xzパッケージに仕込まれた3年がかりのバックドア、スケール直前に見つけたのはMicrosoftの開発者 | gihyo.jp
Linux Daily Topics xzパッケージに仕込まれた3年がかりのバックドア、スケール直前に見つけたのはMicrosoftの開発者 “アップストリームのxzリポジトリとxz tarballsはバックドア化されている（The upstream xz repository and the xz tarballs have been backdoored）”―2024年3月29日、Microsoftに所属する開発者 Andres Freundが「Openwall.com」メーリングリストに投稿したポストは世界中のオープンソース関係者に衝撃を与えた。 backdoor in upstream xz/liblzma leading to ssh server compromise -oss-security 主要なLinuxディストリビューションにはほぼ含まれているデータ圧縮プログラ
ウェブサイトでローカルフォントの「游ゴシック」はもう使えない｜Takehiko Ono
Mac と Windows に無償で付属してくる日本語フォントに「游ゴシック」があります。両環境で共通して利用できる希少な「日本語」のデバイスフォントであることから重宝され、ウェブサイトでもCSSのローカルフォント参照で利用されるケースがありました。 「サイトの書体に “游ゴシック” を適用させるCSS記述方法」のような記事は最近になっても大変多く、あたかもMac・Windowsの全てのブラウザで表示可能と錯覚してしまいがちなのですが、 結論から言うと Mac の Safari・Brave・Firefox（プライベートウィンドウ）ではもうローカルフォントとしての「游ゴシック」をウェブサイトの表示に使うことはできません。（Safariにおいては5年前の macOS Mojave 以降から使えなくなっているはず…。） フィンガープリントなぜそんな事態になっているかと言うと、最近のブラウザ界隈の
新MacBook Pro（M3）でも機密情報が漏えい 2020年以降のApple製品全てに脆弱性 米国チームが発表
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 米ジョージア工科大学などに所属する研究者らが発表した論文「iLeakage: Browser-based Timerless Speculative Execution Attacks on Apple Devices」は、Mac、iPad、iPhoneなどのApple製品に搭載のSafariを標的としたサイドチャネル攻撃に関する研究報告である。 この攻撃は、最近発売されたM3チップを搭載した新型MacBook Proでも成功し、ソフトウェアの更新状況に関わらず、Apple製品にとって依然として脅威であることを示した。 「iLeakage」
積水ハウスで個人情報3万件漏えいか 委託先・BIPROGYによるセキュリティ設定に不備
個人情報保護委員会への報告は済ませた。積水ハウスは今後「委託先の情報セキュリティに関する監督強化を行うとともに、個人情報の取り扱いの一層の厳格化に取り組む」としている。 事態が発覚したのは6日。外部からの不審なアクセスを検知したため、サーバを停止し、詳細を調べたところ、10日に漏えいの可能性と原因が分かったという。 関連記事 カプコン、最大35万件の個人情報が流出した恐れ 11月2日の不正アクセスで カプコンが、第三者からの不正アクセスで最大35万件の個人情報が流出した可能性があると発表。国内外の顧客情報や株主名簿などの情報が含まれるという。 沖縄のスーパーで個人情報など計6000件以上が流出した可能性 商品の予約情報も 沖縄県でスーパーマーケットを展開するリウボウストアは、オンラインストアを管理するサーバに不正アクセスを受け、個人情報が一部流出した可能性があると発表。うなぎやワインの店頭
名古屋港のランサム被害、約3日で復旧もログまで暗号化され感染経路はいまだ不明
ランサムウエア攻撃を受けてコンテナ搬出入作業の停止を余儀なくされた名古屋港。ログも全て暗号化され、感染経路をいまだに特定できていないことが分かった。復旧優先で2日後には作業再開に至ったが、証拠保全が全くできていなかった。重要なシステムにもかかわらず、セキュリティー専任者も不在だった。ひとまず収束した格好だが、緊急対応や対策の難しさが改めて浮き彫りとなった。 「プリンターが動き出し、ランサムウエアに感染しているという通告が勝手に印刷されてきたと聞いている。10枚やそこらではない、相当な数だったようだ」――。 2023年7月4日、名古屋港はサイバー攻撃の被害に見舞われた。冒頭の通告文の内容などから、ロシア系とみられる攻撃者集団「LockBit」による犯行と考えられている。標的となったのは港内に5つあるコンテナターミナルを一元的に管理する「名古屋港統一ターミナルシステム（NUTS）」。ランサムウ
【Amazon】２段階認証を設定したアカウントで不正アクセス被害の報告が急増（2023年9月12日）
2023年9月以降、Amazonアカウントの不正アクセス被害が急増しています。不正アクセス被害は2段階認証を設定しているアカウントでも報告されており、何らかの方法で2段階認証をすり抜け、ギフトカードなどを無断購入される被害が増えています。 ２段階認証を設定したアカウントで不正アクセス被害が報告 2023年9月以降、Amazonアカウントの不正アクセス被害が相次ぎ発生しており、SNSなどで「ギフトカードを購入された」「2段階認証を突破された」など、被害を報告する声が増えています。 また、2段階認証（2SV）を設定していたとするユーザーからも不正アクセス被害が報告されており、何らかの方法で2段階認証がすり抜けられてしまうことがあるようです。 Amazonのアカウント、不正利用されたー 夜中にギフトカード5,000円×20枚購入されて、速攻メールでどこかに送信されたらしく、即時クレカに請求が来て
日本の防衛機密に侵入？中国軍のハッカーとは 学ぶべき攻撃者の視点：朝日新聞デジタル
","naka5":"<!-- BFF501 PC記事下（中⑤企画）パーツ＝1541 -->","naka6":"<!-- BFF486 PC記事下（中⑥デジ編）パーツ＝8826 --><!-- /news/esi/ichikiji/c6/default.htm -->","naka6Sp":"<!-- BFF3053 SP記事下（中⑥デジ編）パーツ＝8826 -->","adcreative72":"<!-- BFF920 広告枠）ADCREATIVE-72 こんな特集も -->\n<!-- Ad BGN -->\n<!-- dfptag ＰＣ誘導枠５行 ★ここから -->\n<div class=\"p_infeed_list_wrapper\" id=\"p_infeed_list1\">\n <div class=\"p_infeed_list\">\n <div class=\"
10万件のChatGPTアカウントが闇市場に、どう盗んだのか誰が欲しがるのか
シンガポールのセキュリティー企業Group-IB（グループIB）は2023年6月中旬、人気の生成AI（人工知能）ChatGPTのアカウント（ユーザーIDやパスワード）10万件超がダークウェブの闇市場（アンダーグラウンドマーケット）で取引されていると発表した。ダークウェブとは犯罪目的の情報や違法コンテンツを扱うWeb空間。専用ソフトを使わないとアクセスできない。 それだけ大量のアカウントを一体どうやって盗んだのだろうか。またその多くは無料アカウントだと考えられる。一体、誰が何の目的で欲しがるのだろうか。 売り出されるアカウントは半年で10倍に Group-IBはダークウェブの闇市場やフォーラム（掲示板）などをリアルタイムで監視。新たなマルウエア（悪質なプログラム）や窃取された機密情報などを特定し、さらなる被害の発生を防ぐために役立てている。 同社はダークウェブの闇市場において、10万1000
【10分で確認】AWSでやりがちなセキュリティ脆弱性を生み出すアンチパターン集（随時追加・更新） - Qiita
AWSを使うなら見ておきたいチェック項目20選 AWSを実務で触られている方で「セキュリティ対策はばっちしだ💪」と言い切れる人はどれくらいいるでしょうか。特に創業間もないベンチャー企業や内製化直後のエンジニア組織の場合、サービスローンチや追加機能開発がビジネス上の最優先事項になってしまい、セキュリティ対策などの非機能要件のレビュー、設定などは後回しにされがちです。 そこで今回は、"時間がない人"でも注意したいセキュリティ脆弱性を生みやすい設定や設計の凡ミス集をまとめてみました。また、参考になりそうな記事も併せて紹介しています。 ご注意ください 筆者はAWSリソースに関するセキュリティの専門家ではありません。また本記事では、最低限の内容にとどめているためより詳細な内容は、公式ドキュメントや以下の資料をご覧ください。 1. IAM ポリシーの広すぎる権限 IAMポリシーに適切でない広い範囲の
iPhoneの安心／安全はもはや国民が自ら意見を述べて守るしかない――「モバイル・エコシステムに関する競争評価」の最終報告を受けて
iPhoneの安心／安全はもはや国民が自ら意見を述べて守るしかない――「モバイル・エコシステムに関する競争評価」の最終報告を受けて（1/4 ページ） 6月16日、官邸のWebサイトにデジタル市場競争会議で検討されていた「モバイル・エコシステムに関する競争評価」の最終報告（案）が掲載された。これを受けて日本政府は、iPhoneでApp Store以外の他社ストアからもアプリを入手できるように法律で義務付けることを法案化していく。 iPhoneの安全を脅かす法案 行動を起こす最後のチャンス これまで再三、指摘してきたiPhoneのセキュリティを著しく低下させる法案が、ついに立法に向けて本格的に動き出した。だが、まだ手遅れではない。 現在、政府は広く国民からの意見（パブリックコメント）を募集しており、その後で案を国会の審議にかける。 今の国会議員たちのITに関する知識や関心度に信頼を寄せていない
「IKEAの椅子に座るとPCの画面が真っ暗になる」という怪現象の理由が判明
エンジニアのFelix Häcker氏が「IKEAで購入した椅子に座ったり立ち上がったりすると、PCのモニターが突然真っ暗になる」という不思議な現象を報告しています。 Felix Häcker: "So folks, don't forget to chec…" - Mastodon https://mastodon.social/@haeckerfelix/110272427676278609 Häcker氏は数週間前から、PCの画面が数秒間突然真っ暗になる現象に悩まされていたとのこと。すべてのケーブルを交換したり、モニターのケーブルを別の端子に差し込んだりしましたが、何の変化もなかったこと。ただ1つだけ、IKEAで購入した「MARKUS」というモデルの椅子を使い始めてから不思議な現象が起こるようになったことから、このIKEAの椅子が関連しているのではないかとHäcker氏は考えました。
ジャネット・ジャクソンのヒット曲を再生すると古いHDDがクラッシュする脆弱性が話題に
ジャネット・ジャクソンが1989年にリリースしたヒット曲「Rhythm Nation」を再生すると、古いPCに搭載されているHDDが故障するという事態が報告されています。 Janet Jackson had the power to crash laptop computers - The Old New Thing https://devblogs.microsoft.com/oldnewthing/20220816-00/?p=106994 Old laptop hard drives will allegedly crash when exposed to Janet Jackson music | Ars Technica https://arstechnica.com/gadgets/2022/08/janet-jacksons-rhythm-nation-is-official
サイバー警察に家宅捜索されたときの備え方 ネット時代の警察リスクと対策｜lain
「全く身に覚えのない家宅捜索に入られた」ここ数年、そんな話をよく聞くようになりました。その多くがサイバー犯罪で疑われるケースです。 ネットで世界中が繋がった結果、遠く離れた赤の他人と、何らかの情報が紐付くことが起こり得るようになりました。 その中には当然犯罪者も含まれており、運悪く紐付いたために警察に疑われてしまう人がいるようです。 ネットの普及により、一般市民がとばっちりで警察に目を付けられるリスクは以前にも増して高まっています。 なぜ家宅捜索に入られたのかサイバー警察に誤って家宅捜索された人たちの記事をいくつかご紹介します。 在宅エンジニアが疑われた フリーランスのエンジニアが仕事で不正サイトを調査したところ、アクセス履歴から犯人と間違われた事件です。 真犯人がVPNで身元を隠していたためか、生IPでアクセスした彼が警察に疑われてしまったようです。おそらく警察は、真犯人がヘマして生IP
セキュリティーチェックシートという闇への防衛術 - Qiita
といった感じです。（この例、下で問題例として取り上げるため、実はおかしなチェック内容にしています。） "No.～基準"までがシートに記載されていてます。回答する発注先企業は"Yes,No,N/A"を3択で✅をつけ、備考欄にNoやN/Aの理由のほか、注記を記載できます。こういう項目が20～500項目あるExcelのシートに、発注先企業の回答担当は自社の状況、対応を確認しながら、ひたすら記載してゆくわけです。 知ってる人は知っているが、知らない人はぜんぜん知らない 最近参加したエンジニアがぞろぞろいらしたカンファレンスで、私が 「……あの セキュリティーチェックシート ってあるじゃないですが、あの 面倒なアレ です。アレにこの規格を採用するよう書いてあったら、各企業に規格の採用が広がるかもですね。あはは。」 と話したことがありました。その瞬間、 嫌なことを思い出したのか顔を曇らせたり苦笑いをす
情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
全市民46万人余の個人情報入ったUSBを紛失 兵庫 尼崎市が発表 | NHK
兵庫県尼崎市は、すべての市民46万人余りの個人情報が入ったUSBメモリーを紛失したと発表しました。住民税や生活保護の受給に関する情報などが含まれているということです。 尼崎市によりますとUSBメモリーは新型コロナの影響で生活に困窮した世帯に支給する給付金に関する給付業務を委託していた業者が、21日、紛失したということです。 USBメモリーには、46万人余りのすべての市民の、氏名や住所、生年月日などのほか、住民税を納めているかどうかや、生活保護の受給に関する情報などが含まれていました。 業者が市の許可を得ず、USBメモリーで個人情報を持ち運び、大阪・吹田市にあるコールセンターでのデータ移管作業を行ったということです。 作業の終了後もデータを消去せず、USBメモリーを持ったまま飲食店で酒を飲んだ際に、USBメモリーが入ったかばんを紛失したということです。 業者が22日、警察に届け出るとともに市
メタップス、不正アクセスやられ放題 最大46万件のカード番号やセキュリティコード流出か バックドアやSQLインジェクションの痕跡見つかる
クレジットカード決済基盤を提供するメタップスペイメント（東京都港区）は2月28日、同社のデータベースから最大で46万件のクレジットカード番号、有効期限、セキュリティコードなどが流出したと発表した。サーバへの不正ログイン、SQLインジェクション、バックドアの設置などさまざまな攻撃を受けていたことが調査で分かった。 流出した恐れがあるのは2021年8月2日から22年1月25日までに決済で使われたクレジットカードの番号、有効期限、セキュリティコードなど46万395件、21年5月6日から22年1月25日までに実行された決済情報593件、加盟店情報38件。「実際に流出した情報を特定できない」（メタップスペイメント）ため、数値は考えられる最大値という。 同社は21年12月14日に、サービスの提携先からクレジットカードの不正利用が懸念されているとの連絡を受け調査を開始。22年1月中に、外部からデータベー
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
[PDF]尼崎市USBメモリ―紛失事案に関する調査報告書 / 令和4年11月28日 尼崎市USBメモリ―紛失事案調査委員会
How to Fail at Threat Modeling
Is Operational Decision Manager v8.9.x or v8.10.x affected by CVE-2021-44228?