米政府高官の通信が侵害される　中国ハッカーによる通信会社へのハッキングで

米政府高官の通信が侵害される　最近発生した通信会社へのハッキングで

BleepingComputer – November 13, 2024

中国共産党に関連するハッカーグループが、米国の複数の通信会社を攻撃した後、少数の米政府高官による「私的な通信」を侵害していたという。CISAとFBIが13日に発表した共同声明の中で明らかになった。

この声明は、中国によるものとされる「広範かつ重大なサイバースパイキャンペーン」に関するもの。具体的には、攻撃者が米国の通信会社数社のネットワークを侵害し、顧客の通話記録のデータを盗めるようにしていたこと、米国の政治に関与する限られた数の個人の私的な通信を侵害したこと、また、裁判所の命令に従って出された法執行機関からの要請に関する情報を窃取していたことが伝えられている。

なお今回この共同声明が発表される前の10月下旬には、中国系ハッカー集団Salt TyphoonがAT&T、ベライゾン、ルーメンテクノロジーを含む複数の通信会社を侵害していたことが確認されていた。この通信ネットワークが最初に侵害された時期は不明だが、この件に詳しい情報筋がウォールストリートジャーナル紙に語ったところによると、中国のハッカーらは「数か月かそれ以上」の間アクセスを維持しており、これによって大企業や中小企業、そして多数の米国人を顧客とするインターネットサービスプロバイダーのインターネットトラフィックを大量に収集できるようになっていたという。

DNA検査会社が機微性の高い顧客の遺伝子データを持ち逃げか

Cybernews – November 13, 2024

ロンドンを拠点とする遺伝子検査会社アトラスバイオメッドが何の前触れもなく姿を消し、DNA検査業界をめぐる不安に拍車かけている。

英BBCの報道によると、生物学的サンプルから抽出された顧客の機微データが「宙に浮いた状態になっている」とのこと。同社Webサイトも閉鎖されているため、顧客は自身のアカウントにアクセスしたり、レポートを取得したりすることができなくなっている。会社自体がすでに消滅したとみられているが、財務諸表を確認したところ、現時点で支払いの遅延が発生しているものの、英国の会社登記所Companies Houseでは今も活動中の扱いになっているという。

ロシアとの関連が指摘される同社は、顧客の電話番号やEメール、住所、クッキー、Webサイトの使用状況、健康およびライフスタイルに関する情報、生体サンプルなど膨大な機微データを収集したほか、遺伝子データと解析結果も取得していたようだ。DNA検査は遺伝子疾患の有無を調べる最も安価な方法としても注目を集めてきたが、データ侵害や買収などを理由にセキュリティに関する懸念が高まっていた。

関連記事：遺伝子検査企業23andMeから盗まれたデータ、ハッカーフォーラムで売りに出される

CVE-2024-10914：D-Link製NASデバイスの重大な欠陥が悪用される、パッチはなし！

Securityonline[.]info – November 13, 2024

廃番となったD-Link製NASデバイスに影響を与える深刻な脆弱性の悪用が、現在進行形で実施されている。

この欠陥CVE-2024-10914（CVSS v3スコア：9.2）は、システム全体の侵害に繋がる恐れのあるコマンドインジェクションの脆弱性。cgi_user_addコマンド内に存在するもので、「name」パラメータが十分にサニタイズされないために生じる。認証されていない攻撃者はこれを悪用することで、特別に細工されたHTTP GETリクエストを介し、任意のシェルコマンドを注入できるようになる。

同脆弱性の影響を受けるのは以下のモデル。

• DNS-320 バージョン 1.00
• DNS-320LW バージョン 1.01.0914.2012
• DNS-325 バージョン 1.01、バージョン 1.02
• DNS-340L バージョン 1.08

Netsecfishの調査により、この欠陥に脆弱な可能性のある、インターネット上に露出したデバイスが6万台以上あることが確認された。また脅威モニタリングサービスのShadowserverは、11月12日以降これらのデバイスを悪用しようとする事例をいくつか観測したと報告している。

D-Linkは上記のデバイスのサポートが終了していることを理由に、パッチをリリースする予定がないことを正式に発表した。ユーザーは脆弱なデバイスの使用を直ちに中止するか、緩和策をとることが重要である。

無料配布中レポート

各種レポートを無料配布中！バナー画像よりダウンロード可能です。