「LINEのセキュリティ」は大問題 TikTokと同じ道をたどるのか
「LINEのセキュリティ」は大問題 TikTokと同じ道をたどるのか：世界を読み解くニュース・サロン（1/5 ページ） 日本人の8割、約9600万人が利用している無料メッセージングアプリの「LINE」。新しいコミュニケーションツールとして2012年ごろから一気に市民権を獲得。写真やファイルを簡単に送れる機能や、キャラクターのスタンプなどが人気を博して、瞬く間に日本人の生活に不可欠なアプリとなった。 クラウド型ビジネスチャットツール「LINE WORKS」などで、深くLINEと付き合っている企業も少なくないだろう。 民間企業は言うまでもなく、中央省庁や地方自治体もLINEアカウントを開設している。例えば、コロナ禍では、経済産業省がLINEで「経済産業省 新型コロナ 事業者サポート」を設置して企業を支援。厚生労働省は海外から日本に入国する人に向けて「帰国者フォローアップ窓口」をLINEで設置し
＜独自＞ＦＢアカウント詐取攻撃、日本政府関係者も標的 露、米大統領選選挙工作か
昨年夏ごろからフェイスブックのアカウントを乗っ取ろうとする攻撃が活発化しており、日本の政府関係者のアカウントも狙われていたことが６日、分かった。２０２０年米大統領選挙への介入が指摘されたロシアの情報工作団体が再び交流サイト（ＳＮＳ）を使い、今年１１月の米大統領選に向け、米国の有権者らに影響を及ぼそうとしている可能性がある。 インターネットセキュリティー会社「Ｓｏｌａ．ｃｏｍ」（ソラコム、仙台市）によると、昨年夏ごろから世界規模でフェイスブックアカウントの詐取を狙う動きが活発化しているという。同社の分析によると、昨年１１月までに約１３１２万回、約８５０万人のアカウントを詐取しようとした試みが観測された。 被害者の９割以上は米国人だが、日本では、政府関係者などがこうした攻撃を受け、実際に乗っ取られたケースもあったという。 手口は、まずアカウントを詐取するために作られたリンクをユーザーに送り付け
「認証」を整理する | IIJ Engineers Blog
英語の「Authentication」を整理する ここからは先ほどの分類で言うところの「ユーザ認証」としての「認証」、つまり英語の「Authentication」に該当する「認証」について、さらに整理を進めていきます。 先ほど、「ユーザ認証」を「システムを利用しようとしているユーザを、システムに登録済みのユーザかどうか識別し、ユーザが主張する身元を検証するプロセス」と説明しました。「ユーザの識別」と「身元の検証」はユーザ認証に欠かせませんが、実際は他にも「ユーザの有効／無効状態の確認」や「検証に成功した場合の身元の保証（アクセストークンの発行等）」などの処理も一般的にユーザ認証のプロセスには含まれます。 ここで冒頭の「○○認証」を振り返りましょう。パスワード認証、SMS認証、指紋認証、顔認証は実はここで言うユーザ認証には該当せず、ユーザ認証中の一処理である「身元の検証」を担っていることがお
エンジニアというITの専門家でありながら、小賢しいWeb系の詐欺に80%ぐらいはまって死にかけた話 - Qiita
みなさんこんにちは！記事を読んでくださりありがとうございます。 Qiitaには初投稿なので、簡単に自己紹介をさせてください。 自己紹介 ・カナダのバンクーバーでWeb/モバイルエンジニアとして働いています ・2024年7月に日本に帰国し、プロダクトオーナーに転身します ・大阪出身です 何が起こったかの概要 タイトルの通り、小賢しいWeb系の詐欺にはまって危うく銀行口座に侵入されかけました。カナダで起こった出来事ですが、日本でも似たようなことが起こり得る事例かと思ったので、よりたくさんの方に注意喚起ができればと思いこちらに投稿致しました。 時系列での解説と違和感ポイント みなさん、Facebookには「マーケットプレイス」という機能があるのをご存知でしょうか？日本で言うジモティーのような機能です。カナダでは不用品の売買でFBのマーケットプレイスが非常によく利用されます。私は2ヶ月後に日本へ引
ネット通販で１万５０００人余クレジットカード情報漏えいか｜NHK 福岡のニュース
福岡市で飲食店を経営する会社は、自社のネット通販のウェブサイトが不正アクセスを受け、１万５０００人余りのクレジットカードの情報が漏えいしたおそれがあると発表しました。 一部のカード情報は不正に利用された可能性があるということです。 情報漏えいのおそれがあるとホームページで発表したのは、福岡市博多区で飲食店を経営する「有限会社なごみ」です。 発表によりますと、商品を購入することができる自社のウェブサイト「味市春香なごみオンラインショップ」が不正アクセスを受け、顧客が入力したクレジットカードの情報が外部に流出するよう改ざんされていたということです。 漏えいしたおそれがあるのは、２０２１年１月２７日から去年５月１５日の間にクレジットカードで決済した１万５２７４人分の名前やカード番号、有効期限、それに、セキュリティコードなどの情報です。 一部のクレジットカード情報は不正に利用された可能性があるとい
「Twitter.com」を「X.com」に自動変換 Xが仕様変更も、批判相次ぎすぐ撤回 ネット失笑
「Twitter.com」という文字列を入力したはずなのに、Xにポストした瞬間、自動的にその文字列が「X.com」に変換されてしまう――トラブル続きのXで今度はそんな現象が発生し、詐欺に利用されかねないとして一部のユーザーが警戒を呼びかけた。問題は間もなく解消されたものの、Xの混乱ぶりにあきれる声や批判の声が飛び交っている。 米メディアのMashableやKrebs on Securityによると、自動変換はiOS向けのXで4月8日（米国時間）に始まった。この問題は「Twitter.com」が「X.com」に置き換わるだけにとどまらなかった。 例えば「space-twitter.com」というリンクをポストすると、末尾の「twitter.com」の部分の文字列だけが勝手に「x.com」に置き換えられて、Xの画面では「space-x.com」と表示される。一方で、実際のリンク先は変わらないま
PHPやRust、Node.jsなどで引数処理の脆弱性を確認 急ぎ対応を
JPCERTコーディネーションセンター（JPCERT/CC）は2024年4月15日、「Window」で動作する複数のプログラミング言語や実行環境でのコマンド実行処理において、引数のエスケープ処理が適切に機能しない脆弱（ぜいじゃく）性があると伝えた。 PHP、Rust、Node.jsなどで引数処理の脆弱性を確認 この脆弱性を悪用されるとアプリケーションのコマンドインジェクションにつながる可能性があり、コマンド実行時に改ざんされたプログラムの引数の入力を処理することで任意のコマンドを実行される危険性がある。 今回発見された脆弱性は脆弱性情報データベース（CVE）に複数登録されている。CVE情報は以下の通りだ。 CVE-2024-1874： PHPの「proc_open」関数に存在するコマンドインジェクションの脆弱性 CVE-2024-22423： コマンドラインプログラム「yt-dlp」に存在
X、投稿された文中の「Twitter.com」を勝手に「X.com」に書き換え。リンク先偽装に悪用の可能性を指摘される | Gadget Gate
テクノロジー 修正された模様ですが、まだ行き届いていない環境もあるかも X、投稿された文中の「Twitter.com」を勝手に「X.com」に書き換え。リンク先偽装に悪用の可能性を指摘される いまだ「Twitter」と呼ばれることが多く、むしろTwitterという方が話が通じるのだが、イーロン・マスクが買収したSNSは現在「X」という名前になっている。 とはいえ、ウェブの様々な場所に埋め込んで拡散されるSNSの仕組み上、サービスのURLを簡単に変えることは難しいのか、いまだXのサービスは「twitter.com」ドメインで運用されているのが実際のところだ。 ただ、マスク氏は投稿に含まれるサービス名やURLが、いつまでも旧名の「Twitter」であることが気に入らないのかもしれない。最近、何人かのXユーザーが、XのiPhoneアプリで表示したとき、投稿に含まれるURLの「twitter.co
テスラの車載カメラがとらえたドライバーの日常が社内でネタにされている
テスラの車載カメラがとらえたドライバーの日常が社内でネタにされている2023.04.09 18:0088,484 satomi 壁に耳あり、車内に目あり。 Tesla（テスラ）の車載カメラが捉えた非公開映像がTesla社員の間で盛んにシェアされて、笑いのネタになっていたことがReutersの調べで明らかになりました。 元社員20人余りの証言によれば、ドライバーの非公開映像の閲覧がTeslaの社内では格好の暇つぶしになっていたのだといいます。 ｢反響がありそうなお宝を見つけたら（社内のメッセージシステムに）投稿するんですね。すると休み時間になると、みんな寄ってきて "見たよ。おもしろいね" って口々に言うってな具合でした｣ ｢管理職に昇進した人たちは面白映像をいっぱいシェアして面白いヤツとして社内で一躍有名になった人たちでした｣（元Tesla社員） どのカメラ？Tesla車には内外に多数カメ
続々、Publickeyが受けたDDoS攻撃。DDoS対策に効果を発揮した設定紹介編
3月12日火曜日に始まったPublickeyへのDDoS攻撃に対して、これまでサーバの強化、Cloudflareの導入とDDoS対策のための設定を行ってきました。 その結果、3月24日日曜日の夜に始まり3月27日水曜日の朝まで3日間連続で続いたDDoS攻撃のあいだもWebサイトの閲覧と記事更新などを問題なく行える状態となり、DDoS攻撃がWebサイトの運営の大きな障害ではなくなりました。 ちなみにそれ以後DDoS攻撃は止んでいますが、今後はいつDDoS攻撃を受けてもWebサイトの運営に支障がでることはなくなったと考えられます。この記事では結局どのような対策を行ったのか、実際に効果を発揮したDDoS対策を紹介していきます。 これまでの経緯は下記の記事をご参照ください。 Publickeyが受けたDoS攻撃、これまでの経緯と対策まとめ 続、Publickeyが受けたDoS攻撃、これまでの経緯と
「TikTokは事実上のキーロガー」と専門家、知らないうちにユーザーを侵害する「アプリ内ブラウザ」の脅威とは？
開かれたインターネットを目指すソフトウェアエンジニアらによって組織された非営利団体・Open Web Advocacy(OWA)が、ユーザーの目が届かない場所でセキュリティやプライバシーを大きなリスクにさらすアプリ内ブラウザについて提言しました。 In-App Browsers: The worst erosion of user choice you haven't heard of - Open Web Advocacy https://open-web-advocacy.org/blog/in-app-browsers-the-worst-erosion-of-user-choice-you-havent-heard-of/ 以下のムービーでは、OWAが危惧しているアプリ内ブラウザの問題点がアニメーションでわかりやすく解説されています。 Open Web Advocacy - In-
広く使用されている「xz」にssh接続を突破するバックドアが仕込まれていた事が判明。重大度はクリティカルでLinuxのほかmacOSにも影響 | ソフトアンテナ
Red HatやDebianを含むLinuxディストリビューションで広く使用されている圧縮ツール「xz」の最新版に悪意のあるバックドアが含まれていた事がわかりました(Ars Technica)。 発見した開発者のAndres Freund氏は、xz version 5.6.0と5.6.1に悪意のあるコードが含まれていることが分かったと指摘しています。幸い、このバージョンは主要なLinuxディストリビューションの製品リリースでは使用されていませんが、Fedora 40やFedora Rawhide、Debian testing/unstable/experimentalなどのベータ版リリースには含まれていたそうです。 macOSのHomebrewでは、複数のアプリがxz 5.6.1に依存している事が判明し、現在xz 5.4.6へのロールバックが行われています。 悪意のある変更は難読化され、バ
生成AIの弱点が相次ぎ発覚 ChatGPTやGeminiがサイバー攻撃の標的に 情報流出や不正操作の恐れも
米OpenAIの「ChatGPT」やGoogleの「Gemini」など、主要生成AIの弱点や脆弱性が次々に発覚している。企業や個人の日常生活に浸透している生成AIが悪用されれば、社外秘情報や個人情報の流出を招いたり、悪用防止対策がかわされて偽情報の作成に利用されたりする恐れもある。 イスラエルのベングリオン大学の研究チームは、生成AIとユーザーの間に割り込んでデータパケットを傍受し、AIの回答内容を高い精度で復元する攻撃に成功したと発表した。この攻撃は、生成AIがユーザーの質問に回答する際のデータ処理に存在する脆弱性を突いている。 （関連記事：他人がGPT-4とやりとりしたテキストを盗む攻撃 成功率50％以上 イスラエルの研究者らが発表） ChatGPTなどの生成AIがユーザーの指示や質問に対して答えを返す際は、文章を単語や文字ごとにトークン化し、個々のトークンを連続的にユーザーに送信して
GitHub、脆弱性のあるコードの自動修正機能発表。AIボットが修正済みコードと解説をプルリクエスト
GitHubは、脆弱性のあるコードをAIボットが自動的に発見、修正したコードとその解説をプルリクエストしてくれる「code scanning autofix」（コードスキャン自動修正機能）を発表しました。 Meet code scanning autofix, the new AI security expertise now built into GitHub Advanced Security! https://t.co/cTDuKZCWMv — GitHub (@github) March 20, 2024 下記がそのコードスキャン自動修正機能の説明です。「Found means fixed: Introducing code scanning autofix, powered by GitHub Copilot and CodeQL」から引用します。 Powered by GitH
続、Publickeyが受けたDoS攻撃、これまでの経緯と対策まとめ
先週の火曜日、3月12日に始まったPublickeyへのDDoS攻撃は今週日曜日、3月18日日曜日の早朝を最後に収まったようです。この記事執筆時点でPublickeyのサーバは平常に戻っています。 この間、読者や広告を掲載いただいているお客様や代理店様にご不便やご心配をおかけし申し訳ありませんでした。 DoS攻撃とは、大量のトラフィックをWebサーバなどに浴びせることでサーバを応答不能にしてしまう攻撃のことです。 前回の報告「Publickeyが受けたDoS攻撃、これまでの経緯と対策まとめ」の後、さらにいくつか対策を講じましたので、この記事では前回の報告以後の経緯と講じた対策を記したいと思います。 また、前回の報告では「DoS攻撃」と書きましたが、その後Publickeyのサーバをホスティングしているさくらインターネットのサポート担当の方から、今回の攻撃は分散した箇所から攻撃を受けていると
Publickeyが受けたDoS攻撃、これまでの経緯と対策まとめ
Publickeyのサーバは3月12日から14日にかけて何度もDoS攻撃を受けてダウンしていました。 その間、読者や広告を掲載いただいているお客様や代理店様にご不便やご心配をおかけし申し訳ありませんでした。 ひとまず現在までの状況と対応について報告したいと思います。 先に現状のみを報告すると、CloudflareのDDoS対策サービスを導入していまのところ平穏な状況を保っているため、このまま様子をみているところです。 DoS攻撃の発生時間帯 DoS攻撃とは、大量のトラフィックをWebサーバなどに浴びせることでサーバを応答不能にしてしまう攻撃のことです。 下図が3月12日から14日にかけてPublickeyのサーバに対して行われたDoS攻撃の主な発生時間帯です。 グラフはPublickeyのページビューの推移を示しており、横向きの矢印が主なDoS攻撃の発生時間帯を示しています。発生時間帯では
グーグル、数十億人が利用するChromeに「画期的」な新セキュリティ対策 | Forbes JAPAN 公式サイト（フォーブス ジャパン）
デジタル時代の今、誰もが毎日、オンラインの脅威にさらされている。しかし、そんな脅威から保護されるか、犠牲になるかは「わずか数分間の問題」による。この問題に取り組むために、グーグルはデスクトップおよびiOSのChromeユーザー向けに新たなセキュリティとプライバシーの保護を導入した。 これらの新機能は、フィッシング攻撃の検出とブロックをより効率的に行うように考えられている。グーグルは、このアップデートによってブラウザが検出、ブロックしたフィッシング攻撃の数は25％増えたという。 時間勝負、悪意あるサイトは「10分間以下」しか存在していない グーグルのChromeとセーフブラウジングの各責任者が3月14日に公開した統計によると、サイバー犯罪者がユーザーの個人データを盗んで金銭にアクセスするために使用される悪意のあるサイトは、平均「10分間以下」しか存在していない。それは、犯罪者にとってはチャン
LINEヤフー､総務省も呆れ果てた｢変わらぬ体質｣
「行政指導でここまで踏み込んだ文書は、あまり見たことがない。次こそは許しませんよ、というメッセージだろう」 総務省は3月5日、SNS「LINE」や検索サービス「Yahoo! JAPAN」などを運営するLINEヤフーに行政指導を行った。その指導内容を記した文書を見た通信業界関係者は、驚きの声を上げた。 LINEヤフーは2023年9～10月、LINEの利用者や取引先の情報など約51万9000件を外部に漏洩させていた。総務省はこのうち2万件以上が電気通信事業法上の「通信の秘密」の漏洩に当たると判断した。 具体的な指導項目として、LINEヤフーの親会社に50％出資する韓国のIT大手、NAVERとのシステムの切り離しや、グループ全体のセキュリティガバナンス体制の強化などを要請。その取り組み方針などを4月1日までにとりまとめたうえで、今後少なくとも1年間は、四半期ごとに総務省に対応状況を報告することを
GitHubに大量の悪質リポジトリ、その数“10万超” 感染するとパスワード流出の恐れ
GitHubでマルウェアを仕込んだリポジトリを本物に見せかけて拡散させる手口が横行し、10万を超す感染リポジトリが見つかっているとしてサイバーセキュリティ企業が注意を呼びかけている。攻撃は今も続いており、何も知らない開発者がこうしたリポジトリを使えば、マルウェアに感染してパスワードなどの情報が流出する恐れがある。 サプライチェーンのセキュリティ対策を手掛ける米Apiiroによると、GitHubのリポジトリを狙う「リポコンフュージョン（取り違え）攻撃」は2023年11月ごろから激化したという。 攻撃者は、開発者をだまして悪質なコードやファイルをダウンロードさせる目的で、正規のリポジトリのクローンを作成。そこにマルウェアを呼び出すコードを仕込み、同一の名称でGitHubにアップロードする。次に自動化の仕組みを使ってそれぞれを何千回もフォークさせ、Web上のフォーラムなどで宣伝しているという。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「PuTTY」に秘密鍵が復元できてしまう深刻な脆弱性 ～「WinSCP」など他ツールにも影響／v0.81への更新と鍵の再生成を
