見出し画像

7/9、今日のセキュリティニュース

かーでぃ / KAMADA Makoto

おはようございます、かーでぃです。

本記事は、様々なネットニュースサイトからセキュリティ記事を集めて提供している”セキュリティ関連ニュースRSS”から、気になったニュースをピックアップして紹介しています。

情シスさんやサイバーセキュリティを担当されている方、逆に私のようにセキュリティ商材を取り扱う営業の皆様などに活用頂けると幸いです。


プリンタ「HP DeskJet 2800シリーズ」に脆弱性 - 機密情報漏洩のおそれ

ネットワーク経由でプリンタにアクセスできる場合、APIに対して直接リクエストを送信することで、本来はウェブベースの管理画面よりアクセスする必要がある設定情報などを、認証を必要とせずに取得できる。
「Wi-Fi Direct」におけるSSIDやパスフレーズのほか、管理構成データなどの機密情報を窃取されるおそれがあり、さらなる攻撃の足がかりとして悪用される可能性があるという。

プリンタから機密情報漏洩ってどういうことかと思ったら、なるほどSSIDやパスワード情報の漏洩から、それを足掛かりとして横展開される可能性があるということか。

印刷したドキュメント情報を内部キャッシュしてて、それを悪意を持って出力できるようになる、のかと思った。

どっちにしろ、危険な状況だとは思いますので、早々にパッチを当てることをオススメしますー

「JC-STAR」とは：安全なIoT製品を選びやすくするため、セキュリティ機能を評価・可視化する制度

近年、スマート家電やネットワークカメラなどの普及により、インターネットに接続するIoT製品が増加している。その一方で、機器の脆弱性や設定の不備を突かれ、攻撃者に機器を乗っ取られてしまうことがある。乗っ取られたIoT機器が、サーバーに過負荷を与えてサービスダウンを起こすことを狙った「DDoS攻撃」などに利用され、意図せずサイバー攻撃に加担してしまうケースも確認されている。

PCやスマホではごく一般的になっているEPPやEDR、しかしIoTデバイスにおいてはその性質上、そういった物が導入できない（もしくは、導入がむずかしい）ものが多く、そこを悪用されての攻撃というのはよく聞く話です。

JC-STARは、経済産業省およびIPAが運用する、インターネットとの通信が行える幅広いIoT製品を対象として、共通の基準でセキュリティ機能を評価・可視化する制度。
Wi-Fiルーターやスマート家電など、対象となるIoT製品に対し、求められるセキュリティ水準に応じて「★1」～「★4」の4つの基準を定めており、消費者が機器選定の際に判断基準となるようにしています。

また、それらとは別に、EPP/EDRがインストールできないIoT機器向けに通信の状態を調べ、振る舞い検知などを行うサービスも最近出始めていますので、うまく活用していきたいですね。
👉 docomobusinessSIGN

QRコード攻撃はなぜメールセキュリティを無力化できるのか？　その理由を解説

Acronisは2026年4月17日（現地時間）、QRコードを悪用したフィッシング攻撃が、従来型のメールセキュリティ製品が前提としてきた検査方式の限界を突いていると解説した。
　攻撃者は悪性URLをQRコード画像に埋め込み、電子メール本文や添付ファイルとして送信する。受信者がスマートフォンで読み取ると、認証情報を盗む偽のWebサイトや不正プログラムの配布先に誘導される。企業が管理するPCではなく、私物スマートフォンに攻撃経路が移る点も、従来のリンク型フィッシングとは異なる特徴だという。

メール本文にURLではなく、QRコードを埋め込むパターンかー。
いや……それは確かにメールセキュリティをすり抜けるな…
考える奴は、いろんなこと考えますね…💦

QRコードを悪用したフィッシングは増加傾向にある。Anti-Phishing Working Groupは、2025年に向けて画像を悪用したフィッシング攻撃が約400％増加したと報告した。Keepnet LabsとSupercodeは、フィッシング全体の約12％で画像を利用した手法が確認されたとしている。また、ZenSecは2025年に添付ファイル内から約170万件の悪性QRコードを検出し、「Microsoft Digital Defense Report」は教育機関を狙ったQRコード付きフィッシングメールが1日当たり1万5000件を超えたと報告した。

しかも、昨日今日出始めたわけではなく、既に昨年から出回ってて、それなりの件数がカウントされてるじゃん！

これは気を付けたいですね。。
でも、案外QRってなった瞬間に「めんどい」と思って読まない人も多い気がしますけどね。。

「セキュリティ対策証明」経験ありは8割超、だがSCS評価制度迫るも“SaaS把握率”は2割未満

取引先や委託先などサプライチェーンを狙うサイバー攻撃が相次ぐ中、2026年度末までに「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）の本格運用開始が予定されている。SCS評価制度は、企業のセキュリティ対策を客観的に評価し、取引先の対策状況を確認しやすくすると同時に、サプライチェーンのセキュリティ水準の底上げを目指すものだ。
　これについてクラウド人事労務ソフトウェアを提供するSmartHRが2026年5月28日、「サプライチェーンセキュリティ評価制度に関する実態調査」の結果を公表。制度開始を前に、企業の“備え”はどのような状況にあるのか。

いろんなところで何度も言ってますが…
SCS評価制度をいい機会と捉えて、自社のセキュリティ対策状況をしっかりと棚卸し、足りないところに対して重みづけをし、将来像を描きながらしっかりとロードマップを作成しましょう。

詳細はこちら👇

NTTデータ×NTTドコモビジネス、フロンティアAIを活用したサイバーリスク対応サービス

NTTデータとNTTドコモビジネスは7月7日、フロンティアAIを活用したサイバーリスク対応サービスを7月31日より提供開始すると発表した。フロンティアAIとは、高い能力を持つ最先端AIを指す。
同サービスは、フロンティアAIによる高度な分析とNTTグループが擁するセキュリティ専門組織の知見を組み合わせ、脅威・脆弱性の発見から影響評価、優先度判断、修復方針の策定、修復対応、継続運用までを一貫して支援する。

AIリスクは騒がれていますが、まだそこまで注力されてないのが実情だと思います。

状況としては、コロナ禍でリモートワークの導入をセキュリティ面を見ないふりをして導入し、そのツケがVPN機器からのランサム被害に出てる状況と似るんじゃないかな…と推測してます。

ということは、昨年～今年にかけて急いで導入した生成AIツールに、AIリスク対策がされてないケースが多いと思われ、それらが数年後に大きな代償を払うことになるんじゃないかと…

という意味で、AIリスク対策は個人的には必須のサービスだと思っているので、ちょっと気になるサービスですね！

セキュリティニュースの選定には、こちらのRSSを利用していますので、よかったらご利用ください。

https://script.google.com/macros/s/AKfycbzjvRpp8WisgfMKBpSH_Om97XMCO9grM-JpGPPZQoh0hzqMtqhHutmNifm1PlupILL_/exec

RSSについては、👇の記事をご参照ください。

[PR]「セキュリティ対策、できてますか？」に答える本/SCS評価制度で始める、取引先に説明できる備え

なかなかセキュリティ投資ができずに、むずむずしてる情シスの皆さん。今年度末からSCS評価制度が始まります。
これをやらされ感で進めるのと、利用してやろう！という気持ちで進めるのとでは、結果がかなり異なると考えています。
無論、利用してやろう！！と考えた方が良い結果につながります。
ということを書いてますので、キニナル方は是非🙌

いいなと思ったら応援しよう！

かーでぃ / KAMADA Makoto 「いいね」以上、「スポンサー」未満の気持ちで、 もしよければ応援してもらえると嬉しいです。 いただいたチップは、次の記事を書くためのコーヒーと時間に変わります☕