール転送先のミスに気付かず、2022年3月3日になって発覚した。「@gmai.com」宛に転送されたメールは4,890件。埼玉大学は今後、対策として電子メールの運用方法の見直しや、注意喚起を行い、再発防止の処置を講じていくとしている。この誤送信メールを原因とした悪用などの事実は、現時点で確認されていないという。注目ポイント:有名なドメイン名に対して入力ミスをしやすいドメイン名を取得して情報流出を狙う古くから存在する攻撃手法である。反面教師として読者の皆様にもミスが無いか再確認をして欲しい。おける3つの脆弱性について発表した。いずれも「Severity」が「High」。ソフトウェアをダウンロードするよう呼びかけている。HP注目ポイント:ビデオ会議の脆弱性は機密情報の流出とダイレクトにかかわるため早急なアップデートを推奨する。Chrome」の安定(Stable)版をアップデートした。今回のリリースは、1件の脆弱性に対処したセキュリティアップデート。GPUにおけるヒープオーバーフローの欠陥(CVE-2022-4135)が対処されている。深刻度は「High」。エクスプロイト(脆弱性を利用した不正なプログラム)が確認されており、早急な対応が必要だ。Chromeアプリがインストールされている場合は自動で更新されるが、設定画面(chrome://settings/help)にアクセスすれば手動でアップデートすることもできる。ウクライナの組織を標的ロシアの国家グループSandwormがRansomBoggsと呼ばれるランサムウェアを悪用し、ウクライナを攻撃している。Sandwormは長年に亘り、各国重要インフラを攻撃してきた実績を持っており、2017年6月から数十億円の被害をもたらしたNotPetyaランサムウェアを開発したのは同グループ。新たなランサムウェアRansomBoggsはPowerShellを使用してマルウェアを配布するという。ランサムウェアの感染がウクライナの重要インフラで拡大すれば、国民生活への深刻な被害が広がる恐れがあり、予断を許さない状況だ。News注目ポイント:近年の戦争は陸海空に加えてサイバーにも広がっており、平時のセキュリティ対策が有事の防衛力に繋がることを念頭に置いておきたい。最後までお読みいただき、有難うございます。