メアドを入力すると、流出被害に遭っているかが分かる Mozillaが無料のチェックサービス - ITmedia NEWS
専用サイトでユーザーが自分の電子メールアドレスを入力すると、その情報が流出被害に遭っていないかどうかをチェックできる。 米Mozilla Foundationは9月25日、自分のアカウント情報が流出していないかどうかをユーザーがチェックできる無料サービス「Firefox Monitor」の正式提供開始を発表した。 同サービスは、ユーザーが日常的に利用するWebサイトを通じてメールアドレスやパスワードなどが流出する事件が後を絶たない現状を受け、セキュリティ研究者のトロイ・ハント氏が運営する「Have I been pwned？（HIBP）」と提携して開設された。2018年7月から実施していたテストを経て、今回、一般ユーザー向けに正式公開することにしたという。 Firefox Monitorのサービスは、専用サイトの「monitor.firefox.com」を通じて利用できる。ユーザーが自分の
Webエンジニアだったら当然知っておきたい「 クリックジャッキング対策 」とは？ | 株式会社ヌーラボ(Nulab inc.)
こんにちは。Typetalkチームの永江です。今回は4月にリリースした、BacklogとTypetalkの連携機能である「Backlogカード」の実装の際に行った クリックジャッキング対策 について説明します。 Backlogカードとは Backlogカードは、Typetalkのトピック内にBacklogの課題やコメントをカード形式にして表示する機能です。Backlogの課題キーや課題のURLを貼り付けるだけで、以下の画像のように表示できます（※詳しいご利用方法についてはこちらの「Typetalkのトピック上で課題の詳細を見られる Backlogカード をリリースしました！」をご参照ください）。 Backlogカードの実装は、TypetalkからBacklogに用意した埋め込み用の課題ページを<iframe>で表示するというものです。このような実装にしたのは、もともとBacklogに<if
世界各地で発生したランサムウェア WannaCry の感染事案についてまとめてみた - piyolog
2017年5月12日頃から、世界各地でランサムウェアに感染する被害が相次いで報告されています。ランサムウェアはWannaCry等と名前が付けられているもので、これに感染する原因として、Windowsの脆弱性、及びその脆弱性を用いたNSAが開発したツールが関係している可能性があると各国のCSIRTやセキュリティベンダが注意喚起等を公開しています。Microsoftは今回の感染事案を受け、WindowsXPなどのサポートが切れたOSを対象とした緊急の更新プログラムも公開しました。 ここではこの世界中で発生したランサムウェア WannaCry の感染被害などについてまとめます。 インシデントタイムライン 以下は主に国内の関連事象を整理したもの。 日時 出来事 2016年9月16日 MicrosoftがSMBv1の使用停止を強く推奨する記事を公開。 2017年1月16日 US-CERTがSMBv1
企業は安易なMastodonインスタンスの運用を避けるべきでは? - ただのにっき(2017-04-21)
■ 企業は安易なMastodonインスタンスの運用を避けるべきでは? たまにはセキュリティクラスタ的なことを書いてみる。最初は「安全なMastodonインスタンスの選び方」というタイトルだったんだけど「安全と安心は違うしなぁ」と思い、「安心な～選び方」にしていたんだが、ここ数日で「企業は自社インスタンスを立ち上げるべき！」みたいな煽りをよく目にすることになったのでこうした。 「おひとりさまインスタンス」を立てる記事がいくつも書かれ、さくらインターネットが提供するVPSで簡単にインスタンスを動かせるスクリプトを提供されたりして、この波にのって我が社も専用インスタンスを持とうって考えてる企業は多いと思う。すでにニッポン放送のインスタンス「Tuner」みたいな(非IT系)企業インスタンスができ始めている。 そりゃぁ他人・他社が運用するインスタンスにアカウント作って「公式でござい」なんてするより、
teratailに投稿されたメールフォームにCSRF脆弱性が残存した理由 | 徳丸浩の日記
teratailに以下のような投稿がありました。 PHPでメールフォームを作成したので、脆弱性がないかアドバイスいただけないでしょうか。 エンジニアでもなければ、PHPもろくに書けない雑魚ですが、「php メールフォーム 作り方」でググって表示されるサイトを見ると、「んんんんん？？？」と思うところがあります。 これらを参考にしたり、コピペする方は、記述されているコードの良し悪しは判断できないかと思います。 そのような方々が参考にできるメールフォームを作りたいという思いで、調べて作りました。 周りに書いたコードを確認してもらえる人もいないので、皆様からのアドバイスがほしいです((_ _ (´ω｀ )ﾍﾟｺ 【PHP】作成したメールフォームに脆弱性がないか、アドバイスもらえないでしょうかより引用 どれどれ…と確認すると、トークンのチェックが入っているにも関わらずクロスサイト・リクエストフォージ
コワーキングスペース7FのWebサイトのURLを、全体HTTPS化（常時SSL化）しました。 | コワーキングスペース7F
こんにちは。コワーキングスペース7Fの運営代表者の星野邦敏です。 タイトルの通りではありますが、コワーキングスペース7FのWebサイトのURLを、 ホーム から ホーム に、全体HTTPS化（常時SSL化）しました。 「SSL」とは、Webサイトで入力する個人情報やクレジットカード情報などを暗号化し、安全に送受信する技術です。 コワーキングスペース7FのWebサイトは、オープン当初の4年半くらい前の当初から、SSLサーバ証明書を取得して、情報の送信が発生するようなお問い合わせフォーム部分などはSSL化（https://）していたのですが、いわゆる閲覧のみのページについては、SSL化していない（http://）の状態でした。 時代としても全体HTTPS化（常時SSL化）というよりも送受信が発生するページのみSSL化するという流れだったと思いますしね、当時は。 ただ、それから約4年半が経ちまし
LINE乗っ取られたのでその鮮やかなる手口を恥を忍んで公開しましょう - はてなブログを毎日書いていたら10Kg痩せました！
どうも、情弱です。 いやー、やられました。 先程見事にLINEを乗っ取られてしまいました。 今まではLINEで「今ひま？ちょっと手伝ってもらっていい？」というプリカをねだるメッセージが来る度に「情ｗｗｗ弱ｗｗｗ乙ｗｗｗ」と笑っていたのですが、今日からぼくもそちら側です、よろしくお願いいたします。 今回の件で、やはり一番怖いのは機械的なハッキングでなくて心の隙を突かれるソーシャル・エンジニアリングだなと実感しました。 騙されちゃったらもう説得力ありませんが、僕は昔からネットのエロサイトで鍛えた眼力があって、そうそうネットのフィッシングなどには引っかかったことが無いのですが、それでもちょっと気が緩めばネットでは死んでしまうというよい事例です。 めっちょ恥ずかしいですが、自分の恥が誰かを助けるかもということでここは一発状況を共有しておきましょう。 LINE詐欺はLINE以外のメッセージで来た 僕
interview:徳丸先生に聞く、WordPressとセキュリティの気になる事情 | WordCamp Tokyo 2016
徳丸浩さんといえば、通称「徳丸本」こと『体系的に学ぶ 安全なWebアプリケーションの作り方 脆弱性が生まれる原理と対策の実践』でご存知の方も多い通り、Webアプリケーションのセキュリティ専門家としてよく知られています。 今回はWordCamp Toyko 2016にご登壇いただく徳丸さんに、セッションの内容や最近のセキュリティ事情などについてうかがって来ました。当日の目玉セッションの一つである「CMS四天王への攻撃デモを通じて、WordPressの効果的な防御法を学ぼう」を楽しみにされている方は、ぜひご覧ください。参加登録がまだの方はこちら！ 場所 HASHコンサルティング 聞き手 高橋文樹（WordCamp Tokyo 2016 実行委員長） ——本日はお時間いただき、ありがとうございました。まずは、ふだん徳丸さん自身が代表を務めるHASHコンサルティングでのお仕事についてお聞かせくださ
一般ブロガーやWebデザイナーがAmazon Web Service(AWS)で独自ドメインのWordpressサイトを10分で作る方法 - Brian'z Imagination
ぼくはそんなにプログラマーではないので(？)あんまり難しいことは分からないけれど、Amazon Web Service(AWS)ってのがすごいらしい。Amazonといえば完全にぼくの中では欲しいものが1日で手に入るお店やさんだったけれど、AWSも2006年7月の運用からかれこれ10年もの歴史があって、なんかすごいらしい。SmartNewstとかCookpadとか、いろんなサービスがAWS上で動いていてすごいらしい(そのへんに詳しいひとがいたら解説してほしい)。 でもなんだかコンソールとかデプロイとか難しそうな用語ばかり出てきてなんだか敷居が高い(まさにクラウドだけに雲の上の存在だった)ので、もっとシンプルにAWSでブログを運用してみたかった。それに、多くのノンプログラマーのブロガーやWebデザイナーにとっては技術的なことは極力避けたいし、設定とかそういうのはパパッと済ませて、面白い記事を書
エイベックスに不正アクセス 個人情報３５万件流出か | NHKニュース
多くの人気アーティストが所属する大手音楽会社「エイベックス」のウェブサイトに不正なアクセスがあり、サイトの利用者のおよそ３５万件の個人情報が流出したおそれがあることが分かりました。 流出したおそれがあるのは、エイベックスと契約しているアーティストのサイトでキャンペーンなどに応募した人たちの名前や住所、電話番号やメールアドレスなどです。 エイベックスによりますと、パソコン向けのウェブサイトを携帯向けに変換する「ケータイキットｆｏｒＭｏｖａｂｌｅＴｙｐｅ」と呼ばれるソフトウェアの欠陥が原因で不正アクセスを受けたということです。 エイベックスは、サイトの利用者にメールなどで知らせるほか、電話相談にも応じるということです。 電話番号は、０１２０－０７１－０６７です。 エイベックスは「多大なご迷惑をおかけし、深くおわび申し上げます。同じ事態が発生しないようセキュリティーの強化に努めていきたい」とコメ
TeslaCrypt（vvvウイルス）によって暗号化されたファイルの復号手順メモ
国内でも昨年末に話題になったランサムウェア「TeslaCrypt」通称「vvv」ウイルス。 本ブログでも実際に感染してみるというエントリーを掲載しました。 このマルウェアに感染すると特定の拡張子を持つファイルが暗号化され金銭を要求されるのですが そちらの復号方法について海外サイトで言及されていましたので 本ブログでも手順を参考にしならが復号の可否を検証しました。 一部、一次情報のサイトとは手順が異なる部分があります。 今回用いる復号スクリプトは「TeslaCrack」というものでこちらで公開されています。 【環境の構築】 まず、復号するために必要な情報を収集するための環境を整えます。 まずは、復号処理を行うスクリプトがPythonで記述されているため現時点での最新版である「2.7.11」をインストールしました。 インストールが完了したら次に「easy_install」をダウンロードし以下の
12月27日追記・お詫びと訂正あり：「.vvv」ウイルスの被害と対策（三上洋） - エキスパート - Yahoo!ニュース
★12月27日追記 「.vvv」ウイルスについて以下の記事で、続報しております。ご参考までに。 ・暗号化で身代金要求「ランサムウェア」対策：読売新聞サイバー護身術 2015/12/27 →vvvウイルスなどのランサムウェアの対策、及び被害にあった場合の対処をまとめ ・「ｖｖｖウイルス」被害…添付ファイル、改ざんソフトで拡大：読売新聞サイバー護身術 2015/12/11 →vvvウイルスがTwitterなどで問題になった経緯とお詫びです。 ★12月11日追記（お詫び） いわゆる「.vvv」ウイルスについて、この記事で「ウェブサイト上の不正広告が原因」と取り上げましたが、セキュリティ各社の調査によると、不正広告による被害は確認できず、とのことでした。 筆者の調査不足、および誤認によるもので、大変申し訳ありませんでした。お詫びし、訂正します。 このランサムウェアが問題になる2日前に、偶然にもトレ
高木浩光＠自宅の日記 - CCCはお気の毒と言わざるをえない
■ CCCはお気の毒と言わざるをえない 驚きのニュースが舞い込んできた。CCCがプライバシーマーク（Pマーク）を返上したというのである。日経コンピュータの取材によれば、CCC社の「管理本部法務部リーダー」と、「経営戦略本部リスク・コンプライアンス統括部情報管理Leader」と、「経営戦略本部法務部会員基盤Leader」の3氏もそろってこれを認めているという。 CCC（ツタヤ）がプライバシーマーク返上で日本中のプライバシーフリークが騒然の事態(山本一郎) - Y!ニュース https://t.co/BKKhMTRyqX — やまもといちろう (@kirik) 2015, 11月 19 書きました。後編は来週掲載です。/ なぜCCCはプライバシーマークを返上し、T会員規約を改訂したのか（前編） https://t.co/mJFLHTEnvK — Naoki Asakawa / 浅川直輝 (@n
「ロンドン五輪期間中に2億件のサイバー攻撃」とはどれくらい深刻なものだったのか？
「東京五輪に向けてサイバーセキュリティを〇〇」の文脈でよく使われる。「ロンドン五輪期間中に2億件のサイバー攻撃」について、実際にどれくらい深刻なものかよくわからなかったので、調べてみた。 2013/06/04 BT reveals over 200 million hack attempts on London Olympics 2012 website http://www.v3.co.uk/v3-uk/news/2279265/bt-reveals-over-200-million-hack-attempts-on-london-olympics-2012-website この記事が「２億件のサイバー攻撃」のソースになっていると思われる。IPAからもこの記事にリンクが貼られている https://www.ipa.go.jp/about/press/20140117.html BT Gl
「脆弱性を探すためにコードを読むな」とOracleの最高セキュリティ責任者がブログを投稿後に速攻で削除 - GIGAZINE
ソフトウェアやサービスの脆弱性はユーザーだけでなくサービス提供者にとっても厄介な存在で、脆弱性についての指摘に対して報奨金が支払われることも多くなってきました。しかし、Oracle(オラクル)のChief Security Officer(CSO：最高セキュリティ責任者)はブログで、「脆弱性を探すためにコードを読解することは利用規約に反しているのでやめるべき」と書き込んだ後、非難の嵐を受けて投稿を速攻で削除しています。 No, You Really Can’t (Mary Ann Davidson Blog) https://web.archive.org/web/20150811052336/https://blogs.oracle.com/maryanndavidson/entry/no_you_really_can_t Oracle CSO goes against bug boun
いやー、家計簿アプリ業界、そのうち絶対にヒドい事件がおきると予想します | ツイナビ
いやー、家計簿アプリ業界、そのうち絶対にヒドい事件がおきると予想します — Yusuke OSUMI (@ozuma5119) 2015, 6月 30 Zaimの件、そもそも家計簿アプリごとき(と敢えて言う)に、銀行やクレカのログインパスワードを入れちゃう人があんなにたくさんいることの方がよっぽど問題だと思う https://t.co/pidZhtUbej pic.twitter.com/jpNw41MqK0 — Yusuke OSUMI (@ozuma5119) 2015, 6月 28 Zaimの「金融機関の連携」機能、新生銀行にいたっては暗証番号までナチュラルに入れさせようとしてくるので、控えめに言ってこのアプリは頭がおかしいと思う https://t.co/50guysHXIV pic.twitter.com/BQnIaUnfGo — Yusuke OSUMI (@ozuma5119
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
TLS徹底演習
ぼくのかんがえたさいきょうのセキュリティたいさく。ログイン編
【SQLインジェクション対策】徳丸先生に怒られない、動的SQLの安全な組み立て方
SSL/TLSの基礎と最新動向
