最近話題になったセキュリティ関連のニュースから、気になるものをピックアップしてお届けします。 

2022/05/16

採用活動における個人情報漏えいの可能性に関するご報告とお詫び

https://www.a-tm.co.jp/news/29297/

この度、当社グループの採用活動に関する個人情報が外部から閲覧可能な状態であったことを確認いたしました。多大なるご迷惑とご心配をおかけいたしますこと、心より深くお詫び申し上げます。

2016年から情報が公開されていたようです。
原因は、公開設定を「このリンクを知っているインターネット上の全員が閲覧できます」に設定していたとのことです。

2022/05/16/

ロードバランサーへの不正アクセスについて

https://pfs.nifcloud.com/cs/catalog/cloud_news/catalog_202205161000_1.htm

FJcloud-Vおよびニフクラ（以下、当該サービス）の一部のロードバランサー（インターネットからのアクセス負荷を分散させるネットワーク装置。以下、当該ロードバランサー）に対して、脆弱性を悪用した不正アクセスが行われていたことを確認しました。

脆弱性が公表されてから対処が完了するまでの対応が迅速で素晴らしいと思います。
脆弱性の悪用はどうしても起こってしまうのでどれだけ早く対応ができるかが大事ですね。

2022/05/18/

MACHATT ONLINE STORE 個人情報漏えいに関するお詫びとお知らせ

https://machatt.jp/support/information/20220518.html

このたび、弊社が運営する「MACHATT ONLINE STORE」におきまして、第三者による不正アクセスを受け、お客様のクレジットカード情報（16,093件）が漏洩した可能性があることが判明いたしました。

かなりの数のクレジットカード情報が漏洩したようです。
またセキュリティコードまでも流出していることから二次被害が広がらないことを願います。

2022/05/18/

VMware製品に認証回避、権限昇格の脆弱性　深刻度は最高レベル　米連邦政府CISAが対策を指示

https://www.cisa.gov/emergency-directive-22-03

次のVMware製品の脆弱性（CVE2022-22954およびCVE2022-22960）を悪用している可能性のある高度な持続的脅威（APT）アクターを含む脅威アクター：VMware Workspace ONE Access（Access）、VMware Identity Manager（vIDM）、VMware vRealize Automation（vRA）、VMware Cloud Foundation、およびvRealize SuiteLifecycleManager。VMwareは、これらの脆弱性に対処するためのアップデートを2022年4月6日にリリースし、脅威アクターはアップデートをリバースエンジニアリングして、アップデートのリリースから48時間以内にパッチが適用されていない影響を受けるVMware製品の悪用を開始することができました。

深刻度がかなり高く、多大なリスクが想定されるため速やかに修正パッチを適用しましょう。

まとめのまとめ
最近、URLリンクによるアクセス制御が原因の、情報漏えいのニュースを目にします。
URLリンクでの共有は利便性が高いですが、
漏洩のリスクがあるため、使用する状況や環境を考慮して使用する必要がありそうです。
使用を禁止してしまうのも手かもしれません。

担当：CJ