MFA

従業員のAIエージェントが無防備にログイン、企業が直面するリスクと対策

by

概要 個人向けAIエージェントが企業内で利用され始め、AmazonがMetaのMuseをボットとして識別できずブロックした事例が報じられました。エージェントが自動でログイン状態を保持することで、機密情報への不正アクセスリスクが高まります。プライバシーとセキュリティの課題が顕在化しています。 技術的詳細・特徴 AIエージェントはユーザーの認証情報を保存し、バックグラウンドでサービスにアクセスします。主な特徴は： シングルサインオン（SSO）やトークンの自動再利用 ブラウザやアプリ内での常時ログイン状態維持 メタデータが不足しているため、従来のボット検知システムで識別しにくい このため、エージェントが企業の内部システムやクラウドサービスに無意識に接続し、権限が過剰に付与されるケースが増えています。 Instinct社のエージェントはユーザーの会話履歴をクラウドに保存し、プライバシー保護が不十分と指摘されています。企業はデータ保持ポリシーを確認し、不要なデータ収集をブロックすべきです。 影響・対策方法 主な影響は情報漏洩、権限昇格、サービス妨害です。対策としては以下が有効です。 AIエージェントの利用をポリシーで明文化し、許可されたツールのみ使用する 認証トークンの有効期限を短くし、MFAを必須化する エージェントのアクセスログを監視し、異常な振る舞いをSIEMで検知する ボット検知システムにAIエージェント用の指紋情報を追加する さらに、エージェントが内部ユーザーになりすますことで、内部脅威として検知が困難になる点も注意が必要です。 出典 情報元: The Hacker News

米兵がAT&T・Verizonへのデータ窃盗で70か月懲役

by

概要 米陸軍兵士がAT&TやVerizonなど複数の通信事業者から通話・SMSメタデータを不正取得し、約1億2000万件以上の個人情報を盗んだとして、70か月（約5年10か月）の懲役と約30万ドルの賠償金を言い渡された。 犯人は「Kiberphant0m」というハンドルで活動し、Snowflakeの認証不備を突いてクラウドデータを取得、さらに同僚と共に企業を脅迫してデータ公開を防いだ。 本件は2024年から2025年にかけての大規模サイバー犯罪で、米国司法当局が厳罰を適用した例として注目されている。 技術的詳細・特徴 主な手口は以下の通り。 多要素認証（MFA）未設定のSnowflakeアカウントから認証情報を取得し、クラウド上の顧客データをダウンロード。 AT&TやVerizonの内部システムに不正アクセスし、通話・SMSのメタデータ（発信元・宛先番号、時間、通話時間等）を大量に抽出。 取得したデータを公開しない代わりに金銭を要求する「エクストーション」手法を実行。 共犯者としてIoTボットネット運用経験のあるKenneth Schuchmanが関与し、脅迫メールの配信や攻撃の足掛かりを提供した。 影響・対策方法 被害は数千万件規模の個人情報漏洩で、詐欺やなりすまし電話のリスクが高まる。企業側は以下の対策が必須。 全ユーザーアカウントにMFAを強制し、認証情報の漏洩リスクを低減する。 クラウドサービスのアクセス権限を最小化し、定期的な権限レビューを実施する。 内部ネットワークの監視と異常検知を強化し、特権アカウントの使用をログで追跡する。 サプライチェーンのセキュリティ評価を行い、外部ベンダーのセキュリティ基準を厳格に適用する。 出典 情報元: Krebs on Security

元ハッカー逮捕とShinyHuntersの急激な攻撃拡大

by

概要 オランダで元サイバー犯罪者のペピェン・ファン・デル・スタップ容疑者（24歳）が逮捕された。逮捕直後、ShinyHuntersはFBIの機密データを盗み、ロシアのランサムウェア組織Cl0pを脅迫するなど攻撃を激化させた。本件はハッカーの“リフォーム”と組織のリスク管理の重要性を示す。 技術的詳細・特徴 ファン・デル・スタップはハンドル名“Umbreon”でRaidForums等に2.3百万件の個人情報を販売していた。白昼はサイバーセキュリティスタートアップでソフトウェアエンジニア、夜はデータ窃盗・身代金要求を実行。ShinyHuntersは漏洩データを暗号化し、身代金要求に暗号通貨を使用する高度な手法を採用。今回の逮捕は、内部関係者が外部ハッカーと結託するリスクを浮き彫りにした。 影響・対策方法 企業は漏洩情報の早期検知と公開を徹底し、MFAやゼロトラスト導入で認証強化を図るべき。脅威インテリジェンスでShinyHuntersのインフラや手口を監視し、被害に遭った場合は法執行機関と連携して証拠保全を行う。内部のセキュリティ意識向上と、過去の犯罪歴を持つ従業員のリスク評価も重要だ。 出典 情報元: Krebs on Security