【グローバル】サイバー脅威と政策に関する重要ニュース
こんにちは。S2W NOTE編集です。
今回の記事では、グローバルニュースを元にサイバーセキュリティ脅威・政策に関して重要なニュースを抜粋してお届けします。
■グローバルサイバー脅威と政策に関する重要ニュース
‐マイクロソフト、ヨーロッパの顧客情報EU内保管へ(1/13)
マイクロソフト(MS)は、ヨーロッパのクラウド顧客企業に関わるすべての個人情報は、今後「EUデータ権域（EU data boundary）」内にて保管することを明らかにしました。
MSの現地データストアの運営方針は22年12月から始待っており、今回の措置はEU内GDPRなど個人情報保護規定およびデータ転送規制などの関連法令遵守のためのものです。
一方でMetaは、23年5月、アメリカに個人情報を無断で送信したことについて、アイルランドのデータ保護委員会（DPC）から13億ドル規模の罰金を科されました。アマゾンは23年10月に「ヨーロッパ専用クラウド（EU Sovereign Cloud）」サービスをリリースし、顧客企業のメタデータをヨーロッパ内で保管することを発表しています。
-米上院議員、SECのXアカウントのハッキングに関して調査を要求(1/15)
アメリカ上院議員ロン・ワイデン（Ron Wyden）、シンシア・ルミス（Cynthia Lummis）両議員は先週、米国証券取引委員会（SEC）のX(旧Twitter)アカウントのハッキングに関する追加調査を要求しました。
SECは、Xアカウントに米政府機関の推奨項目である2FA認証を使用していないなど、セキュリティの不備を指摘され、市場操作の可能性が提起されています。
‐英ICO、AIモデルのトレーニングデータを取得するため、ウェブスクレイピングの合法性調査に着手 (1/15)
英国個人情報保護監督機関（ICO）は、AIモデルに関する会談を実施し、AIモデルのトレーニングに必要なデータを収集するためのウェブスクレイピング（ウェブサイトから特定の情報を自動的に抽出する手法）の合法性を調査中だと明らかにしました。
同機関によるとウェブスクレイピングは知的財産権侵害や個人情報の収集などの懸念があり、イギリスGDPR6項目のうち5項目に抵触していることがわかっています。
ICOは開発者、ユーザー、弁護士、コンサルタントなどAIに関心のある利害関係者を招待し、それぞれの立場をヒアリングする定期的な会合を設けています。
‐OpenAI、2024年の米大統領選の脅威への対策を発表（1/17）
OpenAIはChatGPT、DALL-EなどAIを介した虚偽情報などの防止対策を発表しました。
ChatGPTの選挙に関する質問は、全米州務長官協会（NASS、National Association of Secretaries of State）と協力して別途、選挙情報サイトにて案内する予定です。
ディープフェイクに対応するために、画像生成AIであるDALL-E 3に「C2PA（デジタルコンテンツの来歴を証明する技術仕様を策定する非営利組織）」のデジタル資格証明を導入する計画で、現在DALL-Eで生成された画像を検出するためのソース分類マシーンをテストしていると報告しました。
■グローバルハッキング関連重要ニュース
‐Black Bastaランサムウェア復号化ツールを無料配布 (1/2)
-ドイツのSecurity Research Labsは、Black Bastaが使用する暗号化アルゴリズムの脆弱性を利用して復号化ツールを開発し無料で配布していましたが、現在はBlack Bastaの開発者がその脆弱性を修正したため、復号化ツールは2023年のクリスマスまでに暗号化されたファイルにのみ有効だと述べました。
‐Black Bastaは、22年4月以降から活動を開始したランサムウェアグループで、300件以上のランサムウェア攻撃を通じて1億ドル以上の収益を得たと推定されます。
‐豪裁判所のデータベースでランサムウェア被害 (1/3)
- オーストラリアのビクトリア州裁判所の運営を支援する行政機関CSV（Court Service Victoria）が12月21日にランサムウェア攻撃を受け、法定聴取ファイルがハッキングされたと報告しました。
-ただし、従業員や財務情報など他のデータにはアクセスできなかった模様です。
このランサムウェア攻撃は、Qilinランサムウェアグループの犯行と推定されます。
‐韓国警察庁、Orbit Chainにて8100万ドルの仮想資産盗難事件を調査中（1/3）
-仮想通貨プラットフォームOrbit Chainは韓国警察庁およびインターネット振興院(KISA)と協力して8100万ドル規模の仮想通貨が奪われたサイバー攻撃を調査中。
- 現在、該当するハッカーにメッセージを送って連絡を試みるも、応答の有無は確認されておらず、捜査当局は北朝鮮のハッカーグループの犯行である可能性を念頭に置いています。
‐米Xerox Business Solutions、ランサムウェア攻撃被害をを報告（1/3）
- グローバル複合機メーカーXeroxの子会社Xerox Business Solutions（XBS）が2023年12月30日にランサムウェア攻撃を受け、この攻撃に関してINCランサムウェアグループが犯行声明を出していました。
- XBSのセキュリティチームは該当の攻撃を検知後、被害範囲を確認しており、現在までに判明した被害はアメリカ事業のみの限定的なものであるとのことです。
- INCランサムウェアグループは昨年7月から活動を開始し、Citrix製品に影響を及ぼすCVE-2023-3519などの脆弱性を活用した大規模攻撃キャンペーンを進めています。
‐北、2023年は年間で合計6億ドル規模の暗号通貨を不正入手（1/8）
- ブロックチェーンインテリジェンス企業TRMは、北朝鮮のハッカーが2023年だけで最低6億ドルドルの暗号通貨を不正入手したとしました。これは22年の8.5億ドルに対して30％減少した額です。
-主にデジタル資産のプライベートキーまたは復旧用単語集(seed phrases)を不正入手した上で侵入し、北朝鮮の作戦担当者に資産を転送し、暗号通貨のUSDTまたはTronに一度両替した後、場外市場(OTC)ブローカーを通じて現金化する手法を取っているとのことです。
‐2023年の脆弱性データ – CNA 84 件、CVE 28,000 件の新規登録 (1/8)
- 2023年に割り当てられたCommon Vulnerabilities and Exposures (CVE) 識別子の数は、合計28,902件と、2022年の新規CVE25,081件から4,000件近く増加しました。新規CVEの数は2017年以降、着実に増加しています。
- CVE番号を付与できる資格を持つ組織を意味するCNA（CVE Numbering Authority）も23年に84組織増えました。ちなみに22年の新規CNAは56組増でした。
- CNAは独立ハッキンググループ、ソフトウェア機関、政府機関、サイバーセキュリティ企業など様々な機関を含んでおり、それらの合計347組織のうち、2023年の新規CVE割り当てに最も貢献したグループとしてMicrosoft、VulDB、GitHub、WPScanなどがあります。
最後までお読みいただきありがとうございました🙇♀️
