今週のセキュリティニュース - 2024年11月15日

2024年11月12日、平将明デジタル大臣は記者会見を開きサイバー安全保障への取り組みについても言及しました。
できるだけ早期に法案を取りまとめるよう石破首相から指示を受けたとし、有識者会議における議論の加速と法案化にもしっかり取り組んでいきたいと述べました。
能動的サイバー防御とは、外部からのサイバー攻撃被害が発生する前の段階から措置を講じ、国家及び国民の安全を損なうおそれのあるサイバー攻撃の発生や被害拡大の防止を図るものです。近年サイバー攻撃の脅威が増大していることに鑑み、数年前から日本政府で議論が進められています。

2024年11月上旬、小売り大手企業がサポート詐欺の被害に遭い、個人情報漏洩の可能性があることが公表されました。
サポート詐欺とは、パソコンでインターネットを閲覧中に、突然、ウイルス感染したかのような嘘の画面を表示させたり、警告音を発生させるなどして、ユーザーの不安を煽り、画面に記載されたサポート窓口に電話をかけさせ、サポートの名目で金銭を騙し取しとったり、遠隔操作ソフトをインストールさせたりする手口です。
同社は既に詳細な被害状況と影響範囲の調査を開始し、現在も継続して被害情報の確認を行っているとのことで、詳細な調査結果が判明した際には改めて公表するとしています。

サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、国家安全保障局（NSA）、および国内外のパートナーは、悪用された脆弱性に関する年次報告書を発表しました。
この報告書には、2023年に最も頻繁に悪用された脆弱性トップ15がリストアップされています。その中でも、最も広く悪用されているのはCitrixのネットワーキング製品NetScalersに影響を与える脆弱性「CVE-2023-3519」です。その他、Ciscoルーターの深刻な脆弱性や、Fortinet VPN機器の脆弱性、Clopランサムウェア集団によって多用されたMOVEitファイル転送ツールの脆弱性も含まれています。
この勧告では、年次リストの公表開始以来初めて、リストに記載された脆弱性の大半が当初ゼロデイとして悪用されたことが指摘されています。英国の国立サイバーセキュリティセンター（NCSC）の最高技術責任者であるオリー・ホワイトハウス氏は、「ゼロデイ脆弱性の初期利用が日常化していることは、悪意のある行為者がネットワークへの侵入を試みる新たな常態を示しており、エンドユーザー企業やベンダーにとって重大な懸念材料である」と警告しています。

ドレクセル大学とアリゾナ州立大学による新たな研究で、フィッシング報告への対応が不十分であり、自社を装ったフィッシングサイトが報告されても、多くが対応していないことが明らかになりました。
この研究結果によると、フォーチュン100社の中でフィッシング報告の手段を提供している企業は半数以下であり、報告されたサイトの3%しかブロックされていないことが分かりました。
この研究を主導したエリック・サン博士（ドレクセル大学コンピューティング・情報学部助教授）は「ユーザーはフィッシングメールの識別と報告方法について定期的に訓練や指導を受けていますが、報告先の企業がとった行動に対する反応が、ユーザーにネガティブなフィードバックを与え、その結果、ユーザーがフィッシングメールを報告することをためらう原因となっています」と述べています。