「TikTokは事実上のキーロガー」と専門家、知らないうちにユーザーを侵害する「アプリ内ブラウザ」の脅威とは？
開かれたインターネットを目指すソフトウェアエンジニアらによって組織された非営利団体・Open Web Advocacy(OWA)が、ユーザーの目が届かない場所でセキュリティやプライバシーを大きなリスクにさらすアプリ内ブラウザについて提言しました。 In-App Browsers: The worst erosion of user choice you haven't heard of - Open Web Advocacy https://open-web-advocacy.org/blog/in-app-browsers-the-worst-erosion-of-user-choice-you-havent-heard-of/ 以下のムービーでは、OWAが危惧しているアプリ内ブラウザの問題点がアニメーションでわかりやすく解説されています。 Open Web Advocacy - In-
「Avast」がブラウザの閲覧データを販売したとして約25億円の罰金を科される
無料のセキュリティソフト「Avast Antivirus」で知られるAvastが、ユーザーのウェブサイト閲覧データを販売したとして、アメリカの連邦取引委員会(FTC)から1650万ドル(約25億円)の支払いを命じられました。 FTC Order Will Ban Avast from Selling Browsing Data for Advertising Purposes, Require It to Pay $16.5 Million Over Charges the Firm Sold Browsing Data After Claiming Its Products Would Block Online Tracking | Federal Trade Commission https://www.ftc.gov/news-events/news/press-releases/2
NGINXのコア開発者が親会社と決別、新たに「freenginx」という名前でフォーク版を作成開始
NGINXは世界で最も使用されているウェブサーバーですが、そのコア開発者の1人がNGINXを所有している会社であるF5 Networksと対立し、NGINXの開発を離れて新たにNGINXのフォーク版である「freenginx」を開発すると発表しました。 announcing freenginx.org https://freenginx.org/pipermail/nginx/2024-February/000000.html NGINXはロシアの開発者イーゴリ・シソエフ氏によって2004年に無料のオープンソースソフトウェアとしてリリースされました。その後、ソシエフ氏はマキシム・ドゥーニン氏およびアンドリュー・アレクセーエフ氏と共同で2011年に商用サポート提供のための会社Nginx Inc.を設立。着実にシェアを伸ばし続け、2024年2月時点では世界中のウェブサーバーのうち34.1％でN
App Storeでパスワード管理アプリ「LastPass」の偽物が発見される、パスワードを盗むために作られた詐欺アプリの危険性大
by Focal Foto パスワード管理アプリ「LastPass Password Manager」になりすました偽アプリがApp Storeで配布されていたことが判明しました。問題のアプリはその後削除されましたが、Appleによって削除されたのか、作成者によって削除されたのかは不明です。 Warning: Fraudulent App Impersonating LastPass Currently Available in Apple App Store - The LastPass Blog https://blog.lastpass.com/2024/02/warning-fraudulent-app-impersonating-lastpass-currently-available-in-apple-app-store/ Fake LastPass password mana
Chromebookを使う自治体にGoogleへの不必要なデータ送信を止めるようデンマークデータ保護局が要求
安価に導入可能な教育用PCとしてChromebookが採用される事例が報告されていますが、使用時、Googleに対して一部のデータが送信されています。このことについて、デンマークのデータ保護局(DPA)がGoogleへのデータ送信をやめるか、データを送るだけの合理的な説明を行うよう自治体に求めたことがわかりました。 Datatilsynet giver påbud i Chromebook-sag https://www.datatilsynet.dk/presse-og-nyheder/nyhedsarkiv/2024/jan/datatilsynet-giver-paabud-i-chromebook-sag Denmark orders schools to stop sending student data to Google https://www.bleepingcompute
中国政府系ハッカー集団「ボルト・タイフーン」が5年間以上もアメリカの主要インフラに潜伏していたことが判明、台湾侵攻の緊張が高まる
アメリカのサイバーセキュリティ・インフラストラクチャ・セキュリティ庁(CISA)、国家安全保障局(CISA)、連邦捜査局(FBI)は共同で、中国政府が支援するハッカー集団「ボルト・タイフーン」が少なくとも5年の間アメリカの重要インフラへのアクセスを維持していたとの調査結果をまとめました。これは、情報を盗むという従来のサイバー攻撃から逸脱し、アメリカのインフラを奪取するという中国の野心が急激に高まっていることを意味しており、当局は特に台湾侵攻の前哨戦として壊滅的な破壊工作が仕掛けられるとの懸念を深めています。 PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure | CISA https://www.cisa.gov/news-events/cy
FacebookやTikTokなど多くのiPhoneアプリが「通知」を本来とは違う目的で使用してデータ収集を行っているという指摘
iOSアプリはプライバシーとパフォーマンスに関連する理由からバックグラウンドでの実行が許可されていませんが、プッシュ通知はバックグラウンドでも許可されています。この通知を好きなようにカスタマイズし、データを収集しているアプリが数多くあることが指摘されています。 ???????? Privacy Concerns about Apple Push Notifications TL;DR: data-hungry apps use push notifications as a trigger to send app analytics and device information to their remote servers, even if the apps aren't running at all on your iPhone. Such apps include TikTok, F
「Operaは変わり果てたのでもう使うな」と有識者が語る
ノルウェー発のウェブブラウザのOperaは、「Opera最強伝説」で知られるなど、ニッチながら根強い人気に支持されているブラウザです。テクノロジージャーナリストのコービン・ダベンポート氏が、「素晴らしいウェブブラウザだったが見る影もなくなった」としてOperaや派生ブラウザのOpera GXを使うのをやめることを宣言し、その理由をブログを説明しました。 Stop using Opera Browser and Opera GX https://www.spacebar.news/stop-using-opera-browser/ ◆これまでのOperaの足取り Operaは1995年にリリースされたウェブブラウザで、当初は有料ソフトウェアだったということもあり、当時主流だったInternet ExplorerやNetscape Navigatorに比べてユーザーは少なく、全盛期でさえニッチ
ウェブサイトに侵入してくる相手にZIP爆弾を送りつけて撃退する方法
セキュリティの不十分なサーバーを見つけるためにウェブサイトには日々多数の不審なアクセスが行われています。そうしたアクセスをしてくる相手に対して解凍すると容量が膨れ上がる「ZIP爆弾」を送りつけて撃退する方法がブログにまとめられています。 How to defend your website with ZIP bombs https://blog.haschek.at/2017/how-to-defend-your-website-with-zip-bombs.html ZIP爆弾とは、ZIPの圧縮アルゴリズムを最大限に活用することで巨大なファイルを小さなZIPファイルに収めたものです。例えば下記の記事ではたった10MBのZIPファイルを解凍すると281TBになってしまうZIP爆弾が登場しています。 「非再帰的ZIP爆弾」は10MBのファイルが281TBに膨らむ - GIGAZINE サーバ
パスワード管理アプリ「LastPass」から盗まれたデータが仮想通貨の盗難に悪用されている可能性
2022年8月に発生したパスワード管理アプリ「LastPass」のソースコード流出事件では、発生当初は「ユーザーのパスワードが盗まれた証拠は見つかっていない」とされていたものの、11月末になってユーザーデータへの不正アクセスがあったことが判明しました。新たに、LastPassから盗み出されたユーザーパスワードが解読され、仮想通貨の盗難に悪用されている可能性があると、セキュリティブログのKrebs on Securityが報じています。 Experts Fear Crooks are Cracking Keys Stolen in LastPass Breach – Krebs on Security https://krebsonsecurity.com/2023/09/experts-fear-crooks-are-cracking-keys-stolen-in-lastpass-bre
デジタル世界の「自由」は徐々に失われており「DRM義務化」「VPN非合法化」「アプリ更新への政府介入」といった最悪の状況に突き進む可能性がある
カエルを水に入れてゆっくり加熱すると危険を察知できずにそのまま死んでしまうというのがゆでガエル理論です。デジタル世界の自由が徐々に失われつつあることを時系列にまとめて今後さらに規制が強まる恐れがあると警鐘をならすブログ記事が機械学習エンジニアのロビン・ランジュさんによって投稿され、エンジニアが集うニュースサイト「Hacker News」で話題になっています。 The boiling frog of digital freedom | Gazoche's blog https://gazoche.xyz/posts/boiling-frog/ The boiling frog of digital freedom | Hacker News https://news.ycombinator.com/item?id=37368824 デジタル世界の自由を奪う仕様やルールの歴史は以下の通り。 2
ウェブサイトのユーザーを識別する「フィンガープリント」は考えられている以上にタチが悪いかもしれない
ウェブサイトはユーザーが後日アクセスしてきたときに識別できるようCookieを利用しており、閲覧履歴に基づいて広告が表示されます。しかし、FirefoxなどにはCookieをブロックして追跡させないようにする保護機能が搭載されていることから、Cookieの代わりとして用いられるようになってきているのが「フィンガープリント」です。この「フィンガープリント」はCookieを防いでいた手法が通用せず、タチが悪い存在だと開発者のbitestring氏が指摘しています。 Web fingerprinting is worse than I thought - Bitestring's Blog https://www.bitestring.com/posts/2023-03-19-web-fingerprinting-is-worse-than-I-thought.html bitestring氏は
Cloudflareに目を付けられたせいで仕事で使うサイトにアクセスできなくなってしまった事例が報告される
Cloudflareは、CDNやセキュリティなどインターネットに関するさまざまなサービスで非常に大きなシェアを握っているため、個人や小規模事業者がひとたびCloudflareににらまれるとインターネットの大部分が使用できなくなるなど、さんざんな目に遭ってしまう可能性があります。スイスの製薬会社・Rocheに勤める計算生物学のジェームズ・ホーリー氏が、ささいなことからCloudflareの規制を受け、仕事に欠かせないサイトから遮断されてしまった経験談をつづりました。 Blocked by Cloudflare https://jrhawley.ca/2023/08/07/blocked-by-cloudflare ホーリー氏によると、インターネットユーザーがCloudflareを利用しているサイトにアクセスすると、サイト側は訪問者のブラウザの整合性チェックを行うとのこと。これには、ボットや悪
10万件超のChatGPTアカウントが盗まれてダークウェブで取引されていることが判明、企業の機密情報が漏えいする危険も
シンガポールを拠点とするサイバーセキュリティ企業のGroup-IBが、「10万件を超えるChatGPTのアカウントがマルウェアによって盗まれ、ダークウェブで取引されている」と報告しました。ChatGPTはデフォルトでユーザーのクエリとAIの応答履歴を保存しているため、ChatGPTアカウントへの不正アクセスは企業の機密情報や個人情報の漏えいにつながる危険性があるとのことです。 Group-IB Discovers 100K+ Compromised ChatGPT Accounts on Dark Web Marketplaces; Asia-Pacific region tops the list | Group-IB https://www.group-ib.com/media-center/press-releases/stealers-chatgpt-credentials/ Tr
悪意あるコードが仕込まれたChrome拡張機能が大量に発見される
セキュリティ研究者で、有名な拡張機能「AdBlock Plus」の元開発者でもあるウラジミール・パラント氏が、Chromeウェブストアにある多数の拡張機能に難読化された悪意あるコードが含まれていたことを発表したと報告しました。 More malicious extensions in Chrome Web Store | Almost Secure https://palant.info/2023/05/31/more-malicious-extensions-in-chrome-web-store/ パラント氏が最初にこの問題を発見したのは、PDFファイルの編集や結合などの機能を持つ「PDF Toolbox」という拡張機能です。200万人以上のユーザーと「4.2」の評価を得ていたこの拡張機能は、表面的には何の変哲もない拡張機能でしたが、アドウェアを配布している「serasearchtop
パスワード管理アプリ「LastPass」のパスワードや個人情報が盗まれていたことが判明
パスワード管理アプリ「LastPass」では、2022年8月の不正アクセスによってソースコードが盗まれて以降、ハッカーによる顧客データへの不正アクセスが発生しています。LastPassは2022年12月22日に不正アクセスによってユーザーの個人情報やパスワードなどのデータが漏えいしたことを発表しています。 Notice of Recent Security Incident - The LastPass Blog https://blog.lastpass.com/2022/12/notice-of-recent-security-incident/ LastPass says hackers stole customers’ password vaults | TechCrunch https://techcrunch.com/2022/12/22/lastpass-customer-p
中国はソフトウェアの脆弱性を報告せずにまとめあげてサイバー兵器にしようとしている
Microsoftが中国で制定された2021年の法律によって、中国のサイバー攻撃の能力が向上したと指摘しています。 China likely is stockpiling vulnerabilities, says Microsoft • The Register https://www.theregister.com/2022/11/07/china_stockpiles_vulnerabilities_microsoft_asserts/ 中国政府が制定した2021年の法律では、企業がセキュリティー上の脆弱(ぜいじゃく)性を公表する前に地元当局に報告することが義務づけられました。一方でこの法律では政府が現地の報告を利用することで脆弱性に関する情報をため込むことができるとされています。 2022年には、アトランティック・カウンシルの研究者が、中国から報告される脆弱性の減少と匿名の報告の増
Pythonの15年間見過ごされてきた脆弱性が30万件以上のオープンソースリポジトリに影響を与える可能性
プログラミング言語のPythonで、2007年に存在が公開されたものの修正されなかったバグが再発見されました。任意コード実行可能な脆弱性にもつながるこのバグの影響は、コーディング自動化ツールを介してさまざまなプロジェクトに広まっており、修正するべきオープンソースリポジトリが35万件以上にも及ぶと指摘されています。 Tarfile: Exploiting the World With a 15-Year-Old Vulnerability https://www.trellix.com/en-us/about/newsroom/stories/threat-labs/tarfile-exploiting-the-world.html Tarfile: Exploiting the World With a 15-Year-Old Vulnerability https://www.trell
文章生成AI「GPT-3」にハンドルネームを入力したら本名がフルネームで出力されたという報告
AI研究団体のOpenAIが開発した文章生成AI「GPT-3」は人間と見分けが付かないほど自然な文章を生成できることから大きな注目を集めています。そんなGPT-3について「自分のハンドルネームを入力してみたところ、自分の本名を含む文章が生成されてしまった」という恐ろしい経験談がニュース共有サイトのHacker Newsに投稿されました。 Ask HN: GPT-3 reveals my full name – can I do anything? | Hacker News https://news.ycombinator.com/item?id=31883373 OpenAIが開発したGPT-3は指示された内容に応じて文章を生成するAIで、生成する文章の精度が高いことからMicrosoftのビジネス向けサービスに採用されるなど大きな注目を集めています。一方で、GPT-3はネット上の膨大な
AndroidとiOSをターゲットにする新たな商用スパイウェア「Hermit」についてGoogleが詳しく説明、iOS版には2つのゼロデイを含む6つのエクスプロイトあり
GoogleとそのセキュリティチームであるProject Zeroが、AndroidとiOSをターゲットとする商用スパイウェア「Hermit」についての詳細なレポートを報告しています。Hermitは感染したデバイスの周囲の音声を録音したり、写真・メッセージ・電子メール・通話履歴・デバイスの正確な位置情報を収集したりするとのことです。 Spyware vendor targets users in Italy and Kazakhstan https://blog.google/threat-analysis-group/italian-spyware-vendor-targets-users-in-italy-and-kazakhstan/ Project Zero https://googleprojectzero.blogspot.com/2022/06/curious-case-ca
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
