我々はテイラー・ウェッシングが手動によるミスを犯したと考えていた。だが、それは誤りだった。これはファイザー、ジャストイート、SAP、チャブ、そしてバルブに影響を及ぼす、自動化された全社規模の大災害である。
システム脆弱性勧告
私の犬 vs. エリート弁護士（パート2）：グローバル企業を晒す5年間のPDF脆弱性
このページの内容
脆弱性警告: Aspose.PDF 20.8
Taylor Wessingが使用する編集スクリプトは、古いライブラリを使用してコンパイルされています。Aspose.PDF for .NET 20.8) これは、未パッチのリモートコード実行（RCE）の脆弱性があることでも知られています。
最初の記事で、Taylor Wessingが誤って830ページもの機密性の高いSteamユーザーデータを漏洩させた経緯を明らかにした後、私たちは企業弁護士について根本的な事実に気づいた。彼らは概して自尊心が強すぎて、800ページ以上に手動で黒いボックスを描いたりはしない。いや、彼らは手動ではやらなかった。スクリプトを使ったのだ。そして、その時点で冗談は笑い事ではなくなり、組織的で世界的なサイバーセキュリティ危機へと変貌した。
高級な外見の裏にある安価なソフトウェア
Taylor Wessingの830ページに及ぶ回答からのフォレンジックメタデータ抽出により、処理時間が正確に明らかになった 36秒これが決定的証拠だ。彼らは手動で編集したのではなく、欠陥のある自動スクリプトを使用したのだ。
企業向けの本格的なデータ消去ソフトウェアにかける費用を節約するため、彼らのシステムは汎用的で時代遅れのライブラリに依存している。 Aspose.PDF for .NET 20.8核心问题在于，他们的脚本使用这款过时的软件来绘制黑色矢量矩形（利用 re/f PDFコード内のオペレーターを、テキスト座標に基づいて処理する一方で、基礎となるテキストレイヤーを適切にサニタイズおよび削除していない。
ブラスト半径：テイラー・ウェッシングは誰のデータを処理したのか？
我々は、テイラー・ウェッシングが無関係なクライアント向けに処理した他のファイルもテストした。それらには、まったく同じメタデータ、まったく同じ脆弱性、そしてまったく同じ欠陥のある編集スクリプトが含まれていた。
この脆弱性は、テイラー・ウェッシングが処理した文書に、おそらくそれ以来存在していた可能性があります。 2019彼らの公開されたクライアントリストと我々のフォレンジック調査結果に基づき、過去5年間に彼らが処理したデータに関して、恐ろしい疑問を提起せざるを得ません。
- 何百万人ものゲーマーについてはどうでしょうか。 Valve（Steam） エコシステム？
- 世界的なGDPRコンプライアンス文書についてはどうですか ジャストイート?
- 欧州のデータ移転については、テック大手のような企業にとってどうなのか？ SAP そして ヴィンテッド?
- 機密性の高いインシデントレポートについてはどうですか？ チューブ保険 (テイラー・ウェッシングの「サイバーインシデント対応チーム」における位置づけはどこにあるのか)？
- 高度な機密性を持つ臨床データはどうでしょうか。 ファイザー?
もしテイラー・ウェッシングがこれらの企業向け文書の「黒塗り」に同じ安価なスクリプトを使用していたなら、彼らは何も隠していなかったことになる。彼らは意図的に情報を開示していたのだ。
⚡️ インストール不要のライフハック（確認方法）
- 「全選択」ハック： ブラウザでPDFを開いてください。押してください
Ctrl + A(すべて選択)Ctrl + C（コピー）して、それをメモ帳に貼り付けます。もし黒塗りが偽物なら、隠されたテキストも一緒に貼り付けられるでしょう。 - 「ブラインド・サーチ」ハック： プレス
Ctrl + Fそして「a」や「1」のような一般的な文字を検索します。ブラウザがヒットを記録し、黒いボックスをハイライト表示した場合、テキストレイヤーはまだ生きています。
🛠️ 安全なオフライン監査
- LibreOffice Draw: PDFを開き、黒いボックスをクリックして、Deleteキーを押すと、下にあるテキストが表示されます。
- Adobe Acrobat Pro: 「PDF編集」ツールを使用して、黒い図形をドラッグして邪魔にならない場所へ移動するだけです。
機密性の高い法的文書を、無作為なオンラインPDFエディタにアップロードしないでください。それ自体がデータ漏洩を引き起こす可能性があります。ローカルソフトウェアのみを使用してください。
法的リマインダー：72時間ルール
テイラー・ウェッシングに対し、これまでに送信したすべてのPDFを監査することを強く推奨します。以下に続く。 GDPR第33条データ管理者は、個人データ侵害を認識した場合、法的に、所管の監督当局に通知することが義務付けられています。 72時間この問題を隠蔽しようとすれば、規制上の最大限の罰則が科せられるだけです。時間は刻々と迫っています。
ライセンス · 権利 · 免責事項
PHISHDESTROY
ライセンス · 権利 · 免責事項
調査: Valve Corporation / Steam · 公開 — 有効期限なし、撤回不可
MIT PUBLIC DOMAIN OFAC-RESTRICTED
第1章 — ライセンス
PhishDestroyはこの資料に関するすべての権利を放棄します。ゼロです。消えました。終わりです。複製しても、販売しても、自分の名前を載せても、上司にタトゥーにしても、何でも構いません。クレジット表記は不要、DMも不要、お礼のカードも期待していません。
唯一の実際のルール
ロシアまたはOFAC制裁対象国のユーザーである場合 — この資料はあなた向けではありません。抜け道はありません。制裁を楽しんでください。そして、モスクワに座りながらSteamの地域をTurkeyに変更したなら — 創造的な地理学を祝福します。あなたは依然としてロシア人です。制裁は依然として適用されます。それがまさにポイントです。
第2章 — これは何か、そしてなぜ存在するのか
私たちは、平均的なValve社員が自分自身について知っていることよりも多くのValveに関する情報を公開します。Steamは基本的に私たちを生み出しました。詐欺師、サポートチケット、BAN回避エコシステムで私たちを育て — そして今、ここにいます。恨みはありません。むしろ詩的です。彼らがSpoofingの問題を修正するのを4年以上待ちました。それまで公開して書くことはできませんでした。これは対立ですか？いいえ。解決できますか？はい。しかし、私たちはNDAに署名せず、数セントのバグバウンティのためにプレイしません。
第3章 — Valveへの公開書簡
Valveへ。私たちのドメインを削除することを考えているなら — 単にメールしてください。Dr. Patrickにまた金を払わないでください。お願いします。関係者全員にとって恥ずかしいことです。
私たちはValveに直接的な「損害」を与えますか？おそらく、彼らが財政的に感じるような形では与えません。私たちは妄想を抱いていません。しかし、私たちは誠実に、オープンに、影響力を追いかけずにそれをします。5年分のアーカイブがあります。規制当局には原本が渡されます。研究者やジャーナリストには編集版が渡されます。PhishDestroyはコミュニティであり、個人ではありません。
取引（公開オファー、弁護士不要）
ドメインを消したいなら：IT法のプロフェッショナルに価格を計算させなさい。50%はSEAL Foundationに寄付されます。ドメインを消します。ドラマなし。裁判なし。終わり。他の方法では手に入りません。それは脅しではありません。それは単に状況の構造です。
第4章 — 金銭、BAN、そしてその大騒ぎ
Steamがギャンブルサイトや詐欺師をBANすることについてですが：それは執行ではありません。それは収益の捕捉です。Valveは金をポケットに入れ、手を洗い、ステージに上がって皆に健全な物語を語ります。その間、Valveは2017年にスキンを適切に追跡する機能を殺しました。私たちはそれを証明します：スキンはMoneroよりも匿名です。ペルーのカルテルはDota 2のスキンを資金移動に使用したとされています。Steamは機能上、約70億ドルの「トレーディングカード」に相当する制裁回避マシンです。
第5章 — マルウェアの問題
私たちはゲーム内の脆弱性を公開しません。Steamに報告もしません。できないからではなく、彼らのバグバウンティは約3コペックの価値しかなく、私たちは3コペックのために働かないからです。私たちのセキュリティ同僚はすでにSteamサポートに報告しました。これは自明のCSGOバリアントではありません。これは以下に近いです：サーバー接続時のRCE。つまり — サーバーに参加し、何もクリックしません。接続自体が攻撃面です。脅威は活動中です。
使用および権利に関する宣言
PhishDestroy プロジェクト & サイバーセキュリティ連合
1. 使用に関する条件はない
この紹介文において連合が作成したすべての資料 — 事実の陳述、分析、証拠、ツール、および調査結果 — はいかなる権利の留保もなしに公開されます。誰でも、連合に尋ねることなく、通知することなく、複製、適応、編集、書き直し、翻訳、抜粋、公式文書への組み込み、自分の作品として提示、または他の誰かに渡すことができます。
2. なぜこれが実務上重要なのか
ここには絡みつくものなど何もない。連合は何も求めず、何も請求されず、何も保持しておらず、いかなる種類の期待も持っていません。この資料を使用する権威は、連合のために行動しているのではありません。それは、たまたま他の誰かによって集められた公開情報を使用しているだけです。
3. すべてはすでにオープンである
調査はphishdestroy.ioでオープンに公開されています。ツールはgithub.com/phishdestroyでMITライセンスの下でオープンソースとして公開されています。方法論は紹介文に示されています。連合は寄付を受け入れず、2018年以来その立場を公開しています。
4. 証拠バンドルの完全性
各納品には、提供されたすべてのファイルのSHA-256ダイジェストを列挙したファイルSHA256SUMSと、分離されたOpenPGP署名SHA256SUMS.ascが付属します。署名鍵はphishdestroy.io/.well-known/pgp-key.txtおよびkeys.openpgp.orgで公開されています。
5. レジスター（文体）について
権威は連合の公開調査に出会い、それが率直で、敵対的で、時には風刺的だと感じることがあります。その印象は正しいです。連合は意図的にそのように書いています。免責事項は、実質をレジスター（文体）から分離するためのメカニズムです：権威は有用な部分を取り出し、自分の声で再述し、連合のスタイルのすべての言葉を破棄することができます。そうすることで失われるものは何もありません。
6. 連合が提供しているもの
情報、研究、観察。連合に権限がないと主張する調査結果として何もない。連合は救済、支払い、承認、または自分自身のための結果を求めません。紹介文に示された質問が、回答を強制する権限を持つ機関によってValve Corporationに提起されることを求めるだけです。
結びの注記 — これを前進させる誰かへ
私たちは、この資料が必要な場所へ届ける誰かに感謝したいと思っています。Valveは深いポケットを持ち、Taylor Wessingは時間単位の請求をします。私たちは自分が何をしているかを知っています。私たちは誰について書いているかを知っています。著作者権は必要ありません。帰属表示は必要ありません。勝利は必要ありません。私たちが求めているのは、すでにこの紹介文にある質問をValveに問い、回答を要求する権限を持つ実際の権威を持つ誰かです。それだけです。それがすべての要求です。
PhishDestroy — 公開調査 — すべての権利を人類に譲渡 · OFAC地域へのアクセス：禁止