コネクテッドな世界におけるデジタルセキュリティに関するニュースをまとめてご紹介します。連載記事一覧を見るには、こちらをクリックしてください。

デジサートニュース

• デジサートは Oracle 社と連携して、DigiCert^® ONE プラットフォームを Oracle Cloud Infrastructure （OCI）に導入しました。このコラボレーションの目的は、デジサートのお客様がデジタルトラストの取り組みを OCI のセキュアで高パフォーマンスのアーキテクチャ内でシームレスに統合できるようにすることです。これにより、 単一クラウド環境またはマルチクラウド環境において高速かつスケーラブルな実装が可能になります。OCI の堅牢なセキュリティ機能と DigiCert ONE の統合アーキテクチャを利用することにより、デジサートと Oracle 社のお客様はデータを効果的に保護しながらシステムの中断を防ぎ、デジタルイノベーションを簡単に促進できます。

VMC

• Google 社は、BIMI （Brand Indicators for Message Identification、メッセージ識別用ブランドインジケーター）をサポートする新しい機能を Gmail に導入しました。これはデジサートのお客様にとって望ましい展開です。送信者のロゴの横に表示されるチェックマークは、当該の組織がメールサーバーを認証済みであること、かつ認証マーク証明書（VMC） を通じてロゴの所有権が証明済みであることを示します。BIMI を採用して VMC を取得することで、企業はブランドの信頼性を確立しながら、メールでのマーケティングキャンペーンの効果性を向上させ、フィッシングとマルウェアの攻撃のリスクを軽減させることができます。

人工知能（AI）

• サイバーセキュリティの専門家の予測によると、AI 自動化されたマルウェアのキャンペーンは近い将来現実のものになるため、防御側は新たな課題に直面することになります。これらの専門家は、マルウェアキャンペーンの完全な自動化が今後数カ月で完了し、サイバー犯罪者が、広く普及している AI ソースコードを活用して犯罪手口を巧妙化させるものと見ています。
• 欧州委員会は、Google、Facebook、TikTok などのテクノロジー大手に対し、AI が生成したコンテンツに対するラベリングを行うよう勧告しました。これは、オンライン上の偽情報の拡散に対処するためです。EU・デジタルサービス法（DSA）の下、各プラットフォームではディープフェイクを特定することが義務付けられます。主なマーキング作業は今年の夏にも開始される予定です。同様の規則を AI コンテンツを生成するあらゆる企業に適用するように、欧州議会は AI 法の整備を進めています。また、欧州委員会は、生成 AI の悪用を防ぐ安全策を講じるよう企業に呼びかけています。
• 気候情報を複数言語に翻訳する若いボランティアからなるネットワークである Climate Cardinals は、新たな AI ツールによって強化されます。この取り組みは科学知識のやり取りを阻む言語の障壁をなくし、気候危機の影響を最も受けている人に必要なリソースを提供することを目的としています。Google Cloud の AI を活用した翻訳ハブプラットフォームとの連携により、Climate Cardinals  は 80 万ワードの内容を 40 を超える言語に訳してきました。AI の活用により翻訳のペースは大幅に向上し、過去 2 年間と同様の出力を3カ月で達成しました。
• デジサートの CEO、Amit Sinha が予測する、サイバーセキュリティにおけるジェネレーティブ AI の良い影響と悪い影響については、こちらをご覧ください。

量子コンピュータ

• China Telecom は 30億元（4 億 3400 万米ドル）を投じて、China Telecom Quantum Information Technology Group という新会社を設立しました。この会社の目的は、量子テクノロジーを推進し、量子製品の開発を加速させ、中国における量子産業の成長を促進することです。 量子コンピューティングは従来のスーパーコンピュータを上回る性能を発揮する可能性を秘めており、創薬設計、材料開発、輸送、エネルギーおよび金融などの分野で高速な問題解決を可能にします。一方で、現在採用されている暗号化アルゴリズムが解読されてしまうおそれもあります。

標準と規制

• ノースダコタ州で制定された新しい法律は、2025–26 年度から、高校を卒業するのにコンピュータ科学またはサイバーセキュリティのクラスの修了を義務付けています。この法律の目的は、州の労働者のテクノロジー分野における競争力を高め、企業の誘致につなげることです。この法律は小学校 3 年生までカバーするもので、この年齢で基本的なコンピュータ機能とインターネットセキュリティについて習得します。同様の法整備は、ハワイ、ネブラスカ、ミシシッピなどの州でも進んでいます。
• 米国に違法にデータを転送したとして、アイルランドデータ保護委員会は、Meta 社（Facebook を所有）に対して 12 億ユーロの罰金を科しました。これは、GDPR 関連で最も高額な罰金です。Meta 社に課される罰金は直近の 2 年間を対象とし、25 億ユーロに上りました。データ保護委員会は、Meta 社に EU から米国への個人データの転送を停止すること、EU 圏の  Facebook ユーザーの個人データを米国で保存しないことを命じました。この罰金は Facebook の個人データを対象としており、Instagram や WhatsApp は対象外です。

脆弱性

• Proofpoint 社の 2023 Voice of the CISO レポートは、最高情報セキュリティ責任者（CISO）のほぼ 3 分の 2 がこの 1 年に機密データの喪失に対処しなければならなかったことを明らかにしています。このレポートによると、CISO の 82% が従業員の離職がデータ喪失の原因になったと考えており、従業員の入れ替わりが課題の解決を困難にしています。この調査は、CISO の懸念が高まっていることも示しており、CISO の 68% がサイバー攻撃のリスクを憂慮しています。また、CISO の 61% は、標的型攻撃に対する組織の備えが不十分であると考えています。こうした懸念に関わらず、CISO の 60% は、組織が十分なデータ保護の措置を講じていると考えています。
• Varonis 社の研究者によると、サイトを無効化せずに Salesforce を辞めた企業は、企業、ベンダー、ユーザーの機密データを放置しておくことになります。こうした忘れられたサイト（"ゴーストサイト"）は Salesforce コミュニティに存在しており、管理者が適切に無効化しないと、貴重な情報をさらした状態になってしまいます。企業が別のプロバイダに移行する際に、カスタムドメインを削除し忘れたり、Salesforce でサイトを無効化しなかったりすると問題が生じます。

データ侵害

• MSI 製品のプライベートコードサイニング鍵（ファームウェアと Intel Boot Guard を含む）は、ランサムウェア集団「Money Message」によって流出されました。正式な MSI 関連ソフトウェアとして偽装されたマルウェアが秘密鍵を使ってサイニングされるため、この流出は重大なセキュリティリスクをもたらします。流失された鍵を失効させる手段を MSI 社と Intel 社が有しているかどうかは不明です。このインシデントは、信頼できるソースからファームウェアや BIOS アップデートをインストールする際にも注意が必要なことを示しています。
• トヨタ自動車は、設定に不備のある 2 つのクラウドサービスにより、7 年間にわたって 26 万人の車所有者の個人情報が流出するデータ侵害があったことを公表しました。流出した情報には、名前、電話番号、メールアドレス、自動車登録番号が含まれます。トヨタ自動車は、金融データや車両位置データは流出していないことを強調しています。今後同様のインシデントが起こらないように、モニタリングシステムが導入されました。
• 患者データが Meta Pixel ツールを通じて Facebook で共有されていたことを受け、Surrey and Borders Partnership NHS Foundation Trust は謝罪を表明しました。この組織の Web サイトにインストールされているこのツールは、何年もの間、ブラウジング情報を収集しており、組織に知らせずに Facebook に公開していました。このツールを除去する措置がすぐに取られました。国内のその他の NHS トラストにも同様の追跡ツールがインストールされていることが発見され、患者データのプライバシーとセキュリティに関する懸念が上がりました。
• Barracuda Networks 社のメールセキュリティアプライアンスに影響を与えるゼロデイ脆弱性 CVE-2023-2868 は、2022 年 10 月頃から攻撃者に悪用されており、マルウェアの実装とデータの盗難を招いています。遠隔コマンドのインジェクションに関する問題であるこの脆弱性は、特定のバージョンを実行するメールセキュリティゲートウェイ（ESG）アプリケーションに影響を及ぼします。Barracuda Networks 社はこの問題に対応するためのパッチをリリースしており、デバイスをアップデートして、危殆化されたアプライアンスを使わないよう顧客に勧めています。
• ダークウェブへのデータ流出により、サイバー犯罪フォーラム RaidForums の約 47 万 8000 人のメンバー.infosecurity-magazineの個人情報がさらされました。Exposed という新興のフォーラムに投稿された流出データベースには、ユーザー名、メールアドレス、および RaidForums ユーザーのハッシュ化されたパスワードが含まれます。流出元は未だに不明です。2022 年に接収されるまで、RaidForums は最大級のハッキングフォーラムで、（大規模なデータ漏洩からのものを含む）侵害されたデータの取引や公開で悪名を馳せていました。

マルウェア

• macOS で新たに発見された Migraine  （CVE-2023-32369）というバグを悪用して、ルート権限を持つハッカーは Apple 社のセキュリティ保護をバイパスし、脆弱な Mac に "削除不能な" マルウェアをインストールできてしまいます。この欠陥により、攻撃者は macOS のシステム整合性保護（SIP）をバイパスできてしまいます。SIP は通常、一部のシステムファイルやフォルダに対する無許可の変更を阻止します。Apple 社はこの脆弱性に対するパッチを最近のセキュリティアップデートで提供していますが、アップデートを行っていないユーザーへのリスクがまだ存在します。このバグは、Microsoft 社のセキュリティ研究者により発見されました。