今週のセキュリティニュース - 2024年8月9日

トレンドマイクロは、業務上の必要性から情報の受け渡しが発生する流れを「データ・サプライチェーン」と定義し、その課題と委託元が注意するべき点を解説しました。
「データ」を狙うサイバー攻撃者にとっては、同じデータならば保管されている環境がどこであっても構わない。外部にあるデータをどのように委託先が管理しているかをどのようにチェックするかは全ての組織にとって長年の課題である。理想的なのは、システムで技術的に規定された範囲・期間・用途でしか該当のデータを取り扱えないようにすることであるとトレンドマイクロは解説しています。

2024年8月5日、国内最大手のうちの一つの電機メーカー子会社に不正アクセスがあり、従業員等約4,000人分の個人情報の漏洩の恐れがあることがわかりました。
現時点では個人情報の不正利用は確認されていないとのことですが、顧客情報約230万名分を保管しているサーバーへのアクセスも認められているとのことです。
今回被害を受けた会社は、事態を重く受け止め、より一層情報セキュリティの管理体制強化に務めるとしています。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、企業がソフトウェアメーカーのセキュリティ対策を評価する方法を強化するための新しいガイドを発表しました。
同庁によると、ソフトウェアを購入する企業は通常、メーカーのコンプライアンス基準やセキュリティ対策のみに焦点を当てがちですが、製品のセキュリティに対するメーカーの取り組みも重視する必要があると述べています。
このガイドでは、購入前、購入中、購入後の各段階で製品セキュリティを実装する手順を示しており、ランサムウェアやその他のサイバー脅威から身を守るためにこのアプローチが極めて重要であることを強調しています。

サイバーセキュリティ企業のDarktraceは、 2024年上半期に企業が直面する主要な脅威と攻撃手法を特定した「First 6: Half-Year Threat Report 2024」を発表しました。
このレポートによると、マルウェア・アズ・ア・サービス（MaaS）とランサムウェア・アズ・ア・サービス（RaaS）ツールが攻撃者によって広く利用されており、サービス化されたサイバー犯罪が引き続き脅威の主流を占めています。
これらのサービス化されたサイバー犯罪モデルでは、攻撃者は悪意のあるソフトウェアや、事前に作成されたマルウェアやフィッシングテンプレートなどの関連インフラへのアクセスを有料で提供します。これにより、経験の浅い攻撃者でも、スキルや技術力に関係なく、潜在的に破壊的な攻撃を実行するためのハードルが低くなります。