12月16日に、内閣官房の「経済安全保障法制に関する有識者会議（令和４年度～）」の会議があったそうです。そしてその資料によると、経済安保推進法改正の議論が行われ、同法の保護対象にゲノムデータ、健康データ、金融データ等も含めるべきだとの議論がなされているそうで

音楽ストリーミング大手のSoundCloudは月曜日、ハッカーが同社を標的にし、同社システムに保存されている一部のユーザーデータにアクセスしたと発表した。 SoundCloudがVPN経由のアクセスを禁止した可能性があるとの報告が、ここ数日で広まり始めた。これは、一部のユーザーがVPNを通じて音楽ストリーミングサービスにアクセスできなくなったと不満を訴えたことを受けたものだ。 しかし同社は月曜日、サイバー攻撃への対応を行っており、VPNの問題はシステムを保護するために講じた措置によって生じたものだと明らかにした。 SoundCloudによると、「付随サービスのダッシュボード」における不正な活動を発見した後、インシデント対応プロトコルを開始したという。 第三者のサイバーセキュリティ専門家の支援を受けて実施された調査により、攻撃者がメールアドレスや、公開されているSoundCloudプロフィール上で閲覧可能な情報など、「一定の限定的なデータ」にアクセスしたことが判明した。 同社は、パスワードや金融情報などの機微なデータは漏えいしていないと述べた。 SoundCloudは、ユーザーのおよそ20%が影響を受けていると述べた。いくつかの推計によれば、SoundCloudのユーザー数は1億人を大きく超えており、影響を受けた可能性のあるユーザーは数千万人規模に上る。 侵害された情報は特に機微なものではない可能性があるが、同社はユーザーに対し、フィッシングの試みに注意するよう促した。 同社は、攻撃者が自社システムから排除されたことに自信を示している。しかし、封じ込め措置の後、SoundCloudに対して分散型サービス妨害（DDoS）攻撃が開始され、そのうち2件の攻撃はプラットフォームのウェブ版を一時的に停止させることに成功した。 一部のユーザーが経験したVPNの問題については、同社はインシデント対応として実施した設定変更が原因だと説明した。SoundCloudは月曜日、VPNアクセスの問題の解消に取り組んでいると述べた。 翻訳元:

Googleは、個人情報がダークウェブに漏洩していないか確認できるツール「ダークウェブレポート」を廃止すると発表した。2026年1月15日をもってダークウェブへのスキャンが終了し、2月16日をもってツール自体が利用できなくなる。

　arcserve Japan合同会社（以下、Arcserve Japan）は15日、ランサムウェア対策を強化する機能を追加したデータ保護ソリューション「Arcserve Unified Data Protection（UDP）」および「Arcserve Cyber Resilient Storage（CRS）」の最新版を提供開始した。

Googleは、「ダークウェブレポート」セキュリティツールを廃止し、より有用だと考える他のツールに注力したいとしている。 Googleのダークウェブレポートツールは、メールアドレスやその他の個人情報がダークウェブ上で見つかった場合にユーザーへ通知するセキュリティ機能だ。 Googleがダークウェブをスキャンしてあなたの個人情報を特定すると、データが見つかった場所と、どの種類のデータが漏えいしたのかを通知し、データ保護のための対応を取るようユーザーに促す。 Google ダークウェブレポートツールの例出典: BleepingComputer 例えば、Googleがあなたのメールアドレスをダークウェブ上で特定した場合、Googleアカウントを保護するために2段階認証を有効にするよう案内される。 Google、ダークウェブレポートツールを終了 BleepingComputerが確認したメールで、Googleは2026年1月15日に新しいダークウェブの結果の監視を停止し、2026年2月16日以降はデータが利用できなくなることを確認した。 「ダークウェブ上であなたの個人情報をスキャンすることを目的としていたダークウェブレポートを終了します」と、BleepingComputerが確認したメールには記されている。 「2026年1月15日に新しい結果の監視を停止し、2026年2月16日以降はデータが利用できなくなります。レポートは一般的な情報を提供していましたが、フィードバックから、役立つ次のステップを提示できていないことが分かりました。」 「この変更は、オンラインであなたの情報を保護するための、より明確で実行可能な手順を提供するツールに注力するためのものです。私たちはダークウェブを含むオンラインの脅威を引き続き追跡して防御し、あなたとあなたの個人情報の保護に役立つツールを構築していきます。」 Google ダークウェブレポートツール終了のお知らせ 出典: BleepingComputer Googleは、Googleパスワードマネージャーやパスワードチェックアップツールなど、他のツールへの投資を継続する。 「それまでの間、セキュリティとプライバシーのチェックアップ、パスキー、2段階認証、Googleパスワードマネージャー、パスワードチェックアップなど、私たちが提供している既存のツールを利用して、セキュリティとプライバシーを強化することをおすすめします」と、Googleはメールで説明した。 Googleによると、ユーザーは「あなたに関する検索結果」ツールを使って、電話番号や自宅住所などの個人情報がGoogle検索結果に表示されていないかを確認し、削除をリクエストすることもできる。 しかし、ダークウェブ上で住所が見つかった場合でもユーザーに通知していたGoogleのダークウェブレポートを、惜しむ人もいるかもしれない。 さらに、Googleのダークウェブレポートは、潜在的なダークウェブ漏えいを1か所に集約していたため、迅速に対応できた。 翻訳元:

数十億件のプロフェッショナルプロフィールを含む巨大な未保護データベースがオンライン上で露出したままになっており、これまでに確認されたリードジェネレーションデータ漏えいの中でも最大級の一つとなっています。 16テラバイト超に及ぶこのデータセットには、LinkedIn由来の情報、連絡先の詳細、企業インテリジェンスが含まれており、悪用されれば大規模なフィッシング、詐欺、偵察キャンペーンを助長しかねません。 「このような大規模データセットは、プロフィールのエンリッチメントや標的型攻撃の強力な基盤となるため、悪意ある攻撃者にとって格好の標的です」と述べたと研究者らは言います。 集約データが標的型攻撃を助長する仕組み 今回の露出は、集約そのものが主要なリスクになり得ることを浮き彫りにしています。数十億件の公開プロフィールを単一の検索可能なデータベースに統合することで、標的型攻撃の参入障壁が大きく下がるためです。 個々のデータポイントは単体では低リスクに見えても、規模を伴って集約されると、攻撃者は高価値ターゲットを素早く特定し、説得力のあるソーシャルエンジニアリングキャンペーンを作り上げられます。 セキュリティチームにとっては、脅威モデルが純粋な技術的エクスプロイトから、マルウェアではなく文脈と信頼性に依存して目的を達成する「アイデンティティ中心の悪用」へと移行することを意味します。 Cybernewsの研究者は、約43億件のレコードと16.14TBのデータを含む保護されていないMongoDBインスタンスを発見し、これをこれまでに特定された未保護のリードジェネレーションデータセットの中でも最大級のものに位置付けました。 このデータセットは、規模、構造、新しさの点で、自動化されたフィッシング、経営層のなりすまし、大規模な企業偵察に非常に適しています。 43億件のデータ露出の内訳 露出していたデータベースは、9つの構造化されたMongoDBコレクションで構成されており、そのうち複数には実在の個人に紐づく広範な個人識別情報が含まれていました。 少なくとも3つのコレクション— profiles、unique_profiles、people —には機微なデータが含まれており、ある1つのコレクションだけで、関連する写真を含む7億3,200万件超のユニークレコードが収録されていました。 露出していたフィールドには、氏名、メールアドレス、電話番号、LinkedInのURLおよびプロフィールハンドルが含まれていました。 追加データとして、役職、職歴、学歴、スキル、所在地情報、連携されたソーシャルメディアアカウントも含まれていました。 一部のレコードには、メールの信頼度スコアリングやApollo IDといったエンリッチメント用メタデータも含まれており、マーケティングや事業開発チームが利用するセールスインテリジェンスプラットフォームとの統合を示唆しています。 各コレクション内のレコードは一見ユニークに見える一方で、研究者はコレクション間で重複がある可能性を指摘しました。また、タイムスタンプとスキーマの一貫性から、データは複数の地理的地域にわたり、過去2年以内に収集または更新された可能性が高いとしています。 今回の露出は、よくある問題に起因しているようです。高度な侵入ではなく、人為的ミスにより設定不備のMongoDBデータベースが公開状態のままになっていたとみられます。 このデータセットは自動化されたLinkedIn風のスクレイピングとエンリッチメントを反映しているため、研究者はデータが正確であり、標的型フィッシング、詐欺、偵察にとって非常に価値が高いと考えています。 アイデンティティベースの脅威によるリスクを減らす方法 攻撃者が詳細な職務プロフィールにアクセスできる場合、フィッシング、なりすまし、アカウント乗っ取りの試みははるかに効果的になります。 これらのリスクに対抗するには、組織はアイデンティティの保護、異常行動の検知、資格情報が侵害された際の被害範囲（ブラスト半径）の抑制に注力する必要があります。 行動分析となりすまし検知によりメールセキュリティを強化し、高度にパーソナライズされたフィッシングの試みを阻止する。 フィッシング耐性のあるMFAと最小権限アクセスを徹底し、資格情報の露出による影響を低減する。 資格情報の悪用、異常なログイン、通常のユーザーパターンと一致しない挙動を検知するため、アイデンティティ、SaaS、ネットワークのアクティビティを監視する。 条件付きアクセスのポリシーとデバイス状態（ポスチャ）チェックを適用し、リスクの高い、または不審な活動の後のアクセスを制限する。 サードパーティベンダーを監査し、迅速な資格情報のローテーションと封じ込めのために、アイデンティティ重視のインシデント対応プレイブックを準備する。 これらの手順を組み合わせることで、データに起因する脅威キャンペーンに対する組織のレジリエンスが強化されます。 集約データが現代の脅威を助長する仕組み 今回の露出は、巨大なデータセットが従来型のマルウェアよりも大きなリスクをもたらし得るという、脅威環境のより広範な変化を示しています。 スクレイピング、エンリッチメント、AI支援によるターゲティングが拡大し続ける中、攻撃者は露骨なエクスプロイトに頼るのではなく、技術的な制御を回避し、人間の信頼を突くために集約データをますます活用しています。 このインシデントは、セキュリティチームにとって厳しい現実を再確認させます。数十億件の詳細なプロフィールが無防備に放置されると、その影響はプライバシーの懸念をはるかに超え、具体的な財務・運用・評判上のリスクにまで及びます。 リードジェネレーションとデータエンリッチメントのエコシステムが高度化するにつれ、組織は露出したデータが武器化されることを前提に、アイデンティティ保護、行動検知、そして高度に標的化されたデータ駆動型攻撃へのレジリエンスを優先しなければなりません。 データ駆動型攻撃が暗黙の信頼を悪用する中、組織は侵害を前提とし、アクセスを継続的に検証するゼロトラストモデルを採用すべきです。 翻訳元:

A study maps global privacy enforcement trends and shows how rising regulations, weak compliance, and fast moving tech shape risks for CISOs.

タレスが発表した「2025年データ脅威レポート 金融サービス版」は、金融業界が直面するサイバーセキュリティの現状を詳細に分析しています。クラウドの拡大、AIの進化、API利用の増加といった新たな技術トレンドがもたらす課題と、多要素認証（MFA）導入によるデータ侵害の減少といった明るい側面を多角的に解説。データ保護の最前線で奮闘する担当者の方々へ、具体的な課題解決のヒントと未来への道筋を提示します。

株式会社トータルが開発した「Split2」が特許認定を受け、個人情報の二分割保管による情報漏洩リスクの軽減を図る新システムとして注目されています。

Arcserve Japanが最新のデータ保護ソリューションを提供。ランサムウェア対策を強化した機能で企業の安全を守ります。

Could not keep it under the rug until April Fool’s Day

GrapheneOS は Android ベースのオープンソースで、プライバシーとセキュリティに特化したモバイル向けオペレーティングシステムです。最も安全でプライバシー保護に優れた OS のひとつであり（そうです、この点においては iOS と同等、場合によっては ― 特にプライバシー面では ― iOS より優れている場面すらあります。その話は後ほど触れます）。 しかし 5 月初旬、誰かがソーシャルメディア上で GrapheneOS に対する攻撃を始めました。攻撃者たちは、同意に基づくデータ抽出を、あたかも GrapheneOS が侵害されたかのように誤って描写していました。もしこれがあまりに馬鹿げていなければ笑い話で済んだでしょう。そこで、何が起きたのか、そして「同意に基づくデータ抽出」とは実際には何を意味するのかを見ていきます。 デジタル・フォレンジック デジタル・フォレンジックとは、法的手続きのための証拠を収集する目的で、電子データを発見・分析するプロセスです。 コンピュータ、スマートフォン、ストレージメディアなどのデジタル機器を対象に、デジタル証拠を特定・保全・分析・提示するため、さまざまな技術やツールを用いて調査を行います。 デジタル証拠とは、デジタル形式で保存または送信され、法的な捜査や裁判において証拠として利用できるあらゆるデータや情報を指します。デジタル証拠は、刑事捜査において容疑者の有罪・無罪の立証に用いられることが多く、民事訴訟、規制当局による調査、その他の法的手続きでも利用されます。 残念ながら、デジタル・フォレンジックが悪用されることもあります。調査報道記者や政治活動家に対する弾圧に使われたり、プライバシー侵害、脅迫や嫌がらせ、証拠の改ざんなどに利用される可能性があります。そのため GrapheneOS の開発者たちは、モバイル端末を改ざんから守り、ユーザーの同意なしにデータを抽出することをできる限り困難にしようと懸命に取り組んでいます。 Cellebrite Cellebrite は、デジタルインテリジェンスおよびデジタル・フォレンジック分野をリードするイスラエル企業です。同社の主力フォレンジックツールは UFED（Universal Forensic Extraction Device）と呼ばれ、捜査のためにモバイル端末からデータを抽出・分析するために利用されています。 彼らは世界中の政府に機器を販売しており、そのツールの多くは正当な目的で使用されています。残念ながら、権威主義体制にもツールを販売しています。Cellebrite の顧客リストには権威主義体制であるベラルーシ、ロシア、ベネズエラ、中国、バングラデシュの死の部隊、ミャンマーの軍事政権、そしてトルコ、UAE その他の地で虐待や抑圧を行う勢力が含まれてきました。 前述のとおり、デジタル・フォレンジックツールはまずモバイル端末からデータを抽出しようとします。これはデジタル・フォレンジック調査の最初のステップです。 デジタル・フォレンジックにとっての問題は、モバイル端末がロックされている場合です。ロックされた端末からどうやってデータを抽出するのでしょうか？ いくつかの選択肢がありますが、基本的には 3 つのアプローチが存在します。 1 つ目の選択肢は、いわゆる同意に基づくデータ抽出です。これは単に、ユーザーが自発的に端末のロックを解除する（あるいは PIN コードやパスワードを提供する）ことを意味し、その後フォレンジックツールがロック解除された端末からデータを抽出します。 なぜ誰かが自発的に端末のロックを解除するのでしょうか？たとえば、端末の所有者が捜査機関に協力したい場合があります。犯罪被害者であり、加害者に対する証拠を提供したいのかもしれません。あるいは、そのデータが自分の無実を証明すると知っているのかもしれません。他にも理由はあり得ます。 もちろん疑問はこうです。ユーザーが PIN コードやパスワードの提供、あるいは端末のロック解除を望まない場合はどうなるのでしょうか？ その場合、デジタル・フォレンジック調査には 2 つの一般的なアプローチがあります。1 つ目は、モバイル端末をハッキングしてロックを解除し（その後データを抽出する）よう試みる方法です。もう 1 つは、PIN コードやパスワードを推測して端末のロックを解除し、その後データを抽出する方法です。