X (旧Twitter)のURLカードに致命的な脆弱性。うかつに開かないで | ニッチなPCゲーマーの環境構築Z
X (旧Twitter)のURLカードに致命的な脆弱性が見つかりました。海外メディアのBleeping Computerが報じました。 XのURLカード(Webサイトカード、Twitterカードなどとも呼ばれる)を開いた際、カードの左下に表示されているURLとはまったく違うサイトが表示されたことはないだろうか。 例えば以下の例では、『forbes.com』がリンク先として表示されているが、実際にこのURLカードを開くと、仮想通貨詐欺のTelegramアカウントページが開く。 リンク先に『forbes.com』と書いているが 実際には詐欺のTelegramアカウントページが開く いったいなぜこのようなことが起こるのか、仕組みはこうだ。URLカードを開くと、まず、『joinchannelnow［.］net』というサイトにアクセスする。 まず『joinchannelnow［.］net』へとアクセ
当社公式Xに関する重要なお知らせ（ITmedia Mobile、スマートジャパン）[復旧済] - 会社・事業紹介
アイティメディア株式会社 2024年1月29日（月）、下記の公式Xアカウントが不正アクセスにより、第三者に乗っ取られていることが判明いたしました。 ・[復旧済] ITmedia Mobile「@itm_mobile」 ・[復旧済] スマートジャパン「@ITM_SmartJAPAN」 （2024/2/6更新＞アカウント復旧について） 2024年2月3日（土）にITmedia Mobileの公式Xアカウント「@itm_mobile」、2024年2月6日（火）にスマートジャパンの公式Xアカウント「@ITM_SmartJAPAN」が、X社の協力により復旧いたしました。以後、同アカウントからの投稿は公式の情報になります。 本乗っ取り被害を受けて、現在、当該の公式Xアカウントの利用を中止するとともに、X社に対しアカウントの復旧等の手続きを進めております。 復旧までの間、当社では当該の公式Xアカウントを
Twitterの「SMS認証」3月19日に終了 まだ解除してない無料ユーザーは早めの変更を
米Twitterが2月に発表した、SMSを使った2要素認証をサブスクリプションサービス「Twitter Blue」ユーザー限定にする措置。同社は無料ユーザーに対し設定を削除するようにアプリ内で案内していたが、その期限が迫っている。 Twitterは設定を削除していない無料ユーザーに数日前から再び告知を始めている。3月19日までを期限としており、まだ設定解除していないユーザーは急いだほうが良いだろう。同社は「Twitterにアクセスできなくなることを防ぐために」と案内しており、おそらく再ログインする際にSMSで送られてくるはずのコードが受け取れず、ログインができなくなるものと思われる。 2要素認証を今後も使いたいなら認証アプリを使おう なお、認証アプリやセキュリティキーなど、SMS以外の2要素認証については引き続き対応しており、今後も無料アカウントで2要素認証を利用したい場合は、「Googl
Twitterから流出したとみられる約2億件のデータについてまとめてみた - piyolog
2023年1月5日以降、2億件を超えるTwitterアカウントのデータを公開したと主張する投稿がハッカーフォーラムで行われていたことを複数の報道機関が報じました。*1ここでは関連する情報をまとめます。 自分が影響を受けたのかを確認するには 約2億件のデータに自分のメールアドレスが含まれているか（影響対象か）はHave I been pwnedを使って確認することが可能。 メールアドレス入力後に「pwned?」をクリックし、「Twitter (200M)」と表示された場合は、今回のデータに含まれている。（それ以外のリークに含まれていた場合は別のリーク情報も表示される。） メールアドレスがリークデータに含まれていた場合にTwitter (200M)が表示。 Twitter APIの脆弱性より流出したデータと主張 Twitter APIに第三者が他人のアカウント情報を取得できる脆弱性が2021年
“もしTwitterが終了したら” 今のうちにすべき2つのセキュリティ対策
これらの中には、日本で話題になったプロモーションチームの解雇だけでなく、米国ではシステムを運営する上で重要なチームも不在となるという、未確認の情報も流れています。もしそれらが真実であれば、そのうち大きなインシデント（特に“セキュリティ”のインシデント）が起きてもおかしくないと個人的には思います。 まずはうわさに流されることなく、臆測に慌てることなく、ひとまず個人でできる2つのセキュリティ対策を考えていきましょう。 Twitterユーザーがやるべき2つのセキュリティ対策 1つ目は、Twitterの利用者に「連携アカウントの見直し」をしてほしいということです。 Twitterアカウントを使えば、サードパーティーのアプリにログインできます。管理すべきIDとパスワードが減るのは非常に便利ですが、もしTwitterが終了した場合、影響を受けるサードパーティーのアプリが出てくる可能性があります。 今回
解雇された“著名ハッカー”が「Twitterは欠陥と不正だらけ」との衝撃告発
関連キーワード プライバシー | セキュリティリスク | セキュリティ対策 | SNS | Twitter Twitterのサイバーセキュリティに関する重大な疑惑が浮上している。疑惑は、Twitterの元セキュリティ責任者、ピーター・ザトコ氏が米証券取引委員会（SEC）に提出した、80ページ以上に及ぶ書類により明らかになった。米国のメディア「CNN」と「The Washington Post」がその写しを入手した。これにより、規制当局や政府によるソーシャルメディアへの調査や制裁の可能性が高まっている。 Twitterが隠そうとする「重大な欠陥」 併せて読みたいお薦め記事 ソーシャルメディア関連の注目記事 メタバースが「乗り物酔い」や「てんかん」を引き起こす？ Meta（旧Facebook）のサービス停止に学ぶ“3つの戒め” 自問すべき点はこれ 内部告発者ザトコ氏は、TwitterのCEOを
Twitterの非公開リストが見れた話
はじめにTwitterはBug Bountyプログラム(脆弱性報奨金制度とも呼ばれる)を実施しており、脆弱性診断を行うことが認められています。 本記事は、そのプログラムを通して報告された脆弱性についてを解説したものであり、インターネット上のサービスに無差別に攻撃する事を推奨するものではありません。 また、Twitter上で脆弱性を発見した場合は無闇に公開せず、TwitterのBug Bountyプログラムより報告してください。 要約不適切なアクセス制御とレートリミットの欠如、タイミング攻撃を組み合わせることによりTwitterの非公開リストの中身を閲覧できた。 不適切なアクセス制御TwitterのGraphQLエンドポイントに対して以下のようなリクエストを送信すると、リストが非公開であったとしてもリストのメンバーリストを取得することが出来た。 GET /graphql/iUmNRKLdkK
ツイッターに裏アカ・匿名アカウント特定をまねく不具合、540万人分の名簿データをハッカーが販売 | テクノエッジ TechnoEdge
Twitterに匿名アカウントの身元特定につながる脆弱性があり、悪用したハッカーが540万件にのぼる名簿データを販売していたことが分かりました。 Twitter社はこの脆弱性について、すでに修正済みであるものの対策前に悪用されたこと、サンプルを調査して本物のユーザーデータであったと確認できたことを認めています。ハッカーが取得したのは匿名・仮名アカウントを含むTwitterアカウントIDと、紐づいた電話番号やメールアドレスを組にしたデータ。 Twitter社は影響を受けたユーザーへ直接告知する計画であること、今後こうした問題の影響を軽減するためユーザー側が設定すべきプライバシー対策についても説明しました。 問題の脆弱性は、Twitterアカウントに登録した電話番号やメールアドレスなど、本来は外部に非公開のはずの情報が照会可能になっており、任意の電話番号やメールアドレスからTwitter ID
Twitterくん、お前正気か？
検証用に作ってあったTwitterアカウントを削除したのだが ・セキュリティトークン（YubiKey）の二段階認証 ・アプリの時間式ワンタイムパスワードの二段階認証 を、設定してあった。 さて、このアカウントを削除すると [Twitterの2要素認証がオフになりました] ってメールが来る。 まさかなぁ・・・と思ってIDとパスワードでログインしたら「アカウント削除処理したけど復活させるか？」って出てくるのよ で、アカウント復活させるとDMとかツイートとか全部見えるの。 勿論「二段階認証は解除されてる」 いや、Twitterくんお前マジでなんでこういう実装した！？ ========================= 分かってくれてる人もいるけど、一応補足しておくと二段階認証を設定されているアカウントで、削除の操作を行った時点で二段階認証の設定が削除。 そのため、IDとパスワードでログインすれば
Twitterのフリート機能に対する権限昇格
はじめにTwitterはBug Bountyプログラム(脆弱性報奨金制度とも呼ばれる)を実施しており、脆弱性の診断行為を行うことが認められています。 本記事は、そのプログラムを通して報告された脆弱性についてを解説したものであり、Twitterが認知していない未修正の脆弱性を公開する事を意図したものではありません。 また、Twitter上で脆弱性を発見した場合はTwitterのBug Bountyプログラムより報告してください。 (This article is written in Japanese. If you’d like to read this article in English, please visit HackerOne report.) TL;DRTwitterが公開したフリート機能が使用しているAPIに脆弱性が存在し、READ権限しか持っていないサードパーティアプリケ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
X（旧Twitter）、パスワードが8文字未満だと設定次第で再ログインができなくなる恐れ【やじうまWatch】
Twitter、SMSを使った2要素認証を3月19日に終了 対象は無料ユーザー
Twitterの脆弱性で流出したユーザーデータ、ハッカー向けサイトで共有。1700万件以上に上る可能性も？【やじうまWatch】
Twitterからメアドと電話番号が漏洩。540万人に影響か
【悲報】結月ゆかり（１８）、Twitterを乗っ取られ無事死亡
Engadget | Technology News & Reviews
【やじうまPC Watch】 セブンイレブンのTwitterキャンペーンにセキュリティ上の問題?指摘相次ぐ
【やじうまPC Watch】 Twitterを更新したら強制的に電話番号が紐付けられる?
「わずか1分で乗っ取られ、1日で売買される」Twitterアカウント乗っ取り被害談
悪用はNGだが…PNG画像を装ってTwitterでファイル共有を行う方法が発見される【やじうまWatch】
