「user:CyberDesk」に一致するピン

グーグルの脅威研究者によると、電話でITサポートを装う集団が従業員を言いくるめて偽のData Loaderアプリを承認させ、その企業のSalesforceデータを大量に盗み出して恐喝に使っていた。

ラスベガスの連邦判事は、2019年の情報流出と、ストリップのカジノを停止に追い込んだ2023年9月のサイバー攻撃で個人情報を盗まれた顧客とMGMリゾーツとの4,500万ドルの和解を最終承認した。立証された損害には1人当たり最大1万5,000ドルが支払われる。

SalesloftのチャットボットDriftから盗んだOAuthトークンを使い、攻撃集団UNC6395は数百社のSalesforceインスタンスからデータをエクスポートし、サポートケースの中からAWSキーやパスワード、Snowflakeトークンを探し出していた。

FBIは、企業のSalesforceデータを盗む2つの集団の痕跡情報を公開した。一方はITサポートを装って従業員に電話をかけ、もう一方は盗んだSalesloft Driftのトークンを使っていた。

恐喝ブランド「Cl0p」を名乗る集団が、各社のOracle E-Business Suiteシステムからデータを盗んだとして、経営幹部に大量のメールを送りつけ、支払いを要求し始めた。

同集団は39社から盗んだSalesforceデータのサンプルを掲載し、Salesforceに対して10月10日までに支払わなければ約10億件のレコードを流出させると迫った。

オラクルは定例外のセキュリティアラートで、Cl0pがデータ窃取に悪用していた、E-Business Suiteにあるログイン不要のリモートコード実行の脆弱性（深刻度9.8）を修正した。

CISAはCVE-2025-61882を「悪用が確認された既知の脆弱性（KEV）」リストに追加し、連邦民間機関に2025年10月27日までにOracle E-Business Suiteを修正するよう求めた。

同集団のリーク期限まで3日と迫るなか、Salesforceは顧客にメールで、いかなる恐喝要求にも応じず、交渉も支払いもしないと伝えた。

身代金の期限が過ぎると、Scattered Lapsus$ Huntersは6社から盗んだSalesforceデータを公開した。カンタス航空の顧客記録500万件と、ベトナム航空の730万件のメールアドレスが含まれていた。

Salesforceは、未確認のIPアドレスから顧客のSalesforceデータへのAPI呼び出しを検知した後、Gainsightが公開するアプリが保持するすべてのトークンを無効化し、AppExchangeから削除した。

恐喝グループのWorldLeaksは2026年1月22日、リークサイトにナイキを掲載し、その後、ナイキ社内の設計・製造ファイル18万8,347件だとする約1.4TBのデータを公開した。ナイキは、サイバーセキュリティ上のインシデントの可能性を調査しているとだけ述べた。

ナイキは2026年2月25日、1月21日に発見した第三者サービス事業者のポータルへの不正侵入について、顧客への侵害通知を送り始めた。顧客の連絡先、注文、決済カードの情報が流出したが、ナイキはカード情報の全体やアカウントの認証情報は盗まれていないとしている。

クアルコムとグーグルは、230以上のチップセットに影響するオープンソースのクアルコム製グラフィックコンポーネントのメモリ破損バグを公表した。「限定的で標的型の悪用が行われている可能性がある」としている。

Salesforceによると、既知の脅威グループがマンディアントのツールを改変して公開中のExperience Cloudサイトを大量にスキャンし、権限が過大なゲストユーザープロファイルを通じてCRMデータを抜き取っていた。

オラクルは、PeopleSoft PeopleToolsのログイン不要でリモートコード実行が可能な脆弱性CVE-2026-35273（深刻度9.8）についてセキュリティアラートを出した。その時点でShinyHuntersは大学を中心に100以上の組織からデータを盗んでいた。

ブラックハットUSAは2026年8月1日から6日までマンダレイ・ベイ・コンベンションセンターで開かれ、2万3,000人超が来場した。100を超えるブリーフィングと100を超えるトレーニングが行われ、ビジネスホールには400社以上が出展した。

DEF CON 34は2026年8月6日から9日までラスベガス・コンベンションセンターのウエストホールで開かれ、参加者にはアンドリュー・"バニー"・ホアン氏による検証可能なオープンソースチップ「Baochip」を中心とした電子バッジが配られた。

アマゾンは、マンディアントを創業してグーグルに54億ドルで売却したサイバーセキュリティのベテラン、ケビン・マンディア氏を取締役に迎え、監査委員会とセキュリティ委員会の委員に任命した。

マイクロソフト史上最大のセキュリティ更新プログラムで、966件の脆弱性を修正した。すでに攻撃に悪用されていたWindowsの権限昇格のゼロデイ脆弱性2件と、「緊急」に分類される105件が含まれる。

ルイジアナ州の本人確認企業IDScan.netは、ハッカーが同社のクラウドから、米国とカナダの1億5,000万人以上の運転免許証データ（氏名、免許証番号、その他の公的書類の識別番号）を盗んだことを認めた。免許証の写真を含むデータはダークウェブのサイトに掲載された。

EUのサイバーレジリエンス法（CRA）が最初の施行段階を迎える。EUで販売されるデジタル要素を持つあらゆる製品の製造者は、実際に悪用されている脆弱性や重大なインシデントを欧州ネットワーク・情報セキュリティ機関（ENISA）と各国のCSIRTに報告しなければならない。24時間以内に早期警告、72時間以内に正式な通知、14日以内に最終報告が求められる。

2026年10月13日、MicrosoftはOffice LTSC 2021とOffice 2021のサポートを終了し、Windows Server 2012と2012 R2の3年目で最終の拡張セキュリティ更新プログラム(ESU)の期間も満了する。この日以降、どちらもMicrosoftからセキュリティ修正プログラムも技術サポートも受けられなくなる。

オラクルがオンプレミス製品全体のセキュリティ修正をまとめた四半期ごとのパッチは、10月の第3火曜日に公開される予定である。

DEF CON 35は2027年8月5日から8日まで、2026年にDEF CON 34が開かれたラスベガス・コンベンションセンターのウエストホールで開催される予定だ。

マイクロソフトのWindows 10 22H2向け個人向け拡張セキュリティ更新（ESU）プログラムが、最後のセキュリティパッチを配信する。この日以降も家庭のWindows 10パソコンは動き続けるが、セキュリティ修正は提供されなくなる。2027年10月12日は登録の最終日でもある。

サイバーレジリエンス法のすべての義務が発効する。デジタル要素を持つ製品は、同法の必須サイバーセキュリティ要件を満たし、適合性評価を受け、表明したサポート期間中セキュリティ更新が提供される場合にのみ、EU市場に投入できる。