2017-11-22 セキュリティニュースまとめ

• Facebook のプライバシーマネージャやってたけど、あの会社はユーザのプライバシーなんて屁とも思ってない --- 2011 年 Facebook で プライバシーマネージャをやっていた男性のインタビュー。「Facebook のユーザとは、Facebook にとっては広告主に売り飛ばすためのデータでしかない」「スペイン: Facebook にプライバシー違反で €1.2M の罰金を課したことも」「facebook のプライバシー意識はおそらく 2011 年から今も変わっていない」 nakedsecurity.sophos.com

• 「感謝祭の週末・ブラックフライデーもショッピングとフィッシングで大賑わい。ここで 2015 年のブラックフライデーのフィッシングサイトを振り返ってみましょう」-- 感謝祭の買い物客で賑わうブラックフライデーはフィッシングをしかける「フィッシャー」にとっても書き入れ時。最安値で有名ブランド品を買えると嘯く偽サイトが雨後のたけのこる状態に。フィッシングサイトは個人情報と有効なクレジットカード情報を窃取するのが目的。過去同時期のフィッシングサイトがどんな感じだったかを振り返って対策ポイントをおさえましょう。レイバンのサングラス、偽アップルサイト、偽のPC販売サイト偽の amazon ギフトカードキャンペーンサイト、Michael Kors のハンドバッグセールのサイトなど。www.darkreading.com

• Uber5700万人分の個人情報漏えい事件を起こすも口どめ料を支払い1年隠ぺい nakedsecurity.sophos.com

• 以前にも大量の情報漏えい&隠ぺいをやらかした--- Uber が 2016 年 10 月にまたやらかしていたことが発覚。5700万人分のドライバー情報と顧客情報を漏えい。同社プログラマが GitHub にセキュリティキーを保存 → 犯罪者に見つかる → 犯罪者 amazonにホスティングされてるサーバにログイン → 個人情報ゲット。漏洩の事実を隠匿した上、流出データの削除と口止め料10万ドルをサイバー犯罪者にお支払い。「大事なことなので 2 度言いますが GitHub はソースコードを置く場所であってログイン認証情報を置く場所ではありません」。そして隠しても遅かれ早かれバレる。 nakedsecurity.sophos.com

• OWASP Top 10 - 2017 The Ten Most Critical Web Application Security Risks (PDF) --- 2017 年のWeb アプリケーションセキュリティリスクランキングワースト10発表。2013 年との比較あり。 https://www.owasp.org/images/7/72/OWASP_Top_10-2017_%28en%29.pdf.pdf