フォーム入力支援やサイト最適化サービスの改ざんについてまとめてみた - piyolog
2022年10月25日、ショーケースは同社が提供する複数のサービスが不正アクセスを受けたため、サービスを利用する企業のWebサイトを通じて入力された情報が外部へ流出した可能性があると公表しました。ここでは関連する情報をまとめます。 フォーム入力支援やサイト最適化サービス改ざんで複数社に影響波及 www.showcase-tv.com 不正アクセスによりショーケースが提供するサービスのソースコードの改ざんが行われた。対象サービスが稼働するシステムの一部で脆弱性を悪用されたことが原因。 被害に遭ったのは「フォームアシスト」「サイト・パーソナライザ」「スマートフォン・コンバータ」の3つ。フォームの入力支援やサイト表示最適化を行うサービスで利用企業は同社が公開するJavaScript (formassist.jp、navicast.jp上で公開)を自社サイトより読み込むことで利用する。 改ざん被害
ビックカメラ.COMでメールアドレスを間違えて登録したらどこまで悪用されるか検討した
すでに報道のように、ビックカメラの通販サイト「ビックカメラ.com」において、会員IDをメールアドレスにするという改修がなされました。従来は会員がIDを自由につけられる仕様でした。さっそく会員登録してみたところ、会員IDのメールアドレスの入力間違いに際して、安全性の配慮に掛ける仕様だと感じたのでビックカメラのサポートに報告したところ、以下のように「セキュリティ上の問題とは認識していない」との回答でした。このため、ここに問題点と対策を公開して、利用者に注意喚起いたします。 平素はビックカメラ.comをご利用いただき、誠にありがとうございます。 サポートセンター担当のXXXXと申します。 この程はお問い合わせいただきありがとうございます。 貴重なご意見を賜りまして、誠にありがとうございます。 今回サイトのリニューアルに関して、基本的に現状ではセキュリティ上の問題があるとの認識はございません。
ヤフーとCCC、Tカード購買履歴とWeb閲覧履歴を相互提供へ
ヤフーは2014年6月2日付けでプライバシーポリシーを改訂する（Yahoo! JAPANからのお知らせ）。カルチュア・コンビニエンス・クラブ（CCC）がTカードで収集した商品購入履歴と、ヤフーが収集したWeb閲覧履歴を互いに共有できるようにする。2012年6月に始まったヤフーとCCCの連携が、ポイント共通化の段階を超え、ユーザーの属性情報や履歴情報の共有にまで歩を進めることになる。 ヤフーは、新たなプライバシーポリシーの文章を6月2日に公開する予定で、同日に有効になる。情報連携を望まないユーザーにはオプトアウト（情報提供の停止）の仕組みを用意する。オプトアウトの告知日や告知方法は「現在調整中」（ヤフー広報）。オプトアウト告知を含め、プライバシー侵害を懸念するユーザーを納得させる枠組みを作れるかが情報連携の成否を左右しそうだ。 相互提供の対象になるのは、ヤフーのユーザーID「Yahoo!JA
Ｇメール開設から１０年、ユーザーが払う「無料」の代償
（ＣＮＮ） 米インターネット大手グーグルのウェブメールサービス「Ｇメール」が４月１日で提供開始から１０年目を迎えた。同サービスは無料で使えるが、代償を伴わないわけではない。グーグルはユーザーに関する膨大な量の個人情報という形で元を取っている。 世界で推定５億人以上が利用するＧメールは、ウェブメールの世界で支配的な存在になった。同時にプライバシーを巡って絶えず批判にさらされ、米国や欧州では裁判も起こされた。同社がメールの内容を盗み見していると訴える声もある。 同社の売上高は２０１３年１０～１２月期だけで１６８億６０００万ドル（約１．７兆円）に上る。Ｇメールで収益を上げる手段として使われているのが、メールを自動的にスキャンして整理し、そのデータを使ってユーザーが興味を持ちそうな広告を表示させる方法だ。 「安定した電子メールサービスの提供と引き換えに、あなたの電子メールの隣に広告を表示させ、あな
(後編) うっかりGoogle+を使い始めるとGMailで本名をバラまきかねない - ぼくはまちちゃん！
こんにちはこんにちは！！ はい！ 前回の日記の続きです！ (前編) うっかりGoogle+を使い始めるとGMailで本名をバラまきかねない あらすじ 1. これまで名前を設定せずにGMailを使っていた 2. ついついGoogle+に登録した 3. いつものノリでプロフィールにニックネームを入れた 4. Google+からお叱りのメールがきた 5. 怖くなってプロフィールを本名にした 6. GMailの差出人名が自動的に本名になっていた 7. Fromに本名が出ないように設定しなおした という流れでしたね！ これ書いた後に、ご指摘を受けました！ 曰く「その設定だけだとダメ。メアドから本名を知ることができるよ」と。 hamachiya2 at gmail.comをGoogleのアドレス帳かGoogle+の共有先に入れるとリンク変換されるはず。 全く他人のアカウントからでも。From名の設定は
はてなブックマークボタンがマイクロアド社の新ガイドラインに従ったらこうなる - ockeghem's blog
すでにこちらでご案内の通り、私のブログ（徳丸浩の日記およびEGセキュアソリューションズオフィシャルブログ）に貼っていた「はてなブックマークボタン」により、読者の皆様の閲覧行動がマイクロアド社によりトラッキングされておりました。読者の皆様に断りなく不快な結果を強いていたことに対してお詫び申し上げます。既に当該ボタンは撤去しております。 その後、株式会社はてな社長の近藤淳也氏およびはてなの日記にて行動情報の提供をやめる旨のアナウンスが一昨日ありました（こことここ）。さらに、マイクロアド社からは、昨日以下のアナウンスがありました。 今後マイクロアドでは、ブログパーツや外部ボタン等、マイクロアドと直接提携関係にあるパートナー以外の第三者にあたる媒体・配信面に付与される可能性のあるものについて、それらの表示領域にマイクロアドからの行動履歴情報の蓄積を無効化するオプトアウトページへの導線設置を義務化い
はてなブックマークボタン設置サイトがトラッキングをしていた問題 | 水無月ばけらのえび日記
公開: 2012年3月15日2時15分頃 2011年9月からとのことですが、正直申しまして、全く気づいておりませんでした……。 はてなブックマークボタンは2011年9月1日より行動情報の取得をしている (d.hatena.ne.jp)ブログパーツやソーシャルボタンの類でアクセスログが残るのは当然だけどトラッキングされるのは当たり前にはなっていない - 最速転職研究会 (d.hatena.ne.jp)はてなブックマークボタンのトラッキング問題で高木浩光先生が決別ツイートをするに至った経緯まとめ (matome.naver.jp)はてなブックマークボタンを外しました (blog.tokumaru.org)はてブボタンを表示するスクリプトがスパイウェア的な挙動をしていたことが話題に (it.slashdot.jp)はてなブックマークを経由したトラッキングに関するお詫び (www.nantoka.
はてな、「はてブ」ボタンから取得した行動情報の第三者提供取りやめ 近藤社長「間違った情報の使い方」と謝罪
はてな、「はてブ」ボタンから取得した行動情報の第三者提供取りやめ 近藤社長「間違った情報の使い方」と謝罪 はてなは3月13日、ソーシャルブックマーク「はてなブックマーク」（はてブ）に登録できるボタンから収集したユーザーの行動情報を第三者に販売していたことを明らかにし、「ボタン本来の目的から考えて間違った情報の使い方」だったとして謝罪した。情報提供は取りやめ、ボタンは行動情報を収集しない、仕様変更前の状態に戻した。 問題になったのは、はてな以外の外部サイトが自ら設置しているブックマークボタン。同社によると昨年9月、「新しい収入源の開発と、サイトを訪れた際に最適な広告が表示されることでより価値の高い情報が手に入ることを目的」に、サイトを訪問してボタンを表示したユーザーの行動情報を取得するように仕様を変更し、行動情報を行動ターゲティング広告事業者のマイクロアドに販売していた。 ブックマークボタン
2012-03-13
はてなブックマークボタンから収集した行動情報の第三者提供をやめます 皆さま、大変申し訳ありません。はてなブックマークボタンで収集される行動情報の外部企業への提供をやめます。 先週から、この情報提供について、多くの皆さまから反対のご意見をいただきました。はてなブックマークは、あらゆるページから簡単にブックマークでき、たくさんのブックマーク情報から人気の記事が得られる最高のサービスを目指しています。その一環として、はてなブックマークボタンの普及に努めてきました。2011年9月に、新しい収入源の開発と、ウェブサイトを訪れた際に最適な広告が表示されることでより価値の高い情報が手に入ることを目的に、はてなブックマークボタンで収集した行動情報の第三者への販売を開始しました。 ブックマークボタン本来の目的は、「ブックマーク数が分かる」ことと、「簡単にブックマークできる」ことです。このボタンの表示から得た
はてなブックマークボタンのトラッキング問題で高木浩光先生が決別ツイートをするに至った経緯まとめ - NAVER まとめ
サービス終了のお知らせ NAVERまとめは2020年9月30日をもちましてサービス終了いたしました。 約11年間、NAVERまとめをご利用・ご愛顧いただき誠にありがとうございました。
高木浩光＠自宅の日記 - ID番号は秘密ではない。秘密でないが隠すのが望ましい。なぜか。
■ ID番号は秘密ではない。秘密でないが隠すのが望ましい。なぜか。 俺、実は今日が誕生日なんだ……。 僕らはいったいいつから誕生日を隠さなくちゃいけなくなったんだろう。はてなにもmixiにもGREE*1にもニセの生年月日で登録した*2自分がいる。Facebookの友達にも生年月日を明かさない設定にしている。プライバシーやセキュリティを啓発する立場の者が生年月日を明かすだなんて、匿名主義者達の嘲笑の的にされかねない。そして気付いてみれば、誕生日を祝ってくれるのは、両親とほんの数人の身近な友人だけになっていた。 先月、スマホアプリのプライバシー騒動の件で立て続けてにいくつもの取材を受けた*3が、決まって聞かれるのは、「利用者が気をつけるべきことは何でしょうか」という問いであった。 これに対して私が答えたのはこうだ。「利用者が何か気をつけなくてはならないようではいけない」と。つまり、事業者が解決
パスモ サービスの一部を停止 NHKニュース
首都圏の鉄道やバスで利用できるＩＣカード型の乗車券の「パスモ」で、カード番号や名前などの個人情報が他人に知られると、鉄道やバスを利用した日付や場所などの情報がインターネットを通じて他人に見られるおそれがあることが分かりました。 専門家の指摘を受けてパスモを運営する協議会では、インターネットを通じたサービスの一部を１日夕方から停止しました。 「パスモ」は、首都圏の鉄道やバスなどで利用できるＩＣカード型の乗車券で、これまでにおよそ１９００万枚が発行されています。 パスモには、インターネットの専用のサイトに自分のカードの番号や名前などの個人情報とパスワードを入力すると、自分がいつ、どこで鉄道やバスを利用したかという「乗車履歴」を確認できるサービスがあります。 ところが、このサービスではカード番号や名前などの個人の情報が知られると、パスワードがなくても他人に「乗車履歴」を見られるおそれがあることが
高木浩光＠自宅の日記 - パスモは乗車履歴を第三者提供？ 他社のビッグデータに取り込まれる可能性
■ パスモは乗車履歴を第三者提供？ 他社のビッグデータに取り込まれる可能性 前回の日記の続き。 あの後、パスモ社の担当者と何を話したかというと、同社の個人情報保護方針に反しているのではないかという点と、個人情報保護法に違反しているのではないかという点であった。 電話する前の時点では、「乗車履歴自体は個人情報ではない*1」という見解も出るかな*2と予想していたが、担当者は、前回の最後の部分で示したように、あっさりと個人情報だと認めたため、そこは論点にならなかった。 まず追求したのは、利用目的の明示。 個人情報保護法は、第18条で、個人情報を取得したときは速やかにその利用目的を本人に通知又は公表しなけれなばらないと定めており、その例外として、「あらかじめ利用目的を公表している場合を除き」としている。記名PASMOを作って利用を始めると、乗車履歴をパスモ社ほかに取得されることになるが、その乗車履
高木浩光＠自宅の日記 - ID番号が秘密なのか、それとも氏名・生年月日が秘密なのか
■ ID番号が秘密なのか、それとも氏名・生年月日が秘密なのか SuicaやEdyの登場によって、カードに記載の番号が新たな問題をもたらすであろうことは、8年前に関心を持ち、何度か書いた。 Edyナンバーは易々と他人に知らせてよい番号なのか, 2004年2月29日の日記 Edyナンバーはどのように使われるものか, 2004年7月11日の日記 許諾なしに公表されるEdyナンバーとSuica番号, 2004年7月11日の日記 その後、EdyナンバーやSuicaのIDiは無闇に掲示されることはなくなり、問題は起きなかった。コンビニのam/pmがEdyを用いて独自に展開していた「club ap」でも、利用者登録にはam/pm店舗のレジで印刷してもらう「仮パスワード」を必要とするようになっており、まあ一応ちゃんと設計されていた。*1 ユビキタス社会の歩き方(1) もらったEdyはam/pmで使わない。
コデラノブログ4 : mixiに受けた「いやァな感じ」 - ライブドアブログ
2010年12月07日10:00 カテゴリネット mixiに受けた「いやァな感じ」 11月30日に正式導入された、mixiの「メールアドレスでの検索機能」は、事実上3日でサービスを取り下げることとなった。これまでfacebookが搭載してきた機能をなんの臆面もなくパクって来たわけだが、今回の失敗は割と致命的だったのではないかと思われる。 そもそもmixiがSNSとして台頭してきた理由は、なんでもかんでもオープンになるネットに辟易として、共通の秘密あるいはプライバシーを持ちたいという人々のニーズにマッチしたからである。以前もコラムで指摘したことがあるが、プライバシーが守られたパソコン通信の時代が崩壊し、同時にプライバシーの壁も崩壊したネットの世界に、もう一回壁を作り直したのだ。それがmixiがウケた理由である。 ところが今ソーシャルメディアとして成長しているのは、人と人との繋がりの間にプライ
高木浩光＠自宅の日記 - 「ライフログ活用サービス」という欺瞞
■ 「ライフログ活用サービス」という欺瞞 実は、今年3月、総務省の「利用者視点を踏まえたICTサービスに係る諸問題に関する研究会」からは、有識者ヒアリングとして意見を述べる機会を頂いた。ただし、私に発言の機会が与えられたのは、「ライフログWG」における検討内容のうち、「より信頼されるサービスに向けて(配慮原則の提言)」の部分についてのみで、それ以外の部分については対象外だった。 あまり重大な指摘をする余地のない部分であったが、私としては与えられた使命を全うすべく可能な限り改善点を洗い出して、意見として列挙した。 この「配慮原則の提言」は、報告書案では「ライフログ活用サービス」という表現を使っているが、実質的には、これはすべて「行動ターゲティング広告」を対象としたものになっている。「ライフログ活用サービス」というと、利用者が自ら望んで活用する話に聞こえるが、行動ターゲティング広告では、基本的
グーグル、JotSpotのプライバシー設定を変更
Googleは米国時間10月31日、同社のオンラインコラボレーションサービス「JotSpot」のプライバシー設定を変更すると述べた。この措置は、JotSpotユーザーのメールアドレスや氏名が、ユーザーの同意なしにウェブ上に公開されているのを発見した研究者からの指摘を受けたもの。 ハーバードビジネススクールの教授でセキュリティ研究者でもあるBen Edelman氏は、10月30日に投稿したブログエントリの中で、JotSpotユーザーの氏名やメールアドレスがGoogleでいかに簡単に検索可能であるかを説明した。 この件についてCNET NewsがGoogleに問い合わせたところ、GoogleはJotSpotのプライバシー管理の設定についてはJotSpotグループの管理者らに責任があるとし、この件に関するGoogleの責任を完全否定する声明を出した。仮にインターネット上にユーザー情報が流出したと
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
個人情報流出についてのお詫びとご報告 | 西日本鉄道株式会社[PDF]
[PDF] 住宅機器の遠隔操作サービス「リモートプラス」ならびにガスの消し忘れ 確認サービス「確かめ～る」における不適切なパスワードの発行について - 東京ガス株式会社(2016年3月25日)
ベクターの個人情報が消せない件 – ちとろぐ