タグ

セキュリティに関するJULYのブックマーク (1,896)

  • ランサムウエア起因による岡山県精神科医療センターのシステム障害についてまとめてみた - piyolog

    2024年5月20日、岡山県精神科医医療センターは、サイバー攻撃に起因した電子カルテのシステム障害が発生していると公表しました。また6月11日には同センターが保有する患者情報が流出の可能性も判明したことが明らかにしました。ここでは関連する情報をまとめます。 ランサムウエアで電子カルテシステムに障害 ランサムウエアによる被害にあったのは岡山県精神科医療センターと東古松サンクト診療所。攻撃によってデータが暗号化され、2024年5月19日16時頃に両施設で運用している電子カルテシステムを含む総合情報システムで障害が発生した。また翌20日にはシステム内に脅迫メッセージとその連絡先であるメールアドレスを記載したものが確認された。 同センターでは障害発生後に紙カルテを用いた診療体制に運用を切り替えしており、医療サービスの提供への直接的な影響は生じていない。また6月1日からは仮の電子カルテシステムを使用

    ランサムウエア起因による岡山県精神科医療センターのシステム障害についてまとめてみた - piyolog
    JULY
    JULY 2024/06/13
    初手が VPN 装置のパターンが多いなぁ。
  • ニコニコ、システム全体を再構築へ サイバー攻撃の影響で 復旧の見込みは「今週中に告知」

    ドワンゴは6月10日、8日から続く大規模障害を巡り、今後の方針を発表した。10日午後6時時点で「サイバー攻撃の影響を受けずにニコニコのシステム全体を再構築するための対応を進めている」という。復旧予定やサイバー攻撃の詳細については「今週中に、役員の栗田穣崇およびCTO鈴木圭一が、復旧までの見込みおよびその時点までの調査で分かった情報を説明する予定」としている。 会員費の払い戻しなど、個々のサービスへの質問については「影響の調査を行っている段階のため」として回答を控えたが「誠実に対応させていただきますので続報をお待ちください」とした。 今回の攻撃を巡っては、ニコニコ以外にもKADOKAWAが提供する複数のサービスがダウンしており、KADOKAWAの公式サイトも表示できない状態が続いている。 関連記事 「#がんばれニコニコ」拡散 サイバー攻撃でダウン中、ユーザーが復旧を応援 「ニコニコ」でサイバ

    ニコニコ、システム全体を再構築へ サイバー攻撃の影響で 復旧の見込みは「今週中に告知」
    JULY
    JULY 2024/06/11
    「再構築」と言っているとなると、ランサムウェアっぽい感じがするなぁ。
  • 「パスキー」のユーザー体験を最適化させるデザインガイドライン、FIDOアライアンスが公開

    パスワードレスなユーザー認証を実現する業界標準である「パスキー」を策定するFIDOアライアンスは、パスキーのユーザー体験を最適化させるためのデザインガイドラインの公開を発表しました。 パスキーは、従来のパスワードによるユーザー認証よりも強力で安全な認証方式とされており、普及が期待されていますが、多くのユーザーが慣れ親しんできたパスワード方式と比べると、サインアップやサインインの方法が分かりにくいという課題が指摘されていました。 FIDOアライアンスによるデザインガイドラインの公開は、こうした状況を改善するものとして期待されます。 パスキーのデザインガイドラインの内容 デザインガイドラインは主に以下の要素から構成されています。 UXの原則(UX princeples) コンテンツの原則(Content principles) デザインパターン(スキーマ、サンプルビデオ、AndroidとiOS

    「パスキー」のユーザー体験を最適化させるデザインガイドライン、FIDOアライアンスが公開
    JULY
    JULY 2024/06/03
    Web やアプリのデザインの話。これも大事だと思うけど、デバイス側の鍵管理インターフェイスも、と思う。Android でデフォルトの鍵管理が Chrome の中、というのがモヤッとする。
  • マルウエア作成に対話型生成AIを悪用した事案についてまとめてみた - piyolog

    2024年5月28日、生成AIを使用したマルウエアを作成した容疑で警視庁が男を逮捕したことが報じられました。ここでは関連する情報をまとめます。 対話型生成AIを使用しランサムウエアらしきものを作成 男の容疑は不正指令電磁的記録作成。2023年3月31日に自宅PCやスマートフォンを使用して、対話型生成AIを使用し、不正プログラムの設計情報を組み合わせてマルウエアを作成した疑い。2024年3月に警視庁は男を偽造身分証を使用してSIMカードの不正契約を行ったなどとして詐欺容疑(今回の事案とは別件)で逮捕しており、*1 捜査より自宅から押収されたPCを解析したところマルウエアが発見された。*2 生成AIを使用したマルウエア作成の事案摘発は全国で初めてとされる。*3 男は以前に闇バイトとしてSIMカード詐取などの違法行為を行っており、トラブルとなった知人からランサムウエアを送り付けられていた。これを

    マルウエア作成に対話型生成AIを悪用した事案についてまとめてみた - piyolog
    JULY
    JULY 2024/05/31
    まぁ、この件に関しては起訴できないだろうなぁ。
  • まぎらわしい“ボタン風広告”から意図しないサイトに誘導されサブスク契約してしまうトラブルに、国民生活センターが注意喚起 

    まぎらわしい“ボタン風広告”から意図しないサイトに誘導されサブスク契約してしまうトラブルに、国民生活センターが注意喚起 
    JULY
    JULY 2024/05/31
    この1ヶ月ぐらい、この手の広告をせっせと Google に報告してるんだけど、みんな海外の広告主で、全く同じデザインの広告でも違う広告主だったりする。イタチごっこなんだろうなぁ。
  • 親がフィッシング詐欺の被害者になってしまったので手口と被害に合った時の対応について纏める - Qiita

    私の母は、実際1時間半程度電話で話していたと言いますが、最終的に振込指示の時点では信じ切ってしまっているので抗う術がないのかなと思います。 なので、素人が電話をかけてしまった時点でほぼアウトな手口な気がします。 最後振込終わった後に「私は詐欺です、警察に電話してください」これが表示される意図は分かりませんが、振り込んだ時点で詐欺師的にはもう勝ち確定なので、警察への手続きとかで更に心のダメージを与えるための悪質なメッセージなのかなと。。。 そんなこんなで、50万円もの大金をだまし取られました。 被害後の返金手続きと振り込め詐欺救済法について 母親は被害後、すぐ警察に電話したそうですが、やったことは下記です。 振り込み元口座の凍結(私の母親の口座) 振り込み先銀行に対して振込先口座の凍結依頼 振り込み元口座の凍結は二次被害防止のためですね。 ただし、返金に重要な振り込み先口座の凍結は、被害後す

    親がフィッシング詐欺の被害者になってしまったので手口と被害に合った時の対応について纏める - Qiita
    JULY
    JULY 2024/05/30
    「どこに引っかかる要素ある!?」Microsoft が個人のサポートをしない、とか、口座情報抜かれるからお金を送金、って、意味不明、とか、いろいろあるけど、まぁ、そこに気付けない人が多いから詐欺が成立するわけで。
  • マイナカード偽造「1枚5分、技術や準備は不要」中国籍の女証言…本人確認に目視のみ多く悪用拡大

    【読売新聞】 マイナンバーカードの偽造が相次いで発覚している。不正対策による「信用」で人確認時のチェックが甘くなり、悪用につながっているとみられ、SNSでは1万~2万円で流通しているという。中国籍の被告が取材に応じ、偽造の実態を証

    マイナカード偽造「1枚5分、技術や準備は不要」中国籍の女証言…本人確認に目視のみ多く悪用拡大
    JULY
    JULY 2024/05/25
    早いところ電子的確認手段の普及を、なんだけど、カードの裏面に書いてある番号自体は用途の制限が厳しいから、ジロジロと見るのも憚られる、みたいな心理はありそう。
  • 群馬大学の附属病院で個人情報漏えいか YouTube動画に電子カルテ画面が映り込む

    群馬大学は5月22日、同学医学部附属病院の入院患者42人の個人情報が一時公開状態になっていたと発表した。YouTubeに掲載された動画に電子カルテの入院患者一覧画面が映り込んでいた。 動画は、病院で使用している製品を開発した企業が、導入事例の紹介として作成したもの。病院の同意を得て撮影し、当該企業の公式YouTubeチャンネルで2023年11月23日から公開していた。 しかし、動画内に電子カルテの画面が映り込んでいることが4月23日に判明。その日のうちに当該企業に連絡し、動画の公開を停止したという。 動画の長さは10分3秒で、このうち6秒間に入院患者の一覧が映っていた。一覧には42人の漢字氏名、カナ氏名、患者番号、診療科、入院日などの個人情報が記載されていた。 群馬大学は「動画作成時のチェックで患者の個人情報が映ってしまっていることを見落とした」と説明。患者には個別に謝罪すると共に、再発防

    群馬大学の附属病院で個人情報漏えいか YouTube動画に電子カルテ画面が映り込む
    JULY
    JULY 2024/05/22
    というか、この動画を作った製品の開発企業側の落ち度でもあると思うが。
  • 「twitter .com」から「x .com」へのリダイレクト開始 ~「Firefox」などではトラブルも/トラッキング保護設定やプライベートモードでの利用に注意

    「twitter .com」から「x .com」へのリダイレクト開始 ~「Firefox」などではトラブルも/トラッキング保護設定やプライベートモードでの利用に注意
    JULY
    JULY 2024/05/17
    Same origin policy に引っかかる、って、またなんか雑なことをしている?
  • 名古屋港が約3日でランサムウェア被害から復旧できた理由 国土交通省が語る教訓

    もしそのコンテナターミナルが業務停止に陥るとどうなるか――。そのリスクを如実に示したのが、2023年7月4日に名古屋港コンテナターミナルで発生したランサムウェア感染被害だった。 2024年3月に開催されたセキュリティイベント「Security Days Spring 2024」に、国土交通省で最高情報セキュリティアドバイザーを務める北尾辰也氏が登壇。「名古屋港コンテナターミナルを襲ったサイバー攻撃とその背景」と題し、公表された報告書などを基に攻撃から復旧までのいきさつと、そこから得られた教訓を紹介した。 ITを用いた効率化が進んできたコンテナターミナル コンテナターミナルというと、港に林立する大型クレーン(ガントリークレーン)を思い浮かべる人も多いだろう。名古屋港コンテナターミナルもその一つだ。 同コンテナターミナルは5つのターミナルで構成されている。1日当たり約7500のコンテナが出入

    名古屋港が約3日でランサムウェア被害から復旧できた理由 国土交通省が語る教訓
    JULY
    JULY 2024/05/14
    見事な復旧だったけど、実情を見ると、結構、ギリギリだった感じ。命綱となったバックアップは良かったけど、BCP 無しに当場をしのげたのは、昔を知っている人のお陰、だもんなぁ。
  • IPA試験問題不備(令和6年春期ネットワークスペシャリスト午後2) - Qiita

    続いて、上記説明文を受けての設問内容です。 設問5 [S/MIMEの調査と実施策] について答えよ (1) 表4中の下線⑨の電子署名データの作成方法を,25字以内で答えよ。 (2) 表4中の下線⑩のハッシュ値 aを取り出す方法を,20次以内で答えよ。 (3) 表4中の下線⑪について,どのような状態になれば改ざんされていないと判断できるかを,25字以内で答えよ。 不備の内容 S/MIMEについての基礎 ここで、不備の説明に移る前に、S/MIMEに関する基事項について触れておきます。 S/MIMEは公開鍵暗号(守秘/署名/鍵共有)を用いてメールの暗号化や署名を行う技術およびその規格です。 最新はRFC8551のv4(2019年)ですが、アプリの対応状況は不明なところがあるので、一つ前のRFC5751のv3.2(2010年)を参照した方が無難かも知れません。 そして、S/MIMEで使用するデー

    IPA試験問題不備(令和6年春期ネットワークスペシャリスト午後2) - Qiita
    JULY
    JULY 2024/05/13
    「試験としてS/MIMEの仕様を細かく記述する必要性があるとは考えていません」同意。RSA 前提だと電子署名の考え方を説明するのには向いているけど、実際はこんな単純じゃない、ということだけ知っていればよいと思う。
  • 「コント?」河野太郎氏にSNSで疑問噴出「偽装マイナカード」対策で目視言及に「開いた口が」 - 社会 : 日刊スポーツ

    河野太郎デジタル相は10日、自身のX(旧ツイッター)を更新し、マイナンバーカードの偽造によるトラブルが相次いでいることを念頭に、見分け方などの注意を呼びかけた。 「マイナンバーカードにはさまざまな偽造防止対策が施されており、しっかりそれらを確認いただければ券面の偽造は判別できます。例えば右上のマイナちゃんはパールインキで印刷されており、角度によって色が変化します」と投稿。偽造かどうかの見分け方について、言及した。 偽造したマイナカードが身分証として使われた上で、地方議員のスマートフォンがだまし取られるなどの事件が全国で相次いでいる。河野氏は10日の記者会見でも「目視であっても、丁寧にカードをチェックすれば偽造は見破れる」などと主張。偽造かどうかを見分けるポイントを記した文書を、事業者向けに配布する考えも示した。 ただ、「目視」に言及した河野氏の会見での発言やX投稿には、SNS上で疑問の声が

    「コント?」河野太郎氏にSNSで疑問噴出「偽装マイナカード」対策で目視言及に「開いた口が」 - 社会 : 日刊スポーツ
    JULY
    JULY 2024/05/12
    いろいろズレてるなぁ。そもそもデジタルな確認を推奨していて、それができない場合の確認方法に関する言及を切り取った形でのズレた批判を、メディアが取り上げて火を付けるズレ。
  • デルで情報漏えいか 海外では4900万件流出との報道も 【ユーザーに届いたメール全文掲載】

    デル・テクノロジーズは5月9日、顧客情報が漏えいした可能性があるとユーザーに告知した。同社がユーザーに送ったメールで分かった。氏名、住所、製品の注文情報について、外部からアクセスされた可能性があるという。デルがユーザーに送ったメールは以下の通り。 海外メディアは、今回の漏えいが大規模なものである可能性も報じている。セキュリティ情報を発信するWebサイト米Daily Dark Webによれば4月28日、何者かがハッキングフォーラムで「2017年から24年にかけてデルから製品を購入した顧客の情報4900万件を盗んだ」旨を主張していたという。 Daily Dark Webは、データのうち約700万行が個人、約1100万行がコンシューマー事業者、残りはパートナー企業や学校、詳細が不明な団体なものだったとしている。データには米国、中国、インドなどの情報が含まれ、顧客の氏名や住所、郵便番号、製品・サー

    デルで情報漏えいか 海外では4900万件流出との報道も 【ユーザーに届いたメール全文掲載】
    JULY
    JULY 2024/05/10
    piyolog 案件になる、かな。
  • マイナンバーカードを用いた本人確認とiPhoneへの機能搭載【鈴木淳也のPay Attention】

    マイナンバーカードを用いた本人確認とiPhoneへの機能搭載【鈴木淳也のPay Attention】
    JULY
    JULY 2024/05/10
    IC カードによる確認にインセンティブがあるような制度設計をしたら、と思う。IC カード以外の本人確認の場合、デポジットとして1万円預ける必要がある、とか。
  • 「admin」「12345」など脆弱なデフォルトパスワードを禁じる法律、英国で施行【やじうまWatch】

    「admin」「12345」など脆弱なデフォルトパスワードを禁じる法律、英国で施行【やじうまWatch】
    JULY
    JULY 2024/05/01
    工場出荷時のパスワードが脆弱なパスワードだけど、使えるようにするための手順でパスワード変更が強制され、かつ、脆弱なパスワードを設定できない、という場合はセーフ?
  • 滅びてほしい認証系の実装の話

    こんにちは、富士榮です。 ちょっと前に某所でダメダメな認証系の技術実装ってなんだろうねぇ、、という話をしていたことをXで呟いたところ、色々とご意見を頂けましたのでまとめて書いておきます。

    滅びてほしい認証系の実装の話
    JULY
    JULY 2024/04/26
    いやぁ、そりゃぁ、はてブのコメントでは書ききれないほど... パスキーに期待はあるけど、まだちょっと、って思う部分があるんだよなぁ。
  • Microsoft Edge (及び Chromium 系 Browser 全般) v124 から Office 系ファイルの DL に制限がかかる件について - Qiita

    これは何? Microsoft Edge v124 に更新後、下記画像のように "XXX を安全にダウンロードすることはできません" と表示され、 Office 系のファイル等にてダウンロードに失敗する事象の理由と解決策です。 なお、先立ちますがこの動作は Chromium の仕様変更による想定の挙動です。 2024/05/01 追記 リリースノートに下記が追記されました。 元の動作に一時的に戻っていますが、v127 で再度警告表示されるようになります。 今のうちから対処 (https 化) することをお勧めします。 2024/06/04 追記 5/9 付で再警告表示への切り戻しが v127 → 未定となりました。 理由 Chromiumの "HTTPS by default"イニシアチブの一環として v124 から "Insecure Download Warnings" 機能が有効にな

    Microsoft Edge (及び Chromium 系 Browser 全般) v124 から Office 系ファイルの DL に制限がかかる件について - Qiita
    JULY
    JULY 2024/04/23
    「どうにも "拡張子のみを見ている" ようで」多分、Content-Type を見て判断していて、Web サーバ側が拡張子から Content-Type を決めている、じゃないかなぁ。
  • エンジニアというITの専門家でありながら、小賢しいWeb系の詐欺に80%ぐらいはまって死にかけた話 - Qiita

    Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? みなさんこんにちは!記事を読んでくださりありがとうございます。 Qiitaには初投稿なので、簡単に自己紹介をさせてください。 自己紹介 ・カナダのバンクーバーでWeb/モバイルエンジニアとして働いています ・2024年7月に日に帰国し、プロダクトオーナーに転身します ・大阪出身です 何が起こったかの概要 タイトルの通り、小賢しいWeb系の詐欺にはまって危うく銀行口座に侵入されかけました。カナダで起こった出来事ですが、日でも似たようなことが起こり得る事例かと思ったので、よりたくさんの方に注意喚起ができればと思いこちらに投稿致しました。

    エンジニアというITの専門家でありながら、小賢しいWeb系の詐欺に80%ぐらいはまって死にかけた話 - Qiita
    JULY
    JULY 2024/04/22
    1password が反応しない時点で、その URL を徹底的に疑うべき。まぁ、リダイレクトのフローが変更になって、それまでと違う URL ということはあるけど、無関係なドメイン名は警戒値 MAX で対応すべし。
  • SSL/TLS実践入門 ──Webの安全性を支える暗号化技術の設計思想

    2024年4月25日紙版発売 2024年4月25日電子版発売 市原創,板倉広明 著 A5判/456ページ 定価3,740円(体3,400円+税10%) ISBN 978-4-297-14178-3 Gihyo Direct Amazon 楽天ブックス 丸善ジュンク堂書店 ヨドバシ.com 電子版 Gihyo Digital Publishing Amazon Kindle ブックライブ 楽天kobo honto 書のサポートページサンプルファイルのダウンロードや正誤表など このの概要 SSL/TLSは,通信の秘密を守るために利用されている通信プロトコルです。HTTPSやHTTP/3にも利用されており,今日のWebでは利用が一般的になっています。書では,その最新バージョンであるTLS 1.3のしくみと,その使い方を解説します。SSL/TLSは公開されている実装例などを真似すれば基

    SSL/TLS実践入門 ──Webの安全性を支える暗号化技術の設計思想
    JULY
    JULY 2024/04/17
    そろそろ「TLS/SSL」とか「TLS(SSL)」みたいな書き方にならないかなぁ。SSL 3.0 が EOL になって、来年で 10 年になるし。
  • 多くのベンダーの「メールフィルタリング」に設定ミス サイバー攻撃の原因にも 米研究者らが調査

    このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」(シームレス)を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 X: @shiropen2 米カリフォルニア大学サンディエゴ校と米シカゴ大学に所属する研究者らが発表した論文「Unfiltered: Measuring Cloud-based Email Filtering Bypasses」は、クラウドベースのメールフィルタリングサービスの脆弱性を指摘した研究報告である。 多くの組織がクラウドベースのメールフィルタリングサービスを導入し、高度化するメールの脅威から身を守っている。これらのサービスは、企業のメールサーバとインターネットの間に位置し、受信メールをフィルタリングして、スパムやマルウェアなどの脅威を取り除く役割を果たす。 しかし、この

    多くのベンダーの「メールフィルタリング」に設定ミス サイバー攻撃の原因にも 米研究者らが調査
    JULY
    JULY 2024/04/08
    単に MX をフィルタリングサービスに向けるだけじゃ不十分で、元の MX で接続元を絞る必要があるよ、という話。Web だと、CDN を入れたけど、オリジンに誰でもアクセス可能な状態、みたいなやつ。