ドロップキャッチを悪用したTwitterのっとりについてまとめてみた - piyolog
2019年8月10日、DIANNAプロジェクトは同社が運営する公式Twitterアカウントが不正ログインされたと発表しました。不正アクセスの詳細については発表されていませんが、SNS上の投稿等からドロップキャッチを悪用しアカウント奪取が行われた可能性があります。ここでは関連する情報をまとめます。 被害の状況 diannaproject.jp 応援して下さっている皆様へ いつも応援ありがとうございます。 のっとり、なりすましの件は警察、IT弁護士に相談致しました。 それでも親として不安は強く東京遠征後の活動について今娘と話し合いの最中です。 答えが出るまではSNSをお休みさせて頂きます。 ゆうか母 pic.twitter.com/AF4usYFTD9— ゆうか (@DP_YUUKAA) August 9, 2019 DIANNAプロジェクトからの公式発表によれば次の被害を受けたとみられる。
自宅サーバーでTwitter連携サービスを運営してたら家宅捜索された件 - Qiita
概要 ある朝自宅に神奈川県警が乗り込んできた。 (なお自宅は神奈川県ではない) どうやら俺はTwitterにモロ画像を投稿していたらしい。 「間違いなくこの家から投稿されていた。プロバイダにも確認済みだ。」 「(ハンドルネーム)というアカウント使ってるでしょ」 「心当たりあるでしょ？」 「(ブランド名)のTシャツ持ってるでしょ？」 おやっ、何かがおかしいです。 想定される経緯 自宅サーバーではTwiGaTen( https://twigaten.204504byse.info/ )というWebサイトが稼動している。 そしてこいつはTwitterアカウントでログインしたアカウントのタイムラインを24時間365日収集し続けている。Twitterの仕様上、これは時々ログイン履歴として記録される。 そして警察はモロ画像をうｐしたアカウントのログイン履歴を見て… 「固定回線からうｐか。バカめ。」 「
総関西サイバーセキュリティＬＴ大会（第10回）のまとめ
mopisec @mopisec 総関西サイバーLT大会、行けそうだし行ってみようかな......と思ったりしたけど帰るの遅くなるし無理かもしれない #sosaisec 2018-07-30 19:27:11
第18回サイバー犯罪に関する白浜シンポジウム および 第9回危機管理コンテストのまとめ（ #sccs2014 )
リンク Ustream オープニング＋白浜シンポジウムオリエンテーション（第18回 サイバー犯罪に関する白浜シンポジウム） 白浜シンポジウムのオープニング挨拶と、 白浜シンポジウムの楽しみ方として、オリエンテーションの動画です。 （第18回 サイバー犯罪に関する白浜シンポジウム） まとめ 【1日目】第18回サイバー犯罪に関する白浜シンポジウム および 第9回危機管理コンテスト（ #sccs2014 ) 第18回サイバー犯罪に関する白浜シンポジウム テーマ：『サイバー犯罪の抑止とダメージコントロール』 1日目のまとめです。 公式ページ：http://www.riis.or.jp/symposium18/ 公式Ustream：http://www.ustream.tv/channel/sccs2014 2124 pv 2 まとめ 【2日目】第18回サイバー犯罪に関する白浜シンポジウム および
Syrian Electronic Army Apparently Hacks DNS Records Of Twitter, NYT Through Registrar Melbourne IT | TechCrunch
Syrian Electronic Army Apparently Hacks DNS Records Of Twitter, NYT Through Registrar Melbourne IT The Syrian Electronic Army has claimed responsibility for hacking the domain name servers of two of Twitter’s sites, and a third appears to have been redirected to servers hosted by the SEA. In addition, attacks have been made on The New York Times and Huffington Post UK name servers. [Updated with
ほこたて 「どんなパソコンにも侵入する世界最強ハッカーVS絶対に情報を守るネットワークセキュリティー」防御側の裏話
よくわからない人のための事前知識 イメージ的にはこんなかんじです。 ・銀行（パソコン）にお金（画像）が保管してあります ・これを盗まれる（ハッキング）のを防ぐのが目的です ・ところが番組側が用意した銀行の建物はボロボロ（バージョンが古い）です ・そんな建物なので侵入経路（脆弱性・セキュリティホール）だらけです ・セキュリティ的には補修工事（パッチをあてる）をしたかったものの、番組が面白くなくなるので不可 ・そこで、銀行自体に侵入されるのは諦めて、お金を保存する金庫を頑丈にしました(TrueCryptで暗号化) ・そして勝負開始、思ったより銀行に侵入するだけでも結構時間がかかっていたようです ・とはいえ、そこは脆弱性を残したままのシステムであり、案の定銀行には侵入されてしまいました ・金庫も見つかってしまいました ・ところが金庫を破るのが非常に難しかったため、時間制限もありギブアップ …とい
超軽量Twitterクライアント「もふったー」コンシューマシークレットキー難読化最後の挑戦
Twitter公式クライアントなどのコンシューマキーが判明したのが原因でセキュリティ的に危険な状況に陥り、さまざまな被害が発生し始め、いかにTwitter公式の姿勢が良くないかを指摘することを目的として、Windows95以降でも動作する超軽量Twitterクライアント「もふったー」作者による以下のようなエントリーが公開されました。 2013年03月11日 TweetDeck をハックしたら予想以上に酷かった件 - Windows 2000 Blog http://blog.livedoor.jp/blackwingcat/archives/1760823.html 「ためしに、 Tweet Deck でコンシューマキーとコンシューマシークレットキーが抜き出せるか試してみました」ということでいろいろ試した結果、実行ファイル自体をテキストエディタ、たとえばWindows標準の「メモ帳」でも開
特定のクライアントを許可している Twitter ユーザーの Token Credentials を入手する攻撃 - ひだまりソケットは壊れない
怪しいクライアントを許可していないのに勝手に twitter で DM が送信されていた 何やら Twitter で勝手に DM が送られるという事案が発生していた模様。 調査の結果、ある web ページにアクセスしただけで、Twitter の token credentials が攻撃者に知られてしまう *1 ということがわかったらしい。 下記ページにまとめられていたのだけどパッと読んですぐには攻撃手法を理解できなかったので、いろいろ考えたことを書き残しておく。 「ちょっとこれみてくれない」とurlを送るスパムDMの解析と解説 - Togetter 簡潔な解説が以下の記事にあったので、簡潔な説明で理解できる人は下記記事参照。 gist:5053810 (DM踏んだだけでアレな件はTwitterのOAuth実装がク○だと思う) 【拡散希望】twitterの新型ウイルスがヤバい URL踏んだ
TweetDeck をハックしたら予想以上に酷かった件 - Windows 2000 Blog
3rdに引っ越しました。 2010/12/31 以前＆2023/1/1 以降の記事を開くと５秒後にリダイレクトされます。 普段の日記は あっち[http://thyrving.livedoor.biz/] こちらには技術関係のちょっとマニアックな記事やニュースを載せます。 Windows2000ネタ中心に毎日更新。 【拡散希望】twitterの新型ウイルスがヤバい URL踏んだだけでアウト - uinyan. com Twitter で TweetDeck Tweetbot for iOS HootSuite iOSのデフォルトアプリ ShootingStar/Pro 等のコンシューマキーが流出して、それを利用したウィルスが猛威を振るってたようです ためしに、 Tweet Deck でコンシューマキーとコンシューマシークレットキーが抜き出せるか試してみました まず、アプリケーションを起動し
ハッカージャパンブログ セキュリティ業界 Twitterおすすめフォローリスト
こんにちはハカ子です ハッカージャパン3月号では「一歩先行く Twitterの使い方」という記事を掲載し、本誌読者向けの他とは違ったTwitterの使い方について解説しています。 「Twitterボットを作ってみよう」では、Rubyを使ったボットの作り方を紹介。特にモーションセンサーと組み合わせたボットは必見の記事です。 その他にも、HJ読者にお勧めのWebサービスをピックアップした「Twitterサービス７選」やTwitter上で発生した事件やその回避方法を分析した「Twitterトラブル対策ガイド」、そして「セキュリティ業界 おすすめフォローリスト」といった記事を載せています。 今回「セキュリティ業界 おすすめフォローリスト」のリスト部分を、以下アップしております。 記事内では、どのような基準でリストをピックアップしたか、情報の探し方、執筆者であるtessy氏のTwitterサービス紹
2009-12-18
午後3時まえから数分間、ツイッターのトップページが下記のように表示されていました。 昨日からどうも調子がおかしかったのは、サイバー攻撃を受けていたのか……。 ツイッターを追っているかたであればご存知のように、昨日配本のぼくの第一長篇『クォンタム・ファミリーズ』、売り上げも評判もかなり好評です。よかった、よかった。 ところでそんななか、『波』1月号（12/25発売）掲載の法月綸太郎氏による書評（東浩紀と「家系」の問題）が届きました。これがたいへんにすばらしい。法月さんにしかできない読解であるとともに、僕の『ミステリーズ！』連載の法月綸太郎編への返信にもなっている。こんな批評的な往還ができるとは。小説書いてよかった！ 問題の『クォンタム・ファミリーズ』、都内書店では早速売り切れが出始めているようですが、ツイッターでハッシュタグ「#QF」を検索していただけると、各地の書店での販売状況がわかります
TwitterのURL短縮サービスでハッキング、200万のURLが改ざん
URL短縮サービス「Cligs」がハッキングされ、約200万のURLが別のサイトにリダイレクトされる事件が起きた。 マイクロブログサイトのTwitterで提供されているURL短縮サービスがハッキングされ、約200万のURLが別のサイトにリダイレクトされる事件が起きた。セキュリティ各社が6月16日、一斉に伝えた。 ハッキングされたのはTwitterで4番目に使われているというURL短縮サービスの「Cligs」。6月14日時点で約200万件のリンクが別のサイトにリダイレクトされていたことが分かった。 CligsのWebサイトに掲載された説明によると、Cligs編集機能の脆弱性を何者かが悪用し、短縮されたURLのリンク先を改ざんしたとみられる。同社は一時的に編集機能を無効とし、乗っ取られたURLを元に戻した。ただし、同社は5月初旬以降、URLのバックアップを取っていなかったため、それ以降に作成さ
Twitter でベーシック認証越しになにかやるのは控えた方が良い - nothing but trouble
なんでも JSONP で取れるので、どこかでベーシック認証通していると、認証ダイアログも出ずに DM のぶっこ抜きなんかが出来てしまったりする。 DM を JSONP で取得するデモ(ソース見て貰えればわかるけど、サーバサイドにデータ送ったりしてません) http://kaz.july.7.googlepages.com/twitter_dm_jsonp.html まあ予想通りといえば予想通りだけど DM なんかが JSONP できるのはちょっと問題なんじゃないかなと思う。 最初から一貫して、セキュリティなどに関しては twitter はあてに出来ないのは何も変わっていないので protected や DM なんかで、公開されたら不味い情報のやりとりをしているような人は気をつけた方が良いでしょう。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
セキュリティ・キャンプキャラバンin大阪2015のまとめ（ #spcamp #seccamp #matcha139 )
話題のPHP入門書『作りながら基礎から学ぶPHPによるWebアプリケーション入門』について
United States
http://www.machu.jp/posts/20090801/p01/