高木浩光＠自宅の日記 - テレフォンバンキングからのリバースブルートフォースによる暗証番号漏えいについて三井住友銀行に聞いた
■ テレフォンバンキングからのリバースブルートフォースによる暗証番号漏えいについて三井住友銀行に聞いた 先週から、「ドコモ口座不正引き出し事件」の原因として、被害の発生した銀行が4桁数字の暗証番号で認証処理していたことが取りざたされており、リバースブルートフォース攻撃の手口が暗証番号特定の手段として使われた可能性について、テレビのワイドショーでも扱われるなど、世間での認知がかつてなく高まっている。 そこで、この機会に、昔から存在していたテレフォンバンキングの危険性について、銀行側に抗議すれば今ならご理解いただけるのではないかと考えた。この問題は十数年前にも銀行側に伝えているが、サービスを止めるわけにもいかないし、電話経由での自動処理による攻撃は考えにくいと当時は考えられたのか、対処されることはなかった。2020年の今日、電話経由のサイバー攻撃は技術面で十分に容易に可能となっていると考えられ
高木浩光＠自宅の日記 - 天動説設計から地動説設計へ：7payアプリのパスワードリマインダはなぜ壊れていたのか（序章）
■ 天動説設計から地動説設計へ：7payアプリのパスワードリマインダはなぜ壊れていたのか（序章） 7payの方式はなぜ許されないのか、なぜあんな設計になってしまったのか、どう設計するのが正しいのか、急ぎ書かなくてはいけないのだが、前置きが長くなっていつ完成するかも見えない。取り急ぎ以下のツイートでエッセンスを示しておいた*1が、すでにわかりかけている人達にしか刺さらなそうだ。 そもそもスマホアプリ の時代、もはやauthenticationですらないと思うのよね。（何を言ってるかわからねえだろうと思うが。） — Hiromitsu Takagi (@HiromitsuTakagi) July 8, 2019 同様のことは4年前にNISCのコラムに書いたが、消えてしまっているので、ひとまず、その原稿を以下に再掲しておく。 スマホ時代の「パスワード」のあり方を再考しよう 高木浩光 2015年2
高木浩光＠自宅の日記 - ヤフーの信用スコアはなぜ知恵袋スコアになってしまったのか
ヤフオク!における取引実績や評価、ショッピングでのレビュー回数、知恵袋での活躍度、Yahoo! JAPANへの支払い滞納の有無および回数、利用規約・ガイドライン違反の有無および回数、宿泊・飲食店等の予約キャンセル率、キャンセル連絡有無などの行動実績等 Yahoo!スコアの作成および利用は、お客様のプライバシーの保護に十分に配慮したうえで実施しております。 算出元データには、通信の秘密にあたる情報、スコア化することで不当な差別につながる可能性がある情報（要配慮個人情報、性別や職業等）は使用しません。 知恵袋での行動が知恵袋内での信用評価として使われるのは普通（そういうサービスだということ）だが、それが、知恵袋の外で、お金を借りるときとか、飲食店を予約するときに信用として必要になってしまう、そんな社会はまっぴらごめんだ。（だれにもわかりやすくてたいへんよい。） ヤフーが信用スコアの作成をオプト
高木浩光＠自宅の日記 - 業界の信用を傷つける思想を開陳したトレンドマイクロ社にセキュリティ業界は団結して抗議せよ
■ 業界の信用を傷つける思想を開陳したトレンドマイクロ社にセキュリティ業界は団結して抗議せよ トレンドマイクロ製品がApp Storeから締め出された事案が重大局面を迎えた。エバ・チェン社長兼CEOの声明が発表されると同時に、準備されていたZDNetニュースが報じられた。 App Store上の当社アプリに関する重要なお知らせ, トレンドマイクロ, 2018年10月31日 トレンドマイクロのチェンCEO、App Storeでのアプリ削除問題に謝罪と説明, ZDNet Japan, 2018年10月31日 これまでの説明とは異なり、もはやトレンドマイクロ社固有の事情を超え、情報セキュリティ業界の一般論として、業界が必要としている情報取得だったのだと正当化し、社会が理解すべきものだとして、世間に理解を求める声明になっている。 セキュリティ企業は、お客さまのセキュリティならびにプライバシーを改善
高木浩光＠自宅の日記 - 魔女狩り商法に翻弄された田舎警察 Coinhive事件 大本営報道はまさに現代の魔女狩りだ
■ 魔女狩り商法に翻弄された田舎警察 Coinhive事件 大本営報道はまさに現代の魔女狩りだ 前回の日記（6月11日23時46分公開）の件はその後、以下のように展開した。 6月12日 他人PCで仮想通貨獲得 了解得ず「採掘」初立件 神奈川県警など,*1 毎日新聞, 6月12日朝刊 仮想通貨マイニング（Coinhive）で家宅捜索を受けた話, モロ@ドークツ, 6月12日9時43分 Coinhive設置で家宅捜索受けたデザイナー、経緯をブログ公開 「他の人に同じ経験して欲しくない」, ITmedia, 6月12日12時17分 仮想通貨「無断採掘」疑い サイト運営者を書類送検,*2 共同通信, 6月12日20時45分 Police to press charges over cryptocurrency 'mining' of computers without consent, The M
高木浩光＠自宅の日記 - 懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」
■ 懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」 序章 昨日の読売新聞朝刊解説面に以下の記事が出た。 ［解説スペシャル］ウイルスか合法技術か 他人のPC「借用」 仮想通貨計算 サイトに設置 摘発相次ぐ, 読売新聞2018年6月9日朝刊 「まさか違法とは……」。こううなだれる首都圏のウェブデザイナー（30）は今年3月、横浜地検にウイルス保管罪で略式起訴され、罰金10万円の略式命令を受けた。自分の運営する音楽サイトに昨秋、「コインハイブ」と呼ばれるコインマイナー用のプログラムを設置したところ、これがウイルスと判断されたのだ。 （略）昨年末から神奈川や宮城、栃木、茨城県警など全国の警察が捜査を開始。これまでに確認できただけで5人のサイト運営者がウイルスの供用や保管などの容疑で捜索を受け、既に略式命令を受けたケースもある。（略） 略式命令を受けたウェブデザイナー
高木浩光＠自宅の日記 - 優良誤認表示の「通信の最適化」（間引きデータ通信）は著作権侵害&通信の秘密侵害、公正表示義務を
■ 優良誤認表示の「通信の最適化」（間引きデータ通信）は著作権侵害&通信の秘密侵害、公正表示義務を まえがき 3年前、「通信の最適化」でついに事故が発生し、炎上したことがあった。しかし、当時はまだこの問題への世間の理解が浅く、問題提起しても、天才プログラマの清水亮から「ピュアオーディオを有難がる宗教法人と大差ない」とか「トラブルはアプリ書いた人の能力の問題」などと小馬鹿にされる始末だった。川上量生は「どこが通信の秘密なんだよ」とひたすら独り言を続けていたし、ガラケー全盛期に名を馳せたケータイジャーナリストの面々もろくに動く様子がなかった。 ハッハッ、見ろ！第1種電気通信事業がゴミのようだ！！ #通信の最適化（）, 2015年6月 「通信の最適化」に関する高木浩光氏の見解, 2015年7月 kadongo38氏「日本の通信事業者よりAppleやFacebook, Google の方が問題」,
高木浩光＠自宅の日記 - 多賀城市図書館は個人情報保護条例改正なしにTポイントを導入できるか
■ 多賀城市図書館は個人情報保護条例改正なしにTポイントを導入できるか 5月下旬に、武雄市のCCC図書館店が、宮城県多賀城市に伝染しそうだという報道があった。 ツタヤ図書館、宮城にも 多賀城市が新設、運営委託へ, 朝日新聞, 2013年5月25日 宮城県多賀城市は図書館を新設し、レンタル大手でＴＳＵＴＡＹＡ（ツタヤ）を展開するカルチュア・コンビニエンス・クラブ（ＣＣＣ）に運営を委託する方針を決めた。同市は東日本大震災で被災しており、菊地健次郎市長は「人を呼べる拠点をつくりたい」としている。 （略）多賀城市長は３月、武雄市を視察した。 市によると、委託の形態や費用などについてＣＣＣと交渉を進めている。ＣＣＣ関係者によると、被災地への貢献も考慮して前向きに検討しているという。（略） ツタヤに図書館の運営委託検討 宮城・多賀城市、全国２例目, 産経新聞, 2013年5月31日 東日本大震災で被災
高木浩光＠自宅の日記 - Tポイントは何を改善しなかったか, Tポイント以外は何をやっていないか
■ Tポイントは何を改善しなかったか さて、昨年9月に、「Tポイントは本当は何をやっているのか」を書いてからもう9か月経った。その後、この件がどうなったかを確認しておく。 まず、問題となった「T会員規約」だが、10月1日に（毎年恒例の）改訂があったが、文言が少し直された程度で、問題とされていた肝心の部分は、何ら修正されなかった。 第4条 （個人情報について） 2. 当社が取得する会員の個人情報の項目 （1）「お客様登録申込書」の記載事項及びT-IDお申し込み時の登録事項（変更のお申し出の内容を含みます）氏名、性別、生年月日、住所、電話番号、電子メールアドレス等 （2）ポイントプログラム参加企業における利用の履歴 （3）T-ID及びＴカードの停止・退会状況その他第3条第2項に関する事項 （4）ポイントの付与又は使用等に関する情報 （5）クレジットカード番号 （6）その他の記述または個人別に付
高木浩光＠自宅の日記 - 動機が善だからと説明なく埋め込まれていくスパイコード
■ 動機が善だからと説明なく埋め込まれていくスパイコード 5月にこのニュースを見たとき、嫌な予感がしていた。 父娘遭難、携帯の位置情報得られず 消防への提供ルール化 北海道地吹雪, 朝日新聞, 2013年5月22日 北海道湧別町を襲った３月の地吹雪の中で父親が娘を抱いたまま亡くなった事故で、消防が父親の携帯電話の位置情報を携帯電話会社から得ようとしたが得られず、父娘の捜索を中断していたことが分かった。総務省は情報提供のしくみが整っていなかったことが原因とみて、位置情報をすみやかに伝えるルールを作り、全国の消防本部と携帯各社に通知した。 ルールを整備するのはよいことだが、この記事は、基地局レベルの位置情報ではなく、GPSレベルの位置情報を用いて救助しようという話になっていて、そもそも、キャリア（携帯電話事業者）に頼んだところで、どうやって端末のGPS位置情報が得られるの？という疑問を持った。
高木浩光＠自宅の日記 - 過大なポリシーが人々を麻痺させ本人同意を形骸化させる
■ 過大なポリシーが人々を麻痺させ本人同意を形骸化させる ファミリーマートが公衆無線LANサービスを開始したが、その利用規約に、「履歴情報および特性情報の取得」として、とんでもないことが書かれていると、話題になっていた。 ぶっこ抜き注意？ファミリーマート無料Wi-Fiサービスの利用規約に注目が集まる, NAVER まとめ, 2013年6月6日 この利用規約は、インターネットから見られないようにされており、ファミリーマートに行って、そのWi-Fiアクセスポイントに接続してからでないと閲覧できないようになっている。（25日の時点でも。） 問題となる利用規約の記述は、「当社は、利用者様が本サービスをご利用になる際に、以下の情報（略）を取得し、管理し、利用します。」として、「本サービスにより閲覧されたホームページ」と書かれている点だ。 そこで、ファミリーマートお客様相談室に電話して（6月3日）、「
高木浩光＠自宅の日記 - 年金機構から基礎年金番号の付番機能を剥奪せよ, 追記（6月29日）
■ 年金機構から基礎年金番号の付番機能を剥奪せよ 我が目を疑うニュースが飛び込んできた。 性同一性障害者に年金共通番号 一時ネット閲覧可能に, 共同通信, 2013年5月7日 日本年金機構が、性同一性障害で性別変更した人を判別するため、昨年１０月から基礎年金番号１０桁のうち前半４桁に共通する固定番号の割り当てを始めていたことが７日、分かった。この４桁の番号が性同一性障害者を示すと明記した機構の内部文書が一時インターネットで確認できる状態だった。 「内部文書が一時インターネットで確認できる状態だった」というのが意味不明だなと思いつつ、Twitterを検索してみたところ、この問題と戦っている方々のツイートと、問題提起のブログが見つかった。 ＧＩＤ（性同一性障害）年金基礎番号 強制付番問題について, URＡIKADA | ＦＴＭＴＳのために, 2013年4月19日 急ぎで載せました「ＧＩＤ（性同
高木浩光＠自宅の日記 - もしも個人識別番号利用法に第15条がなかったら
■ もしも個人識別番号利用法に第15条がなかったら 先月、讃岐うどんチェーンの「はなまるうどん」が、健康保険証を提示すると50円引きするというキャンペーンを予告し、わけがわからないよと話題になっていた。 焼きうどんの予感？はなまるうどんの「レジで健康保険証を提示すると５０円引き」キャンペーン, emo.tam, NAVERまとめ, 2013年3月23日 健康保険証を提示させるその意図が何なのか不明だが、キャンペーンのサイトを見ると次のように書かれている。 世界初。うどんに健康保険証、適用。, はなまるうどん 健康保険証割引のご利用は、1回のお食事につき、お1人様1回までとさせていただきます。 【キャンペーンに関する個人情報のお取り扱いについて】 ・会計時にご提示いただく際は、該当する保険証であることを確認させていただきます。 ・保険証に記載された氏名・生年月日などの個人情報を取得することは
高木浩光＠自宅の日記 - 空前の武雄市TSUTAYAドヤリングで住所・氏名・電話番号漏洩の危機, 追記（4月1日）訂正あり
■ 空前の武雄市TSUTAYAドヤリングで住所・氏名・電話番号漏洩の危機 まもなく武雄市に2軒目のTSUTAYAが開業するということで、昨日から一般市民に先んじて内覧会に招集された市長のお友だちらから続々と喜びの声があっている。また、会員登録の事前登録が始まっているため、入手したTポイントカードの写真を撮ってツイートする人が次々と現れている。 カード作ってみた #osoreiri #武雄市 @ 武雄市立図書館 instagram.com/p/XbaH0pkQSn/ — 末広栄二さん (@e_suehiro) 2013年3月29日 武雄市のTカードに更新してきたーーー(^ー^) レンタル無料券とスタバの無料券もらったー(^ー^) twitter.com/kpnnnnu/status… — KPさん (@kpnnnnu) 2013年3月29日 このように、Tポイントカードの番号（Tカード番号）
高木浩光＠自宅の日記 - 武雄市役所が組織ぐるみの著作権無視 以前から常習の疑い
■ 武雄市役所が組織ぐるみの著作権無視 以前から常習の疑い 「共感の魔法」「面白くて癒される」などと、全国各地で絶賛されている武雄市長の講演。その人気の秘訣はベールに包まれ、他に類を見ない講演がどうしてそう易々とできるのかと不思議に思われていたのだが、1月21日に徳島大学で開かれた講演会「徳島ICT研究協議会「市民の知恵で地方の元気を回復！武雄市モデル 地方自治2.0 とは？」」で、地元の人がこれをスネークして告発したことで、その一部始終が暴露された。 2013/01/21 第5回徳島ICT研究協議会 武雄市長樋渡氏講演書き起こし（リンク切れ）, sabonya (@emanon34), 2013年1月22日 「2013/01/21 第5回徳島ICT研究協議会 武雄市長樋渡氏講演書き起こし」へのコメント, Togetter, 2013年1月28日 第5回徳島ICT研究協議会の樋渡啓祐氏講演
高木浩光@自宅の日記 - ローソンと付き合うには友達を捨てる覚悟が必要
■ ローソンと付き合うには友達を捨てる覚悟が必要 当初3月末開始とされていた「LAWSON Wi-Fi」が、なぜか「当初の計画より事前テストに時間を要したため」として、遅れて4月6日から開始されたのだが、早速Twitterでこんな指摘が出ていた。 少なくともこういうのを「ログイン」と呼ぶのはやめて頂きたい。金融機関などでは、暗証番号に電話番号や誕生日を使うのをやめるよう利用者を啓発する活動にコストをかけてきたが、そうした労力を台無しにする。ローソンとしては、無料の無線LANを使わせるくらい、本人確認が甘くても自社の問題だから許されると思っているのだろうが、こういうやり方が社会に悪弊をもたらすことに気付いていないのか。 今回は、前回の日記で取り上げた「PASMOマイページ」の問題とは違って、「ログイン」で電話番号と誕生日を使用している。一般に、不正アクセス禁止法では、このような、IDと電話番
高木浩光＠自宅の日記 - やはり起きていた刑事的萎縮効果による技術停滞 岡崎図書館事件(13)
■ やはり起きていた刑事的萎縮効果による技術停滞 岡崎図書館事件(13) 12月12日の夕方、Twitterの#librahack界隈で以下のサイトが発掘された。 杉並区立図書館 新着図書 更新情報 （非公式）, http://www.naotaka.com/library/ 更新停止のお知らせ 突然ですが、2010年6月22日をもちまして、「杉並区立図書館 新着図書 更新情報 （非公式）」の更新を停止させていただきます。 当ページをご利用の皆様にはご迷惑をおかけしますが、ご理解のほど、よろしくお願いいたします。 6月22日といえば、librahack.jp が公開された翌々日だ。東京の杉並区立図書館といえば、使われている図書館システムは三菱電機ISのMELIL/CS（新型）だ。 このサイトの公開された当時に書かれたサービス説明が、以下にある。 杉並区立図書館の、「その日の新着図書」がわか
高木浩光＠自宅の日記 - 警察と検察と裁判所で何があったか 岡崎図書館事件(2の1)
■ 警察と検察と裁判所で何があったか 岡崎図書館事件(2の1) 6月20日のこと、Twitterで @librahack から言及された。見に行ってみると http://librahack.jp/ というサイトが出現していた。なんと、岡崎図書館事件で逮捕された方は不起訴処分になっていた。@librahack からフォローされていたのでダイレクトメッセージで連絡が欲しいとコンタクト。メールで何があったのか事実関係を聞かせてほしいとお願いしたところ、数日後、ご本人からのメールが到着した。 当時の中川氏は、警察にまだ何されるかわからないと恐れている様子だった。起訴猶予処分だから今後起訴される可能性も残っていると思っていたようで、ご家族への配慮や業務への影響から、「正直あまり警察を刺激したくない」とのことだった。それでも、http://librahack.jp/ を立ち上げたのは、「問題点を電話し
高木浩光＠自宅の日記 - はてなのかんたんログインがオッピロゲだった件
■ はてなのかんたんログインがオッピロゲだった件 かんたんログイン手法の脆弱性に対する責任は誰にあるのか, 徳丸浩の日記, 2010年2月12日 といった問題が指摘されているところだが、それ以前の話があるので書いておかねばならない。 昨年夏の話。 2009年8月初め、はてなブックマーク界隈では、ケータイサイトの「iモードID」などの契約者固有IDを用いた、いわゆる「かんたんログイン」機能の実装が危ういという話題で持ち切りだった。かんたんログイン実装のために必須の、IPアドレス制限*1を突破できてしまうのではないかという話だ。 実際に動いてすぐ使える「PHPによるかんたんログインサンプル」を作ってみました, ke-tai.org, 2009年7月31日 SoftBank Mobileの携帯用GatewayをPCで通る方法のメモ, Perlとかmemoとか日記とか。, 2009年8月1日 ソフ
高木浩光＠自宅の日記 - グーグル社の東京都への回答「元データは保管していない」は虚偽か
■ グーグル社の東京都への回答「元データは保管していない」は虚偽か 今年2月の東京都情報公開・個人情報保護審議会で、ストリートビューの問題が審議された際に、委員から、写真の顔などを自動認識や手動でボカシ修正するとき、修正前の元データはどうしているのかとの質問が出たが、これに対し、出席していたグーグル日本法人の藤田一夫ポリシーカウンセルと舟橋義人広報部長は、「元データは保管していない」と回答していた（2月4日の日記「東京都情報公開・個人情報保護審議会を傍聴してきた」参照）。このことは、審議会の公式議事録にも、以下のようにはっきりと記載されている。 ○藤原委員 質問ですけれども、先ほど表札や顔でも、顔がきちんと認識されたら修正します、ぼかしを入れる、周辺でもとおっしゃったのですけれども、文字どおり技術的な問題ですが、修正される前のデータは誰がどう保存しているのですか。つまり、（略） （中略）
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
