見分けが不可能な偽サイトがGoogle検索最上位に堂々と表示されてしまう、「i」をURLに含む全てのサイトが信用できなくなる極悪手法
Googleは独自のルールに従って検索結果の表示順位を決めていますが、Googleの広告枠を購入すれば任意のウェブサイトを検索結果の最上部に表示することができます。この広告枠を悪用して人気画像処理ソフト「GIMP」の公式サイトになりすました偽サイトが検索結果の最上部に表示されてしまう事態が発生しました。偽サイトはドメインの見た目までソックリで、インターネットに慣れている人でも見分けることは困難となっています。 Dangerous Google Ad Disguising Itself as www.gimp.org : GIMP https://www.reddit.com/r/GIMP/comments/ygbr4o/dangerous_google_ad_disguising_itself_as/ Dangerous Google Ad Disguising Itself as www
プロジェクト管理ツール「Trello」で運転免許証など個人情報流出 閲覧範囲の設定ミスが原因か
Trelloは豪Atlassianが運営するプロジェクト管理ツール。付せんのようなユーザーインタフェースで簡単にToDoやプロジェクトの進行状況を管理できるのが特徴。米Fog Creek Softwareが2011年に立ち上げ、14年に企業としてスピンアウト。Atlassianが17年2月に買収した。 Atlassianはヘルプページで「公開したボードはインターネット上の誰にでも表示され、Googleなどの検索エンジンに表示される。リンクを知っているすべての人が、Trelloアカウントを持っているかどうかにかかわらず、ボードを表示できる」と記載している。 関連記事 名刺SNS「Eight」で情報機関員などの本名が閲覧できる状態に 非公開にする方法は 治安や防衛、情報収集活動に関わる人物の中でも、Sansanの名刺SNS「Eight」を利用している人の一部の所属と本名がGoogle検索で誰で
Parlerの投稿がひどすぎて削除される前にハッカーが完全保存。メタタグで議事堂占拠犯がゴロゴロ逮捕
Parlerの投稿がひどすぎて削除される前にハッカーが完全保存。メタタグで議事堂占拠犯がゴロゴロ逮捕2021.01.14 19:0042,344 Dell Cameron & Dhruv Mehrotra - Gizmodo US ［原文］ （ satomi ） Parlerがゆるゆるなのは検閲だけじゃなかった…！ スカスカの検閲ポリシーを掲げ、SNS難民のトランプ支持者を掃除機のように吸い上げていた正体不明のSNS｢Parler｣。実は利用者情報を守るセキュリティのほうもだいぶスカスカだったようです。こんなものができちゃいましたよ。 米国会議事堂占拠後にも暴力・デマ拡散が鳴りやまず、Google、Appleに続いてAmazonにまで削除されてしまったParlerですが、消される前にハッカーの@donk_enbyさん（女性）が全投稿のダウンロードを99.9%コンプリートしていたんです！ そ
Firefox Monitor
Find out if your personal information has been compromisedStay safe with privacy tools from the makers of Firefox that protect you from hackers and companies that publish and sell your personal information. We’ll alert you of any known data breaches, find and remove your exposed info and continually watch for new exposures. Email addressCheck for breaches Why use Firefox Monitor?Identifying an
Evernoteがプライバシーポリシーを変更へ--一部の社員がコンテンツを閲覧可能に
Evernoteが今週、プライバシーポリシーを更新する予定であることをひっそりと発表した。サービスを向上するためという名目で、Evernoteの社員の一部がユーザーのコンテンツにアクセスし、内容を確認することを可能にするものだ。 同社は「プライバシーポリシーの更新に関するお知らせ」の中で、ノートを含むユーザーのデータをどのように扱うかを説明した。また、今回の更新は「弊社の機械学習テクノロジーが正しく機能していることを確認することが目的」だとしている。 Evernoteの「機械学習テクノロジー」には、自然言語による検索など、人工知能（AI）的な機能が搭載されているようだ。 今回のプライバシーポリシーでは、ユーザーのデータにアクセスできる一部のEvernote社員に対し、「身元調査を行ったうえで、最低でも年に一度（中略）セキュリティ・プライバシー研修を実施」するという条項が追加されている。 ユ
マネーフォワード、住信SBIネット銀行提供のAPIとの公式連携を開始 ～より利便性が高く、より強固なセキュリティレベルを実現～
HOMEプレスリリースマネーフォワード、住信SBIネット銀行提供のAPIとの公式連携を開始 ～より利便性が高く、より強固なセキュリティレベルを実現～ 2016-03-25 マネーフォワード、住信SBIネット銀行提供のAPIとの公式連携を開始 ～より利便性が高く、より強固なセキュリティレベルを実現～ お金のプラットフォームを提供する株式会社マネーフォワード（本社：東京都港区、代表取締役社長CEO ：辻庸介、以下「当社」）は、個人向け自動家計簿・資産管理サービス「マネーフォワード」シリーズ、ビジネス向けクラウドサービス「MFクラウドシリーズ」、そして住信SBIネット銀行株式会社(本社：東京都港区、代表取締役社長：円山法昭、以下「住信SBIネット銀行」)のお客様に向けた「マネーフォワードfor住信SBIネット銀行」において、住信SBIネット銀行が提供するAPIとの公式連携を開始したことをお知らせ
オープンソースソフトウェアの老舗サイト「SourceForge」はいかにして堕ちていったのか
By Hugh Gallagher オープンソースソフトウェアの開発・ダウンロードサイトとして老舗の「SourceForge」が、ソフトウェア開発者から三行半を突きつけられるという事態に陥っています。「老舗サイトは、どのようにして堕ちたのか？」をまとめるとこんな感じです。 Black “mirror”: SourceForge has now taken over Nmap audit tool project [Updated] | Ars Technica http://arstechnica.com/information-technology/2015/06/black-mirror-sourceforge-has-now-siezed-nmap-audit-tool-project/ SourceForge grabs GIMP for Windows’ account, wra
2014-06-20
はてなへのリスト型アカウントハッキングと思われる不正ログインについてのご報告と、パスワード変更のお願い 昨日6月19日（木）、はてなアカウントにおいて、ご登録ユーザーご本人以外の第三者による不正なログインが発生したことを確認しました。同日、疑わしいIPアドレスからのアクセスを遮断しました。このお知らせは本告知と並行して、全ユーザー様にも現在、メール送信しております。 前回告知した不正ログインと同様に、他社サービスから流出または不正取得されたアカウント情報（IDとパスワードの組み合わせ）を流用された「リスト型アカウントハッキング（リスト型攻撃）」である可能性が高いと考えています。 参考資料：「リスト型アカウントハッキングによる不正ログインへの対応方策について」（総務省） http://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000063.h
「楽天ダウンロード」で身に覚えのない「ドラクエX」購入被害 楽天は情報流出を否定
「楽天ダウンロード」で、身に覚えがないのに「ドラクエX」がダウンロード購入されていたというユーザーからの報告が相次いでいる。楽天は情報流出を否定し、被害にあったユーザーに対して、カード会社に連絡するよう案内している。 PCソフトなどのダウンロード販売サービス「楽天ダウンロード」で、身に覚えがないのに、ゲーム「ドラゴンクエストX」がダウンロード購入されていたというユーザーからの報告が相次いでいる。楽天は、他社から流出したパスワードなどを使った不正購入とみており、被害にあったユーザーに対して、カード会社に連絡するよう案内している。 楽天によると、被害に関する問い合わせが届き始めたのは昨年秋ごろから。被害の件数は明らかにしていない。 ユーザーからの被害報告によると、身に覚えがないのに、「【楽天ダウンロード】購入確認のご確認」というメールが届き、ドラクエXがダウンロード購入されていたという。複数本
mixi脆弱性報告制度：評価対象外になったもの
WEB系の情報セキュリティ関連の学習メモです。メモなので他情報のポインタだけ、とかの卑怯な記事もあります。 ※2020.9 注記:本ブログの解説記事は内容が古くなっております。OWASP ZAPなどのソフトウェアの解説は現行バージョンの仕様から乖離している可能性があります。 mixi脆弱性報告制度で報告した脆弱性のうち、報告したけど評価対象外になったものをまとめます。 報告したけど評価対象外だった脆弱性 1.ショッパーズアイ コードインジェクション 報告日：2014年3月31日 評価結果連絡：2014年4月8日 弊社において既知の脆弱性であると判断、よって脆弱性報告制度の対象外 ※追記：この脆弱性は現在は対応済みです。mixiさんに問い合わせて脆弱性対応済みであることを確認してから記事を公開しました。 ※2014.4.16 23:00 本記事の反響がやたら大きくなってしまったのでコメントを
緊急時の個人メールへのアクセス、ＭＳが正当性を主張
ニューヨーク（ＣＮＮＭｏｎｅｙ） 米マイクロソフトが機密情報の漏えいを阻止するために、あるブロガーが使用していた「ホットメール」のアカウントにアクセスしたことが２２日までに分かった。同社が今週、連邦裁判所に提出した文書で明らかになった。マイクロソフトは正当な決断だったとしている。 米連邦捜査局（ＦＢＩ）によると、マイクロソフトは２０１２年、独自ソフトウエアのソースコードを元従業員が匿名のブロガーに漏らしたことを突き止めた。このソースコードがハッカーたちに利用されることを恐れたマイクロソフトは、ブロガーのアカウントにアクセスし、「ウィンドウズ・ライブ」上のメールやインスタントメッセージを詳しく調べた。その結果、レバノンを拠点とするマイクロソフトの元従業員アレックス・キブカロ容疑者が今月１９日に逮捕された。 マイクロソフトのサービス利用規約には、ホットメールなどの通信サービスの利用者は、緊急時
サービス暗号化の優等生はGoogleとDropbox、Amazonは要注意──EFF調べ
デジタル市民権団体の電子フロンティア財団（EFF）は11月20日（現地時間）、米IT企業大手のサービスの暗号化状況を一覧できるリストを公開した。 米国家安全保障局（NSA）による大手IT企業のユーザーデータへの無断アクセスが報じられる中、企業がユーザーを守るためにどのような対策をとっているかを確認することが目的。 リストの項目は、左からデータセンター間のリンク、HTTPSのサポート、HTTP Strict Transport Security（HSTS）のサポート、forward secrecy（PFSとも呼ばれる）の採用、STARTTLSのサポート。 現時点ですべて対応しているのはGoogle、Dropbox、Dropboxの競合のSpiderOak、ブロードバンドISPのSonic.netの4社のみ。VerizonとAT&Tという米通信キャリア1位と2位はいずれも対応状況を明らかにして
【緊急警報!!】ロリポップとGMOのinterQのWordPressが軒並み乗っ取られてます
さきほどWordPressフォーラム見てましたら、ぞっとするようなトピが立ちました。 サイト改ざん？ http://ja.forums.wordpress.org/topic/24503 サイトが急に文字化けになり、困っております；； Hacked by Krad Xinと黒の上部ツールバーにあり、サイトが改ざんされてしまったのでしょうか？ ハッカーの声明リストを見ると、日本のサーバで乗っ取った宣言のがずらり これはほんの一部です。おそらく数千、数万の被害が。 ※追記 DN乗っ取りでなければ数百〜千単位で済むかもしれないですが・・ただ攻撃は28日深夜から29日朝にかけても続き、被害は増大しています。 8/29 11時のリリースだと4802件だそうです。 くれぐれもリストにあるところは見に行かないように・・・感染してしまう可能性があります!! でもってドメインを検索して見ると、ほとんどがロリ
Googleグループがあまりにも情報ダダ漏れ状態で失神した - Hagex-day info
ゲスッ子Hagexも今回は「ためいきロ・カ・ビ・リー」を思わず熱唱しました。 ためいき♪ ロカビリー♪ 心を乱す南風♪♪ よくわからない導入になってしまいましたが、みなさんは、Googleグループというサービスをご存じでしょうか？ その名の通り、Googleが運営しているサービスで、メーリングリスト的なサービスを簡単に始めることができます。手軽に利用できる反面大きな問題もあり、なんと初期設定では「投稿されたメールがすべて第三者でも見られてしまう」のです。 先日、官公庁や病院がGoogleグループを利用し、情報がダダ漏れ状態なのを読売新聞にスッパ抜かれ、ニュースになりました。 ・内部メール誰でも閲覧「グーグルグループ」利用（読売新聞） そして、昨日はECサイトがGoogleグループを利用し、顧客情報が漏れているという指摘のエントリーが注目されました ・EC サイトの使用を即刻辞めろ！！！（s
内部メール誰でも閲覧「グーグルグループ」利用 : ニュース : ネット＆デジタル : YOMIURI ONLINE（読売新聞）
インターネット上でメールを共有できる米グーグルの無料サービス「グーグルグループ」で、個人情報や中央官庁の内部情報など少なくとも６０００件以上が、誰でも閲覧できる状態になっていることが分かった。 確認できただけで４省庁の職員が業務に関するメールを公開しており、このうち環境省の幹部らは、今年１月に合意された国際条約の交渉過程を流出させていた。他国との会談内容も明かしており、同省は「セキュリティー意識が甘かった」としている。 グーグルグループは、登録者の間で同時にメールを配信できるサービス。ただ、初期設定のままだと閲覧制限がかからないため、気づかないまま情報を誰でも見られる状態にしているケースが多いとみられる。 読売新聞が調べたところ、全国の七つの医療機関や介護施設のメールで３００人以上の病状が掲載されたカルテなどが公開状態になっていた。このほか、高校生の健康診断や中学生の家庭環境、政党の支持者
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
個人情報流出の出会い系アプリ「omiai」、運営会社の問い合わせフォームから更に個人情報流出 : 市況かぶ全力２階建
ブラウザー「Smooz」がサービス終了、同じ運営元の「在庫速報.com」もアクセス不能に？【やじうまWatch】
TechCrunch | Startup and Technology News
「Amazon Alexa」対応のスマートスピーカーによる残高照会・入出金明細照会の提供開始について(1/2) ： 三井住友銀行
慎重に扱うべきコンテンツに関する警告
