米国 FBI 巧妙なソーシャルエンジニアリング攻撃で暗号産業を標的にする北朝鮮 (2024.09.03)

こんにちは、丸山満彦です。

FBI、IC3が一般向けに北朝鮮によるソーシャルエンジニアリング攻撃をつかった暗号資産の窃取についての注意喚起を行っていますね...

ターゲットを決めて、個別化したメール等を使い、何度もやりとりをしながら信頼を得て...

ということで、大口顧客には、本気で取り組んできているようですね...

暗号資産をたくさんお持ちの方は、気をつけてくださいませ...

● Internet Crime Complaint Center; IC3

Alert Number: I-090324-PSA

・2024.09.03 North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks

North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks	巧妙なソーシャルエンジニアリング攻撃で暗号産業を標的にする北朝鮮
The Democratic People's Republic of Korea ("DPRK" aka North Korea) is conducting highly tailored, difficult-to-detect social engineering campaigns against employees of decentralized finance ("DeFi"), cryptocurrency, and similar businesses to deploy malware and steal company cryptocurrency.	朝鮮民主主義人民共和国(「DPRK」、通称北朝鮮)は、分散型金融(「DeFi」)、暗号通貨、および類似の事業に従事する従業員を標的に、高度にカスタマイズされた検知が困難なソーシャルエンジニアリングキャンペーンを実施し、マルウェアを展開して企業の暗号通貨を盗んでいる。
North Korean social engineering schemes are complex and elaborate, often compromising victims with sophisticated technical acumen. Given the scale and persistence of this malicious activity, even those well versed in cybersecurity practices can be vulnerable to North Korea's determination to compromise networks connected to cryptocurrency assets.	北朝鮮のソーシャルエンジニアリングの手法は複雑かつ巧妙で、高度な技術的洞察力を駆使して被害者を陥れることが多い。この悪質な活動の規模と持続性を考えると、サイバーセキュリティの実践に精通している人でも、暗号資産に接続されたネットワークを侵害しようとする北朝鮮の決意に対して脆弱性がある可能性がある。
North Korean malicious cyber actors conducted research on a variety of targets connected to cryptocurrency exchange-traded funds (ETFs) over the last several months. This research included pre-operational preparations suggesting North Korean actors may attempt malicious cyber activities against companies associated with cryptocurrency ETFs or other cryptocurrency-related financial products.	北朝鮮の悪意あるサイバー犯罪者は、過去数か月にわたり、暗号通貨上場投資信託(ETF)に関連するさまざまなターゲットについて調査を行っていた。この調査には、北朝鮮の行為者が暗号通貨ETFやその他の暗号通貨関連金融商品に関連する企業に対して悪意のあるサイバー活動を試みる可能性を示唆する、事前活動準備が含まれていた。
For companies active in or associated with the cryptocurrency sector, the FBI emphasizes North Korea employs sophisticated tactics to steal cryptocurrency funds and is a persistent threat to organizations with access to large quantities of cryptocurrency-related assets or products.	暗号通貨部門で活動している、または関連している企業に対して、FBIは、北朝鮮が高度な戦術を用いて暗号通貨資金を盗み、大量の暗号通貨関連資産または製品にアクセスできる組織に対して持続的な脅威となっていることを強調している。
This announcement includes an overview of the social engineering tactics North Korean state-sponsored actors use against victims working in DeFi, cryptocurrency, and related industries; potential indicators of North Korean social engineering activity; mitigation measures for those most at risk; and steps to take if you or your company may have been victimized.	この発表では、北朝鮮の国家支援を受けた攻撃者が、DeFi、暗号通貨、および関連業界で働く被害者に対して使用するソーシャルエンジニアリング戦術の概要、北朝鮮のソーシャルエンジニアリング活動の潜在的な兆候、最もリスクの高い人向けの低減策、そして、ご自身またはご所属の企業が被害に遭った可能性がある場合の対応手順が含まれている。
North Korean Social Engineering Tactics	北朝鮮のソーシャルエンジニアリング戦術
Extensive Pre-Operational Research	広範な事前調査
Teams of North Korean malicious cyber actors identify specific DeFi or cryptocurrency-related businesses to target and attempt to socially engineer dozens of these companies' employees to gain unauthorized access to the company's network. Before initiating contact, the actors scout prospective victims by reviewing social media activity, particularly on professional networking or employment-related platforms.	北朝鮮の悪意あるサイバー犯罪者グループは、標的とする特定の DeFi または暗号通貨関連企業を識別し、その企業のネットワークに不正アクセスするために、それらの企業の従業員数十名に対してソーシャルエンジニアリングを試みる。接触を開始する前に、犯罪者グループは、特にプロフェッショナルネットワークや雇用関連のプラットフォーム上のソーシャルメディアのアクティビティを調査し、潜在的な被害者を偵察する。
Individualized Fake Scenarios	個別化された偽のシナリオ
North Korean malicious cyber actors incorporate personal details regarding an intended victim’s background, skills, employment, or business interests to craft customized fictional scenarios designed to be uniquely appealing to the targeted person.	北朝鮮の悪意あるサイバー犯罪者は、標的となる人物の経歴、スキル、雇用、またはビジネス上の関心など、個人に関する詳細情報を盛り込み、標的となる人物に特別に魅力的に思えるようカスタマイズされた架空のシナリオを作成する。
North Korean fake scenarios often include offers of new employment or corporate investment. The actors may reference personal information, interests, affiliations, events, personal relationships, professional connections, or details a victim may believe are known to few others.	北朝鮮の偽装シナリオには、新しい雇用や企業投資のオファーが含まれることが多い。犯罪者は、個人情報、関心事、所属、イベント、個人的な関係、職業上のつながり、または被害者が「他のほとんどの人は知らないだろう」と考えるような詳細情報を参照することがある。
The actors usually attempt to initiate prolonged conversations with prospective victims to build rapport and deliver malware in situations that may appear natural and non-alerting. If successful in establishing bidirectional contact, the initial actor, or another member of the actor’s team, may spend considerable time engaging with the victim to increase the sense of legitimacy and engender familiarity and trust.	攻撃者は通常、見込みのある被害者と長時間にわたる会話を試み、信頼関係を築き、自然で警戒心を抱かせない状況でマルウェアを配信しようとする。双方向の接触に成功した場合、最初の攻撃者、または攻撃者のチームの別のメンバーは、被害者とかなりの時間を費やして、正当性を高め、親近感と信頼感を醸成する可能性がある。
The actors usually communicate with victims in fluent or nearly fluent English and are well versed in the technical aspects of the cryptocurrency field.	攻撃者は通常、流暢な、またはほぼ流暢な英語で被害者とコミュニケーションを図り、暗号通貨分野の技術的側面にも精通している。
Impersonations	なりすまし
North Korean malicious cyber actors routinely impersonate a range of individuals, including contacts a victim may know personally or indirectly. Impersonations can involve general recruiters on professional networking websites, or prominent people associated with certain technologies.	北朝鮮の悪意あるサイバー犯罪者は、被害者が個人的に、または間接的に知っている可能性のある人物を含む、さまざまな個人になりすますことを常としている。なりすましには、専門職向けネットワーキングサイト上の一般的なリクルーターや、特定のテクノロジーに関連する著名人が含まれる場合がある。
To increase the credibility of their impersonations, the actors leverage realistic imagery, including pictures stolen from open social media profiles of the impersonated individual. These actors may also use fake images of time sensitive events to induce immediate action from intended victims.	なりすましの信憑性を高めるため、犯罪者は、なりすまし対象者の公開されているソーシャルメディアプロフィールから盗んだ写真など、現実味のある画像を活用している。また、犯罪者は、緊急性のある出来事の偽の画像を使用して、標的となる被害者に即時の行動を促す場合もある。
The actors may also impersonate recruiting firms or technology companies backed by professional websites designed to make the fake entities appear legitimate. Examples of fake North Korean websites can be found in affidavits to seize 17 North Korean domains, as announced by the Department of Justice in October 2023.	また、偽装事業体を本物らしく見せるために作られた専門ウェブサイトを背景に、採用企業やテクノロジー企業を装うこともある。北朝鮮の偽装ウェブサイトの例は、2023年10月に司法省が発表した北朝鮮の17のドメインの差し押さえに関する宣誓供述書で見ることができる。
Indicators	兆候
The FBI has observed the following list of potential indicators of North Korean social engineering activity:	FBIは、北朝鮮によるソーシャルエンジニアリング活動の兆候として、以下の可能性を指摘している。
・Requests to execute code or download applications on company-owned devices or other devices with access to a company’s internal network.	・企業所有のデバイスや、企業の内部ネットワークにアクセスできるその他のデバイス上で、コードの実行やアプリケーションのダウンロードを要求する。
・Requests to conduct a "pre-employment test" or debugging exercise that involves executing non-standard or unknown Node.js packages, PyPI packages, scripts, or GitHub repositories.	・標準外または未知の Node.js パッケージ、PyPI パッケージ、スクリプト、GitHub リポジトリの実行を伴う「採用前のテスト」やデバッグ作業を要求する。
・Offers of employment from prominent cryptocurrency or technology firms that are unexpected or involve unrealistically high compensation without negotiation.	・著名な暗号通貨企業やテクノロジー企業から、予期せぬ、または交渉なしに非現実的な高額報酬を伴う雇用オファーを受ける。
・Offers of investment from prominent companies or individuals that are unsolicited or have not been proposed or discussed previously.	・著名な企業または個人からの投資の申し出で、依頼していないもの、または以前に提案または協議されていないもの。
・Insistence on using non-standard or custom software to complete simple tasks easily achievable through the use of common applications (i.e. video conferencing or connecting to a server).	・一般的なアプリケーション(ビデオ会議やサーバーへの接続など)を使用すれば簡単に達成できる簡単なタスクを、標準外またはカスタムのソフトウェアを使用して完了させようとする。
・Requests to run a script to enable call or video teleconference functionalities supposedly blocked due to a victim's location.	・被害者の所在地によりブロックされていると思われる通話またはビデオ電話の機能を有効にするためにスクリプトを実行するよう要求する。
・Requests to move professional conversations to other messaging platforms or applications.	・専門的な会話は他のメッセージングプラットフォームまたはアプリケーションに移動するよう要求する。
・Unsolicited contacts that contain unexpected links or attachments.	・予期せぬリンクや添付ファイルを含む、望ましくない連絡。
Mitigations	リスクの低減
To lower the risk from North Korea’s advanced and dynamic social engineering capabilities, the FBI recommends the following best practices for you or your company:	北朝鮮の高度でダイナミックなソーシャルエンジニアリング能力によるリスクを低減するために、FBIは、個人または企業に対して、以下のベストプラクティスを推奨している。
・Develop your own unique methods to verify a contact's identity using separate unconnected communication platforms. For example, if an initial contact is via a professional networking or employment website, confirm the contact's request via a live video call on a different messaging application	・連絡者の身元を確認するために、関連性のない別のコミュニケーションプラットフォームを使用する独自の方法を開発する。例えば、最初の連絡がビジネスネットワークや就職情報サイト経由であった場合、別のメッセージングアプリケーションでライブビデオ通話を使用して連絡者の要求を確認する
・Do not store information about cryptocurrency wallets — logins, passwords, wallet IDs, seed phrases, private keys, etc. — on Internet-connected devices.	・インターネットに接続されたデバイスに、暗号通貨のウォレットに関する情報(ログイン、パスワード、ウォレットID、シードフレーズ、プライベートキーなど)を保存しない。
・Avoid taking pre-employment tests or executing code on company owned laptops or devices. If a pre-employment test requires code execution, insist on using a virtual machine on a non-company connected device, or on a device provided by the tester.	・入社前のテストや、会社所有のラップトップやデバイスでのコード実行は避ける。入社前のテストでコード実行が必要な場合は、会社に接続されていないデバイス上、またはテスト担当者から提供されたデバイス上で仮想マシンを使用するように要求する。
・Require multiple factors of authentication and approvals from several different unconnected networks prior to any movement of your company's financial assets. Regularly rotate and perform security checks on devices and networks involved in this authentication and approval process.	・会社の金融資産を移動させる前に、複数の異なる非接続ネットワークからの認証と承認を必要とする。この認証と承認プロセスに関わるデバイスとネットワークの定期的なローテーションとセキュリティチェックを行う。
・Limit access to sensitive network documentation, business or product development pipelines, and company code repositories.	・機密性の高いネットワーク文書、事業や製品開発のパイプライン、および企業コードのリポジトリへのアクセスを制限する。
・Funnel business communications to closed platforms and require authentication — ideally in person — before adding anyone to the internal platform. Regularly reauthenticate employees not seen in person.	・社内プラットフォームに誰かを追加する前に、ビジネスコミュニケーションをクローズドなプラットフォームに集約し、理想的には直接対面して認証を行う。直接対面できない従業員については、定期的に再認証を行う。
・For companies with access to large quantities of cryptocurrency, the FBI recommends blocking devices connected to the company’s network from downloading or executing files except specific whitelisted programs and disabling email attachments by default.	・大量の暗号通貨にアクセスする企業に対しては、FBIは、ホワイトリストに記載された特定のプログラムを除き、企業のネットワークに接続されたデバイスによるファイルのダウンロードや実行をブロックし、デフォルトで電子メールの添付ファイルを無効にすることを推奨している。
Response	対応
If you suspect you or your company have been impacted by a social engineering campaign similar to those discussed in this announcement, or by any potential North Korea-related incident, the FBI recommends the following actions:	この発表で取り上げたようなソーシャルエンジニアリングキャンペーン、または北朝鮮に関連する可能性のあるインシデントの影響を受けた可能性がある場合、FBIは以下の対応を推奨している。
・Disconnect the impacted device or devices from the Internet immediately. Leave impacted devices powered on to avoid the possibility of losing access to recoverable malware artifacts.	・影響を受けたデバイスを直ちにインターネットから切断する。影響を受けたデバイスは電源を入れたままにしておき、回復可能なマルウェアの痕跡へのアクセスを失う可能性を回避する。
・File a detailed complaint through the FBI Internet Crime Complaint Center (IC3) at www.ic3.gov.	・FBIのインターネット犯罪苦情センター(IC3)www.ic3.govに詳細な苦情を提出する。
・Provide law enforcement as many details as you can regarding the incident, including screenshots of communications with the malicious cyber actors. If possible, take screenshots of (or otherwise save) identifiers, usernames, online accounts, and any other details about the actors involved.	・悪意のあるサイバー犯罪者とのコミュニケーションのスクリーンショットを含め、インシデントに関する詳細をできるだけ多く法執行機関に提供する。可能であれば、識別子、ユーザー名、オンラインアカウント、および関係者のその他の詳細をスクリーンショット(または保存)する。
・Discuss options for incident response and forensic examination of impacted devices with law enforcement. In some situations, law enforcement may recommend taking advantage of private incident response companies.	・インシデント対応および感染したデバイスのフォレンジック調査のオプションについて、法執行機関と話し合う。状況によっては、法執行機関が民間のインシデント対応企業の利用を推奨する場合がある。
・Share your experience with colleagues, if appropriate, to raise awareness and broaden the public's understanding of the significant malicious cyber threat emanating from North Korea.	・必要に応じて、同僚と経験を共有し、北朝鮮から発信される重要な悪意のあるサイバー脅威に対する認識を高め、一般の人々の理解を広める。
For related information and additional details on North Korea's malicious cyber activity, see FBI press releases from September 2023, August 2023, and January 2023, as well as Joint Cybersecurity Advisories released in June 2023 and April 2022 .	北朝鮮の悪意のあるサイバー活動に関する関連情報および追加の詳細については、2023年9月、2023年8月、2023年1月のFBIプレスリリース、および2023年6月と2022年4月に発表された共同サイバーセキュリティ勧告を参照のこと。

個人情報保護委員会 第１回 個人情報保護法のいわゆる３年ごと見直しに関する検討会

こんにちは、丸山満彦です。

「第１回 個人情報保護法のいわゆる３年ごと見直しに関する検討会」が2024.07.31に開催されていますね...

● 個人情報保護委員会

・2024.07.31 １回 個人情報保護法のいわゆる３年ごと見直しに関する検討会

「個人情報保護法　いわゆる３年ごと見直しに係る検討の中間整理」に関する意見募集について議論されることになっていたようですね...

資料...

[PDF]	資料１	開催要綱（案）
[PDF]	資料２	主婦連合会御提出資料
[PDF]	資料３	新経済連盟御提出資料
[PDF]	資料４	全国消費者団体連絡会御提出資料
[PDF]	資料５	全国消費生活相談員協会御提出資料
[PDF]	資料６	日本IT 団体連盟御提出資料
[PDF]	資料７	日本経済団体連合会御提出資料
[PDF]	参考資料１	「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」概要
[PDF]	参考資料２	「個人情報保護法 いわゆる３年ごと見直しに係る検討の中間整理」本文

委員については、事前に発表されていますね。。。森先生がメンバーですね...

・2024.07.24 個人情報保護法のいわゆる３年ごと見直しに関する検討会の開催について

・・[PDF] 個人情報保護法のいわゆる３年ごと見直しに関する検討会構成員等名簿

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.06.28 個人情報保護委員会 意見募集 いわゆる3年ごと見直しに係る検討の中間整理

OECD サイバーセキュリティ測定の新たな視点

こんにちは、丸山満彦です。

OECDがサイバーセキュリティ測定のための指標等の作成、分析等についての留意点をまとめたものです。サイバーセキュリティについての適切な指標等があれば、政府にとっては適切な政策策定のために、企業にとっては適切な対策策定のための重要なインプットとなりそうです...

どのような指標がどのような対策立案等のために重要かという話だけでなく、その指標は適切なものか（バイアスがないか等）も含めて考慮すべきことが多いということですよね。。。

ただ、継続的にとっていれば、一定のバイアスがあっても傾向はわかるかもしれません...

日本の場合は、まずは指標等を整理して、それからその内容を分析ということで、これからスタートに立てるのでしょうかね。。。（警察白書、サイバー警察局の統計、サイバー空間をめぐる脅威の情勢等、不審なアクセスの観測状況、総務省の情報通信白書、NICTのNOTICE観測データ、個人情報保護委員会の年次報告等で一定の情報を継続的に収集していますし、JPCERT/CCの活動四半期報告レポートやフィッシング対策協議会の月次報告、民間企業等も一定の調査をして発表はしていますが...）

サイバーセキュリティ白書のようなものを作っていく必要があるのでしょうかね...

● OECD

・2024.06.20 New perspectives on measuring cybersecurity

New perspectives on measuring cybersecurity

サイバーセキュリティ測定の新たな視点

Measuring the various aspects of cybersecurity across countries is challenging, in part because the actors in the cybersecurity ecosystem often do not have the incentives to share key data. At the same time, people, firms and governments need to feel secure to communicate online and use Internet-based services. This statistical report provides an overview of how cybersecurity is being measured across a variety of data sources and using different methodological approaches. Beginning with a checklist of measurement considerations, the report then discusses existing data from official and non-official sources, identifying when each data source is most useful. The report then provides two proofs of concepts for measuring uncertainty related to cyber risks, or “cybersecurity uncertainty”. Measuring such uncertainty can complement existing statistics and help anticipate emerging cybersecurity trends, develop more targeted cybersecurity awareness programmes, and promote a more secure and resilient digital ecosystem.

サイバーセキュリティのエコシステムの関係者が重要なデータを共有するインセンティブを持たないことが多いこともあり、国を超えてサイバーセキュリティの様々な側面を測定することは困難である。同時に、人々、企業、政府は、オンライン通信やインターネットベースのサービスを安心して利用する必要がある。本統計報告書では、さまざまなデータソースと異なる方法論的アプローチを用いて、サイバーセキュリティがどのように測定されているかを概観する。本レポートは、測定に関する検討事項のチェックリストに始まり、公式および非公式な情報源から得られた既存のデータについて論じ、それぞれのデータ源が最も有用な場合を特定している。そして、サイバーリスクに関連する不確実性、すなわち「サイバーセキュリティの不確実性」を測定するための2つの概念実証を提供している。このような不確実性を測定することで、既存の統計を補完し、新たなサイバーセキュリティの傾向を予測し、より的を絞ったサイバーセキュリティ意識向上プログラムを開発し、より安全で強靭なデジタルエコシステムを促進することができる。

・[PDF]

・[DOCX][PDF] 仮訳

目次...

Foreword	まえがき
1 Introduction	1 序文
2 Checklist of cybersecurity measurement considerations	2 サイバーセキュリティ測定に関する検討事項のチェックリスト
What should be measured?	何を測定すべきか？
Frequency, timeliness and comparability over space and time	空間的・時間的な頻度、適時性、比較可能性
Interpretability, incentive-compatibility and transparency	解釈可能性、インセンティブ適合性、透明性
Data sources	データソース
3 Cybersecurity data from official sources	3 公的情報源からのサイバーセキュリティ・データ
Official statistical sources	公的統計資料
Administrative data	行政データ
4 Cybersecurity data from non-official sources	4 公的情報源以外からのサイバーセキュリティ・データ
Policy surveys and desk research	政策調査と机上調査
Data from private sources	民間からのデータ
5 Two innovative approaches to measuring uncertainty in cyberspace	5 サイバー空間における不確実性を測定する2つの革新的アプローチ
News reports: towards a cybersecurity uncertainty index	ニュース報告書：サイバーセキュリティの不確実性指数に向けて
Online searches: another approach to constructing an index of cybersecurity uncertainty	オンライン検索：サイバーセキュリティの不確実性の指標を構築するための別アプローチ
6 Conclusion	6 結論
References	参考文献
Annex A. Cybersecurity indicators in the OECD ICT Access and Use Databases	附属書A.OECD ICT Access and Use Databasesにおけるサイバーセキュリティ指標
Annex B. A case study of top related topics	附属書B.トップ関連トピックのケーススタディ
Endnotes	巻末資料

ドイツ CyMon 2024：サイバーセキュリティに関する市民調査（ドイツ市民のサイバーセキュリティ意識...） セキュリティ意識が低いから犯罪にあう？犯罪にあっているにもかかわらずセキュリティ意識が低い？

 こんにちは、丸山満彦です。

ドイツの若者は

• サイバー被害に遭っているにも関わらず、セキュリティ意識が低い？
• サイバー意識が低いからサイバー被害にあっているのか？

ドイツの国民のサイバーセキュリティ意識調査...サンプル調査ではあるが、こういう調査結果を踏まえて政策に反映することは重要だろうと思う。

定期的に情報をとることにより、経年変化を見ることができ、政策がうまくいっているかいないかなどを把握しやすくなる...

日本はどんなデータを継続的にとっているのだろう...総務省の通信白書、警察庁の警察白書にはサイバーセキュリティについてのいくつかの調査項目があるのでしょうね...

● Bundesamt für Sicherheit in der Informationstechnik；BSI

・2024.06.11 Menschen zunehmend sorglos gegenüber Cyberkriminalität – Zahl der Betroffenen jedoch weiterhin hoch

Menschen zunehmend sorglos gegenüber Cyberkriminalität – Zahl der Betroffenen jedoch weiterhin hoch	サイバー犯罪に無頓着な人が増えている - しかし被害者数は依然として多い
Der Cybersicherheitsmonitor ist eine repräsentative Dunkelfeldstudie von BSI und Polizei.	サイバーセキュリティ・モニターは、BSIと警察による代表的な匿名の実地調査である。
Trotz der besorgniserregenden Bedrohungslage im Cyberraum sind sich viele Menschen der Risiken nicht bewusst oder nehmen sie sorglos in Kauf. Jede vierte Person in Deutschland (24 %) war schon einmal Opfer von Cyberkriminalität – und doch schätzt jede zweite (56 %) ihr Risiko, in Zukunft von Kriminalität im Internet betroffen zu sein, als gering oder ausgeschlossen ein. Das ist das Ergebnis des Cybersicherheitsmonitors 2024. Die repräsentative Dunkelfeldstudie von BSI und Polizei gibt Einblicke in das Informations- und Schutzverhalten der Bevölkerung sowie in ihre Betroffenheit von Cyberkriminalität.	サイバースペースにおける脅威の状況は憂慮すべきものであるにもかかわらず、多くの人々がそのリスクに気づいていないか、あるいは不注意に受け入れている。ドイツでは4人に1人（24％）がすでにサイバー犯罪の被害に遭っているが、2人に1人（56％）は今後サイバー犯罪の被害に遭うリスクは低いか存在しないと回答している。これは、BSIと警察による代表的な闇の実地調査である「サイバーセキュリティ・モニター2024」の結果であり、国民の情報保護行動とサイバー犯罪による影響についての洞察を提供している。
Der Cybersicherheitsmonitor 2024 zeigt, dass der Anteil der Unbesorgten im Vergleich zum Vorjahr um sechs Prozentpunkte gestiegen ist – bei den 16- bis 22-Jährigen sogar um 16 Prozentpunkte. In der jüngsten Altersgruppe der 16- bis 22-Jährigen schätzen mehr als zwei Drittel (68 %) ihr Risiko, persönlich von Cyberkriminalität betroffen zu sein, als gering oder ausgeschlossen ein.	サイバーセキュリティ・モニター2024によると、無関心な人の割合は前年より6ポイント上昇し、16歳から22歳では16ポイントも上昇した。16歳から22歳の最も若い年齢層では、3分の2以上（68％）が、個人的にサイバー犯罪の被害を受けるリスクは低いか、存在しないと回答している。
Die Befragten gaben an, im Schnitt knapp vier (3,9) Schutzmaßnahmen gegen Cyberkriminalität zu ergreifen: Am häufigsten setzen sie dabei auf Antivirenprogramme und sichere Passwörter (je 47 %). Im Vergleich zum Vorjahr ist die Nutzung der meisten Schutzmaßnahmen jedoch rückläufig. Fast ein Drittel der Befragten (29 %) gibt in diesem Zusammenhang ein bereits hohes vorhandenes Sicherheitsgefühl als Grund für die Nichtnutzung weiterer Schutzmaßnahmen an. Die 16- bis 22-Jährigen hält am häufigsten ein zu hoher Aufwand ab (34 %). Mit im Durchschnitt 3,2 Schutzmaßnahmen verwenden sie am wenigsten Hilfsmittel, um sich abzusichern.	回答者は、サイバー犯罪に対して平均4つ弱（3.9）の防御策を講じていると述べている： 最も頻繁に利用しているのは、ウイルス対策プログラムと安全なパスワード（各47％）である。しかし、前年と比較すると、ほとんどの防御策の利用率は低下している。その中で、回答者のほぼ3分の1（29％）は、すでに高いセキュリティ意識を持っていることを、さらなる防御策を使わない理由として挙げている。16歳から22歳では、過剰な出費（34％）が最も多い。平均3.2つの防護策で、彼らは最も少ない手段で身を守っている。
BSI-Präsidentin Claudia Plattner: „Die Studienergebnisse zeigen sehr deutlich, dass wir Cybersicherheit stärker denn je auf die Agenda der Bürgerinnen und Bürger heben müssen. Dazu müssen wir zum einen die Bevölkerung dafür sensibilisieren, wie ernst die Lage aktuell ist. Zum anderen dürfen wir die Menschen damit aber nicht allein lassen: Wir brauchen technische Lösungen, die dafür sorgen, dass Verbraucherinnen und Verbraucher vielen heutigen Risiken künftig erst gar nicht mehr ausgesetzt sein werden. Wir als BSI erforschen aktuell zum Beispiel Methoden zur technischen Erkennung gefälschter Inhalte.“	BSIのクラウディア・プラットナー会長は、次のように述べている。「この調査結果は、サイバーセキュリティをこれまで以上に市民の関心事に据える必要があることを明確に示している。一方では、現在の状況がいかに深刻であるかを国民に認識させる必要がある。その一方で、人々の自助努力を放置してはならない： 消費者が将来、今日のリスクの多くにさらされることがないようにする技術的解決策が必要である。例えば、私たちBSIは現在、偽造コンテンツを技術的に検知する方法を研究している」。
44 Prozent der in den vergangenen zwölf Monaten von Cyberkriminalität Betroffenen wurden Opfer von unterschiedlichen Online-Betrugsformen, darunter Identitätsdiebstahl und Betrug per Messengerdienst. 23 Prozent wurden beim Onlineshopping betrogen, 15 Prozent beim Online-Banking. Betrug ist damit die häufigste Deliktform im Internet. Mit 28 Prozent ist der Anteil der von Betrug beim Onlinebanking Betroffenen bei den 16- bis 22-Jährigen deutlich höher als in der Gesamtbevölkerung. Die häufigsten Folgen von Internetbetrug sind Vertrauensverluste in Online-Dienste (30 %) und finanzielle Schäden (26 %).	過去12ヶ月間にサイバー犯罪の被害を受けた人の44％は、個人情報の盗難やメッセンジャーサービス経由の詐欺など、様々な形態のオンライン詐欺の被害者であった。23％がオンラインショッピングで、15％がオンラインバンキングで詐欺に遭っている。詐欺はインターネット上で最も一般的な犯罪である。オンライン・バンキング詐欺の被害を受けた16歳から22歳の割合は28％で、人口全体よりもかなり高い。インターネット詐欺の最も一般的な被害は、オンラインサービスに対する信頼の喪失（30％）と金銭的損失（26％）である。
Dr. Stefanie Hinz, Landespolizeipräsidentin und Vorsitzende des ProPK: „Niemand, ob jung oder alt, sollte sorglos im Internet unterwegs sein. Cyberkriminelle finden immer wieder neue Wege, um an Daten oder Geld der Nutzerinnen und Nutzer zu gelangen. Auch bei Kriminalität im Internet gilt wie bei allen anderen Straftaten, melden Sie diese immer der Polizei. Nur wenn streng gegen Täter vorgegangen wird, kann finanzieller und psychischer Schaden von möglichen weiteren Opfern ferngehalten werden."	老若男女を問わず、ネット上で安心してはならない。サイバー犯罪者は常にユーザーのデータや金銭を手に入れる新しい方法を見つけている。他の犯罪と同様、ネット犯罪も必ず警察に通報すること。犯罪者に対して厳正な処分が下されてこそ、更なる被害者が出る可能性から金銭的・精神的ダメージを遠ざけることができる。"
Nur 36 Prozent der Befragten schätzen ihr persönliches Risiko, von Kriminalität im Internet betroffen zu sein, eher oder sehr hoch ein. Davon wiederum sind etwa ein Drittel (37 %) aufgrund der zunehmenden Vernetzung und steigenden Anzahl internetfähiger Geräte besorgt. Ob Staubsaugerroboter, Smart Speaker oder mit dem Internet verbundene Lichtsteuerung: Das diesjährige Fokusthema des Cybersicherheitsmonitors, das den zweiten Teil der Erhebung ausmachen wird, untersucht, welche Smarthome-Geräte Menschen nutzen, wie sie diese absichern und welchen Risiken sie sich bei der Nutzung bewusst sind. Veröffentlicht werden die Ergebnisse des Fokusthemas im September 2024.	インターネット犯罪の被害を受ける個人的リスクを「やや高い」「非常に高い」と評価する回答者は36％に過ぎない。このうち約3分の1（37％）は、ネットワーク化が進み、インターネット対応機器が増加していることを懸念している。ロボット型掃除機、スマートスピーカー、インターネットに接続された照明制御など、サイバーセキュリティ・モニターの今年のフォーカス・トピックは、調査の第2部を構成し、人々がどのスマートホーム・デバイスを使用し、どのようにセキュリティを確保し、使用時にどのようなリスクを認識しているかを調査する。フォーカストピックの結果は2024年9月に公表される。
Ein Kurzbericht sowie eine ausführliche Ergebnispräsentation des Cybersicherheitsmonitors sind auf den Webseiten von BSI und ProPK zu finden.	サイバーセキュリティ・モニターの結果に関する簡単な報告書と詳細なプレゼンテーションは、BSIとProPKのウェブサイトに掲載されている。
Über den Cybersicherheitsmonitor: Die diesjährige Bürgerbefragung ist bereits die sechste gemeinsame Erhebung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und der Polizeilichen Kriminalprävention der Länder und des Bundes (ProPK). BSI und ProPK bündeln ihre Kräfte, um Bürgerinnen und Bürger umfassend über Risiken und Schutzmöglichkeiten im Internet aufzuklären. Basierend auf einer repräsentativen Stichprobe erheben sie im Rahmen des Cybersicherheitsmonitors gemeinsam das Informations- und Schutzverhalten der Bevölkerung sowie die Betroffenheit von Cyberkriminalität. Die diesjährige Befragung wurde vom 28. Februar bis 4. März 2024 durchgeführt. Dabei wurden 3.047 Personen ab 16 Jahren bundesweit befragt und die Ergebnisse anhand der Bevölkerungsstrukturmerkmale Alter, Geschlecht, Bundesland und Bildung in Deutschland gewichtet.	サイバーセキュリティ・モニターについて：今年の市民調査は、連邦情報セキュリティ局（BSI）と州・連邦警察犯罪防止局（PROPK）による共同調査で、すでに6回目となる。BSIとPROPKは共同で、インターネット上のリスクと保護の選択肢に関する包括的な情報を市民に提供している。代表的なサンプルに基づき、サイバーセキュリティ・モニターの一環として、国民の情報と保護行動、およびサイバー犯罪の影響の程度を共同で調査している。今年の調査は2024年2月28日から3月4日まで行われた。全国で16歳以上の合計3,047人を対象に調査が行われ、結果はドイツの年齢、性別、連邦州、学歴といった人口構成の特徴に従って重み付けされた。

・CyMon – der Cybersicherheitsmonitor

CyMon – der Cybersicherheitsmonitor	CyMon - サイバー・セキュリティ・モニター
Welche Straftaten erleiden Menschen im Internet? Und wie schützen sie ihre Geräte, Anwendungen und Daten vor Cyberkriminellen? Der Cybersicherheitsmonitor gibt Einblicke in den digitalen Alltag der internetnutzenden Bevölkerung in Deutschland.	人々はオンラインでどのような犯罪を犯しているのか？また、サイバー犯罪からデバイス、アプリケーション、データをどのように保護しているのだろうか。サイバーセキュリティ・モニターは、ドイツのインターネット利用者の日常的なデジタルライフに関する洞察を提供する。
Im Jahr 2024 kommt er dabei zu dem Fazit: Der Anteil der Sorglosen in der Bevölkerung ist gestiegen – insbesondere unter jungen Menschen. Die Betroffenheit von Cyberkriminalität ist jedoch weiterhin hoch.	2024年には、人口に占める不注意な人の割合が、特に若者の間で増加しているという結論に達している。しかし、サイバー犯罪の発生率は依然として高い。
Cybersicherheitsmonitor 2024: Menschen zunehmend sorglos gegenüber Cyberkriminalität – Betroffenheit jedoch weiterhin hoch	サイバーセキュリティ・モニター2024：サイバー犯罪に無頓着な人の割合が増加 - しかし懸念レベルは依然として高い
Cybersicherheitsmonitor 2024	サイバーセキュリティ・モニター2024
Befragung zur Cybersicherheit: Der Kurzbericht des Cybersicherheitsmonitors 2024 fasst die wichtigsten Ergebnisse zusammen.	サイバーセキュリティに関する調査：サイバーセキュリティ・モニター2024のショートレポートは、最も重要な結果を要約している。
Auf einen Blick:	要約：
・Jede/r Zehnte ist in den letzten zwölf Monaten Opfer einer Straftat im Internet geworden.	・10人に1人が過去1年間にインターネット上で犯罪の被害に遭っている。
・Die meisten Schutzmaßnahmen werden seltener genutzt als noch im Vorjahr.	・ほとんどの保護手段の使用頻度が前年より低下している。
・Gerade junge Menschen schätzen ihr Risiko, von Cyberkriminalität betroffen zu sein, gering ein.	・特に若者は、サイバー犯罪の被害を受けるリスクを低いと評価している。
Betroffenheit: Betrug häufigste Straftat im Internet	懸念：詐欺はインターネット上で最も一般的な犯罪である。
24 Prozent der Befragten waren schon einmal von Cyberkriminalität betroffen: Das Bedrohungsniveau bleibt damit ähnlich hoch wie im Vorjahr (27 %). Allein in den vergangenen zwölf Monaten erlitt jede bzw. jeder Zehnte (10 %, 2023: 12 %) eine Straftat im Internet.	回答者の24％がすでにサイバー犯罪の被害に遭っている： したがって、脅威のレベルは前年（27％）と同様である。過去1年間だけでも、10人に1人（10％、2023年は12％）がインターネット上で犯罪被害に遭っている。
44 Prozent der im Vorjahr Betroffenen wurden Opfer von unterschiedlichen Betrugsformen: darunter Betrug beim Online-Banking oder Missbrauch der Kontodaten (15 %), Identitätsdiebstahl (9 %) und Betrug mittels Messenger-Dienst (9 %). 23 Prozent der im Vorjahr Betroffenen erlebten speziell beim Onlineshopping einen Betrugsfall. Darüber hinaus bemerkten 15 Prozent einen Fremdzugriff auf ein Benutzerkonto, weitere 15 Prozent wurden Opfer von Phishing. In der Folge erlitten Betroffene am häufigsten Vertrauensverluste in Online-Dienste (30%) und finanzielle Schäden (26%).	前年に被害を受けた人の44％が、オンライン・バンキング詐欺や口座詳細の悪用（15％）、個人情報の盗難（9％）、メッセンジャー・サービス経由の詐欺（9％）など、さまざまな形態の詐欺の被害にあっている。前年度の被害者のうち23％が、オンラインショッピングで詐欺に遭っている。さらに、15％がユーザーアカウントへの不正アクセスに気づき、さらに15％がフィッシングの被害に遭っている。その結果、被害を受けた人は、オンライン・サービスに対する信頼を失い（30％）、金銭的損失を被った（26％）。
Schutzverhalten: Schutzmaßnahmen seltener genutzt	保護行動 保護手段の使用頻度は低い
Die Befragten setzen auf im Schnitt 3,9 Schutzmaßnahmen – am häufigsten auf Antivirenprogramme (47 %) und sichere Passwörter (47 %). Darauf folgen die Zwei-Faktor-Anmeldung (37 %) und eine aktuelle Firewall (32 %). Die automatische Installation von Updates nutzen 28 Prozent, regelmäßige manuelle Updates ungefähr jede/r Vierte (26%).	回答者は平均3.9の防御策を利用しており、最も多かったのはウイルス対策プログラム（47％）と安全なパスワード（47％）だった。次いで、2要素ログイン（37％）、最新のファイアウォール（32％）である。アップデートの自動インストールは28％が利用しており、定期的な手動アップデートは約4人に1人（26％）が利用している。
Im Vergleich zum Vorjahr ist die Nutzung der meisten Schutzmaßnahmen damit rückläufig. Fast ein Drittel (29%) gibt ein hohes Sicherheitsgefühl als Grund für die Nichtnutzung von Maßnahmen an. Ein Viertel kritisiert zudem, dass Maßnahmen zu kompliziert seien (26%).	そのため、前年と比較すると、ほとんどの保護手段の使用率は低下している。ほぼ3分の1（29％）が、対策を使用しない理由として、セキュリティ意識の高さを挙げている。また、4分の1は対策が複雑すぎることを批判している（26％）。
Ob eine Sicherheitskopie anlegen, automatische Updates aktivieren oder das Heimnetzwerk absichern: Die Wegweiser und Anleitungen des BSI führen Sie Schritt für Schritt durch wichtige Schutzmaßnahmen.	バックアップコピーの作成、自動アップデートの有効化、ホームネットワークの安全確保などである： BSIの道しるべと説明書は、重要な保護対策を段階的に案内してくれる。
Junge Menschen im Fokus: Sorglosigkeit weit verbreitet	若者に注目：不注意が蔓延している
Der Anteil der Unbesorgten ist im Vergleich zum Vorjahr um sechs Prozentpunkte gestiegen – bei den 16- bis 22-Jährigen sogar um 16 Prozentpunkte: In dieser Altersgruppe schätzen über zwei Drittel (68%) ihr Risiko, in Zukunft persönlich von einer Straftat im Internet betroffen zu sein, als gering oder ausgeschlossen ein. Mit 3,2 setzen die 16- bis 22-Jährigen im Durchschnitt zugleich die wenigsten Schutzmaßnahmen ein. Als Grund nennen sie am häufigsten (34 %) den zu hohen Aufwand.	無関心な人の割合は前年より6ポイント上昇し、16歳から22歳では16ポイントも上昇した： この年齢層では、3分の2以上（68％）が、将来インターネット上で犯罪に巻き込まれる危険性は低い、もしくは存在しないと回答している。3.2で、16歳から22歳の年齢層は、平均して最も少ない保護手段を用いている。彼らが最も多く挙げた理由（34％）は、費用がかかりすぎるからである。
Darüber hinaus thematisiert der Cybersicherheitsmonitor auch das Verhalten von Eltern: So gab etwa jedes dritte Elternteil (35 %) an, ein Gespräch über IT-Sicherheit und Gefahren im Internet zu führen, bevor das Kind beginnt, das Internet selbstständig zu nutzen.	例えば、3人に1人の保護者（35％）は、子供がインターネットを単独で使い始める前に、ITセキュリティやインターネット上の危険性について話し合っていると回答している。
Mit unseren Angeboten für Eltern sowie unseren Lehr- und Lernmaterialien für Pädagoginnen und Pädagogen möchten wir Sie in Ihrer Vorbildrolle im digitalen Alltag unterstützen.	私たちは、保護者向けのオファーや教育者向けの教材で、日常的なデジタルライフにおけるロールモデルとしてのあなたの役割をサポートしたい。
Weitere Informationen sowie Beratungsangebot	その他の情報とカウンセリング・サービス
Mehr Informationen zum Cybersicherheitsmonitor finden Sie im Kurzbericht sowie in der Ergebnispräsentation und im Ergebnisflyer für Multiplikatoren.	サイバーセキュリティ・モニターの詳細については、報告書、結果発表、およびマルチプライヤ向けの結果チラシを参照されたい。
Auf seiner Webseite sowie in Publikationen, Newsletter und Podcast informiert das BSI zudem rund um IT-Sicherheit und gibt Handlungsempfehlungen für den digitalen Alltag.	BSIはまた、ITセキュリティに関する情報や、日常的なデジタルライフのための推奨事項を、ウェブサイトや出版物、ニュースレター、ポッドキャストで提供している。
Vorjahresbefragungen	前年度の調査
Cybersicherheitsmonitor 2023: Kurzbericht / Ergebnispräsentation	サイバーセキュリティ・モニター2023 簡単な報告書／結果発表
Digitalbarometer 2022	デジタルバロメーター2022
Digitalbarometer 2021	デジタルバロメーター2021
Digitalbarometer 2020	デジタルバロメーター2020
Digitalbarometer 2019	デジタルバロメーター2019
Über den Cybersicherheitsmonitor	サイバーセキュリティ・モニターについて
Der Cybersicherheitsmonitor ist die gemeinsame Bürgerbefragung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und des Programms Polizeiliche Kriminalprävention der Länder und des Bundes (ProPK). Erstmals im Jahr 2019 unter dem Namen Digitalbarometer erschienen geht der Cybersicherheitsmonitor 2024 in die sechste Befragungsrunde. Der Cybersicherheitsmonitor gibt Einblicke in das Informations- und Schutzverhalten der Bevölkerung sowie in ihre Betroffenheit von Cyberkriminalität.	サイバーセキュリティ・モニターは、連邦情報セキュリティ局（BSI）と連邦州・連邦政府の警察犯罪防止プログラム（ProPK）が共同で実施する市民調査である。デジタル・バロメーターという名称で2019年に初めて発行されたサイバーセキュリティ・モニター2024は、現在6回目の調査ラウンドに突入している。サイバーセキュリティ・モニターは、国民の情報保護行動とサイバー犯罪による影響についての洞察を提供する。
Methode und Historie	調査方法と歴史
Für den Cybersicherheitsmonitor werden jährlich über 3.000 Menschen ab 16 Jahre befragt, die in einem Privathaushalt in Deutschland leben und über einen Internetzugang verfügen. Bei dem sogenannten Computer Assisted Web Interviewing (CAWI) füllen die Teilnehmende eine Online-Umfrage in einem Browser aus. Dafür wird eine repräsentative Stichprobe anhand der Merkmale Alter, Geschlecht, Bildung und Bundesland aus dem Bilendi/respondi Online-Access-Panel gezogen. Der Cybersicherheitsmonitor kann damit sowohl Vergleiche zwischen unterschiedlichen Gruppen wie beispielsweise Altersgruppen als auch Entwicklungen über die Zeit darstellen.	毎年、サイバーセキュリティ・モニターのために、ドイツの一般家庭に住み、インターネットにアクセスできる16歳以上の3,000人以上が調査を受ける。CAWI（Computer Assisted Web Interviewing）と呼ばれる方法で、参加者はブラウザ上でオンライン調査に回答する。Bilendi/respondiのオンライン・アクセス・パネルから、年齢、性別、学歴、連邦州の特徴に基づいて代表的なサンプルが抽出される。このため、サイバーセキュリティ・モニターは、年齢層などの異なるグループ間の比較や、時系列での推移を示すことができる。
Bis 2022 erschien die Befragung unter dem Titel Digitalbarometer. Anschließend wurde der durchführende Dienstleister sowie das ausführende Panel gewechselt und die Anzahl der befragten Personen von 2.000 auf 3.000 erhöht. Seit 2023 ermöglicht die Befragung damit u.a. eine differenziertere Betrachtung einzelner Gruppen. Aufgrund einer grundlegenden Überarbeitung des Fragebogens sind Vergleiche zwischen den Befragungsergebnissen bis 2022 und jenen ab 2023 jedoch nur annähernd möglich. Um den thematischen Schwerpunkt der Befragung in den Vordergrund zu stellen, steht sie seit 2023 dabei unter dem Titel Cybersicherheitsmonitor.	2022年まで、この調査は「デジタル・バロメーター」というタイトルで発表されていた。その後、調査を実施するサービス・プロバイダーとパネルが変更され、回答者数が2,000人から3,000人に増加した。2023年以降、この調査によって、とりわけ個々のグループについてのより差別化された見方が可能になった。ただし、アンケートの根本的な見直しにより、2022年までの調査結果と2023年以降の調査結果との比較は、おおよそしかできない。本調査のテーマ性を強調するため、2023年以降、本調査は「サイバーセキュリティ・モニター」と呼ばれるようになった。

・[PDF]

・[PDF] Cybersicherheitsmonitor 2024

・[PDF] Cybersicherheitsmonitor

・[PDF] Cybersicherheitsmonitor 2024: Flyer zur Befragung zur Cybersicherheit

過去12ヶ月に受けた犯罪...（％）

知っている対策と実施している対策（％）

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.12.07 ドイツ CyMon 2023：サイバーセキュリティに関する市民調査（ドイツ市民のサイバーセキュリティ意識...）

Continue reading "ドイツ CyMon 2024：サイバーセキュリティに関する市民調査（ドイツ市民のサイバーセキュリティ意識...） セキュリティ意識が低いから犯罪にあう？犯罪にあっているにもかかわらずセキュリティ意識が低い？"

CISA We Can Secure Our World! （子供向けに歌にするというのはよいですね...）

こんにちは、丸山満彦です。

CISAが、スマートフォンを初めて渡す親子向け？に1分のセキュリティ教育用の音楽ビデオをつくっています。。。

日本でいうと5年生から中1年生くらい向けでしょうかね...

MFA推しです。。。

子供の学習用の教材とか見ていると、米国の教材には歌にして覚えるとか多いように思います。リズムに合わせて歌うと覚えやすいし、何度も歌うので記憶するという効果があるのかもしれませんね...

英語という言語がアップテンポの音楽にあっているのかもしれませんが、日本ではあまり見ないなぁと思いました。

日本ではしまじろう？？？　でも、しまじろうの短いビデオも英語の歌のものを日本語に訳しているのが多くて、いまいちテンポと言葉がmatchしていない感じだしなぁ...

● CISA

・2024.05.09 We Can Secure Our World! CISA just launched our second Secure Our World PSA. Watch now!

・[YouTube] We can Secure Our World

米国 NSA FBI 国務省 北朝鮮がDMARCの脆弱なセキュリティポリシーを悪用してスピアフィッシング

こんにちは、丸山満彦です。

米国のNSA、FBI、国務省が北朝鮮がDMARCの脆弱なセキュリティポリシーを悪用したスピアフィッシングについての警告をしていますね...

● National Security Agency/Central Security Service

プレス...

NSA Highlights Mitigations against North Korean Actor Email Policy Exploitation	NSA が北朝鮮による電子メールポリシー搾取に対する緩和策を強調する
FORT MEADE, Md. – The National Security Agency (NSA) joins the Federal Bureau of Investigation (FBI) and the U.S. Department of State in releasing the Cybersecurity Advisory (CSA), “North Korean Actors Exploit Weak DMARC Security Policies to Mask Spearphishing Efforts,” to protect against Democratic People’s Republic of Korea (DPRK, aka North Korea) techniques that allow emails to appear to be from legitimate journalists, academics, or other experts in East Asian affairs.	米国家安全保障局(NSA)は、米連邦捜査局(FBI)および米国務省とともに、サイバーセキュリティ勧告(CSA)「北朝鮮による脆弱なDMARCセキュリティポリシーの悪用によるスピアフィッシング行為」を発表し、合法的なジャーナリストや学者、その他東アジア問題の専門家からのメールと見せかける朝鮮民主主義人民共和国(DPRK、別名北朝鮮)のテクニックから保護することを明らかにした。
The DPRK leverages these spearphishing campaigns to collect intelligence on geopolitical events, adversary foreign policy strategies, and any information affecting DPRK interests by gaining illicit access to targets’ private documents, research, and communications.	朝鮮民主主義人民共和国は、このようなスピアフィッシング・キャンペーンを利用して、地政学的な出来事、敵対国の外交政策戦略、朝鮮民主主義人民共和国の利益に影響するあらゆる情報について、ターゲットの個人的な文書、研究、通信に不正にアクセスすることで情報を収集している。
“Spearphishing continues to be a mainstay of the DPRK cyber program and this CSA provides new insights and mitigations to counter their tradecraft,” said NSA Cybersecurity Director Dave Luber.	「NSAのサイバーセキュリティ・ディレクターであるデイブ・ルーバーは、「スピアフィッシングは北朝鮮のサイバープログラムの主軸であり続けており、このCSAは彼らの手口に対抗するための新たな洞察と緩和策を提供している。
The report contains background on the DPRK’s cyber program and past information-gathering examples, an explanation of how a strong Domain-based Message Authentication Reporting and Conformance (DMARC) policy can help block DPRK actors, red flag indicators of malicious activity, two sample emails used by DPRK cyber actors, and mitigation measures.	本レポートには、北朝鮮のサイバー・プログラムと過去の情報収集事例に関する背景、強力なDomain-based Message Authentication Reporting and Conformance (DMARC)ポリシーがどのように北朝鮮の行為者をブロックするのに役立つかの説明、悪意のある活動のレッドフラッグ・インジケータ、北朝鮮のサイバー行為者が使用する2つの電子メールのサンプル、および緩和策が記載されている。

・2024.05.02 [PDF] CSA: North Korean Actors Exploit Weak DMARC Security Policies to Mask Spearphishing Efforts

North Korean Actors Exploit Weak DMARC Security Policies to Mask Spearphishing Efforts	北朝鮮がDMARCの脆弱なセキュリティポリシーを悪用してスピアフィッシングを行う
SUMMARY	概要
The Federal Bureau of Investigation (FBI), the U.S. Department of State, and the National Security Agency (NSA) are jointly issuing this advisory to highlight attempts by Democratic People’s Republic of Korea (DPRK, a.k.a. North Korea) Kimsuky cyber actors to exploit improperly configured DNS Domain-based Message Authentication, Reporting and Conformance (DMARC) record policies to conceal social engineering attempts. Without properly configured DMARC policies, malicious cyber actors are able to send spoofed emails as if they came from a legitimate domain’s email exchange.	米連邦捜査局（FBI）、米国務省、および国家安全保障局（NSA）は共同でこの勧告を発出し、朝鮮民主主義人民共和国（DPRK、別名北朝鮮）のキムスキー（Kimsuky）サイバー・アクターが不適切に設定されたDNS Domain-based Message Authentication, Reporting and Conformance（DMARC）レコード・ポリシーを悪用してソーシャル・エンジニアリングの試みを隠蔽しようとしていることを明らかにする。DMARCポリシーが適切に設定されていないと、悪意のあるサイバー行為者は、あたかも正当なドメインの電子メール交換から来たかのようになりすました電子メールを送信することができる。
The North Korean cyber actors have conducted spearphishing campaigns posing as legitimate journalists, academics, or other experts in East Asian affairs with credible links to North Korean policy circles. North Korea leverages these spearphishing campaigns to collect intelligence on geopolitical events, adversary foreign policy strategies, and any information affecting North Korean interests by gaining illicit access to targets’ private documents, research, and communications.	北朝鮮のサイバー・アクターは、合法的なジャーナリスト、学者、または北朝鮮の政策サークルと信頼できるつながりを持つ東アジア問題の専門家を装ったスピアフィッシング・キャンペーンを実施している。北朝鮮はこのようなスピアフィッシング・キャンペーンを活用し、ターゲットの私的な文書、調査、通信に不正にアクセスすることで、地政学的な出来事、敵対国の外交政策戦略、北朝鮮の利益に影響するあらゆる情報に関する情報を収集している。
This Joint Cybersecurity Advisory (CSA) includes indicators of North Korean social engineering (page 4) for potential victims receiving spearphishing emails as well as mitigation measures (page 9) for organizations who could be victims of North Korean impersonation. For additional information on state-sponsored North Korean malicious cyber activity, see the June 2023 Kimsuky CSA, “North Korea using Social Engineering to Enable Hacking of Think Tanks, Academia, and Media.”	この共同サイバーセキュリティ勧告（CSA）には、スピアフィッシング・メールを受信する潜在的な被害者のための北朝鮮のソーシャル・エンジニアリングの指標（4ページ）、および北朝鮮になりすます被害に遭う可能性のある組織のための緩和策（9ページ）が含まれている。国家が支援する北朝鮮の悪意あるサイバー活動に関する追加情報については、2023年6月のKimsuky CSA、"North Korea using Social Engineering to Enable Hacking of Think Tanks, Academia, and Media "を参照のこと。

---

参考

報告書で参照されている過去の発表について...

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.06.03 米国 韓国 北朝鮮のサイバー部隊がシンクタンク、学術機関、ニュースメディア部門を標的にした攻撃をしていると注意喚起

欧州 Europolがフィッシング・アズ・ア・サービス・プラットフォームのLabHostを破壊

こんにちは、丸山満彦です。

Europolがフィッシング・アズ・ア・サービス・プラットフォームのLabHostを破壊したと発表していますね...

19カ国の捜査機関が協力してインフラを破壊して、四人を逮捕したようです...しばらくしたらまた、復活するのかもしれませんが、大きな成果ですね...

生成的AIが手軽に使えるようになり、フィッシングメールの多言語対応が簡単になってきたこともあってか、日本でもこの数年、フィッシングメール等が増加傾向にありますよね...

● Europol

・2024.04.18 International investigation disrupts phishing-as-a-service platform LabHost

International investigation disrupts phishing-as-a-service platform LabHost	国際的な調査により、フィッシング・アズ・ア・サービス・プラットフォームのLabHostを破壊
LabHost facilitated the phishing of users of hundreds of financial institutions worldwide for monthly subscription fee	LabHostは月額利用料で世界中の数百の金融機関のユーザーをフィッシングしていた。
This week, law enforcement from 19 countries severely disrupted one of the world’s largest phishing-as-a-service platform, known as LabHost. This year-long operation, coordinated at the international level by Europol, resulted in the compromise of LabHost’s infrastructure.	今週、19カ国の法執行機関が、LabHostとして知られる世界最大級のフィッシング・アズ・ア・サービス・プラットフォームを著しく妨害した。欧州刑事警察機構によって国際レベルで調整されたこの1年にわたる作戦は、LabHostのインフラを危険にさらす結果となった。
Between Sunday 14 April and Wednesday 17 April a total of 70 addresses were searched across the world, resulting in the arrest of 37 suspects. This includes the arrest of 4 individuals in the United Kingdom linked to the running of the site, including the original developer of the service.	4月14日（日）から4月17日（水）にかけて、世界中で合計70のアドレスが捜索され、37人の容疑者が逮捕された。これには、同サービスのオリジナル開発者を含む、同サイトの運営に関連する英国内の4人の逮捕も含まれる。
The LabHost platform, previously available on the open web, has been shut down.	これまでオープンなウェブ上で利用可能だったLabHostプラットフォームは閉鎖された。
This international investigation was led by the UK’s London Metropolitan Police, with the support of Europol’s European Cybercrime Centre (EC3) and the Joint Cybercrime Action Taskforce (J-CAT) hosted at its headquarters.	この国際的な捜査は、欧州刑事警察機構（Europol）の欧州サイバー犯罪センター（EC3）および同本部に設置された合同サイバー犯罪行動タスクフォース（J-CAT）の支援を受けて、英国のロンドン警視庁が主導した。
Europol has supported this case since September 2023. An operational sprint was organised at its headquarters with all the countries involved so that the national investigators could identify and develop intelligence on the users and victims in their own countries. During the action phase, a Europol specialist supported the Dutch National Police with their enforcement actions.	欧州刑事警察機構は、2023年9月からこの事件を支援している。各国の捜査当局が自国のユーザーと被害者を識別し、情報を開発できるように、関係するすべての国との作戦スプリントがユーロポール本部で組織された。活動段階では、欧州刑事警察機構のスペシャリストがオランダ国家警察の取締りをサポートした。
Commoditising phishing attacks	フィッシング攻撃の商品化
Cybercrime-as-a-service has become a rapidly growing business model in the criminal landscape whereby threat actors rent or sell tools, expertise, or services to other cybercriminals to commit their attacks. While this model is well established with ransomware groups, it has also been adopted in other aspects of cybercrime, such as phishing attacks.	サイバー犯罪-アズ-ア-サービスは、脅威行為者が他のサイバー犯罪者にツール、専門知識、またはサービスをレンタルまたは販売し、攻撃を行うというもので、犯罪の現場において急速に成長しているビジネスモデルである。このモデルはランサムウェアグループで確立されているが、フィッシング攻撃などサイバー犯罪の他の側面でも採用されている。
LabHost had become a significant tool for cybercriminals around the world. For a monthly subscription, the platform provided phishing kits, infrastructure for hosting pages, interactive functionality for directly engaging with victims, and campaign overview services.	LabHostは世界中のサイバー犯罪者にとって重要なツールとなっていた。このプラットフォームは、フィッシング・キット、ページをホスティングするためのインフラ、被害者と直接関わるためのインタラクティブ機能、キャンペーン概要サービスを月額で提供していた。
The investigation uncovered at least 40 000 phishing domains linked to LabHost, which had some 10 000 users worldwide.	調査の結果、LabHostにリンクしているフィッシング・ドメインは少なくとも40,000にのぼり、世界中に約10,000人のユーザーがいたことが判明した。
With a monthly fee averaging $249, LabHost would offer a range of illicit services which were customisable and could be deployed with a few clicks. Depending on the subscription, criminals were provided an escalating scope of targets from financial institutions, postal delivery services and telecommunication services providers, among others. Labhost offered a menu of over 170 fake websites providing convincing phishing pages for its users to choose from.	平均249ドルの月額料金で、LabHostはカスタマイズ可能で、数回のクリックで展開できるさまざまな不正サービスを提供していた。サブスクリプションに応じて、犯罪者は金融機関、郵便配達サービス、電気通信サービスプロバイダなど、エスカレートするターゲットの範囲を提供された。Labhostは、170以上の偽ウェブサイトのメニューを提供し、ユーザーが選択できるように説得力のあるフィッシング・ページを提供していた。
What made LabHost particularly destructive was its integrated campaign management tool named LabRat. This feature allowed cybercriminals deploying the attacks to monitor and control those attacks in real time. LabRat was designed to capture two-factor authentication codes and credentials, allowing the criminals to bypass enhanced security measures.	LabHostが特に破壊的だったのは、LabRatと名付けられた統合キャンペーン管理ツールだった。この機能により、攻撃を展開するサイバー犯罪者はリアルタイムで攻撃を監視し、制御することができた。LabRatは、二要素認証コードと本人認証をキャプチャするように設計されており、犯罪者は強化されたセキュリティ対策をバイパスすることができる。
Easily accessible, yet still a crime	簡単にアクセスできるが、それでも犯罪
Platforms such as LabHost make cybercrime more easily accessible for unskilled hackers, significantly expanding the pool of threat actors.	LabHostのようなプラットフォームは、熟練していないハッカーにとってサイバー犯罪へのアクセスを容易にし、脅威行為者のプールを大幅に拡大する。
Yet, however user-friendly the service portrays itself to be, its malicious use constitutes an illegal activity – and the penalties can be severe.	しかし、どんなにユーザーフレンドリーなサービスであっても、悪意のある利用は違法行為であり、その罰則は厳しいものとなる。
A vast amount of data gathered throughout the investigation is now in the possession of law enforcement. This data will be used to support ongoing international operational activities focused on targeting the malicious users of this phishing platform.	捜査を通じて収集された膨大なデータは、現在法執行機関が所有している。このデータは、このフィッシング・プラットフォームの悪質なユーザーをターゲットとした、現在進行中の国際的な作戦活動を支援するために使用される。
The following authorities have taken part in the investigation:	以下の認可当局が捜査に参加している：
・Australia: Australian Federal Police-led Joint Policing Cybercrime Coordination Centre;	・オーストラリア オーストラリア連邦警察主導の合同警察サイバー犯罪調整センター；
・Austria: Criminal Intelligence Service (Bundeskriminalamt);	・オーストリア オーストリア：犯罪情報局
・Belgium: Federal Judicial Police Brussels (Police judiciaire fédérale Bruxelles/ Federale gerechtelijke politie Brussel);	・ベルギー：ブリュッセル連邦司法警察；
・Finland: National Police (Poliisi);	・フィンランド：国家警察；
・Ireland: An Garda Siochana;	・アイルランド：アン・ガルダ・シオチャナ
・Netherlands: Central Netherlands Police (Politie Midden-Nederland);	・オランダ ：オランダ中央警察
・New Zealand: New Zealand Police;	・ニュージーランド：ニュージーランド警察
・Lithuania: Lithuania Police;	・リトアニア：リトアニア警察
・Malta: Malta Police Force (Il-Korp tal-Pulizija ta’ Malta);	・マルタ：マルタ警察
・Poland: Central Office for Combating Cybercrime (Centralne Biuro Zwalczania Cyberprzestępczości);	・ポーランド：サイバー犯罪対策中央事務所；
・Portugal: Judicial Police (Polícia Judiciária);	・ポルトガル：司法警察；
・Romania: Romanian Police (Poliția Română);	・ルーマニア：ルーマニア警察；
・Spain: National Police (Policía Nacional);	・スペイン：国家警察；
・Sweden: Swedish Police Authority (Polisen);	・スウェーデン：スウェーデン警察認可；
・United Kingdom: London Metropolitan Police;	・英国：ロンドン警視庁
・United States: United States Secret Service (USSS) and Federal Bureau of Investigation (FBI);	・米国：米国シークレットサービス（USSS）および連邦捜査局（FBI）；
・Czechia: Bureau of Criminal Police and Investigation Service;	・チェコ：刑事警察捜査局
・Estonia: Estonian Police and Border Guard Board;	・エストニア：エストニア警察・国境警備隊
・Canada: Royal Canadian Mounted Police.	・カナダ：カナダ騎馬警察

日本のフィッシング情報といえば、フィッシング対策協議会

● フィッシング対策協議会

最近は東京電力を語るフィッシングが多いみたいですよ...

ここからデータがとれます...

最近のフィッシング報告件数とフィッシングサイトのURL件数をグラフにしていみると...

対数目盛りにすると...

[ELSX] Phishing Data 201604-202403

ENISA 2030年のサイバーセキュリティ脅威の展望- 2024年更新版のエグゼクティブサマリー

こんにちは、丸山満彦です。

2030年のサイバーセキュリティ脅威の展望- 2024年更新版のエグゼクティブサマリーです...

この前のバージョンは、1年前の公表されていて、このブログでも紹介しています...

1年前に比べて、

4. 膨大なクロスセクターの技術エコシステムにおけるパッチ未適用・時代遅れのシステムの悪用

10. 重要なデジタル・インフラに対する自然／環境破壊の物理的影響

が新たにトップ10入りしていますね...

● ENISA

 ・2024.03.27 Foresight Cybersecurity Threats For 2030 - Update 2024: Executive Summary

Foresight Cybersecurity Threats For 2030 - Update 2024: Executive Summary	2030年のサイバーセキュリティ脅威の展望- 2024年最新版： エグゼクティブサマリー
This is the executive summary of the second iteration of The “ENISA Foresight Cybersecurity Threats for 2030” study that represents a comprehensive analysis and assessment of emerging cybersecurity threats projected for the year 2030. The report reassesses the previously identified top ten threats and respective trends whilst exploring the developments over the course of a year.	本書は、2030年に予測される新たなサイバーセキュリティの脅威を包括的に分析・評価した「ENISA Foresight Cybersecurity Threats for 2030」調査の第2回目のエグゼクティブサマリーである。本報告書では、1年間の動向を探りつつ、前回特定した脅威のトップ10とそれぞれの傾向を再評価している。

・[PDF]

・[DOCX] 仮訳

ことしのトップ21

	THREAT
1	Supply Chain Compromise of Software Dependencies	ソフトウェア依存のサプライチェーンの侵害
2	Skill Shortage	スキル不足
3	Human Error and Exploited Legacy Systems within Cyber-Physical Ecosystems	サイバー・フィジカル・エコシステムにおけるヒューマンエラーと悪用されたレガシーシステム
4	Exploitation of Unpatched and Out-of-date Systems within the Overwhelmed Crosssector Tech Ecosystem [Optional]	膨大なクロスセクターの技術エコシステムにおけるパッチ未適用・時代遅れのシステムの悪用【新規】
5	Rise of Digital Surveillance Authoritarianism / Loss of Privacy	デジタル監視の台頭 権威主義／プライバシーの喪失
6	Cross-border ICT Service Providers as Single Point of Failure	単一障害点としての国境を越えたICTサービスプロバイダ
7	Advanced Disinformation / Influence Operations (IO) Campaigns	高度な偽情報／影響力作戦（IO）キャンペーン
8	Rise of Advanced Hybrid Threats	高度なハイブリッド型脅威の台頭
9	Abuse of AI	AIの乱用
10	Physical Impact of Natural/Environmental Disruptions on Critical Digital Infrastructure [Optional]	重要なデジタル・インフラに対する自然／環境破壊の物理的影響【新規】
11	Lack of Analysis and Control of Space-based Infrastructure and Objects	宇宙を拠点とするインフラと物体の分析と管理の欠如
12	Targeted Attacks (e.g. Ransomware) Enhanced by Smart Device Data	スマートデバイスのデータによって強化される標的型攻撃（ランサムウェアなど
13	Increased Digital Currency-enabled Cybercrime [Optional]	デジタル通貨を利用したサイバー犯罪の増加【新規】
14	Manipulation of Systems Necessary for Emergency Response [Optional]	緊急対応に必要なシステムの操作【新規】
15	Tampering with Deepfake Verification Software Supply Chain [Optional]	Deepfake検証ソフトウェアのサプライチェーンを改ざんする【新規】
16	AI Disrupting/Enhancing Cyber Attacks [Optional]	サイバー攻撃を妨害／強化するAI【新規】
17	Malware Insertion to Disrupt Food Production Supply Chain [Optional]	食品製造のサプライチェーンを混乱させるマルウェアの挿入【新規】
18	Exploitation of E-health (and Genetic) Data [Optional]	Eヘルス（および遺伝子）データの活用【新規】
19	Attacks Using Quantum Computing [Optional]	量子コンピューティングを利用した攻撃【新規】
20	Disruptions in Public Blockchains [Optional]	パブリック・ブロックチェーンの混乱【新規】
21	Technological Incompatibility of Blockchain Technologies [Optional]	ブロックチェーン技術の技術的非互換性【新規】

2023年当時のトップ21

1. SUPPLY CHAIN COMPROMISE OF SOFTWARE DEPENDENCIES	1. ソフトウェア依存のサプライチェーン侵害
2. ADVANCED DISINFORMATION CAMPAIGNS	2. 高度な偽情報キャンペーン
3. RISE OF DIGITAL SURVEILLANCE AUTHORITARIANISM / LOSS OF PRIVACY	3. デジタル監視の権威主義の台頭／プライバシーの喪失
4. HUMAN ERROR AND EXPLOITED LEGACY SYSTEMS WITHIN CYBER PHYSICAL ECOSYSTEMS	4. サイバーフィジカル・エコシステム内のヒューマンエラーと悪用されたレガシーシステム
5. TARGETED ATTACKS (E.G. RANSOMWARE) ENHANCED BY SMART DEVICE DATA	5. スマートデバイスのデータによって強化される標的型攻撃（ランサムウェアなど）
6. LACK OF ANALYSIS AND CONTROL OF SPACEBASED INFRASTRUCTURE AND OBJECTS	6. 宇宙を拠点とするインフラや物体の分析と制御の欠如
7. RISE OF ADVANCED HYBRID THREATS	7. 高度なハイブリッド型脅威の台頭
8. SKILL SHORTAGES	8. スキル不足
9. CROSS-BORDER ICT SERVICE PROVIDERS AS A SINGLE POINT OF FAILURE	9. 単一障害点としての国境を越えたICTサービスプロバイダ
10. ARTIFICIAL INTELLIGENCE ABUSE	10. AIの悪用
11. INCREASED DIGITAL CURRENCY-ENABLED CYBERCRIME	11. デジタル通貨を利用したサイバー犯罪の増加
12. EXPLOITATION OF E-HEALTH (AND GENETIC) DATA	12. eヘルス（および遺伝子）データの悪用
13. TAMPERING WITH DEEPFAKE VERIFICATION SOFTWARE SUPPLY CHAIN	13. ディープフェイク検証ソフトウェアのサプライチェーンの改ざん
14. ATTACKS USING QUANTUM COMPUTING	14. 量子コンピューティングを利用した攻撃
15. EXPLOITATION OF UNPATCHED AND OUT-OFDATE SYSTEMS WITHIN THE OVERWHELMED CROSSSECTOR TECH ECOSYSTEM	15. 圧倒的なクロスセクター技術エコシステムの中での、パッチ未適用や最新でないシステムの悪用
16. AI DISRUPTING / ENHANCING CYBER ATTACKS	16. AIによるサイバー攻撃の撹乱・強化
17. MALWARE INSERTION TO DISRUPT FOOD PRODUCTION SUPPLY CHAINE	17. 食品製造のサプライチェーンを混乱させるマルウェアの挿入
18. TECHNOLOGICAL INCOMPATIBILITY OF BLOCKCHAIN TECHNOLOGIES	18. ブロックチェーン技術の技術的非互換性
19. DISRUPTIONS IN PUBLIC BLOCKCHAINS	19. パブリック・ブロックチェーンにおける混乱
20. PHYSICAL IMPACT OF NATURAL / ENVIRONMENTAL DISRUPTIONS ON CRITICAL DIGITAL INFRASTRUCTURE	20. 自然/環境破壊が重要なデジタルインフラに与える物理的影響
21. MANIPULATION OF SYSTEMS NECESSARY FOR EMERGENCY RESPONSE	21. 緊急対応に必要なシステムの操作

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2023.09.20 ENISA 2030の脅威の展望 (2023.09.13)

・2023.04.04 ENISA 先見の明 2030年に向けたサイバーセキュリティの脅威 (2023.03.29)

ドイツ BSI デジタル消費者保護：BSI年次レビュー2023年版 (2024.03.14)

こんにちは、丸山満彦です。

ドイツの連邦情報セキュリティ局 (BSI) が世界消費者デー（3月15日）を記念して、デジタル消費者保護の分野における2023年の年次レビューを発表していますね。。。

脅威としては、AIを利用した詐欺等の脅威、パスワードマネジャーを狙う、フィッシング等が挙げられていますね...

ここでも、レジリエンスが強調されているように思います。

● Bundesamt für Sicherheit in der Informationstechnik; BSI

・2024.03.14 Digitaler Verbraucherschutz: BSI-Jahresrückblick 2023 erschienen

Digitaler Verbraucherschutz: BSI-Jahresrückblick 2023 erschienen	デジタル消費者保護：BSI年次レビュー2023年版が発表される
Anlässlich des Weltverbrauchertages (15. März) hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) seinen Jahresrückblick 2023 im Bereich des Digitalen Verbraucherschutzes veröffentlicht. Darin werden unter anderem IT-Sicherheitsvorfälle und Trendthemen mit Bedrohungspotenzial des vergangenen Jahres 2023 näher beleuchtet. So zählten Datenleaks bei Unternehmen und öffentlichen Einrichtungen sowie Phishing-Angriffe auf Verbraucherinnen und Verbraucher zu den häufigsten Bedrohungen. Gleichzeitig sorgen neue Trends wie die Verbreitung von künstlicher Intelligenz für eine hohe Dynamik am digitalen Verbrauchermarkt, die sich unmittelbar auf das Bedrohungspotenzial auswirken.	世界消費者デー（3月15日）を記念して、ドイツ連邦情報セキュリティ局（BSI）は、デジタル消費者保護の分野における2023年の年次レビューを発表した。特に、2023年のITセキュリティ・インシデントや脅威の可能性があるトレンド・トピックを詳しく取り上げている。例えば、企業や公共機関におけるデータ漏洩や消費者に対するフィッシング攻撃は、最も一般的な脅威の一つであった。同時に、人工知能の普及などの新たなトレンドが、非常にダイナミックなデジタル・コンシューマー市場を形成しており、これが脅威の可能性に直接的な影響を与えている。
So verdeutlichen die aufgeführten IT-Sicherheitsvorfälle am digitalen Verbrauchermarkt, dass der Schutz und die Resilienz der Menschen bei ihren Aktivitäten im Netz dringend verbessert werden müssen. Der thematische Schwerpunkt des Jahresrückblicks widmet sich daher der "Digitalen Verbraucherresilienz". Im Mittelpunkt steht die Frage, was widerstandsfähige (resiliente) Verbraucherinnen und Verbraucher ausmacht, die dadurch besser in der Lage sind, sich vor Bedrohungen zu schützen, im Notfall schnell zu reagieren sowie Schäden zu minimieren. Darüber hinaus kommen mit Expertinnen und Experten der Verbraucherzentrale Nordrhein-Westfalen e. V., des eco - Verbandes der Internetwirtschaft e. V. sowie der Hochschule Bonn-Rhein-Sieg auch Praxispartner des BSI zu Wort, um entsprechende Handlungsfelder zur Stärkung der digitalen Verbraucherresilienz für Akteure aus den Bereichen Staat, Wirtschaft und Gesellschaft aufzuzeigen.	上記のデジタル消費者市場におけるITセキュリティ事件は、人々のオンライン活動の保護と回復力を向上させる緊急の必要性を示している。そこで、年次レビューのテーマ別焦点は「デジタル消費者のレジリエンス（回復力）」とした。脅威から身を守り、緊急事態に迅速に対応し、被害を最小限に抑えることができるレジリエンス（回復力）のある消費者とは何かという問題に焦点を当てている。さらに、ノルトライン・ウェストファーレン州、エコ・インターネット産業連盟、ボン・ライン・ジーク応用科学大学の専門家もBSIのプラクティス・パートナーとして発言し、国家、企業、社会の利害関係者がデジタル消費者のレジリエンスを強化するための対応分野に焦点を当てる。
Der Jahresrückblick zeigt, dass die fortschreitende Digitalisierung eine kontinuierliche Stärkung der IT-Sicherheit erfordert. Neben der Informations-, Sensibilisierungs- und Aufklärungsarbeit wird sich das BSI zukünftig verstärkt dem aktiven Schutz der Nutzerinnen und Nutzer vor den Gefahren im Umgang mit ihrer IT und dem Internet widmen. Ziel ist es, dass Verbraucherinnen und Verbraucher auch in Zukunft selbstbestimmt, einfacher und sicherer in der digital vernetzten Welt agieren können.	この年次レビューは、デジタル化の進展にはITセキュリティの継続的な強化が必要であることを示している。情報、啓発、教育活動に加え、BSIは今後ますます、ITやインターネットに関連する危険からユーザーを積極的に保護することに注力していく。その目的は、デジタル・ネットワーク化された世界において、消費者が今後も自立して、より簡単に、より安全に行動できるようにすることである。

・[PDF]

目次...

Vorwort	序文
1 Verbraucherinnen und Verbraucher in der vernetzten Welt besser schützen!	1 コネクテッド・ワールドにおける消費者保護を強化する
2 Jahresübersicht 2023: Relevante Bedrohungen auf dem digitalen Verbrauchermarkt	2 2023年の年次概況 デジタル消費者市場における関連脅威
3 Bessere digitale Verbraucherresilienz – aber wie?	3 デジタル消費者のレジリエンスを高める - しかし、どうやって？
4 Cybersicherheit für Unternehmen und Institutionen nützt allen	4 企業や機関のサイバーセキュリティはすべての人に利益をもたらす
5 Wissen, wo ich Hilfe finde – BSI-Angebote für Verbraucherinnen und Verbraucher	5 どこに助けを求めればよいかを知る - BSIの消費者向けサービス
6 Literaturverzeichnis/Quellen	6 参考文献／情報源

AIを利用した犯罪手口の種類に対する消費者の認知率

Abbildung 1 :Verbraucherkenntnisse zu Arten krimineller Methoden mittels KI in % (n=3.012, Mehrfachnennung möglich)	図1：AIを利用した犯罪手口の種類に対する消費者の認知率（％）（n=3,012、複数回答可）
Schockanrufe oder Enkeltrick mit von der KI nachgeahmten Stimme	AIが音声を模倣したショックコールや孫騙し	52%
Künstlich erstellte bzw. manipulierte Videos oder Bilder	人工的に作成・加工された動画や画像	48%
Nutzung von Profildaten aus Social Media für Betrugsversuche	ソーシャルメディア上のプロフィールデータを利用した詐欺の手口	46%
Phishing-Nachrichten, die von KI-Sprachmodellen verfasst wurden	AIの言語モデルによって書かれたフィッシング・メッセージ	36%
Suchen nach persönlichen Daten von anderen Nutzern über gezielte Fragen	的を絞った質問によって他のユーザーの個人データを検索する	27%
Aufdecken und Ausnutzen von Schwachstellen in Computerprogrammen	コンピュータプログラムの脆弱性を検出し、悪用する。	22%
das gezielte Versuchen, die eingebauten Regeln der KI zu umgehen kenne	AIに組み込まれたルールを回避するための標的型攻撃	14%
keine der genannten Methoden	いずれの方法も知らない	12%
weiß nicht/ keine Angabe	わからない・無回答	7%

ドイツ BSI TR-03182 電子メール認証：電子メールによるID詐欺への対応

こんにちは、丸山満彦です。

ドイツの連邦情報セキュリティ局 (Bundesamt für Sicherheit in der Informationstechnik; BSI) が、電子メールによるID詐欺への対応にも繋がる、電子メール認証の技術文書、BSI TR-03182 電子メール認証を公表していますね。。。

● Bundesamt für Sicherheit in der Informationstechnik; BSI

プレス...

・2024.02.16 Neue TR des BSI: Identitätsmissbrauch in E-Mail bekämpfen

Neue TR des BSI: Identitätsmissbrauch in E-Mail bekämpfen	新しいBSI TR：電子メールにおけるID詐欺に対抗する
Cyberangriffe mit Hilfe von E-Mails sind weiterhin eine große Bedrohung für Unternehmen, Organisationen und Bürgerinnen und Bürger. Insbesondere Phishing-Mails, mit denen Zugangsdaten oder ganze Identitäten gestohlen werden sollen, sind ein weithin genutztes Angriffsmittel. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat nun die Technische Richtlinie E-Mail-Authentifizierung (TR-03182) veröffentlicht, die E-Mail-Service-Providern eine Richtschnur im Vorgehen gegen Phishing und Spoofing, also das Fälschen des Absendernamens, zur Verfügung stellt. Die Maßnahmen müssen ausschließlich durch die jeweiligen Diensteanbieter umgesetzt werden, die ihre Kundinnen und Kunden damit aktiv schützen können.	電子メールを使ったサイバー攻撃は、企業、組織、市民にとって大きな脅威であり続けている。特にフィッシングメールは、アクセスデータやID全体を盗むことを目的としており、攻撃の手段として広く使われている。ドイツ連邦情報セキュリティ局（BSI）はこのたび、電子メール認証に関する技術ガイドライン（TR-03182）を発表し、電子メール・サービス・プロバイダーに対し、フィッシングやなりすまし（送信者名の改ざん）対策のガイドラインを提供した。この対策は、各サービス・プロバイダーが独占的に実施する必要があり、プロバイダーはこれを利用して顧客を積極的に保護することができる。
BSI-Präsidentin Claudia Plattner: "Wir müssen Cybersicherheit pragmatisch gestalten und im Rahmen des digitalen Verbraucherschutzes die Anwenderinnen und Anwender, wann immer es geht, aktiv schützen. Die Technische Richtlinie zur E-Mail-Authentifizierung setzt genau hier an."	BSIのクラウディア・プラットナー会長は、「サイバーセキュリティに対して現実的なアプローチをとり、デジタル消費者保護の一環として可能な限りユーザーを積極的に保護しなければならない。電子メール認証に関するテクニカルガイドラインは、まさにここにある。
Die TR-03182 formuliert Maßnahmen, mit denen Inhalt und Absender einer E-Mail authentifiziert werden können. So wird mit Hilfe des Standards SPF (Sender Policy Framework) die grundsätzliche Berechtigung zum Senden von E-Mails im Auftrag einer bestimmten Domain geprüft. Der ebenfalls in der Technischen Richtlinie geforderte Standard DKIMDomain Key Identified Mail (Domain Key Identified Mail) bindet jede gesendete E-Mail kryptographisch an die Domain. Damit wird die bereits etablierte TR-03108 (Sicherer E-Mail-Transport), die sich auf den sicheren E-Mail-Transport von Punkt zu Punkt bezieht, fachlich und technisch ergänzt. So können Mail-Anbieter ihre Kundinnen und Kunden vor Identitätsmissbrauch (Spoofing und Phishing) und unberechtigtem Mitlesen und Manipulation (Man-in-the-middle-Angriffen) schützen. Selbst neu entdeckte Angriffsmethoden wie das SMTP-Smuggling werden durch das Umsetzen der Maßnahmen erschwert.	TR-03182は、電子メールの内容と送信者を認証するために使用できる手段を策定している。たとえば、SPF（Sender Policy Framework）標準は、特定のドメインに代わって電子メールを送信するための基本的な権限をチェックするために使用される。DKIM（Domain Key Identified Mail）規格は、技術ガイドラインでも要求されているもので、送信されるすべての電子メールをドメインに暗号的に結びつける。これは、すでに確立されているTR-03108（セキュア電子メール・トランスポート）を補完するもので、専門的にも技術的にも、ポイントからポイントへのセキュアな電子メール・トランスポートに関するものである。これにより、メールプロバイダはID詐欺（なりすましやフィッシング）および無許可の読み取りや操作（中間者攻撃）から顧客を保護することができる。SMTP密輸のような新たに発見された攻撃手法も、対策を実施することでより困難になる。
Große Mail-Anbieter haben bereits angekündigt, für das massenhafte Zustellen von E-Mails künftig Mechanismen zur E-Mail-Authentifizierung zu fordern. Die TR-03182 berücksichtigt diese geforderten Technologien bereits.	主要なメールプロバイダは、今後電子メールの大量配信に電子メール認証メカニズムを要求することをすでに発表している。TR-03182はすでにこれらの要求技術を考慮している。

技術文書...

・2024.02.16 BSI TR-03182 E-Mail-Authentifizierung

BSI TR-03182 E-Mail-Authentifizierung	BSI TR-03182 電子メール認証
Ein Großteil unserer Kommunikation findet heutzutage digital statt. Die E-Mail ist dabei nach wie vor ein weit verbreitetes Medium. E-Mail-Authentifizierung schützt vor Angriffen, bei denen die Identität vertrauenswürdiger Sender vorgegaukelt wird (z.B. Spoofing und Phishing).	現在、コミュニケーションの大部分はデジタルで行われている。電子メールは今でも広く使われているメディアである。電子メール認証は、信頼できる送信者の身元を偽る攻撃（スプーフィングやフィッシ ングなど）から保護するものである。
Die Technische Richtlinie "E-Mail-Authentifizierung" (BSI TR-03182) definiert prüfbare Anforderungen an E-Mail-Diensteanbieter. Ziel der Technischen Richtlinie (TR) ist die Erhöhung der Vergleichbarkeit und Verbreitung authentischer E-Mail-Kommunikation.	技術ガイドライン「電子メール認証」（BSI TR-03182）は、電子メール・サービス・ プロバイダのための検証可能な要件を定義している。技術ガイドライ ン（TR）の目的は、真正な電子メール・コミュニケーションの比較可能性と普及を高めること である。
Ein "E-Mail-Diensteanbieter" oder "Betreiber eines E-Mail-Dienstes in seiner Organisation" kann mit der Konformität zur TR auch einen unabhängigen Nachweis über die Sicherheitsleistung seines E-Mail-Dienstes erbringen.	電子メール・サービス・プロバイダ」または「組織内の電子メール・サービス運営者」は、 TR に準拠することによって、電子メール・サービスのセキュリティ性能の独立した証明を提 供することもできる。
Idealerweise werden die Maßnahmen für E-Mail-Authentifizierung durch Maßnahmen für Sicheren E-Mail-Transport ergänzt. Hierzu wurde die Technische Richtlinie BSI TR-03108 Sicherer E-Mail-Transport veröffentlicht.	理想的には、電子メール認証対策は、安全な電子メール伝送対策によって補完される。技術ガイドライン BSI TR-03108 Secure e-mail transport は、この目的のために発行された。
Konzeptionelle Übersicht von BSI TR-03108 und BSI TR-03182:	BSI TR-03108 および BSI TR-03182 の概念概要：

技術文書

本文...

・2024.01.14 BSI TR-03182 Email Authentication, Version 1.0

Table of Contents	目次
1  Introduction	1 序文
2  Email Authentication	2 電子メール本人認証
3  Objectives	3 目的
4  Requirements	4 要件
4.1  Functional Requirements	4.1 機能要件
4.1.1  (TR-03182-01-M) SPF Record	4.1.1 (TR-03182-01-M) SPFレコード
4.1.2  (TR-03182-02-M) SPF Verification	4.1.2 (TR-03182-02-M) SPF検証
4.1.3  (TR-03182-03-M) DKIM Key Material	4.1.3 (TR-03182-03-M) DKIM 鍵材料
4.1.4  (TR-03182-04-M) Signing DKIM	4.1.4 (TR-03182-04-M) DKIMへの署名
4.1.5  (TR-03182-05-M) DKIM Verification	4.1.5 (TR-03182-05-M) DKIM 検証
4.1.6  (TR-03182-06-M) DMARC Policy	4.1.6 (TR-03182-06-M) DMARCポリシー
4.1.7  (TR-03182-07-M) Verifying DMARC	4.1.7 (TR-03182-07-M) DMARCの検証
4.1.8  (TR-03182-08-M) Sending DMARC Reports	4.1.8 (TR-03182-08-M) DMARCレポートの送信
4.1.9  (TR-03182-09-M) Receiving DMARC Reports	4.1.9 (TR-03182-09-M) DMARC報告の受信
4.1.10  (TR-03182-10-M) Evaluating DMARC Reports	4.1.10 (TR-03182-10-M) DMARC報告の評価
4.1.11  (TR-03182-11-M) Unused Domains	4.1.11 (TR-03182-11-M) 未使用ドメイン
4.2  Non-Functional Requirements	4.2 非機能要件
4.2.1  (TR-03182-12-M) Security Concept	4.2.1 (TR-03182-12-M) セキュリティ概念
4.2.2  (TR-03182-13-M) Data Protection	4.2.2 (TR-03182-13-M) データ防御
4.2.3  (TR-03182-14-M) Mandatory Reporting	4.2.3 (TR-03182-14-M) 報告の義務付け
4.2.4  (TR-03182-15-M) Transparency	4.2.4 (TR-03182-15-M) 透明性
5  Proof of Compliance	5 コンプライアンスの証明
5.1  IT Security Labels	5.1 ITセキュリティラベル
5.2  Certification to Technical Guidelines	5.2 技術ガイドラインに対する認証
6  Key Words for Requirement Levels	6 要求レベルのキーワード
7  Glossary	7 用語集
Bibliography	参考文献

・2024.01.24 BSI TR-03182-P Testspecification, Version 1.0

目次...

1  Introduction	1 序文
2  Testing	2 テスト
2.1   Interfaces	2.1 インターフェース
2.2  Target of Evaluation (TOE)	2.2 評価対象（TOE）
2.3  Conformity Email Test Infrastructure (CETI)	2.3 適合性電子メールテスト基盤（CETI）
2.4  Test Tools	2.4 テストツール
2.5  Test Messages	2.5 テストメッセージ
2.6  DNS-Resolution	2.6 DNS解決
2.7  Authoritative DNSSEC	2.7 権威あるDNSSEC
2.8  Test Operator	2.8 テストオペレーター
3  Profiles	3 プロファイル
4  Implementation Conformance Statement	4 実装適合性宣言
4.1  User Information Source	4.1 ユーザー情報ソース
4.2  Unused Domains	4.2 未使用ドメイン
4.3  Online Interfaces	4.3 オンラインインターフェース
4.4  Operational Information	4.4 運用情報
4.5  DMARC Evaluation	4.5 DMARCの評価
4.6  DMARC Quarantine	4.6 DMARCの検疫
4.7  Profiles	4.7 プロファイル
4.8  DNS Resource Records	4.8 DNSリソースレコード
4.9  Location	4.9 所在地
4.10  Certificate Information	4.10 証明書情報
5  Configuration	5 設定
5.1  Test Setup	5.1 テスト設定
5.2  DNS Zone and Record Specification	5.2 DNSゾーンとレコードの仕様
6  Test Cases	6 テストケース
6.1  Module A – User Interface	6.1 モジュール A - ユーザーインターフェース
6.2  Module B – DNSSEC	6.2 モジュール B - DNSSEC
6.3  Module C – Inbound SPF	6.3 モジュール C - インバウンド SPF
6.4  Module D – Outbound SPF	6.4 モジュール D - 送信 SPF
6.5  Module E – Inbound DKIM	6.5 モジュール E - インバウンド DKIM
6.6  Module F – Outbound DKIM	6.6 モジュール F - アウトバウンド DKIM
6.7  Module G – Inbound DMARC	6.7 モジュール G - インバウンド DMARC
6.8  Module H – Outbound DMARC	6.8 モジュール H - アウトバウンド DMARC
6.9  Module I – Inbound DMARC Reports	6.9 モジュール I - インバウンド DMARC レポート
6.10  Module J – Outbound DMARC Reports	6.10 モジュール J - アウトバウンド DMARC レポート
6.11 Module K – DMARC Monitoring	6.11 モジュール K - DMARC 監視
6.12 Module L – Unused Domains	6.12 モジュール L - 未使用ドメイン
6.13 Security Concept	6.13 セキュリティコンセプト
7   Test Case Notation	7 テストケースの表記
8   Keywords	8 キーワード
Bibliography	参考文献