脆弱性

被害状況

攻撃者

脆弱性

脆弱性

脆弱性

1. Marriott InternationalとStarwood HotelsにFTCが厳格なデータセキュリティ対策の策定と実施を命令
2. FTCの命令内容
   1. 情報セキュリティプログラムの設立、実施、維持（暗号化、アクセス制御、多要素認証、脆弱性管理、インシデント対応計画の含有）
   2. 個人情報は合理的な必要期間のみ保管し、米国の消費者が個人情報の削除を要求できるリンクを提供
   3. 24時間以内に異常行動とセキュリティイベントを検出するためにIT資産の記録と監視を実施
   4. 20年ごとに情報セキュリティプログラムの独立した2年ごとの評価を実施し、特定のギャップをFTCに報告
   5. 不正活動を疑った米国の消費者が報酬アカウント内の活動を確認し、侵害の場合にそれらのポイントを復元できる仕組みを提供
   6. セキュリティ侵害について政府機関に通知が必要な場合、FTCに10日以内に通知
3. 経過したセキュリティ侵害の例として3つの大規模なデータ侵害が挙げられる
   1. 2014年：Starwoodの支払システムがハッキングされ、データが漏洩し、14か月の遅れで開示
   2. 2014年から2018年：339百万人の顧客レコードが妥当でないパスポート番号を含む形で侵害された
   3. 2018年：ハッカーが520万人のMarriottのゲストデータにアクセスし、2020年までに検出されず開示されなかった
4. FTCによるマリオットとの和解について：上記のデータ侵害に関連する要求に応じ、FTCへ5200万ドルを支払うことに合意
5. FTCの関連記事：Fortniteからの払い戻し、Metaに対するアイルランドの罰金、オンラインタスクの詐欺についての警告など

脆弱性

脆弱性

1. サイバーセキュリティの研究者たちが、大規模な言語モデル（LLMs）を使用して、悪意のあるJavaScriptコードの新しいバリアントを生成することが可能であることを発見。
2. 悪意のあるJavaScriptのサンプルを再度書き換え、機械学習（ML）モデルによる検出を迂回することを目的に、LLMsの力を利用。
3. 最終的な生成物は、オリジナルスクリプトと同じ振る舞いを維持しつつ、ほぼ常により低い悪意のスコアを持つ新しいJavaScriptのバリアントとなった。
4. この手法により、悪意のあるコードの検知を回避するJavaScriptの改変も、他のマルウェア分析ツールによる検知を免れる。
5. LLMベースの曖昧化が提供するもうひとつの重要な利点は、その多くの書き換えがObfuscator.ioのようなライブラリによって達成されたものよりも、より自然に見えるという点である。

脆弱性