Twitterカードが貼られたツイートはすべて詐欺です、という時代 - Qiita
最近見つけた現象で既に論じられているかと思ったがちょっと解説が見つからなかったのでまとめておく。 手短に X(旧Twitter)クライアントで表示されるTwitterカードについてカードに表示されるドメインとは違うページにリンクさせる手法が存在する この手法は第三者のTwitterカードを利用することができる つまり悪用者は第三者のTwitterカードを表示させながら自身の意図するページに閲覧者を誘導することができる これはフィッシングの手法になりうる 見つけたツイート 以下のツイートはGoogle、Bloomberg、日経ビジネスのTwitterカードが添付されているがクリックするとそれらとは異なる情報商材サイトにジャンプする。リンク先に危険な仕組みはないと思われるがクリックは自己責任で。念を入れたい人は curl -L で。 PCブラウザでカーソルを合わせてもXの短縮URLサービスであ
Twitterから流出したとみられる約2億件のデータについてまとめてみた - piyolog
2023年1月5日以降、2億件を超えるTwitterアカウントのデータを公開したと主張する投稿がハッカーフォーラムで行われていたことを複数の報道機関が報じました。*1ここでは関連する情報をまとめます。 自分が影響を受けたのかを確認するには 約2億件のデータに自分のメールアドレスが含まれているか（影響対象か）はHave I been pwnedを使って確認することが可能。 メールアドレス入力後に「pwned?」をクリックし、「Twitter (200M)」と表示された場合は、今回のデータに含まれている。（それ以外のリークに含まれていた場合は別のリーク情報も表示される。） メールアドレスがリークデータに含まれていた場合にTwitter (200M)が表示。 Twitter APIの脆弱性より流出したデータと主張 Twitter APIに第三者が他人のアカウント情報を取得できる脆弱性が2021年
見分けが不可能な偽サイトがGoogle検索最上位に堂々と表示されてしまう、「i」をURLに含む全てのサイトが信用できなくなる極悪手法
Googleは独自のルールに従って検索結果の表示順位を決めていますが、Googleの広告枠を購入すれば任意のウェブサイトを検索結果の最上部に表示することができます。この広告枠を悪用して人気画像処理ソフト「GIMP」の公式サイトになりすました偽サイトが検索結果の最上部に表示されてしまう事態が発生しました。偽サイトはドメインの見た目までソックリで、インターネットに慣れている人でも見分けることは困難となっています。 Dangerous Google Ad Disguising Itself as www.gimp.org : GIMP https://www.reddit.com/r/GIMP/comments/ygbr4o/dangerous_google_ad_disguising_itself_as/ Dangerous Google Ad Disguising Itself as www
短縮URLはなぜ「使ってはいけない」といわれるのか？ セキュリティ面から考える
関連キーワード Google | Google Apps | セキュリティ | セキュリティ対策 便利さの影に潜む短縮URLの危険性とは あなたのチームが、Googleのワープロツール「Googleドキュメント」で作成したドキュメントを共有するためのURLを出力したとする。URLの長さは100文字以上ある。これを6文字に短縮すると、セキュリティ上の問題があるのだろうか。長いURLをそのまま使う方が、メリットがあるのだろうか。 短縮URLは、セキュリティではなく便利さがポイントだ。一般的に「goo.gl」のようなドメインと、5～6文字の文字列（トークン）で構成されている。 100文字以上の長いURLは覚えにくい。さらにメール本文などからコピーして、URLアドレスフィールドに貼り付ける必要がある。短いURLを覚えて、アドレスフィールドにURLをタイプする方が、エンドユーザーにとって簡単だ。 例
「URL短縮サービスを用いるべきでない理由」とは？
ウェブページのURLを短くしてくれるURL短縮サービスは、文字数制限を回避や可読性の向上のために広く用いられています。そんな中、イギリスの公的機関「Government Communication Service(GCS)」が、URL短縮サービスに関する誤解とリスクを解説しています。 Link shorteners: the long and short of why you shouldn't use them - GCS https://gcs.civilservice.gov.uk/blog/link-shorteners-the-long-and-short-of-why-you-shouldnt-use-them/ ◆よくある誤解その1：SNSでリンクを共有する際は、URL短縮サービスを使う必要がある GCSによると、多くの人が「SNSでリンクを共有する際は、文字数制限を回避する
一見普通のUSBケーブルなのにキーボードで打ち込んだ内容をすべてWi-Fi経由で外部に送信してしまう「O.MGケーブル」が登場
一見すると普通のUSBケーブルですが、実際にPCに挿すと悪意のある挙動をしてハッキングの手助けをするというのが「O.MGケーブル」です。これまでも通常のUSBケーブルと見分けがつかないO.MGケーブルが発表されていたのですが、新たにPCのキーボードに打ち込んだ内容を保存するキーロガーを内蔵し、Wi-Fi経由で入力内容を外部に送信してしまうという新バージョンが登場しています。 O.MG Keylogger Cable https://mg.lol/blog/keylogger-cable/ This Seemingly Normal Lightning Cable Will Leak Everything You Type https://www.vice.com/en/article/k789me/omg-cables-keylogger-usbc-lightning Security R
だめじゃん…。iPhoneも最凶スパイウェアPegasusの標的に。アムネスティが感染判定ツール公開
だめじゃん…。iPhoneも最凶スパイウェアPegasusの標的に。アムネスティが感染判定ツール公開2021.07.21 12:0026,580 satomi ゼロクリック攻撃でマイクもカメラも乗っ取られてしまうなんて…防ぎようがないやん… 領事館で暗殺されたジョマル・カショギ記者、不倫局部写真リークで離婚となったジェフ・ベゾス氏のスマホにも仕込まれていた最恐スパイウェアPegasusが、世界中の要人と報道関係者、人権活動家のスマホに想像以上に広まっていることがわかり、アムネスティインターナショナルが被害状況の報告と併せて検出ツール｢Mobile Verification Toolkit｣（MVT）の公開に踏み切りました。 開発するNSOってどういう会社？NSOは各国警察・諜報機関を主要顧客とするイスラエルの民間企業です。サウジアラビア、インド、ハンガリー、メキシコ、アラブ首長国連邦、スペ
宅配業者を装った「SMS詐欺」に新手口…偽サイトに誘導し免許証などの画像詐取か 対策を聞いた｜FNNプライムオンライン
運転免許証やマイナンバーカードの画像詐取か 「お客様宛にお荷物のお届けにあがりましたが不在の為持ち帰りました。配送物は下記よりご確認ください」 このようなSMSを使った詐欺はご存じの方も多いだろう。宅配便業者の不在通知にそっくりな偽のSMSを使った詐欺手口の相談は、2018年からこれまでに約4500件寄せられているというのだ。 確認されている詐欺の方法は大きくはスマホのOSによって分けられ、Androidは「不審アプリをインストールさせる手口」、iPhoneなどiOS端末では「フィッシングサイトで電話番号や、Apple ID・パスワードを搾取する手口」が多いという。 出典：独立行政法人情報処理推進機構 この記事の画像（4枚） さらに今年5月ごろからは、新たな手口に関する相談が増加。6月22日までに約50件寄せられたことなどから、情報処理推進機構が注意を呼びかけているのだ。 その手口とは、S
知り合いや取引先を装った巧妙な偽メール「Emotet」の被害急増 | IT・ネット | NHKニュース
知り合いや取引先を装った巧妙な偽のメールを送りつけ、添付ファイルを開くと感染するコンピューターウイルス「Emotet」の被害が急増していて、今月4日には日本医師会の事務局のパソコンの感染も確認され、情報セキュリティーの専門機関が注意を呼びかけています。 情報セキュリティーの専門機関、「JPCERTコーディネーションセンター」によりますと、ウイルスはいったん収束を見せていましたが、ことし7月ごろから再び感染が確認されるようになり、今月は15日までに感染した国内のメールアドレスは5610件に上り、1か月間の件数としてはすでに過去最高となっています。 今月4日には日本医師会の事務局のパソコンの感染が確認され、医師会の職員が過去にやり取りした厚生労働省の職員などの名前で、関係先などに多数の偽のメールが送信されました。 新型コロナウイルスの影響でテレワークをする人が増える中、自宅の無線LANにつなが
iOS App Storeでトロイの木馬感染アプリが複数発見（ITmedia NEWS） - Yahoo!ニュース
企業のモバイルエンドポイント向けのモバイルセキュリティソリューションを開発するWanderaが、 App Storeでクリッカートロイの木馬マルウェアに感染している17個のアプリを発見したと発表した。 【画像】Wanderaの記事 これらのアプリは、バックグラウンドで広告詐欺に関連するタスクを実行するように設計されており、全てインドに本拠を置くAppAspect Technologiesが提供するアプリだったそうだ。 コマンド&コントロール（C&C）サーバを使用して、ターゲット広告をトリガーする可能性のあるコマンドを感染アプリに送信し、Webサイトのサイレントロード、およびデバイスでのリモート再構成を行う仕組みだったと説明している。 例えば、感染したアプリのインストール後に高価なコンテンツサービスを不正にサブスクライブさせられたユーザーが出たという。 この件に関して、Help Net Se
Facebook、数億人分のユーザーパスワードを数年間可読状態で保存と発表
Facebookが、Facebook、Instagram、Facebook Liteの数億人分のパスワードが社内に可読な状態で保存されていることに1月に気づき、修正したと発表した。該当したユーザーにはこれから連絡する。不正アクセスなどはなかったとしている。 米Facebookは3月21日（現地時間）、Facebook、Instagram、Facebook Liteの数億人分のパスワードが可読な状態で社内に保存されていることに1月に気づき、修正したと発表した。該当するユーザーには予防策として、これから通知するとしている。 Facebookがこれを発表したのは、米セキュリティ情報サイトKrebs on SecurityがFacebookの匿名の幹部からの情報として2億～6億人のパスワードが既読状態で保存されていたことを報じた直後だった。 Krebs on Securityによると、パスワードの
KINEZOは映画館の係員でもパスワードを覗ける - 35歳からの中二病エンジニア
KINEZOといえば、映画のチケット予約サービスだけれども、セキュリティー界隈では「数字4桁のログインパスワード」でお馴染みの有名所でもある。平成も終わりに差し掛かっているのにこれを貫いていることについては何と申せば良いのやら…。そんなKINEZOだが、今回は新宿バルト9で更なる深淵を覗いてしまったので、ここに書き記しておく。 暗証番号代わりのログインパスワード 昨日映画を観に行った所、生憎スマートフォンの調子が悪くてネットに繋がらなかったので、チケット発行用の予約番号は確認できたが、QRコードの確認ができなかった。そこで、予約番号からチケットを発券しようとした。 すると、求められたのはKINEZOのログインパスワード。 おいおい、ログインパスワードが暗証番号代わりかよ…。 と、その時点でセキュリティー的にアウトだろうとは思いつつも、仕方ないので入力する。が、どうにも通らない。暗証番号代わ
宅ふぁいる便、個人情報４８０万件が流出 会見し謝罪：朝日新聞デジタル
ファイル転送サービス「宅ふぁいる便」で、生年月日やパスワード、メールアドレスなどの利用者情報が流出したことが分かった。過去に登録し退会した利用者も含め、流出件数は約４８０万件にのぼる。サーバーに不正アクセスがあったという。 サービスを提供するオージス総研（大阪市）が２５日、大阪市内で会見を開いて発表した。小田垣正美常務執行役員は「大変なご迷惑、ご心配をおかけして、おわび申し上げます」と謝罪した。 利用者の名前や性別、業種・職種、居住地（都道府県のみ）などは調査中だ。サーバー内に保管されている利用者のファイルが流出した可能性もある。現時点では、流出した情報による具体的な被害は確認されていないという。有料会員のクレジットカード情報などは別のシステムで管理しており、流出していないとしている。他のネットサービスでパスワードやＩＤを使い回している利用者には、変更するよう求めた。 不正アクセスの判明を
JavaScript実行時、「閲覧者の了解をいちいち得る」ページ登場 「Coinhiveより嫌」「悪夢」と話題
JavaScript実行時、「閲覧者の了解をいちいち得る」ページ登場 「Coinhiveより嫌」「悪夢」と話題 閲覧者に無断でCoinhiveを設置したサイト運営者が摘発され物議をかもす中、すべてのJavaScriptについて、閲覧者に許可を取るには――そんな発想で作られたデモページが公開された。スクリプトの実行のオンオフをいちいち選ぶのが面倒で、「悪夢だ」と話題になっている。 サイト閲覧者に仮想通貨をマイニングしてもらうことで収益を得られるツール「Coinhive」を、明示することなくサイトに設置した複数のユーザーが、不正指令電磁的記録（ウイルス）取得・保管などの容疑で警察に摘発され、物議をかもしている。 Coinhiveは、サイトに専用のJavaScriptコードを埋め込むと、閲覧者のCPUパワーを使って仮想通貨を採掘する。今回摘発された1人・デザイナーの「モロ」（@moro_is）さ
スピーカーで音を鳴らすだけでPCがクラッシュ 「ブルーノート」攻撃に注意
PCの内蔵スピーカーや近くにあるスピーカーから音を鳴らすだけでPCをクラッシュさせる――そんな攻撃が行われる可能性を、ミシガン大学や浙江大学などのセキュリティ研究者グループが実証したとして、ESETのセキュリティニュースサイト「welivesecurity」が注意を呼びかけている。 動画「Blue Note: How Intentional Acoustic Interference Damages Availablity and Integrity -」より ESETによれば、この攻撃は「ブルーノート」と呼ばれ、超音波や可聴域の音を利用してHDD（ハードディスクドライブ）を攻撃する。音波でHDDの磁気ヘッドやプラッタを振動させ、ハードウェアに物理的なダメージを与えるという。 また研究者グループは、ブルーノート攻撃で狙われるのはPCだけでなく、監視カメラなどの可能性もあると指摘する。例えば
覆された常識、CSVファイルでウイルス感染
テキストファイルは開いても安全――。情報セキュリティの常識だ。ところが、その常識が覆された。テキストファイルの一種であるCSVファイルを使った標的型攻撃が国内で確認されたのだ。CSVファイルを開いただけでウイルス（マルウエア）に感染する恐れがある。CSVファイルも危ないファイル形式の一つだと認識すべきだ。 CSVファイルとは、表の要素などをカンマや改行を使って記述したテキストファイルのこと。CSVはComma Separeted Valueの略である。ファイルの拡張子はcsv。CSVファイルの中にはテキストの情報しかない。 だが、拡張子がtxtなどのテキストファイルとは大きく異なる点がある。初期設定（デフォルト）でExcelと関連付けられている点である。Excelをインストールすると、ユーザーが設定変更しなければ、CSVファイルが関連付けられる。つまり、CSVファイルをダブルクリックするな
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
長塚全 on Twitter: "amazon .co.jp（実際はフィッシング）から「不正にショッピングされた可能性ありアカウント凍結したので覚えがなければ24時間以内に下記から注文キャンセルしてください」と言う内容のメール来て、まあフィッシングかと思ったけど正規のドメインだったので一応amazonに問い合わせてみたら"
パスワードレス認証技術「パスキー」は速い、安全、便利 ～Googleが新データでアピール／パスワードや2要素認証（MFA）よりも有望
ウイルスバスター セキュリティトピックス
人気のFirefox拡張機能「Stylish」がポリシー違反でブロック、すべての閲覧履歴を収集か／有志のセキュリティエンジニアによる調査で発覚
