株式会社セブン&アイ・ホールディングス（以下、当社）傘下の株式会社セブン・ペイ（以下、セブン・ペイ）が運営するバーコード決済サービス「7pay（セブンペイ、以下、7pay）」の一部アカウントに対する不正アクセスが発生いたしました。 お客様をはじめとする皆様に、多大なご迷惑、ご心配をおかけしておりますことを、深くお詫び申し上げます。 上記不正アクセス事案（以下、本事案）につき、当社では「セキュリティ対策プロジェクト」を立ち上げ、被害状況の把握と発生原因の調査を進めるとともに、今後の対応等を含めた検討を重ねてまいりました。当該プロジェクトにおける検討結果を踏まえ、（１）7payについて、チャージを含めて全てのサービスを再開するに足る抜本的な対応を完了するには相応の期間を必要とすると想定されること、（２）その間、サービスを継続するとすれば「利用（支払）のみ」、という不完全な形とせざるを得ないこと

2019年5月10日、米国セキュリティ企業 AdvIntel（Advanced Intelligence, LLC）は大手のウイルス対策ベンダ3社が不正アクセスを受け、ソースコード等の機密情報が盗まれた可能性を報告しました。 その後、この3社はTrendMicro、Symantec、McAfeeと報じられ一部企業は不正アクセスを受けたとコメントしています。ここでは関連する情報をまとめます。 AdvIntelの調査報告（2019年5月10日） Top-Tier Russian Hacking Collective Claims Breaches of Three Major Anti-Virus Companies 2019年3月に米国拠点の大手ウイルス対策ベンダ３社から独占情報を盗んだと声明。 不正アクセスは「Fxmsp」と呼称されるグループにより行われたものと報告。 盗まれた情報にはソフ

連載：知られざるダークウェブの世界 ダークウェブを調査・監視するホワイトハッカーのSh1ttyKids（してぃーきっず）さんが、知られざる「ネットの裏側」をレポートする。 著者：Sh1ttyKids（してぃーきっず） ダークウェブ上のサイトについて、調査・監視活動を行うホワイトハッカー。大麻販売サイトが秘匿するIPアドレスを探し当て、法執行機関へ提供するなどの実績を持つ。2018年12月には、セキュリティ企業Recorded Futureで「日本語圏のアンダーグラウンドコミュニティの過去と現状」と題したレポートを公開した。 過去の連載記事一覧 近年、海賊版サイトを運営するグループが、警察の捜査などによる身バレを防ぐために利用している「防弾ホスティング」。通常のホスティングサービスは、発信者情報の開示要求や警察からの捜査協力依頼には友好的に応じますが、防弾ホスティングではこうした要求を無視し

PayPayの不正利用の原因は？PayPayの不正利用の対策方法を知りたいPayPayの不正利用に遭ったらどういう手続きを取ればいい？ PayPayで約50万円の不正利用の被害に遭いました 2018年12月11日〜14日にかけてtwitterでなにやらPayPayの不正利用に関する不穏なツイートをたくさん見かけました。 PayPay 経由で僕のクレジットカードが不正利用されたようです。カード番号総当たりでたまたま被害にあった可能性があるとの事。みなさんもお気を付けて。 — 🍃🥜🗼sola🗼🥜🍃 (@sola_io) 2018年12月12日 paypay経由でクレカ不正利用された カスタマーセンターから不審な利用があったと連絡をもらって発覚して利用額約40ﾏｿ 海外サイトで利用トライ→セキュリティコード違いで使えないがカード番号の存在を確認→paypayの決済にカード番号を使用

SSRF(Server Side Request Forgery)という脆弱性ないし攻撃手法が最近注目されています。以下は、ここ3ヶ月にSSRFについて言及された記事です。 EC2上のAWS CLIで使われている169.254について SSRF脆弱性を利用したGCE/GKEインスタンスへの攻撃例 SSRFを利用したメール送信ドメインの乗っ取り 「CODE BLUE 2018」参加レポート（岩間編） この「空前のSSRFブーム」に便乗して、SSRFという攻撃手法および脆弱性について説明します。 SSRF攻撃とは SSRF攻撃とは、攻撃者から直接到達できないサーバーに対する攻撃手法の一種です。下図にSSRF攻撃の様子を示します。 攻撃者からは、公開サーバー（203.0.113.2）にはアクセスできますが、内部のサーバー（192.168.0.5）はファイアウォールで隔離されているため外部から直接

トレンドマイクロのソフトウエアが米アップルのアプリダウンロードサービス「App Store（アップストア）」から削除されたトラブルについて、トレンドマイクロのエバ・チェン最高経営責任者（CEO）が2018年10月31日に見解を公開した。これに合わせて、エバ・チェンCEOとケビン・シムザー最高執行責任者（COO）が日経 xTECH（クロステック）の取材に応じ、今回のトラブルの背景や今後の対応につい

エグゼクティブサマリ 聖教新聞社が運営する通販サイト「SOKAオンラインストア」から2,481件のクレジットカード情報が漏洩した。リリースによると、漏洩に使われた手口は従来とは異なるもので、改正割賦販売法の実務上のガイドラインである「クレジットカード情報非保持化」では対策できないものであった。 はじめに 今年の9月4日に聖教新聞社の通販サイトSOKAオンラインストアからクレジットカード情報漏洩の可能性がリリースされました。以下は聖教新聞社から運営委託されているトランスコスモス株式会社のリリースです。 「ＳＯＫＡオンラインストア」の件 このたび、弊社が聖教新聞社様より運営を委託されている「ＳＯＫＡオンラインストア」において、クレジットカード情報を入力して商品をご注文いただいた一部のお客さまのクレジットカード情報が、第三者によって不正に取得された可能性があることが発覚い たしました。 http

漫画の海賊版サイトの被害が2017年から拡大している。「日本政府はISPに対して海賊版サイトへのアクセス遮断（サイトブロッキング）を要請する調整に入った」という報道もあり、さまざまな議論が巻き起こっている。著作権法に詳しい福井健策弁護士の寄稿。 編集部より 「政府がISPに対して海賊版サイトへのアクセス遮断（サイトブロッキング）を要請する調整に入った」という報道をめぐり、「憲法で定めた『通信の秘密』や『表現の自由』を侵すのではないか」「サイトブロッキングは有効な対策なのか」「他の有効策があるのではないか」などさまざまな議論が巻き起こっている。本稿は、深刻さが増す海賊版サイトをめぐる諸問題について、著作権法に詳しい福井健策弁護士に寄稿してもらった。ITmedia NEWS編集部では、引き続き海賊版サイトやサイトブロッキングに関する取材を続けていく。 海賊版サイトへの対策として提案されている「

Dell EMCが作った同人誌「ひとり情シス」を、ホンモノのひとり情シスに見てもらった件：週末エンプラこぼれ話（1/2 ページ） ねんがんの同人誌「ひとり情シス」をてにいれたぞ！ 中堅、中小企業でありがちな「ひとり情シス」。情報システム担当が1人しかいない状態を指し、Dell EMCの調査によると、現状で中堅企業の27％がひとり情シスの状態で、2020年には、36％まで拡大する可能性があるという。 同社が10月20日に開いた発表会で、デルの執行役員である清水博氏が紹介したのが、紹介したのが小冊子「ひとり情シス」だ。清水氏が業務外の時間を使い、たった一人で書き上げたとのことで、10月26日に開催したセミナー「ひとり情シス大会議」の参加者に配布したそうだ。 今回、編集部では独自（？）のルートでこの小冊子を手に入れたので、その内容を少しだけ紹介しよう。

3rdに引っ越しました。 2010/12/31 以前＆2023/1/1 以降の記事を開くと５秒後にリダイレクトされます。 普段の日記は あっち[http://thyrving.livedoor.biz/] こちらには技術関係のちょっとマニアックな記事やニュースを載せます。 Windows2000ネタ中心に毎日更新。 マギレコを開発したf4samurai さんの作ったアンジュ・ヴィエルジュの21個の闇仕様を紹介 マギレコのシステムは f4samurai さんが作った割に洗練されてる… いいえ、そんなことはありませんでした。 Twitterのタイムラインを見ると、パケ死してる人や、起動後、タイトルまですすめなくなった人が沢山います。 原因調べてみました。 ゲーム会社のタイトルが出た後、いきなり大量の通信をします。 ここで、通信がうまくいかないと、暗転したまま、通信のリトライもせずにフリーズしま

AI（人工知能）やIoTで顧客にきめ細かなサービスを提供したい―。そんな企業が増えている。一方で、顧客データの扱い方によってはプライバシーへの影響を懸念する声も出そうだ。そんな事態を防ごうと、匿名加工の技術を競うコンテストが2016年10月に開催された。 AIやIoTが、匿名加工とどう関わるのかと疑問に思われるかもしれない。ある電子商取引サイトを運営するA社が、顧客がいつどんな商品を買ったかという購買履歴データを別のB社に渡しているとしよう。B社はデータを基に、顧客に「A社の商品を買ったあなたにおすすめする商品」という広告メールを送ることができる。 A社が顧客に購買データをB社に提供することをプライバシーポリシーなどで説明していて、顧客が同意していたのであれば問題はない。顧客も両社に自分のプライバシーを侵害されたと思わないはずだ。 しかし将来は、A社が顧客一人ひとりに合ったサービスをするた

ゲームにキュレーションメディア、最近はヘルスケアやロボットタクシーなど、数多くの事業を手掛けるディー・エヌ・エー（DeNA）。同社には「セキュリティ部」という部署がある。 セキュリティをビジネスにしているわけではなく、基本的には企業内のコストセンターだ。最近よく聞く「CSIRT」でもない。CSIRTは仮想的な組織として別にある。当初はCSIRTだけだったが、専門組織を作る必要性を感じてセキュリティ部を作ったそうだ。 セキュリティ部の部長を務めるのが茂岩氏。DeNAの創業期から同社のシステムインフラを担当してきた人物だ。同氏が2011年頃からセキュリティにも取り組み始め、悪戦苦闘した結果、CSIRT、そしてセキュリティ部を立ち上げる。 セキュリティは事業を強くする 現在はインフラ部門を後任に任せ、セキュリティ専任になっている。茂岩氏は「セキュリティ分野は技術的に大変興味深い。さまざまな領域の

徳丸浩さんといえば、通称「徳丸本」こと『体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践』でご存知の方も多い通り、Webアプリケーションのセキュリティ専門家としてよく知られています。 今回はWordCamp Toyko 2016にご登壇いただく徳丸さんに、セッションの内容や最近のセキュリティ事情などについてうかがって来ました。当日の目玉セッションの一つである「CMS四天王への攻撃デモを通じて、WordPressの効果的な防御法を学ぼう」を楽しみにされている方は、ぜひご覧ください。参加登録がまだの方はこちら！ 場所 HASHコンサルティング 聞き手 高橋文樹（WordCamp Tokyo 2016 実行委員長） ——本日はお時間いただき、ありがとうございました。まずは、ふだん徳丸さん自身が代表を務めるHASHコンサルティングでのお仕事についてお聞かせくださ

■ CCCはお気の毒と言わざるをえない 驚きのニュースが舞い込んできた。CCCがプライバシーマーク（Pマーク）を返上したというのである。日経コンピュータの取材によれば、CCC社の「管理本部法務部リーダー」と、「経営戦略本部リスク・コンプライアンス統括部情報管理Leader」と、「経営戦略本部法務部会員基盤Leader」の3氏もそろってこれを認めているという。 CCC（ツタヤ）がプライバシーマーク返上で日本中のプライバシーフリークが騒然の事態(山本一郎) - Y!ニュース https://t.co/BKKhMTRyqX — やまもといちろう (@kirik) 2015, 11月 19 書きました。後編は来週掲載です。/ なぜCCCはプライバシーマークを返上し、T会員規約を改訂したのか（前編） https://t.co/mJFLHTEnvK — Naoki Asakawa / 浅川直輝 (@n

中国が制定を目指しているテロ対策法をBarack Obama米大統領が批判したことを受け、中国政府は現地時間2015年3月3日、「テロ対策法は中国国内の政治問題である」などと反論した。中国国営の新華社通信や米メディア（Computerworld）が報じている。 中国政府が現在審議しているテロ対策法案は、技術企業に対し、暗号化キーを中国政府に引き渡すことや、中国政府が情報収集するためのバックドアをシステムに設置することなどを求めている。 Obama大統領は3月2日に行われた英Reutersのインタビューで同法案に対する懸念を示し、中国のXi Jinping（習近平）主席に直接この問題を提起したことを明かした。Obama氏は「中国が米国とビジネスをしたいのであれば変更しなければならない」と伝えたという。 この翌日、中国外務省のHua Chunying（華春瑩）報道官は、「テロ対策法の制定は中国

VAWTRAKの攻撃スクリプトは「きれいなコード」 「VAWTRAK観察日誌」と題するセッションでは、セキュアブレインのニシダマサタ氏が、2014年5月以降に国内で猛威を振るったオンラインバンキングマルウェア「VAWTRAK」の挙動を解析した結果を紹介した。 VAWTRAKは、いわゆるMan in the Browserの手法を使って不正送金を行うマルウェアだ。国内の大手銀行のオンラインバンキングサービスに始まり、地方銀行やクレジットカード会社、さらにはオンラインショッピングサイトへとターゲットを広げてきた。既に2万台以上のPCが感染したとも言われている。 ニシダ氏によるとVAWTRAKはやや複雑なアーキテクチャを取っており、基本的な設定情報を与えるC＆Cサーバーとは別に、マニピュレーションサーバーと呼ばれる攻撃用JavaScriptを配信するサーバーも用いる。マニピュレーションサーバーは