依頼を受けた侵入テストで逮捕、起訴？ ハッカーが語る体験談 (1/2)
依頼主と共に綿密な計画を立て、実施を決定したレッドチームの物理侵入テスト。まさかテスト担当者が現行犯逮捕され、計10万ドル（約1,000万円）もの保釈金を支払うはめになるとは――。 2020年8月5日、6日にオンライン開催されたセキュリティカンファレンス「Black Hat USA 2020」の講演で、昨年9月に発生した“レッドチーム逮捕事件”の経緯と顛末について、当事者であるCoalfire（コールファイア）社のセキュリティ専門家2人が詳細に語った。 この事件は州政府／郡政府の独立性が高い米国固有の事情がからんだレアケースにも見えるが、セキュリティテストにおいて双方の見解や視点、感情の行き違いから大ごとに発展するケースは国や文化を問わないものだ。講演から事件を振り返り、今後同じ状況に陥らないためにも何ができるかを考えたい。 州政府から裁判所への物理侵入テストの依頼を受ける Coalfir
TechCrunch | Startup and Technology News
Companies are always looking for an edge, and searching for ways to encourage their employees to innovate. One way to do that is by running an internal hackathon around a… Women in tech still face a shocking level of mistreatment at work. Melinda French Gates is one of the few working to change that.
「脆弱性は見つからなかった」 セブン・ペイ緊急会見の“甘すぎる認識”
モバイル決済サービス「7pay」で不正ログイン被害が相次いだ問題で、セブン＆アイ・ホールディングスは7月4日、緊急会見を開いた。被害額は全額補償するという。運営元のセブン・ペイ小林強社長は「詳細については調査中。いろいろな角度から精査しないといけない」と語ったが、全体を通してセブン＆アイ側の“認識の甘さ”が垣間見えた会見だった。 残高チャージ、新規登録を停止 決済機能はそのまま 7payは、1日のリリース当初から登録者が殺到し、アクセスしづらい状況に。3日ごろには、不正利用の報告がTwitterなどで相次いだ。ログインIDとパスワードを入手した第三者がアカウントを乗っ取り、残高チャージやセブン-イレブン店頭での支払いができる状態だった。 同社の試算によると、不正アクセスの被害者は約900人、被害額の合計は約5500万円に上る（4日午前6時時点、店頭決済額を想定）。登録者数は150万人強だっ
ロシアハッカーグループ Fxmspが 情報を盗み出した、セキュリティソフト企業がほぼ確定？ - Windows 2000 Blog
普段の日記は あっち[http://thyrving.livedoor.biz/] こちらには技術関係のちょっとマニアックな記事やニュースを載せます。 Windows2000ネタ中心に毎日朝と夜更新予定。 Hackers breached 3 US antivirus companies, researchers reveal | Ars Technica ロシアのハッカーグループFxmspがアメリカの有名なセキュリティ企業３社のソースコードやネットワークへのアクセス権などを盗み出して$10万と$25万で販売しているというニュースが発表されました。 ※ 初出で販売額を一ケタ間違えました しかし、３社にとどまらず、４社目のセキュリティ企業にも侵入に成功したと彼らは主張しています。 皆さんの注目はこの間抜けなセキュリティ企業がどこなのかということだと思います。 １社のヒントはニュースで公開され
兵庫県警ブラクラ摘発の何が恐怖なのか - bonotakeの日記
兵庫県警によるブラクラ摘発が話題になってもう3週間ほどになるんでしょうか。 最初は中学生がこの件で「補導」（触法少年として刑法犯扱い）された事が話題になりましたけども、その後、僕は同時に摘発された男性に関する以下の記事が出て「これは本当にマズイ」と感じるようになりました。 そして、この件で僕が感じているこのザワザワした感情が 恐怖 なんだ、という認識に至りました。 nlab.itmedia.co.jp 以下、僕がこの件で何を恐怖と感じているかを書きます。 書いてあることは他でも言われていることの何番煎じかわからないものですが、あくまで僕自身の所信表明ということで。 目次： 1. ブラクラをウィルスと同列のものとして扱っている 2. ループの本質を警察が理解していない ループはプログラムに欠かせないもの 止まらないループは簡単にできあがる まとめると 3. 故意犯の要件を満たしていないのでは
「ウイルス罪」適用範囲、全都道府県警に開示請求 エンジニアが進ちょく公開、議員に陳情も……いたずらURL事件受け
「ウイルス罪」適用範囲、全都道府県警に開示請求 エンジニアが進ちょく公開、議員に陳情も……いたずらURL事件受け いたずらURLを掲示板に書き込んだ3人がウイルス供用未遂の疑いで摘発。エンジニアの間で「何がアウトかセーフか分からない」と不安が広がる中、ウイルス罪の適用範囲を明らかにするよう求める情報公開請求を行うエンジニアが現れた。 JavaScriptを使った無限ループプログラムのURLを掲示板に書き込んだ3人が不正指令電磁的記録（ウイルス）供用未遂の疑いで摘発されたり、Coinhiveをサイトに設置した複数のユーザーがウイルス取得・保管の疑いで摘発されるといった事態を受け、「何をすればウイルス罪に当たるのか、セーフとアウトのラインが分からない」とエンジニアの間で不安が広がっている。 そんな中、全都道府県警に対して、ウイルス罪の適用範囲を明らかにするよう求める情報公開請求を行うエンジニア
勉強会の活動休止のお知らせ – すみだセキュリティ勉強会
主催者のozuma5119です。 既に自分のブログ(兵庫県警へ「不正指令電磁的記録に関する罪」の情報公開請求をしました（その1）)で先に書いてしまったのですが、すみだセキュリティ勉強会の開催はしばらく保留とし、しばらく活動休止することにしました。理由は、昨今の警察の動きがあまりにも不穏で、単なるセキュリティ勉強会ですら、脆弱性の解説や攻撃コードの研究発表を理由に、逮捕事案にしかねないためです。 私自身は、勉強会の名前通りに東京都墨田区在住のため、警視庁管轄であり実際のところはほとんど心配は無いと思っています。しかし、発表者の方が近隣の神奈川県・埼玉県・千葉県から来られる場合……その発表を元に、各県警により不正指令電磁的記録に関する罪で発表者が逮捕される可能性があります。それどころか、例えば「勉強会に行って、こんなセキュリティの話を聞いてきた」というブログ記事を書いた参加者の皆さんを、共犯者
Librahack ： 容疑者から見た岡崎図書館事件
出来事の詳細 3/13 新着図書データベースを作るためクローリング＆スクレイピングプログラムを作成した ちょうどその頃、市場調査を行うためにECサイトのスクレイピングプログラムを作っていた。そのついでに、前々から構想していたLibra新着図書Webサービスを作ろうと思った。市場調査プログラムの一部をカスタマイズして、新着図書データベース作成プログラムを作った。この時、市場調査プログラムと新着図書データベース作成プログラムは同じプログラム内にあり、パラメータでアクションを指定して振り分けていた。 Webサービスを作ろうと思った動機は「なぜプログラムを作ったか」の通り。 Webサービスの概要は「どんなプログラムを作ろうとしていたか」の通り。 普段読む本を入手する流れ：1. Amazonの各カテゴリの売れ筋をチェックしてレビューを確認し読むかどうか決める（または、書評ブログや新聞などのメディアで
「みんなで逮捕されようプロジェクト」がネット上で拡散中～サイバー犯罪対策課は「自分の子どもにもそんなことが言えるのか」と反発｜NetIB-News
ネット上で「Lets-get-arrested project（みんなで逮捕されようプロジェクト）」なるものが発足している。立ち上げたのはプログラマーのhamukazu氏。 発端となったのはNHK神戸放送局が4日に配信した「不正プログラム書き込み疑い補導」というニュース。このなかで女子中学生が「不正プログラム」と呼ばれたプログラムのアドレスを掲示板に書き込んだために補導されたと報じられた。 このニュースを受けて、同氏はTwitter上で「JavaScriptで『意図しない動作』で逮捕されたり補導されたりする件、エンジニアみんなは団結して抗議する意味で、進んで逮捕されにいくのはどうだろう」と提起。 その後、ソフトウェア開発プラットフォームGithubで自らプロジェクトを立ち上げた。Twitter上では「リツイートすると幇助になるかも」との意見もあり、今後の動向に注目が集まっている。 兵庫県警
総務省 ＩｏＴ機器に無差別侵入し調査へ 前例ない調査に懸念も | NHKニュース
サイバー攻撃対策の一環として、総務省は家庭や企業にあるインターネット家電などのいわゆる「ＩｏＴ機器」に無差別に侵入して対策が不十分な機器を洗い出す、世界でも例のない調査を行うことになりました。しかし、実質的に不正アクセスと変わらない行為を特例的に国が行うことに懸念の声もあがっています。 それによりますと、調査は家庭や会社などにあるルーターやウェブカメラなどのＩｏＴ機器およそ２億台を対象に来月中旬に開始し、無差別に侵入を試みて、初期設定のままになっているなどセキュリティー対策の不十分な機器を洗い出し、ユーザーに注意を促すとしています。 実際、おととし１年間に情報通信研究機構が観測したサイバー攻撃のおよそ54％でＩｏＴ機器がねらわれていて、国は東京オリンピックに向けて対策を強化する必要があるとしています。 一方、調査では予想されるＩＤとパスワードを実際に入力して機器に侵入する計画で、本来は不正
なぜアドウェアは検挙されず、無断マイニングでは逮捕者が出るのか
違法性の境界を考える3つの事例 本題に入る前にいくつか前提を明確にしておく。 「コインハイブ」とは、Webサイトの広告モデルの代わりとして考案された、仮想通貨のマイニングスクリプト（とそれを提供するサービス）。サイト運営者は、自サイトにマイニングスクリプトを埋め込むと閲覧者のWebブラウザ（PC）を利用してマイニングを行い、広告に代わる収入を得ることができる。運営者は、マイニングについて告知するのがマナーだが無断でマイニングさせることもできる。広告は無断でWebブラウザに表示されるし、ページの内部では機能提供のため閲覧者が認識しないスクリプトなどが動いているので、告知はサイト運営者に任されている。 しかし、2018年初頭、閲覧者に無断でコインハイブを起動させていたWebサイトが、いわゆるウイルス作成罪（刑法168条の2、同条の3）に触れるとして、10県警によって16人が逮捕・起訴された。こ
WebサイトにCoinhiveを設置して閲覧者にマイニングさせた事案、罰金30万円が命じられる | スラド セキュリティ
Webサイト内に「Coinhive」と呼ばれるスクリプトを設置し、サイト閲覧者の端末で仮想通貨を採掘させる行為が不正指令電磁的記録供用やを不正指令電磁的記録（ウイルス）保管に当たるとされて摘発された事件で、横浜区検察庁が容疑者を不正指令電磁的記録（ウイルス）保管の罪で略式起訴、罰金30万円の支払いが命じられた。また、不正指令電磁的記録供用容疑については不起訴になったという（毎日新聞）。 Coinhiveが不正指令電磁的記録に相当するかどうかはセキュリティ研究者の高木浩光氏が検証を行なっているが、検察や簡易裁判所は違法だと判断したことになる。なお、Coinhiveの設置を巡っては複数の人が摘発されているが、うち1人は命令を不服として裁判を申し立ててているという。
「公式」QRコードリーダーを使うと読み取り時の位置情報がQRコード作成者に提供される | スラド Submission
あるAnonymous Coward 曰く、 先日、読み取りづらいQRコードに遭遇したため、いくつかのQRコードリーダーを試していたところ「公式」を謳うQRコードリーダーが起動時に位置情報の取得を要求してくることに気づいた。位置情報を要求してくるのは、QRコードの特許及び商標を保有している株式会社デンソーウェーブと、アララ株式会社が共同開発している「公式QRコードリーダー "Q"」。 不審に思って調べてみたところ、実はこの「公式」QRコードリーダーは「アクセス解析機能」が有効化された特別なQRコードを読み取ると、GPSを使った高精度の位置情報が開発元のログ収集サーバー(api.qrqrq.com) に送信される仕組みとなっていた(ログ送信時のキャプチャ)。もちろんQRコード自体に、そのような仕様が存在しているわけではなく、位置情報の送信は「公式QRコード作成サイト」(2017年9月開始)
ルーターに感染し採掘コードを埋め込むマルウェアが流行、マンションの共有ルータへの感染が疑われる例も | スラド セキュリティ
最近ルーターなどのネットワーク機器を狙ったマルウェアが増加しているが（過去記事）、こういったマルウェアによって閲覧中のWebページ内に仮想通貨の採掘コードを埋め込まれるケースが報告されている（「マルウェアに感染したと思ったら（多分）してなかった話」）。このケースでは自宅のルーターを使わずにマンションの共有ルータに直接接続した場合でも問題が発生し続けていたため、共有ルータがマルウェアに感染したのではないかと疑われている。 ISPに報告を行い、共有ルータのファームウェアのアップデートを行なったところ問題が解決したとのことだが、ISPなどからの報告はないため本当に共有ルータが問題だったのかは確認できなかったとのこと。
「海賊版サイトにDoS攻撃」政府の勉強会で提案 日本IT団体連盟の資料公開
「海賊版サイトをブロッキングする代わりに、権利者が海賊版サイトに直接DoS攻撃を仕掛ける」――政府の勉強会で「日本IT団体連盟」がこんな提案を行った。その資料が公開され、ネットで議論を呼んでいる。 「海賊版サイトをブロッキングする代わりに、権利者が海賊版サイトに直接DoS攻撃を仕掛ける」――政府の知的財産戦略本部が8月10日に開催した、「インターネット上の海賊版対策に関する勉強会」で、IT関連の団体で構成する日本IT団体連盟（理事長：ヤフー社長の川邊健太郎氏）がこんな提案を行ったことが話題になった。提案資料がこのほど、政府のWebサイトで公開（PDF）され、ネットで議論を呼んでいる。 資料では、海賊版サイトの技術的対策として、「アクセス集中方式」がブロッキングに代わる手段になると提案。権利者が自ら、違法サイトにアクセスを集中させ、サイトにつながりにくくするという案で、いわば「権利者による海
サイバー警察に家宅捜索を受けた際の体験談
はじめに これは、私が2018年4月に埼玉県警のサイバー警察に自宅の家宅捜索を受けた時の体験談です。 事実を出来るだけ詳細に記載致します。また、大変稚拙で恐れ入りますが私自身の正直な気持ちも一緒に書き留めています。 また、事件内容の詳細につきましては、警察に口止めされている上、私も捜査を妨害する意図などは全くなく捜査上の秘密が守られることは個人的にも大切だと理解し同意もしているので掲載しないこととします。 この記事の掲載目的は、主権者（納税者）である私以外の国民の皆様に、行政組織の1つである警察から私と同じような体験をして頂きたくないという点と、サイバー警察組織の現状を垣間見た一市民、一ITエンジニアとして私が感じたこと、体験致しましたことを皆様に共有させて頂ければと思い執筆させて頂きました。 登場人物の紹介 ここでは、少し話が長くなりますので先に登場人物をまとめさせて頂きます。 私：自営
「お使いのシステムは破損」「ウイルス感染」詐欺サイトの報告相次ぐ 対策のため広告停止するサービスも
「お使いのシステムは破損しています」「ウイルスに感染しています」――こんな偽のアラートを出しす詐欺サイトの報告が多数。広告ネットワークで配信されている悪質な広告によって表示されているとみられる。 「お使いのシステムは破損しています」「ウイルスに感染しています」――こんな偽のアラートを出し、対策ソフトやアプリと称するプログラムをダウンロードさせようとする詐欺サイトが相次いで報告されており、閲覧したユーザーなどが注意を呼び掛けている。 広告ネットワークで配信されている悪質な広告によって表示されているとみられ、対策のために、全広告ネットワークの広告配信を止めるサービスも出ている。 Twitterユーザーなどの報告によると、表示される広告はWebブラウザや端末の種類によって異なり、Google Chromeなら、Googleのロゴ入り画面で「お使いのシステムは、頻繁に4ウイルスによって破損していま
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
コインハイブ事件で無罪判決 弁護人「警察の暴走、食い止められることを願う」 - 弁護士ドットコムニュース
警察におけるサイバー人材募集の悩ましい現実(山本一郎) - 個人 - Yahoo!ニュース
トレンドマイクロの漫画村Coinhive実演に不正疑惑
