「見た目が普通だと判断が難しい」女性が小学校の防犯訓練で不審者役を演じたら本部を全滅させてしまった体験談
アイダさん @eyedacom 不審者対応訓練の不審者役を初めてやりました。 結果 職員15人殺傷 本部（校長不在の職員室）全滅 不審者取り押さえ不可能で訓練は途中で強制終了 以下ツリーは 敢えて男性👨女性👩に分けてます。 2024-05-24 18:15:01 アイダさん @eyedacom 入ってすぐに窓越しに声をかけてきた👨① 「忘れ物を届けにきました」と言ってそのまま素通り 同室の👩②がトランシーバーで本部に連絡しているのが見えた。 渡り廊下で出会った👩③ 顔見てすぐに🔪そのまま2階へ 低学年の教室にいた👩④ は放送を聞いて施錠したので無事 2024-05-24 18:15:01 アイダさん @eyedacom 隣の教室の👩⑤⑥は施錠が間に合わずに🔪🔪 2階の廊下を歩いて移動して👨⑦に声かけられた瞬間に🔪 2階で刺せる人が居なくなったので3階へ上がりかけると
【追記】LINEヤフー、総務省から行政指導--4月16日付けで、4月1日提出の報告書を受け
LINEヤフーは4月16日、同日付で総務省より行政指導を受けたことを発表した。 （1）安全管理措置及び委託先管理の抜本的な見直し及び対策強化の加速化、（2）親会社等を含むグループ全体でのセキュリティガバナンスの本質的な見直しの検討の加速化、（3）取組内容に係る進捗状況の定期的な公表等を通じた利用者対応の徹底――の3点の指導を受けたという。 同社は3月5日、総務省から行政指導を受けたことを受け、4月1日に報告書を提出。総務省は同報告書について、「一定の応急的な対策については実施済みとのことであるものの、現時点で、安全管理措置及び委託先管理が十分なものとなったとは言い難く、また、親会社等を含むグループ全体でのセキュリティガバナンス体制の構築についても十分な見直しが行われる展望が必ずしも明らかとはいえない状況にあると考えられ、対策・検討を加速化する必要がある」としている。 具体的には、二要素認証
パスワードの入力文字列を任意で表示する | Accessible & Usable
公開日 : 2024年3月23日 カテゴリー : ユーザビリティ / アクセシビリティ フォームのパスワード入力欄 (<input type="password">) は基本的に、入力された文字列がマスキングされ、代わりに文字数の分だけ「黒い点」が提示されるようになっています。他人によるパスワードの盗み見を防ぐためですが、ユーザーは、大半のケースでは背後から覗く人が誰もいない状況でパスワードを入力するでしょうし、入力した文字列が視認できないと正しくタイプできているか不安になったり、タイプミスしたときの修正がしづらい (どの箇所でミスしたか確信が持てず、はじめから入力し直さざるを得なくなる) といった問題もあるでしょう。こうしたことを考慮に入れると、パスワードのマスキングはユーザーの任意で解除できる (入力した文字列を表示させる) ようにしたほうが、ユーザビリティの観点では望ましいと考えるこ
【追記】LINEヤフー、総務省から行政指導--度重なる情報漏えい受け、経営体制見直しも
ソフトバンクは3月5日、情報漏えいが続く傘下のLINEヤフーが、総務省から行政指導を受けたと発表した。親会社であるAホールディングスを傘下に持つソフトバンクは、セキュリティガバナンス確保の方策を検討していくとしている。 総務省は、LINEヤフーに対し、不正アクセスによる通信の秘密の漏えい事案に関し、通信の秘密の保護及びサイバーセキュリティの確保の徹底を図るとともに、再発防止策等の必要な措置を講じ、その実施状況を報告するよう、文書による行政指導を実施。 内容として、安全管理措置及び委託先管理の抜本的な見直し及び対策の強化、親会社等を含むグループ全体でのセキュリティガバナンスの本質的な見直し及び強化、利用者対応の徹底が盛り込まれているという。 総務省では、情報漏えいの要因として、システムやネットワーク構成等に係るNAVER側への強い依存があると指摘。LINEヤフーに対し、経営体制の見直しなどを
ESET社員、生成AIで自社CEOの声を作って不正送金させる実験に成功
ESETは11月22日(現地時間)、「Your voice is my password – the risks of AI-driven voice cloning」において、生成AIにより合成した音声を悪用したソーシャルエンジニアリング攻撃の実験に成功したと伝えた。この実験では、従業員が自社の最高経営責任者(CEO: Chief Executive Officer)になりすまして、財務責任者から自分宛てに送金させることに成功しており、生成AIの危険性について注意喚起している。 Your voice is my password – the risks of AI-driven voice cloning これは事前にCEOの許可を得て行っ実験であり、ここで解説する手法をまねることは犯罪となる可能性があることに注意。この実験と同様の攻撃が今後増加する可能性があると懸念されており、企業や組
Android向けCredential Managerが11月1日から利用可能に。パスキーでのログインに対応 | テクノエッジ TechnoEdge
Googleは、AndroidのアプリでパスキーをサポートするCredential Managerを11月1日に一般向け正式リリースします。 Googleは10月初めにGoogleアカウントへのログインでパスキーを利用可能にしましたが、多くのアプリではまだパスワード認証が使われており、電子メールやSNSで送られる認証コードを入力したり、認証アプリを利用したりと様々。ユーザーはどのアプリが何を利用しているのかを覚えておく必要があるほか、開発者側もさまざまなログイン方法をサポートするため負担が増加してしまいます。 Credential Managerはこうした問題を解決するためのもの。パスキーはもちろん、従来のパスワード認証もサポートしているので複数のアカウントを使い分ける場合などにも対応できます。また、どのアプリでも統一したUIでログインできるという点もメリットです。 iOSでは対応している
「Amazonを不正利用された」──SNS上で報告相次ぐ 「二段階認証を突破された」などの声も
「Amazon.co.jpを不正利用された」──X（元Twitter）では9月上旬からそんな投稿が相次いでいる。「Amazonギフトカードを大量購入された」「二段階認証を設定していたのに、それを突破された」などの報告が上がっている。 Xでは「（アカウントに）二段階認証を設定していたにもかかわらず不正アクセスされ、Amazonギフトカードを大量に購入された」と被害を訴える声が多く見られる。特に話題になっているユーザーの投稿によると「注文履歴を非表示にされ、不正利用に気が付かないままクレジットカードの請求が来た」と語っている。 このユーザーがAmazonのサポートに問い合わせしたところ「同様の案件が多発している」「現状では手口が分からないのでどうやって侵入してるのか調査中」などと返事があったという。その後、被害額は全て返金してもらったとしている。 Amazonではサイバーセキュリティ対策の一環
公共の充電ステーション、ＦＢＩが「使用避けて」と警告
ニューヨーク（ＣＮＮ） 米連邦捜査局（ＦＢＩ）は先週、ショッピングモールや空港にある充電ステーションにはマルウェア（悪意のあるソフトウェア）感染の恐れがあるとして、使用を避けるよう市民に警告した。 コロラド州デンバーのＦＢＩ支局がツイッターに投稿した。自分の充電器とＵＳＢコードを持ち歩き、電源を使って充電することを勧めている。 公共の充電ステーションについては、セキュリティーの専門家らが長年、懸念を指摘してきた。２０１１年には、こうしたトラブルに「ジュースジャッキング」という名前も付けられた。 スマートフォンを充電コーナーにつないだだけで感染し、全てのデータが流出することもあるという。充電ケーブルは、スマートフォンからほかの端末へのデータ転送にも使えるケースが多い。 充電ポートにマルウェアが仕込まれている場合、メールや文字メッセージ、写真、連絡先など、どの情報が盗み取られてもおかしくない。
QRコードにレーザーを照射し、任意の時間帯だけ別URLへ誘導するハック | スラド セキュリティ
ストーリー by nagazou 2023年03月28日 18時04分 遠距離だとスナイパー並みの腕が必要な気が 部門より 東海大学の研究チームは、遠隔からレーザー光をQRコードに当て一時的にだけ偽装QRコードに変える攻撃をすることで、任意のタイミングで悪性サイトへ誘導可能な偽装QRコードを生成する手法を考案したという。QRコードの誤り訂正機能を悪用、レーザー光を照射したときにだけ高確率に悪性サイトへ誘導するように設計されている。この方法を用いればQRコードを撮影しているときに遠くからレーザー光で照射。別の悪意あるサイトへ誘導することが可能になるとしている（ITmedia）。 以前から正規QRコードを外部から書き換える方法に関してはいくつか提案されてきたそうだ。正規QRコード上に偽装QRコードのステッカーを張り付ける方法や、QRコードの特定部位をマジックなどで塗りつぶす方法などが提示されて
FBIがみんなに広告ブロッカーを使って欲しい理由
FBIがみんなに広告ブロッカーを使って欲しい理由2022.12.26 18:00104,761 Thomas Germain - Gizmodo US ［原文］ （ Kenji P. Miyajima ） みなさんは広告ブロッカー、使ってますか？ 凶悪犯罪の捜査で忙しいはずの米連邦捜査局（FBI）が、公式サイトで広告ブロッカーを使用するように呼びかけました。 広告ブロッカーはネット詐欺防止に効果的GoogleやBingなどの検索結果にブランドや企業の広告が表示されるじゃないですか。インターネット犯罪苦情センターによると、広告のブランドになりすました犯罪者が何の疑いも持たないユーザーを本物そっくりの偽サイトに誘導して、ランサムウエアやフィッシング攻撃の餌食にするそうです。FBIは、対応策として広告ブロッカーが効果的としています。 FBIが特定の広告ブロッカーを推奨していないので、uBlock
多要素認証におけるワンタイムパスワードの入力欄 | Accessible & Usable
公開日 : 2022年10月17日 カテゴリー : ユーザビリティ / アクセシビリティ 各種サービスへのログイン、インターネットバンキングなどの取引実行前の本人確認、といったシチュエーションで、多要素認証としてワンタイムパスワード (†) の入力が求められることが珍しくなくなってきました。従来の認証方法であるユーザー ID とパスワードの組み合わせに加えて、都度、動的に生成される一定の桁数の数字の並びをユーザーに入力させることで、セキュリティをより強固なものにしています。 † ワンタイムパスコード、確認コード、認証コード、などと呼ばれることもあります。 ところで、このワンタイムパスワードの入力欄の実装には、<input type="password"> が用いられているケースを時折見かけます (個人的な感覚としては、インターネットバンキングでこのような実装が比較的多く見られる印象です)。
報告から 1 年以上経っても完全に修正されない IKEA のスマート電球の脆弱性 | スラド セキュリティ
IKEA の TRÅDFRI (トロードフリ) シリーズ スマートホーム製品 2 点で脆弱性が見つかり、発見者の Synopsys Cybersecurity Research Center (CyRC) が詳細を報告している (The Register の記事)。 CVE-2022-39064 はスマート電球 (LED1732G11) の脆弱性。不正な IEEE 802.15.4 (Zigbee) フレームを 1 回送ると電球が点滅を始め、同じフレームの送信を複数回繰り返すとファクトリーリセットが実行されてしまうという。これにより電球は Zigbee ネットワークに関する設定情報や輝度設定を失い、最大輝度で点灯するほか、ユーザーはアプリやリモコンでの操作ができなくなる。 CVE-2022-39065 はすべての IKEA Home Smart 製品をアプリから操作可能にするゲートウェイデ
元Googleエンジニア「TikTokはパスワードなど全文字入力を取得できる」 → 公式が反論 → ニューヨーク・タイムズがさらに反論の論争に
プライバシー研究者で元GoogleエンジニアのFelix Krause（フェリックス・クラウス／＠KrauseFx）さんが8月19日に公開した、SNSのモバイルアプリに関するセキュリティの懸念事項に関するレポートが話題です。このレポートにTikTok公式がTwitterで反論しましたが、さらにその反論にニューヨーク・タイムズ記者が反論するちょっとした論争に発展しています。 フェリックス・クラウスさんのレポート フェリックスさんのレポートは、アプリでURLをクリックした際などにリンク先をスマートフォンのSafariやChromeなどデフォルトブラウザではなく、アプリ内で開く“内蔵ブラウザ”についてまとめたもの。一部のアプリでは、この内蔵ブラウザがセキュリティリスクを抱えているということです。 このレポートでは、特にTikTokが最も多くのリスクを抱えていると指摘。リンクをタップした際にデフォ
「GitHubで大規模なマルウェア攻撃が広まっている」──海外エンジニアのツイートが話題 すでに対応中か
スティーブンさんは当初、「3万5000のリポジトリ（プロジェクトのソースコード保管庫）が感染している」としていたが、その後「GitHub上に3万5000件以上見つかったのであり、リポジトリが感染しているわけではない」と訂正している。悪意あるコードが埋め込まれているのは、正規のリポジトリから第三者がクローンしたもの。 投稿によると、暗号通貨（原文ではcrypto）やGo、Python、JavaScript、Bash、Docker、Kubernetesなどのサードパーティーライブラリのクローンリポジトリで悪意あるコードを確認しているという。悪意あるコードは、Node.jsのモジュール管理ツール「npmスクリプト」やDockerコンテナのパッケージ「Dockerイメージ」、インストールドキュメントに追加されているとしている。 続けて、スティーブンさんは「攻撃者はクローンした偽のリポジトリを正規の
Firefox、新トラッキング防止機能を標準で有効に Cookieのトラッカー機能のみブロック
Mozillaは6月14日（米国時間）、Webブラウザ「Firefox」において、Cookieによる情報のトラッキングを防ぐ「トータルCookieプロテクション」機能を標準で有効化すると発表した。 トータルCookieプロテクションは、閲覧するWebサイトごとに「Cookieジャー（壺）」を作って隔離することで、サイト間の移動などの行動履歴を取得できないようにする機能。Cookieの機能のうち、Webサイトの正常な動作に必要な機能は制限しない。 既存のアンチトラッキング機能では、ブラックリストに載っているトラッカーをブロックしてCookieの利用を制限していたが、リストに載っていないトラッカーを制限できない問題があった。 トータルCookieプロテクションではブラックリストを使わないため、すべてのトラッキングを遮断できるとしている。 関連記事 脱Cookieも追い風に ネットでテレビ広告を
Web開発者はもっと「安全なウェブサイトの作り方」を読むべき - Flatt Security Blog
画像出典: https://www.ipa.go.jp/files/000017316.pdf こんにちは。株式会社Flatt Security セキュリティエンジニアの奥山です。 本稿では、独立行政法人 情報処理推進機構(以下、IPA)が公開している資料「安全なウェブサイトの作り方」を紹介します。 「安全なウェブサイトの作り方」は、無料で公開されているにも関わらず、Webセキュリティを学ぶ上で非常に有用な資料です。これからWeb開発やセキュリティを勉強したいと考えている方はもちろん、まだ読んだことのない開発者の方々にも、ぜひ一度目を通していただけたらと思います。 一方、「安全なウェブサイトの作り方」では、一部にモダンなアプリケーションには最適化されていない情報や対象としていない範囲が存在します。それらについても本記事で一部、触れていきたいと考えていますので、資料を読む際の参考にしていただ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
セキュリティソフトメーカーAvast、FTCから1650万ドルという巨額の罰金を科せられる【やじうまWatch】
複雑なテストなしで「人間であること」を証明、Cloudflareの新システム「Turnstile」は、CAPTCHA認証の代替になるか
Bitwarden Passwordless.dev | Bitwarden
sudoとsuがRustで書き直される。メモリ安全性向上へ
