【速報】児童200人分の個人情報『教師のPC』から漏洩『片言の日本語』指示に教師が従ってしまう｜FNNプライムオンライン
■PC画面フリーズ「ウイルスにかかっています」とメッセージ 大阪府熊取町教育委員会は、町立の小学校教師がパソコンに保存していたおよそ200人分の児童の個人情報が漏洩したと発表しました。 熊取町教委によると先月29日、熊取町立中央小学校で30代の女性教師が資料作成中にネットで検索したフリーのイラストを資料に挿入しようとしたところ、パソコンの画面が突然フリーズし「ウイルスにかかっています」と書かれたメッセージが表示されました。 ■メッセージに従い電話 指示通り操作「遠隔操作」開始 さらにウイルス感染からパソコンをサポートする旨のメッセージが届き、「505」から始まる10桁の電話番号が表示されたことから、教師はメッセージに従い電話をかけ、通話相手の指示通りパソコンの操作を行ないました。 そして、教師が通話相手の「初めにescapeキーを10秒押す」「その次にWindowsキーとRキーを同時に押す
早稲田大 学生らの氏名とアドレス 約35万件が閲覧可能状態に | NHK
早稲田大学が学生などのIDを管理するシステム上で、利用者の在学生や卒業生などの氏名とメールアドレスおよそ35万件が、互いに閲覧できる状態になっていたことが分かりました。システムの設定の誤りが原因だったということで、大学は設定を変更して閲覧できないようにするとともに、利用者に謝罪しました。 早稲田大学によりますと、2020年4月からことし5月までの4年間にわたり大学が学生や卒業生などのIDを管理するシステム上で、在学生や卒業生、職員など大学関係者の氏名とメールアドレス、およそ35万1000件余りが互いに閲覧できる状態になっていたということです。 閲覧できたのはサービスを利用する大学関係者だけだということで、先月3日に利用者からの指摘を受け、大学が調査したところ、システムの設定が誤っていたことが原因だと分かったということです。 現在は設定を変更して、閲覧できない状態になっているということです。
名古屋港サイバー攻撃事件の首謀者とみられるランサムウェア集団「LockBit」のロシア人リーダーが特定され制裁発動
世界中で使われたランサムウェアの作成・開発に携わったとして、ランサムウェア集団「LockBit」のリーダーとされるロシア国籍の男に起訴状が出されました。アメリカとイギリス、オーストラリアが渡航禁止や資産凍結等の制裁を加えているほか、逮捕につながる情報には最大1000万ドル(約15億5000万円)の懸賞金が出されることが発表されています。 Office of Public Affairs | U.S. Charges Russian National with Developing and Operating LockBit Ransomware | United States Department of Justice https://www.justice.gov/opa/pr/us-charges-russian-national-developing-and-operating-lo
パスワード不要の認証技術「パスキー」はパスワードよりもエクスペリエンスが悪いという批判
FIDOアライアンスが仕様を策定した「パスキー」は、パスワードではなく生体情報を用いて認証する「FIDO 2.0」を「Webauthn」標準に基いて利用して得た資格認証情報をデバイス単位で管理運用する技術です。このパスキーが抱える問題点について、Webauthn標準に関わったエンジニアのFirstyearことウィリアム・ブラウン氏が自身のブログで解説しています。 Firstyear's blog-a-log https://fy.blackhats.net.au/blog/2024-04-26-passkeys-a-shattered-dream/ Webauthnがパスワードに代わる認証技術として大きな可能性を秘めていると考えていたブラウン氏は、2019年にオーストラリアからアメリカに渡り、友人と共にWebauthnのRust実装であるwebauthn-rsの開発を始めました。その過程で
Ken Thompsonの(loginへの)トロイの木馬の現代(open-ssh)版 - 間違いだらけの備忘録
security.sios.jp xzのtarボールで、アップストリームバージョンの5.6.0以降に悪意のあるコードが混入されていることがわかりました。liblzmaビルドプロセスにおいて複雑な難読化を用いてソースコード内の偽装テストファイルからビルド済みオブジェクトファイルを抽出します。このファイルは、liblzmaコード内の特定の関数を変更するために使用されます。 難読化してテストで入れ込むの手が込んでるな。 そして良く見付けたなという感でじっくり見ていったら。 postgresqlのmicro-benchmarkしてたところ, username間違えてログインしてるのにsshdがCPU使いすぎだな?ということで気がついたみたい… なんだと？ mastodon.social Saw sshd processes were using a surprising amount of CPU
NISTのセキュリティーフレームワークが大幅改訂、「統治」の重要性を強調
米国立標準技術研究所（NIST）は、企業や団体のサイバーセキュリティー対策に関するフレームワーク「サイバーセキュリティーフレームワーク 2.0（CSF 2.0）」を公開した。初版のCSF 1.0は、2013年2月に米国のオバマ大統領（当時）が発出した大統領令を受け、NISTが2014年に公開した。CSF 2.0は初めてのメジャーバージョンアップになる。 CSFをはじめとしたNISTが公開するサイバーセキュリティー対策に関する文書は、米国企業だけではなく日本では防衛省が調達要件策定の参考にしている。CSF 2.0になってどこが変わったのかを解説しよう。 全ての業界が対象に 2024年2月末に公開されたCSF 2.0の変更点は大きく3つある。まず、対象とする業界が変わったことだ。CSF 1.1までは、米国にとって必要不可欠なシステムや資産である「重要インフラ」に関わる業界を対象としていた。これ
社会制度のバグ？ 本人確認の穴を突いたマイナンバー過信の新手口とは
社会制度のバグ？ 本人確認の穴を突いたマイナンバー過信の新手口とは：小寺信良のIT大作戦（1/3 ページ） いわゆる振り込め詐欺の手口は、いつの時代にも手を替え品を替え新しい手法が開発され続けてきているが、今年3月にはこれまで聞いたことがない手口の詐欺事件が発覚した。読売新聞オンラインが報じたところによると、女性のマイナンバーカードの情報を元にネットバンキング口座を無断で作り、そこに本人に現金1400万円を振り込ませたという。 これだけでは何がどうなっているのかわかりにくいが、これはマイナンバーを使った本人確認の穴を突いた犯行と見ていいだろう。今後の課題も含め、この事件から読み取れる情報を整理してみたい。 口座とは無関係なアクション 2024年1月、70歳代の女性宅に「総合通信局」の職員や警察官を名乗る人物から「口座の情報が流出している」などと電話があったという。 警察はまあわかるが、総合
内部不正対策の鍵は2つの「隔離」、教訓生かし守り固めるベネッセ
出典：日経クロステック、2023年12月26日 （記事は執筆時の情報に基づいており、現在では異なる場合があります） 内部不正を防ぐには、組織やデータ資産の管理、システム構成など様々な視点からの対策が必要だ。企業は何を優先し、どのように取り組めばよいのか。ベネッセホールディングス（HD）は2014年7月に発覚した大規模な個人情報漏洩事件以降、内部不正を含むセキュリティー対策を施してきた。 「オンプレであろうとクラウドであろうと、やるべきことは一緒」――。ベネッセHDの植田省司Digital Innovation Partnersインフラソリューション部部長はこう強調する。約10年間で同社のインフラはオンプレミス中心の構成からクラウドを中心とした構成に変わるなどの変化もあった。しかし、「どこにログを蓄積するか、何の通信ログを取るかなど、実装の方法が変わるだけ。考えを大きく変える必要はなかった」
セキュリティ対策コスト削減の鍵は「点検作業の自動化」にある
テレワークの普及を中心にワークスタイルが大きく変革したことは、多くの人が実感しているだろう。 出社を前提とした働き方に戻す企業も徐々に増えてはいるが、大企業を中心に、オフィスでの業務とテレワークを組み合わせたハイブリッドワークを実施し、生産性の向上とワークライフバランスの両立を図ろうとする動きは止まらない。それと同時に、オンプレミスのシステムからSaaS（Software as a Service）、IaaS（Infrastructure as a Service）といったクラウドサービスへの移行もいっそう加速している。 この結果、社内ネットワークの中だけで扱われていた情報資産がクラウド上でも扱われるようになった。そのため、ゼロトラストの考えの下、ネットワークセキュリティの見直しやID管理などの導入を進めた企業もある。これらの対策はもちろん必要だが、統制をとりにくいために脆弱（ぜいじゃく）
覚えやすく強いパスワード作成の極意、日本語フレーズを語呂合わせで変換する
ここでは強いパスワードの作り方を具体的に見ていく。図1のように桁数や文字種を増やし、単純な文字列を使わないのが鉄則だ。問題は覚えやすさ。ブラウザーに記憶させるなら、複雑で覚えづらくても問題はない。だが、そうしない場合、手帳やパスワード管理アプリに記録するにしても、ログインのたびにそれらを参照するのはちょっと面倒だ。パスワードは覚えやすいに越したことはない。 図1 強いパスワードの条件は当然ながら、ある程度の桁数があってさまざまな文字種を含むことだ。一般的な単語を単独で使わないのは大前提。誕生日や電話番号などわかりやすい個人情報もNGだ。自分のSNSで公開している記念日や記録の数値なども避けたほうがよい 理想のパスワードは自分では覚えやすく、他人からは見破られない文字列。そこで提案したいのが、日本語のフレーズを基にした“語呂合わせ”だ。特に海外の攻撃者に対しては日本語のローマ字表記が効果的。
情報セキュリティ10大脅威 2024 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
「情報セキュリティ10大脅威 2024」簡易説明資料（スライド形式） 情報セキュリティ10大脅威 2024 [組織編]（3月下旬公開予定） 情報セキュリティ10大脅威 2024 [個人編]（3月下旬公開予定） 情報セキュリティ10大脅威 2024 [個人編]（一般利用者向け）（6月中旬公開予定） 情報セキュリティ10大脅威 2024 [組織編]（英語版）（7月下旬公開予定） 「情報セキュリティ10大脅威 2024」簡易説明資料（脅威個別版） 情報セキュリティ10大脅威 2024 [組織編]（脅威個別版）（3月下旬公開予定） 情報セキュリティ10大脅威 2024 [個人編]（脅威個別版）（3月下旬公開予定） 10大脅威の引用について 資料に含まれるデータやグラフ・図表・イラスト等を、作成される資料に引用・抜粋してご利用いただいて構いません。 ご利用に際しまして、当機構より以下をお願いしており
パスワードはおしまい！ 認証はパスキーでやろう
はじめに パスワードは古来より認証に良く使われる方法ですが、その運用の難しさからセキュリティの懸念とその対策としての運用の複雑さ（複雑で長い文字列、90日でパスワード変更など）が要求される大きく問題をもった仕組みです。 その根本的な解決策としてFIDO Allianceを中心に推進されている 「パスワードレス」 が注目されています。これはPINや生体認証とデバイス認証を使ったMFAからなっており、フィッシングやパスワード流出に強い上に、ユーザも複雑なパスワードを覚えなくて良い、という大きなメリットがあります。最近はこの流れでPassKeyというものが登場し、Apple/MS/Googleのプラットフォーマが対応したことで、本格運用に乗せれるフェーズになってきました。というわけで以下に解説動画を作ったのですが、動画中で時間の都合で触れきれなかったところや、JavaScriptによる実装のサン
FacebookやYahooのパスワード2500万件以上を含む100GB超えのデータがダークネットで取引されていることが判明
個人情報が流出しているかどうかをチェックできるサービス「Have I Been Pwned?」の設立者であるトロイ・ハント氏が、FacebookやYahooなどのパスワード2500万件以上を含む104GBものデータがダークウェブサイトで取引されていることを報告しています。 Troy Hunt: Inside the Massive Naz.API Credential Stuffing List https://www.troyhunt.com/inside-the-massive-naz-api-credential-stuffing-list/ Researcher uncovers one of the biggest password dumps in recent history | Ars Technica https://arstechnica.com/security/20
スマホの画面ロックが即突破されてしまうワケ
映画『スマホを落としただけなのに』の続編も封切りとなるこの2月、改めて皆さんのスマホのセキュリティーは万全でしょうか？ 昨年は、SNSを入り口とした犯罪被害がとくに取り上げられ、SNSの危険性について報道される機会も増えましたが、その前段階として、まずスマホのセキュリティー自体が脆弱なほうが目につきます。 例えば、その基本にして代表的なものがスマホの画面ロックです。年配の方の中には、画面ロックそのものをしていない方もまだ目立ちます。 警視庁の調べによれば、2018年にスマホや携帯電話を失くしたと届け出があったのは25万7718件、また拾ったと届け出があったのは15万6071件（警視庁「遺失物取扱状況（平成30年中）」）です。 つまり、都内だけで差し引き10万1647台が1年間のうちに失くしたまま消えてしまっているわけです。 スマホには、持ち主の名前・電話番号・メールアドレス・生年月日はもち
私のセキュリティ情報収集法を整理してみた（2024年版） - Fox on Security
新年あけましておめでとうございます。毎年この時期に更新している「私の情報収集法(2024年版）」を今年も公開します。 ■はじめに サイバー攻撃は国境を越えて発生するため、ランサムウェア、フィッシング、DDoS攻撃など、近年のサイバー脅威の常連となっている攻撃者（脅威アクター）が主に海外にいることを考えると、世界の脅威動向を理解することが年々重要になっています。 海外から日本の組織が受けるサイバー攻撃の多くでは、国際共同オペレーション等の一部のケースを除き、日本の警察が犯罪活動の協力者（出し子、買い子、送り子）を摘発することはあっても、サイバー攻撃の首謀者（コアメンバー）を逮捕するまで至るケースはほとんどありません。 誤解を恐れずに言えば、日本の組織は海外からの攻撃を受け続けているのに、海外で発生したインシデントや攻撃トレンドの把握が遅れ、対策が後手に回っているケースも多いように感じます。最
生徒用アカウント一覧表を盗み撮りして行われた不正アクセスについてまとめてみた - piyolog
2023年9月22日、津山市教育委員会は市内の公立中学校で教員が保管していたアカウント一覧表を不正に入手した生徒が他の生徒の授業用タブレットに不正アクセスを行っていた事案が発生したと発表しました。ここでは関連する情報をまとめます。 サポートのため教員が一覧表を教室へ持参 津山市公立中学校の生徒2名が不正に入手した生徒用Googleアカウント一覧表に記載された情報を元に、別の生徒8名のアカウント（授業用タブレット）に不正アクセスを行っていた。生徒らは授業に使用するタブレットに保存された動画（体育、音楽の授業の様子を撮影したもの）の閲覧やダウンロードを行ったり、タブレットのホーム画面の壁紙変更を行ったりしていた。*1 不正閲覧した生徒は、興味本位やからかい目的で行ったと学校の聞き取りに答えている。 生徒用Googleアカウント一覧表は1クラス約30名分の情報を記載したもので教員が管理を行ってい
パスワードの利用実態調査2023 | トレンドマイクロ
トレンドマイクロ株式会社（本社：東京都渋谷区、代表取締役社長 兼 CEO：エバ・チェン 東証プライム：4704、以下、トレンドマイクロ）は、ID/パスワードでのログインが必要なWebサービスの利用者を対象に、Webサービスおよびパスワードの利用や管理の実態を調べる「パスワードの利用実態調査 2023」を実施しました。本調査の結果は以下の通りです※1。 ※1 調査結果のパーセンテージは、小数点以下第二位を四捨五入した数値です。 ■8割以上の利用者がパスワードを使いまわし Webサービスの利用者（n=1,030）のうち、83.8％（863人）が複数のWebサービスでパスワードを使いまわしていることが分かりました（図1）。2020年の調査でも85.7％が使いまわしをしていることが明らかになっており、微減傾向は見られるものの、未だに多くの利用者がパスワードを使いまわしている状況が分かりました。 パ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Bingで”アマゾン”と検索すると検索結果の一番上に本物と同じURLの詐欺サイトが出現、｢クリック不可避｣｢URLだけで判断できない」と話題に
IPA、「情報セキュリティ10大脅威 2024」の解説および対策のための資料公開 
数種類のパスワードで大半のウェブサービスを利用するユーザーは8割、トレンドマイクロ調査 | スラド セキュリティ