ワンタイムパスワードを用いた二要素認証は、ウェブサービス利用時のセキュリティ向上に役立ちます。しかし、Google製ワンタイムパスワード発行アプリ「Google認証システム(Google Authenticator)」の利用者からは「スマートフォンを壊した結果、Google Authenticatorのバックアップコード再発行が不可能になった」という報告が寄せられています。 Tell HN: It is impossible to disable Google 2FA using backup codes | Hacker News https://news.ycombinator.com/item?id=34441697 Google Authenticatorは、各種ウェブサービスにログインするためのワンタイムパスワードを発行するアプリです。例えば、以下はDiscordにログインする際

URLでも見抜けない「GIMP」偽サイトの巧妙な手口とは？ Google検索のトップに表示されていたのはグラフィック・エディターで有名な「GIMP」の偽サイトです。 Google検索のトップに表示されるサイトはGoogleのアルゴリズムによって決められます。そのため、偽サイトがトップ表示されることは基本的にありえません。では、なぜ「GIMP」の偽サイトがトップ表示されたかというと、Google広告を利用して掲載されていたからです。Google広告とはGoogleにお金を払う代わりに検索トップに広告として表示させるモノです。 さらに偽サイトの手口は巧妙で、サイトドメインを公式と同じ「gimp.org」にしていたのです。そして、その偽サイトにアクセスをすると、まるで公式サイトのように表示されます。 当然、偽サイトにも「GIMP」をダウンロードするボタンがあります。公式サイトでダウンロードボタン

Appleが開発するmacOSに用意されている複数のセキュリティレイヤーを突破し、Macに存在するすべてのファイルを読み取ったりウェブカメラを制御したりできる脆弱性を、オランダに拠点を置くサイバーセキュリティ企業・Computestの研究部門であるSector 7の研究者が発見しました。 Process injection: breaking all macOS security layers with a single vulnerability · Sector 7 https://sector7.computest.nl/post/2022-08-process-injection-breaking-all-macos-security-layers-with-a-single-vulnerability/ A Single Flaw Broke Every Layer of Sec

米Twitterは8月5日（現地時間）、ゼロデイ脆弱性（既に修正済み）が悪用され、540万以上のアカウントと電話番号やメールアドレスの情報が流出したと発表した。 この脆弱性については1月、同社のバグ報奨金プログラムを通じて報告を受けたという。昨年6月のシステム更新の際に発生したバグで、報告を受けて修正した時点では脆弱性が悪用された証拠はなかったとしている。 だが、米Restore Privacyの7月の報道で、この脆弱性が悪用され、アカウントリストが販売されていることを知ったため、影響を受けたことが確認できるユーザーには直接通知した。 この段階で公式ブログで発表するのは、「影響を受けた可能性のあるすべてのアカウントを確認することはできず」、特に匿名アカウントは国家などの標的になる可能性があるためとしている。 米BleepingComputerによると、アカウントと紐付けられたのは、電話番号

JPCERT/CCは4月26日、マルウェア「Emotet」に感染するメールの添付ファイルに、新たにショートカットファイルを使ったものが見つかったと発表した。ファイルを実行すると不正なスクリプトが実行され、Emotetに感染する。 Emotetは主にメールの添付ファイルを媒介として感染を広げるマルウェア。これまではメールに添付されたドキュメントファイルのマクロ（スクリプト）などを標的に実行させ、Emotetに感染させるという手法が観測されていた。 添付ドキュメントを安易に開かない、ドキュメント内のマクロを実行しないといった従来の対策に加え、ショートカットファイル（拡張子が「.lnk」）にも注意が必要になる。 JPCERT/CCは22日に、Emotetの感染有無を確認するツール「EmoCheck」をアップデート。新たに検知手法を追加した。 関連記事 猛威振るう「Emotet」の感染確認ツールが

だがWebブラウザーのセキュリティーは年々強化され、こういった手口はほとんど使えなくなった。このため前述のようにアドレスバーの表示を確認することが、偽サイトに誘導されないための有効な対策になっている。 今回「mr.d0x」を名乗るセキュリティー研究者が警鐘を鳴らすのは、Webブラウザーが表示するポップアップウインドウ（Webブラウザーウインドウ）である。Webブラウザーのアドレスバーではなく、ポップアップウインドウのアドレスバーを偽装する。アドレスバー付きのポップアップウインドウは「Webブラウザーが表示するWebブラウザー」といえるので、この手口はBrowser In The Browser（BITB）攻撃と名付けられた。 BITB攻撃の主な対象となるのは、ソーシャルログインのログイン画面である。ソーシャルログインとは、SNSのアカウントで別のWebサービスにログインできるようにする仕組

セキュリティジャーナリスト、ブライアン・クレブズ氏のWebサイト「KrebsOnSecurity」は、ゲーマー向けのチャットサービス「Discord」も、18歳のユーザーが使っていた電話番号に関連付けられたアカウントの情報を不正に要求され、情報提供に応じたと伝えている。 いずれのケースでも、何者かが警察や捜査機関の電子メールアカウントを乗っ取って、「緊急データリクエスト」（EDR）と呼ばれる情報開示請求を送り付けていた。 例えば特定のSNSアカウントの持ち主について捜査している警察が、その持ち主に関する情報をSNS運営企業に開示させようとする場合、通常であれば、裁判所の許可を得た捜索令状を取得する必要がある。しかし人の生死にかかわるような緊急事態が想定される場合、令状なしでデータの開示を求めることができる。それがEDRだ。 サイバー犯罪者は、警察や捜査機関になりすまして偽造EDRを利用すれ

はじめに（Introduction） RSAの鍵ペアの生成方法にミスがあり脆弱性となってしまった実装例があったようです。 元の文献を機械翻訳（ちょっと修正）してみます。 原文のデモをやってみたところ、案外動いたので先にデモを記します。 デモ（Demo） まずは、素数$p$と$q$を生成して$N$を求めるところです。 ※：鍵長が2048bitなので多少時間がかかります。 問題となったライブラリがこのようなロジックであったかは不明ですが、翻訳した資料を参考に作成しています。 import random as rnd import sympy key_length = 2048 distance = 10000 p = 0 q = 0 # 乱数Xを生成する。 X = rnd.randrange(2, pow(2, key_length)) for i in range(distance): #

PCをウイルス感染から防衛するためには、専用のアンチウイルスソフトが必要と思われがちなものですが、実はWindowsにはMicrosoftが開発した「Microsoft Defender(旧称：Windows Defender)」というウイルス対策の仕組みが用意されています。このMicrosoft Defenderについて、より防御を手厚くする方法についてセキュリティエンジニアのHoekさんが解説しています。 Windows Defender is enough, if you harden it https://0ut3r.space/2022/03/06/windows-defender/ クラウド保護と Microsoft Defender ウイルス対策 | Microsoft Docs https://docs.microsoft.com/ja-jp/microsoft-365/s

米連邦捜査局（FBI▼）は2022年1月6日（米国時間）、重要インフラ事業者などに対して、USBメモリーなどのUSBデバイスを使ったサイバー攻撃が確認されているとして注意を呼びかけた。 攻撃者は、米保健福祉省（HHS▼）や米アマゾン・ドット・コムなどを装って、細工を施したUSBデバイスを企業や組織に郵送している。2021年8月には運輸および保険業界の企業、11月には防衛産業企業に送られてきた。 受け取った人がそのUSBデバイスをパソコンに接続すると、ランサムウエアなどのマルウエアに感染する。ポイントは、パソコンに接続するだけで被害に遭うこと。USBデバイス自体に細工が施されているためだ。 しかも、思わず接続してしまうような工夫も凝らされている。一体、どのような手口なのだろうか。 USBデバイスの動作を書き換える 今回警告されたような、細工を施したUSBデバイスを使うサイバー攻撃は「BadU

The Hacker Newsは2月28日(米国時間)、「Reborn of Emotet: New Features of the Botnet and How to Detect it」において、悪名高いマルウェア「Emotet」が再び猛威を奮い始めていると伝えた。2021年1月からしばらくEmotetを悪用した攻撃キャンペーンは下火になっていたが、2021年11月ごろから再び活動が活発になってきた。The Hacker NewsはEmotetの活動再開に伴って、新機能が追加されたと指摘している。 最初に登場した2014年ごろ、Emotetはまだ目立った特徴はない典型的なトロイの木馬でしかなかったが、その後の度重なるアップデートによって凶悪さを増し、2020年には史上最も凶悪なマルウェアのとも言われるようになった。2021年1月に欧米の当局によって一度は無効化されたが、それからおよそ1

クレジットカード決済基盤を提供するメタップスペイメント（東京都港区）は2月28日、同社のデータベースから最大で46万件のクレジットカード番号、有効期限、セキュリティコードなどが流出したと発表した。サーバへの不正ログイン、SQLインジェクション、バックドアの設置などさまざまな攻撃を受けていたことが調査で分かった。 流出した恐れがあるのは2021年8月2日から22年1月25日までに決済で使われたクレジットカードの番号、有効期限、セキュリティコードなど46万395件、21年5月6日から22年1月25日までに実行された決済情報593件、加盟店情報38件。「実際に流出した情報を特定できない」（メタップスペイメント）ため、数値は考えられる最大値という。 同社は21年12月14日に、サービスの提携先からクレジットカードの不正利用が懸念されているとの連絡を受け調査を開始。22年1月中に、外部からデータベー

セキュリティ企業のPortSwiggerでリサーチディレクターを務めるジェームス・ケトル氏が、「2021年に登場したウェブハッキングテクニックトップ10」をPortSwiggerのブログにまとめています。 Top 10 web hacking techniques of 2021 | PortSwigger Research https://portswigger.net/research/top-10-web-hacking-techniques-of-2021 「2021年に登場したウェブハッキングテクニックトップ10」は、PortSwiggerが毎年行っている、過去1年間で発表されたウェブセキュリティに関する研究の中で最も重要なものを特定するための取り組みの2021年版です。2022年1月に選考プロセスをスタートし、情報セキュリティコミュニティから推薦された40件の研究論文の中からお

Googleから2022年2月のAndroidセキュリティアップデートが公開された（参考「Android Security Bulletin—February 2022 | Android Open Source Project」）。今回のセキュリティアップデートはリモートから特権昇格が可能とされる緊急性の高い脆弱性が修正されており注意が必要。 Android Security Bulletin?February 2022 ｜ Android Open Source Project 今回のセキュリティアップデートで特に注意が必要なのは、CVE-2021-39675として追跡されている脆弱性。この脆弱性はAndroid 12のシステムコンポーネントに影響を与えるとされている。深刻度は緊急（Critical）に分類されており、追加の実行権限を必要とせずリモートから特権昇格を実施される危険性があ