人気9人組グループ「超特急」の3号車・リョウガさんが、北海道の朝の情報番組「イチモニ！」（HTB）の単独インタビューに応じました。

#人生最高レストラン #TBS

#人生最高レストラン #TBS

お笑い芸人・好井まさおの怪談特番が再放送決定。未公開の実体験やカメラが捉えた怪現象が続々と登場します！

「CoPhish」と名付けられた新しいフィッシング手法は、Microsoft Copilot Studioエージェントを悪用し、正規で信頼されたMicrosoftドメインを通じて不正なOAuth同意リクエストを配信します。 この手法はDatadog Security Labsの研究者によって開発され、今週初めのレポートでCopilot Studioの柔軟性が新たな未公開のフィッシングリスクをもたらすと警告されました。 CoPhishはソーシャルエンジニアリングに依存していますが、MicrosoftはBleepingComputerに対し、今後のアップデートで根本的な原因を修正する予定であることを確認しました。 「この報告を調査し、今後の製品アップデートを通じて対応する予定です」とMicrosoftの広報担当者はBleepingComputerに語りました。 「この手法はソーシャルエンジニアリングに依存していますが、当社はガバナンスと同意体験の強化に引き続き取り組んでおり、組織による悪用防止を支援する追加のセーフガードも検討しています。」 CopilotエージェントとOAuthフィッシング Copilot Studioエージェントはcopilotstudio.microsoft.com上でホストされるチャットボットで、ユーザーは「トピック」と呼ばれる特定のタスクを自動化するワークフローを通じて作成・カスタマイズできます。 「デモウェブサイト」機能を有効にすることで、エージェントをMicrosoftのドメイン上で共有できます。URLが正規のものであるため、ユーザーは騙されてログインしやすくなります。 チャットボットとの会話開始時にユーザーを認証する「ログイントピック」は、認証コードのリクエストや他の場所・サービスへのリダイレクトなど、特定のアクション用に構成できます。 悪意あるエージェントのカスタマイズ可能なサインイントピック出典: Datadog Datadogの上級セキュリティ研究者Katie Knowles氏によると、攻撃者はログインボタンを悪意のあるアプリケーションでカスタマイズでき、「ターゲット環境の内部または外部のいずれでも」可能であり、環境へのアクセス権がなくてもアプリ管理者を標的にできるといいます。 テナント内の権限のないユーザーを標的にすることも、脅威アクターがすでに環境内に存在する場合は可能です。ただし、Microsoftのデフォルトポリシーが変更されると、攻撃はOneNoteの読み書き権限のみに限定され、メール、チャット、カレンダーサービスへのギャップは塞がれます。 Knowles氏は、Microsoftのアップデート後も「外部登録アプリケーションでアプリケーション管理者を標的にする」ことは可能であり、これらの変更は高権限ロールには適用されないと述べています。 テナント内の管理者権限を持つユーザーは、内部・外部アプリケーションからの権限要求を、たとえそれが未検証（例：Microsoftや自組織によって公開されていないとマークされている）であっても承認できます。 Datadogの研究者によると、CoPhish攻撃は、脅威アクターがサインイントピックを認証プロバイダーへのリダイレクトとセッショントークンの収集に設定した悪意あるマルチテナントアプリを作成することから始まります。 セッショントークンの取得は、HTTPリクエストをBurp CollaboratorのURLに設定し、「token」ヘッダーにアクセストークン変数を渡すことで可能です。 サインイントピックに必要なアクションを追加出典: Datadog 「アプリケーションID（またはクライアントID）、シークレット、認証プロバイダーURLは、エージェントのサインイン設定を構成するために使用されます」とKnowles氏は今週のレポートで述べています。 被害者ユーザーがログインボタンをクリックした際のリダイレクトアクションは、任意の悪意あるURLにリダイレクトするように設定でき、アプリケーション同意ワークフローのURLは攻撃者にとって一つの選択肢に過ぎないことに注意が必要です。 管理者を狙ったCoPhish攻撃 悪意あるエージェントのデモウェブサイトを有効化した後、攻撃者はこれをメールフィッシングキャンペーンやTeamsメッセージでターゲットに配布できます。 URLが正規でページのデザインもMicrosoft Copilotサービスの一部のように見えるため、ユーザーは疑うことなくアクセスしてしまうかもしれません。Knowles氏によると、「Microsoft Power Platform」アイコンが唯一の手がかりですが、見逃しやすいとのことです。 Microsoftホストのページとログインボタン出典: Datadog 管理者が騙されて悪意あるアプリの権限を承認すると、OAuthリダイレクトURLに移動し、ボット接続の検証が行われます。 「これは一見異常に見えますが、正規ドメインを使用したCopilot Studioの認証プロセスの標準的な一部です」とDatadogの研究者は述べています。 認証プロセスが完了すると、ユーザーにはセッショントークンがBurp Collaboratorに転送されセッションが乗っ取られたことについて通知されませんが、エージェントとのチャットは可能です。 さらに、トークンはMicrosoftのIPアドレスからCopilot経由で送信されるため、攻撃者への接続はユーザーのウェブトラフィックには表示されません。 以下は、CoPhish攻撃の仕組みと、被害者ユーザーが悪意あるアプリにアクセスしてから攻撃者がトークンを受け取るまでの手順を示した図です。 Cophish攻撃のフローダイアグラム出典: Datadog MicrosoftはBleepingComputerに対し、管理者権限の制限、アプリケーション権限の削減、ガバナンスポリシーの徹底によってCoPhish攻撃から保護できると述べています。 Datadogは、Microsoftのデフォルトのベースライン構成のギャップをカバーする強力なアプリケーション同意ポリシーの実装を含む一連のセキュリティ考慮事項を提供しています。 クラウド監視・セキュリティ企業である同社は、ユーザーによるアプリケーション作成のデフォルトを無効化し、Entra IDおよびCopilot Studioエージェント作成イベントを通じてアプリケーション同意を厳密に監視することも組織に推奨しています。 翻訳元:

【NHK】ＮＨＫのアナウンサーが自ら企画し制作するインタビュー番組。夢の実現へもがいていた場所や支えとなったふるさとなど、様々な分野の第一線で活躍する方の「原点」を訪ねて、仕事や人生の哲学についてインタビューする。

10月23日（木）放送「〇〇と永野がいたら、もうコント。」で繰り広げられたトークにはまだまだ未公開シーンが！！この度、その映像を特別公開！！