またもStruts2で漏洩、ぴあ運営のB.LEAGUEサイトから流出したカード番号で被害
ぴあは2017年4月25日、同社が運営を受託しているプロバスケットボールリーグ「B.LEAGUE」関連のWebサイトから最大約15万5000件の個人情報が流出した可能性があると発表した。原因は同サイトに使っている「Apache Struts2」の脆弱性。約3万2000件のクレジットカード情報も含まれるという。 不正アクセスを受けたのはB.LEAGUEチケットサイトとファンクラブ受付サイトのサーバー。B.LEAGUEチケットサイトはホットファクトリー、ファンクラブ受付サイトはききょう屋ソフトが、ぴあの発注を受けて構築したという。情報流出の原因になったのはJavaのWebアプリケーションフレームワーク「Apache Struts2」の脆弱性。これらのサイトがStruts2を使用していた。 同年3月10日、Struts2の脆弱性を情報処理推進機構（IPA）が公表した。ただぴあは当初、B.LEAG
「DROWN攻撃」の脆弱性が発覚、HTTPSサイトの33％に影響
攻撃を受ければ暗号を解除され、通信の内容を傍受される恐れがある。影響を受けるWebサイトには、日本の大手も含まれる。 インターネットの通信暗号化に使われるSSL/TLSプロトコルを使って通信を暗号化しているHTTPSサイトなどに深刻な脆弱性が発見された。研究チームはこの脆弱性を「DROWN」と命名し、3月1日に詳しい情報を公開。全HTTPSサイトの33％が影響を受けるとして、管理者に対応を急ぐよう呼び掛けている。 研究チームが専用サイトを通じて公開した情報によると、DROWN攻撃の脆弱性は、多くのサーバがTLSに移行しながら、設定ミスが原因で依然としてTLSの前身であるSSLv2もサポートしていることに起因する。 これまでは、SSLv2をサポートしているだけではセキュリティ問題が生じるとは考えられていなかったが、調査の結果、簡単に攻撃できてしまうことが判明し、サーバやクライアントが危険にさ
広告ブロック対抗サービスでマルウェア感染、超巧妙な手口で実行か
広告ブロック対抗サービスを展開しているアイルランドのPageFairは、同社のサービスが一時的にハッキングされ、Webサイト経由でユーザーにマルウェアをダウンロードさせていたことが分かったと発表した。英経済誌Economistは、この間にeconomist.comを閲覧したユーザーがマルウェアに感染した可能性があるとして注意を促した。 PageFairの発表によると、ハッキングは10月31日深夜（グリニッジ標準時）から83分間にわたって発生。PageFairの分析サービスを利用しているWebサイトに悪質なJavaScriptが仕込まれ、一部のユーザーに実行可能ファイルをダウンロードさせていたという。 攻撃者はPageFairを標的として非常に巧妙な手口のスピアフィッシング攻撃を仕掛け、重要な電子メールアカウントへのアクセスを確立し、パスワードをリセットして、同社が使っているContent
「line://msg/text/～ 」からのLINEメッセージ送信の仕様が危険なので注意
LINEにて、「line://msg/text/」で始まるURLが拡散されています。このURLは、「指定された文章を送信するためのURL」で、「LINEで送る」ボタンの中身として利用されているURLなのですが、このURLから送信に至るまでの画面遷移で、送信内容の確認画面が無い仕様のため、自分が何を送信するのかを確認できないまま送信してしまい、意図と反した投稿を行ってしまう危険性があります。 何を送信するのかが表示されないまま先に進む画面の途中で止める判断ができれば問題にはならないのですが、LINEのユーザー層と、実際送信してしまった人が多数見つかること、そして、「次こそ送信内容の確認画面が出るだろう」と考えて先に進む人（←以前の仕様では表示された）、などなどを考慮すると、今後悪用された場合に大きな危険を招きそうな仕様であると感じました。 今回ユーザーが意図せず送信してしまうのは「ずっと前か
［総論］不正ログインの多くはパスワードの漏洩が原因
誰もが使うパスワード。安直な文字列を使い回すのは危険だ。だが、長すぎると覚えられないし、複数用意するのはとても面倒。本特集では、“使える”パスワードの作り方、運用方法を解説する。 SNSやネットショッピング、ネットバンキング――。インターネットで人との会話を楽しんだり、ショッピングしたり、口座のお金を移動したりと、Webサイトでさまざまなことができる便利な世の中だ。これらのWebサービスを利用するには、サインイン（ログイン）するためのパスワードが必須となる。ネットサービスが増えていく中、こうしたパスワードを管理することは、より一層重要なものになってきている。 悪意のある第三者によってパスワードが盗み取られ、SNSなどが不正に利用されるケースは後を絶たない。昨年だけでも、さまざまなWebサービスで情報流出や金券の不正交換などの被害が発生している（図1）。
世界初の資格化を目指す、「脆弱性診断士」の取り組みが始まる
近年、広く使われているソフトウエアやWebサイトなどに相次いで脆弱性が見つかり、サイバー攻撃に悪用されている。このため、脆弱性の有無を診断して適切に対応できる技術者のニーズは高まる一方だ。 そこで、セキュリティ専門家の有志が、脆弱性診断を実施する技術者を「脆弱性診断士」と名付け、必要なスキルを明文化する取り組みを開始した。将来的には、脆弱性診断士の資格化も目指す。取り組みの第一弾が、2014年12月末に公開した「脆弱性診断士（Webアプリケーション）スキルマップ」である（図1）。 一般的に、脆弱性を診断する技術者には多岐にわたるスキルが要求される。ソフトウエアやネットワークに関する基本的な知識を備えているのはもちろん、脆弱性診断ツールの使用方法や、最新の攻撃手法などにも精通している必要がある。 だが、脆弱性診断に携わる技術者が保有すべきスキルについて、ベンダーなどの関係者の間でコンセンサス
Lenovo製品にプリインストールされているアドウェアSuperfishに関連する情報をまとめてみた。 - piyolog
2015年2月19日、Lenovo製品のPCの一部にプリインストールされているアドウェアSuperfishに深刻な問題が確認されたとして報道されました。ここでは関連情報をまとめます。 公式発表 2015年2月19日 LENOVO STATEMENT ON SUPERFISH (魚拓：当初発表・変更後) 2015年2月20日 Superfishに関するレノボの見解 (魚拓：当初発表・変更後) 2015年2月20日 SUPERFISHの脆弱性 (魚拓) 2015年2月21日 Updated Lenovo Statement on Superfish (魚拓) 2015年2月21日 Superfish に関するレノボからのお知らせ（更新）(魚拓) 見解内容 2015年1月以降Superfishのサーバー側作用により完全に無効となっており、この無効化は市場に出回っている全てのSuperfishが対
第1回 「被害者」なのに「加害者」に
2014年も様々な不正アクセス事件が発生した。中でも、2013年から引き続き多発しているのが「Webサイトの改ざん」だ。JPCERTコーディネーションセンター（JPCERT/CC）が定期的に公開している「インシデント報告対応レポート」によると、2014年第2四半期（4月1日～6月30日）に報告されたebサイト改ざんの件数は1000件を超えた（表1）。 目的は「ウイルス感染」 Webサイトの改ざんというと、Webページの「見た目」を変えることを思い浮かべるかもしれない。実際、いたずら目的でWebページの見た目を大きく変えたり、政治的なメッセージを表示させたりする改ざん事件は起きている。 しかし近年では、見た目を変えるような改ざんは少なくなっている。改ざんの多くは、WebサイトにアクセスしたユーザーのPCにウイルス（マルウエア）を感染させることを目的にしているためだ。 この場合、攻撃者はWeb
「SSL証明書無償配布」がもたらすWebの変革、企業ネットの管理にも影響
2015年の夏以降、Webアクセスの姿が大きく変わる可能性が出てきた。現在主に使われている「HTTP（HyperText Transfer Protocol）」の代わりに、SSL（Secure Sockets Layer）やTLS（Transport Layer Security）を用いて通信を暗号化する「HTTPS（HTTP over SSL/TLS）」を利用したWebサイトやサービスが一気に増えることが予想されるからだ。 なぜHTTPの代わりにHTTPSを使うWebサイトやサービスが増えるのか。それは、HTTPSを利用するために必要となる「SSLサーバー証明書」（以下SSL証明書）を誰でも無償かつ簡単に入手できるようになるからである。これまでは、年間数千円から数万円程度の料金をベンダーに支払ってSSL証明書を取得する必要があった。2015年夏以降、これがタダで“も”入手できるようになる
弊社ホームページ改ざんに関するお詫びとご報告 | gihyo.jp
弊社ホームページにおいて、2014年12月6日11時～14時のあいだ、第三者からの不正アクセスによりサイトが改ざんされていた事が判明いたしました。ご利用頂いておりますユーザの皆さまにおかれましてはご迷惑をお掛けいたしまして、深くお詫び申し上げます。 なお、現在は被害を受けたサーバは復旧作業を実施済みです。ご利用ユーザーの皆さまの個人情報流出等は、現在のところ確認されておりません。 被害対象サイト／コンテンツ URL：http://gihyo.jp 改ざん内容とその影響 サーバの中身を入れ替えられ、外部のサイトにリダイレクトされるように設定されていた。 リダイレクトされていたサイト（アクセスしないようご注意ください） www.koushin-lawfirm.net live.livelistingreport.com 現在把握している改ざんされていた可能性がある期間 2014年12月6日
国産セキュリティソフトを邪魔するマルウェア出現
ネットバンキングの不正送金に加担するトロイの木馬が、銀行サイトでセキュリティソフトの導入メッセージを妨害するという。 シマンテックは9月18日、ネットバンキングの不正送金に加担するマルウェアの「Trojan.Snifula」（別名VAWTRAK、Neverquestなど）が国産のセキュリティソフト導入を妨害する機能を搭載するようになったとブログで報告した。日本のネットバンキングユーザーに狙いを絞るサイバー犯罪者の手口がより巧妙化しているという。 同社によると、Trojan.Snifulaの亜種に含まれる最新の設定ファイルではJavaScriptを使って、Webブラウザがコンテンツをロードする際に、特定のWebページにある特定の画像ファイルを表示されせないようにする。画像ファイルは大手銀行のトップページに表示されるバナーで、ネットバンキングを安全に利用するために国産セキュリティソフトの使用を
ヤフーからCCCへのWeb閲覧履歴提供、オプトアウト申請フォーム公開
ヤフーは6月2日付けで、「Yahoo！JAPAN」のプライバシーポリシーを改定した。新ポリシーには、Yahoo！JAPANで「Tポイント」連携の手続きをしたユーザーについて、ヤフーが保有するWebページ閲覧履歴などをカルチュア・コンビニエンス・クラブ（CCC）に提供するなどの内容が追加されており、情報提供を希望しないユーザー向けに、オプトアウト申請フォームも用意した。 改定されたプライバシーポリシーには、ヤフーが保有するユーザーのWebページや広告閲覧履歴、顧客分析情報をCCCに提供すること、CCCはその情報を、個人を特定できる情報と切り分けた上で、顧客の傾向データの改善や広告効果の分析、ダイレクトメールによる案内などに活用すること――などが盛り込まれている。 情報提供を望まないユーザー向けに、オプトアウト申請フォームも用意した。Yahoo！JAPAN IDでログインすると、オプトアウト、
2014-02-24
不正ログイン防止のため、パスワードと登録情報のご確認をお願いします 弊社自身の調査により、はてなのサービスに対して外部から不正なログインが行われた可能性があることが判明しました。 ただし、弊社サーバーへの侵入によるアカウント情報の流出や、パスワードを機械的に推測してログインを試行するといった不審な行動は確認されておらず、他社サービスから流出または不正取得されたアカウント情報（IDとパスワードの組み合わせ）を流用された可能性が高いと考えています。 そこで、他社サービスと同一のID（メールアドレスまたはユーザー名）およびパスワードを使用しているユーザー様は、安全のため登録メールアドレスがご自身のものであるかを確認の上、早急にパスワードを変更してください。 それ以外のユーザー様も、下記にあるように登録情報等をご確認の上、より安全なパスワードと、正しく有効なメールアドレスを設定いただけるようお願い
47NEWS（よんななニュース）
高校生4人を逮捕、住宅を襲撃…女性の口ふさぎ「金があるのは分かっている」、包丁を見せて暴行し5千円奪う 女性の親族が通報「家の中めちゃくちゃに」 4人は地元の知人同士で16～18歳
Google Chromeにパソコンを盗聴器に変える脆弱性、---米メディアが報道
米GoogleのWebブラウザ－「Chrome」に、パソコンを盗聴器に変えてしまう脆弱性が見つかったと、複数の米メディア（InformationWeek、Gizmodoなど）が現地時間2014年1月22日に報じた。悪意のあるサイトは同脆弱性を利用することで、パソコンのマイクを起動し、パソコン周辺の音声を拾って記録できるという。 Chromeの脆弱性を最初に確認したイスラエルのWeb開発者、Tal Ater氏によると、ユーザーが不正サイトから離れても盗聴は継続され、Chromeが起動している限り、パソコンのすぐそばで行われる会話や通話が記録される可能性がある。 ユーザーがChromeの音声認識技術に対応したサイトを訪れた場合、サイトはマイクを使用する許可をユーザーに求める。ユーザーが承認すると、音声認識が有効になっていることを示すアイコンがタブに表れる。通常、ユーザーが音声認識を無効に切り替
なりすましによる不正アクセスのお知らせとお詫び - 株式会社セブンネットショッピング
株式会社セブンネットショッピング 代表取締役社長 鈴 木 康 弘 この度、弊社が運営する「セブンネットショッピング（http://www.7netshopping.jp/all/）」（以下、「本サイト」といいます）におきまして、外部からなりすましによる不正なアクセスがあり、第三者にお客様の一部の個人情報を不正に閲覧された可能性があることが判明いたしました。 本件不正アクセスに関する概要と対応について下記のとおりご報告いたしますとともに、お客様に対し、多大なるご迷惑およびご心配をお掛けする事態に至りましたことを深くお詫び申し上げます。 記 1.不正アクセスの概要 （1）経緯 弊社は、2013年6月以降、クレジットカード会社からクレジットカード情報の流出懸念について連絡があったことから、情報セキュリティ専門会社の協力のもと調査を行ってまいりました。 調査の結果、第三者が外部インターネットサービ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ログインでお困りの方
深刻な脆弱性が見つかったInternet Explorer（IE6～11）を巡り全国各地の社内がコントでカオス : 市況かぶ全力２階建
怪しくないサイトも危ない！ KADOKAWAのサイトで一時マルウェア感染の恐れ ネットユーザーはパッチ適用しっかりと、IPSの導入も
ネットを崩壊の瀬戸際に追い込んだ「史上最大のサイバー攻撃」が明るみに ～早急な対策が望まれるオープンリゾルバーDNS問題