JavaScriptを使わずにCSSでマウスが追跡する方法を発見
Bleeping Computerは5月9日(米国時間)、「Researcher Finds CSS-Only Method to Track Mouse Movements｜Bleeping Computer」において、JavaScriptを使わずHTMLとCSSだけでユーザーのマウスの動きをトラッキングすることができると伝えた。セキュリティ研究者であるDavy Wybiral氏のツイートおよびPoC動画を引用する形で伝えている。 セキュリティ研究者Davy Wybiral氏のツイート この方法はCSSでDiv要素のグリッドを作成し、それに:hoverでイベントを発生させるという仕組みで実現している。現在は広告やトラッキングを防止するためにブラウザの機能やエクステンションの機能が使われ、JavaScriptがブロックの対象になることが多い。しかし、JavaScriptを使わないこの方法を
ロシアの凶悪集団、米ウイルス対策ソフト3社をハッキング | Forbes JAPAN 公式サイト（フォーブス ジャパン）
サイバー犯罪者とセキュリティソフトの開発会社らは、終わりなきいたちごっこを繰り広げているが、アメリカに拠点を置く大手セキュリティ企業3社が深刻な被害を受けたようだ。ロシアのハッカー集団「Fxmsp」がネットワークに侵入し、アンチウイルスソフトのソースコードを手に入れたと主張している。 地下フォーラムにおけるFxmspの動向はセキュリティ企業Advanced Intelligence(AdvIntel)が、以前から追跡していた。この集団は堅牢なネットワークに侵入する技術を持ち、主に企業や政府の機密情報を標的にしてきた。 AdvIntel によるとFxmsp は2か月前、半年ぶりにハッキングフォーラムに姿を現したという。Fxmsp側も今回の攻撃を半年前に始めたと主張している。 目的を達成するまで鳴りを潜めていたFxmspだが、今回のハッキングで30テラバイト以上の情報を入手したとし、盗んだフォ
「パスワードの定期的変更は、古びた時代遅れの極めて価値の低い対策」、Microsoftが次期大型アップデートでポリシー変更
Microsoftは4月24日（現地時間）、間もなくリリースされるWindows 10の次期大型アップデート「Windows 10バージョン1903」（19H1）と「Windows Serverバージョン1903」について、セキュリティベースライン設定のドラフト版を公開した。 今回のドラフトでは、「パスワードの定期的な変更を促していたポリシー」の廃止が盛り込まれたことが注目されている。Microsoftはこれについて、「パスワードセキュリティの現状に問題があることは疑いようがない」と認めている。 ユーザーが自分でパスワードを作成する場合、安易なパスワードを選びがちな傾向があるという。覚えにくいパスワードの作成を強要されたり、割り当てられたりすれば、目に見える場所に書きとめておく。パスワードの定期的な変更を強要されれば、既存のパスワードに予想可能な変更を少しだけ加えて済ませがちで、新しいパス
【簡易チェック付】この長期連休はパスワード管理も改めませんか？：新倉茂彦の情報セキュリティAtoZ：オルタナティブ・ブログ
マイクロソフトのパスワードの定期変更不要というニュースを見ました。以前から気になっていたのですが、別にこれらの言っていることは「なにも間違ってない」のですが、都合良く部分的に摘まむ方々は、定期変更不要と、弱いパスワードのまま使うことと、それらを使い回しすることが全部一緒くたになっているという、全然笑えない現実があることです。 パスワードの定期変更は危険！という話をそのまま鵜呑みしていいのか？ どこから見るかで立場は変わる 誰が何処から見て「どれが本当なのか？」ということかと思います。 誰かの考え方を、特に深く考えることもなく、自身に都合良い部分だけ搔い摘まんで使うことの危険性を知って欲しいです。 簡易チェック（いくつマルがつきますか？ 1．パスワード管理は専用ソフト等を使っている。 2．パスワードは個別に使用し、同じものは使い回さない。 3．二段階認証を積極的に使うようにしている。 4．パ
【ITP2.1対策】Google Analytics（グーグルアナリティクス/GA）サーバーサイドCookie期限延長にSecure / HttpOnly属性はいらない：秋山大志のそれとりあえず作ってみようか。：オルタナティブ・ブログ
【ITP2.1対策】Google Analytics（グーグルアナリティクス/GA）サーバーサイドCookie期限延長にSecure / HttpOnly属性はいらない GW前（4月24日）に、WebKit（ウエブキット：アップルが中心となって開発されているオープンソースのHTMLレンダリングエンジン群の総称）の開発者ブログでSafariのユーザートラッキング防止機能であるITP2.2の詳細が発表されました。 公式：Intelligent Tracking Prevention 2.2 https://webkit.org/blog/8828/intelligent-tracking-prevention-2-2/ え？ITP2.1対応も業界的にままなっていないのにもう次かよ？！ 早すぎる・・・。 ITP2.1が発表されたのが、今年（2019年）の2月21日だったので2か月強でのユーザート
The inception bar: a new phishing method
Welcome to HSBC, the world’s seventh-largest bank! Of course, the page you’re reading isn’t actually hosted on hsbc.com; it’s hosted on jameshfisher.com. But when you visit this page on Chrome for mobile and scroll a little way, the page is able to display itself as hsbc.com - and worse, the page is able to jail you in this fake browser! In this post I show how the attack works, then suggest some
解説「ゼロトラスト」シフト--脱“境界セキュリティー”への3つの技術
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 「ゼロトラスト」は、セキュリティー実装上のコンセプトなので、何か単一の技術や製品を採用することで実現するものではない。だが、組織の情報通信（以下、ICT）基盤をゼロトラスト型に移行する上で中心となる技術は幾つかある。特に、前回紹介したような攻撃者が行う「ラテラルムーブメントを防ぐ」という観点からゼロトラストを考えるケースが多く、さらにクラウド、モバイルなどの分散型ICT基盤への移行と併せて考えるというのが主だ。 そこで、今回は主要な3つの技術である「マイクロセグメンテーション」「ソフトウェア定義境界」「ID認識型プロキシー」を紹介する。ID認識型プロキシーは、前回の記事で最後に触れているが、そのメリットを他の技術とも比較するため今回も最
日本ハッカー協会セミナー「不正指令電磁的記録罪の傾向と対策」
昨今、アラートループなど以前は問題ないとされていたプログラムでもIT技術者が逮捕・補導される危険が高まっている。その結果、IT技術者の勉強会や研究発表が自粛され、日本のIT技術者の萎縮を招いている。現在Coinhive裁判の被告側代理人を務める平野敬先生により、自分が巻き込まれたらどうしたらよいのかを語ってもらい、高木浩光先生にはなぜこのようなことで逮捕されるかを詳しく解説いただき、ITエンジニアの方々に啓蒙を図る。 #jha https://techplay.jp/event/726215 0:00:00 オープニング（日本ハッカー協会） 0:10:05 エンジニアのための刑事手続入門（平野 敬 先生） 0:57:27 スポンサーLT（ブロードバンドセキュリティ） 1:02:24 不正指令電磁的記録の罪が対象とすべき本来の範囲とは（高木 浩光 先生） 主催: 一般社団法人 日本ハッ
NISC | みんなで使おうサイバーセキュリティ・ポータルサイト
みんなで使おうサイバーセキュリティ・ポータルサイト
不使用Webアカウントの断捨離で情報漏えいリスク低減
さまざまなWebサービスを利用して、いつの間にか使わなくなったものも放置されていないだろうか。こうしたWebサービスに登録されているアカウントが漏えいするなどして、悪用される危険性がある。使っていないアカウントを探し、Webサービスから削除しよう。 Webサービスを使っていると、そこにアカウント（ユーザー名とパスワード）が登録されることになる。こうしたユーザー名／パスワードの組み合わせが次々と登録され、場合によっては使っていないWebサービスでもユーザー名／パスワードがWebサイト側に残ったままとなってしまう。 時々発生するユーザー名／パスワードの漏えいを防ぐ意味でも、使っていないWebサービスのユーザー名／パスワードは、Webサイトから削除しておくのが無難だ。 使っていないWebサービスなので、ユーザー名／パスワードが漏えいしても、実害はないと思うかもしれない。しかし、漏えいした情報を使
個人情報を「集めないこと」が差別化になる時代：Mostly Harmless：オルタナティブ・ブログ
先週は毎年恒例のAppleの製品発表がありました。今年はハードウェアの発表は前の週に済ませてしまい、新しいサービスを中心とした発表になったことは、すでに報道されているとおりです。これは、Appleがハードウェアビジネスからサービスへ大きく舵を切ったことを意味しているということでしょう。 ｢もうApple製品は買い続けなくてもいいよ｣宣言。新サービス発表会でAppleが言いたかったこと スマホは十分に普及し、インフラ化してしまいました。需要が無くなることは無いでしょうが、大きな成長は見込めないという状況にあります。その中で、サービスに活路を見出そうというのは順当な戦略といえます。 その中で登場したApple Cardは、Appleの個人情報保護への取り組みを反映した新しいセキュリティ思想を提示しました。 アップルが発表した「Apple Card」の3つの革新的な取り組みとは？ この記事の中で
ITP2.1の影響と対策方法のまとめ、JavaScript生成cookie7日間問題 | marketechlabo
ITPの仕様 次々と新しいバージョンがリリースされるITP。微妙にアップデートされ、仕様がわかりにくくなっているので現時点で最新のものを解説する。 ITPの目的と概要 われわれウェブサイト運用者は cookieやローカルストレージなどを使ってブラウザにドメインのデータを保持し、 それらのデータを必要に応じてツール間で連携する ことによって行動計測やコンテンツの出し分けなどのマーケティング活動を行っている。ITPはウェブサイト訪問者のプライバシー保持のためにそれを制限する仕組みである。具体的に何をやっているのかざっくりまとめると、 この3つのケースにおいて cookieなどを使ったデータ保持が短期間しかできなくなる（期間の長さはケースごとそれぞれ異なる） リファラが使い物にならなくなる 可能性があるということである。その結果 コンバージョントラッキングができない リマーケティング広告が配信で
海外でスマホを盗まれたら？実体験から対策を解説します。
華酉 ライター/中世マニア 北海道生まれドイツ暮らし。大学では歯学と宗教学を修めた為、いつ中世ヨーロッパに飛ばされても活躍でき... more パスポート、財布。この二つが盗まれると大変な事はよく知られています。 そして今のご時勢、この二つに続いて盗まれるとまずいものがスマホです。個人情報の塊であり、本体も高額な上、時に銀行と密接なアプリまで含まれています。 そして写真を撮るため、地図を見るため、頻繁に取り出すため盗みやすく、スリにとっては現金にも勝るお宝なのです。 腰に巻いていようと、首から下げていようと、どんなに気をつけていようと盗まれる時は盗まれます。 絶望する前に、是非この方法で被害を最小限に食い止めてみてください。 実際に海外でスマホを盗まれた経験からお伝えします。 SIMカードを無効化する スマホが、無い!!!!と気付きましたら、真っ先にする事がSIMカードの無効化です。 急ぎ
パスワード不要のログイン方法「WebAuthn」がウェブ標準になる
World Wide Webで使用される各種技術の標準化を推進するWorld Wide Web Consortium(W3C)が、パスワード不要のログイン方法「Web Authentication(WebAuthn)」を新たなウェブ標準のログイン方法とすることを決定しました。これにより、多くのウェブブラウザやウェブサービスが、パスワードを使わない認証方法に対応するとみられています。 W3C and FIDO Alliance Finalize Web Standard for Secure, Passwordless Logins - FIDO Alliance https://fidoalliance.org/w3c-and-fido-alliance-finalize-web-standard-for-secure-passwordless-logins/ W3C finalizes
盗んだiPhoneのアクティベーションロックはどうやって解除できるのか？
by Blogtrepreneur iPhoneにはAppleが提供するクラウドサービス「iCloud」のアカウントであるApple IDを紐付けることで、仮に盗まれたり紛失したりしても遠隔でアクティベーションロックをかけて他人からの操作を一切受け付けないようにすることが可能となっています。しかし近年、このアクティベーションロックが解除されたiPhoneが業者向けのオークションに出回っているとMotherboardが報じています。 How Hackers Break into iCloud-Locked iPhones - Motherboard https://motherboard.vice.com/en_us/article/8xyq8v/how-to-unlock-icloud-stolen-iphone 2013年に、Appleはセキュリティ機能の一環として、iPhoneを単一の
自分は大丈夫と考える人が騙される！ 最新ネット詐欺の傾向と対策 (1/2)
自分だけは大丈夫 そんな考えが詐欺につけ込まれる インターネットを使っているとさまざまなネット詐欺を目にすることが多い。最も多いのが、大手企業を騙るフィッシング詐欺のメールだろう。Facebookで見知らぬ外国の美女から友達申請が来た人もいるはず。ネットオークションで、明らかに偽物のブランド品が出品されているのを目にするかもしれない。デジタルリテラシーの高いASCIIの読者であれば、鼻で笑ってスルーすることだろう。 しかし、ネット詐欺の手口は急激に進化を続けており、リテラシーのある人でも引っかかる可能性は高くなっている。自分だけは大丈夫と思っている人でも、タイミング次第でころっと騙されてしまうのだ。 最大の防御方法は、ネット詐欺の手口を知ること。知っていれば、見かけた瞬間に笑い飛ばせる。知らないから、詐欺を仕掛けている文面を読み始めてしまう。そこで、今回は最新のネット詐欺事例をよくあるシチ
GoogleのreCAPTCHAはどうやって人間とボットを見分けているのか？
Googleが開発を進めるウェブサイトの認証システム「reCAPTCHA」は、人間とボットを区別するためのシステムです。これまでの人間とボットを見分けるシステムの多くは歪んだ文字を読んで手入力したり、条件にふさわしい画像を複数選択したりといった作業で見分けられていましたが、こうしたテストはユーザーにとって非常に煩わしいもの。そこで、Googleはクリック一発で文字入力も画像選択も不要なreCAPTCHAを開発しています。reCAPTCHAがいったいどういった仕組みで人間とボットを見分けているのか、ソフトウェア企業のSilktideのCEOであるOliver Emberton氏が解説しています。 `Oliver Emberton's answer to Why can't bots check “I am not a robot” checkboxes? - Quora https://ww
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
【それってネット詐欺ですよ！】怖すぎるリアルタイムアタック機能付きフィッシング詐欺【被害事例に学ぶ、高齢者のためのデジタルリテラシー】
【それってネット詐欺ですよ！】総務省から「NOTICE」で検知されたので対応するようにメールが来た【被害事例に学ぶ、高齢者のためのデジタルリテラシー】
複数の理由で「アカウント検証」をクリックさせようとするAmazon偽メール（フィッシング対策協議会） | ScanNetSecurity
