Apple IDの再認証が必要!? フィッシング対策協議会によると、アップルを騙ったフィッシング詐欺が増加中とのこと。 これは、“セキュリティチェックの結果、アカウントの再認証が必要になったのでアップルストアの公式サイトにアクセスして手続きを完了せよ”という内容のメールを送り付けて偽のWebサイトに誘導し、Apple IDとクレジットカード情報などを入力させようとするもの。
セキュリティ研究者らは、すでに展開されているソフトウェアやウェブサービスに存在する脆弱(ぜいじゃく)性を見つけるため、あの手この手を尽くして調査やテストを行っています。ところが、クライアントに代わってソフトウェアを調査して脆弱性を発見したITコンサルタントに対し、ドイツの裁判所が罰金を科したことがわかりました。 Gericht sieht Nutzung von Klartext-Passwörtern als Hacken an | heise online https://www.heise.de/news/Warum-ein-Sicherheitsforscher-im-Fall-Modern-Solution-verurteilt-wurde-9601392.html IT consultant in Germany fined for exposing shoddy securi
Breaches you were pwned in A "breach" is an incident where data has been unintentionally exposed to the public. Using the 1Password password manager helps you ensure all your passwords are strong and unique such that a breach of one service doesn't put your other services at risk. Pastes you were found in A paste is information that has been published to a publicly facing website designed to share
はじめに パスワードは古来より認証に良く使われる方法ですが、その運用の難しさからセキュリティの懸念とその対策としての運用の複雑さ(複雑で長い文字列、90日でパスワード変更など)が要求される大きく問題をもった仕組みです。 その根本的な解決策としてFIDO Allianceを中心に推進されている 「パスワードレス」 が注目されています。これはPINや生体認証とデバイス認証を使ったMFAからなっており、フィッシングやパスワード流出に強い上に、ユーザも複雑なパスワードを覚えなくて良い、という大きなメリットがあります。最近はこの流れでPassKeyというものが登場し、Apple/MS/Googleのプラットフォーマが対応したことで、本格運用に乗せれるフェーズになってきました。というわけで以下に解説動画を作ったのですが、動画中で時間の都合で触れきれなかったところや、JavaScriptによる実装のサン
ハッカーが集うフォーラムで1511万5516件のTrelloユーザーのデータが売りに出されました。データを流出させた人物は電子メールやユーザー名が含まれていると主張。実際に自分のデータが流出したのかどうかが、「Have I been pwned?」でわかるようになっています。 Have I Been Pwned: Pwned websites https://haveibeenpwned.com/PwnedWebsites#Trello Trello Data Breach: 15 Mn User Records Allegedly On Sale https://thecyberexpress.com/alleged-trello-data-breach-raises-concerns/ Trello Allegedly Breached: Database of 15,115,516
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Googleの脅威分析グループ(Threat Analysis Group:TAG)は米国時間1月18日、ロシアの脅威グループ「COLDRIVER」が、認証情報を狙ったフィッシングという従来の活動以外に、PDF文書をおとりにマルウェアを配信していることを確認したと発表した。 COLDRIVERは「UNC4057」「Star Blizzard」「Callisto」としても知られる。このグループは、非政府組織(NGO)の要人、情報機関および軍の元幹部、北大西洋条約機構(NATO)の政府高官などを標的としたフィッシング攻撃を行ってきたという。 TAGによると、特定分野の専門家をよそおった偽アカウントを利用してユーザーと信頼関係を築き、フィッシ
SOCでは、現在流行している、あるいはこれから流行する可能性があるサイバー攻撃の情報を収集したり、リアルタイム分析している中で見つけた未知の攻撃を深堀調査したりすることで、どういった脅威主体によるどのようなマルウェアを使った攻撃だったかなどの詳細を明らかにしていく脅威リサーチを行っています。IoC検索やマルウェア収集を目的としたVirusTotal、検体の動的解析を目的としたANY.RUN、サーバの検索を目的としたCensysなど、様々なリサーチに必要なサービス購入に多くの予算を使っており、ストレスなくリサーチ活動を行うことができます。リサーチ手法を常に考えながら確立したものについては、独自にシステムを構築し、現在も様々なツールが稼働しています。最近では、Golang Malwareの解析を補助するツールを開発しており、その成果はカンファレンスなどで発表しています。 SOCではレポート作成
2023年は“エキサイティングな年”、2024年は「Edge Hub」を日本市場で投入 Splunkの日本事業を統括する野村健氏(日本法人 社長執行役員)は、2023年を振り返り「エキサイティングな1年だった」と満足顔で話した。 野村氏は2023年のハイライトとして、Microsoftとの提携により、すでに実現しているAWS(Amazon Web Services)、Google Cloudに加えて、Microsoft Azureもデータプラットフォームサービス「Splunk Cloud Platform」の基盤として利用できるようになったことを紹介した。なおSplunk Cloudでは、日本語のテクニカルサポートサービスも開始している。 一方で、すべてがクラウドに移行するとは見ていないという。野村氏は「オンプレミスとクラウドのハイブリッド関係になる。ここをしっかりサポートしていく」とし、
複数のエクスプロイトが出回るCVE-2023-29357は、2023年3月にハッキングコンテスト「Pwn2Own」でSTAR Labsの研究者により悪用が実演されたもので、この研究者はその後、9月25日に悪用プロセスを詳細に記した技術的な分析記事を公開。すると翌日には別の研究者によってPoCエクスプロイトもGitHub上にリリースされた。それ以降、これ以外のPoCエクスプロイトも複数ネット上に登場しており、悪用のハードルが下がってスキルの低い脅威アクターであっても攻撃に組み込めるようになっているという。 【SharePointのCriticalな脆弱性2件用いたRCEチェーン、PoCが公開: CVE-2023-29357, CVE-2023-24955】SharePointの特権昇格およびRCEの脆弱性を使った認証バイパス・コードインジェクションチェーンのPoCを研究者が公開: https
iPhoneやMacなどのApple製品には画像やファイルを無線で手軽に共有できる「AirDrop」と呼ばれる機能が搭載されています。AirDropでは自動的に通信内容が暗号化されるのですが、新たに北京市司法局が「AirDropでファイルを送信したユーザーの電話番号とメールアドレスを暴くことに成功した」と発表しました。 司法鉴定:司法鉴定揭开“隔空投送”匿名传输的神秘面纱 https://sfj.beijing.gov.cn/sfj/sfdt/ywdt82/flfw93/436331732/index.html AirDropでは、デバイス同士を無線接続してインターネットを介さずにファイルを送受信できるため、通信内容がインターネット上に残りません。中国ではインターネットでの通信内容が厳しく検閲されており政府にとって不都合な言論や情報のやり取りが制限されていますが、AirDropを活用すれば
AIを使って作成された著名人などの偽動画・ディープフェイクを用いた詐欺的広告動画が、YouTube上で横行していると指摘されています。ディープフェイクを作成された著名人にはジョー・ローガン、テイラー・スウィフト、アンドリュー・テイト、スティーブ・ハーベイ、ドウェイン・ジョンソン、オプラ・ウィンフリーなどが名を連ねており、ディープフェイク広告動画はYouTube上で合計1億9500万回以上再生されているようです。 Deepfaked Celebrity Ads Promoting Medicare Scams Run Rampant on YouTube https://www.404media.co/joe-rogan-taylor-swift-andrew-tate-ai-deepfake-youtube-medicare-ads/ No, That’s Not Taylor Swift
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます ガートナージャパンは、日本企業が押さえておくべきという2024年のセキュリティ論点を発表した。ガバナンスやリスク、マルチクラウド、AIなど10種類を挙げている。 同社バイスプレジデント アナリストの礒田優一氏は、昨今においてセキュリティの取り組みをステークホルダー(利害関係者)に説明する必要性が今まで以上に高まっているとし、「戦略不在のままその場しのぎの対応を継続した場合、企業として責任を問われた際に説明に窮する事態に陥る可能性がある。セキュリティリスクマネジメント(SRM)のリーダーは、目前の課題や仕事のみに振り回されるのを避けるために、少なくとも年に1回は視野を広げ、自社の取り組みを見つめ直す機会を持つべき。セキュリティとプライバシ
攻撃者が被害者を一見安全なURLから悪意のあるサイトやフィッシングサイトに誘導するために使用する手法。 企業の情報セキュリティ担当は、「自分は危険なリンクはクリックしないので、サイバー脅威にさらされることはない」と自信を持って言う従業員をたいてい数人は知っています。そのような従業員は、仕事の邪魔になるからと、組織のセキュリティ対策の方針に従わない場合があります。しかし攻撃者は、悪意のあるリンクやフィッシングリンクを巧みに偽装し、メールのフィルターや人間の注意をすり抜けようと常に試みています。彼らの狙いは、被害者に(たとえ私たちが繰り返しアドバイスしているようにURLを確認していたとしても)、実際には別のサイトに誘導するアドレスをクリックさせることです。このブログでは、サイバー犯罪者が悪意のあるURLやフィッシングURLを隠すために使う最も一般的な方法をご紹介します。 アドレスの@マーク ア
はじめにこんにちは。ペンギンになりたい見習いエンジニア、島ノ江です。 現在はFutureVulsという脆弱性管理クラウドサービスで、開発とサポートなどを担当しています。 未だよちよち歩きの新米ですが、今回は弊チームがOSSとして公開しメンテナンスしている「Vuls」の新機能についてご紹介させていただきたいと思います。 脆弱性とその検知皆さんは、自社が保有するサーバやソフトウェアに脆弱性がないかどうか、どのようにチェックしていますか?脆弱性を放置したまま運用すると、サイバー攻撃により企業に大きな損害をもたらす恐れがあるため、対策を講じることが不可欠です。 しかし、人間が情報収集から影響調査までを手動で行う脆弱性対応には、膨大な作業量と苦痛と絶望感が伴います。 そこで我々が提供するVulsが登場します。 Vulsは、各種OVALやSecurityTrackerなどの情報、NVDやJVNなどの公
著名なセキュリティーリサーチャーのpiyokango氏が注目のシステムトラブルをピックアップ。今週の注目ネタは……。 今回取り上げるシステムトラブルは、丹青社の委託先への不正アクセスと、不正アクセス被害に遭った紀伊國屋書店に業務を委託していた富士山マガジンサービスの影響、ミニストップの個人情報漏洩である。 IRニュースの配信サーバーに不正アクセス 博物館や催事などの展示物制作を手掛ける丹青社は2023年12月20日、投資家向け広報(IR)メールを配信していたサーバーが不正アクセスを受けたと発表した。IRメールの配信は外部の企業に委託していた。 不正アクセスにより、株主や投資家、顧客、従業員のメールアドレス641件が外部に流出した。さらに、同社のメールアドレスに偽装したなりすましメールが多数配信された。 同社は2023年10月30日、なりすましメールの配信が確認されたとして、注意喚起を出して
CloakQuest3r: Uncover the true IP address of websites safeguarded by Cloudflare & Others 2023/12/21 SecurityOnline — CloakQuest3r は、Cloudflare などのサービスにより保護されている Web サイトの、真の IP アドレスを発見するために作成された、綿密かつ強力な Python ツールである。このツールの主な目的は、Cloudflare の保護シールドに隠れている Web サーバの実際の IP アドレスを正確に識別することにある。そして、この追跡における重要な技術として、サブドメイン・スキャンが採用されている。 このツールは、包括的なセキュリティ評価を可能にすることで、侵入テスト担当者/セキュリティ専門家/Web 管理者にとって、非常に貴重なリソースとな
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く