2020年7月までに国内外の複数のドメイン名が「Subdomain Takeover」とみられる影響を受け、当該サイトに接続した利用者が詐欺サイトに誘導される事象が発生しています。ここではこの事象に関連する情報をまとめます。 何が起きてるの？ 誘導される詐欺サイトの一例 大手組織を含む複数のドメイン名において、検索サイトから接続した際に詐欺サイトへ遷移させる事象が発生していた。 各組織管理のサーバーやレジストラ、CDNサービスが直接被害を受けたのではなく、Subdomain Takeoverと呼称される手法により過去使用されていたドメイン名が狙われたとみられる。 どう対応すればよい？ 不要なCNAMEレコードを削除する。 影響範囲は？ 正確な被害状況は把握していないが、複数の国内外のドメイン名が影響を受けており、検索にかかるものだけでも100件以上をpiyokangoは確認（2020年7月

Web会議サービス「Zoom」を運営する米Zoom Video Communicationsの創業者でCEOのエリック・ユアン氏は4月3日（現地時間）、一部の北米でのWeb会議が、本来接続するはずのない中国のデータセンターを経由した可能性があることを認め、この問題を修正したと語った。 この問題は、加トロント大学のグローバルセキュリティ研究所Citizen Labが3日に指摘したもの。ユアン氏のブログは、この指摘の数時間後に公開された。 Citizen Labは、Zoomが主張するエンドツーエンドの暗号化について調査する目的で米国カナダ間のWeb会議を実施したところ、その会議の暗号化キーが中国の北京にあるサーバを経由していたことが分かったとしている。 Zoomは米国に拠点を置く企業だが、中国にも拠点がある。もし中国政府がZoomの中国拠点に対し、ユーザー情報の開示を求めれば、Zoomはこれを

自分が亡くなった後の遺品整理をどうするか――。故人の遺品整理や処分を行う遺品整理士への需要が高まる一方で、遺品整理にあたる親族や整理士に先駆けて故人宅に侵入して遺品を破壊する「遺品破壊士」への需要も高まっている。 「だって、あの世にはデータを持っていけないじゃないですか」 外資系企業に勤める軽須豪さん（仮名）には、妻と成人した２人の娘がいる。まもなく退職を迎える軽須さんは自分の死後に備えて、昨年から「終活」に取り掛かった。遺産相続などの身辺整理は問題なく進んでいるが、目下の悩みは個人パソコンに保存した「ちょっと人には言えない画像と動画」だ。名前を「新しいフォルダー」に偽装したフォルダーに保存されたデータ量は合わせて３０テラバイトにのぼるという。 「死後、万が一誰かにあのフォルダーを開けられたら……と想像するだけで夜も眠れません」 良き夫、良き父としての役割を長年果たしてきただけに軽須さんの

JR東日本が提供するモバイルSuicaアプリのアップデートが先日ありました。 ぼくもアップデートしたのですが、アプリを起動するとログアウト状態に。 結構大きなアップデートだったので、仕方ないかと思い、ログイン画面でパスワードを入力しました。 しかし、合ってるはずのパスワードが不可に。 入力ミスにもかなり気を配りトライしたのですが、何度やってもログインできず。 ついには、度重なるログイン操作ミスでロックがかかるはめに。 このログイン規制はネットで調べるとおよそ24時間かかる上に、解除にはコールセンターに電話しなければならないということ。 僕がモバイルSuicaでログインするまでにやったことコールセンターにかけてみるSuicaの残高を早急にチャージしたかったので、コールセンターにかけるも、「お話中」で繋がらず。 その後、10回ほどかけるものの繋がらず。 不審に思い、ネットで調べると案の定、コー

【2021/08/31 追記】 2021年8月31日にすべてのはてなブログのHTTPS化が完了いたしました。 はてなブログでは2018年2月22日から、ブログをHTTPSで配信できる仕組みを、はてなが提供する5つのドメインで順次提供します。公開時点では、一部のブログでのみご利用いただけます。対象となるブログの範囲は順次拡大していく予定です。 ブログをHTTPS配信に設定する際は、以下の仕様と注意事項をご理解いただいた上でご利用ください。なお、今後新たに開設されるブログについては、全てHTTPSで配信されます。 ※ 独自ドメインではてなブログを運用されている方へのHTTPS配信設定は、今後対応予定です。今しばらくお待ちください。 HTTPS配信を利用できるブログ HTTPS配信設定を利用できるか確認するには 新しくブログを開設する場合 HTTPS配信への設定方法と仕様 設定方法 はてなスター

日本郵便が情報システムで使うハードウエアに関する保守契約の方針を刷新する意向を固めた。日経コンピュータの取材で分かった。 24時間保守を原則として採用せず、故障機器の修理を1週間分まとめて実施するなど過剰サービスを減らして、ハード保守費を従来の2割程度に減らす。2018年夏以降の新規入札案件から新方針を適用する。既存の保守契約は既に条件を見直す交渉に入った。 鈴木義伯専務執行役員CIO（最高情報責任者）は「現行の保守契約はITの技術変化を反映していない。サービス過剰でコストが高止まりしている」と話す。NTTデータ出身の鈴木CIOは日本取引所グループのCIOを経て2017年4月に日本郵便のCIOに就任して以来、見直しを模索してきた。 新方針ではITベンダーと契約する保守のパターンを品質が低いほうから「スポット保守」「日中週1保守」「日中保守」「24時間保守」の4つに分ける。そのうえで、ハード

「WannaCryはまだ終わっていない」──キルスイッチで毎日1000台が救われている：Interop Tokyo 2017でJPCERT/CCが警告（2/2 ページ） キルスイッチには、今なお「多くのアクセス」がある　基本的な対策の徹底を WannaCryについては2017年6月現在もさまざまな調査、解析が進んでいるが、久保氏によると「ワーム的な感染だけであれだけの被害が生じたのかには疑問が残る」という。一部の企業・組織だけで大規模な被害が生じた理由もいまだ不明だ。可能性としては、ネットワーク境界に設置されたサーバや持ち出しPC、リモートVPNなどが考えられるが、つまりは「境界防御が破綻していたと言わざるを得ない」と久保氏は述べている。 「これは境界防御のパラドックスといえるかもしれない。境界防御はWannaCryの拡散防止に大きな効果があった。その一方で、組織内のネットワークは守られて

ブックマークしました ここにツイート内容が記載されます https://b.hatena.ne.jp/URLはspanで囲んでください Twitterで共有

アプリのインストール 電話番号とEmailを登録 電話番号とEmailを登録します。 認証 続いて認証 今回はSMSを選択しました。 登録した電話番号宛にpinコードが送られるので認証します。 プラスボタンを押して次へ進みます。 バックアップ設定 Authyは2段階認証のデータを暗号化してコピーしておいてくれるので携帯電話をなくしたり、壊したりしてもバックアップパスワードさえ覚えておけば復元がきるようですのでバックアップパスワードの設定をします。 バックアップパスワードを入力します。 再度入力します。 Scan QR Code あとはGoogle Authenticatorなどと同じようにQRコードを読み込んで使用します。 QRコードを読み込むとアカウントネームの編集やロゴの選択ができます。 ロゴはこんなにたくさん用意されています。 今回はAWSのロゴを選択してみました。 MFAコードが表

動画配信サイトのHuluが、予定していたリニューアルに伴ってアドレスが「hulu.jp」から「happyon.jp」に変更されると発表しました。サービス名は「Hulu」のままで、利用者はリニューアル後にブックマークの変更や、アプリのアップデート・新規インストールが必要になるとのこと。 Hulu リニューアル後は監督・出演者名での検索や絞込機能でより作品を探しやすくなる他、スポーツ中継、ニュースなどがスマートフォンやタブレットでも視聴可能に。その他にも通信容量の目安表示機能や家族で設定できるマルチプロフィール機能など、便利な機能が追加される予定です。 しかし、サービス名が「Hulu」のままにもかかわらずURLだけ「happyon.jp」になってしまうことに関しては「経営陣がどうかしている」「クソださい」「ブックマークの変更やアプリの再インストールがめんどい」といった批判や、「わざわざドメイン

再配達を減らせる！　自動で電話をかけ在宅確認するサービス開発 不在の場合には再配達の希望日時を受付ける トレイルは4月24日、ドライバーが配達先へ近づいたタイミングで、自動で届け先へ電話をかけて配達予定を連絡するサービスを開発したと発表。 荷受人は、電話のプッシュボタンを押すことで在宅、不在を回答できる。不在と回答した場合は、そのまま再配達の希望日時を電話のブッシュボタンで登録可能。 在宅、不在の確認結果、および再配達の希望日時は、リアルタイムでドライバーへ通知されるという。配達予定の少し前に連絡することで、すれ違いの外出などを防止し、不在宅への配達を削減できるとしている。 今後は不在登録時に、宅配センターへの引き取りや提携する近隣のコンビニ、宅配ボックスを指定可能となる予定。

Torは消えつつある？ ダークウェブの85％超が応答せず2017.03.21 10:0552,685 福田ミホ 大規模サイトのハッキングが大きな要因。 Torといえば、なんとなく｢仮想通貨でドラッグが売買されてる｣とか｢ヒットマンが雇われてる｣みたいなイメージがあって、｢普通の人が使っちゃいけないもの｣だと思われてます。でも今、｢普通じゃない｣Torユーザーにとっても、行き場がなくなりつつあるみたいです。新たな調査で、Torのサイト（オニオンと呼ばれます）の多くがダウンしていることが判明したんです。 Torの魅力は、｢オニオン・ルーティング｣という手法でユーザーの匿名性を守れることにありました。Torの名前も｢The Onion Router｣から来ています。超ざっくり言うと、オニオンルーティングはマネーロンダリングのような仕組みで、あるユーザー発のデータがたくさんのルーターを通るので、ど

あるサプライヤーが製造した部品に不具合があり、現在は正常に動作していても、約18カ月たったころから障害が発生するようになるという。 米Cisco製のルータやスイッチに搭載されているハードウェアのクロックシグナル部品に、使用開始から18カ月たつと障害が発生する不具合が発覚し、米セキュリティ機関US‐CERTが2月6日、ユーザーや管理者に対応を呼び掛けた。 Ciscoのサポート情報によると、あるサプライヤーが製造した部品に不具合があり、現在は正常に動作していても、約18カ月たったころから障害が発生するようになる。障害に見舞われるとシステムが機能を停止して起動できなくなり、復旧不可能な状態に陥るという。 この問題は、ISR4300シリーズのルータやASAシリーズのファイアウォールなど多数の製品が影響を受ける。Ciscoは2016年11月の時点で有効なサービス契約や保証書に基づいて部品の交換などの

タイトルの通りです。「いくらユーザが古いブラウザを使っていてもサポートしちゃいかんよ」です。以前から方々で言われている通りで記事も多くあります。よく言われるのが「ある程度動けば」とか「機能が落ちても」というような話がありますが、そういう問題では無いです（下記記事を読めばわかる）。 なぜサポートが終了した Web ブラウザーを使うと危険なのか? – monoe's blog Internet Explorer のサポート終了 ざっくり言うと、サポートされていない古いブラウザを使い続けるとマルウェアへの感染などリスクが高まる等脅威があり、そうしたブラウザをユーザへ供用することは間接的に加害者になる、などなど。 Web を何かしらで生業にしている会社なら当たり前のような気がします。ので適当にピックアップしたサイトの推奨環境を見てみます。 サイト 最新を推奨しているか 推奨環境URL Yahoo

出典：日経コンピュータ，2016年8月4日号 pp.38-43 （記事は執筆時の情報に基づいており、現在では異なる場合があります） マイナンバーカード管理システムの障害は、制度の出鼻をくじいた。全国の自治体の端末を操作できなくなるトラブルが2016年1～3月に断続的に発生。来庁者にカードを交付できず、自治体がカード交付通知を手控えるなどの事態となった。自治体で情報連携が始まる2017年7月までにセキュリティ強化が間に合うかも大きな問題だ。 「実績があるシステムに対する過信があり、過去との違いに対する意識が欠けていた」。地方公共団体情報システム機構（J-LIS）の上遠野博之 個人番号センター個人番号カード部長はこう悔やむ。上遠野部長は、マイナンバーカード（個人番号カード）の交付処理を管理する「カード管理システム」の構築・運用プロジェクトを担当した。 稼働直後までは順調 2016年1月から3月

米国サンフランシスコ市の交通当局（SFMTA）は11月28日、局内のコンピュータがランサムウェアに感染して金銭関連システムに支障が出ていることを明らかにした。市営鉄道などの安全運行には影響がないとしているが、一部報道によれば券売機などで攻撃者のメッセージが表示されるなどのトラブルに見舞われたという。 SFMTAによると、ランサムウェアの感染は25日に発覚し、約900台のオフィスのコンピュータが影響を受けた。メールなど一部システムなどが暗号化され、運用に支障が生じたとしている。28日現在、外部のシステム会社と連携してバックアップからシステムの復旧を進めているという。 当初は職員の給与システムなど金銭関係のシステムへの影響が懸念されたことから、SFMTAでは25日から27日にかけて駅の券売機などを停止し、被害調査などの対応を進めたという。この間、一時的に乗車料金も無償化した。 SFMTAは感染

HTTP Headers という 5万人が使っている Chrome 拡張のマルウェア疑惑。セッション盗まれて BTC も盗まれそうになった話。 の続き。 今回は Chrome 拡張とは関係ない、サイト設計側の話です。 ※本記事では Zaif のセキュリティ上の問題について指摘していますが、非難の意図はありません。 続報：11月4日 Facebookコメントより。 Ryosuke Hosoi · テックビューロ CTO ご指摘ありがとうございました！少し事情があってすぐに対応出来なかったのですが、先ほどZaifの認証情報にもhttp_only属性がつくようになりました。 しかしながら、jsが汚染されていると他にもいろいろ攻撃出来てしまいますので、今回の件はこれでもう安心、というわけではないと考えています。 15時間前 11月14日時点で httponly 属性が付くようになったようです。対応