ウェブブラウザのバージョン間の違いを無効化するJavaScriptライブラリ「Polyfill.io」が、2024年2月のプロジェクトオーナー変更後、マルウェアが混入されてサプライチェーン攻撃に利用され、10万以上のサイトに影響が出ています。 Polyfill supply chain attack hits 100K+ sites https://sansec.io/research/polyfill-supply-chain-attack 「Polyfill.io(polyfill.js)」はアンドリュー・ベッツ氏が開発したJavaScriptライブラリです。ウェブブラウザのバージョン間で機能の違いがあると開発時に苦労しますが、Polyfill.ioを利用すれば、新しいバージョンにしかない機能を古いバージョンで利用できるようになるため、バージョンの違いを気にすることなく開発を進めること
NISCと気象庁が使用していたメール関連機器へのサイバー攻撃についてまとめてみた - piyolog
2023年8月4日、内閣サイバーセキュリティセンター(NISC)と気象庁はそれぞれ電子メール関連のシステム・機器から不正通信の痕跡が確認され、メールデータの一部が外部に流出した可能性があると公表しました。ここでは関連する情報をまとめます。 政府組織に対しゼロデイ攻撃 NISCと気象庁及び気象研究所、国立科学博物館、教職員支援機構が各々運用を行っていた電子メール関連システム・機器に脆弱性が存在しており、その脆弱性に関連した不正通信が確認された。 今回確認された不正通信により、メールデータの一部が外部に流出した可能性がある。両組織ではメールアドレス等の個人情報が漏えいした可能性を排除できないとして個人情報保護委員会に報告した他、対象者にも個別に連絡を行う。公表時点では流出可能性のある情報の悪用は確認されていないが、NISCでは約5,000件の個人情報が対象に含まれており、流出可能性のある事案が
“そうはならんやろコード”はなぜ生まれるのか セキュリティ専門家・徳丸氏に聞く「脆弱性だらけのWebアプリ」の背景
ITmedia NEWSでセキュリティインシデントを日々伝えていると、記事に対して「そんなずさんな情報管理があり得るのか！」という驚きの声が寄せられることがある。 例えば、法令を順守していれば被害を防げたかもしれない場合や、明らかな手抜きがあった場合には「そうはならないだろう」「それはダメだろう」というツッコミもよく入る。ITmedia NEWSの読者が高いITリテラシーを持っていることの現れともいえるかもしれない。 しかし、もう少し踏み込んでみることをすすめるのが、情報セキュリティの専門家・徳丸浩さんだ。 「みなさん『それはダメだよ』と思うことはありますよね。でも『これが現実なんですよ』ということが大事だと思うんですよね。例えば、自分が作れば大丈夫という場合でも、ソフトウェアを発注して完成品を受け取ってみたら問題があったなんてことは十分あることです」 “そうはならんやろコード”はどうやっ
ChromeがHTTPSに優先アクセスする307リダイレクトをHSTS関係なくやるようになった - Code Day's Night
2023年11月1日の時点の情報です。 先にまとめを書きます。興味があれば詳細もどうぞ。 まとめ 10月16日のChrome 118からHTTPS ファーストモードがデフォルトでオンに 条件によってHTTPS Upgradeが働いてhttpのサイトにアクセスするとhttpsに優先的にアクセスさせる挙動（Chromeが内部で擬似的に307リダイレクトを返してhttpsに誘導） HSTSサイトではないhttpサイトでもこの挙動となるケースがある httpsにアクセスできない場合やレスポンスに3秒以上かかる場合はフォールバックでhttpに誘導（Chromeが内部で擬似的に307リダイレクトを返して元のhttpに誘導） 詳細 条件 307で擬似的にリダイレクトする条件は、いくつかあるようです。把握しているものを列挙します。 HSTSサイト（HSTSヘッダ指定、Preloadリストのサイト） HST
この度、当社の運営する「転職ドラフト」上において、ご利用に関する一部のデータがHTMLソース上にて第三者による閲覧が可能な状態であったことが、2023年5月31日に判明いたしました。 判明した同日中に、閲覧が可能であった対象情報・HTMLソースの特定、及び閲覧ができない状態とする対応を完了しております。 また、本件を公表するにあたっての影響範囲の調査と対応を行い、2023年6月17日に完了しております。 閲覧が可能な状態であった情報について、一部のユーザー様におかれては氏名の表記が含まれていましたこと、いずれにせよ、公開されないことを前提とした指名（オファー）情報が第三者に閲覧され得る状態となってしまっていたことの重大性に鑑み、より信頼されるサービス創りを目指していくため、以下のとおり、皆さまにお知らせすることといたしました。 なお、今回の事象について、2023年6月2日付で管轄である総務
Everything I Know About the XZ Backdoor stateevergreeninblogdate3/29/2024Please note: This is being updated in real-time. The intent is to make sense of lots of simultaneous discoveries regarding this backdoor. last updated: 5:30 EST, on April 2nd Update: The GitHub page for xz has been suspended. 2021JiaT75 (Jia Tan) creates their GitHub account. The first commits they make are not to xz, but the
セキュリティの不十分なサーバーを見つけるためにウェブサイトには日々多数の不審なアクセスが行われています。そうしたアクセスをしてくる相手に対して解凍すると容量が膨れ上がる「ZIP爆弾」を送りつけて撃退する方法がブログにまとめられています。 How to defend your website with ZIP bombs https://blog.haschek.at/2017/how-to-defend-your-website-with-zip-bombs.html ZIP爆弾とは、ZIPの圧縮アルゴリズムを最大限に活用することで巨大なファイルを小さなZIPファイルに収めたものです。例えば下記の記事ではたった10MBのZIPファイルを解凍すると281TBになってしまうZIP爆弾が登場しています。 「非再帰的ZIP爆弾」は10MBのファイルが281TBに膨らむ - GIGAZINE サーバ
脆弱性を探す話 2023 - Qiita
最近年2回のサイボウズ以外はほぼバグバウンティしていない現状であるが、やる気が起きたときようにメモ 主にWebアプリに関すること 診断と自分で勝手に脆弱性を探す行為との違い 網羅性は全く必要ない 診断は網羅してないと怒られることがあるが好きな脆弱性だけ探せる。 期間が永遠 診断期間は自由なので後で気づいて頭を抱えることはない 攻撃に到るまでを説明する必要がある 「バージョンが古いのでダメです」だけでは許してもらえない 変なことすると逮捕される可能性がある 無闇にツール回すと不正アクセス禁止法に引っかかるので だがしかし海外勢は法律の違いもあるのか好きなサイトに気軽にツールを回すので太刀打ちできない 日本人としては許可されたところかローカルに環境作って攻撃するのが心理的安全性が高い 2023年度の傾向 コモディティ化が進む 自分だけしか知らないような脆弱性はない まだ知られていない手法もほぼ
Sansan 技術本部 情報セキュリティ部 CSIRT グループの川口です。 2023年4月からセキュリティエンジニアで新卒として、Sansan に入社しました。 現在は ログ基盤（SIEM）のログの取り込み部分の機能修正、問い合わせ対応、インシデント対応などの業務に取り組んでいます。 今回は内定者インターンシップで開発した、自宅ルータの脆弱性検知システムについて紹介します。 目次は以下の通りとなります。 開発に至った経緯 作成したシステム 技術的な話 EDR ポートスキャン チケットシステムへの起票 SOAR まとめと今後の課題 開発に至った経緯 新型コロナウイルスの流行に伴い、リモートワークという言葉をよく耳にするようになったと思います。 弊社でも緊急事態宣言下においては、原則リモートワークとなり、現在はオンライン・オフラインを併用した働き方をしています。 ここで問題となってくるのが自
宇宙から伝わる「重力波」を観測する施設「ＫＡＧＲＡ」が岐阜県飛騨市に完成し、４日から運転が始まりました。 「ＫＡＧＲＡ」は、質量のある物体が動いた際に空間のゆがみが波となって伝わる「重力波」を捉えようと、東京大学などが岐阜県飛騨市の地下200メートル以上の場所に７年前から建設を進めてきた巨大な観測施設です。 ４日は運転の開始を記念する式典が開かれ、東京大学宇宙線研究所の梶田隆章所長らがボタンを押して装置を稼働させました。 ＫＡＧＲＡは長さが３キロある２本のパイプをＬ字につなぎ合わせた形状で、つなぎ目の部分から２本のパイプにレーザー光を放ち、先端の鏡で反射して戻ってくる光を観測します。 重力波によって空間がゆがめば、レーザー光が戻ってくるまでの時間に変化が生じるため、その様子を捉えます。 東京大学宇宙線研究所の梶田所長は「これからの天文学は、重力波という新しい方法で観測が始まる。重力波でなけ
面倒で難しい「私はロボットではありません」をワンクリックで突破できるCAPTCHA自動回答ツール「Buster」レビュー
ウェブサイトにログインしたり問い合わせフォームを送信したりすると、「私はロボットではありません」といった文言のボット排除システム「CAPTCHA」に遭遇しがちです。CAPTCHAでは「バスを含む画像をクリック」などの問題が出題されますが、「バスの画像を正しく選択しているはずなのに人間と認めてもらえない！」という事態が頻繁に発生します。無料のブラウザ拡張機能「Buster」を使えば、ワンクリックでCAPTCHAを突破できるとのことなので、実際に使ってみました。 GitHub - dessant/buster: Captcha solver extension for humans, available for Chrome, Edge and Firefox https://github.com/dessant/buster BusterはChromeやFirefox、Edge、Operaな
こんにちわ。Cyber Security Innovation Group（CSIG）の井上です。 部門名の通り、サイバーセキュリティに関する部署で、セキュリティコンサルティングやFutureVuls（ https://vuls.biz ）という脆弱性対策サービスのコンサルティングやサポートをしています。 初めに春の入門祭り2023 という事で、初めて脆弱性対応をする方に向けた記事を書いてみようと思います。 この時期になると、部門移動等で情報システム部に移動し「何をやっていいのか分からない…」という話も時々聞きます。 今回は、IPAの「mjcheck4」（ https://jvndb.jvn.jp/apis/myjvn/mjcheck4.html ）というツールを使った、セキュリティ情報の収集についてお話しようと思います。 セキュリティ情報収集とは世の中にはセキュリティ情報はいろいろありま
大半のパスワードを1分以内にクラッキングできるAI「PassGAN」が登場、どんなパスワードであればPassGANでも解析不可能なのか？
サイバーセキュリティ企業のHome Security Heroesが、ニューラルネットワークでパスワード予測を行うAI「PassGAN」を使って実際のパスワードを解析する実験の結果を発表しました。それによると、一般的なパスワードのおよそ半分が1分で、65％が1時間で解析できてしまったとのことです。 2023 Password Cracking: How Fast Can AI Crack Passwords? https://www.homesecurityheroes.com/ai-password-cracking/ 通常、パスワードの解析に使われるパスワード推測はシンプルなデータ駆動型のツールが使われます。つまり、膨大なデータを元にパスワード分析を行うというやり方で、こうした方法は小規模で予測可能なパスワードの場合は効率的に解析可能ですが、サンプルサイズが大きくパターンが複雑になって
regreSSHion: Remote Unauthenticated Code Execution Vulnerability in OpenSSH server | Qualys Security Blog
The Qualys Threat Research Unit (TRU) has discovered a Remote Unauthenticated Code Execution (RCE) vulnerability in OpenSSH’s server (sshd) in glibc-based Linux systems. CVE assigned to this vulnerability is CVE-2024-6387. The vulnerability, which is a signal handler race condition in OpenSSH’s server (sshd), allows unauthenticated remote code execution (RCE) as root on glibc-based Linux systems;
Acer・Dell・GIGABYTE・Intel・Supermicroの数百以上のデバイスでUEFIセキュアブートのプラットフォームキーが漏えいしていたと発覚、システム侵害のリスクあり
セキュリティ企業・Binarlyの研究チームが、Acer、Dell、GIGABYTE、Intel、Supermicroが販売する200種類以上のデバイスでブート時に任意コード実行が可能になる脆弱(ぜいじゃく)性「PKfail」を報告しました。脆弱性の起因は、セキュアブートの基盤となるプラットフォームキーが2022年に漏えいしたことと指摘されています。 PKfail: Untrusted Platform Keys Undermine Secure Boot on UEFI Ecosystem https://www.binarly.io/blog/pkfail-untrusted-platform-keys-undermine-secure-boot-on-uefi-ecosystem SupplyChainAttacks/PKfail/ImpactedDevices.md at main
LinuxをニンテンドーDSに移植する「DSLinux」
任天堂から発売された携帯型ゲーム機「ニンテンドーDS」および上位機種の「ニンテンドーDS Lite」にLinuxを移植するためのリソースが「DSLinux」です。 DSLinux - Linux for the Nintendo DS https://www.dslinux.org/ DSLinuxは記事作成時点ですでに開発が終了していますが、実行に必要なファイルや手引書は引き続き公開されています。DSLinuxを導入したニンテンドーDSでできることの例は以下の通りです。 ◆ウェブブラウジング DSLinuxは2つのテキストモードブラウザ「links」と「retawq」に対応していて、グラフィカルブラウザではlinksのグラフィカルモードまたはPIXILのウェブブラウザを利用できます。グラフィカルブラウザは両方とも非常にバグが多いとのこと。 ◆SSH ワイヤレスssh/telnetターミナ
「情報セキュリティ10大脅威 2023」簡易説明資料（スライド形式） 情報セキュリティ10大脅威 2023 [組織編] 85ページ(PDF:2.6 MB) 情報セキュリティ10大脅威 2023 [個人編] 84ページ(PDF:2.8 MB) 情報セキュリティ10大脅威 2023 [組織編]（英語版）85ページ(PDF:2.5 MB) 情報セキュリティ10大脅威 2023 [個人編]（一般利用者向け）68ページ(PDF:2.9 MB) 「情報セキュリティ10大脅威 2023」簡易説明資料（脅威個別版） 情報セキュリティ10大脅威 2023 [組織編]（脅威個別版）(ZIP:3.0 MB) 情報セキュリティ10大脅威 2023 [個人編]（脅威個別版）(ZIP:3.1 MB) 10大脅威の引用について 資料に含まれるデータやグラフ・図表・イラスト等を、作成される資料に引用・抜粋してご利用いただ
既知の生物の中で最大の動物はシロナガスクジラだと考えられていますが、全長がシロナガスクジラを超えて最長になる可能性のある「巨大なヒモのような生き物」が、深海探査により発見されました。 Otherworldly, String-Like Organism Spotted in Deep Sea Is Made Up of 'Millions of Interconnected Clones' https://www.newsweek.com/otherworldly-150-foot-long-string-like-organism-deep-sea-millions-interconnected-clones-1496512 What The Heck Is This Long, Hypnotic Stringy Thing Floating in The Ocean? https://
VPN経由で行われるはずだった通信を直接インターネットに送信させ、暗号化やIPアドレスの隠匿などVPNを経由するメリットを失わせる攻撃手法が発見されました。どういう攻撃なのかについてセキュリティ企業のLeviathan Security Groupが解説しています。 CVE-2024-3661: TunnelVision - How Attackers Can Decloak Routing-Based VPNs For a Total VPN Leak — Leviathan Security Group - Penetration Testing, Security Assessment, Risk Advisory https://www.leviathansecurity.com/blog/tunnelvision TunnelVision - CVE-2024-3661 - De
「DNSに対する最悪の攻撃」 迅速なパッチ適用を推奨 ATHENEによると、KeyTrapを悪用した場合、単一のDNSパケットが結果的にCPUの使い果たしを誘導し、「Google Public DNS」やCloudflareのDNSなど広く使われているDNS実装やパブリックDNSプロバイダーを全て停止させることが可能だ。発表によると「BIND 9」を16時間ダウンさせたとされている。なお、この欠陥は「CVE-2023-50387」として特定されている。 この攻撃はインターネットの基本的な機能に深刻な影響を与え、世界中のWebクライアントの大部分が利用不能になる可能性がある。主要なDNSベンダーはこの攻撃を「これまでに発見されたDNSに対する最悪の攻撃」と呼んでおり、状況の重大さが指摘されている。 KeyTrapを悪用するサイバー攻撃者は、DNSSECを検証するDNSリゾルバを利用する全ての
『お客様のパソコンはウイルスに感染しました』 『あなたの責任になりますね。500万の罰金かかります』 不自然な日本語で私に“脅し”をかける男性。 いま被害が後を絶たない「サポート詐欺」と呼ばれるデジタル犯罪の一幕です。 ウイルスに感染したとうそをいって被害者に電話をかけさせ、「サポート料」などといって金をだまし取る、この手口。私は「サポート窓口」に電話取材を試みました。 72分におよぶ通話から見えてきた彼らの『サポート』とは… ※これは専門家の立ち会いのもと行っています。決してまねはしないで下さい。 (デジタルでだまされない取材班 福田陽平) サポート詐欺とは？ 『セキュリティ上の理由により、このPCへのアクセスはブロックされています』 ネットを楽しんでいて、こんな警告が出たら、誰しも驚いてしまうと思います。しかも、警告音まで。 よく見ると、サポート窓口のような電話番号が添えられています。
スマホの指紋認証を回数無制限かつ機械的に実行できる攻撃手法「BrutePrint」が開発される、材料費はわずか2000円でAndroidには効果抜群もiPhoneなら防御可能
テンセントと浙江大学の研究者がスマートフォンの指紋認証を突破するシステム「BrutePrint」を開発しました。BrutePrintで用いられるデバイスの材料費は15ドル(約2000円)で、パスワードの総当たり攻撃(ブルートフォースアタック)と同様に指紋認証を機械的かつ回数無制限に試みて指紋認証を突破できます。 BrutePrint: Expose Smartphone Fingerprint Authentication to Brute-force Attack https://doi.org/10.48550/arXiv.2305.10791 BrutePrintでは、「膨大な指紋情報を登録したデバイス」をスマートフォンに取り付けて「指紋をスキャンしたと誤認識させつつ膨大な指紋画像を順番に送り込む」という手法で指紋認証を突破します。一般的な指紋認証システムでは認証に複数回失敗すると認
ブラウザのテキスト入力フィールドに関する脆弱(ぜいじゃく)性の分析により、大手企業や官公庁のサイトのHTMLソースコードに平文でパスワードが保存されていることが判明しました。問題を発見した専門家らは、試しに機密データを抜き取れるテスト用の拡張機能を作成したところ、いとも簡単にChromeウェブストアにアップロードできたと報告しています。 [2308.16321] Exposing and Addressing Security Vulnerabilities in Browser Text Input Fields https://arxiv.org/abs/2308.16321 Chrome extensions can steal plaintext passwords from websites https://www.bleepingcomputer.com/news/securi
セキュリティ研究者のAlexander Peslyak氏(通称：Solar Designer)は7月8日(現地時間)、Openwallのメーリングリストに投稿した「oss-security - Re: CVE-2024-6387: RCE in OpenSSH's server, on glibc-based Linux systems」において、特定環境のOpenSSHから脆弱性を発見したと伝えた。これは7月1日に公開されたセキュリティ脆弱性「regreSSHion」のレビュー中に発見された脆弱性とされる(参考：「OpenSSHに管理者権限で任意コード実行の脆弱性、アップデートを | TECH+（テックプラス）」)。 oss-security - Re: CVE-2024-6387: RCE in OpenSSH's server, on glibc-based Linux system
楽天モバイルは2024年4月23日から、eSIMを不正に利用される事案があったとして、利用者に注意喚起を行っている。eSIM（Embedded SIM）はネットワーク経由で契約者情報（プロファイル）を書き換えたり、プランを変更したりできるのが利点。eSIMの再発行もオンラインで行える場合が多い。 第三者が、不正なWebサイト（フィッシングサイト）などを通じて、利用者の楽天IDとパスワードを入手し、差し替えが必要なSIMカードをeSIMとして再発行し、モバイル通信サービスを不正に利用する事案が発覚したという。 同様の被害は近年、増加しており、FBIも2022年に警鐘を鳴らしていた。メディアやセキュリティー専門家は「SIMスワップ詐欺」と呼称することが多い。その手口は、楽天モバイルが案内している事案に似ており、何者かがフィッシングサイトなどで得た個人情報をもとに、スマートフォンの契約者になりす
米通信キャリア大手のAT&Tは7月12日（現地時間）、約1億900万人、“ほぼ全員の”モバイル顧客データがサードパーティのクラウド上のワークスペースから違法にダウンロードされたことが判明したと発表した。 AT&Tは米Bleeping Computerなどに対し、「サードパーティのクラウド」が米Snowflakeであることを明らかにした。 AT&Tが米証券取引委員会（SEC）に提出した書類によると、盗まれたデータには、2022年5月1日から10月31日までと2023年1月2日に行われた、AT&Tのほぼすべてのモバイル顧客とMVNOの顧客の通話記録とテキストメッセージ記録が含まれていた。 通話やテキストの内容、顧客名、社会保障番号や生年月日などの個人情報は含まれていなかったとしている。 顧客はFAQページで自分の電話番号も含まれているかどうかを確認できる。 Snowflakeは、法人顧客向けに
Androidから急いで削除して。累計1億回ダウンロードされたマルウェアアプリのリストがこちら | ライフハッカー・ジャパン
楽天ゴールドカードはメリットない?プレミアムカード・年会費無料楽天カードとの違いや元を取る損益分岐点はいくら?
Googleが提供するウェブブラウザの「Google Chrome」には、ブラウジングを便利にするさまざまな拡張機能を追加できる「Chromeウェブストア」が存在します。スタンフォード大学のセキュリティ専門家チームが、Chromeウェブストアから入手した拡張機能が原因で、数億人ものユーザーがマルウェアに感染していることを報告しています。 [2406.12710] What is in the Chrome Web Store? Investigating Security-Noteworthy Browser Extensions https://arxiv.org/abs/2406.12710 Security experts find millions of users running malware infected extensions from Google Chrome Web
Don Reisinger （Special to ZDNET.com） 翻訳校正： 佐藤卓 吉武稔夫 （ガリレオ） 2024-05-08 09:42 セキュリティ研究者が、あらゆる仮想プライベートネットワーク（VPN）を無効にできる手法を明らかにした。しかも、このエクスプロイトは20年ほど前から野放しの状態で、悪意ある攻撃者からすでにその存在を知られている可能性があるという。 Leviathan Security Groupの研究者らは、VPNが使われたトラフィックを可視化する手法を発見した。攻撃者がこの手法を利用すれば、暗号化されていないトラフィックを盗聴し、価値あるデータをそのトラフィックから取り出すことが事実上可能になる。研究者はこのエクスプロイトを「TunnelVision」と名付けた上で、今のところこのトリックに引っかからないVPNは見つかっていないと指摘した。 VPNは、トラ
VS Codeで任意コード実行が可能だった脆弱性から学ぶ、Electron開発の注意点(CVE-2021-43908) - Flatt Security Blog
初めに こんにちは。株式会社Flatt Security セキュリティエンジニアの石川です。 近年、クロスプラットフォームなデスクトップアプリケーションを作成する上で、Electronを採用することが選択肢の1つになってきています。 Electronの開発では、ライブラリとしてのElectronの実装と、その上にユーザーが構築するデスクトップアプリケーションの2つのコードが存在します。デスクトップアプリケーションの実装においても、メインプロセスとレンダラープロセス、サブフレームなど、考慮すべき概念が多数存在します。 そこで本稿では、Electronのアーキテクチャを意識しながら、実際に発見された脆弱性の傾向について考察することで、 Electron開発者が開発時に気を付けるべき点とその緩和策について、セキュリティの観点から記述していきます。 その上で、一例として、2022年のBlack H
内閣官房内閣サイバーセキュリティセンター（NISC）は、サイバーセキュリティ対策において参照すべき関係法令をQ&A形式で解説する「サイバーセキュリティ関係法令Q&Aハンドブック」（以下「本ハンドブック」といいます。）を作成しています。 企業における平時のサイバーセキュリティ対策及びインシデント発生時の対応に関する法令上の事項に加え、情報の取扱いに関する法令や情勢の変化等に伴い生じる法的課題等を可能な限り平易な表記で記述しています。 企業実務の参考として、効率的・効果的なサイバーセキュリティ対策・法令遵守の促進への一助となれば幸いです。 ※Ver2.0は、令和5年9月に、サイバーセキュリティを取り巻く環境変化、関係法令・ガイドライン等の成立・改正を踏まえ、項目立て・内容の充実、更新を行い改訂されたものです。 Q＆Aで取り上げている主なトピックスについて サイバーセキュリティ基本法関連 会社法
「ずさんなセキュリティ」「無責任」──不正アクセス巡り、米Microsoftへの批判噴出：この頃、セキュリティ界隈で Microsoftのクラウドサービスを利用していた米国務省や商務省の電子メールアカウントが、不正アクセスの被害に遭っていたことが分かった。ハッカー集団はクラウドサービスにアクセスするための暗号鍵を入手し、Microsoftのシステムの脆弱性を悪用していたとされ、Microsoftに対して「セキュリティ慣行がずさん」「無責任」などと非難する声が上がっている。 米政府機関など約25の組織の電子メールに対する不正アクセスについて、Microsoftが明らかにしたのは7月11日だった。電子メールサービス「Exchange Online」のデータに対する不審なアクセスについて6月16日に顧客から連絡があり、調べた結果、中国のスパイ活動を目的とする組織「Storm-0558」が5月15
新型コロナウイルスの世界的な感染拡大の影響で、日本郵便は２日から新たに153の国と地域を対象に、一部またはすべての国際郵便物の引き受けを当面停止することになりました。 このうち、航空便のＥＭＳ＝国際スピード郵便や手紙やはがき、小包といった郵便物など、船便以外の引き受けを停止するのがイタリアやスペイン、ロシア、ブラジルやトルコなど、合わせて126の国や地域です。 また、船便を含めてすべての郵便物の引き受けを停止するのは、インドやインドネシア、それにアルゼンチンやチリなど、合わせて27の国や地域です。 すでに中国とモンゴルについても一部またはすべての郵便物の引き受けを停止していて、合わせて155の国や地域が対象になることになります。 日本郵便は、１日までに引き受けた郵便物についても、配送できないものは順次返送するとしています。一方、アメリカやイギリス、フランスなどは対象に含まれていません。 日
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 X： ＠shiropen2 米ボイシ州立大学などに所属する研究者らが発表した論文「Exploiting CPU Clock Modulation for Covert Communication Channel」は、インターネット接続を遮断された規制の厳しいPCであっても、CPUの処理速度を意図的に操作することで、一部のアプリケーションでひそかにデータをやりとりできる攻撃を提案した研究報告である。 コンピュータをハッキングから守るためには「エアギャップ」と呼ばれる、ネットから物理的に分離したセキュリティ上の予防措置がある。また全てを遮断するのではなく、コンピュータ自体はインターネ
Intel製CPUに情報漏えいの恐れがある脆弱性「Downfall」が発見される、データやパスワードなどの機密情報が抜き取られる危険性
Intelは2023年8月8日に、同社が2015年から2020年に販売したCPUに新たな脆弱(ぜいじゃく)性が見つかったことを報告しました。「Downfall」と呼ばれるこの脆弱性は、攻撃者に悪用されるとデータや機密情報が抜き取られる恐れがあるとされています。 INTEL-SA-00828 https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00828.html Downfall https://downfall.page/ ‘Downfall’ vulnerability leaves billions of Intel CPUs at risk | CyberScoop https://cyberscoop.com/downfall-intel-cpu-vulnerability/ Int
Go, Ruby, Rust等の言語に存在した、Windows環境でコマンドインジェクションを引き起こす脆弱性"BatBadBut" - Flatt Security Blog
※本記事は筆者RyotaKが英語で執筆した記事を、弊社セキュリティエンジニアkoyuriが日本語に翻訳したものになります。 はじめに こんにちは、Flatt SecurityでセキュリティエンジニアをしているRyotaK( @ryotkak )です。 先日、特定の条件を満たした場合に攻撃者がWindows上でコマンドインジェクションを実行できる、いくつかのプログラミング言語に対する複数の脆弱性を報告しました。 本日(2024/04/09(訳者注: これは英語版記事の公開日です))、影響を受けるベンダーがこれらの脆弱性に関するアドバイザリーを公表しました。 その影響は限定的なもののCVSSスコアは非常に高く、混乱が予想されるため、脆弱性に関する詳細を本記事にまとめます。 はじめに TL;DR CVSSスコア 技術詳解 根本原因 CreateProcessのラッパー cmd.exeのパース規則
中古車販売などを手がけるビッグモーター（東京都多摩市）は10月30日、自社Webサイトが第三者による不正アクセスを受け、「お問い合わせフォーム」から同社に連絡していた顧客の個人情報の一部が漏えいした可能性があると発表した。クレジットカード情報などは含まれていない。 同社によると、今年8月18日にWebサイトへの不正アクセスの痕跡を確認。該当するサーバーには、2016年11月から23年8月までにお問い合わせフォームを利用した人の住所、氏名、電話番号、メールアドレスなどの情報が含まれていた。クレカ情報やマイナンバー情報は収集していなかった。 ビッグモーターは不正アクセスを確認後、フォームを含むWebサイトの一部を停止。外部の専門家を交え、保管していた全ての個人情報を削除した。また個人情報保護委員会への報告や警察への相談も行ったという。 ビッグモーターは、「事態を重く受け止め、外部専門家の助言も
攻撃者視点の獲得を目的としたボードゲーム：Cyber Attacker Placement | デジタル人材の育成 | IPA 独立行政法人 情報処理推進機構
概要 セキュリティを題材にしたボードゲームは各団体などで作成されている中で、攻撃を題材にしたボードゲームを作成しました。 防御を学ぶには攻撃を知ることも重要です。また、教育性だけでなく、ゲーム性にも注力して作成しましたので是非一度プレイしていただければ幸いです。 プロジェクトメンバー 一同 Cyber Attacker Placement プレイ人数：3人～4人 プレイ時間：45分～1時間 学習効果：攻撃者を疑似体験することでセキュリティ対策の重要性を学ぶ。 また、初学者に対してセキュリティへの興味を持ってもらう。 ゲームの目的 サイバー攻撃は対岸の火事ではないという事を学ぶ サイバー攻撃の種類、多様性について学ぶ セキュリティの重要性を学ぶ 脆弱性の放置の危険性を学ぶ ゲームの導入（ストーリー） あなたはハッカーグループに所属する凄腕ハッカーの一人です。 与えられたミッションはそつなくこ
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
JavaScriptライブラリ「Polyfill.io」にマルウェアが混入され10万以上のサイトに影響
メール中のURLに特殊なIPアドレス表記を用いたフィッシングに、フィッシング対策協議会が注意喚起 Amazon、ETC利用照会サービス、国税電子申告・納税システムなどをかたる
指名（オファー）情報の第三者による閲覧の可能性に関するお詫びとお知らせ｜転職ドラフトReport
Everything I know about the XZ backdoor
ウェブサイトに侵入してくる相手にZIP爆弾を送りつけて撃退する方法
自宅ルータの脆弱性検知システムの開発 - Sansan Tech Blog
重力波の観測施設 「ＫＡＧＲＡ」が運転開始 岐阜 飛騨 | NHKニュース
初めてのセキュリティ情報収集（mjckeck4） | フューチャー技術ブログ
情報セキュリティ10大脅威 2023 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
全長120メートルの「超巨大なヒモ」のような生物が発見される、シロナガスクジラを抜いて世界最長の生物である可能性
VPNを経由するはずだった通信を直接インターネットに送信させる攻撃手法「TunnelVision」が発見される
「DNSに対する最悪の攻撃」 DNSSEC設計の根幹に関わる脆弱性「KeyTrap」が見つかる
パソコン「サポート詐欺」電話かけてみた 72分間の通話の全容 | NHK
GmailやAmazonでは「HTMLにプレーンテキストでパスワードが保存されている」とセキュリティ研究者が警告
OpenSSHに再び任意コード実行の脆弱性、確認とアップデートを
楽天モバイルのスマホが乗っ取られる事案 同社が回線停止や楽天ID／パスワード変更などを呼びかけ
AT&T、新たなデータ侵害で“顧客のほぼ全員”の通話記録を盗まれる
Chromeウェブストアの拡張機能が原因でマルウェアに感染しているユーザーは数億人に上ることが判明
あらゆるVPNを無効にする恐るべきエクスプロイト--20年以上前から存在か
関係法令Q＆Aハンドブック - NISC
「ずさんなセキュリティ」「無責任」──不正アクセス巡り、米Microsoftへの批判噴出
国際郵便物 ２日から引受停止拡大 153の国と地域対象 | NHKニュース
IPA、「情報セキュリティ10大脅威 2023」の解説資料を公開 フィッシングや誹謗中傷、ロマンス詐欺などの事例や対策を紹介
職場の「一部ネット接続できない規制PC」から機密データを盗むサイバー攻撃 米研究者らが発表
ビッグモーターに不正アクセス、個人情報漏えいか フォームからの問い合わせ、約7年分