SquareXがBSides San Franciscoへのデータスプライキ攻撃を明らかに、主要なDLPの欠陥

Palo Alto, California, April 16th, 2025/CyberNewsWire/--SquareX researchers Jeswin Mathai and Audrey Adeline will be disclosing a new class of data exfiltration techniques at BSides San Francisco 2025.

Titled “Data Splicing Attacks: Breaking Enterprise DLP from the Inside Out”, the talk will demonstrate multiple data splicing techniques that will allow attackers to exfiltrate any sensitive file or clipboard data, completely bypassing major Data Loss Protection (DLP) vendors listed by Gartner by exploiting architectural vulnerabilities in the browser.

DLPはあらゆるエンタープライズのセキュリティステックのコアの柱です。データ侵害は、IPの損失、規制違反、罰金、重度の評判損害を含む深刻な結果を引き起こす可能性があります。企業のデータの60%以上がクラウドに保存されているため、ブラウザは従業員がデータを作成、アクセス、共有する主な方法となっています。

したがって、ブラウザは、外部の攻撃者と内部の脅威の両方にとって特に魅力的なターゲットとなっていますが、既存のエンドポイントとクラウドのDLPソリューションは、従業員がブラウザ上のデータとどのように相互作用するかについての遠隔力と制御が限られています。

さらに、ブラウザにおけるデータラインナップの維持に関して、いくつかのユニークな課題があります。

これには、複数の個人およびプロフェッショナルアイデンティティの管理、制裁されたおよび影のSaaSアプリケーションの幅広い風景、およびこれらのアプリケーション間で機密データが流れる多くの経路が含まれます。

SquareXの研究者Audrey Adeline氏は、「データスプレイリング攻撃は、企業から情報を盗み出そうとしている内部脅威や攻撃者にとって完全なゲーム変革です。それらは、既存のDLPソリューションが発明されてから長い間新しいブラウザ機能を利用し、これらのテクニックを使用して抽出されたデータは完全に検出されず、完全な回避を生み出しています。

SquareXの研究者Audrey Adeline氏は、「データスプレイリング攻撃は、インサイダーの脅威や企業から情報を盗み出そうとしている攻撃者のための完全なゲーム変革です。これらは、既存のDLPソリューションが発明されてから長い間新しいブラウザ機能を利用し、これらのテクニックを使用して抽出されたデータは完全に検出されず、完全な回避につながります。

会話の一環として、「Angry Magpie」というオープンソースのツールキットもリリースし、 pentesters と red teams が既存の DLP スタックをテストし、組織のデータスプリッシング攻撃に対する脆弱性をよりよく理解できるようになります。

BSides San Franciscoの完成後、SquareXチームはまたRSAC 2025でプレゼンテーションを行い、Booth S-2361, South Expoで研究についてのさらなる議論を行うことができます。

Talk 詳細:

Title: Data Splicing Attacks: Breaking Enterprise DLP from the Inside Out

Data Splicing Attacks: Breaking Enterprise DLP from the Inside OutData Splicing Attacks: Breaking Enterprise DLP from the Inside Out

スピーカー: Jeswin Mathai & Audrey Adeline

イベント: BSides サンフランシスコ 2025

場所: サンフランシスコ, CA

ツールキットリリース: Angry Magpie (Open Source)

Speakersについて

Jeswin Mathai, Chief Architect, SquareX

Jeswin MathaiJeswin Mathai

Jeswin Mathai は SquareX で Chief Architect を務め、その会社のインフラストラクチャーの設計と実装を主導しています。経験豊富なスピーカーと研究者として、Jeswin は DEF CON US, DEF CON China, RootCon, Blackhat Arsenal, Recon Village, and Demo Labs at DEFCON などの有名な国際舞台で彼の仕事を披露しています。彼はまた、AWSGoat, AzureGoat, and PAToolkit などの人気のあるオープンソースプロジェクトの作成者です。

Audrey Adeline, Researcher

Audrey AdelineAudrey Adeline

Audreyは現在、SquareXのBrowser Bugs Year (YOBB) プロジェクトをリードしており、これまでに複数の主要なブラウザの脆弱性を明らかにしてきました。彼女はまた、The Browser Security Field Manualの著者です。YOBBの主要な発見には、Polymorphic Extensions、Browser Ransomware、Browser Syncjackingが含まれています。

彼女はサイバーセキュリティ教育の促進に情熱を持っており、スタンフォード大学とセキュリティとプライバシーの女性(WISP)との複数のワークショップを開催しています。SquareXに就く前に、AudreyはSequoia Capitalのサイバーセキュリティ投資家であり、ケンブリッジ大学で自然科学の学位を取得しました。

SquareXについて

SquareX’s industry-first Browser Detection and Response (BDR) helps organizations detect, mitigate, and threat-hunt client-side web attacks targeting employees happening against their users in real-time. This includes defending against identity attacks, malicious extensions, spearphishing, browser data loss, and insider threats.

SquareXSquareX

SquareX takes a research and attack-focused approach to browser security. SquareX’s dedicated research team was the first to discover and disclose multiple pivotal attacks, including Last Mile Reassembly Attacks, Browser Syncjacking, Polymorphic Extensions, and Browser-Native Ransomware. As part of the Year of Browser Bugs (YOBB) project, SquareX commits to continue disclosing at least one major architectural browser vulnerability every month.

Last Mile Reassembly AttacksLast Mile Reassembly AttacksBrowser SyncjackingBrowser SyncjackingPolymorphic ExtensionsPolymorphic ExtensionsBrowser-Native RansomwareBrowser-Native RansomwareYear of Browser BugsYear of Browser Bugs

コンタクト

Head of PR

Junice Liew

SquareX

[email protected]

This story was distributed as a release by Cybernewswire under HackerNoon’s Business Blogging Program. Learn more about the program here

This story was distributed as a release by Cybernewswire under HackerNoon’s Business Blogging Program. Learn more about the program here

herehere