「顔」を盗むiPhoneマルウエア出現、ディープフェイクで銀行口座に不正アクセス
生成AI（人工知能）などを悪用した「ディープフェイク」が大きな脅威になっている。その1つが「顔交換」。自分の顔を他人の顔にすげ替えた動画や画像を生成する。無料あるいは安価なツールやサービスが出回り、誰でも簡単に試せる状況になっている。 顔交換の悪用方法の1つが、生体認証の回避である。顔交換で他人になりすまし、顔認証をパスして不正にログインする。セキュリティー企業の英iProov（アイプルーブ）によると、顔交換を悪用したサイバー攻撃が2023年後半に急増。2023年前半と後半を比べると、報告件数が8倍以上になったという。 顔交換を実現するには、なりすましたい相手の顔情報を盗む必要がある。そのために開発されたと思われるマルウエアを、シンガポールのセキュリティー企業Group-IB（グループIB）が2024年2月15日（現地時間、以下同）に報告した。 Androidスマホ版（Android版）と
OAuthにおける認可コード横取り攻撃とその対策
OAuthにおける認可コード横取り攻撃とその対策 Jul 5, 2021 前回の記事で示したように、カスタムURLスキームを偽装した不正アプリは正規アプリへのディープリンクを乗っ取れる。この挙動の悪用シナリオとして、正規アプリと認可サーバー間のOAuthフローにおける認可コード横取り攻撃が知られている。この攻撃への対策を把握するためにiOS環境でシナリオを再現し、PKCEの有効性を確認した。 要約 OAuth 2.0の拡張機能であるPKCEを導入することで認可コード横取り攻撃を無効化できる。OAuth 2.0の仕様では、認可サーバーはネイティブアプリをクライアント認証できない。そのため、認可サーバーは認可コードを横取りした不正アプリと正規アプリを識別できない。しかし、PKCEの仕組みにより認可サーバーは正規アプリを識別できるようになり、認可コード横取り攻撃の検知が可能となる。 ネイティブア
カスタムURLスキームの乗っ取りとその対策
カスタムURLスキームの乗っ取りとその対策 May 17, 2021 カスタムURLスキームは、モバイルアプリ内のコンテンツへ直接誘導するディープリンクに広く利用されている¹。そのような中で、2020年3月にLINEはカスタムURLスキーム line:// の使用を非推奨とした²。非推奨の理由をLINEは「乗っ取り攻撃が可能なため」と説明し、代わりにHTTP URLスキームによるリンクを推奨している。この変更に対して私は、なぜHTTP URLスキームによるリンクだと乗っ取り攻撃を防げるのか疑問を抱いた。この疑問に答えるためにLINEアプリの乗っ取りを試み、対策の有効性を確認した。 要約 HTTP URLスキームによるディープリンクは対象のアプリを一意に特定できるため、不正アプリによるリンクの乗っ取りが発生しない。カスタムURLスキームでは複数のアプリが同じスキームを宣言できるため、モバイル
SMS OTPの自動入力によるリスクとその対策
フィッシングサイトへの自動入力のリスク SMS OTPとWebサイトが紐付かない状態では、正規のSMS OTPがフィッシングサイトへ自動入力されるリスクが生じる。現実的なリスクとして、GutmannらはMITMと組み合わせた「ログインにおける2要素認証の回避」と「ソーシャルログインの偽装による電話番号確認の回避」、「オンライン決済における取引認証の回避」の3つのシナリオを示している⁷。2要素認証の回避につながるリスクは、iOSの自動入力がPayPayの偽サイトで発動した前回の検証で確認している。今回の検証ではAndroidの自動入力がPayPalの偽サイトで発動するか確認する。 2要素認証の回避 PayPalの偽サイトは前回と同様にMITMフィッシングフレームワーク「Evilginx2」で複製し、一般利用者が誤ってアクセスしないようインバウンド接続を制御した。Android 11のChro
「変なホテル」のLance R. Vick氏とコンタクトしてみた - Fox on Security
先週21日に記事を書きました、「変なホテル」のIoT機器への脆弱性に対してTweetsをしていたLance R. Vick氏に対する一部報道の件で、どうしても理解できない部分があったので、直接Twitterでお聞きしてみました。 foxsecurity.hatenablog.com 元ソースは、先週同じく記事に取り上げてらっしゃったpiyokango氏のまとめ（※決してpiyokango氏が悪いと言っている訳ではありません。いつもとりまとる情報が参考になっております）で、気になる「部分」がありました。 変なホテルの客室ロボット タピアの脆弱性についてまとめてみた - piyolog 脆弱性報告を不審メール扱い ・2019年7月6日にH.I.S HDに対して、脆弱性を指摘する情報提供が行われていた。 ・この指摘をH.I.S HDは報奨金目的の不審メールとして扱い、接触を避けていた。 ・取材に
スライド 1
マスタ サブタイトルの書式設定 マスタ サブタイトルの書式設定 Androidセキュリティ勉強会 株式会社イエラエセキュリティ http://ierae.co.jp Androidセキュリティ勉強会 ～WebViewの脆弱性編～ 2012年10月6日 goroh_kun Androidセキュリティ勉強会 株式会社イエラエセキュリティ http://ierae.co.jp Agenda • セキュアコーディングTF紹介 • WebViewの脆弱性 –概要 – AndroidのWebViewどこがまずいの？ –JavaScript編 –fileスキーマ編 Androidセキュリティ勉強会 株式会社イエラエセキュリティ http://ierae.co.jp Goroh •本名とは関係ありません •主にtwitterで活動中(@goroh_kun) – 画像は良くいく店のマスコット •Androi
Androidアプリセキュリティ 〜Webサイト閲覧でroot権限を取得されてしまう脆弱性(1)〜 | Remote TestKit
Androidのブラウザ(図中ではWebkitと記載)の脆弱性を利用して相手の端末の管理者権限を取得されてしまうのはどういった仕組みで起きるのかについて解説します。 「○○○の脆弱性により任意のコードが実行される可能性があります」といった文章を一度は見たことがあると思います。 しかし、実際にどのような流れで任意のコードが実行されるのか？読者の皆さんはイメージできるでしょうか？ 今回説明するのは、Androidのブラウザ(図中ではWebkitと記載)の脆弱性を利用して相手の端末の管理者権限を取得する、という少し過激な内容です。 読者の皆様、特にAndroidアプリケーション開発技術者の方々に、今回の記事を通して少しでもセキュリティに興味を持っていただき、セキュアなアプリケーション開発のヒントになればと思います。 1．全体の流れ 遠回りになっていまいますが、まずは、「Android端末からWe
GitHub - phonegap/phonegap: access core functions on Android, iPhone and Blackberry using JavaScript
Object.prototype.__defineSetter__を使ったAndroidでのJSON Hijackingに関して
Object.prototype.__defineSetter__を使ったAndroidでのJSON Hijackingに関して こないだShibuya.XSSで徳丸さんが紹介されてたObject.prototype.__defineSetter__を使ったJSON Hijackingに関して「Fx3系とAndroid 2系で動作する」とのことだったので検証してみた。 前書き __defineSetter__とはブラウザベンダーが独自実装したProperty AccessorでECMAScriptには定義されていない（ECMAScriptでは別の方法が定義された） 具体的な使い方は以下のとおり。 hoge = {}; hoge.__defineSetter__(‘huga’, function(val) { this.huga_ = val; }); hoge.huga = 'foo’;
ぼちぼち気になるフリーの Android 用 Antivirus | バシャログ。
うわ！！ と叫びたくなるほどの早さで 1 月もおしまいおしまい。何気に 2011 年初投稿な nakamura です。残りの 11 ヶ月も頑張っていきましょう〜。 前々から何となく気にはなっていましたが、先日 こんなセキュリティアナウンス を目にしたこともあり、なんとなく調べてみました、Android 用の Antivirus ソフト。 特に使い比べたりはしていないので、試しながら自分にあったものを見つけてくださいね〜。 Lookout Mobile Security https://www.mylookout.com/ 検索した時に一番上に出てきたので、何となく今はこれを使ってます。無料版、有料版とありますが、無料版でもインストールしたアプリのスキャン、電話帳のバックアップ、GPS を使った紛失時の位置特定など充分な機能を備えています。 Antivirus Free http://jp.
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - MobSF/mobsfscan: mobsfscan is a static analysis tool that can find insecure code patterns in your Android and iOS source code. Supports Java, Kotlin, Swift, and Objective C Code. mobsfscan uses MobSF static analysis rules and is powered by semgre
Pixel 6: Setting a new standard for mobile security
Android Permissions Remystified: A Field Study on Contextual Integrity | USENIX
「Apache Cordova」を使ったハイブリッドアプリケーションの脆弱性に関する調査報告書
