セキュリティエンジニアが気になったニュースまとめ　2022/9/19～9/23

最近話題になったセキュリティ関連のニュースから、気になるものをピックアップしてお届けします。

2022/9/20

「ニトリアプリ」への不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ

https://www.nitorihd.co.jp/news/items/2cdbc59fa4c3ffe4da790cc1cfe85200.pdf

この度、弊社のスマートフォンアプリ「ニトリアプリ」から、ニトリネットのニトリアプリ認証プログラムに対し、第三者が、不正に弊社グループ以外のサービスから入手した大量のユーザーID（メールアドレス）とパスワード情報を用いて、なりすましログインを行ったと思われる現象が発生していることが確認されました。

現在のところ被害は確認されていないそうです。ですが、入手された情報を別で悪用されるケースがあるため注意が必要です。

2022/9/21

「Atlassian Bitbucket」の深刻な脆弱性 – PoC公開で悪用リスク高まる

https://jira.atlassian.com/browse/BSERV-13438

8月に「Atlassian Bitbucket Server」「同Data Center」の深刻な脆弱性「CVE-2022-36804」が修正されたが、同脆弱性のエクスプロイトコードが公開されたことがわかった。大規模な攻撃に悪用される懸念が高まっている。

第3者によってエクスプロイトコードが早期に公開されてしまったようです。脆弱性を悪用される可能性が高いので利用している場合は早急なアップデートを行いましょう

2022/9/22

メガネの反射からWeb会議中の画面を盗み見る攻撃　閲覧中のサイトを特定する精度は94％以上

https://arxiv.org/abs/2205.03971

米University of Michiganと中国のZhejiang Universityによる研究チームが発表した「Private Eye: On the Limits of Textual Screen Peeking via Eyeglass Reflections in Video Conferencing」は、Web会議に参加するメガネをかけたユーザーのレンズの反射によって、

画面上の機密情報を不注意に伝えてしまうことを明らかにした研究報告を発表した。

最近ではブルーライトカットメガネも増えてきておりメガネを着用している人も増えているので何かしらの対策をしないといけないと思われます。