デイリーブリーフィング
コムのメンバーが恐喝と性的脅迫の罪で刑務所に送られる
本日のブリーフィングでは、パスキーのセキュリティ脆弱性、LexisNexisサービスの障害、およびValveとSteamのハードウェア顧客に影響を与えるサプライチェーンの侵害について取り上げます。
5件のニュース読了時間 1分
本日は、認証とサプライチェーンの回復力が注目を集めています。セキュリティ研究者らは、パスキー保護を回避し、基盤となる暗号化技術を破ることなく同期された秘密鍵を抽出する新たな手法を実証しました。一方、サードパーティベンダーによるインシデントは引き続き大手企業に影響を与えており、LexisNexisはコアサービスの停止を余儀なくされ、ValveのSteamハードウェア事業では顧客データが侵害される事態が発生しました。
新たなパスキー攻撃により、同期された秘密鍵を復元したり、フィッシング対策済みの多要素認証を回避したりすることが可能になる。
研究者らは、同期された秘密鍵を復元したり、基盤となる暗号化を解読することなくフィッシング対策の多要素認証を回避したりする、パスキー実装に対する攻撃を明らかにした。この攻撃は、Windows Hello for BusinessやChromeのGoogleパスワードマネージャーに影響を与える。
- 重要な理由
- パスキーやWindows Hello for Businessを使用している組織は、エンドポイントやユーザーセッションが侵害された場合、MFAのバイパスやキーの復旧といった問題に直面する可能性があります。
コムのメンバーが恐喝と性的脅迫の罪で刑務所に送られる
子供やティーンエイジャーを標的としたオンラインサイバー犯罪集団「ザ・コム」のメンバーが、世界中で約120人の被害者に対する恐喝と性的脅迫の罪で、懲役2年の判決を受けた。
LexisNexis、サーバー上での不審な活動を受けてサービスを停止
LexisNexisは、社名非公開の第三者ホスティングベンダーが管理するサーバー上で異常なアクティビティを検出したため、Diligence、Metabase API、およびNewsdeskサービスを停止した。
- 重要な理由
- サードパーティベンダーのインシデントは、ホスト環境を侵害し、依存するビジネスアプリケーション全体で運用サービスの中断を引き起こす可能性があります。
Valve社がSteamハードウェアの顧客にデータ漏洩を通知
Valveは、物流・配送パートナーであるCEVA Logisticsへのサイバー攻撃により、ヨーロッパのSteamハードウェアユーザーのデータが盗まれたことを通知している。
- 重要な理由
- 第三者物流業者による情報漏洩は、顧客の注文情報や連絡先情報を流出させ、フィッシングや詐欺に対する脆弱性を高める。
10～50倍ものコード量で出荷？AIスピード開発のセキュリティ対策に関するウェビナーをご覧ください。
AIは開発チームがより多くのコードを、より速く作成するのに役立っている。
要点
- セキュリティ研究者らは、多要素認証を回避し、基盤となる暗号技術を破ることなく秘密鍵を復元するパスキー攻撃を実証した。
- LexisNexisは、第三者ベンダーのサーバー上で不審な活動が確認されたことを受け、Diligence、Metabase API、およびNewsdeskのサービスをオフラインにした。
- サイバー犯罪集団「ザ・コム」に関与していた人物が、約120人の被害者に対する恐喝と脅迫の罪で懲役2年の判決を受けた。