1. AppleとGoogleが共同で業界標準規格を策定し、AirTagsなどのデバイスを使用した無許可のトラッキングからユーザーを警告することを目的としている。
2. この規格は、異なるベンダーからのBluetoothロケーショントラッキングデバイスに対する互換性を提供し、不正なトラッキングの可能性を最小限に抑えることを目的としている。また、Samsung、Tile、Chipolo、eufy Security、およびPebblebeeなどが参加している。
3. この規格には、アクセサリの所有者の検証可能な（しかし、曖昧化された）ID情報（電話番号またはメールアドレスなど）とアクセサリのシリアル番号が含まれるペアリングレジストリの使用が含まれる。
4. この規格では、所有者がペアリングを解除した後、データを少なくとも25日間保持する必要があり、法執行機関が正当な要求を提出した場合に利用可能になる。
5. モバイルエコシステムの両方で、不正なトラッキングアラートのための製品実装が年末までにリリースされる予定であり、AppleとGoogleは関心のあるパートナーからのフィードバックを募集している。

脆弱性

CVE	CVE-2018-9995
影響を受ける製品	TBK DVR4104およびDVR4216（CeNova、DVR Login、HVR Login、MDVR Login、Night OWL、Novo、QSee、Pulnix、Securus、XVR 5 in 1を含む）
脆弱性サマリ	5年前の未解決の脆弱性によるTBK DVRデバイスの認証バイパス。遠隔攻撃者は、ユーザー権限を上回る特権を取得し、最終的にカメラ映像のアクセスまで行える。
重大度	高
RCE	無
攻撃観測	有（2023年4月に5万回以上の試行あり）
PoC公開	有

TBK DVR4104およびDVR4216（CeNova、DVR Login、HVR Login、MDVR Login、Night OWL、Novo、QSee、Pulnix、Securus、XVR 5 in 1を含む）には、CVE-2018-9995という、認証バイパスの未解決脆弱性があり、一部のTBK DVRデバイスが攻撃者にアクセスされ、カメラ映像を監視されるおそれがある。Fortinetによると、2023年4月に5万回以上の試行が観測された。PoCが公開されているが、解決策はない。また、MVPower CCTV DVRモデルにも重大度が高いCVE-2016-20016の脆弱性が存在するという警告がなされている。

被害状況

事件発生日	2023年5月3日
被害者名	不明
被害サマリ	ME RTUリモート端末ユニットの脆弱性が発見された。低い攻撃の複雑さにより、攻撃者による遠隔コード実行が可能。攻撃者によるコマンド・インジェクションが原因。INEA ME RTUファームウェアのバージョン3.36以前に影響がある。
被害額	不明（予想：数百万円から数千万円）

攻撃者

攻撃者名	不明
攻撃手法サマリ	コマンド・インジェクション
マルウェア	特定されていない
脆弱性	INEA ME RTUファームウェアのバージョン3.36以前に存在するコマンド・インジェクションの脆弱性(CVE-2023-2131)

脆弱性

CVE	CVE-2023-2131
影響を受ける製品	INEA ME RTU firmwareの3.36バージョンより前
脆弱性サマリ	INEA ME RTUリモートターミナルユニットのコマンドインジェクションによる遠隔コード実行の脆弱性
重大度	10.0 (CVSS)
RCE	有
攻撃観測	不明
PoC公開	不明

被害状況

事件発生日	2023年5月2日
被害者名	Level Finance
被害サマリ	ハッカーにより、Level Financeのスマートコントラクトの脆弱性を悪用され、214,000 LVLトークン(約$1,100,000相当分)が盗まれた。
被害額	$1,100,000

攻撃者

攻撃者名	不明
攻撃手法サマリ	スマートコントラクトの脆弱性を悪用した攻撃
マルウェア	不明
脆弱性	LevelReferralControllerV2にある論理バグを悪用された

脆弱性

CVE	なし
影響を受ける製品	Level Finance
脆弱性サマリ	Level Financeのスマートコントラクト脆弱性により、214,000 LVLトークンがハッキングされ、 $1,100,000相当の3,345 BNBに交換されました。
重大度	高
RCE	不明
攻撃観測	有
PoC公開	不明

2023年に2回のセキュリティ監査を受けたにもかかわらず、クリプトトレーディングプラットフォームのLevel Financeは、スマートコントラクトの脆弱性を悪用され、214,000 LVLトークンがハッキングされ、$1,100,000相当の3,345 BNBに交換されました。影響を受けたスマートコントラクトは "LevelReferralControllerV2" で、PeckShieldとBlockSecは、同じ脆弱性によりDEX Merlinも被害を受けたと警告しています。攻撃は、2回の監査にもかかわらず、脆弱性が追加された後に発生しました。

被害状況

事件発生日	2023年4月27日
被害者名	1Passwordの顧客
被害サマリ	サービス障害により、誤った秘密鍵やパスワードが変更されたという通知が顧客に届いた。
被害額	不明

攻撃者

攻撃者名	不明
攻撃手法サマリ	サービス障害による誤った通知
マルウェア	利用されていない
脆弱性	不明

被害状況

事件発生日	不明
被害者名	不明
被害サマリ	9つの暗号通貨取引所が、サイバー犯罪者やランサムウェアの関係者たちが使っていた laundering(資金洗浄)の手段として使用されていたことが明らかになった。これらの取引所が提供するサービスにより、取引が匿名で行われ、資金の軌跡が追えなくなっていた。
被害額	不明（予想：数千万ドル以上）

攻撃者

攻撃者名	不明（サイバー犯罪者、ランサムウェア関係者）
攻撃手法サマリ	取引を匿名化するサービスを提供し、資金の軌跡追跡を困難にすることで、サイバー犯罪者やランサムウェア関係者たちが資金洗浄を行っていた。
マルウェア	不明
脆弱性	不明

脆弱性

CVE	なし
影響を受ける製品	Google Chrome
脆弱性サマリ	Chrome 117から安全なウェブサイト表示アイコンの削除
重大度	なし
RCE	不明
攻撃観測	不明
PoC公開	なし

脆弱性

CVE	なし
影響を受ける製品	Bluetoothを使用した追跡デバイス
脆弱性サマリ	Bluetoothを使用した追跡に対する脆弱性
重大度	低
RCE	不明
攻撃観測	未報告
PoC公開	なし

AppleとGoogleはBluetoothを使用した位置追跡デバイスのストーキングによる影響を受けた人々に警告するための業界標準の採用を提案しています。両社はデバイスの製造業者が不正な追跡を検出し警告することを容易にするよう要件を提案しています。提案された技術規格に従う場合、AndroidおよびiOSの不正な追跡検出および警告技術との互換性が提供されるため、位置追跡アクセサリーを誤用して行われる不要な追跡を検出することがより簡単になります。制限対象ポリシーを含んだAirTagおよびFind My Networkとの整合性により、iOSおよびAndroidデバイスがユーザーにロケーショントラッカーが使用されていることを警告することができます。したがって、Bluetoothを使用した追跡に対する脆弱性が存在する可能性があります。ただし、この脆弱性に関する攻撃は未報告であり、PoCは公開されていません。

1. 大人向けコンテンツの提供企業であるMindGeekは、Utah州の新しい法律に対応して、PornHub、Brazzers、RedTube、YouPorn、およびReality Kingsなどのウェブサイトへのアクセスを中止した。
2. 新しい法律では、セキュリティ確保のため、18歳以上の認証が必要であり、政府発行IDをアップロードするか、サードパーティの年齢確認サービスを使用することが規定されている。
3. MindGeekは、世界最大のオンライン大人向けコンテンツクリエーターであり、125百万人の毎日の訪問者と年間1000億以上のビデオビューを有する独自のネットワークを有する。
4. MindGeekは、デバイス認証システムを提案しているが、詳細は不明。
5. PornHubにアクセスすると、ビデオ女優のCherie DeVilleが、訪問者に上記のメッセージを読み上げるビデオメッセージが表示される。

被害状況

事件発生日	不明
被害者名	TBK Vision
被害サマリ	2018年認証回避の脆弱性が開示され、TBK DVR（デジタルビデオレコーディング）デバイスが影響を受けました。この脆弱性が悪用されると、攻撃者はネットワークに侵入し、セキュリティー映像を含むデバイスのオーナーに有害なマルウェアを送信できる可能性があります。
被害額	不明（予想される被害額は存在しません）

攻撃者

攻撃者名	不明
攻撃手法サマリ	2018年認証回避の脆弱性を悪用していました。
マルウェア	不明
脆弱性	CVE-2018-9995