ジャカルタ - カスペルスキーは、CAPTCHAを使用する新しいサイバー攻撃シナリオを特定しました。ユーザーがChromeまたはCAPTCHAエラーページのように見える隠された広告をクリックした後、偽のCAPTCHAページにリダイレクトされる場合。 「攻撃者は複数の広告スロットを購入し、ユーザーがこれらの広告を見てクリックすると、一般的な攻撃戦術である悪意のあるリソースにリダイレクトされます」と、KasperskyのセキュリティエキスパートであるVasily Kolesnikovは述べています。 ユーザーが偽のCAPTCHAをクリックすると、クリップボードのPowerShellコマンドは無意識のうちにアクティブになります。実行すると、このコマンドは、暗号ファイル、Cookie、パスワードデータを検索し、攻撃者の金銭的利益のためにeコマースサイトにアクセスするマルウェアをダウンロードします。

Tripwireはこのほど、「Surge in deepfake "Face Swap" attacks puts remote identity verification at risk｜Tripwire」において、ディープフェイクによる「顔交換」攻撃の急増について注意を呼びかけた。Microsoftが2月6日(米国時間)にAI(Artificial Intelligence)を活用したFace Check(顔認証)をEntra Verified IDに追加したと発表したばかりだが、生成AI技術が顔認証を突破するために悪用されている実態が浮き彫りとなっている。 Surge in deepfake "Face Swap" attacks puts remote identity verification at risk｜Tripwire 顔交換攻撃とは？ 一般的に顔認証ではライブネス検証が

もうそろそろAppleから新しい「iPhone」が発表されるとのことで、本コラムを読んでいる読者の方々は何となく心躍る時期になっているのではないでしょうか（「Android」派の方は、新しい「Google Pixel」に読み替えてください）。 私はガジェット好きで比較的買い換え間隔が短い方なので、今回も可能な限り早く新しい端末を手に入れたいと思っています。以前、お付き合いのある筆者さんが「新しいスマートフォンが発表されたら、サイズと容量が最も大きいものを選ぶので迷うことはないです」と言っていましたが、買い替える際、ふつうはいろいろと悩むものです。今回は個人的にぜひチェックしてほしい、スマートフォンの機能について取り上げたいと思います。 スマートフォンにもはや“必須”にすべき機能とは？ もはやスマートフォンはただの電話というよりも、生活する上で必須のデバイスになりました。今ではほとんど通話機

Googleは米国時間8月15日、量子耐性暗号の導入に向けて取り組む中、オープンソースのセキュリティキーファームウェア「OpenSK」の一部として、量子耐性FIDO2セキュリティキーの実装を公開したと発表した。 セキュリティキーは、コンピューターやスマートフォンに接続する小さなドングルで、アカウント認証のためのセキュリティの低いSMSメッセージに代わるものだ。 アカウントにログインして認証を求められた場合に、スマートフォンのテキストメッセージで受け取ったコードを入力する代わりに、セキュリティキーをタップするだけでログインできる。 しかし、量子コンピューターによって、現在は不可能と思われているワークロードが処理可能となる時代に突入しつつある中で、それが表す演算能力の急激な高まりに応じてセキュリティを強化する必要がある。 「量子攻撃はまだ遠い未来のことだが、インターネット規模で暗号化を導入する

Microsoft Entraが有する5つのソリューション 最近になって、Azureのポータルの「Azure Active Directory」ブレードや、Azure Active Directory（Azure AD）のドキュメントに、“Azure ADはMicrosoft Entraの一部”であるという表現を目にするようになりました（画面1）。Microsoft Entraについて何も知らなければ、いったい何のことなのか、何か変わるのかと思うに違いありません。 Microsoft Entraは、2022年5月末に発表され、一部プレビュー中のサービスも含みますが、一般提供されています。Microsoft Entraとは、現状、以下の5つのサービスからなる、製品ファミリーのことを指します（図1）。 Azure Active Directory（Azure AD）･･･ クラウドのIDとアク

米Twitterが2月に発表した、SMSを使った2要素認証をサブスクリプションサービス「Twitter Blue」ユーザー限定にする措置。同社は無料ユーザーに対し設定を削除するようにアプリ内で案内していたが、その期限が迫っている。 Twitterは設定を削除していない無料ユーザーに数日前から再び告知を始めている。3月19日までを期限としており、まだ設定解除していないユーザーは急いだほうが良いだろう。同社は「Twitterにアクセスできなくなることを防ぐために」と案内しており、おそらく再ログインする際にSMSで送られてくるはずのコードが受け取れず、ログインができなくなるものと思われる。 2要素認証を今後も使いたいなら認証アプリを使おう なお、認証アプリやセキュリティキーなど、SMS以外の2要素認証については引き続き対応しており、今後も無料アカウントで2要素認証を利用したい場合は、「Googl

Apple、Google、Microsoftという3大OSベンダーが揃ってサポートを表明している「パスキー（Passkeys）」。パスキーを使うことで、パスワードが不要になり、フィッシングや成りすまし、流出などのセキュリティ問題が一気に解決するほか、パスワードをメモしたり覚えたりする必要がなくなる。果たして、パスキーによってパスワード不要の世界はやってくるのだろうか。 パスキーでログインはこう変わる パスキーとは一体何か？　理屈や背景を説明する前に、デモサイトの「Passkeys.io」にアクセスしてみるのが分かりやすい。パスキーは生体認証とセットの技術なので、指紋認証機能を備えたPCや、指紋／顔認証を備えたiPhone、Androidなどでアクセスしてみよう。

Googleの各種サービスやYahoo! Japan、LINE、オンラインバンキング、オンラインショッピングなど、Webサービスの利用で頻繁に使うことになるパスワード。ログインしようとしている人が本人かどうかを認証するための仕組みとして使われているが、フィッシング詐欺やパスワードリスト攻撃など、犯罪者による攻撃が後を絶たず、個人情報や金銭が詐取される被害が頻発している。 そうした問題に対抗する技術として、パスワードを使わない認証技術「FIDO」を推進するFIDOアライアンスが、普及に向けた取り組みを加速している。FIDOアライアンスが主催するイベントに合わせて来日したエグゼクティブディレクター兼最高マーケティング責任者であるアンドリュー・シキア氏と、FIDOを推進するNTTドコモのチーフセキュリティアーキテクトである森山光一氏が、FIDOと新しいパスキーに関して説明。FIDOでは、「パスワ

Malwarebytesは9月22日(米国時間)、「Welcome to high tech hacking in 2022: Annoying users until they say yes」において、Uberがソーシャルエンジニアリングの斬新な手法を用いた攻撃者によって被害を受けたと伝えた。Uberに対して、多要素認証(MFA: Multi-Factor Authentication)疲労攻撃が行われたことが判明した。 Welcome to high tech hacking in 2022: Annoying users until they say yes 多要素認証疲労攻撃は、攻撃者がすでに被害者のログイン情報を持っていることが前提とされている。攻撃者が何度も被害者のアカウントへのログインを試み、被害者が使用している多要素認証用に設定したモバイル端末またはアプリに「サインインを

セキュリティ研究者でありMicrosoft技術に詳しいJeffrey Appel氏は2022年8月8日（現地時間）、自身のWebサイトのブログ記事において、二要素認証（2FA: Two-Factor Authentication）を含む多要素認証（MFA: Multi-Factor Authentication）を回避するサイバーセキュリティ攻撃「AiTM（Adversary-in-The-Middle）フィッシング攻撃」が今後長期にわたって継続する可能性があると伝えた。 多要素認証や二要素認証はセキュリティを強化する方法として強く推奨されることが多い。今後こうした状況が続けば、多要素認証や二要素認証を使っているからといって、これまでのように安心してはいられないといった状況が当たり前になる可能性がある。

侵入前提型防御も重要な今、なぜ「特権アクセス保護」（PAM：Privilege Access Management）が必要なのか：ゼロトラスト時代の特権IDの守り方（1） 古くて新しい「特権アクセス保護」（PAM：Privilege Access Management）について技術的内容を分かりやすく解説する連載。初回は、そもそも「特権」とは何か、特権の持つ特徴リスク、抱える課題などについて整理する。 本連載「ゼロトラスト時代の特権IDの守り方」では、古くて新しい「特権アクセス保護」（PAM：Privilege Access Management）について技術的内容を分かりやすく解説します。「そもそもPAMって何？」という方や、PAMについて検討し始めた方にはぴったりの内容です。 初回は、そもそも「特権」とは何か、特権の持つ特徴リスク、抱える課題などについて整理します。 そもそも「特権」と

Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 米プリンストン大学の研究チームが発表した「Password policies of most top websites fail to follow best practices」は、Webサイトで新しくパスワードを設定する際にユーザーが保護される仕様になっているかを調査し考察した論文だ。世界で最も人気のある英語圏のWebサイト120のパスワードポリシーを調査した。 結果は、120サイト中13％しかベストプラクティスではなかった。具体的には、75％のWebサイトが「abc123456」や「P@$$w0rd」のような最も推測されやすいパスワードの選択を許可しはじかなかった。 また45％が数字

MicrosoftがIDガバナンスを強化へ　セキュリティ新ブランド「Microsoft Entra」発表：マルチクラウドアクセスを想定、CIEMも提供 Microsoftは、ID管理とアクセス管理の新たな製品群「Microsoft Entra」を発表した。既存のAzureADに、新たにCIEMや分散型ID管理を加え、IDガバナンスソリューションとして統合する。

Microsoftは「Defender for Cloud」で「Google Cloud Platform」（GCP）をサポートする。これによって「Microsoft Azure」と「Amazon Web Services」（AWS）、GCPの3大パブリッククラウドサービスで同一のセキュリティ管理が可能になる。 クラウド業界では、各プロバイダーが「自分の城の安全を確保する」モデルを運用してきた。だがコロナ禍によってユーザー企業がマルチクラウドを余儀なくされるなどの理由から、このモデルは現実的ではなくなったとMicrosoftは主張する。 Microsoftと世論調査会社Harris Poll（Harris Insights and Analytics）の共同調査において、83％の企業が2022年の最も差し迫った問題としてマルチクラウド管理の複雑さを挙げた。 なぜMicrosoftがAWSと

Nuclei flaw allows signature bypass and code execution | SECURITY AFFAIRS MALWARE NEWSLETTER – ROUND 27 | Security Affairs newsletter Round 505 by Pierluigi Paganini – INTERNATIONAL EDITION | Malicious npm packages target Ethereum developers | US Treasury Department sanctioned Chinese cybersecurity firm linked to Flax Typhoon APT | FireScam Android info-stealing malware supports spyware capabiliti

ネットサービスのアカウントを作ろうとして、「セキュリティのために電話番号も入力してください」とのメッセージに遭遇したことがある人は多いはず。パスワードと電話番号に届いた認証コードの両方でログインする「2要素認証(2FA)」は強力なセキュリティとして重宝されていますが、ハッカーにとってはほとんど無意味だとセキュリティ企業が警鐘を鳴らしています。 Bypassing 2FA - Secret double octopus https://doubleoctopus.com/blog/threats-and-alerts/bypassing-2fa/ 企業向けのパスワードレス認証技術を手がけるDouble Octopusによると、そもそもパスワードを用いること自体が基本的に安全なものとは言えないとのこと。そのため、2FAを導入したログイン方法もその場しのぎの対処法に過ぎず、せいぜいパスワードだけ

前編（多要素認証が効かない「Pass-the-cookie攻撃」の仕組み）では、Pass-the-cookie攻撃の概要と仕組み、リスクを解説した。後編ではPass-the-cookie攻撃を緩和する方法を紹介する。 MFAを無効にする攻撃が内包する「広範囲に広がる」という性質により、ユーザーのリスクは大きくなる。Bitdefenderのアーセン氏は次のように話す。「Cookieとセッションのハイジャックは、特にSSO（シングルサインオン）を導入している企業にとっては非常に懸念される。サイバー犯罪者は盗み出したCookieやセッションを使ってそのIDが関連付けられた複数のWebアプリケーションにアクセスする可能性がある」 OneSpanのフレデリック・メネス氏（製品セキュリティ部門ディレクター）もこのリスクが注目に値することに同意し、次のように話す。「Pass-the-cookie攻撃の実

最近の一連のサイバー攻撃は、多要素認証（MFA）の有効性に疑問を投げ掛けている。 2021年1月初め、米国土安全保障省サイバーセキュリティおよびインフラストラクチャセキュリティ庁はアラートを発し、クラウドの構成を強化するよう助言した。 同庁によると、リモートワークの急増でクラウドサービスへのアクセスに使う端末に企業端末と個人端末が混在するようになったことにより、こうした攻撃が多発している可能性が高いという。 サイバー犯罪者はフィッシングやログインの総当たり攻撃など、多種多様の技法を駆使している。MFAを突破する「Pass-the-cookie攻撃」も仕掛けている。 MFAは魔法ではない Pass-the-cookie攻撃自体は新しい脅威ではない。Tessianのトレバー・ルーカー氏（情報セキュリティ部門責任者）によると、これはかなり標準的な攻撃で、セッションCookieのアクセス権を手に入

NTTドコモやゆうちょの不正出金騒ぎに埋もれた形になっているが、多くの企業に関係する脆弱性「Zerologon」が密かに問題となっている。マイクロソフトのActive Directoryサーバ（ADサーバ）のNetlogonプロトコルに関する脆弱性だが、管理者権限を奪われるという。応急のパッチを当てる以外、緩和策・対策がない。PoCも公開されているため、すでに攻撃が発生している可能性もある。

コンテンツブロックが有効であることを検知しました。 このサイトを利用するには、コンテンツブロック機能（広告ブロック機能を持つ拡張機能等）を無効にしてページを再読み込みしてください。 ✕