Emotetに「Google Chrome」内のクレカ情報を盗む機能が追加される 警察庁が注意喚起
警察庁は6月9日、マルウェア「Emotet」の最新の解析結果を公表した。同庁によると「Google Chrome」に保存されたクレジットカード番号や名義人氏名、カードの有効期限を盗み、外部に送信する機能が追加されたことを確認したという。 Chromeは個人情報を暗号化して保存しているが、Emotetの新機能は、暗号化されたデータを復号するための鍵も同時に盗み出すため、保存したクレジットカード情報が第三者に知られるおそれがあるとしている。 2022年に入ってからEmotetの感染拡大は続いており、直近では埼玉大学や京都大学大学院が教職員用PCに感染したと発表している。トレンドマイクロによると、2022年第1四半期のEmotet感染状況は、他の地域と比べて日本が突出していたとしている。 関連記事 京大大学院のPCがEmotetに感染 不審メールを大量送信 京都大学は、同学大学院の工学研究科に所
北朝鮮にハックされて頭にきたセキュリティ研究員がしかえし→北朝鮮全土ネット遮断
北朝鮮にハックされて頭にきたセキュリティ研究員がしかえし→北朝鮮全土ネット遮断2022.02.09 23:00104,443 satomi パジャマでサイバー攻撃。 ｢国家の主な財源がハッキング｣と言われる国なんて、世界広しといえども（経済制裁でまともに貿易できない）北朝鮮ぐらいなわけですが、ここのスパイに猛攻をかけられてウンザリした米国のセキュリティ研究員が、米政府が何もしないことにしびれを切らせて先月ひとりオペレーションで報復、北朝鮮がまるまるインターネットから消え去る変事となりました。 消えていたのは長いときで6時間ほどです。攻撃がミサイル発射テストの前後に集中していたことから、最初はどこかの政府軍のサイバー攻撃かと思われていたのですが、Wiredに名乗りをあげたのは意外にも匿名希望のP4xさん個人。主要なサーバーとルーターに狙いを定めて全自動のDOS攻撃をプログラムし、パジャマのズ
IAMのベストプラクティス！rootユーザのアクセスキーはできるだけ削除していきましょう | DevelopersIO
みなさん！rootユーザのアクセスキー、使ってませんか？ AWSのユーザのアクセスキー/シークレットキー(以下、アクセスキー)が漏洩すると、その所持する権限に応じて様々な被害が生じます。 参考： 【実録】アクセスキー流出、攻撃者のとった行動とその対策 | Developers.IO 中でもrootユーザは何でもできる最強の権限を持つため 万一そのアクセスキーが悪意ある者の手に渡ってしまうと、 AWSアカウントのrootメールアドレス変更 root含む全ユーザのログインパスワード変更 大事なシステムが稼働しているAWSアカウント解約 マイニングなど、リソースの不正利用によるクラウド破産 S3に保存した機密情報流出 などなど、とっても恐ろしいことが起こってしまいます。（※下2つはroot権限でなくとも起こりえます） 弊社にも、まれにrootユーザのアクセスキー漏洩事故、およびそれに伴うAWSア
APIキーやその他のクレデンシャルを含むシークレットを管理・保存するためのベストプラクティス[2020年版]
GitGuardian 開発者、インフラ、およびアプリケーションが使用するシークレットを保護するための開発フレンドリーなツールを提供するパリ発のセキュリティベンダー。GitHubリポジトリ上の機密情報や脆弱性を検知する「GitGuardian」は、世界中で愛用されている。 この記事は、著者の許可を得て配信しています。 https://blog.gitguardian.com/secrets-api-management/#avoid-git-add API キーやその他のクレデンシャルのようなシークレットを保存して管理することは困難であり、とても慎重に考えられたポリシーであっても、利便性と引き換えに回避されることがあります。今回、シークレットとクレデンシャルを安全に保つためのベストプラクティスをいくつかまとめました。シークレットの管理には絶対的なアプローチはありませんので、このリストでは、
![APIキーやその他のクレデンシャルを含むシークレットを管理・保存するためのベストプラクティス[2020年版]](https://cdn-ak-scissors.b.st-hatena.com/image/square/19fe2a34067a646fc28a3d4a895e58c36ddc4811/height=288;version=1;width=512/https%3A%2F%2Fs3-ap-northeast-1.amazonaws.com%2Fraptor-photo-production%2Fuploads%2Fckeditor%2Fpictures%2F2510%2Fcontent_title.png)
SamsungやXiaomiのスマホは大量のユーザーデータをメーカーやその他の企業に送信していることが判明
Googleが開発するモバイル向けOSのAndroidはAppleのiOSを上回る市場シェアを誇っている一方、iOSより最大20倍も多くのユーザーデータを収集することが指摘されています。SamsungやXiaomi、Huaweiなどが開発したカスタムAndroid OSを調査した新たな研究では、カスタムAndroidの多くが重要なデータをメーカーやサードパーティー企業に送信していることが判明しました。 Android_privacy_report.pdf (PDFファイル)https://www.scss.tcd.ie/Doug.Leith/Android_privacy_report.pdf Android phones engage in ‘significant’ data collection and sharing https://www.irishtimes.com/busin
ドコモ、全額補償へ銀行と協議 ｜ 共同通信
NTTドコモの電子マネー決済サービス「ドコモ口座」の不正預金引き出し問題で、ドコモは10日、被害者に全額補償する方向で銀行と協議すると明らかにした。
ドコモ口座、全銀行で新規の登録停止 被害額は1000万円
NTTドコモは9月10日、電子決済サービス「ドコモ口座」を通じた現金の不正引き出しが相次いでいることを受け、ドコモ口座と連携する全35行の銀行口座の新規登録を当面停止すると発表した。同社によると9日までに、34口座で約1000万円の被害を確認したという。 ドコモ口座は、銀行口座やコンビニなどから口座へ入金するとネットショッピングの支払いやユーザー間の送金ができるサービス。登録した銀行口座から、ドコモ口座アカウントへの入出金にも対応する。 ドコモによると「第三者が銀行口座番号やキャッシュカードの暗証番号などを不正に入手し、ドコモ口座に銀行口座を新たに登録することで被害が発生した」とし、詳細な原因や手口は調査中としている。 同サービスと連携している七十七銀行（宮城県仙台市）は7日、ドコモ口座に登録された同行の口座から現金の不正引き出しが確認できたとして連携を中止。9日までにイオン銀行、ゆうちょ
続々連携がストップしているドコモ口座とWeb口振受付の問題について - novtanの日常
詳細不明なところもありますのでなんとも言えないんだけど、外部から見える範囲でわかる問題点について解説してみます。詳細を調べたら問題なかったり、中の人だけが知っている仕様によってクリアされている問題もあるかもしれません。 事実誤認があれば訂正しますのでよろしく。 そもそもドコモ口座って？ ドコモユーザーならおなじみ、それ以外でも使えるアカウントサービスである「dアカウント」に紐づけてキャッシュレス決済などで使用できる電子マネー（だよね）のことです。 dアカウントは元々はドコモ契約者向けのアカウントサービスだったんですが、スマホを起点としたサービスを提供するに当たり、汎用的なアカウントサービス（ID提供サービスとも言えます）にするためにドコモの回線契約とのつながりを限定的にしたものです。GoogleアカウントやFacebookアカウントでのログインと同様、dアカウントでのログインができるように
マスコミが報じない「ドコモ口座」問題はなぜ起こってしまったのか（現代ビジネス） - Yahoo!ニュース
「自分は『ドコモ口座』を利用していないから関係ないと思っている人も注意が必要です。今回の問題では、提携銀行口座を持っている人なら誰でもドコモ口座を通じた不正アクセスの被害に遭い、現金を引き出される可能性があるのです」(スマホジャーナリストの石川温氏) 【写真】「ペイペイの毒」に潰されたキャッシュレス企業…その残酷すぎる末路 昨日までのワイドショーまではあくまで状況説明の報道にとどまっているが、9月4日ごろから、電子マネー決済サービス「ドコモ口座」を利用したとみられる不正な預金引き出しが複数件報告されている。 この記事を読んでいただいた方には、今すぐ口座アプリを開くか最寄りのATMに行き、自分の預金が大丈夫かどうか確認することをおすすめする。 もし引き出だされてしまった場合、口座には見覚えのない「ドコモコウザ」の引き落とし履歴が残るという。他人事のように思えるかもしれないが、実際のところ、私
「ドコモ口座」不正出金、補償の可能性 ドコモ、銀行双方に落ち度の見方（時事通信） - Yahoo!ニュース
NTTドコモの電子決済サービス「ドコモ口座」を利用した不正な預金引き出し問題で、被害者の最大の関心は補償を受けられるかどうかだ。被害額や手口など全容は判明していないが、法律の専門家はドコモ、銀行側ともセキュリティー対策に不備があったと指摘。預金者は何らかの形で補償を受けられる可能性が高い。 ドコモ、口座を管理する銀行は不正被害を踏まえ、預金者への補償を協議中だ。キャッシュレス決済のチャージ（入金）機能を悪用した被害補償に明確な規定はなく、双方は責任の所在について慎重に協議する構え。ただ、被害者を抱える複数の銀行は「（ドコモと）責任をなすり付け合っているわけではない」「規定がないことを理由に補償しないわけではない」と話し、補償に前向きな姿勢を示した。 今回の不正では、預金者の名義や口座番号、暗証番号が何らかの方法で盗まれ、第三者が預金者になりすましてドコモ口座を開設。これに銀行口座を登録して
ちょっとでもセキュリティに自信がないなら、 Firebase Authentication を検討しよう
note のやらかしのあのへんについて。 認証自作、 Rails 、 Devise - Diary パーフェクト Rails 著者が解説する devise の現代的なユーザー認証のモデル構成について - joker1007’s diary 認証サーバーの実装は本質的に難しいです。セキュリティが絡むものは「簡単な実装」などなく、プロアマ個人法人問わず、個人情報を守るという点で、同じ水準を要求されます。悪意あるハッカーは常にカモを探していて、もし認証が破られた場合、自分だけではなく大多数に迷惑が掛かります。初心者だから免責されるといったこともありません。全員が同じ土俵に立たされています。 とはいえ、認証基盤を作らないといろんなサービスが成立しません。そういうときにどうするか。 Firebase Authentication で、タイトルの件なんですが、 Firebase Authenticat
VPNは危ない？ テレワーク時代に急浮上、新しいセキュリティの考え方「ゼロトラスト」って何だ？
VPNは危ない？ テレワーク時代に急浮上、新しいセキュリティの考え方「ゼロトラスト」って何だ？：Googleも採用（1/3 ページ） 新型コロナウイルスの感染対策として広がったテレワーク。社員にパソコンなどを用意して環境を整えたまではいいが、いざ全社的にテレワークを始めてみると「VPN（Virtual Private Network）で会社につなげたくても、回線や機器の負荷が高すぎてつながらない」「重たくて仕事にならない」といった声があちこちで聞こえてきた。また、社員の姿が直接見えなくなってあらためて、セキュリティは保たれているのか、いざ問題が発生したときに適切に対応できるか、不安を感じる企業も少なくない。 そうした中、VPNという「境界防御」の延長線上にある技術ではなく「ゼロトラストセキュリティ」という新しいモデルに基づいてテレワーク環境の構築を進める企業が日本でも登場してきた。実はこの
テレワークで使う「家庭用ルーター」が危ない！ セキュリティ対策をあなどってはいけない理由
テレワークで使う「家庭用ルーター」が危ない！ セキュリティ対策をあなどってはいけない理由（1/2 ページ） 新型コロナウイルス感染症対策として、国内でも多くの企業がテレワークを採用しています。いずれはオフィス勤務に戻す企業も多いと思いますが、中には日立製作所や富士通のように、今後はテレワーク主体で業務を進めると宣言する企業も出てきています。育児や介護といった家庭の事情を抱える従業員を中心に、部分的にテレワークを継続する企業もあります。 テレワーク中でもオフィスで働く時と同様、IT環境のセキュリティ対策は不可欠です。内閣サイバーセキュリティセンター（NISC）はこのほど公開した文書で、「新しい生活様式」に向けたセキュリティ対策の指針を紹介しています。 具体的には（1）テレワーカーの増加や対象業務の拡大があった場合はセキュリティリスクを再評価すること、（2）支給端末・支給外端末に関わらず、利用
デジタル政府、「IE縛り」急所 情報漏洩の守りに不安 - 日本経済新聞
使用できるウェブ閲覧ソフトの制約が政府のデジタル化の急所として浮上してきた。9月から始まるキャッシュレス決済のポイント還元策「マイナポイント」や、公共工事の入札システムをパソコンから手続きする場合、米マイクロソフトのインターネット・エクスプローラー（IE）以外は使えない。不便なだけでなく、サイバー攻撃への守りにも不安がある。「7月中にほかのソフトも対応できるよう改修を進めている」。還元を受ける
Dropbox Businessは非常に危険です | 江口某の不如意研究室
（この記事は、Dropbox社に対してフェアじゃないものになっています。続きの「Dropbox Businessは馬鹿が使うと非常に危険なことを検証しました」も読んでください） 最近、非常に重大な事故を起こしてしまったので報告します。実際の被害は、最高が7だとすると3か4ぐらい、しかし潜在的な危険度からいうと7段階で7、ってくらい重大。Dropboxでファイルを大量に失なってしまったばかりか、個人情報流出の危険をおかしてしまいました。（実際には流出といえるものはありませんでしたが） Dropbox Businessチームに招待され参加して「アカウントを統合」すると、自分では抜けられない状態になる それだけでなく、それまで自分がもっていたファイルもすべてチームのものになる 個人用の契約が勝手に解除されてしまう 私のアカウントを削除すると、管理者は私のファイルを自分のものにすることができる 管
ワコムのペンタブ用ドライバーがPC上で起動したすべてのアプリの名前を収集しているという報告
by stevepb ペンタブレットやCAD関連製品を中心としたPCの周辺機器メーカーであるワコムのタブレット用ドライバーが、PC上で起動したアプリケーションの名前をGoogleアナリティクスに送信していたことが判明しました。この事実を解明したセキュリティエンジニアのロバート・ヒートン氏が、どうやってワコムのドライバーのトラフィックをチェックしたのかをブログで解説しています。 Wacom drawing tablets track the name of every application that you open | Robert Heaton https://robertheaton.com/2020/02/05/wacom-drawing-tablets-track-name-of-every-application-you-open/ ヒートン氏はブログ用のイラストを投稿するため
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
本人のメルアドを使うのはもはや時代遅れ？ 「1Password」が捨てメール機能を正式実装【やじうまWatch】
Engadget | Technology News & Reviews
shiodaifuku.io
AMD製CPUが2つの新しい攻撃に対して脆弱 ～グラーツ工科大学などのセキュリティ研究者が指摘／AMDは新しい攻撃ではないと否定
