DOGE、サイバーセキュリティ、最悪の失敗９個

DOGE's Nine Worst Cybersecurity Failures Under Elon Musk (06/02)

『

マスク氏のワシントンからの離脱が恒久的なものかどうかはともかく、DOGEでの彼のリーダーシップがサイバーセキュリティの失敗を引き起こし、連邦政府のデジタルインフラを弱体化させたと、ニューアメリカのオープンテクノロジー研究所のシニアポリシーアナリストであるシドニー・ソーベストル氏は述べています。Saubestre氏はInformation Security Media Groupに対し、DOGEの失策には、未承認のプライベートサーバーの使用、ログのない高レベルの管理者アカウントの作成、基本的な保護措置を無視して未審査の人員へのアクセスを許可したことなどが含まれていると述べました。

 

マスク氏の下でのDOGEの行動は「連邦政府のサイバーセキュリティプロトコルに違反しており、すでにロシアのIPからの説明のつかない送信データ転送とログイン試行の証拠につながっている」とSaubestre氏は述べています。彼女は議会に対し、DOGEを独立して監督し、タスクフォースに監査証跡を作成し、その業務が連邦サイバーセキュリティ基準に準拠していることを確認するよう要求するよう促しました。

 

「このデータは米国民のものであり、政府にはそれを保護する責任があります」とSaubestre氏は述べています。

』

Google Chromeのゼロデイ脆弱性を突いたAPT攻撃

「Operation ForumTroll」(CVE-2025-2783) (03/26)

『このサイバー攻撃は、ユーザーがフィッシングメール内のリンクをクリックするだけで、マルウェアに感染する可能性があります。

…

今回の攻撃では、まず「Primakov Readings（プリマコフ会議）」という実在する学術フォーラムになりすましたメールが、報道機関や大学関係者、政府系機関などを対象に送信されました。

 

メールには会議の招待を装ったリンクが含まれており、これをGoogle Chromeで開くと、ユーザーの操作なしに感染が成立するという仕組みになっていました。

…

リンクにアクセスした瞬間に、攻撃者のサーバー側で用意されたエクスプロイトが実行され、Chromeのサンドボックス機能を回避するかたちで不正なコードが実行されます。

 

ここで利用された脆弱性が、CVE-2025-2783です。

 

この脆弱性は、ChromeとWindows OSの境界部分にある論理的な欠陥によって、保護機構をすり抜けてしまうという、非常に発見が難しいタイプの脆弱性でした。

』

仕事効率化: NotebookLM × スマートウォッチ

「NotebookLM×スマートウォッチ」仕事効率化術。取材メモも会議の文字起こしもまとめも無料 (05/23)

スマートウォッチとＮｏｔｅｂｏｏｋＬＭの実践的組み合わせ活用方法が分かり易くまとまっている。

音声ファイルのサイズや形式が未詳だが、イマドキの仕様で普段使いなら気にするほどでも無いということか。

 

私の他のツール経験では、優秀過ぎる“まとめ“よりも、泥臭いオリジナル発言・文脈を辿りたい時に、メニューに戸惑った覚えがある。

ＮｏｔｅｂｏｏｋＬＭでは『音声メモの内容をより詳しく読むなら「Studio」タブから「ブリーフィングドキュメント」を生成しておくと、より詳しい内容を含むメモを作成できます。』との事。

 

『ここにたどり着くまでに僕は、AIまわりで試行錯誤してきました。ChatGPTやGemini、Claudeなどは音声ファイルを読み込まないし、Apple Intelligenceは音声認識の精度とメモの扱いが今ひとつ。ICレコーダーに紐づいている他社製品では、専用アプリによる文字起こし部分の時間制限があったりしました。

 

「NotebookLM」は、Web上のデータやPDFファイル、YouTubeまで扱える多機能なリサーチ・アシスタントと呼ばれるツールですが、他のAIで使いづらい音声メモのファイルを扱えるとは予想外の便利さです。』とも。

Frontier AIを使用して発見されたLinuxのゼロデイ脆弱性

Linux Zero-Day Vulnerability Discovered Using Frontier AI (05/30)

 
CVE-2025-37899 (LinuxカーネルのSMBプロトコルの悪用可能なゼロディ脆弱性)の件、
 『Linux カーネルでは、次の脆弱性が解決されました。 ksmbd: セッションのログオフでメモリ解放後使用 (Use-After-Free) を修正 sess->user オブジェクトは、現在、別のスレッドで使用することができます。
例:別の接続がセッション設定リクエストを 解放されるセッションにバインドします。その接続のハンドラは、 は、sess->userを使用するsmb2_sess_setup機能に含まれます。』（以上、機械翻訳）
はＬＬＣで発見したと。
 
『o3により、LLMはコードについて推論する能力が飛躍的に向上しました…」とHeelan氏はブログ記事で述べています。「あなたが専門家レベルの脆弱性研究者またはエクスプロイト開発者である場合、マシンがあなたに取って代わることはありません。実際、それはまったく逆で、彼らは今、あなたをはるかに効率的かつ効果的にすることができる段階にあります。』

QRコード詐欺

日本で新手の「QRコード詐欺」が急増中!便利さの裏に潜む罠を解説（ピンズバNEWS） - Yahoo!ニュース (05/23)

『誰でも無料ツールで簡単にQRコードを作れるため、見た目では正規かどうかの判別が難しくなっています。

国民生活センターには、QRコード詐欺に関する相談が過去に例を見ないペースで寄せられているといいます。

…

　商品の購入代金として銀行振込で決済したところ、ショップから欠品につきキャンセルするとのメールが届き、「PayPayで返金するのでQRコードを送って下さい」などの指示に従ううちに、21万4890円をだまし取られた…

 

　最近では、駅や街角のポスターに本物そっくりの偽QRコードが重ね貼りされる手口も確認されています。読み取った先で個人情報の入力を求められ、知らぬ間に情報が抜き取られるケースが後を絶ちません。

 

　特に急増しているのが「返金詐欺」と呼ばれる手口です。返金を装ってLINEアカウントへ誘導し、送られてきたQRコードを読み取ると、知らぬ間にお金を送金させられるというもの。2024年にはこの手口による相談が前年の20倍に達しました。ある男性はネットで購入した衣類が「在庫切れ」とされ、返金案内の名目で送られたQRコードを読み取ったところ、約10万円が送金されてしまいました。

…

私たちが自分の身を守るには、まずQRコードが信頼できる情報源かどうかを見極めることが重要。「至急」「重要」といった言葉で不安をあおるケースや、不自然な日本語、URLのスペルミスなどにも注意を払う必要があります。

』

 

関連

PayPay詐欺 https://akasaka-taro.blogspot.com/2025/06/paypay.html

激増するフィッシングに対抗する3つの防御策

https://news.yahoo.co.jp/articles/c48240c6e3b8fba1f930868328b4c4baf2eb6715 (Yahoo!ニュース 05/13)

『  その1：　金融機関と証券会社だけでも「パスワードを変える」

その2：　Webブラウザの機能拡張を見直す

その3：　金融機関は「アプリ」を中心に利用する

Google Chromeに関しては認証情報を含むクッキー情報に、端末固有の情報を含めることで、クッキーが盗まれても他のPCで認証できないようにする仕組みをテスト中です。

…

利用者だけの対策では限界がある……

　証券会社に対する被害については、ここまで被害が大きくなっているにもかかわらず、その手口や意図が明らかになっていない …

』

クロ現で、原因特定報道　↓

相次ぐ証券口座乗っ取り 被害者のパソコン解析で分かったこと (05/20)

出典: NHK

 フィッシングをきっかけとするAiTM(Adversary-in-the-Middle)や、マルウェア "インフォスティーラー"など、エンドユーザ側で起きた侵害に触れている。一方証券会社側の落ち度（例、a.バックアップサイトのバックドア化、b.絵文字の2nd認証が無限チャレンジ可、c.旧バージョンアプリで2FA突破　等）には踏み込んでいない。

 その後、「多要素認証」といった技術寄りの言葉が唐突に表れ、『証券会社が今後取り組む』と。個人的には巨大資本に慮っているように感じて、釈然としない。

関連

メモ、証券口座、インフォスティーラー、ブータブルUSBツール (04/14)

https://akasaka-taro.blogspot.com/2025/04/usb.html

証券口座乗っ取り対策 (05/11)

https://akasaka-taro.blogspot.com/2025/05/blog-post.html

お客様を守る。恐喝者に立ち向かう

Marbled Dustは、Output Messengerのゼロデイ情報を地域スパイに活用

Marbled Dust leverages zero-day in Output Messenger for regional espionage | Microsoft Security Blog (05/12)

『

2024 年 4 月以降、Microsoft Threat Intelligence が Marbled Dust として追跡している脅威アクターは、マルチプラットフォーム チャット ソフトウェアであるメッセージング アプリ Output Messenger のゼロデイ脆弱性 (CVE-2025-27920) に対する修正が適用されていないユーザー アカウントを悪用していることが確認されています。これらのエクスプロイトにより、イラクの標的から関連するユーザーデータが収集されました

…

以前のキャンペーンでは、Marbled Dustは … 侵害されたDNSレジストリやレジストラへのアクセスを使用して、さまざまな国の政府機関のDNSサーバー設定をリセットし、トラフィックを傍受し、盗んだ資格情報をログに記録して再利用できるようにしていることも確認されました。

』

 

CVE-2025-27920: Directory Traversal Vulnerability (2024/12/25)

『形容

ディレクトリトラバーサルの脆弱性が Output Messenger バージョン V2.0.62 で確認されました。この脆弱性により、リモートの攻撃者は、ファイルパスを「../' シーケンス。この欠陥を悪用することで、攻撃者は意図したディレクトリの外部に移動し、サーバー上の機密ファイルを公開または変更する可能性があります。

攻撃者は、構成ファイル、機密性の高いユーザーデータ、さらにはソースコードなどのファイルにアクセスする可能性があり、ファイルの内容によっては、リモートコードの実行など、さらなる悪用につながる可能性があります。

インパクト

この脆弱性の悪用が成功すると、次のような深刻な結果を招く可能性があります。

• 機密ファイル(設定ファイル、ソースコードなど)への不正アクセス
• 機密ファイルが実行される場合のリモート・コード実行の可能性
• 個人情報やシステム構成の公開

』 以上機械翻訳

 

お客様を守る - 恐喝者に立ち向かう

Protecting Our Customers - Standing Up to Extortionists (05/15)

『TL;dr:サイバー犯罪者は、ソーシャルエンジニアリング攻撃を促進するために、不正な海外サポートエージェントのグループを買収して採用し、Coinbaseの顧客データを盗みました。これらのインサイダーは、カスタマーサポートシステムへのアクセスを悪用して、一部の顧客のアカウントデータを盗みました。パスワード、秘密鍵、資金は公開されておらず、Coinbase Primeの口座は手つかずです。攻撃者に資金を送るようにだまされたお客様には払い戻しを行います。私たちは法執行機関と緊密に協力して、可能な限り厳しい罰則を追求しており、受け取った2,000万ドルの身代金要求は支払いません。それどころか、この攻撃の責任者である犯罪者の逮捕と有罪判決につながる情報に対して、2,000万ドルの報奨金基金を設立しています。

…

一連のベスト プラクティスを次に示します。

• 引き出し許可リストをオンにする - 完全に制御でき、シードフレーズが安全で、あなたに提供されていない、または誰とも共有されていないウォレットへの送金のみを許可します。
• 強力な 2FA を有効にする - ハードウェア キーが最適です。
• 詐欺師に電話を切る —Coinbaseは、パスワードや2FAコードを求めたり、「安全な」ウォレットに資金を移動したりすることはありません。
• 最初にロックし、後で尋ねる —何か違和感がある場合は、アプリ内でアカウントをロックし、security@coinbase.com メールで送信します。
• ソーシャルエンジニアリング詐欺を回避するためのセキュリティのヒントをご覧ください。

』以上機械翻訳

 

NVD - CVE-2025-32756 (05/16)

KEV Catalog に載った。

『A stack-based buffer overflow vulnerability [CWE-121] in Fortinet FortiVoice versions 7.2.0, 7.0.0 through 7.0.6, 6.4.0 through 6.4.10, FortiRecorder versions 7.2.0 through 7.2.3, 7.0.0 through 7.0.5, 6.4.0 through 6.4.5, FortiMail versions 7.6.0 through 7.6.2, 7.4.0 through 7.4.4, 7.2.0 through 7.2.7, 7.0.0 through 7.0.8, FortiNDR versions 7.6.0, 7.4.0 through 7.4.7, 7.2.0 through 7.2.4, 7.0.0 through 7.0.6, FortiCamera versions 2.1.0 through 2.1.3, 2.0 all versions, 1.1 all versions, allows a remote unauthenticated attacker to execute arbitrary code or commands via sending HTTP requests with specially crafted hash cookie.』

 

NVD - CVE-2025-4664 (05/14-16)

『Insufficient policy enforcement in Loader in Google Chrome prior to 136.0.7103.113 allowed a remote attacker to leak cross-origin data via a crafted HTML page. (Chromium security severity: High)』

CVSS 3.x Severity Base Score: 4.3 MEDIUM だがKEV Catalogに載った。

 

CVE Record: CVE-2025-42999 (05/13)

『SAP NetWeaver Visual Composer Metadata Uploader is vulnerable when a privileged user can upload untrusted or malicious content which, when deserialized, could potentially lead to a compromise of confidentiality, integrity, and availability of the host system.』

KEV Catalogに載った。

 

Security Advisory Ivanti Endpoint Manager Mobile (EPMM) May 2025 (CVE-2025-4427 and CVE-2025-4428) (05/13-16)

Endpoint Manager Mobile (EPMM) の二つの脆弱性を組み合わせるとリモートコード実行が可能になる。公開前の段階で既に悪用されている模様。

 

Ivanti Endpoint Manager Mobile（EPMM）の脆弱性（CVE-2025-4427、CVE-2025-4428）に関する注意喚起 (05/14)

 

Expression Payloads Meet Mayhem - Ivanti EPMM Unauth RCE Chain (CVE-2025-4427 and CVE-2025-4428) (05/15)

 

以上、こちらの記事から取り上げた　今週の気になるセキュリティニュース - Issue #223 - セキュリティは楽しいかね？ Part 2 (05/18)

 

 

「サイバーセキュリティ人材の育成促進に向けた検討会最終取りまとめ」を公表しました （METI/経済産業省） (05/14)

『最終取りまとめでは、情報処理安全確保支援士（登録セキスペ）の活用促進や制度の見直しなどの方向性を示すとともに、登録セキスぺの登録人数を2030年までに5万人（2025年4月時点で約2.4万人）まで増やす目標を掲げています。中小企業等が実施すべきセキュリティ対策に応じた人材確保・育成の方策を示すとともに、国家資格である登録セキスペを取得した外部専門人材の活用を促し、サイバーセキュリティ対策の強化につなげていきます。経済産業省としては、今後、各施策の継続的な改善を実施しながら、更なる人材育成のための方策を検討し、人材の質・量の強化を図っていきます。』

 

Web媒介型サイバー攻撃対策プロジェクト「WarpDrive」のゲーム機能を一新！｜2025年｜NICT-情報通信研究機構 (05/13)

〜毎日クイズを継続して、あなたもセキュリティの専門家に〜