今年の初め、私は巧妙なフィッシング攻撃にかかりかけた。
それは非常に巧妙で、私はほぼその誘いにのってしまいそうだった。
一週末中、私は恥ずかしさにさいなまれた。
残念ながら、最新の「ブラック・オクトーバー」セキュリティ調査結果は、状況がさらに悪化する可能性を示している。
かつては攻撃に時間がかかりすぎていた古いセキュリティ上の欠陥が、今や、パンプキンスパイスラテ1杯（まあ、あるいは2杯分）のコストで、1万人のエージェントが一晩でターゲットにできるようになった。
過去1週間で、私よりはるかに賢い人々が指摘したいくつかの事実：
• Amazonは、一般への警告が発表される4日前に、ウェブサイトソフトウェアに対する攻撃を検知した。この欠陥により、パスワードなしでシステムを制御できる可能性があった。企業は、修正が必要であることに気づく前から標的になっていた。
• WordPressを含む多くのウェブサイトの基盤となるPHPソフトウェアは、ログインなしでサーバーを乗っ取れる2つの欠陥に対して緊急パッチが必要だった。Vercelは一般警告前にファイアウォール保護を追加したが、ウェブサイト所有者はPHP自体を更新する必要がある。
• ウェブサイトの真正性を確認するために使われる秘密鍵の1つは単に「4」だった。証明書発行業者eMudhraの8つの鍵は簡単に推測可能だった。最新のブラウザには保護機能があるが、古いソフトウェアは依然として影響を受けた証明書を信頼する可能性がある。
• NorForgeの研究者たちは、犯罪者がAIエージェントをオンラインショップや支払いシステムに対して活用していることを発見した。あるグループは、ダッシュボード上で1,100以上の攻撃プロジェクトを抱えていた。
• 米国最大級の医療企業の一つであるQuest Diagnosticsは今週、データ漏洩を公表し、患者記録にアクセスされた可能性があると述べている。影響を受けた人数はまだ調査中だ。
AIがこれらのすべての失敗の原因ではない。しかし、既存の脆弱性を発見・悪用するコストを大幅に下げている。
悲観的になったりパニックを起こしたりするつもりはないが、今こそいくつかの注意喚起を再確認する良いタイミングだ。
・パスワードマネージャーを使用する。
・2要素認証を有効にする。
・予期せずお金の送金や何かのダウンロードを求められた場合、すでに知っている番号や口座を通じて確認する。
・信頼できるセキュリティ専門家の情報をオンラインでフォローする。
テクノロジー業界で働いていたり、常にオンラインにいるからといって、安全とは限らない。
皆さんの安全を心よりお祈りしています。
