滅びてほしい認証系の実装の話
こんにちは、富士榮です。 ちょっと前に某所でダメダメな認証系の技術実装ってなんだろうねぇ、、という話をしていたことをXで呟いたところ、色々とご意見を頂けましたのでまとめて書いておきます。 考えていると結局のところ、サービス提供側が意図していることとは全然違うことが起きている気がするので、この辺はしっかり考えて実装したいところですね。（実装ミスは問題外として） カテゴリ滅びてほしいもの実装側がやりたいこと利用者が感じること実際に起きていること代替手法認証CAPTCHAbot避けぐにゃぐにゃ文字が読めない バイクと自転車の違いとは？ユーザの離脱、カゴ落ちパスキーの利用 新しいタイプのCAPTCHA（通常は画面に出ない） リスクベース認証との組み合わせによる抑制認証パスワード誰でも使える認証手段の用意忘れる。複雑なパスワードをそれぞれのサービス毎に管理するのは無理パスワードの使い回し。パスワード
2024年4月5日、江崎グリコは基幹システムの切り替え後にシステム障害が発生し、同社や販売委託を受けている一部の冷蔵食品の出荷に影響が生じていると公表しました。ここでは関連する情報をまとめます。 障害後緊急対応するも在庫数合わず業務停止 今回システム障害が起きたのは江崎グリコの基幹システムで2024年4月3日の新システムへの移行に伴い発生した。物流、販売、会計などを一元管理するERPパッケージ SAP社製「SAP S/4HANA」で構築されており、「顧客への継続的価値創出を可能にするバリューチェーン構築と経営の迅速な意思決定を目的とした、調達・生産・物流・ファイナンスなどの情報を統合する基幹システム」と同社では説明している。障害原因の詳細は同社から開示されてはいないが、システム障害の問題個所の特定は済んでいる。なおサイバー攻撃によるものではないと取材に答えている。*1 システム障害の影響に
オンライン詐欺は、インターネットを通じて世界中の人々を標的とする社会全体の脅威です。 詐欺は、多くの場合に国境を越えて行われ、自動化やその他のあらゆる手法を使って、意図的に私たちの検出を回避しようとする、悪意のある人々による仕業です。金銭を目的とし、詐欺をはたらく者が、様々なサービスやウェブサイト上で、広告と投稿の双方を活用したり、プラットフォーム間を移動したりと、人を欺くために常に新たな方法を編み出し続けている、敵対的な状況です。 Metaは、プラットフォーム上における安全を守るため、長年にわたり大規模な投資を行っており、2016年以降、チームと技術に200億ドル以上を投資してきました。これには詐欺対策も含まれ、プラットフォーム上の利用者を詐欺から守るための多面的な対策を講じています。 これには、弊社プラットフォームのすべてにおいて、この種の行為を禁じるポリシーやシステム、利用者が自身を
“消えない広告” ×マークが押せません!? | NHK
スマホを使っていて、イラッと感じること、ありませんか。 「×マークが小さくて、消そうとしたら、意図せず広告に触れてしまった」 「×マークを押そうとしたら、急に広告が動き、誤って広告サイトに飛んでしまった」 ウェブでの不快なことを聞いたある調査では、「広告を誤って押してしまったり、押しそうになった」と答えた人が、最も多いという結果でした。 実は、これ、「ダークパターン」と呼ばれ、世界で問題になっています。 （デジタルでだまされない取材班 芋野達郎） 押す気はないのに、広告を… マーケティングのリサーチ会社「クロス・マーケティング」が、20代から60代の1100人に、ウェブサイトやアプリを利用している際に感じる不快なことを、複数回答でたずねました。 すると、最も多かったのは『広告が表示され、押す気はないのに誤って押してしまった（押しそうになった）』で、29.5％、およそ3割にのぼりました。 続
Intro CSRF という古の攻撃がある。この攻撃を「古(いにしえ)」のものにすることができたプラットフォームの進化の背景を、「Cookie が SameSite Lax by Default になったからだ」という解説を見ることがある。 確かに、現実的にそれによって攻撃の成立は難しくなり、救われているサービスもある。しかし、それはプラットフォームが用意した対策の本質から言うと、解釈が少しずれていると言えるだろう。 今回は、「CSRF がどうして成立していたのか」を振り返ることで、本当にプラットフォームに足りていなかったものと、それを補っていった経緯、本当にすべき対策は何であるかを解説していく。 結果として見えてくるのは、今サービスを実装する上での「ベース」(not ベスト)となるプラクティスだと筆者は考えている。 CSRF 成立の条件 例えば、攻撃者が用意した attack.examp
今時のアプリ開発において、コンテナは避けて通れないものになっています。そして数多くあるコンテナ実行環境の中でも、デファクトスタンダードと言えるのがDockerです。そんなDockerのイメージですが、皆さんは正しくビルドできていますか? そのコンテナは無駄に太っていませんか? 効率よく最短時間でビルドできていますか? セキュリティは大丈夫ですか? 今回はDockerfileの書き方をテーマに、「今さら聞けない」Docker入門をお届けします。
偽造マイナカードで携帯機種変→225万円のロレックス買われた！「被害は雪だるま式に」市議が警鐘鳴らす - Smart FLASH/スマフラ[光文社週刊誌]
偽造マイナカードで携帯機種変→225万円のロレックス買われた！「被害は雪だるま式に」市議が警鐘鳴らす 社会・政治 投稿日：2024.05.06 15:59FLASH編集部 ゴールデンウィークも後半に突入する5月2日夜23時30分、「X」に投稿されたポストが注目を集めた。 《【犯罪に要注意】本日、私が巻き込まれた犯罪について知っていただき、皆様もご注意いただきますことを切に願います。》 投稿はその後、偽造されたマイナンバーカードを身分証にされ、ソフトバンクの携帯を勝手に機種変され、225万円のロレックスの腕時計を購入されるまでの被害の訴えが続く。インプレッション数は260万超。被害にあったのは、大阪府八尾市の松田のりゆき市議だ。 本人に直接、具体的な被害を聞いてみた。 「被害にあったのは、4月30日の15時ころ。外出中に携帯の電波が切れて、どうしようもなくなったので、19時ころ、ソフトバンク
![偽造マイナカードで携帯機種変→225万円のロレックス買われた！「被害は雪だるま式に」市議が警鐘鳴らす - Smart FLASH/スマフラ[光文社週刊誌]](https://cdn-ak-scissors.b.st-hatena.com/image/square/57aaa940ece94aec00f8ac27f2c4180e847193d2/height=288;version=1;width=512/https%3A%2F%2Fdata.smart-flash.jp%2Fwp-content%2Fuploads%2F2024%2F05%2F06155046%2Fmaina_1_thumb_jiji.jpg)
今までで最もインパクトのあるGPTsが完成しました。 その名も、「GAS Interpreter」です。 このGPTは名前の通り、Code Interpreter のように Google Apps Script コードを生成し、その実行までを行います。 他者に使ってもらうものではなく、自分専用のプライベートGPTです。 人によっては、Code Interpreter よりも便利です。なぜかというと、インターネットアクセスができることに加えて、GAS の便利で豊富なライブラリやリソースが活用できるためです。 例を示します。 GAS Interpreter の可能性以下に示す、いくつかの業務フローの実例をGAS Interpreterで行い、業務活用への可能性を示します。 今日の予定を聞きます今日の予定を教えて下さい 正確に今日の予定を教えてくれました。 会議参加者の相手に連絡したいので、その
「Twitter.com」という文字列を入力したはずなのに、Xにポストした瞬間、自動的にその文字列が「X.com」に変換されてしまう――トラブル続きのXで今度はそんな現象が発生し、詐欺に利用されかねないとして一部のユーザーが警戒を呼びかけた。問題は間もなく解消されたものの、Xの混乱ぶりにあきれる声や批判の声が飛び交っている。 米メディアのMashableやKrebs on Securityによると、自動変換はiOS向けのXで4月8日（米国時間）に始まった。この問題は「Twitter.com」が「X.com」に置き換わるだけにとどまらなかった。 例えば「space-twitter.com」というリンクをポストすると、末尾の「twitter.com」の部分の文字列だけが勝手に「x.com」に置き換えられて、Xの画面では「space-x.com」と表示される。一方で、実際のリンク先は変わらないま
以下の文章は、コリイ・ドクトロウの「Google reneged on the monopolistic bargain」という記事を翻訳したものである。 Pluralistic 驚くべきことに、かつてAltavistaやYahooをふっと飛ばし、魔法の検索ツールで世界を驚かせたGoogleが、突如クソの山になってしまった。 Googleの検索結果はひどいものだ。ページの上部はスパム、詐欺、広告だらけだ。始末に終えないのは、その広告も詐欺だらけなのだ。時には、資金力のある敵対者がGoogleを出し抜いて大金を稼ごうと大掛かりな詐欺が試みることもある。 https://www.nbcnews.com/tech/tech-news/phone-numbers-airlines-listed-google-directed-scammers-rcna94766 しかし通常、こうした詐欺を働くのは
![かくしてGoogleはスパマーに敗北した | p2ptk[.]org](https://cdn-ak-scissors.b.st-hatena.com/image/square/a3e1fdf42c7dd4fc729644f9cd286ef877f95066/height=288;version=1;width=512/https%3A%2F%2Fp2ptk.org%2Fwp-content%2Fuploads%2F2024%2F04%2Fgoog-sleeping-watchdog.jpg)
総務省は、今般、令和4年10月に公表した「クラウドサービス利用・提供における適切な設定のためのガイドライン」の内容を、わかりやすく解説するために「クラウドの設定ミス対策ガイドブック」を策定いたしました。 総務省では、クラウドサービス利用・提供における適切な設定の促進を図り、安全安心なクラウドサービスの利活用を推進するため、クラウドサービスの提供者・利用者双方が設定ミスを起こさないために講ずべき対策や、対策を実施する上でのベストプラクティスについてとりまとめた「クラウドサービス利用・提供における適切な設定のためのガイドライン」を、令和4年10月に策定・公表しました。 今般、クラウドサービスを利用する事業者において、情報の流失のおそれに至る事案が引き続き発生している中で、本ガイドラインの活用促進を図るため、ガイドラインの内容をわかりやすく解説した「クラウドの設定ミス対策ガイドブック」を策定しま
英語の「Authentication」を整理する ここからは先ほどの分類で言うところの「ユーザ認証」としての「認証」、つまり英語の「Authentication」に該当する「認証」について、さらに整理を進めていきます。 先ほど、「ユーザ認証」を「システムを利用しようとしているユーザを、システムに登録済みのユーザかどうか識別し、ユーザが主張する身元を検証するプロセス」と説明しました。「ユーザの識別」と「身元の検証」はユーザ認証に欠かせませんが、実際は他にも「ユーザの有効／無効状態の確認」や「検証に成功した場合の身元の保証（アクセストークンの発行等）」などの処理も一般的にユーザ認証のプロセスには含まれます。 ここで冒頭の「○○認証」を振り返りましょう。パスワード認証、SMS認証、指紋認証、顔認証は実はここで言うユーザ認証には該当せず、ユーザ認証中の一処理である「身元の検証」を担っていることがお
はじめに ◆この記事は何？ IPA高度資格「情報処理安全確保支援士」のシラバスに掲載されている用語の備忘録です ◆対象は？ 情報処理安全確保支援士の試験勉強をされる方 ◆この記事のねらい 試験範囲の用語の階層を整理します 試験勉強の一助となれば幸いです ◆この記事について シラバスの用語を参考書等を読みながら自分なりに整理した私の暗記用のノートです 試験に向けて高頻度で更新しています ご助言、誤り等あればご指摘いただけると幸いです 試験範囲全体 試験範囲の分解 暗号 認証 ネットワークセキュリティ データベースセキュリティ クライアントセキュリティ httpセキュリティ メールセキュリティ 攻撃と対策 注目技術 ※参考文献の目次をベースに、試験範囲を分解 暗号技術 共通鍵暗号方式 ブロック暗号 ECBモード CBCモード CTRモード（Counterモード） ストリーム暗号 公開鍵暗号方式
PCを使っていると、過去の操作内容やブラウザで閲覧していた情報を思い出したくなるタイミングが頻繁に発生します。そんな時に役立ちそうなPC操作記録アプリ「Windrecorder」がオープンソースで開発されています。 GitHub - yuka-friends/Windrecorder: Windrecorder is a memory search app by records everything on your screen in small size, to let you rewind what you have seen, query through OCR text or image description, and get activity statistics. https://github.com/yuka-friends/Windrecorder I made an o
日本における「マイナンバーカードによる『SIMハイジャック』発生事案」の被害報告。立憲議員が携帯電話を乗っ取られた経緯をツイートする
すまほん!! @sm_hn これ日本における「マイナンバーカードによる『SIMハイジャック』発生事案」なので注目すべき。政府は原則読み取り必須にすべし。 x.com/setagaya_k/sta… 2024-04-19 14:58:54 風間ゆたか 東京都議会議員 立憲民主党 世田谷区選出 @setagaya_k 昨日昼頃、スマホにPayPay通知が表示され「1000円チャージしました」と。自動チャージ設定？なんだろうとアプリを確認してもよくわからず放置。（この時にPayPayに確認すべきだった！）午後にメールチェックをしていると画像のようなメールが突然届き、これはおかしい、とパスワード再設定しようと... pic.twitter.com/z81IF167aP x.com/setagaya_k/sta… 2024-04-18 08:19:56 風間ゆたか 東京都議会議員 立憲民主党 世田谷
教科書検定で指摘を受けた申請段階の令和書籍の教科書。「現存する世界最古の国家は、我が国なのです」という記述は改められた＝東京都千代田区で2024年、宮武祐希撮影 文部科学省は19日、2025年度から中学生が使う教科書の検定で「未了」となっていた社会の歴史の2点について、合格にしたと発表した。過去4回にわたり不合格とされた「令和書籍」の教科書で、日本を「現存する世界最古の国家」とした記述など100カ所以上を修正して検定を通過した。 同社は多くの欠陥を指摘されたこれまでの申請図書を「文部科学省検定不合格教科書」と銘打ちネットなどで販売してきた。保守色の強い中学の歴史教科書は、「新しい歴史教科書をつくる会」のメンバーが執筆した自由社版や、育鵬社版などがあるが、文科省によると、24年度の需要に対するシェアは両社合わせて約1％にとどまる。 「令和書籍」の社長は作家の竹田恒泰氏。21年度検定版として販
総務省｜報道資料｜LINEヤフー株式会社に対する通信の秘密の保護及び サイバーセキュリティの確保の徹底に向けた措置（指導）
総務省は、LINEヤフー株式会社（代表取締役社長CEO 出澤 剛）に対し令和6年3月5日付けで行政指導を実施し、同年4月1日、同社から再発防止等に向けた取組に関する報告書の提出を受けました。同報告書を踏まえ、総務省は、同行政指導において求めた措置の早期実施等を求めるとともに、その実施状況や実施計画を報告するよう、本日、文書による行政指導を行いました。 総務省は、LINEヤフー株式会社（代表取締役社長CEO 出澤 剛、法人番号 4010401039979、本社 東京都千代田区。以下「LINEヤフー社」という。）に対し、令和6年3月5日付けの「通信の秘密の保護及びサイバーセキュリティの確保の徹底について（指導）」（総基用第46号）による行政指導を実施し、同年4月1日、同社から再発防止等に向けた取組に関する報告書の提出を受けました。 同報告書によれば、一定の応急的な対策については実施済みとのこと
PCで乱発する謎のバグは同一ネットワークに接続されているHiSense製Android TVが原因であることが明らかに
サウンドデザイナーでコンポーザーのプリシラさんが、長期間にわたって苦しんできたPC上で発生する謎のバグが、PCと同じネットワークに接続されているHiSense製Android TVが原因だったと報告しており、「HiSense製TVは買うな」と警告しています。 cohost! - "DO NOT BUY HISENSE TV'S LOL (Or at least keep them offline)" https://cohost.org/ghoulnoise/post/5286766-do-not-buy-hisense-t プリシラさんが自宅で使用しているWindows 11搭載PCは、長らく問題を抱えていたそうです。その問題のひとつが「ディスプレイ設定を開けない」というものでした。そのため、プリシラさんはディスプレイの表示を調整するために、Windows 11のディスプレイ設定ではなく
富士通Japanは4月16日、住民票のコンビニ交付システムで証明書が誤交付されたと発表した。香川県高松市で申請者とは異なる住民の住民票が発行されたという。同社のコンビニ交付システムでは、2023年にも複数回の誤交付が発生していた。 高松市では1月4日から、富士通Japanのコンビニ交付システム「Fujitsu MICJET コンビニ交付」を導入していた。しかし、コンビニ交付サービスの項目でシステムの設定ミスがあり、4月4日に別人の住民票が誤交付される事象が発生した。 富士通Japanは誤交付の原因について「複数サーバでシステムを構成している高松市向けに、本来はその構成に応じたプログラムを適用すべきところを、誤って単一サーバ構成向けのプログラムを適用していたことによるもの」と説明。16日時点では既に正しいプログラムを適用し、正常に動作することを確認したという。また、同システムを利用する全ての
大田区は4月17日、2023年10月に発生したシステム障害の検証結果を公開し、システムの運用・保守を担っていたNECに対し損害賠償金486万8437円を請求すると発表した。障害の原因はNECによる情報共有の不足と結論付けている。同社も結果や損害賠償に同意しているという。 障害が発生したのは、23年10月9日から10日未明にかけて。システムを構成していたSSD3台がほぼ同時に故障し、データが全損して使用できない状態になった。これにより、大田区の住民記録システムや国保年金システム、税務システムなどが影響を受け、18日の完全復旧まで、区の業務に支障をきたした。 大田区は障害の原因について、SSD3台の同時故障を想定していないシステム構成にあったと説明。「システム基盤は19年に構築し、構築当時からSSDの故障について2本までは耐えうる構成をとっていたが、今回はその想定を大幅に上回る障害が発生したた
Marie @shesatonthewall 防犯カメラに登録済みのNG客(過去に暴言あり)が来店して、スマホに通知来た𐤔𐤔𐤔‼️ バックヤードから駆けつけちゃった。 (,,- -,, ) GWだから家族連れだったけど、出禁は出禁。 理由をご家族様に伝えたら、びっくりしていた。 家ではそんなことをしなくても、店でやったら出禁です。 2024-05-04 12:44:11
今月5日、沖縄・那覇空港で身体障害がある女性が格安航空会社（LCC）ピーチ・アビエーション（本社・大阪府）の台湾行きの便を利用しようとしたところ、電動車椅子のバッテリーが外から見えないことを理由に搭乗できなかった。バッテリーの目視確認を巡っては航空会社で対応が異なっており、女性は「差別的な対応だ」と訴えている。 搭乗できなかったのは、台湾籍の林君潔さん（43）。骨が折れやすい難病の骨形成不全症を抱え、電動車椅子を使って生活している。林さんは障害者らが集う沖縄のイベントに参加するため、1日に別の航空会社で同じ車椅子に乗って来日。5日にピーチ機で台湾に戻る予定だった。 国土交通省によると、発火の恐れがあるバッテリー類は航空法で輸送を禁じる危険物にあたる場合があり、航空各社は持ち込みに条件を設ける。ピーチ社のウェブサイトには、身体が不自由な乗客への案内として「バッテリーの目視確認ができない場合、
WEBアプリケーション開発者です。 特別セキュリティのスペシャリストになりたいというわけでないですが、アプリケーション開発者として徳丸本に記載されている内容レベルのセキュリティ知識はあります。 システムのセキュリティに関してはベンダーの脆弱性診断を通して運用しており、個人的にはセキュリティに関して何か困ったことがいままでありません。 ただ、ふと考えてみると「情報漏洩やサイバー攻撃が発生した際などの有事にどのような行動をとるべきか」という観点ではあまり自信がないなと感じました。社内でもそのような場合の指針が整っているわけではないです。 徳丸先生は、一般的な開発者には最低限どのレベルのセキュリティ知識を求められていますか？ 回答の難しい質問ですが、ここは本音をさらけ出したいと思います。 私が「安全なWebアプリケーションの作り方（通称徳丸本）」を出したのが2011年3月でして、それから13年以
【注意】海外ナレーターからの宅録ナレーション依頼にどうかご注意ください。｜石井しおり | ナレーター・MC | コトバテラス
一人でも多くの方にこの記事が届きますようにという思いを込めて、この度投稿することにいたしました。ぜひ周囲の方、特にフリーランスの方にこういった事例があることを周知していただければと思います。 発信することの重要性を前回お伝えしましたが、実はその投稿直後に自身の発信をきっかけに特殊詐欺の被害に遭い、発信することのウラに潜む危険な面を自ら経験しました。これからお伝えする私の経験をもとに、公に発信する内容につきましてはどうか皆さん慎重にご検討いただければと思います。 と言いますのも、私は今年の初めに仕事用のInstagramアカウントを立ち上げたのですが、まさにそれがきっかけとなってしまったのです。Instagramを通してある宅録ナレーションの依頼を受け、データを納品したにもかかわらず、結果的に報酬をいただくどころか多額のお金を奪われてしまいました。そして恐ろしいことに、今もなお追加の振り込み
各サービスで電話番号宛のSMS認証が当然となった現代、携帯電話回線は非常に高い価値を持っています。 そんな電話回線をSIMカードごと奪う「SIMハイジャック（SIMスワップ）」という犯罪手法が海外で報告されていますが、最近は日本でも被害報告をチラホラと聞くようになっています。 そんなSIMハイジャックの魔の手が、なんと日本の政治家にまで及んでいたことがわかりました。 東京都議会議員の風間ゆたか氏が報告したところによると、PayPayの不正利用とパスワードリセットで異変に気付いたとのこと。 スマホで二段階認証を行ってもSMSが届かず、Wi-Fiでしか使えず、アンテナマークが解約を示すマークになっていることが判明。ソフトバンクショップに駆け込んだとのこと。 東京都ではなく名古屋のソフトバンクショップで最新機種を購入した形跡があり、ソフトバンクショップはその時の本人確認をマイナンバーカードのIC
小泉龍司法相は16日の記者会見で、10月1日から株式会社の登記の際に代表者が希望すれば自宅住所を非公開にできると発表した。「自宅がオープンになってしまうということに対する抵抗感、個人情報保護の観点からの問題提起があった。新たな起業の促進につながることを期待をしたい」と述べた。会社法は代表者の氏名、住所などを登記事項としている。公正で円滑な商取引が目的だが、経団連などが「プライバシー保護」を理由
FIDOアライアンスが仕様を策定した「パスキー」は、パスワードではなく生体情報を用いて認証する「FIDO 2.0」を「Webauthn」標準に基いて利用して得た資格認証情報をデバイス単位で管理運用する技術です。このパスキーが抱える問題点について、Webauthn標準に関わったエンジニアのFirstyearことウィリアム・ブラウン氏が自身のブログで解説しています。 Firstyear's blog-a-log https://fy.blackhats.net.au/blog/2024-04-26-passkeys-a-shattered-dream/ Webauthnがパスワードに代わる認証技術として大きな可能性を秘めていると考えていたブラウン氏は、2019年にオーストラリアからアメリカに渡り、友人と共にWebauthnのRust実装であるwebauthn-rsの開発を始めました。その過程で
2024年4月25日紙版発売 2024年4月25日電子版発売 市原創，板倉広明 著 A5判／456ページ 定価3,740円（本体3,400円＋税10%） ISBN 978-4-297-14178-3 Gihyo Direct Amazon 楽天ブックス ヨドバシ.com 電子版 Gihyo Digital Publishing Amazon Kindle 楽天kobo honto この本の概要 SSL/TLSは，通信の秘密を守るために利用されている通信プロトコルです。HTTPSやHTTP/3にも利用されており，今日のWebでは利用が一般的になっています。本書では，その最新バージョンであるTLS 1.3のしくみと，その使い方を解説します。SSL/TLSは公開されている実装例などを真似すれば基本的な動作はさせられますが，それを応用していくには技術に関する理論の理解が必須になります。しかしSSL
「情シス担当者がいなくなってサーバーやネットワーク機器を管理する人がいないので皆さんで管理しましょう」→斬新すぎる管理方法だった
Shadowhat @shadowhat HAGIWARA Takahiro (仮想化プリセエンジニア) 主にNutanix、最近M365、時々Linux、稀にネットワークな日々 発言は個人の見解であり、所属する企業の見解や意見を代表するものではありません。 Nutanix Technology Champion 2018-2024 infraapp.blogspot.jp Shadowhat @shadowhat 「情シス担当者がいなくなって社内のサーバーやネットワーク機器を管理する人がいないので皆さんで管理しましょう。」 といって、社内全員にAdministrator権限のユーザ名とのパスワードを共有する斬新な管理方法を聞いた。 なお、SIでソフトウェア開発をやっている会社さんだそうで。。。 2024-05-08 09:04:29
自民党の八尾市議会議員の松田のりゆき氏は、SIMハイジャック攻撃（SIMスワップ詐欺）と思われる事象が発生したことをX（Twitter）にて報告しています。 急に携帯電話が圏外となり、電波障害かと思いソフトバンクショップに原因を確認しに行くと、15時に愛知県名古屋市のソフトバンク柴田店で、議員名義にて最新のiPhoneへの機種変更が行われたとのこと。 議員になりすました犯罪者が偽造マイナンバーカードで機種変更を行っていたそうです。先行事例同様、当然IC読み取りは行っていないということになります。 さらに機種変更したiPhoneを利用してPayPayを5万円チャージして不正利用、さらにソフトバンクカードで12万円を使い込まれてしまったとのこと。 ソフトバンク回線を利用する政治家がSIMハイジャック攻撃を受けた事例は、既に弊誌でもお伝えした通り。手続きにおける厳重な本人確認を行うべきです。 生
この度、本社サーバーがコンピュータウイルス「LockBitランサムウェア 」に感染しました。 今回の不正アクセスの直接の原因は、セキュリティ強化の一環で FortiGate(統合型セキュリティアプライアンス)の設置を昨年に依頼しましたスターティア株式会社（https://www.startia.co.jp/）が設置の際に使用していた test アカウントを削除せずそのまま放置し、悪意のある第三者が test アカウントを使用して弊社のサーバーに侵入した事によるものとなります。 なお、現時点では、社内情報の流出の事実は確認されておりません。また、被害サーバーにはお客様情報は入っておりません。 関係する皆さまには、多大なご迷惑とご心配をおかけすることとなり、心よりお詫び申し上げます。 対応としましては、感染が判明した当該サーバーをすべてネットワークから遮断する対策を講じるとともに、弊社全部署で
AmazonのクラウドコンピューティングサービスであるAWSが提供するストレージサービス・Amazon S3では、写真や動画などのデータをアップロードするためにバケットを作成する必要があります。このS3バケットを空の状態にしていると、AWSの請求額が爆発的に増加してしまうという問題を、ソフトウェアエンジニアのMaciej Pocwierz氏が報告しました。 How an empty S3 bucket can make your AWS bill explode | by Maciej Pocwierz | Apr, 2024 | Medium https://medium.com/@maciej.pocwierz/how-an-empty-s3-bucket-can-make-your-aws-bill-explode-934a383cb8b1 Pocwierz氏はクライアント向けに作成
情報漏えいを受け、LINEヤフーが韓国NAVERへの業務委託の終了を決めた。5月8日に開かれた2023年度通期・第4四半期決算会見で明かしたもので、LINEヤフーが2024年度中と進めていたLINEとPayPayのアカウント連携についても、社内のセキュリティガバナンス強化の優先を理由に計画時期を見直す。 LINEヤフーは、23年10月に不正アクセスによる情報漏えいが発生したと発表。情報流出は、同社と韓国の関連会社NAVER Cloud委託先企業の従業員PCがマルウェアに感染したことをきっかけに、NAVER CloudのADサーバも感染。その管理者権限や、LINEヤフーのADサーバの認証情報が奪取され、不正アクセス被害につながったとみられている。 漏えい事件を受け、24年3月に総務省から行政指導を受けており、同社は4月に報告書を提出。NAVERのシステムとの分離を進める他、「NAVER側から
総務省は、LINEの利用者の情報が漏えいした問題で、運営会社のLINEヤフーに対し漏えいの原因となった韓国のIT企業、ネイバーとの資本関係の見直しの検討を早急に行うよう求めています。 これについてネイバーのトップは、「中長期的な事業戦略に基づいて私たちが決める問題だ」と指摘し、韓国政府とも協議を進めながら対応を検討する考えを示しました。 この問題をめぐり、総務省は4月、運営会社のLINEヤフーに対する2度目の行政指導で、情報漏えいの原因となった韓国のIT企業、ネイバーが、LINEヤフーの親会社に50％出資しているいまの資本関係の見直しについて、親会社を含めたグループ全体での検討を早急に行うよう求めました。 韓国の通信社、連合ニュースなどによりますと、この問題で3日、ネイバーのチェ・スヨン（崔秀妍）CEOは「資本関係の見直しを要求する行政指導自体が異例だ」と指摘した上で、「これに従うかどうか
「偽造マイナンバー」による詐欺事件が増加 ある都議会議員が「スマートフォンを乗っ取られた」という注意喚起的なポストをXに投稿した。所持していたスマートフォンの契約キャリアを切り替えられ、身に覚えのない支払いやパスワード変更通知を受け取ったという内容だ。一連のポストによると、家族も同じ被害に遭い、ショップや当局への相談・通報などを行ったという。 本人が関知しないところで通信事業者を変更ができてしまった理由として、一体何が考えられるだろうか。 現在、スマートフォンやSIMの契約は、本人以外が行うことは非常に困難となっている。原則として店頭などで本人確認ができない限り、新規の契約はできないようになっているのだ。 その本人確認にマイナンバーカードを使うことが増えているのだが、今回の事件では「偽造したマイナンバーカードが利用されたのでは？」という推理や主張がソーシャルメディアで話されている。 実際、
この記事について この記事では、プログラミング初心者の大学生である(であった)私が試行錯誤しながらなんとかスター数300越えのOSSライブラリを作った過程をまとめたものです。ライブラリ自体はまだまだ発展中のためこの記事も適宜更新してく予定です。ライブラリ自体の詳細というよりも、自作OSSの認知度を上げで他の人に使ってもらうために有用そうな知見をまとめていこうと思います。 ライブラリの概要 今私が作っているのは、AIJackという、機械学習モデルがもつセキュリティ・プライバシー上の脆弱性についての各種攻撃・防御手法を実験するためのPythonツールです。既存のライブラリの多くは特定の種類の攻撃や防御に特化したものが多く、複数のタイプの攻撃・防御を組み合わせて実験するためにはいくつものライブラリを組み合わせる必要がありました。そこでAIJackでは、できる限り統一的なAPIで様々な攻撃・防御手
https://platformengineering.connpass.com/event/310994/ で発表させて頂いた内容になります。
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
江崎グリコの基幹システム移行トラブルについてまとめてみた - piyolog
Gmailにメールが届かなくなる!? 5月中にやるべき対応策をマンガで教えてください！WACUL安藤健作さんに聞いてきた | Webのコト、教えてホシイの！
著名人になりすました詐欺広告に対する取り組みについて | Metaについて
令和時代の API 実装のベースプラクティスと CSRF 対策 | blog.jxck.io
今さら聞けないDocker入門 〜 Dockerfileのベストプラクティス編
【業務効率革命】GAS Interpreter の衝撃｜ChatGPT研究所
「Twitter.com」を「X.com」に自動変換 Xが仕様変更も、批判相次ぎすぐ撤回 ネット失笑
かくしてGoogleはスパマーに敗北した | p2ptk[.]org
総務省｜報道資料｜「クラウドの設定ミス対策ガイドブック」の公表
「認証」を整理する | IIJ Engineers Blog
IPA高度資格「情報処理安全確保支援士」暗記すべき用語を体系整理 - Qiita
「PuTTY」に秘密鍵が復元できてしまう深刻な脆弱性 ～「WinSCP」など他ツールにも影響／v0.81への更新と鍵の再生成を
PCの操作をすべて録画＆文字起こしして過去の操作を丸ごと検索可能にするアプリ「Windrecorder」
令和書籍の歴史教科書が合格 過去4回不合格、社長は竹田恒泰氏 | 毎日新聞
複雑な8文字のパスワードでも、MD5ハッシュだとGeForce RTX 4090で1時間以内に解読されてしまう
富士通Japan、“コンビニ交付”でまたまた誤交付 同社は謝罪 「全力を挙げて再発防止」
大田区、NECに賠償金480万円を請求 10月のシステム障害巡り SSD3台の同時故障想定できず
出禁の客がGW中に家族連れで来たけど、防犯カメラに登録済みだったからスマホの通知で気づいた→家族に伝えたらびっくりしていた
電動車椅子の利用者、ピーチ機に搭乗できず バッテリー目視確認巡り | 毎日新聞
WEBアプリケーション開発者です。 特別セキュリティのスペシャリストになりたいというわけでないですが、アプリケーション開発者として徳丸本に記載されている内容レベルのセキュリティ知識はあります。 システムのセキュリティに関してはベンダーの脆弱性診断を通して運用しており、個人的にはセキュリティに関して何か困ったことがいままでありません。 ただ、ふと考えてみると「情報漏洩やサイバー攻撃が発生した際などの有事にどのような行動をとるべきか」という観点ではあまり自信がないなと感じました。社内でもそのような場合の指針が
日本でもSIMハイジャック発生、ついに政治家が携帯電話番号を乗っ取られる事態に - すまほん!!
社長の住所非公開、10月から 起業促進へ個人情報保護 - 日本経済新聞
パスワード不要の認証技術「パスキー」はパスワードよりもエクスペリエンスが悪いという批判
SSL/TLS実践入門 ──Webの安全性を支える暗号化技術の設計思想
再びソフトバンク回線を利用する政治家への「SIMハイジャック攻撃」が実施される。 - すまほん!!
弊社サーバーのマルウェア感染に関する お詫びとお知らせ – Endless Corporate
空のS3バケットでAWSの請求額が爆発的に増加するとの指摘、Amazonはさっそく問題に対処すると発表
LINEヤフー、韓国ネイバーとの委託関係を終了へ PayPayとLINEのアカウント連携も延期に
LINE情報漏えい 原因の韓国IT企業 関係見直し“私達が決める” | NHK
「偽造マイナンバー」で増えるSIMハイジャック、個人情報を守るために“やるべきこと”
初心者大学生が作った機械学習ライブラリがGitHubでスター数300を超えた話 - Qiita
はてなにおけるメール基盤とDMARC対応