最新記事一覧
エンジニア経験を生かし、資格取得支援やメンター指導でプロフェッショナルへ成長する。多様な業務で自分を磨き続けられるキャリアが、ここにある。
()
生成AIの武器化が進み、企業の「AIエージェント」が新たな攻撃面になっている。サイバーセキュリティの国際会議「Black Hat USA 2025」でCrowdStrikeが最新の脅威動向を示した。
()
近年、生成AIを標的にした新たな攻撃が続々と登場している。特に自然言語で巧妙に設計した入力（プロンプト）によって生成AIをハックするプロンプトインジェクションには要注意だ。この攻撃が成立する流れを徹底的に深堀りする。
()
Zenity Labsの専門家は、広く使われている生成AIを攻撃者が悪用し、データを窃取したり改ざんしたりできると証明した。研究において、各社のAIエージェントが露呈した脆弱性について確認しよう。
()
製品の脆弱性情報を管理している共通脆弱性識別子（CVE）は、MITREと政府の間の契約に問題が発生し、2025年4月には閉鎖寸前にまで追い込まれた。この問題から有識者たちはCVEには構造的な欠陥があり、その解消が必要だと主張している。
()
MicrosoftはBlack Hat USA 2025で、WinREの設計変更を悪用し、BitLockerを回避する4件のゼロデイ脆弱性を公開した。物理アクセスで認証不要の攻撃が可能とされている。
()
セキュリティ研究者がActive DirectoryとEntra IDのハイブリッド環境における新たな横展開手法を発表した。MFA回避や検知困難な権限奪取を可能にする設計上の脆弱性と、その対策の必要性を示している。
()
FFRIセキュリティの松尾和輝氏がBIOS上でOSに依存せず動作するマルウェア「Shade BIOS」についてBlack Hat USA 2025で発表する。Shade BIOSは、BIOSの環境をOS起動後も維持し、従来のUEFIマルウェアを超える検出困難な構造を持つ。
()
MicrosoftとCrowdStrike、Googleらはハッカーグループの関係を整理し、可視化するための共同プロジェクトを立ち上げた。これによって、脅威への迅速な対応の実現が期待されている。
()
VicOneは「コネクテッドカー規制とSBOM」をテーマにオンラインでセミナーを開いた。Astemo、ティアフォー、VicOneから出席した立場の異なる3人の登壇者が、コネクテッドカーに求められるセキュリティとソフトウェア部品表（SBOM）について語った。
()
ハードウェアの開発や製造の専門家が、高度な技術を持つ攻撃者を育成する土壌となり得るある詐欺を紹介した。誰もが引っかかる可能性があるその詐欺の内容は。
()
生成AIツールの普及に伴って新しい脅威として広がりつつあるのが、プロンプトインジェクション攻撃だ。「Copilot」などの生成AIツールのどのような機能や欠点が狙われるのか。
()
2024年8月30日、アイティメディアが主催するセミナー「ITmedia Security Week 2024 夏」における「アタックサーフェス管理」ゾーンで、多摩大学 ルール形成戦略研究所 客員教授 西尾素己氏が「攻撃者はAIを使ってここを狙う。今知るべき最新攻撃事情」と題して講演した。
()
CrowdStrikeによるソフトウェアアップデートの不具合を原因とした世界的なIT障害発生後、顧客はリスク分散に向けてベンダーの分散を図っている。これは競合他社のSentinelOneやPalo Alto Networksにとって有利に働く可能性がある。
()
生成AIの利用が広がる中、大規模言語モデル（LLM）を狙った攻撃も活発になりつつある。NVIDIAの研究者が生成AIの“2大脅威”について語った。生成AIを安全に使うために知っておきたい点とは。
()
脅威グループはあくまで防御側と同じで人間にすぎないが、セキュリティ業界では彼らに特有の名前を付けて特別な組織であるかのように扱ってしまう。この風潮に対して有識者たちがコメントした。
()
うっかり見逃していたけれど、ちょっと気になる――そんなニュースを週末に“一気読み”する連載。今回は、8月18日週を中心に公開された主なニュースを一気にチェックしましょう！
()
イスラエルのサイバーセキュリティ企業の米SafeBreachの研究者は、セキュリティカンファレンス「Black Hat USA 2024」でWindowsアップデートプロセスを悪用してシステムを古い脆弱なバージョンに戻すダウングレード攻撃「Windows Downdate」を発表した。
()
Microsoft DefenderとKaspersky EDRにリモートからのファイル削除を可能とする脆弱性が見つかった。この問題はセキュリティソフトウェアのマルウェア検出機能が悪用されている他、問題の完全な解決は困難だと研究者は指摘している。
()
TechTargetは、「ChatGPTプラグインの脆弱性」に関する記事を公開した。ChatGPTプラグインの脆弱性が発見され、OpenAIと2つのサードパーティーベンダーは修正対応した。だが、セキュリティベンダーの研究者は「ChatGPTプラグインには依然としてセキュリティリスクが存在する」と警告している。
()
三菱電機が「ペネトレーションテスト」のシナリオを自動生成するツール「CATSploit」（キャッツプロイト）を発表した。同様のツールは世界初という。
()
SentinelOneの研究者によると、サイバー攻撃者はWindowsやLinux、ESXiに対する攻撃のためにRustやGoのようなプログラミング言語を使用している。
()
既知の脆弱性をうまく組み合わせれば、SAP製品への攻撃ができると、セキュリティベンダーOnapsisは警鐘を鳴らす。同社が発見した恐ろしい攻撃手法とは何か。
()
Googleが発見した「Downfall」は、2018年に公開した「Spectre」「Meltdown」に続くIntel製CPUの脆弱性だ。Downfallは、何が危険なのか。発見者であるGoogleの研究者が明かす。
()
このコラムではパスワードの使い回しはNGだと口が酸っぱくなるまで言っています。では、ちょっと変更すれば問題ないのかというと、そうでもないようで……一体どうすればいいのでしょうか。
()
基本的なサイバーセキュリティ対策を怠った結果、情報漏えいやサイバー攻撃の被害に遭うケースが後を絶たない。しかし、セキュリティの「基本」は思っているより難しいようだ。
()
パブリッククラウド利用を進める上で、セキュリティの観点から注意すべきことは何か。AWSのCISO室のディレクターが顧客が“やりがちなミス”を明らかにした。
()
脅威インテリジェンスを有効に活用して防御を構築するためには、まず何から始めればいいのだろうか。組織及びCISOがやるべきことをまとめた。
()
サイバーセキュリティ業界において、攻撃者と防御者のいたちごっこが続く中、防御側が優位に立つためにはどうすればいいのか。
()
ドイツのベルリン工科大学などに所属する研究者らは、テスラ（Tesla）をハッキングし、有料機能をアンロックするなどの攻撃が行える脆弱性を提案した研究報告を発表した。
()
サイバーセキュリティ会社の米IOActiveに所属する研究者らは、カジノのカードシャッフルマシンをハッキングする手法を発表した。
()
イスラエルの脅威情報企業Hudson Rockは、自身のマルウェアに感染したサイバーセキュリティ脅威者「La_Citrix」の正体を特定したと報じた。今後同様の事例の増加する可能性が指摘されている。
()
今回のコラムでは、個人のセキュリティ対策で役立つ買い物を3つピックアップしたいと思います。ぜひ次のプライムデーで購入を検討してみてはいかがでしょうか。
()
Trend Microの研究者らは、5月に開催したセキュリティイベントで「舞台裏：犯罪企業が数百万台のモバイル機器を事前に感染させる方法」という講演を行った。
()
「ProxyLogon」は始まりにすぎなかった。2020年末からMicrosoftの「Exchange Server」に見つかった脆弱性は、ProxyLogonだけではない。
()
ウクライナは活発化するロシアのサイバー攻撃にさらされながらも、抵抗を続けている。その背景には、ウクライナ政府にとっての“準備期間”の存在があるという。どういうことなのか。
()
2022年に公開したMONOist組み込み開発フォーラムの記事をランキング形式で振り返る。1位に輝いたのは、2021年も1位になった半導体不足の記事でしたが、問題解消に向けた光明も見えつつあります。
()
2022年10月27〜28日にCODE BLUE 2022が開催された。本稿は、IBM X-Forceのニール・ワイラー氏による基調講演の様子をレポートする。同氏の講演からは6つの残念なセキュリティ事例と推奨される7つの対策が明らかになった。
()
筆者の今岡通博氏がハッカーの祭典「Black Hat」に投稿した、ハードウェアの改変を中心にしたハッキングの事例を紹介する本連載。第2回は、赤外線リモコンを使ってBadUSBを遠隔操作する「IR-BadUSB」だ。
()
筆者の今岡通博氏がハッカーの祭典「Black Hat」に投稿した、ハードウェアの改変を中心にしたハッキングの事例を紹介する本連載。第1回は、LANケーブルからのスニッフィング（パケット取得）を可能とする「LANケーブルから直接パケットを取得するワイヤタッピングプローブ」だ。
()
「Python」はペネトレーションテスト担当者が学ぶのに適したプログラミング言語だと専門家は主張する。Python以外にも目を向けるべきコンピュータ言語や、学習を継続させるために重要なこととは。
()
「Python 2」と「Python 3」にはさまざまな違いがある。ペネトレーションテストでの「Python」活用を推奨する有識者が、特筆すべき両者の違いを解説する。
()
ペネトレーションテスト担当者にとって、「Python」は優先して習得すべきプログラミング言語だと専門家は推奨する。それはなぜなのか。そもそもPythonは学びやすいのか。
()
「OWASP API Security Top 10」に含まれるAPIの脆弱性の挙動を観察できるオープンソースツール「vAPI」が登場した。どのように役立つのだろうか。
()
クラウドサービスの脆弱性が見えにくい現状を打破するため、セキュリティ専門家がクラウドサービスの脆弱性公開の枠組みを考案した。その要件とは何か。どのようなメリットをもたらすのか。
()
ハッキング技術コンテスト「Pwn2Own Austin 2021」では、セキュリティ研究者が名声と賞金を懸け、NASやスマートフォン、ルーター、プリンタなどのデバイスの攻撃に挑戦した。どのような結果になったのか。
()
IIJが「IIJセキュリティ教習所」を開設する。インシデントが発生時の判断、対処能力を備えたセキュリティスペシャリストを育成する。
()
Guardicoreは、Microsoftの「Exchange Server」「Exchange Online」の機能に脆弱性が存在することを報告した。その報告を受けてMicrosoftとGuardicoreの間には、ある“論争”が起こった。何が起きたのか。
()
「Exchange Server」「Exchange Online」の自動設定検出機能「Autodiscover」の脆弱性は、情報漏えいを招く恐れがある。この問題を指摘したGuardicoreは、どのような対策を呼び掛けているのか。
()
強いストレスを感じる状況に置かれ、すぐに行動する衝動を抑え切れない「アクションバイアス」。企業はサイバー攻撃を受けたとき、どうすればアクションバイアスを避け、冷静に対処できるのか。
()