iPhoneやApple Watchを襲う「MFA爆弾」相次ぐ パスワードリセット通知を大量送付、乗っ取りを狙う
iPhoneやApple Watchを襲う「MFA爆弾」相次ぐ パスワードリセット通知を大量送付、乗っ取りを狙う：この頃、セキュリティ界隈で 他人のiPhoneやApple Watchを狙ってパスワードのリセット通知を大量に送り付けるフィッシング詐欺攻撃が相次いで報告されている。「MFA爆弾」「MFA疲労」（MFA：多要素認証）と呼ばれる洪水のような通知は一度始まったら止める術がなく、Appleを装う相手にだまされてアカウントを乗っ取られる恐れもある。 「私のApple端末が全て、パスワードリセット通知で爆破された。Appleのシステム（を装った）通知（原文は「Apple system level alerts」）だったので、100件以上の通知で『許可しない』をクリックするまで、電話もウォッチもラップトップも使えなくなった」 大量の通知から15分ほどすると、今度はAppleのサポートをかた
4年も開いてたバックドア。ロシアのiPhone数千台を襲った史上最恐ハック
4年も開いてたバックドア。ロシアのiPhone数千台を襲った史上最恐ハック2024.01.12 07:009,003 Maxwell Zeff - Gizmodo US ［原文］ （ satomi ） モスクワのセキュリティ会社カスペルスキーもやられてたというから本物です。 何者かがロシアの外交官やカスペルスキー研究員のiPhoneにバックドア（裏口=相手のコンピューターに侵入できるように不正に開けられた入口）から侵入し、過去4年間に渡って持ち主の行動をつぶさに監視していたことが、カスペルスキーの調べでわかりました。 だれも知らないはずのゼロデイ攻撃（開発側が対策する前に行なわれるハッキング攻撃）の脆弱性を突いた攻撃で、｢こんな巧妙なハックは見たことない｣と同社も舌を巻いています。 脆弱性は修正済みですが怖いですよね。同社はさっそく｢Operation Triangulation｣と命名し
新MacBook Pro（M3）でも機密情報が漏えい 2020年以降のApple製品全てに脆弱性 米国チームが発表
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 米ジョージア工科大学などに所属する研究者らが発表した論文「iLeakage: Browser-based Timerless Speculative Execution Attacks on Apple Devices」は、Mac、iPad、iPhoneなどのApple製品に搭載のSafariを標的としたサイドチャネル攻撃に関する研究報告である。 この攻撃は、最近発売されたM3チップを搭載した新型MacBook Proでも成功し、ソフトウェアの更新状況に関わらず、Apple製品にとって依然として脅威であることを示した。 「iLeakage」
iPhone全モデルと2020年以降のMacからパスワードやメールを盗み出す「iLeakage」が報告される、実際に動作するデモ映像もあり
すべてのiPhoneおよびiPadや2020年以降に登場したApple Silicon搭載Macが対象となる攻撃手法「iLeakage」がジョージア工科大学の研究チームによって発見されました。iLeakageを悪用するウェブサイトにアクセスした場合、ウェブサービスのパスワードやメールなどの情報を盗み出されてしまいます。 iLeakage https://ileakage.com/ iLeakageは必要になる可能性のある処理を事前に行うことでCPU性能の向上を図る技術「投機的実行」を悪用するタイプの攻撃で、iPhoneやiPadに搭載されているAシリーズチップおよびMacや一部のiPadに搭載されてるMシリーズチップに対して有効です。このため、すべてのiPhoneおよびiPadと2020年以降に登場したMacはiLeakageによる攻撃の対象となり得ます。 iLeakageは「ウェブサイト
最新のmacOS 13.3.1 VenturaやiOS 16.4.1などで修正されたゼロデイ脆弱性CVE-2023-28206のPoCが公開。
最新のmacOS 13.3.1 VenturaやiOS 16.4.1などで修正されたゼロデイ脆弱性CVE-2023-28206のPoCが公開されています。詳細は以下から。 Appleは現地時間2023年04月07日から10日にかけて、現在セキュリティサポートを行っているmacOS 11 Big SurやiOS/iPadOS 15以降のデバイスに対し、2件のゼロデイ脆弱性を修正したセキュリティアップデートをリリースしましたが、 Mac macOS 13.3.1 Ventura (22E261) macOS 12.6.5 Monterey (21G531) macOS 11.7.6 Big Sur (20G1231) iPhone/iPad iOS 16.4.1/iPadOS 16.4.1 (20E252) iOS 15.7.5/iPadOS 15.7.5 (19H332) これに合わせて、G
M1チップに修正不可能な脆弱性ありと研究者が報告〜低リスクも、アプリ同士が通信可能に - iPhone Mania
M1チップに修正不可能な脆弱性ありと研究者が報告〜低リスクも、アプリ同士が通信可能に 2021 5/27 M1搭載MacへのLinux移植作業を行っている研究者が、「悪用されるリスクは低いが、M1チップには修正不可能な脆弱性がある」と報告しました。この脆弱性を利用し、アプリ同士が相互に情報をやり取りした様子がYouTubeチャンネル「marcan」で公開されています。 M1チップに設計上の欠陥か？リスクは低い模様 この脆弱性を報告した研究者によれば、M1チップには設計上の欠陥があり、任意の2つのアプリが、メモリ、ソケットなどを使用せずに密かにデータのやり取りができるようです。 これは、異なるユーザー、異なる権限レベルで実行されているプロセス間でも動作し、データをやり取りするための隠れたチャネルを作成することで行われます。 この脆弱性を修正するにはM1チップを新たに作り直すしかないと、研究者
AirDropでユーザーの個人情報がだだ漏れ!?Appleは未だ対処せず - iPhone Mania
AirDropは、Appleデバイス間でデータを簡単に共有できる便利な機能ですが、実はユーザーのメールアドレスと電話番号を流出させていることが、研究者の調査から明らかになりました。 AirDropの脆弱性とは AirDropではファイルの送受信（データの共有）にWi-FiとBluetooth Low Energyを利用します。AirDropには「すべての人」「連絡先のみ」「受信しない」の3つの設定があります。 送信者のデバイスが周辺のデバイスとデータ共有が可能かどうか判別するために、AirDropでは送信者の電話番号とメールアドレスの暗号学的ハッシュの一部を含むBluetoothアドバタイズを行います。つまりハッシュは暗号化されているとはいえ、公開された状態です。 送信者と受信者が「連絡先のみ」に設定していた場合、この短縮ハッシュが受信者の連絡先と一致すれば、2台のデバイスはハンドシェイク
15億台超のiPhoneやMacに電話番号やメールアドレスが流出する脆弱性があるとセキュリティ研究者が指摘
Apple端末間で手軽に写真や動画ファイルを共有できる「AirDrop」には、セキュリティ上の脆弱性が存在しており、電話番号やメールアドレスが見知らぬ人に流出する可能性があるとダルムシュタット工科大学の研究チームが報告しています。 Apple AirDrop shares more than files – Computer Science – Technical University of Darmstadt https://www.informatik.tu-darmstadt.de/fb20/ueber_uns_details_231616.en.jsp 写真や動画といったデータをApple端末間で簡単に送受信できるのがAirDropです。AirDropでデータのやり取りをできる相手は、デフォルトではユーザーが連絡先を知っている相手のみに限定されていますが、「どの端末が連絡先を知って
iPhoneやMacのSafariに、閲覧履歴などが読み取られる脆弱性が発見される - iPhone Mania
iPhoneやMacのSafariに、閲覧履歴などが読み取られる脆弱性が発見される 2020 8/27 iOS13やmacOS Catalinaで、SafariのWebページ閲覧履歴などの情報が盗み見される可能性のあるセキュリティ上の問題が発見された、とサイバーセキュリティ研究者が報告しています。 iOS14、macOS Big Surでは修正されている模様 サイバーせキュリティサービスのRedteamは、iOS13やmacOS Catalinaに、Safariでページを共有する機能を使うとシステム内部の情報が読み取られる脆弱性を発見した、と報告しています。 原因はSafariでWebページをメールやAirDropなどを使って簡単に共有できるWeb Share APIの問題で、iOS13.4.1、iOS13.6、macOS Mojave、macOS Catalinaで存在が確認されている、
iPhoneなどのSecure Enclaveに修正不能な脆弱性、ハッカーが声明 - iPhone Mania
iPhoneやMacのパスワードなどの情報を暗号化して保存し高度なセキュリティを実現しているSecure Enclaveに修正不可能な脆弱性を発見した、と中国のハッカー集団が声明を発表しています。 パスワードや生体認証情報を暗号化して保存 Secure Enclaveは、iPhoneやMacなど、近年のほぼ全てのApple製品に搭載されているハードウェアです。メインのプロセッサからもiCloudからも独立し、データを乱数で高度に暗号化して保存することで、高いセキュリティ性能を確保しています。 Secure Enclaveには、パスワード、Apple Payで使用するクレジットカード情報、Touch IDやFace IDの生体認証情報も暗号化して保管され、悪意あるハッカーが個人情報を盗み出すのを防いでいます。 Secure Enclaveは、搭載されたデバイスのシステムからも独立して動作する
Apple端末のセキュリティを担う「Secure Enclave」チップにパッチ修復不可能な脆弱性が見つかる
Appleのセキュリティプロセッサ「Secure Enclave」は、iPhoneやiPad、Macといった端末の機密データを暗号化して保護する役割を担っています。このSecure Enclaveにパッチ修復が不可能な脆弱性が存在することが明らかになりました。 New ‘unpatchable’ exploit allegedly found on Apple’s Secure Enclave chip, here’s what it could mean - 9to5Mac https://9to5mac.com/2020/08/01/new-unpatchable-exploit-allegedly-found-on-apples-secure-enclave-chip-heres-what-it-could-mean/ セキュリティプロセッサの「Secure Enclave」は、ほぼ
iPhoneやMacに複数の脆弱性、JPCERT/CCがアップデートを呼びかけ - iPhone Mania
JPCERTコーディネーションセンター（JPCERT/CC）は7月16日、公開されたばかりのiOS13.6やmacOS Catalina 10.15.6などで複数の脆弱性が修正されている、としてアップデートの適用を呼びかけています。 すべてのApple製品にアップデートを推奨 JPCERT/CCが脆弱性による影響を受けるとして、アップデートを呼びかけているのは、以下のOSやソフトウェアを使用するApple製品です。ほぼ全てのApple製品が、脆弱性により影響を受ける可能性があります。 iOS13.6より前のバージョン iPadOS13.6より前のバージョン macOS Catalina 10.15.6より前のバージョン macOS Mojave（Security Update 2020-004 未適用） macOS High Sierra（Security Update 2020-004
通信を傍受されるWi-Fiチップの脆弱性が判明。Apple、既に修正済み - iPhone Mania
セキュリティ企業のESETは、iPhone、Mac、Amazon Echosなど主要メーカーのデバイスに搭載されているCypress SemiconductorとBroadcom製のWi-Fiチップに脆弱性があると発表しました。 脆弱性により通信を傍受される可能性も この脆弱性により、Wi-Fiを利用する端末は通信を傍受されるリスクがあり、影響を受けるデバイスは10億台以上と推定されています。 ESETは、この脆弱性を「Kr00k」と命名。BroadcomとCypress製のFullMAC WLANチップに存在するバグが影響していると述べています。 この脆弱性については、以下のように説明されています。 Kr00kは、Wi-Fiデバイスがアクセスポイント (無線LAN) から切断された時に生じる虚弱性を悪用します。 ユーザーのデバイスもしくはアクセスポイントのいずれかに脆弱性があると、未送信
Appleのモバイル端末導入支援サービスに「弱点」、セキュリティ企業が指摘 - ITmedia エンタープライズ
セキュリティ企業のDuo Securityは2018年9月27日、Appleが企業向けに提供するモバイル端末導入支援サービス「Device Enrollment Program（DEP）」の弱点を発見したと発表した。「悪用されれば、攻撃者が任意の端末を登録できてしまう恐れがある」と解説している。 DEPはiOSデバイスやMacをモバイルデバイス管理（MDM）サーバに自動登録して初期設定を済ませることのできる無料サービス。Duo Securityが「AppleデバイスがDEPサービスと通信して登録される」仕組みについて研究していたところ、同サービスではMDMに登録する前のユーザー認証を、サポートしているものの、必須とはしておらず、一部の組織はシリアル番号のみでデバイス登録を認証している可能性があることが分かったという。 シリアル番号は一般に公開されていたり、推測できたりしてしまう場合も多い。
【注意】Bluetoothにバグ、通信内容が盗まれる危険性！McAfeeが報告 - iPhone Mania
iPhoneやAndroidスマートフォンのBluetooth機能にバグがあり、通信内容を盗み取られる脆弱性がある、とネットワークセキュリティ企業のMcAfeeが注意喚起しています。iPhoneの場合、iOS11.4で対策済みです。 Bluetoothペアリング機器間の通信内容を盗み取られる可能性 MMD研究所の調査によると、ワイヤレスイヤホンで音楽を聴いたり、カーナビと接続してハンズフリー通話を使ったりといった、スマートフォンとBluetoothを組み合わせての利用経験者は、スマートフォン利用者の約6割にのぼります。 McAfeeによると、このたびBluetoothに発見されたバグは「ユーザーの30メートル以内にいる攻撃者が、Bluetoothでペアリングされているデバイス間で共有されているデータを盗み、解読することを可能にしてしまう」という危険性を持っています。 iPhoneやiPad
【対策あり】iPhoneやMacのメールアプリに「eFail」と呼ばれる脆弱性 - iPhone Mania
iPhoneやiPadの標準メールアプリ、Macのメールアプリ、Mozilla Thunderbirdなどで、暗号化されたメッセージが悪意ある攻撃者に読み取られてしまう「eFail」と呼ばれる脆弱性が発見されました。MacやiOSでの対処法もご紹介します。 暗号化されたはずのメッセージ内容を読み取られる 発見された脆弱性「eFail」は、「S/MIME」と「PGP」と呼ばれる、以前から使われている暗号化方式で送信されたHTMLメッセージに、画像を装った不正なタグを埋め込むことで、メッセージの内容が悪意ある攻撃者に読み取られてしまう、というものです。iOSのメールアプリ、Macのメールアプリ、Mozilla Thunderbirdなどが影響を受けます。 「eFail」は、ドイツのミュンスター応用科学大学のITセキュリティ研究者、セバスチャン・シンゼル氏によって発見されました。 We'll p
iPhoneの脆弱性の発見に億単位で報酬を用意するスタートアップ企業が出現 - iPhone Mania
アラブ首長国連邦の首都ドバイのスタートアップ企業は、Android、iOSデバイスなどの脆弱性を発見したハッカーに最大300万ドル（約3億2,790万円）の報酬を用意していると発表しました。 購入したシステム脆弱性の転売が目的か ドバイのスタートアップ企業Crowdfenseが、ゼロデイ（Zero-days）と呼ばれる、いまだ開発者に知られていないシステムの脆弱性の発見に対して、多額の報酬を準備していることがプレスリリースにより明らかになりました。 Crowdfenseを率いる、アンドレア・ザッパローリ・マンゾーニ氏は、ゼロデイを独立した研究者から購入し、執行機関や情報機関へと売ることを計画しているとされています。 なお、Crowdfenseは、Windows、macOS、iOS、Androidのみの脆弱性を探しており、IoTデバイスや、Facebookなどの人気サイトには興味がないとのこ
【注意】クリックするとiPhoneやMacがフリーズする不審なURLが拡散中！ - iPhone Mania
iPhoneなどのiOSデバイスやMacをフリーズさせる不審なURLが、Twitterなどで拡散している模様です。もし見かけても、絶対にクリックしないようご注意ください。 クリックするとiOSやMacがフリーズするURLが拡散中 米メディアMacRumorsによると、Twitterやメッセージアプリで拡散しているのは、プログラミング関連情報サービスGithubのURLです。クリックすると、iPhoneなどのiOSデバイスとMacのいずれもフリーズして応答しなくなってしまいます。 対策としては、「不審なURLをクリックしない」ことに尽きます。また、面白半分で友人などに共有するなどの迷惑行為も慎みましょう。 不審なURLはクリックしないで！ 不審なURLのSNSなどを通じた拡散は、時々発生しています。 クリックするとデバイスがフリーズするURLは複数件確認されているほか、再生でデバイスをフリー
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
アップル独自のセキュリティチップ「T2」に潜む、修正できない脆弱性の深刻度
Wi-Fi通信を盗み見る脆弱性「Kr00K」が発見。MacやiPhone、Raspberry Piなど多くのデバイスが対象に
