ヴァンドームジュエリーオンラインストアからのカード情報漏えい(転載)


【限定】ヴァンドームジュエリーオンラインストアからのカード情報漏えい:

ヴァンドームヤマダが不正アクセス被害、顧客カード情報2,715件流出か

株式会社ヴァンドームヤマダは2021年11月25日、同社が運営するオンラインショップ「ヴァンドームジュエリーオンラインストア」が何者かのサイバー攻撃を受けたことにより、過去「ヴァンドームジュエリーオンラインストア」にてカード決済したユーザーのクレジットカード情報2,715件が流出した可能性があると明らかにしました。

株式会社ヴァンドームヤマダによれば、原因は同社ECサイトに内在していた脆弱性によるものです。同社は2021年10月11日に「ヴァンドームジュエリーオンラインストア」の決済代行会社からカード情報が流出した可能性があると指摘を受けたため、第三者専門機関を通じて調査を実施したところ、「ヴァンドームジュエリーオンラインストア」にサイバー攻撃の原因となる脆弱性が内在していた事実が判明したとしています。

株式会社ヴァンドームヤマダによると、攻撃者はシステムに内在していた脆弱性を利用して、「ヴァンドームジュエリーオンラインストア」の決済フォームを改ざんしていました。このため、攻撃を受けていた期間中(2021年8月2日~2021年10月11日)に決済フォームに入力されたカード情報が外部に流出した可能性があるとのことです。

株式会社ヴァンドームヤマダは不正アクセスの発生を受け、事実を公表するとともに被害可能性の生じているユーザーへの対応を進めています。

また、攻撃を受けた「ヴァンドームジュエリーオンラインストア」については被害懸念が生じた時点で停止措置を講じており、今後はセキュリティ強化を含めた改修を実施するとのこと。再開日は決定次第、公表するとしています。

なお、同社は不正アクセスの懸念発生から公表までに約1カ月のタイムラグが生じた点について「混乱を避けるため」と説明。対応準備を整えるために時間を要したとしていますが、同様の事例では3カ月以上が経過する例もあります。

プレスリリースバックアップ

西光亭ネットショップからのカード情報漏えい(転載)


【限定】西光亭ネットショップからのカード情報漏えい:

西光亭ネットショップがサイバー攻撃被害、カード情報3,079件や会員情報流出の可能性

有限会社サンタネは2021年11月17日、同社が運営している「西光亭ネットショップ」が何者かのサイバー攻撃を受けたことにより、過去「西光亭ネットショップ」にてクレジットカード情報を入力したユーザーのカード情報3,079件や同社が保有する会員データベース情報について流出の可能性があると明らかにしました。

発表によると、2021年6月16日、「西光亭ネットショップ」のシステム開発元よりサイトに内在している脆弱性について連絡を受けたため、調査を実施したところ、不正アクセスの痕跡が見つかったとのこと。

このため、サンダネ社が外部調査機関による専門調査を実施したところ、何者かが「西光亭ネットショップ」の決済システムを改ざんしており、2021年3月10日~2021年6月16日の期間中に「西光亭ネットショップ」にてカード決済したユーザーのクレジットカード情報やメールアドレス・パスワード等の情報を盗み取っていた可能性があると判明。さらに攻撃者が同社の会員データベースに手を伸ばしていた事実が確認されたとしています。

有限会社サンタネによると、同社は今後、被害懸念の生じているユーザーに個別に連絡を取り、不正利用の可能性について注意を促す方針です。

同社は不正アクセス懸念が生じた2021年6月16日時点で「西光亭ネットショップ」の運用を停止していましたが、事実を公表するまでに約5カ月が経過した点について、混乱を避けるために必要な判断だったと説明しています。

すなわち、専門調査が完了せず情報が不確定な段階で事実を公表することにより生じる混乱を避け、対応準備を整えるため、公表時期について慎重な結論を出したとのことです。なお、同社は「西光亭ネットショップ」の再開時期については、決定次第、告知するとしています。

プレスリリースバックアップ

2021年10月1日~15日 サイバー攻撃のタイムライン / 1-15 October 2021 Cyber Attacks Timeline


1-15 October 2021 Cyber Attacks Timeline:

2021年10月の最初のサイバー攻撃のタイムラインが来ましたが、少なくとも数字の面では、今年の最低記録を更新したと言わせてください。前回のタイムラインでは108件だったのに対し、今年は77件でした。それにもかかわらず、ランサムウェアは引き続き脅威の主流となっており、直接的または間接的に28.6%を占めています(前回のタイムラインでは26.8%)。

脆弱性は、日和見主義の攻撃者や国家が関与する攻撃者にとって、攻撃者が最初にアクセスするベクターの一つとして引き続き好まれています。また、ランサムウェア「Atom Silo」は、CVE-2021-26084の脆弱性を持つConfluenceサーバを標的にしており、Apache Software Foundationでは、Webサーバにパッチを適用して3つの脆弱性に対応していますが、そのうちの1つであるCVE-2021-41773は攻撃者に積極的に利用されています。

しかし、モバイルOSまでもが攻撃を受けています。Apple社はiOS 15.0.2とiPadOS 15.0.2をリリースし、野生で活発に悪用されているゼロデイ脆弱性CVE-2021-30883を修正しました。

いつものように、サイバースパイの最前線では様々な出来事が起こっています。APT28は常に活発に活動しており、Googleは14,000人以上のGmailユーザーにメールで通知を送らなければなりませんでした。上記のIronHuskyの他にも、APT35、APT41、Donot Teamによる新たなキャンペーンや、DEV-0343と呼ばれる新たなアクターが、米国やイスラエルの防衛技術企業のOffice 365テナントを対象に、大規模なパスワード・スプレー攻撃を行っていることがタイムラインに記載されています。

日本関連のインシデントはありませんでした。

ランサムウェアギャングが発表した被害者リスト(2021年11月版)By DarkTracer

 

Dark Tracerによると、10月は日本企業4社がランサムウェアの被害にあっている模様。


株式会社イシダ(https://www.ishida.co.jp/)

シークス株式会社(http://www.siix.co.jp/)

I&H株式会社(http://www.hanshin-dp.co.jp/)

株式会社 ぬ利彦(https://www.nurihiko.co.jp/)


オープンソース研究を始めるためのファーストステップ / First Steps to Getting Started in Open Source Research

 First Steps to Getting Started in Open Source Research

オープンソース・リサーチは、ジャーナリストや特定の機関の研究者だけでなく、誰もが不正行為を明らかにし、犯罪や残虐行為の加害者に責任を取らせるための調査に貢献できることを約束するものです。

インターネットに接続できる環境があり、自由な時間があり、事実を正しく伝えようとする頑固な姿勢があれば、あなたもオープンソース・リサーチの研究者になれるのです。

オープンソース・リサーチを始めることは、特にこの分野がまったくの初心者であれば、困難なことです。しかし、恐れる必要はありません。このガイドでは、スキルを身につけ、自分の興味に合ったコミュニティを見つけ、最終的に重要な研究に手を貸すための具体的なステップを説明します。

これらのステップを踏むことで、どこでオープンソースの研究者を見つけるか、彼らの仕事を観察して学ぶ方法、そして身につけた新しいスキルを実践する方法を学ぶことができます。

1. 自分のスキルや興味を把握する

あなたは特定の紛争に興味がありますか?あるいは、パズルを解くのが好きで、それが画像の地理的な位置を特定することにつながるのでしょうか?プログラミングの経験があったり、複数の言語の知識があったりしますか?あるいは、軍事的な機械や設備に興味がありますか?

自分がどのようなテーマに興味があり、何が得意なのかを把握しておけば、ソーシャルメディアでフォローしたい研究者を見つけることができ、最終的には自分の研究に役立てることができるでしょう。

自分のスキルや興味がこの分野にどのように反映されるかわからない場合でも、心配する必要はありません。それは、あなたがもっと多くのことを発見できるということです。

2. Twitterでの情報発信

このステップの重要性は、いくら強調してもし過ぎることはありません。

Twitterは、オープンソースの研究を特定し、議論し、普及させるための主要なメディアです。Twitterには、最良の方法や実践について他の人と議論したり、自分や他の人の研究を共有したりすることに熱心な実践者がたくさんいます。Twitterのアカウントを持っていれば、研究者をフォローして、彼らの研究から学ぶことができるだけでなく、同じ考えを持つ研究者に質問したり、議論に参加したりすることができます。

セキュリティを重視する方や、匿名にしたい理由がある方は、本名やその他の個人情報を含まないTwitterアカウントを簡単に作成することができます。オープンソースの研究コミュニティでは、匿名のアカウントを歓迎していますし、匿名で活動することにネガティブな意味合いはありません(ただし、出版物のオファーや仕事の機会があれば、最終的には自分の身元を明かさなければならないかもしれません)。

それでもツイッターに抵抗がある人は、何も投稿しなくてもいいことを覚えておいてください。ツイッターの主な目的は、他の研究者が何を言っているか、何を発表しているかを紹介することですから、希望しない限り誰とも交流する必要はありません。

3. 人を探す(リストに入れる)

Twitterを始めたら、多くのオープンソース研究者をフォローしてみましょう。そうすることで、この分野がどのようなトピックに興味を持っているのか、どの組織がどのような問題に焦点を当てているのか、どのような手法で研究を行っているのかを知ることができます。さらに重要なのは、手法やツール、ベストプラクティスについて、専門家から直接学ぶことができるということです。

オープンソース研究の世界を知ったばかりの方は、New York Times Visual InvestigationsBellingcat、Washington Post Visual Forensicsチームなどの確立された機関の研究者を広くフォローするのが良いかもしれません。

オープンソースの研究者を見つける簡単な方法の1つは、Twitterのリストをフォローすることです。ユーザーは誰でもアカウントのリストを作ることができ、ニューヨーク・タイムズのVisual InvestigationsチームのMalachy Browneのように、そのリストを公開している人もいます。彼の「OOSIリスト」には200人以上のオープンソース研究者が含まれており、リストをフォローすることでその研究内容を知ることができます。

OOSI、OSINT、OSI - 名前に込められた意味とは?

「オンラインオープンソース調査」(OOSI)という言葉を使う人もいれば、「オープンソース調査」(OSI)という言葉を使う人もいますが、最も長く使われていて、ソーシャルメディアで最もよく使われているのは「オープンソースインテリジェンス」(OSINT)という言葉です。これらの用語は通常、同じ意味で使われていますが、これらの用語にはいくつかの違いがあるので、検討してみてください。

OOSIとOSIの違いは名前にあります。OOSIはオンラインソースのみを使用した調査を意味しますが、OSIはオフラインのオープンソースも使用した調査を意味します。

OSINTの代わりにOOSIやOSIを使う人がいるのは、「OSINT」という名称が諜報機関に直結していると感じるからである。これらの機関にとってOSINTは、HUMINT(ヒューマン・インテリジェンス)、SOCMINT(ソーシャル・メディア・インテリジェンス)、IMINT(イメージ・インテリジェンス)などを含む情報源のエコシステムの一部である。独立系の研究者の中には、そのような意味合いに違和感を覚える人もいるかもしれませんが、この言葉は今でも広く使われており、おそらく最も認知されていると思います。

いずれにしても、これらの検索用語をすべて使用して、利用できるリソースを広げることをお勧めします。

Malachy BrowneのOOSI Twitter Listには、200人以上の研究者や組織が登録されており、彼らの活動を知ることができます。

研究者のTwitterリストは他にもあります。

時間が経ち、この分野に慣れてくると、その幅の広さと多様性に気づくでしょう。あるコーナーでは、紛争地域のビデオに映っている武器を特定することに専念している研究者がいたり、航空機船舶の追跡に時間を費やしている人がいたり、ジオロケーターの専門家がいたりします。ニッチな研究者のリストを自分で作りたいと思うかもしれませんが、それはこのガイドの手順に従えば可能です。

4. 地域のコミュニティを探す

オープンソースの研究者や愛好家は、オンラインで過ごす時間が長いため、Twitter以外のデジタルスペースにも顔を出している可能性があります。

Discordは人気のあるメッセージングアプリで、いくつかのオープンソースコミュニティが拠点を設けています。これらのコミュニティは、インターネット初期のチャットルームのようなもので、Discordの用語では「サーバー」と呼ばれています。

BellingcatのDiscordサーバーはここにあります。誰でも参加でき、ツールを共有したり、質問をしたり、研究プロジェクトを共同で進めたりすることができます。サーバーはトピックに分かれており、ユーザーは関連する内容を投稿して議論することができます。

Discordサーバーを持つ他のオープンソースコミュニティをチェックしてみましょう。

  • The OSINT Curious ProjectOSINT Curiousプロジェクト:オープンソース研究に関するニュースや教育情報を共有するためのウェブサイト、OSINT Curiousのコミュニティハブ。

  • Project OWL:オープンソース研究のあらゆる側面に特化したこの広大なサーバーでは、常に数千人のメンバーがオンラインで活動しています。

  • Bridaga Osint:スペイン語圏のコミュニティのための情報やリソースを共有するためのサーバーです。
オープンソースに特化したDiscordサーバーは他にもたくさんありますので、探すのをやめないでください。オープンソースの研究は共同作業であることを忘れずに、外に出てネットワークを作ることを恐れないでください。

Discordチャンネルは、研究に興味のある他の人と会って話をするのに最適な場所です。BellingcatのDiscordサーバーには、リサーチツールやリソースを共有するためのチャンネルがあります。

r/OSINTは26,000人以上のメンバーがおり、この分野に関するあらゆる質問や回答が集まる活発なハブとなっています。

r/TraceAnObjectサブレディットは、EUROPOLの#TraceAnObjectキャンペーンやFBIのEndangered Child Alert Programに協力したい人たちを集めるための専用サブレディットです。このキャンペーンでは、法執行機関が、児童の性的虐待画像に写っている個人や物、場所を特定するために、一般の人々に支援を要請することができます。これらのサブレディットに時間を費やすことで、子供の救出に協力できる可能性があるだけでなく、その過程でオープンソースリサーチのスキルを身につけることができます。Bellingcatのカルロス・ゴンザレスは、この2つのキャンペーンをパートタイムで手伝ったことで、オープンソース・リサーチを始めました。

このような場に参加し、仲間や研究者と交流することで、重要なプロジェクトに貢献する機会が得られるかもしれませんし、自分でプロジェクトを立ち上げるきっかけになるかもしれません。

5. 観察、学習、そして実践

コミュニティの様子や、研究者が集まる場所、誰が何を研究しているのかを把握した後は、身につけた新しいスキルの開発と実践に時間を割くことができます。

研究スキルを磨くための優れた方法のひとつに、Twitterの@Quiztimeチャレンジがあります。このアカウントは、毎日画像を投稿し、その画像がどこで撮影されたかを正確に調べることに挑戦しています。

クイズは、画像に写っているものが何であるか、いつ撮影されたものであるか、というように、画像の地理的な位置関係をもとにして行われることもあります。

今回のクイズタイムでは、この橋がどこにあって、いつ建設されたかを調べてください。あなたならどうしますか?

クイズタイムのチャレンジで身につけられるスキルは、地理的なものだけではありません。

先ほどの例で言えば、「地球上のどこか」から「特定の国や地域」に絞り込むにはどうすればいいでしょうか?それがどんな橋なのか、どうやって判断するのか。逆画像検索でいいのか、それとももっと橋のデザインを掘り下げないといけないのか。橋梁建築のデータベースなどがあれば、それを利用することもできます。地理的な位置を特定するためにはGoogleマップが必要ですが、世界の多くの場所にはGoogleストリートビューがありません。もし、この橋がある場所がそうだとしたら、他にどのようにしてその場所のストリートレベルの画像を見つけることができるでしょうか?

これらは、この課題を解決するために自分自身に問いかける質問のほんの一部であり、紛争地域での残虐行為の画像を検証するオープンソースプロジェクトに取り組む際にも同じような質問が投げかけられることでしょう。

同様に、Geoguessrは、オープンソースコミュニティで人気の高い位置情報ゲームです(BellingcatOSINT Curiousは、TwitchでGeoguessrゲームを配信しています)。このゲームでは、Googleストリートビューの画像の中に入り、その写真がどこで撮影されたかを正確に当てるのが仕事です。推測するたびに、ポイントが与えられます。あなたの推測が実際の場所に近ければ近いほど、より多くのポイントを得ることができます。

情報をググってはいけない」「着地した場所から動いてはいけない」など、さまざまなルールでプレイすることができます。これにより、ゲームの難易度を自分の好みに合わせて調整することができ、何度もプレイすることができます。

「Geoguessr」では、何時間もかけてジオロケーションのスキルを磨くことができます。

この時点で、いくつかのステップを組み立てることができます。例えば、他のTwitterユーザーと協力してクイズタイムに挑戦したり、BellingcatのDiscordサーバーで知り合った人たちとGeoguessr Game Nightを開催したりすることができます。

また、Trace LabのSearch Party CTFのように、4人のチームで行方不明者の情報を探して競うイベントに参加することも考えられます(Trace Labsが具体的に何をしているのか、なぜそうしているのかについては、彼らの「About」ページで詳しく説明されています)。これらのイベントに参加することで、行方不明者の発見に貢献できる可能性があるだけでなく、自分のスキルをチームで実践することで、他のOSI愛好家と仕事をする(そして学ぶ)機会を得ることができるのです。

さて、すべての準備が整ったところで、あなたの道を切り開くためのいくつかのアイデアをご紹介しましょう。

コミュニティ・リソースをブックマークする

オープンソース・リサーチ・コミュニティの大きな特徴の一つは、知識の共有を積極的に行っていることです。このような知識の共有は、ツールや研究プロジェクトを紹介するニュースレターやコミュニティリソースページの形で行われることもあります。

Sector035の「Week in OSINT」は、オープンソースリサーチの世界における過去7日間を振り返る週刊ニュースレターです。ニュースレターでは、コミュニティが発見・開発した新しいツールから、発表されたばかりの記事やその他のリソースまでをカバーしています。Week in OSINTは、オープンソース・リサーチの最良かつ最新の情報をあなたの受信箱にお届けし、この分野を学ぶための確実な方法となっています。

Bellingcatの「ガイドとリソース」セクションには、方法論に焦点を当てた記事が含まれています。このセクションの記事の目的は、読者に新しいツールやテクニックを紹介し、それを研究プロジェクトでどのように使用するかの例を提供することです。また、デジタル調査ツールキットも用意しており、定期的に新しいツールを更新しています。

先にDiscordチャンネルで紹介したOSINT Curiousは、オープンソース研究者のコミュニティで、ポッドキャストを制作したり、オープンソースに関するあらゆることをライブ配信しています。彼らは常に新しいコンテンツを発信しているので、学ぶべきことに事欠くことはありません。

また、 hatless1derのUltimate OSINT CollectionOSINT Hubのように、個々の研究者が率先してリソースを収集し、公開しています。ツイッターでの研究状況に慣れてくると、このような有用なリソースを自主的にコミュニティで共有している個人を見つけることができるでしょう。

オープンソースの研究プロジェクトの進め方を隅々まで知りたいという方は、Berkeley Protocol on Digital Open Source Investigationsをブックマークしてください。この文書は、研究の倫理的・法的考察から、セキュリティ意識、データの収集・分析まで、ワークフローに関するあらゆる疑問を解決するためのワンストップ・リソースです。このプロトコルは、カリフォルニア大学バークレー校の人権センターが中心となって、この分野で最も優秀な人材を集めた素晴らしいチームによって作成されました

辛抱強く、そして楽しく

おそらく、地理的位置、時間的位置、画像内のオブジェクトを判断するなど、あなたが開発しようとしているその他のスキルを習得するのは難しいとすぐに気づくことでしょう。また、@Quiztimeの課題を解くことができなかったり、Discordサーバーで人々が交わしている会話の中に、自分が聞いたこともないようなトピックやテクニックが含まれていたりするかもしれません。

落ち込んではいけません。辛抱してください。

この仕事を生業としている私たちの誰もが、最初の日、最初の週、あるいは最初の月に、これらのスキルのどれかを持っていたわけではありません(重要なことに、多くの、あるいはほとんどの熟練した研究者は、この仕事をまったく生業としていません)。実際、オープンソースの研究者に聞いてみると、毎日のように新しいことを学んでいるし、この分野では自分も初心者であるということを言うでしょう(例えば、私はPythonについてほとんど何も知りません)。

勉強のペースが遅いと感じても、落胆しないでください。楽しく学んでいるうちに、必ず上達していきます。頑張れば、1ヶ月後、1年後の初日を振り返ったときに、自分がどれだけ進歩したかを実感できるはずです。

心のケアを忘れずに。

オープンソースの研究者として旅に出る際には、調査するトピックや出来事によっては、トラウマになるような内容に触れる可能性があることを認識しておくことが重要です。紛争地域での映像、環境破壊、自然災害後の人間の悲劇などがそれにあたります。人はそれぞれ異なるので、トラウマになるような素材を扱う際のトリガーや閾値も異なります。

トラウマについて学び、回復力を高めるためのオンラインリソースがあることを知っておくことは重要です。Dart Centre for Journalism & Traumaは、ジャーナリストや研究者に、トラウマを扱うための実用的なガイドなど、トラウマを扱うためのリソースを提供しています。苦しくなってからではなく、これらのリソースをチェックしましょう。悩んでからではなく、これらのリソースに慣れ親しみ、その提案をワークフローに取り入れて、心の健康と幸福を確保してください。

LockBit 2.0ランサムウエアギャングは、“hanshin-dp.co.jp”をハッキングしたと宣言 / LockBit 2.0 Ransomware Group just added a new Hack: “hanshin-dp.co.jp”(転載)


LockBit 2.0 Ransomware Group just added a new Hack: “hanshin-dp.co.jp” Twitter Telegram © ALL RIGHTS RESERVED TO DarkFeed 2020

The post LockBit 2.0 appeared first on DeepWeb intelligence Feed.



LockBit 2.0ランサムウェアギャングは“siix.co.jp”をハックしたと宣言 / LockBit 2.0 Ransomware Group just added a new Hack: “siix.co.jp”


LockBit 2.0 Ransomware Group just added a new Hack: “siix.co.jp” Twitter Telegram © ALL RIGHTS RESERVED TO DarkFeed 2020

The post LockBit 2.0 appeared first on DeepWeb intelligence Feed.


Snatchランサムウエアギャングはイシダをハッキングしたと宣言 / Snatch Ransomware Group just added a new Hack: “Ishida” (転載)


Snatch:

Snatch Ransomware Group just added a new Hack: “Ishida” Twitter Telegram © ALL RIGHTS RESERVED TO DarkFeed 2020

The post Snatch appeared first on DeepWeb intelligence Feed.