Kısaca Osaka yakınlarındaki Amagasaki şehrinde çalışan bir Japon müteahhitin, metropolün 460.000 sakini hakkında kişisel veriler içeren bir USB sürücüsünü kaybettiği bildirildi.
Şehirde pandemi sübvansiyonlarını dağıtmak için çalışan bir müteahhit olan kimliği belirsiz adam, tüm kayıtları içeren sürücüyü bu hafta başlarında kasabada bir gece yanına aldığı çantasına koydu.
Japon haber kaynağı NHK, adamın ne kadar iyi vakit geçirdiği bilinmiyor, ancak sonunda sokakta bayıldığı bildirildi. rapor edildi onu işe alan şirket, bir olay raporu Amagasaki şehir hükümetinden. Şirket gazeteye, müteahhitin uyandığında çantasının kayıp olduğunu bulduğunu söyledi.
Olay raporu, hafıza çubuğunun isimleri, doğum tarihlerini, adresleri, vergi bilgilerini, banka bilgilerini ve sosyal güvenlik kayıtlarını içerdiğini belirtiyor – hepsi çok özel ve çalındığında potansiyel olarak zararlı.
Amagasaki yetkilileri, USB bellekteki verilerin şifreli olduğunu söyledi ve halkın yönetimlerine olan güvenini sarstığı için özür diledi.
Yine de tüm endişeler boşa çıktı. Polis tarafından çevrede yapılan aramada çanta ve USB bellek bulundu. Amagasaki yetkilileri, kimsenin bilgiye erişmeye çalıştığına dair bir kanıt bulunmadığını söyledi.
CISA alan danışman tavsiyeleri, Log4j’nin hala etrafta olduğu konusunda uyarıyor
Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bu hafta üçüncü Siber Güvenlik Danışma Komitesi toplantısını gerçekleştirdi. çamaşır listesi programlarına ve politikalarına ilişkin tavsiyeler.
Altı aylık öngörüden sonra, altı alt komitede bir araya gelen Mastercard, Apple, Washington Üniversitesi ve diğer kuruluşlardan danışmanlar tarafından yapılan tavsiyelerin kısa bir özetini burada bulabilirsiniz:
- CISA, özel sektörle rekabet edebilmek için yetenek edinme sürecini iyileştirerek güçlü bir işgücü geliştirmeye öncelik vermelidir.
- CISA’da yeni bir genel sekreter oluşturun
- CISA, siber saldırılardan etkilenen KOBİ’lere acil çağrı hattı sağlamak için ülke çapında bir “311” programı başlatmalı
- CISA’nın “Bir Paroladan Fazlası” MFA kampanyasını STK’lara, diğer devlet kurumlarına ve özel sektör ortaklarına ulaşarak genişletmesi gerekiyor.
- CISA, ABD Federal Hükümeti ile çalışan tüm şirketlerin 2025 yılına kadar MFA’yı tamamen benimsemesini sağlamak için gerekli tüm adımları atmalıdır.
- Olay raporlama ve güvenlik açığı raporlama süreçlerini kolaylaştırın
- Şüpheli güvenlik açıklarının alınmasını ele almak için merkezi bir platform oluşturun
- Güvenlik araştırmacıları, ajanslar ve satıcılar arasındaki iletişimi geliştirin
- Amerikan toplumundaki yanlış bilgi, dezenformasyon ve yanlış bilgi risklerini ele alın
Önerilerden ikisi birden fazla alt komite tarafından belirtildi: Bir Paroladan Fazlası kampanyasının genişletilmesi ve SMB 311 hattının kurulması.
CISA direktörü Jen Easterly, bir sonraki toplantının siber riskler için ulusal bir uyarı sistemi geliştirmeye yönelik stratejilere odaklanacağını söyledi.
CISA ayrıca bu hafta bir siber güvenlik uyarısı yayınladı ve Log4Shell’in hala etrafta olduğunu ve aktif olarak istismar edildiğini uyardı. ABD Sahil Güvenlik Siber Komutanlığı ile birlikte CISA, bir danışma bilgisayar korsanlarının ve devlet destekli APT gruplarının hala yama uygulanmamış cihazlarda Log4Shell’den yararlandığını belirterek.
CISA, bildirdiği bilgilerin ilgili iki olaydan elde edildiğini söyledi. Sahil Güvenlik’in olaya nasıl dahil olduğu hemen belli değildi.
Chrome eklentileri parmak izi tarayıcılarına kullanılabilir
Modern gizlilik yazılımı, tarayıcı parmak izi alma yöntemlerinin çoğunu geri aldı, ancak geri almakta zorlanıyor bu sorun tarayıcının uzantıları işleme biçimine özgü gibi görünen Chrome ile.
Tarayıcı parmak izi, tarayıcıyı veya arkasındaki kişiyi tanımlayan, oturumlar tarafından geride bırakılan ve reklamlar sunmaya ve çevrimiçi deneyimleri uyarlamaya yetecek kadar bilgi toplamayı içerir. GitHub’da z0ccc kullanan bir güvenlik araştırmacısı, Chrome uzantıları söz konusu olduğunda, herhangi bir tarayıcıdaki kombinasyonun kullanıcıları kolayca tanımlayabildiğini söylüyor.
Chrome, uzantılarının bir listesini herhangi bir web sayfasının görüntüleyebileceği web’den erişilebilen bir kaynak dosyasında saklar. z0ccc bir demo web sitesi 1000’den fazla Chrome tarayıcı uzantısını tarar ve başka bir kullanıcının tam olarak aynı uzantıları kullandığına dair yüzdeye dayalı bir şans verir.
Bu hack vakasında, Chrome kullanıcılarının yalnızca yüzde 0.003’ü kullanılan eklenti setine sahip, yani uzantı parmak izinin diğer ziyaretçilerden oluşan bir havuzdan tanımlanması oldukça olası.
z0ccc, Firefox’un her tarayıcı örneği için benzersiz uzantı kimlikleri kullandığını ve bu nedenle aynı şekilde parmak izi alınamayacağını söyledi. Ancak Microsoft Edge savunmasızdır.
Akıllı Jakuzi, kullanıcı verileriyle o kadar akıllı değil
Jakuzi SmartTub’larını kurmaya çalışan bir güvenlik araştırmacısı, dünyanın dört bir yanından jakuzi sahiplerinin kişisel bilgilerine erişmelerini sağlayan, kolayca istismar edilen bir kusur keşfetti.
SmartTub, diğer IoT ürünleri gibi, kullanıcıların cihazlarını bir uygulama kullanarak evin dışından kontrol etmelerini sağlar. Jacuzzi’nin SmartTub sistemindeki hata, beyaz etiketli bir Auth0 giriş sayfası kullanan web portalından geliyor.
“Mobil uygulamaya alternatif bir web sitesi olduğunu düşünerek bilgilerimi girdim. Yetkisiz bir ekranla karşılaştım. Bu mesaj görünmeden hemen önce ekranımda bir başlık ve tablonun kısa bir süre yanıp söndüğünü gördüm… Bunu fark ettiğimde şaşırdım. kullanıcı verileriyle doldurulmuş bir yönetici paneliydi” söz konusu Eaton Works’ten geçen araştırmacı.
Eaton’ın yönetici paneline girmesi için gereken tek şey, kendisine yönetici erişimi vermek üzere bir HTTP yanıtını kesmek ve değiştirmek için web hata ayıklama aracı Fiddler’ı kullanmaktı. Eaton, “Yönetici paneline girdiğimde, izin verdiğim veri miktarı şaşırtıcıydı,” diye haykırdı.
Her bir küvet, sahibinin adı ve e-posta adresi, bayi konumu ve daha fazlasıyla ilgili ayrıntılar, dünyanın her yerinden müşterilerde görüntülenebiliyordu. Eaton, istediği verileri düzenleyebileceğini de söyledi, ancak değişikliklerin kaydedilip kaydedilmeyeceğini doğrulamadı.
Jakuzi de Eaton ile bulguları hakkında konuşmaya pek istekli değildi. Eaton, “Auth0 devreye girene kadar diyalog kurulmamıştı. O zaman bile, Jacuzzi/SmartTub ile iletişim sonunda, herhangi bir resmi sonuç veya rapor edilen tüm sorunları ele aldıklarını onaylamadan tamamen kesildi,” dedi.
Eaton, yönetici panelinin çevrimdışına alındığını ve artık web üzerinden erişilemediğini de sözlerine ekledi. Eaton’ın ayrıca Jakuzi ile ilgili raporlarında değinilmeyen başka güvenlik endişeleri de vardır ve yardımcı olması için jakuzi üreticisiyle görüşmeye açıktır.
Mitel VoIP sıfır gün vahşi doğada istismar edildi
CrowdStrike güvenlik araştırmacıları, Mitel VoIP cihazlarında fidye yazılımı saldırıları başlatmak için aktif olarak kullanılan bir kusur keşfetti.
Yeni istismar, bir müşteriye yönelik başarısız bir fidye yazılımı saldırısını araştırırken CrowdStrike tarafından bulundu. CrowdStrike, “Tanımlanan tüm kötü niyetli etkinliklerin, “ağ çevresinde oturan Linux tabanlı bir Mitel VoIP cihazı” olduğu keşfedilen dahili bir IP adresinden kaynaklandığı belirlendi. söz konusu.
Saldırganın VoIP cihazlarına erişmek için ihtiyaç duyduğu tek şey, bir çift GET isteği göndermekti: biri trafiği kötü amaçlı bir adrese maskelemek için, ikincisi ise GET isteğini saldırgan kontrollü altyapıya yönlendiren bir komut enjekte etmek için.
CrowdStrike, saldırının fidye yazılımı dağıtılmadan önce durdurulduğunu ve Mitel’in sorunu gideren bir yama yayınladığını söyledi. İstismarın kendisinden CrowdStrike, Mitel VoIP cihazları gibi uç cihazların son derece sınırlı güvenlik veya uç nokta algılama seçeneklerine sahip olduğunu ve bu nedenle zamanında yama yapılmasını zorunlu hale getirdiğini söyledi.
Ek olarak, CrowdStrike, kritik varlıkları çevre cihazlardan izole etmek, bir ağı bölümlere ayırmak, güncel bir varlık envanterini sürdürmek, hizmet hesaplarında kısa bir tasma tutmak ve özellikle kritik varlıklara erişim için MFA gerektirme gibi en iyi güvenlik uygulamalarını vurgular. ®
Kaynak : https://go.theregister.com/feed/www.theregister.com/2022/06/27/security_in_brief/