Twitterの非公開リストが見れた話
はじめにTwitterはBug Bountyプログラム(脆弱性報奨金制度とも呼ばれる)を実施しており、脆弱性診断を行うことが認められています。 本記事は、そのプログラムを通して報告された脆弱性についてを解説したものであり、インターネット上のサービスに無差別に攻撃する事を推奨するものではありません。 また、Twitter上で脆弱性を発見した場合は無闇に公開せず、TwitterのBug Bountyプログラムより報告してください。 要約不適切なアクセス制御とレートリミットの欠如、タイミング攻撃を組み合わせることによりTwitterの非公開リストの中身を閲覧できた。 不適切なアクセス制御TwitterのGraphQLエンドポイントに対して以下のようなリクエストを送信すると、リストが非公開であったとしてもリストのメンバーリストを取得することが出来た。 GET /graphql/iUmNRKLdkK
Twitter社内管理ツールの不正アクセスについてまとめてみた - piyolog
2020年7月16日（日本時間）、Twitter上で複数の著名なアカウントや有名企業のアカウントからビットコイン詐欺の投稿が行われました。Twitterはその後の調査で、社内サポートチームが使用する管理ツールが不正利用されたことが原因と発表しました。ここでは関連する情報をまとめます。 何が起きたの？ 2020年7月16日未明から著名アカウントを中心に詐欺投稿が行われた。その後アカウント侵害の影響は大部分が回復した。 一連の投稿にはTwitter社内のサポートチームが使用する管理ツールが悪用された。さらに複数のアカウントでDM閲覧やデータのダウンロードが行われた恐れがある。 社内ツールはソーシャルエンジニアリングにより不正利用された。Slackがその舞台となったと報じられている。 1. アカウントのっとり詐欺投稿 4時間続く 7月16日に発生したビットコイン詐欺の投稿は大まかに2種類が確認さ
Shiro Kawai on Twitter: "これはかなりすごいソーシャルハック。 「怪しいカードの利用がありました。マイアミで使いましたか?」 (いいえ) 「わかりました。このトランザクションはブロックします。本人確認のためメンバー番号を」 (メンバー番号自体は特に秘密でな… https://t.co/NHMlzcqkEj"
これはかなりすごいソーシャルハック。 「怪しいカードの利用がありました。マイアミで使いましたか?」 (いいえ) 「わかりました。このトランザクションはブロックします。本人確認のためメンバー番号を」 (メンバー番号自体は特に秘密でな… https://t.co/NHMlzcqkEj
Twitterのつぶやきから自宅の住所を特定するサイトWeKnowYourHouse.com
Twitterの投稿から、投稿者の自宅住所を割り出すという恐ろしげなサイトが今月スタートした。その名も「WeKnowYourHouse.com」（お前の家を知っている）だ。 このサイトは、「家に帰った」のような家からと思われるツイートを探し（英語のつぶやきが対象のようだ）、その位置情報を使って、つぶやいた人の住所を割り出して、サイト上に表示している。サイトには「○○（アカウント名）は××の近くに住んでいる」と表示される（一部は伏せ字になっている）。かなり詳細な場所が特定されているのは見ていて怖くなる。 WeKnowYourHouse.com 同サイトは、SNSのプライバシーに関する実験として作られ、サイト上には過去1時間分のデータのみを表示し、データは保存せず破棄しているという。住所を表示してほしくない人には表示拒否の手段も用意している。位置情報を付けずにつぶやいていれば、WeKnowYo
ライブドア社員malaが高木浩光の定置網に引っかかりtwitter民にフルボッコにされるの図 - Togetter
Hiromitsu Takagi @HiromitsuTakagi WBSの放送 http://t.co/JSaAhR9g は、経済系番組なのに問題点を示しており良い番組だった。「元カレが出て嫌」「知らない人が出て怖い」件を声をとって伝えている。（おそらく本題は元々そっちを予定していたのではないか。） 2012-06-24 00:39:38 Hiromitsu Takagi @HiromitsuTakagi 生貝氏のコメントは「企業が自ら情報の扱い方を明らかにしたうえで「信頼して欲しい」というメッセージを積極的に発信することが必要」というもの。 しかし今の実態はというと、「情報の扱い方」が抽象的にしか示されず、「信頼して欲しい」というのが精神論になってしまっている。LINEはどうか。 2012-06-24 00:43:20
後付けでトラッキング機能が有効化されることについて、はてなとTwitterの場合 - 最速転職研究会
前: http://d.hatena.ne.jp/mala/20120308/1331193381 はてなのその後の話 http://hatena.g.hatena.ne.jp/hatenabookmark/20120313/1331629463 話題になってからの対応が遅い、という人がチラホラいたけれど、別に対応はそれほど遅いというわけでもないと思う。 これは近藤さんがSXSWというイベントに行っていて日本にいなかったためで、収益にも影響する話なので即断できなかったのだろう。 こういう時にあとさき考えないで不良社員が勝手に広報したり、勝手に修正しても良いと思う(個人の感想です) 公平のため記しておくとHUG Tokyoというイベントで大西さんにおごってもらった(はてなの脆弱性をちょくちょく報告しています) Twitterの話 先日、Twitterが外部サイト上でのボタン、ウィジェットでト
Twitter for iPhone のおすすめユーザー機能がプライバシー的にアレな件について。 - nanameru (PHASE 1)
あまり気分の良くない事実を発見し、それに基づいて推測と簡単な検証をしたので書き記しておきたいと思う。 ある晴れた日の午後のことです。あるところに Twitter をはじめたいという人がいました。そこで、僕はその人の手伝いをしました。まずは彼の iPhone に公式の Twitter アプリをインストールし、Twitter ID を作成し、「フォローする人を見つけよう」というボタンをタップしました。 まず、最初に現れたのが「友達をフォローしよう」というボタン。アドレスブックのメールアドレスから検索してくれるそうなのですが、残念ながらボタンを押しても誰も現れませんでした。「次へ」を押すと現れたのが、「おすすめ」という画面。おすすめユーザーに僕の Twitter ID が入っていました。ここで、何かがおかしいと気が付きました。彼に Twitter に登録したメールアドレスを教えた覚えはありません
訪問者のTwitterアカウントをWebサイトが知る方法について - snippets from shinichitomita’s journal
覚えている人もいるだろうけど、その昔、Twitterには「WWWあしあと」とも言うべき機能（というよりも欠陥に近い）があった。要は、ユーザ自身のタイムラインのツイート情報をWebブラウザ上のJavaScriptからとってこれたため、どのTwitterユーザがWebサイトに訪問しているかをまったく簡単に特定することができたのだが、残念ながらというかやっぱりねというか、Twitterがメジャーになるにつれてそのような完全プライバシー無視な機能は（おそらく良識により）排除されていった。 その後、OAuthによるアクセス承認の仕組みがTwitterより提供されることで、外部Webサイトが訪問者のTwitter上のアイデンティティ情報をオフィシャルに許された形で知ることができるようになった。これは、情報を取得する前にユーザの同意を得ることが前提なため、全てのサイトにTwitterIDが垂れ流しになっ
Twitterのパスワードを抜き出すフリーソフト「TwitterPasswordDecryptor」
Twitterにログインするパスワードをブラウザに覚えさせているが、肝心のパスワードが一体何だったのかわからず、別のパソコンからログインできないとか、スマートフォンから利用するときに困った、というときに役立つのがこのフリーソフト「TwitterPasswordDecryptor」です。 原理的には非常にシンプルで、ブラウザが保存しているパスワードを解析して抜き出し、表示してくれるというそれだけのものです。 ダウンロードと使い方は以下から。 ※パスワードを抜き出すというソフトウェアの特性上、常駐させて使用しているアンチウイルスソフトやセキュリティソフトによってはスパイウェアやマルウェアとして反応することがありますが、誤検知なので問題ありません。 TwitterPasswordDecryptor: Twitter Password Recovery Software | www.Passwor
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
まとめよう、あつまろう - Togetter
Twitterアカウント乗っ取り問題を検証中
Anonymousが日本政府などを攻撃？
Twitterのアカウントセキュリティが向上、ユーザー設定で常時HTTPS接続が可能に！ | ライフハッカー・ジャパン