セキュリティバグで誰でも Microsoft 従業員のメールがなりすまし可能に

BTW Media は、「Security bug allows anyone to spoof Microsoft employee emails」を、公開された証拠がインターネットインフラ、ガバナンス、運用上の依存関係、または市場の可視性に関連しているため、プロファイリングしています。

Vsevolod Kokorin（オンラインでは Slonser としても知られる）は、X（旧 Twitter）上で発見したメールなりすましの脆弱性を公開し、Microsoft に問題を報告しました。Microsoft は近年、複数のセキュリティ問題を経験しており、連邦規制当局や議会議員による調査を招いています。我々の見解 このインシデントは、脆弱性の開示と技術的詳細の公開に関する議論を引き起こしました。技術コミュニティでは、セキュリティ脆弱性の開示について意見が分かれることが多く、ベンダーに報告して修正を促すことを推奨する人もいれば、ハッカーが悪用できないよう詳細を伏せることを好む人もいます。今回のケースでは、Kokorin のアプローチは、脆弱性開示の透明性を高めるだけでなく、ユーザーや企業を潜在的な脅威から守ることにもつながります。

– Revel Cheng、BTW 記者 ある研究者が、誰でも Microsoft の企業メールアカウントをなりすますことを可能にするバグを発見し、フィッシング試行が信憑性を増し、標的を欺きやすくなるとしています。経緯 先週、Vsevolod Kokorin（オンラインでは Slonser としても知られる）は X（旧 Twitter）に、メールなりすましのバグを発見し Microsoft に報告したが、同社が結果を再現できないとして報告を却下したと投稿しました。これにより Kokorin は、他者が悪用できる技術的詳細を提供することなく、X 上でバグを公表しました。「Microsoft は単に再現できないと言っただけで、詳細は提供しなかった」と Kokorin は述べています。「Microsoft は私のツイートに気づいたかもしれず、数時間前に数か月前に提出した報告の 1 つを再開した。」 このバグの脅威は現在公に文書化されていますが、Microsoft は近年複数のセキュリティ問題を経験しており、連邦規制当局や議会議員による調査を招いています。先週、Microsoft の Brad Smith 社長は、2023 年に中国が Microsoft のサーバーから米国連邦政府のメールの一部を盗み出したことを受けて、下院の公聴会で証言しました。公聴会で Smith

氏は、一連のセキュリティ失態を受けて、企業全体でサイバーセキュリティを最優先する取り組みを強化することを約束しました。こちらもお読みください: Microsoft、スペインに 70 億ドルのデータセンター投資 こちらもお読みください: Apple が Microsoft を抜き世界で最も価値ある企業に 重要性 この脆弱性は、現在も約 4 億人のユーザーを抱える Outlook アカウントに影響を与えると見られています。そのため攻撃対象領域は非常に広範です。Microsoft のような大手ブランドをなりすますことで、悪意ある攻撃者は説得力のある極めて危険なフィッシングメールを作成できるため、この脆弱性の脅威は現実的です。しかし、現時点では Slonser が最初の発見者なのか、それとも他の誰かが既に発見して攻撃に悪用していたのかは公に確認されていません。Microsoft は、中国の悪意ある攻撃者が米国政府高官のメールにアクセスすることを許した一連のセキュリティインシデントを受けて、最近批判を受けました。その結果、Microsoft はセキュリティ慣行の全面的な見直しを発表し、サイバーセキュリティを「すべてに優先する」と宣言しました。このインシデントは、Microsoft の評判を傷つけただけでなく、公共部門と民間部門の両方におけるデータセキュリティに対するより深い懸念を引き起こしました。