ホンダを標的に開発か、ランサムウエア「EKANS」解析で見えた新たな脅威
パソコンやサーバーのファイルを暗号化し、解除のための身代金を要求するランサムウエアが、特定の企業を狙う標的型に進化している。ホンダを襲ったとされるランサムウエアを解析した日本のセキュリティー技術者は工場を持つ製造業や医療機関などが狙われると警鐘を鳴らす。 サイバー攻撃でホンダの工場が停止 ホンダは2020年6月8日にサイバー攻撃を受け、世界的な大規模システム障害を起こした。国内外の工場で生産や出荷が一時止まったほか、本社などで働く従業員のパソコンが使えなくなるなどオフィス系のネットワークシステムにも影響が出た。この影響で生産を停止した米オハイオ州の乗用車工場やブラジルの二輪工場は現地時間の6月11日までに復旧した。 同社はサイバー攻撃を受けた事実は認めるものの、詳細については「セキュリティー上の観点から公表しない」（広報）とする。これに対し、セキュリティー専門家の間ではホンダはランサムウエ
平成のうちにやめたかった『ITの7つの無意味な習慣』 - Qiita
2019年の今年は「令和元年」であるわけだが、年初はまだ「平成31年」だったので、ギリギリまだ平成ともいえる。ところで、ITの世界にもいろいろな都市伝説や根拠は薄いけれどもかっちり守られているしきたり/習慣があり、少なくとも今の世界では通用しないため本当は改善したほうがいいのだが業界的にずるずるといってしまっていることが色々と存在する。年末の今、平成を思い返したときに元IT企業に勤めていた人間として「この習慣は平成のうちに終わらせておかねばならなかっただろうに！」と悔やまれることを7つ挙げてみた。 ※ちなみに、諸君のまわりでこれらをすべてやめられている人がいたならば本当に神である、というのが残念ながら今の現状だ。 【7位】 2要素認証でない「2段階認証」 これは令和元年にセブンペイサービスの停止でだいぶ話題になったので、認識されている諸君も多いかもしれない。話題になったのは大手企業のサービ
デジタルフォレンジックの専門家が伝える、情報持ち出しという「内部不正」が起こる理由――リクルートテクノロジーズ
2018年2月15日に大阪で開催された「＠ITセキュリティセミナー」で、「悪意と善意が交差する内部不正という名のサスペンス」という特別講演が行われた。この講演では、一般論としての「デジタルフォレンジック」をテーマにしており、社内で発生し得る“不正”に対する調査手法、そして「現場で発生する課題をどう解決するか」について実践的な内容が披露された。 登壇したリクルートテクノロジーズ ITソリューション統括部サイバーセキュリティエンジニアリング部 セキュリティーオペレーションセンター兼インシデントレスポンスグループの川崎隆哉氏は、法学部出身で“デジタルフォレンジック”の専門家だ。 「デジタルフォレンジック」の現場 「デジタルフォレンジック」とは、インシデントが発生した際にHDDやUSBメモリ、スマートフォンなどに残る「証拠」を収集し、検査、分析、報告を行うことを指す。デジタルフォレンジックが正しく
7&i CSIRT｜会員一覧｜CSIRT - 日本シーサート協議会
株式会社セブン＆アイ・ホールディングス (7&i HLDGS.) は、コンビニエンスストア・総合スーパー・食品スーパー・フードサービス・金融サービス・通信販売・IT / サービスなど、各事業を中心とした企業グループの企画・管理・運営を事業目的としている持株会社です。 7&i CSIRT は、7&i グループの CSIRT として設置され、グループ企業に対してサービスを提供しています。 7&i CSIRT は、昨今の情報セキュリティ脅威 (サイバーテロ・情報漏洩など) の増大に伴って、迅速かつ適切に対処するチームの必要性を強く認識する中、7&i の複数グループ企業 EC サイトを統合した新サイト (新サービス) 立上げをきっかけに、インシデント対応専門チームとして2015 年 10 月に設置されました。 7&i CSIRT は、7&i HLDGS. の組織内に専任要員を以て設置され、インシデ
「宅ふぁいる便」による約480万件の情報漏えい、一部の郵便番号も対象に
オージス総研は1月28日、同社が運営するファイル転送サービス「宅ふぁいる便」の一部サーバーに対する外部からの不正アクセスについて第3報を発表した。 これは、1月13日から1月23日の期間で、不正アクセスを受けた可能性があると発表したもので、23日午前10時50分ごろから現在（29日15時）に至るまでサービスを停止している。 1月25日に発表した第1報では、約480万件の利用者情報がデータ（メールアドレス、ログインパスワード、生年月日、氏名、性別、業種・職種、居住地となる都道府県）が外部に漏洩したことを確認。第2報では、質問一覧ページを設け、流出したログインパスワードが暗号化されていなかったこと、退会済でも過去に会員登録があれば漏えい対象になっている可能性があることなどが公表された。 第3報では、調査の過程で、特定期間で取得していた利用者情報などについても漏洩していることが判明。第1報に加え
相手を信用させる前例なき手口 コインチェック攻撃で明らかに | NHKニュース
前例のないサイバー攻撃の手口が明らかになりました。ことし１月、大手交換会社から巨額の仮想通貨が流出した事件で、犯人は半年余り前からこの会社の複数の社員と偽名で交流を重ね、信用させたうえでウイルスを仕込んだメールを送りつけていたことが関係者への取材でわかりました。 コインチェックの通信記録や社員のメールなどを分析した結果、犯人は事件の半年余り前からＳＮＳなどを通じてシステムの管理権限を持つコインチェックの技術者を複数割り出し、それぞれに対してネットを通じて偽名で交流を重ねていたことが関係者への取材でわかりました。 この間、不審な行動は一切行わず時間をかけて信用させたうえでウイルスを仕込んだメールを送った結果、これらの技術者も疑うことなくメールを開いてしまったということです。 ウイルス感染後、海外との不審な通信が急速に増えていることから、犯人は管理権限を奪って外部からシステムの内容を調べ、イン
「Edge」「IE」も「SHA-1」証明書の利用サイトをブロック
Microsoftは米国時間5月9日に公開した月例パッチで、「SHA-1」アルゴリズムで暗号化されたHTTPS証明書を利用しているサイトの読み込みを防ぐ「Edge」および「Internet Explorer（IE）」向け新ポリシーも公開した。 今回の動きにより、Microsoftのブラウザは、1月の安定版「Chrome 56」リリース時にSHA-1暗号化ハッシュ機能のサポートを打ち切ったChromeや、2月にSHA-1のサポートを廃止した「Firefox」と足並みを揃えることになる。 新ポリシーは、SHA-2証明書に移行していないサイトに影響する。 この数年間、ブラウザメーカーと認証局（CA）はSHA-1に対する不信感を募らせてきた。 GoogleとCWI Amsterdamの研究者が、2月にSHA-1衝突を実現するテクニックを発表し、SHA-1ハッシュが同じでコンテンツが異なる2つのPD
OAuth 2.0 全フローの図解と動画 - Qiita
RFC 6749 (The OAuth 2.0 Authorization Framework) で定義されている 4 つの認可フロー、および、リフレッシュトークンを用いてアクセストークンの再発行を受けるフローの図解及び動画です。動画は YouTube へのリンクとなっています。 English version: Diagrams And Movies Of All The OAuth 2.0 Flows 追記 (2019-07-02) 認可決定エンドポイントからクライアントに認可コードやアクセストークンを渡す方法については、別記事『OAuth 2.0 の認可レスポンスとリダイレクトに関する説明』で解説していますので、ご参照ください。 追記（2020-03-20） この記事の内容を含む、筆者本人による『OAuth & OIDC 入門編』解説動画を公開しました！ 1. 認可コードフロー RF
（短いビット長の）RSA暗号を解いてみる - clock-up-blog
なんでもセキュリティ Advent Calendar 2016 15日目の記事です。 RSA鍵を作るにあたっては鍵長を十分に長くする必要があります。（この「十分に」というのは時代とともに（マシンスペックが上がるにつれ）変わっていくでしょう） 最近だと 2048ビット = 256バイトの鍵を作るのが一般的でしょうか。 この長さが短いと割と簡単に公開鍵から秘密鍵が割り出せてしまいます。 今回やること 今回は長さが十分で無いRSA公開鍵から秘密鍵を割り出す実験をしてみます。 準備 秘密鍵の準備 64ビット = 8バイトという極めて短い長さの鍵を作ります。 $ openssl genrsa -out private.pem 64 Generating RSA private key, 64 bit long modulus .+++++++++++++++++++++++++++ .+++++++
オッス！オラ認証周りをまとめてみた - どんまいこのネタ帳
こんにちは。今日は趣向を変えて千代田区立図書館に来てみました。 www.library.chiyoda.tokyo.jp 図書館は普段あんまり行かないので、地元の図書館との違いに驚きでした。 都内の図書館って広いし綺麗ですね。 九段下から割と近い、置いている蔵書のジャンルが多し、席のジャンル多し、無線Wifiあり、電源あり、でかなり使いやすかったです。 静かで落ち着いた雰囲気で過ごしやすい気がしますが、無音なので独り言が多い人は気をつけてください。 さて、前回の記事について@okeee0315さんからこんなコメントを。 認証回りは大事、ADの前に認証と認可が必要かも / ADなにそれおいしくない(泣) - どんまいこのネタ帳 https://t.co/MEFI6o5qNA— okeee (@okeee0315) 2016年5月3日 ほほう。ADはまだ美味しくなかったので、教えに従い認証周り
IoT時代において重要性が増すデバイスのセキュリティ
本稿ではOWASPコミュニティから公開されているOWASP IoT Top 10をご紹介したいと思います。2014年に公開されたものですが、ウェブサービス（OWASP Top 10）やモバイル（OWASP Mobile Top 10）のセキュリティと並び重要なものとして、注意すべき脆弱性がまとまっています。 今後、“モノのインターネット”（Internet of Things／以降IoT）を活用する動きはますます発展すると考えられ、各デバイスにおけるセキュリティを考えることのみならず、ネットワークやクラウドとの連携など俯瞰的な視野で構築することの重要性は増していきます。セキュリティ初学者のみならず、多様な経験やバックグラウンドを持つ方でも、基礎も含めて見直していただくことでIoTにおけるセキュリティに関する気づきがあることでしょう。 OWASP IoT Top 10 OWASP Top 1
バグハンターの哀しみ
Mercari JPのモノリスサービスをKubernetesに移行した話 PHP Conference 2022 9/24Shin Ohno
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
注意点
「ビジネスメール詐欺に関する実態調査 2018」を発表 | トレンドマイクロ
JJUG CCC 2018 Spring 『情報処理安全確保支援士とエンジニア』
コインチェック、顧客の資産「返せない恐れ」 - 日本経済新聞
システムメンテナンスツール「CCleaner」が改竄の被害、ユーザー情報を外部送信／Windows向け32bit版「CCleaner」v5.33にマルウェアが混入。227万人に影響
Announcing the first SHA1 collision
人間とボットを「ワンクリック」で判別できるグーグルの新技術
API提供におけるOAuthの役割 #apijp
