サイバープロテクションリサーチ @cyber_ap運用ポリシー - 1460482702

11：匿名さん：2016/04/14(木) 05:39:01: パナマ文書の一次情報（2.7テラバイトの契約情報）にアクセス
ホスティングプロバイダの役割以前の脆弱性に起因でハッキングか。
「Revolution Slider」は、最も有名なスライダープラグイン
レスポンシブ・スライダープラグイン Slider Revolution (Version 4.5.95 SkyWood)

パナマ文書 Panama Papers流出 Mossack Fonseca法律事務所が被害届
パナマ検察当局は4日、捜査に乗り出すと発表した。
事務所は外部からのハッキングの被害者だと訴えた。

Revolution Sliderの脆弱性を突き、悪意のあるスクリプトをサーバー上にアップロードすることで、簡単に情報を抜き出せる状態にあった。RevSliderの脆弱性を突いた攻撃か。

HP RDX USB 3.0 Gen8 DLサーバーモジュールドッキングステーション
2.5インチ SATA3.0 1TB 64MBキャッシュ 5400rpm ST1000LM014
カートリッジ一本あたり360GB、500GB、1TB、または2TBいずれかの容量を分散保存はリスクが高い。
最大13TBの大容量を誇るソリッド・ステート・ドライブ使用内部犯行は
無理がないか。1TB 転送量制限　1TBで、15時間
（事例）
オーストラリア人　モバイルインターネットを介して１テラバイトをダンロード
「テルストラ（Telstra）」のモバイルインターネットが１日中無料のキャンペーン「フリー・データ・デー（Free data day）」を利用した。最大データレートは、毎秒180メガビットだった。

米中央情報局（ＣＩＡ）を含む複数国の情報機関関係者がスパイ活動遂行に利用もあるらしい？

暗号化された言葉のやり取りで情報提供を受けたICIJ
Googleは既に相当数のドメインをブラックリストに入れているか。
（The International Consortium of Investigative Journalists=ICIJ、本部ワシントン）
Yasuomi Sawa (Japan)
Toshihiro Okuyama (Japan)
Scilla Alecci (Japan)
Alessia Cerantola (Japan)

パナマ文書（パナマぶんしょ）またはパナマペーパー（英語: Panama Papers）は、パナマの法律事務所、モサック・フォンセカ (Mossack Fonseca) によって作成された一連の機密文書である。21万4000企業の取締役、株主らについての詳細な情報。容量にしておよそ2.6テラバイトのデータ、総数1150万件に及ぶ。文書に記載されている、著名な政治家、公人およびその親族の名前は12カ国140人以上。文書は1970年代から作成された。モサック・フォンセカは世界第4位のオフショア関連法律事務所そのウェブサイトはWordpressで構築されており、Revolution Sliderの古いバージョンを使用していた。Wordpressのプラグインが原因、ファイルのアップロードやサーバーへのスクリプト攻撃が、誰でも容易にできる状態にあったのか。https://ja.wordpress.org/公式参照

WordPress (ワードプレス) は、オープンソースのブログ／CMS プラットフォームです。セマンティック Web、コードやデザインの美しさ、Web 標準、ユーザビリティなどを意識して開発されており、無料でダウンロードして使うことができます。安全にご利用いただけるのは最新版のみです。

古い PHP や MySQL しか利用できないレガシーな環境でも、PHP 5.2.4 以上、かつ MySQL 5.0 以上であれば WordPress は動作しますが、公式なサポートが終了しているため、サイトがセキュリティの脆弱性にさらされる危険性を理解したうえで利用してください。

クロスサイトスクリプティング (XSS)
WordPress のパーミッションシステムは、登録者ユーザーの個人情報、コメント送信者のメールアドレス、非公開コンテンツなどのプライベートな情報へのアクセスコントロールに利用されています。

クロスサイトリクエストフォージェリ (CSRF)
暗号化トークンを使用して、潜在的な CSRF の脅威から保護するために許可されたユーザーからのアクション要求の意図をバリデートします。WordPress は一意で一時的なトークンの生成および検証のための API を提供しています。このトークンは特定のユーザー、特定のアクション、特定のオブジェクト、特定の期間に制限され、必要に応じてフォームや URL 付加することができます。さらに、すべてのナンスはログアウト時に無効化されます。

SSRF (サーバー側リクエストフォージェリ) 攻撃
プライベート IP アドレスへのアクセスを防止するためにフィルタリングされています。さらに、アクセスは特定の標準な HTTP ポートにのみに限定されています。

WordPress ニュース https://wordpress.org/news/
WordPress セキュリティリリース https://wordpress.org/news/category/security/
WordPress 開発者向けリソース https://developer.wordpress.org/