大手SIer所属。クラウドセキュリティソリューションの企画・導入・コンサルティングを担当。社会貢献の一環として国士舘大学 経営学部にて非常勤講師を兼務。受賞歴:アカマイ社 ゼロトラストセキュリティアワード、マカフィー社 CASBパートナーオブ・ザ・イヤー等。所有資格:CISM(公認情報セキュリティ管理者)、CISA（公認情報システム監査人）、CDPSE(公認データプライバシーソリューションエンジニア、AWS SA Pro、CCSK、個人情報保護監査人、シニアモバイルシステムコンサルタント。書籍:『ビッグデータ・アナリティクス時代の日本企業の挑戦』など著書多数。
記事一覧
ClubHouseの普及が招く闇。薬物売買や援助交際に利用されれば捜査が難航するリスクも。急速に広がりを見せるClubHouse。急速な普及の影響が社会に与える「負の側面」は無いのだろうか?警察組織等は薬物の売買や援助交際に用いられた場合の捜査方法を確立する必要があるだろう。
SMBCのソースコード流出で考える「自覚の無い情報漏洩」。企業が認識すべき新たなリスク。三井住友銀行が行内で利用していた業務システムのソースコードの一部が「GitHub」で公開されていたとして話題になっている。本件の背景にある「自覚の無い情報漏洩」は、企業が認識すべき新たなリスクだ。
東京商工リサーチ、「上場企業の個人情報漏えい・紛失事故」調査2020年版を発表。東京商工リサーチは「上場企業の個人情報漏えい・紛失事故」調査2020年版を発表した。従来オフィスの中で発生していたインシデントが減少し、不正アクセスやランサムウェア等の被害が増加している。
東京電機大学、Boxの設定ミスで学内システム情報等が誰でも参照可能な状態に。楽天のセールスフォースに関する情報漏えい等、日本国内でもクラウドサービスの「設定ミス」による意図せぬ情報漏えい事故が目立ってきている。東京電機大学でBoxの権限ミスが確認された。
「私はプロのプログラマー。貴方を監視している」、ビットコイン要求する詐欺メールに注意。ビットコインの価格上昇に伴い、ビットコインを要求する詐欺メールが増加している。「私は貴方を監視している」等と脅迫し、ビットコインの振り込みを要求する文面となっているがこれらは「詐欺」である。
ビットコイン価格急騰で警戒したい、クリプトジャッキング。無断でIaaS利用されていませんか?ビットコインのような暗号資産価値の上昇に比例し、他人のコンピューターを利用して暗号資産の発掘を試みるクリプトジャッキングという攻撃がある。被害を受ければ数百万円のIaaS利用料を請求されることもある。
コロナが拡げたセキュリテイ格差。2021年は対策の進んでいない企業が標的に。2020年、経済的に余力の有る企業は進化したサイバー攻撃に対応する投資を進め、余力のない企業は従来通りのセキュリティ対策で2021年を迎えることになった。ここに「セキュリティ格差」が産まれている。
Instagramのなりすましアカウントが急増中。資生堂、コクヨ等有名企業70社以上が被害に。日本企業のInstagramのなりすましアカウントが急増している。既に70社を超える国内企業がなりすまし被害にあっている。罠にかかるとクレジットカード情報等を盗まれるリスクがあるので注意しよう。
楽天の情報漏えい問題、2016年に行われたセールスフォースの仕様変更とは?楽天の情報漏えい問題で、一部報道で2016年に行われたセールスフォースの仕様変更が問題だったとの記載があった。では、具体的にどのような変更があったのだろうか?過去のリリースノートを調べてみた。
設定ミスによる情報漏えい発生。あなたはどちらの担当者タイプ?楽天、PayPayがSalesforceの設定ミスによって情報漏えいが発生した。ネット上では「利用者側も気をつけるべき」という声と「セールスフォースが悪い」とする声が見られた。あなたはどちらのタイプ?
楽天情報漏えい、SalesforceのExperience Cloudの設定不備が原因か?楽天の情報漏えいと同日に、Salesforce社が同社製品利用顧客による「設定ミス」が発生したことを発表した。クラウド利用の設定ミスによる情報漏えいが情報漏えいの要因として急浮上している。
年末年始に見直したいセキュリテイ:長期休暇前にセキュリテイ担当者が実施すべきこと。2020年はサイバー攻撃のレベルが数段向上した。セキュリテイ担当者不在の時期を狙って社内に潜伏していたマルウェアがこの時期を狙い活動を開始しない保証はない。休暇前に施しておくべきタスクをまとめた。
年末年始に見直したいセキュリテイ:安全なパスワードを作成する今年を振り返ると、ID/PWを不正利用するサイバー攻撃が増加した。このような状況でも「パスワードを使い回す」人は85%も存在する。年末年始で安全なパスワード管理を実践してみるのはいかがだろう。
サイバーパンクを装うランサムウェアが登場。違法ダウンロードは感染リスクを上昇させる人気ゲームのサイバーパンク2077を装ったAndroidランサムウェアの存在が確認された。違法にゲームをダウンロードする行為はマルウェア被害にあう確率が上昇する。
VPN製品に相次いだ脆弱性。脆弱性の悪用を許してしまった3つの問題点Fortinetの脆弱性を利用した不正アクセスは警察庁も被害にあったことから、大きく報道されることになった。脆弱性の悪用を許してしまった企業は3つの問題点を改善する必要があるだろう。
脱PPAP宣言から4日、行政機関で3件のメール誤送信発生。新型コロナウイルス感染者情報も誤送信デジタル改革担当相が11月26日にパスワード付きファイルとパスワードを同じ経路で送信する方法（いわゆるPPAP）を廃止。僅か4日で行政機関から3件ものメール誤送信の報告が発生した。
警察庁に不正アクセス。Fortinet製SSL-VPNの脆弱性CVE-2018-13379を悪用か?警察庁は27日、庁内の端末1台が外部から不正アクセスを受けていたと発表した。実はFortinet製SSL-VPNの脆弱性未対応な機器一覧の中に警察庁と思われるIPが含まれていた。
VMwareのゼロトラストソリューション WorkspaceOneにCVS9.1の脆弱性VMware提供のゼロトラストソリューション WorkspaceOneにCVS9.1の脆弱性が発見された。悪用されるとOSコマンドインジェクションが実行可能になり、無制限の権限でコマンドが実行出来る。
SpotifyのID/PWを含んだ72GBのDBが発見された。30～35万ユーザに影響か。vpnMentorの調査チームが、SpotifyのID/PWを含んだ72GBのDBがインターネット上に公開されているのを発見した。報告を受けたSpotifyは該当ユーザのパスワードリセットを開始した。
Fortinet製SSL-VPNの脆弱性にパッチ未適用のリスト約5万件が公開される。日本企業も含む。Fortinet製SSL-VPN用の脆弱性CVE-2018-13379に未だパッチが適用されていない機器のIPリストがサイバー攻撃者によって公開された。このリストには日本企業も含まれている。
CAPCOMを襲ったRagnar LockerはFBIも警戒する環境寄生型攻撃。対策が難しい現実。CAPCOMを襲ったRagnar LockerはFBIも警戒する環境寄生型攻撃。近年増えてきている攻撃手法であり、正規ツールを利用するためレガシーなマルウェア対策ツールでは検出が難しいとされている。
MS365のMFAが効かない基本認証。基本認証を無効化していないMS365が狙われている。三菱電機のMS365に不正アクセスが発生した。このニュースを見て「我社のMS365はMFAを利用しているから大丈夫」と思った人も少なくないだろう。しかし現実はMFAが効かないIMAP等が狙われている。
ランサムウェアの被害にあったら、身代金を支払うべきか?カプコンがランサムウェアの被害にあい「身代金」の要求を拒否した。国内でもランサムウェアの被害が拡大しており「身代金」の要求に応じるべきか悩む企業も少なくないだろう。身代金支払いは最終手段であるべきだ。
ランサムウェア被害企業に追い打ちをかける報道機関大手ゲーム会社がランサムウェアの被害にあい、一部の報道機関が犯罪組織がアップロードした情報を解析し、含まれていた情報について報道した。このような報道は被害にあった企業に追い打ちをかける行為である。
マカフィー、CASBにMITRE ATT&CKの実装を完了。CASB製品としては世界初の対応となる。マカフィーが提供するCASB、Mvision Cloudは5.2.1へのバージョンアップに伴い、MITREが開発したMITRE ATT&CKへの対応を完了した。CASB製品では世界初となる。
