「SearchLeak」脆弱性：Microsoft 365 Copilot経由でメール・MFAコード・ファイルを窃取
Microsoft 365 Copilot Enterpriseに存在していた深刻な脆弱性チェーンが、パッチによって修正されました。研究者らの実証によると、正規のMicrosoftドメインへのリンクを1回クリックするだけで、MFAコード、メール内容、カレンダー情報、機密ファイルなど企業の重要データが静かに盗み出される
タグ: CSPバイパス
Microsoft 365 Copilotをワンクリックのデータ窃取ツールに変えた新たな攻撃手法
「SearchLeak」と名付けられた深刻な脆弱性チェーンがMicrosoft 365 Copilot Enterpriseに存在し、攻撃者が特別に細工したURLを通じて、標的のメールボックス、OneDrive、またはSharePointアカウントから機密データを窃取できる可能性があります。 流出の対象となり得る情報
新たなMagecart攻撃、StripeをマルウェアのC2として悪用
正規のクラウドサービスを悪用して検知を回避する、新手のMagecartキャンペーンが確認されました。攻撃者はJavaScriptスキマーをStripeの顧客メタデータ内に格納し、Google Tag Manager経由で被害者のチェックアウトページへ配信する手口を用いています。 この手法により、Stripeは任意コー
MagecartハッカーがStripeをマルウェアのC2サーバーに悪用
Magecartグループに関連する脅威アクターが、StripeとGoogle Tag Manager（GTM）を悪用してクレジットカード情報を窃取する、新たなスキミング手法を開発しました。 Sansecが発見したこのキャンペーンは、StripeやGoogleといった信頼性の高いドメインの裏に悪意ある基盤を隠しています
MetaのコンバージョンAPIにおける重大なXSS脆弱性により、ゼロクリックでのアカウント乗っ取りが可能に
セキュリティ研究者は、MetaのConversions API Gatewayに...