DMARC をなめるな - 弁護士ドットコム株式会社 Creators’ blog
Gmailが「メール送信者のガイドライン」を改訂し、なりすましメールへの対策を強化する旨を発表しています。今までは原則、なりすましメール対策の有無にかかわらず、メールはいちおうは届いていました。しかし今後は、なりすましとみなされたメールは届かなくなる方向に向かいつつあります。 なりすましメールとみなされないようにするために、メール送信者には、「メール送信ドメイン認証」への対応が求められます。メール送信ドメイン認証の技術には、主に以下の3つがあります。 SPF: Sender Policy Framework (RFC 7208) DKIM: DomainKeys Identified Mail (RFC 6376) DMARC: Domain-based Message Authentication, Reporting, and Conformance (RFC 7489) SPFは従来
「@gmail」を「@gmeil」と誤記 メール転送ミスで個人情報流出 大阪教育大学
大阪府の国立大学・大阪教育大学は7月14日、職員が大学の電子メールの自動転送設定を行った際、「@gmail」とすべき転送先を「@gmeil」と間違えたため、のべ4511件のメールがドッペルゲンガードメイン（情報を詐取する悪質なドメイン）に転送され、個人情報が流出したと発表した。 メールには学内教職員などの個人情報が含まれていたとし、岡本幾子学長名で謝罪文を出した。現時点で、メールの内容の悪用は確認していないという。 職員が自動転送設定を行ったのは2018年4月。大学の電子メールアカウントからGmailに転送しようとし、ドメインのスペルを誤った。 2023年2月1日、転送先電子メールが存在しないとのエラーがあり、改めて転送先アドレスを確認してミスに気付き、転送設定を停止した。 ドッペルゲンガードメインに送信されたメールは4511件。電子メール・添付ファイルに含まれていた個人情報は計1793件
会員サービス「My Sony」にログインできない？ Twitterで物議 ソニー「正しいパスワードでもサインインできないことある」
すまほん!!の公式Twitterアカウントは5月24日、「パスワード絶対合ってると思うのにログインできない」とMy Sonyへログインができないという旨のツイートを投稿。パスワードリセットをして、前回設定したと記憶のあるものを入力したところ、前回と違うパスワードを入力するよう求められたという。 このツイートに対し、「最近同じ現象にあった」「これが理由でいまだにログインできていない」「これのせいでもうすぐサ終するゲームに触れて思い出に浸ることもできなかった」など同様の現象に遭遇したという声が相次いで見られた。これを受け、すまほん!!の公式Twitterアカウントは「ホントどうにかしてくださいソニーさん」と訴えている。 記者も自身のMy Sony会員ページへログインを試みたところ、思い当たるパスワードではログインすることはできなかった。パスワードリセットをかけ、再度思い当たるパスワードを設定す
よくあるパスワード、約半数がAIツールで1分以内に解読可能
人工知能（AI）を使えば、コンピューターコードを書いたり、物語を作ったり、相対性理論について解説したりするなど、いろいろと素晴らしいことができるだろう。しかし、中には素晴らしいとは言えないことも、少なくとも1つある。それは、パスワードの解読だ。 Home Security Heroesのセキュリティ専門家が新しいレポートを公開し、優秀なAIツールならよくあるパスワードを数分から数秒で突き止められる実態を明らかにした。 1568万種類のよく使われるパスワードをAIで解読するのにかかる時間を調べるため、Home Security HeroesはAIツール「PassGAN」を採用した。PassGANという名称は、「Password」（パスワード）と「GAN」（Generative Adversarial Network：敵対的生成ネットワーク）を組み合わせたものだ。このPassGANは、通常のマ
「gmail」ドメインを「gmai」と誤記、2年半放置で800人分の情報漏えいか 鹿児島大が「ドッペルゲンガー・ドメイン」の毒牙に
2020年6月26日から22年11月24日にかけて、702件のメールを誤送信していた。一連のメールには、教職員の氏名、メールアドレスなど270人分、学生の氏名、学籍番号、メールアドレスなど382人分、学外関係者の氏名、メールアドレスなど177人分が含まれていたという。誤送信した情報の悪用は確認していない。 2つの研究室で使っていたメーリングリスト3件で登録ミスがあった。メーリングリストの用途は研究室の近況報告や、イベントの案内用など。2022年11月に他の大学が同様のミスを発表したことから、鹿児島大でも独自に調査したところ、誤登録が発覚したという。ミスは修正済み。 @gmai.comなどタイプミス・誤認識しやすいドメイン名は「ドッペルゲンガー・ドメイン」とも呼ばれる。ユーザーが誤ってアクセスしたり、メールを誤送信したりするのを狙って取得されたものもある。 通常、存在しないアドレス宛てのメー
「パスワード破られた」 埼玉大のNASで不正アクセス被害 ネットワーク設定ミス発生から数時間で侵入許す
埼玉大学は2月9日、業務で使っているNASが不正アクセスされ、ランサムウェアによりデータが改変される被害に遭ったと明かした。ネットワーク設定に不備があった上、NASのパスワードが破られたのが原因としている。 不正アクセスがあったのは2022年6月7日。午前8時ごろにネットワークアクセス制限の設定を変更したところ、設定不備が発生し、外部からNASにアクセスできるようになった。同日正午ごろになると外部からのログイン試行が繰り返され、NAS2台のパスワードが破られたという。攻撃者は侵入したNAS経由で他のNAS4台にも不正アクセスし、データを改変した。 埼玉大学は午後3時ごろに異常を確認し外部からのアクセスを遮断。学内の担当者が調査やデータ復旧作業、学内にある全NASの点検や設定見直しなどの対応をとった。 同学は「本件の発生を厳粛に受けとめ、情報管理体制の強化と再発防止に取り組んでまいります」と
それでも「PPAP」を使い続ける国内企業はどのくらい？ 有害と知りつつ使う企業も、そのワケは
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。Twitter: ＠shiropen2 東京大学空間情報科学研究センター、大阪公立大学大学院情報学研究科、東京大学大学院情報理工学系研究科ソーシャルICT研究センター、株式会社国際電気通信基礎技術研究所に所属する研究者らは「日本国内におけるメールセキュリティに関する実態把握」の研究報告を発表した。 パスワード付き圧縮ファイルを添付したメールとそのパスワードを書いたメールを別々に送るセキュリティ対策手法（通称：PPAP）において、脆弱性が高いにもかかわらずまだ使い続けている有無や理由、脆弱性の認識はあるかなどの質問を組織344社に行い、分析した研究報告である。 取引先や顧客など社外の相手とファ
IPA、セキュリティ関連費用を可視化するお助けツール「NANBOK」を公開
「NANBOK」は、経営者とセキュリティ担当者が互いに共通して認識できる言葉や数字として、過去にIPAが発表した「情報セキュリティ10大脅威2022」に関わる事象が発生した場合の想定損失額の提示を可能にする。 また、セキュリティ担当者が自社へ導入するセキュリティ対策を検討する際に役立つ情報として、セキュリティ製品／サービスがサイバー攻撃に対して防御、検知機能をどのように発揮するかといったことや、セキュリティ製品やサービスの国内での導入状況を提示できる。 同ツールは、検討したい「情報セキュリティ10大脅威2022」における脅威と業界を選択するプルダウンリスト、ツールの概要を記載した「TOP」シート、具体的なツールの使い方を詳細ステップに分けて説明する「HOW_TO_USE」シート、「TOP」シートで選択した「情報セキュリティ10大脅威2022」の各脅威の説明と、IPAが考案した脅威シナリオ、
米国立標準技術研究所、暗号化アルゴリズム「SHA-1」の廃止を呼びかけ
米・国立標準技術研究所（NIST）は、広く使用されている暗号化アルゴリズム「SHA-1」を、他のより安全なアルゴリズムに置き換えるよう呼びかけている。なお、NISTのコンピュータサイエンティストであるChris Celi氏は、SHA-2またはSHA-3への移行を推奨する。 SHA-1は、「セキュアハッシュアルゴリズム」の頭文字をとって名付けられており、連邦情報処理標準（FIPS）180-1の一部として1995年から使用されており、連邦政府が1993年に標準化した、最初のハッシュ関数であるSHAに、わずかな修正を施したバージョンとなる。 メッセージの文字に対して複雑な数学演算を行い、“ハッシュ”と呼ばれる短い文字列を生成して情報を保護する仕組みで、ハッシュのみから元のメッセージを復元することはできないが、ハッシュを知ることで受信者は元のメッセージが侵害されたかどうかを簡単に確認することが可能
グーグル、「IE」の脆弱性が依然として悪用されている実態を明らかに
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Googleは米国時間12月7日、Microsoftが11月の月例セキュリティパッチ「Patch Tuesday」で対処した興味深いゼロデイ脆弱性について、より詳しい情報を公開した。 共通脆弱性識別子として「CVE-2022-41128」が割り当てられたこのリモートコード実行（RCE）の脆弱性は、「Windows」上で稼働するJavaScriptスクリプティング言語の1つである「JScript9」に潜んでいたものだ。JScript9は「Internet Explorer 11」（IE 11）のJavaScriptエンジンとして採用されていたため、この脆弱性は「Windows 7」から「Windows 11」、そして「Windows Se
ロシアからのSQLインジェクションが急増 9月4日だけ平均の3倍
9月4日だけ、ロシアから大量のSQLインジェクション攻撃があった──WAF（Webアプリケーション用ファイアウォール）開発のサイバーセキュリティクラウドが13日、こんな観測結果を発表した。攻撃数は観測期間中の平均値の3倍に及んだ。 同社は8月1日から9月8日にかけて、同社製WAFなどで観測したサイバー攻撃を調査した。検知した攻撃の総数は約1047万件。4日には90万件近いSQLインジェクション攻撃を観測した。期間中、ロシアからSQLインジェクション攻撃があったのも4日のみ。ロシアからの攻撃件数は当日だけで20万件以上だった。 日本では8日ごろから、ロシアを支持するサイバー攻撃集団「KILLNET」によるものとみられるDDoS攻撃が相次いでいるが、関連は不明としている。 SQLインジェクションは外部からデータベースを不正に操作する攻撃手法。被害を受けると、個人情報などが漏えいする恐れがある。
最もサイバー攻撃の餌食になりやすい業界は？ 攻撃数は他業界の2倍以上
最もサイバー攻撃を受けやすい業界は「教育・研究分野」──イスラエルのセキュリティ企業チェック・ポイント・ソフトウェア・テクノロジーズが9月6日、そのような調査結果を発表した。1週間の攻撃数は他業界の2倍以上という。 教育・研究業界における2022年7月の攻撃数は、1組織につき毎週2000件のペースだった。これは21年7月比で6％増、20年7月比で114％増。アジア太平洋地域は特に多く、22年上半期には1組織につき毎週4600件ペースだった。 同社は、夏休み明けの学生を狙ったサイバー攻撃が増える可能性があるとして、不審なメールやWebサイトに警戒すること、安全なインターネット環境を確保すること、モバイルデバイスも含めて情報セキュリティ対策をすることなどを呼び掛けている。 関連記事 Cloudflare、フォーラムKiwi Farmsをブロック 「命にかかわる脅威と判断」 ホスティングおよびセ
Twitter、ゼロデイ脆弱性悪用の約540万アカウントデータ漏えいを正式に認める
米Twitterは8月5日（現地時間）、ゼロデイ脆弱性（既に修正済み）が悪用され、540万以上のアカウントと電話番号やメールアドレスの情報が流出したと発表した。 この脆弱性については1月、同社のバグ報奨金プログラムを通じて報告を受けたという。昨年6月のシステム更新の際に発生したバグで、報告を受けて修正した時点では脆弱性が悪用された証拠はなかったとしている。 だが、米Restore Privacyの7月の報道で、この脆弱性が悪用され、アカウントリストが販売されていることを知ったため、影響を受けたことが確認できるユーザーには直接通知した。 この段階で公式ブログで発表するのは、「影響を受けた可能性のあるすべてのアカウントを確認することはできず」、特に匿名アカウントは国家などの標的になる可能性があるためとしている。 米BleepingComputerによると、アカウントと紐付けられたのは、電話番号
タッチ決済時の「〇〇Pay」の音をこっそり盗聴し、決済アプリを乗っ取る攻撃 韓国の研究チームが指摘
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 韓国のChung-Ang UniversityとAjou Universityの研究チームが開発した「MagSnoop: Listening to Sounds Induced by Magnetic Field Fluctuations to Infer Mobile Payment Tokens」は、スマートフォンをかざすだけで決済が完了するサービスにおいて、決済時の音を盗聴して乗っ取る手法だ。あらかじめ仕込まれた攻撃者のアプリが決済時の音を内蔵マイクでこっそり遠隔で盗聴することで、不正に取得したトークンで買い物し放題になる。 商品を購入する際に、現金やクレジットカードの代わりに、スマ
IPAがゼロトラストセキュリティ入門資料を公開 基礎知識や心構え、検討の流れなど解説
内容は初歩の「ゼロトラストとは」から始まり、移行検討時に必要なマインド、投資判断、環境構築といった作業工程別の解説など。 IPAは「ゼロトラスト移行の効果を最大限発揮するためには、ゼロトラストに対する担当者の理解が不可欠」としている。 関連記事 今更聞けない「ゼロトラストセキュリティ」の基本 具体的にはどう守る？ 新型コロナの感染拡大に伴う外出自粛などの影響でテレワークの導入が進む中、「ゼロトラストセキュリティ」に注目が集まり始めている。ゼロトラストセキュリティのメリットや具体的な内容についてアカマイ・テクノロジーズに聞いた。 気付いたらゼロトラストだった――セキュリティ強化のためのネットワーク構築、重要なのは何がやりたいか セキュリティ業界で近年注目を集めている「ゼロトラスト」だが、導入実績はまだ少ない。そんな中、同志社大学は2019年にゼロトラストネットワークを構築した。構築のポイント
Linuxをターゲットにした新種のマルウェア「OrBit」が発見 | スラド Linux
Linuxをターゲットにした新種のマルウェアが発見されたそうだ。このマルウェアは、さまざまなコマンドやユーティリティから情報を盗み出し、マシン上の特定のファイルに保存するという点で従来のマルウェアとは異なる挙動をするものだそうだ（Intezer.com、Threatpost、ZDNet Japan）。 発見したセキュリティ企業Intezerの研究者によれば、実行コマンドの出力を一時的に保存するために使用するファイル名から「OrBit」と名付けられているという。このマルウェアは、Linuxシステムへリモートアクセスしてユーザー名とパスワードを盗み出すといったことなどもできるほか、高度な回避技術を実装しており、主要な機能をフックすることから、感染後に削除するのは困難であるとしている。
USBメモリ紛失の尼崎市、記者会見でパスワードの桁数暴露 ネット騒然 「悪例として最高の手本」
委託先の従業員が全市民46万人分の個人情報が入ったUSBメモリを紛失したとして、6月23日に謝罪した兵庫県尼崎市。同市の記者会見がネットで波紋を呼んでいる。会見中、USBメモリに設定されたパスワードの桁数を職員が話してしまったからだ。Twitterでは「セキュリティの悪例として最高の手本」など批判が続出している。 会見では、職員がパスワードについて聞かれたときに「英数字13桁のパスワードを設定している。解読するのは難しいのかなと考えている」などと返答していた。 これを受け、Twitterでは尼崎市のセキュリティ体制への批判が続出。パスワードの組み合わせを総当たりで試す「ブルートフォース攻撃」がしやすくなるという指摘が相次いだ。中には明らかになった情報から、同市が使っていたパスワードを推測する人も。ある文字列の組み合わせがちょうど13文字になることから、一部では「これがパスワードではないか」
新たな形態のLinuxマルウェアが見つかる--検出は「ほぼ不可能」
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 検出が「ほぼ不可能」という新たな形態のLinuxマルウェア「Symbiote」が、BlackBerryのResearch and Intelligence Teamの研究者らと、Intezerのセキュリティ研究者であるJoakim Kennedy氏によって発見されたという。カナダのBlackBerryが現地時間6月9日に発表した。 それによると、このマルウェアは「寄生性」を有しているためSymbiote（共生者）と名付けられたという。 これらの研究者らがSymbioteを発見したのは数カ月前のことだ。Symbioteは、実行中のプロセスに対して侵害を試みるという、Linuxで今日一般的に見られる通常のマルウェアとは異なり、LD_PREL
入力中の個人情報が“送信ボタンを押す前に”収集されている問題 約10万のWebサイトを調査
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 ベルギーのKU Leuven、オランダのRadboud University、スイスのUniversity of Lausanneによる研究チームが発表した「Leaky Forms: A Study of Email and Password Exfiltration Before Form Submission」は、まだ送信していないのにもかかわらず、オンラインフォームで入力した個人情報（今回は電子メールアドレスとパスワード）が打ち込んだだけで収集されている問題を調査した論文だ。 サインインやサービスへの登録、ニュースレターの購読など、さまざまな理由でオンラインフォームに個人情報を入力す
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Cookieを上回る脅威に？ ウェブでの行動を追跡する「フィンガープリント」の対策と課題