今週のセキュリティニュースへようこそ！
ここでは、国内・国外で過去数日間に起こったサイバーセキュリティ関連のニュースやレポートなど、知っておくべきことをお伝えします。
ぜひご覧ください。
国内
IPA届出事例、ウイルスの検知・感染の被害が大幅に増加
IPA（情報処理推進機構）は、2022年上半期に受理した届出のなかから、特筆すべき事例について紹介した「コンピュータウイルス・不正アクセスの届出事例［2022年上半期（1月〜6月）］」を公開しました。
主な事例263件を取り上げて5種類に分類されており、「コンピュータウイルスの検知・感染被害（174件）」「身代金を要求するサイバー攻撃の被害（26件）」「脆弱性や設定不備を悪用された不正アクセス（36件）」「IDとパスワードによる認証を突破された不正アクセス（16件）」「その他（11件）」という結果となっています。
全体で見ると、2021年下半期まで届出数が減少傾向にあったウイルスの検知・感染の被害の届出が大幅に増加しており、なかでもEmotetに関する届出が大半を占めたとのことです。
参照：IPA「コンピュータウイルス・不正アクセスの届出事例［2022年上半期（1月〜6月）］」
7割強の環境でサプライチェーンリスクは放置されている - タニウム調査
タニウムは、サプライチェーンリスクに関する市場調査の結果を発表しました。
これによると、セキュリティインシデント発生時の実際の被害総額もしくは想定される損害・費用に関するアンケートの結果、約半数の組織が1,000万円以上と回答している一方、約3割の組織は「わからない」と被害を想定できていないという結果となったとのことです。
また、サプライチェーンリスク対策については、対策の必要性は9割弱の組織で認知されているものの、7割以上の組織で具体的な対策まで行えておらず、実質リスクが放置されているとしています。
参照：タニウム「国内におけるサプライチェーンセキュリティ実態調査結果について」
国外
CISA、悪用された既知の脆弱性カタログに新たな脆弱性10件を追加
米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間8月25日、悪用された既知の脆弱性カタログに10件の脆弱性を追加しました。ベンダーの指示に従いアップデートを適用するよう呼びかけています。
追加された脆弱性は以下の通り。
CVE-2022-26352（dotCMS）／CVE-2022-24706（Apache CouchDB）／CVE-2022-24112（Apache APISIX）／CVE-2022-22963（VMware TanzuSpring Cloud）／CVE-2022-2294（WebRTC）／CVE-2021-39226（Grafana）／CVE-2021-38406（DOPSoft 2）／CVE-2021-31010（macOS、iOS、watchOS）／CVE-2020-36193（PEAR Archive_Tar）／CVE-2020-28949（PEAR Archive_Tar）
参照：CISA「KNOWN EXPLOITED VULNERABILITIES CATALOG」
米国大手SSOサービスのユーザー企業を狙ったフィッシング攻撃
ここ数カ月にわたり、複数のテクノロジー企業を標的とした複数のフィッシングキャンペーンが展開されています。
攻撃者は米国最大手プロバイダーが提供するSSOサービスを装っており、MFAとしてSMS認証を利用していたユーザーのみをターゲットとして、ID認証情報と2要素認証コードを盗むことが目的と考えられています。
攻撃者は入手した電話番号を用いて、まず標的となる企業の従業員へSSOサービスの認証ページを装ったSMSを送って認証情報を求め、次に2要素認証コードを求めるフィッシングサイトへのリンクを配信するという攻撃が典型的とのことです。
