電話後にメールを送ってくるフィッシング攻撃についてまとめてみた - piyolog
2023年3月30日、名刺管理サービスを提供するSansanは、同社になりすました不審な電話やメールが確認されているとして利用組織に対して注意を呼びかけました。その後、この注意喚起に関連して実際に被害に遭ったとみられる企業が名刺管理システムからの情報流出の公表を行っています。ここでは関連する情報をまとめます。 運営会社になりすました人物から電話後にフィッシングメール 不正アクセス被害を公表したのは川崎設備工業。名刺管理システム上に登録された名刺情報6万6214件が流出した。名刺情報には氏名、会社名、役職、会社住所、電話番号、メールアドレス等が含まれていたが、公表時点では流出した情報の悪用（営業メールや電話等の発生）は確認されていない。 不正アクセスは2月13日の同社従業員への電話連絡から始まった。電話をかけてきた人物は、Sansanの従業員になりすまし、川崎設備工業からその従業員に対して2
サイバー被害、全員に通知 個人情報漏洩で企業に義務 - 日本経済新聞
政府の個人情報保護委員会はサイバー攻撃で個人情報が漏洩した企業に対し、被害が発生した全員への通知を義務付ける。違反には最高で1億円の罰金を科し、悪質な場合は社名も公表する。2022年春にも実施する。対応を誤れば訴訟リスクも高まり、企業は厳密な対応が必要になる。東京商工リサーチによると12～19年に上場企業とその子会社で個人情報漏洩・紛失を公表した企業は372社で、事故数は685件あった。漏洩・
Amazonで発生した注文履歴の誤表示についてまとめてみた - piyolog
2019年9月26日にAmazon.co.jpの注文履歴で誤表示などの問題が発生しているとのSNS上の投稿が複数ありました。Amazon Japanも事象発生を認め調査中と取材に回答しています。ここでは関連する情報をまとめます。 Twitterへ投稿された事象 Amazon.co.jpで次の事象が発生していたとしてTwitterへ複数の投稿が寄せられていた。*1 Amazon.co.jpの一部の利用者で発生していた模様。（国外サイトで同事象の報告はない） piyokangoが確認した範囲ではTwitterでは9月26日6時頃から事象報告の投稿が始まっている。*2 PC向け、スマートフォン向け、公式アプリいずれでも問題の発生が投稿されている。 注文履歴で発生していた事象として履歴の誤表示と、システムエラーの2種類が報告されている。 （１）注文履歴の誤表示 自分以外の注文履歴の一覧が表示された
HTTPサイトのドメインを奪われてHSTSを有効化されたら - Qiita
はじめに 最近lovelive-anime.jpドメインが何者かによって移管され一時的にその者の手に渡った。もともとの管理者によってすでに取り戻されたが、攻撃者は一時的にこのドメインに対する全権を握った。この記事では、あくまでも思考実験として攻撃者が他人のHTTPサイトを運用しているドメインの全権を握ったときに、攻撃者がHSTS(HTTP Strict Transport Security)を有効にしてしまった場合どうなるかについて考える。まずはHSTSについて簡単に説明し、そしてその後で今回筆者が考えた攻撃について議論し、最後にまとめを述べる。 この記事を読んでわからないことや改善するべき点を見つけた場合は、気軽にコメントなどで指摘してほしい。 攻撃者によるHSTSの有効化 ここではHSTSに関する説明と、筆者が考える攻撃（？）について説明する。 HSTSとは HSTSとは、HTTPのレ
内蔵マイクの存在が判明した「Nest Secure」--グーグルは仕様の記載漏れと釈明
Googleのホームセキュリティシステム「Nest Secure」のハブ端末「Nest Guard」にはマイクが内蔵されていた。だがこのことはこれまで技術仕様に記載されておらず、Googleも明らかにしてこなかった。 マイクの存在が判明したのは、GoogleがNest Secureに音声アシスタント機能を搭載すると発表した米国時間2月4日のことだ。そのときまで、Nest Secureの技術仕様にマイクは記載されておらず、Googleがマイクの存在を公表したこともなかった。 Googleは、Business Insiderがいち早く報じた声明の中で、マイクに関する記載が抜けていたのはミスだったと釈明している。 「内蔵マイクの存在を秘密にするつもりは一切なく、技術仕様に記載すべきことだった。これはわれわれのミスだ。これまでにこのマイクがオンになったことはなく、ユーザーがこのオプションを自ら有効
「Google+」の終了が2019年8月から4月に繰り上げ 5250万人に影響の新たなバグ発見で - ITmedia エンタープライズ
米Googleは12月10日（現地時間）、ソーシャルサービス「Google+」の一般ユーザー向けサービスの終了時期を、当初発表した2019年8月から2019年4月に繰り上げると発表した。 Google+の11月のアップデートに、およそ5250万人の個人データに影響する可能性のある「Google+ API」のバグが含まれていたことが分かったためとしている。このバグは一般向けだけでなく、存続する予定の企業向けGoogle+にも影響を与えた。 このバグにより、ユーザーの個人情報（氏名、メールアドレス、年齢など。完全なリストはこちら）に、たとえ非公開設定にしていても、サードパーティー製アプリがアクセスできる状態になっていた。銀行口座情報、パスワード、国民識別番号などの詐欺やデータ窃盗に使われがちな情報にはアクセスできないという。 現在も調査中だが、今のところこのバグを使って個人情報にアクセスしたサ
「私はロボットではありません」選ぶ必要なし 新「reCAPTCHA」Googleが公開、ユーザーは何もしなくてOK
「私はロボットではありません」選ぶ必要なし 新「reCAPTCHA」Googleが公開、ユーザーは何もしなくてOK 人間とbotを識別するための新API「reCAPTCHA v3」を公開。リスク分析エンジンでユーザーのアクティビティを分析し、どれぐらい不審かをスコア化して示す。ゆがんだ文字を読み取るなどの操作は一切不要だ。 米Googleは10月29日、人間とbotを識別するための新API「reCAPTCHA v3」を公開したと発表した。従来のreCAPTCHAは、ゆがんだ文字を読み取ったり、チェックボックスにチェックを入れるなどユーザーによる操作が必要だったが、v3は操作が不要。リスク分析エンジンでユーザーのアクティビティを分析し、どれぐらい不審かをスコア化して示すことで、Webサイトオーナーが対策を講じられるようにした。 reCAPTCHA v1では、アクセスした全ユーザーに対して、ゆ
ＱＲコードにセキュリティー上の弱点 不正サイトに誘導も | NHKニュース
電子決済や広告などに広く利用されている「ＱＲコード」に、偽の情報を仕込むことができるセキュリティ上の弱点があることが、神戸大学のグループの研究でわかりました。この弱点を悪用すると、利用者を一定の割合で不正なサイトに誘導することも可能で、グループではセキュリティー対策の強化が必要だとしています。 このＱＲコードのセキュリティについて、神戸大学の森井昌克教授らのグループが検証したところ、コードを作成する際に不正な操作を加えると、本来の情報に加えて、偽の情報を仕込むことができることがわかったということです。 これはコードを読み取る際のエラーを修復する機能を悪用したもので、こうして作られたＱＲコードを読み取ると、多くの場合は本来のサイトに誘導されますが、100人に１人といった一定の割合で、別のサイトなどに誘導することができるということです。 このため、金融機関などにつながると偽装したＱＲコードが表
今流行りの投機実行脆弱性の影響を一切受けないDOOM実装が公開される
https://github.com/xoreaxeaxeax/movfuscator/tree/master/validation/doom このDOOMは条件分岐を一切使用していない。したがって今流行りの投機実行の脆弱性であるMeltdownやSpectreによる脆弱性は存在しない。 ちなみに、現代の性能のコンピューターで、1フレームの描画に7時間ほどかかるので、このDOOMで遊ぶには若干の忍耐力を要求される。しかし、脆弱性の完全な排除のためには若干のパフォーマンスの低下はやむを得ないところだろう。 このDOOM実装はオリジナルのDOOMのCコードに若干の変更を施して、M/o/Vfuscatorでコンパイルしたものだ。 https://github.com/xoreaxeaxeax/movfuscator M/o/Vfuscatorとは、IntelのMMUがチューリング完全であることを
複雑なパスワードを強制、でも破られやすいという現実
「今までのパスワード規則は実は失敗作だった」。2017年8月、米ウォール・ストリート・ジャーナルのオンライン版に衝撃的な記事が掲載された。告白の主は米国標準技術研究所（NIST）が発行するガイドライン「SP800-63」の作成者の1人。 SP800-63は米国連邦政府の認証に関するセキュリティ要求事項をまとめたガイドライン文書だ。OpenIDファウンデーション・ジャパンでSP800-63の翻訳を手掛けるメンバーの1人である、NRIセキュアテクノロジーズの勝原達也サイバーセキュリティ技術開発部セキュリティコンサルタントは「認証を包括的に扱ったおそらく唯一のガイドラインで、ECサイトや銀行、会員管理、業務システムの開発などで民間企業もよく参考にする」と話す。 かつてのSP800-63は「英大文字、小文字、数字、記号をすべて使う」「定期的に変更する」といった規則をWebサイトが利用者に課して、パ
脆弱性を攻撃される童話事例集（鶴見トイ） - カクヨム
童話の世界には脆弱性がいっぱい 鶴見トイ 近年、脆弱性（情報セキュリティ上の欠陥）を利用した、童話への悪意のあるサイバー攻撃が増加しています。今回はそれらの被害事例の紹介により注意喚起を行います。
「Emacs 25.3」が緊急リリース、悪意あるLispコードを実行する脆弱性を修正 | OSDN Magazine
テキストエディタGNU Emacsの開発チームは9月11日、最新版「GNU Emacs 25.3」を公開した。セキュリティ脆弱性を修正する緊急のリリースとしている。 Emacs 25.3は2016年10月に公開された25系の最新版。4月に公開された25.2に続くリリースとなる。 セキュリティ修正として、Enriched Textのx-displayデコードが無効になった。Enriched TextはフォーマットされたテキストファイルをWYSIWYGで編集できるマイナーモード。text/enrichedフォーマットで保存されたファイルでは自動的に有効になる。displayプロパティはプロパティのインスタンス化の一部として任意のLispフォームをサポートしており、x-displayのデコードにより悪意あるLispコードを実行できる可能性がある。 開発チームによると、この脆弱性はバージョン19.
STOP! パスワード使い回し!キャンペーン2018
□ パスワードの文字列は、長めにする（12文字以上を推奨） □ インターネットサービスで利用できる様々な文字種（大小英字、数字、記号）を組み合わせると、より強固になる □ 推測されやすい単語、生年月日、数字、キーボードの配列順などの単純な文字の並びやログインIDは避ける □ 他のサービスで使用しているパスワードは使用しない これまでは、英大文字・小文字、数字に加えて記号を混ぜ込むことが多々推奨されてきました。しかし、「アルファベットを数字や記号に置き換える」等の方法では、憶えやすさが損なわれたり（※後述のコラムを参照）、「p@ssword」（aをアットマーク「@」に置き換え）のような置き換えの場合、辞書攻撃であらかじめ推測されている恐れがあります。したがって、現在では、これまでの方法より数文字でも多くの文字を使うことが望ましいと考えられています。 例えば、8文字で英大小文字＋数字＋記号（9
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews
マイナンバーカードで本人確認、オフィスに入退室 NTT Comが導入へ - ITmedia NEWS
【高齢者のネット詐欺被害を撲滅しよう！】 自分のパスワードが漏えいしていないか、「Have I Been Pwned」で確認しよう 【被害事例に学ぶ、高齢者のためのデジタルリテラシー】 - INTERNET Watch
ホワイトテクノロジー株式会社のウェブサイトが404 Not Foundになった件への反応
投げ銭サービス「Osushi」、サービス開始するやいなやオモチャにされてしまう
Intel CPU に隠された必殺技「アクセラレーション・ブースト」が発見される
ネット史上初めての「KSKロールオーバー」が始まる、名前解決できなくなる前にDNSサーバーなど設定確認を！ 今年9月は特に注意 「Internet Weekショーケース in 名古屋」の発表から
