他人がGPT-4とやりとりしたテキストを盗む攻撃 成功率50％以上 イスラエルの研究者らが発表
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 イスラエルのネゲヴ・ベン・グリオン大学に所属する研究者らが発表した論文「What Was Your Prompt？ A Remote Keylogging Attack on AI Assistants」は、大規模言語モデル（LLM）を活用したAIチャットbotが生成するテキスト回答を復元するサイドチャネル攻撃を提案した研究報告である。攻撃者は、AIチャットbotが応答する際の通信データを傍受することで内容を復元して他人のやりとりを盗み出すことができる。 攻撃方法としては、まずユーザーとLLMの間の暗号化されたパケット通信を傍受するところか
新MacBook Pro（M3）でも機密情報が漏えい 2020年以降のApple製品全てに脆弱性 米国チームが発表
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 米ジョージア工科大学などに所属する研究者らが発表した論文「iLeakage: Browser-based Timerless Speculative Execution Attacks on Apple Devices」は、Mac、iPad、iPhoneなどのApple製品に搭載のSafariを標的としたサイドチャネル攻撃に関する研究報告である。 この攻撃は、最近発売されたM3チップを搭載した新型MacBook Proでも成功し、ソフトウェアの更新状況に関わらず、Apple製品にとって依然として脅威であることを示した。 「iLeakage」
楽天が「security.txt」を導入
楽天グループがWebサーバーに「security.txt」と呼ぶテキストファイルを置き、脆弱性▼情報の受付窓口としてVDP（Vulnerability Disclosure Program、脆弱性開示プログラム）を開始したことがSNSで話題になった。2023年10月2日のことだ。同社広報はこれを事実だと認めた。 security.txtは、米Apple（アップル）や米Google（グーグル）、米GitHub（ギットハブ）、米IBMなど、海外IT大手は既に導入している。一方、日本では少ない。security.txtとは何か、国内でなぜ普及しないのか、脆弱性情報の受け付けとの関連性は――。順に見ていこう。 セキュリティーが高まる理由 security.txtとは、当該企業が提供する製品やサービスの脆弱性情報を見つけた人が通知する窓口を示すためのファイルだ。その仕様は、インターネット関連技術の標
ESET社員、生成AIで自社CEOの声を作って不正送金させる実験に成功
ESETは11月22日(現地時間)、「Your voice is my password – the risks of AI-driven voice cloning」において、生成AIにより合成した音声を悪用したソーシャルエンジニアリング攻撃の実験に成功したと伝えた。この実験では、従業員が自社の最高経営責任者(CEO: Chief Executive Officer)になりすまして、財務責任者から自分宛てに送金させることに成功しており、生成AIの危険性について注意喚起している。 Your voice is my password – the risks of AI-driven voice cloning これは事前にCEOの許可を得て行っ実験であり、ここで解説する手法をまねることは犯罪となる可能性があることに注意。この実験と同様の攻撃が今後増加する可能性があると懸念されており、企業や組
“プライバシーマーク認証団体”が情報漏えい 審査員が個人PCで書類保存、約3年間外部から丸見えに
個人情報の取り扱い体制について評価・認証する「プライバシーマーク制度」（Pマーク制度）を運営する日本情報経済社会推進協会（JIPDEC）は11月13日、8月に発表したPマークの審査関連書類が漏えいした事案について、調査結果を発表した。 8月8日、Pマークを取得した事業者1社から「ネット上でPマークの審査関連資料と思われるファイルが閲覧可能となっている」と連絡を受け、事態が発覚した。調査を行ったところ、Pマーク審査員1人が個人所有のPCに廃棄すべき審査関連書類を保存して持ち帰っていたことが明らかに。資料を保管していたNAS（Network-Attached Storage）に適切なセキュリティ対策がなされておらず、ネット上で閲覧できる状態になっていた。 その後の調査では、この1件以外にも最大888社の審査関連情報と審査員名簿が漏えいした可能性があることも判明。さらに、この審査員が2005年1
Gmailのメール認証規制強化への対応って終わってますか？ - エムスリーテックブログ
こんにちは。エムスリー・QLife(エムスリーのグループ会社)・エムスリーヘルスデザイン(エムスリーのグループ会社)でエンジニアとして各種作業に関わっている山本です！ 以前もメール送信の話を書かせていただいたことがありますが、今回もまたメールネタとなります。今回のお題はメールセキュリティです。 大量メール送信のための予備知識 - エムスリーテックブログ すでにご覧になった方もいるかと思いますが、次のようなニュースが流れています。 www.proofpoint.com この「GoogleとYahooの新Eメール認証要件」ってつまりどういうことよ？ というところを具体的にどのように進めているかについて書かせていただきたいと思います。 2023/12/18追記 : Googleからメール送信にTLSを使うことが追加要件として示されました。 TL;DR とりあえず何から始める？ 何はともあれ実際に
【重要なお知らせ】弊社サイトから強制的に別サイトに移動する現象について
いつも弊社の媒体をご覧いただきありがとうございます。 先週末より、ASCIIブランドのサイトをスマートフォンなどで閲覧しようとした際、「〇〇名様当選のロイヤリティプログラムに選ばれました」などと書かれた外部のサイトに強制的に遷移する現象が発生しております。 遷移先のサイトでは「懸賞への当選」を称し、アンケート回答や個人情報の入力を促しています。こういったサイトが表示された際には、絶対に入力せず、該当するページをすぐ閉じてください。 これは、「リダイレクト広告」と呼ばれるもので、サイト内に設置してあるネットワーク広告の配信システムを悪用し、個人情報などを入力させる詐欺サイトなどに誘導する悪質なものとなっております。弊社の意図する挙動ではございません。 同様の問題は、ASCII.jpと同じネットワーク広告の仕組みを導入しているウェブサイトでも7月以降発生しております。 弊社では、悪用を行ったと
KeePassに重大な脆弱性、マスターパスワードが盗まれる恐れ
Malwarebytesは5月18日(米国時間)、「KeePass vulnerability allows attackers to access the master password」において、KeePassに重大な脆弱性があるとして、注意を呼び掛けた。脆弱性が悪用された場合、マスターパスワードにアクセスされる危険性があるとされている。 KeePass vulnerability allows attackers to access the master password KeePassは無料のオープンソースのパスワードマネージャー。パスワードを暗号化された形で保存する機能が提供されている。KeePassはデータベース全体を暗号化するため、パスワードだけでなく、ユーザー名、URL、メモなどの情報も暗号化される仕組みとなっている。 このパスワードマネージャに深刻な脆弱性があることがわか
ヤフオク「中古スマホ出品時、マイナ証明書失効を」初期化だけでは消えない
5月11日から、マイナンバーカードの電子証明書機能をAndroid端末に搭載できるようになった。これを受け、ヤフーが運営するオークションサイト「ヤフオク！」は、中古スマートフォン出品の際、事前にスマホ用電子証明書の失効手続きを行うよう案内している。 スマホ用電子証明書は、端末の初期化だけでは削除できず、マイナポータルアプリから失効申請を行う必要がある。マイナカードの電子証明書機能を使っていたスマホを出品する際には、必ずこの手続きを行うよう呼び掛けている。 関連記事 マイナカードをAndroidスマホに入れてみた 何が便利で何ができる？ iPhone対応は？ 5月11日に、マイナンバーカードのスマホ用電子証明書搭載サービス、いわゆる「カード機能のスマホ搭載」がスタートした。「マイナカードがスマホに入る」なんて言われているが、何ができて何ができないのか。実際にスマホにマイナカードを搭載してみた
日本最大級のビーズ・アクセサリーパーツ通販サイトで個人情報漏えい クレカ不正利用の可能性も
日本最大級をうたうビーズ・アクセサリーパーツ通販サイト「Beads&Parts通販サイト」を運営するビーピークラフトは5月16日、第三者による不正アクセスを受け、個人情報2821件が漏えいした可能性があると発表した。これにはクレジットカード情報1771件が含まれる。 2月17日に利用者からサイトが開けないと連絡を受け事態が発覚した。サイトを閉鎖し、クレジットカード決済を停止したが、2月20日にはクレジットカード会社からクレカ情報漏えいを懸念する連絡を受けたという。 原因はシステムの脆弱性をついた不正アクセスでペイメントアプリケーションが改ざんされたこと。第三者機関による調査の結果、クレジットカード情報が漏えいし、一部を不正利用された可能性があることを確認した。 流出した可能性のある個人情報は、今年1月12日から2月17日までにBeads&Parts通販サイトを利用した人の氏名、メールアドレ
経産省「コンテンツ緊急電子化事業」偽サイトに注意 事業終了後、第三者が「.jp」ドメイン取得 ウイルス感染のおそれ
経済産業省は11月18日、同省が過去に保有していた「コンテンツ緊急電子化事業」特設サイトのURLから、同事業と無関係なサイトへのリンクが張られているとして注意を呼び掛けた。アクセスすると、ウイルス感染などの恐れがあるとしている。 コンテンツ緊急電子化事業（緊デジ）は2011年度の事業で、既に終了している。特設サイトは「.jp」ドメインで作られ、14年に閉鎖されていた。 このドメインを第三者が取得し、緊デジのWebサイトのデザインを再現した上で、無関係なサイトへのリンクを貼り付けたようだ。 whoisによると、同ドメインは2021年に取得されており（有効期限は23年1月31日）、登録者名は「Darzev Metodi」、住所は東京・西新宿になっている。 関連記事 続出する公的機関の偽サイトに国が注意喚起 「必ずドメインを確認して」 内閣サイバーセキュリティセンターが、地方自治体などをかたる偽
三菱の家電に脆弱性 炊飯器、冷蔵庫、エアコン、太陽光発電など広範囲 ユーザー側で対処を
三菱電機は9月29日、炊飯器や冷蔵庫などの家電製品やネットワーク機器などで複数の脆弱性が見つかったと発表した。悪用されるとDoS攻撃を受けた状態になったり、情報漏えいが発生したりする恐れがあるとしている。 【編集履歴：2022年9月30日午後8時 画像内に対象製品ではないものが含まれていたため修正しました】 対象製品は同社製のエアコン、無線LANアダプター、冷蔵庫、給湯器、バス乾燥機、炊飯器、換気システム、スマートスイッチ、太陽光発電システム、IHクッキングヒーターなど。 見つかったのは（1）情報漏えいの脆弱性、（2）DoSの脆弱性、（3）悪意のあるスクリプトを含むメッセージを応答する脆弱性。認証情報が暗号化されず、盗聴により情報を盗まれる恐れもある。 対象製品と対処法一覧（情報漏えいの脆弱性） 対象製品と対処法一覧（DoS、悪意のあるスクリプトを含むメッセージを応答する脆弱性） 三菱電機
TikTokのiOSアプリも「キーロガーと同じような動作」と開発者が指摘
中国ByteDance傘下の米動画共有サービスTikTokのiOSアプリでTikTok外のサードパーティWebサイトを開くと、アプリ内Webブラウザが特殊なJavaScriptコードを使い、TikTokがユーザーのキーストロークを入手できるようにしていると、米MetaのInstagramについて同様の指摘をしたフリーランス開発者、フェリックス・クラウス氏が8月18日、自身のブログで詳細を解説した。 同氏は10日にInstagramのiOSアプリのJavaScriptコードについて説明した。今回は、その反響を受け、アプリによるJavaScriptコマンドをユーザーが自分で確認するためのツール「InAppBrowser.com」を公開したことも発表した。 TikTokアプリについてクラウス氏は「TikTokアプリ内でレンダリングされたサードパーティWebサイトで発生するすべてのキーストロークを
“まだ作成していないユーザーアカウント”を先回りして乗っ取る攻撃 米Microsoftなどが指摘
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 セキュリティ研究者Avinash Sudhodananさんと米Microsoft Security Response Centerの研究者が発表した「Pre-hijacked accounts: An Empirical Study of Security Failures in User Account Creation on the Web」は、まだ作成していないWebサービスのアカウントを乗っ取る攻撃をテストし脆弱性を示した論文だ。 具体的に5種類の攻撃を提案し75のWebサイトで試したところ、35のサイトで乗っ取りに成功したという。その中には、ZoomやInstagram、Drop
個人情報25万件がGoogle検索で丸見え、2年以上そのままに 企業向け研修サービスでトラブル、原因は調査中
個人情報25万件がGoogle検索で丸見え、2年以上そのままに 企業向け研修サービスでトラブル、原因は調査中 クラウドサービスの開発・提供を手掛けるリスクモンスターは7月4日、同社の企業向け研修サービス「サイバックスUniv.」について、サーバに保存していた約25万人分の個人情報が、Googleで検索できる状態になっていたと発表した。すでに設定は変更済みで、問題は修正済み。原因は調査中という。 対象の情報は、サービスに登録していた人の会社名、部署名、氏名。2020年2月16日から22年6月29日まで、Google検索からこれらの情報にアクセスできる状態だったという。 一部の情報は実際に流出したことを確認した。少なくとも直近3カ月間で18件、Google経由でのアクセスがあり、うち1件では5934件の個人情報をダウンロードされていた。ただし、個人情報をダウンロードした人はすでにデータを削除済
Google、ChromeとAndroidのパスワード管理UIを統一 自動生成ではないパスワード設定が可能に
Google、ChromeとAndroidのパスワード管理UIを統一 自動生成ではないパスワード設定が可能に 米Googleは6月30日（現地時間）、ChromeブラウザとAndroid端末で提供しているパスワード管理サービス（Androidでは「パスワード マネージャー」）の複数の改善を発表した。また、iOS版Chromeでもパスワードを自動生成できるようにする。 ChromeとAndroidでのUI統一 Chromeのパスワード管理機能は、［設定］→［自動入力］→［パスワード］に、Androidのパスワード マネージャーは、［設定］→［プライバシー］→［Googleの自動入力サービス］→［パスワード］という奥深いところにある。この2つは実質同じものだが、これまでユーザーインタフェース（UI）がかなり違った。まず、これを統一する。 また、同じサイトあるいはアプリで複数のパスワードを設定し
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
セキュリティ・キャンプ全国大会2022 オンライン 当社エンジニアの講義資料を公開 | ニュース一覧 | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ
「ニンテンドーWi-Fi USBコネクタ」および「ニンテンドーWi-Fiネットワークアダプタ」使用中止のお願い｜サポート情報｜Nintendo
解凍・圧縮ソフト「7-Zip」に未修正の脆弱性 ～セキュリティ研究者が明らかに／ヘルプファイルの削除で緩和可能
Engadget | Technology News & Reviews
