podcast - #セキュリティのアレ

・Saved passwords in Edge memory: what we’re changing and why | Microsoft Browser Vulnerability Research
・「AI脅威に対する金融分野のサイバーセキュリティ対策強化に関する官民連携会議」の作業部会の開催について：金融庁
・Behind the Scenes Hardening Firefox with Claude Mythos Preview – Mozilla Hacks – the Web developer blog
・A note on patch Tuesday
・Defense at AI speed: Microsoft’s new multi-model agentic security system tops leading industry benchmark | Microsoft Security Blog
・Defender’s Guide to the Frontier AI Impact on Cybersecurity: May 2026 Update
・The First CVE Wave: Signs That AI-Assisted Vulnerability Discovery Is Reshaping Disclosure Volumes | Blog | VulnCheck
・Tables Turned: Gentlemen Ransomware Group Suffers Data Leak
・Thus Spoke…The Gentlemen – Check Point Research
・Adversaries Leverage AI for Vulnerability Exploitation, Augmented Operations, and Initial Access | Google Cloud Blog
・サイバー攻撃にAI悪用、脆弱性発見で「初の実例」 Google報告書 – 日本経済新聞
・第11回 情報セキュリティ事故対応アワード | マイナビニュース

辻伸弘メモ：第11回お疲れ様でした。ご来場いただいた方々ありがとうございました。夜行バスだなんてもうビックリサイトですやんか。かなり熱のあるイベントになった。20回まではしたい。締めコメントのスイッチ入り具合。早口の自覚あります。あのスンってのも結構好き。相手と自分で読み方、言い方違う時。MS Edgeの件のアップデート。使えないより使えたほうがええんかな。130件中、自身で発見しての修正は16件（エムダッシュ）。今年に入ってからのCVE件数が爆増なんですって！今の限定的な状態でこれ。もっと開かれたらどうなるのか。未知の領域の入り口に立っている。とはいえ中身は？利用者側のトリアージの問題。下手すると攻撃者の利するだけで終わる可能性もあると思う。ジェントルじゃないジェントルマン。フォーラムで売られてた情報に関する裏付け。案件管理。脆弱性に関する言及はほとんどなかった。BlackBastaのときはあった。認証が主戦場に見える。よく使われるけどそれを緩和することってあまりされてないんですよね。相手はしっかりこっちを見てる。脆弱性だけに目が行きがちかもだけど。脆弱性モリモリ時代には原点回帰の基本をしっかりすることが最も効果的となっていくのかもしれないですね。センセーショナルなタイトル。見つかったスクリプトを見たところ。なんでもええやん！発見の仕方が一段上がった気がする。人手の部分への浸食。少し前まで補助ツールだったものが。情報をアップデートしないと痛い目見そう。うちのAIは関西弁。情報セキュリティ事故対応アワードはまだ終わってへんねやで！

 
【チャプター】
| いつもの雑談から | 00:00 |
| お便りのコーナー | 05:28 |
| (N) フロンティア AI モデルによる脆弱性発見の状況 | 14:22 |
| (T) The Gentleman のリークデータを調べてみた | 32:07 |
| (P) AI の悪用に関する Google のレポート | 53:53 |
| オススメのアレ | 64:15 |

Podcast: Play in new window | Download

Subscribe: RSS

・話題の「Claude Mythos」、なんて読む？ 「ミトス」か「ミソス」か、はたまた「ミュトス」か：明日から使えるITトリビア – ITmedia NEWS
・Living off the Cloud | SANS Institute
・The Discord Invite Loop Hole Hijacked for Attacks – Check Point Research
・PCPJack | Cloud Worm Evicts TeamPCP and Steals Credentials at Scale | SentinelOne
・World Passkey Day: Advancing passwordless authentication | Microsoft Security Blog
・World Password Day: Keep your passwords and accounts safe with these 5 Google products
・Cleartext Passwords in MS Edge? In 2026? – SANS ISC
・Microsoft Edge will load all your passwords into memory in plaintext, but Microsoft says it’s not a security concern | Windows Central
・Credential Guard の概要 | Microsoft Learn
・Leak Bazaar: Inside the New Criminal Platform – Flare
・New criminal service plans to monetize data stolen by ransomware gangs | The Record from Recorded Future News
・Capcom Sound Team – PRAGMATA Original Soundtrack

辻伸弘メモ：終わってなかったんか。最薄っぽい。今年も連絡ない。バイデン枠を辻枠にしてくれてもええやんか。1人サミット。好き嫌いもなくなるポッドキャスト。こじつけ好きなんですよね。チリンって行って走って行くって法執行機関的。オムニバスに感心してほしかった。結局は英語をカタカナにできないって前提あるけど、なんて読むかって結構好き。インバイトリンクスって脅威アクターっぽいな。書類審査ゲームって言葉を流行らせたい。冷静で着実に粛々とが一番強いですよ。便利になる速度と管理･運用の速度とコスト。騒がせてましたね。妨害というか便乗？プロセスを落とす裏で。相手が何を狙ってくるのか。過去にあったワームやボットと比べてやや経路が弱いかな。アカウントの整理するのって大変。まとめたくなりますよね。例のEdgeに保存されているパスワードの話。メモリ上での振る舞いの違い。何が正しいかではなく、リスクを知った上で何を選ぶか。別の方法で保護すべきというスタンス。ダブスタ感あるねんなぁ。リークとはいえ価値のない情報も多い中で。いやなe-Discovery。欲しいものだけ買える。ええとこ取りちゃうの。一定のニーズはありそうやけど。あとはマッチング。Anubisはちょろっとの紹介でしたもんね。

 
【チャプター】
| いつもの雑談から | 00:00 |
| お便りのコーナー | 04:14 |
| (P) PCPJack による攻撃 | 15:37 |
| (N) MS Edge のパスワード管理 | 27:27 |
| (T) 新サービス Leak Bazaar とは | 40:29 |
| オススメのアレ | 55:05 |

Podcast: Play in new window | Download

Subscribe: RSS

・警視庁公式チャンネル – YouTube
・第11回 情報セキュリティ事故対応アワード | マイナビニュース
・How VPNs and Residential Proxies Are Used in Abuse: Findings from 2026 RSAC Research | IPinfo.io
・サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に関する注意喚起 （METI/経済産業省）
・サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度） | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
・黒崎煌代｜プロデュース本部｜LesPros Entertainment

辻伸弘メモ：GW中の皆さんこんにちは！中学受験の思い出。ウチはそういうママではなかったです。念の為。ずっと休みなのかもしれない。インターネットおじさんだったあの頃。監修のときの話。あなたの身近におすすめのアレ。情報セキュリティ事故対応アワードとは。現地でご参加ください！裁判所の許可を取れるような最小限で結果を出せることしてると思います。RSAでの2組織の発表。悪用の半分はVPNやレジデンシャルプロクシ。同じIPでもそこにぶら下がっている端末の1つでも駄目な挙動すると黒扱いになっちゃう。数が多く生存期間も短い（大体一週間以内）から追いかけてもIoCとしての効果が見込めない。ブラジルぶっちぎりでレジデンシャル！購入して使ってみたっぽい。ANDかORか同じネットワーク内にそれぞれが存在しての重複か。追いかけて追いかけても。元を絶つにも色々な経路ある問題。サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）に関する注意喚起が経済産業省から出てた件。まだ決まってないし、制度が開始されてないものにどうやって今すぐ評価を取得するねん！嘘やんかぁ。自分の公開当初の受け止めから世の中での扱いが変わってきているように思う。そこに違和感を覚えています。書類審査ゲーム。横串、包含であってほしいし、そうでないとコスト増なんですよね。この基準で大丈夫か。年間の半分を対応してこの結果はちょっとなぁ。やれんのか？
 

【チャプター】
| いつもの雑談から | 00:00 |
| お便りのコーナー | 06:14 |
| (N) RESIP と VPN はどのくらい悪用されているのか ? | 17:24 |
| (T) SCS 評価制度に関する注意喚起でてましたね | 39:57 |
| オススメのアレ | 63:13 |

Podcast: Play in new window | Download

Subscribe: RSS