ディープフェイクの「顔交換」攻撃が704%増加、警戒を
Tripwireはこのほど、「Surge in deepfake "Face Swap" attacks puts remote identity verification at risk｜Tripwire」において、ディープフェイクによる「顔交換」攻撃の急増について注意を呼びかけた。Microsoftが2月6日(米国時間)にAI(Artificial Intelligence)を活用したFace Check(顔認証)をEntra Verified IDに追加したと発表したばかりだが、生成AI技術が顔認証を突破するために悪用されている実態が浮き彫りとなっている。 Surge in deepfake "Face Swap" attacks puts remote identity verification at risk｜Tripwire 顔交換攻撃とは？ 一般的に顔認証ではライブネス検証が
スマホ買い替えシーズン到来 筆者がオススメする「絶対あった方がいい機能」
もうそろそろAppleから新しい「iPhone」が発表されるとのことで、本コラムを読んでいる読者の方々は何となく心躍る時期になっているのではないでしょうか（「Android」派の方は、新しい「Google Pixel」に読み替えてください）。 私はガジェット好きで比較的買い換え間隔が短い方なので、今回も可能な限り早く新しい端末を手に入れたいと思っています。以前、お付き合いのある筆者さんが「新しいスマートフォンが発表されたら、サイズと容量が最も大きいものを選ぶので迷うことはないです」と言っていましたが、買い替える際、ふつうはいろいろと悩むものです。今回は個人的にぜひチェックしてほしい、スマートフォンの機能について取り上げたいと思います。 スマートフォンにもはや“必須”にすべき機能とは？ もはやスマートフォンはただの電話というよりも、生活する上で必須のデバイスになりました。今ではほとんど通話機
グーグル、量子耐性のあるFIDO2セキュリティキーの実装を公開
Googleは米国時間8月15日、量子耐性暗号の導入に向けて取り組む中、オープンソースのセキュリティキーファームウェア「OpenSK」の一部として、量子耐性FIDO2セキュリティキーの実装を公開したと発表した。 セキュリティキーは、コンピューターやスマートフォンに接続する小さなドングルで、アカウント認証のためのセキュリティの低いSMSメッセージに代わるものだ。 アカウントにログインして認証を求められた場合に、スマートフォンのテキストメッセージで受け取ったコードを入力する代わりに、セキュリティキーをタップするだけでログインできる。 しかし、量子コンピューターによって、現在は不可能と思われているワークロードが処理可能となる時代に突入しつつある中で、それが表す演算能力の急激な高まりに応じてセキュリティを強化する必要がある。 「量子攻撃はまだ遠い未来のことだが、インターネット規模で暗号化を導入する
Microsoft Entraとは何か？マイクロソフトのセキュリティ・ID管理サービスのゆくえ
マイクロソフトは約1年前の2022年5月末、新しい製品サービス群「Microsoft Entra」を発表しました。Azureのポータルやドキュメントでこの名称を目にすることが多くなってきたと思いますが、Microsoft Entraとは一体何なのか、ざっくり見てみましょう。 IT 専門誌、Web 媒体を中心に執筆活動を行っているテクニカルライター。システムインテグレーター、IT 専門誌の編集者、地方の中堅企業のシステム管理者を経て、2008年にフリーランスに。雑誌やWebメディアに多数の記事を寄稿するほか、ITベンダー数社の技術文書 (ホワイトペーパー) の制作やユーザー事例取材なども行う。2008年10月よりMicrosoft MVP - Cloud and Datacenter Management（旧カテゴリ：Hyper-V）を毎年受賞。岩手県花巻市在住。 主な著書・訳書 『インサイ
Twitterの「SMS認証」3月19日に終了 まだ解除してない無料ユーザーは早めの変更を
米Twitterが2月に発表した、SMSを使った2要素認証をサブスクリプションサービス「Twitter Blue」ユーザー限定にする措置。同社は無料ユーザーに対し設定を削除するようにアプリ内で案内していたが、その期限が迫っている。 Twitterは設定を削除していない無料ユーザーに数日前から再び告知を始めている。3月19日までを期限としており、まだ設定解除していないユーザーは急いだほうが良いだろう。同社は「Twitterにアクセスできなくなることを防ぐために」と案内しており、おそらく再ログインする際にSMSで送られてくるはずのコードが受け取れず、ログインができなくなるものと思われる。 2要素認証を今後も使いたいなら認証アプリを使おう なお、認証アプリやセキュリティキーなど、SMS以外の2要素認証については引き続き対応しており、今後も無料アカウントで2要素認証を利用したい場合は、「Googl
「パスキー」って一体何だ？ パスワード不要の世界がやってくる
Apple、Google、Microsoftという3大OSベンダーが揃ってサポートを表明している「パスキー（Passkeys）」。パスキーを使うことで、パスワードが不要になり、フィッシングや成りすまし、流出などのセキュリティ問題が一気に解決するほか、パスワードをメモしたり覚えたりする必要がなくなる。果たして、パスキーによってパスワード不要の世界はやってくるのだろうか。 パスキーでログインはこう変わる パスキーとは一体何か？ 理屈や背景を説明する前に、デモサイトの「Passkeys.io」にアクセスしてみるのが分かりやすい。パスキーは生体認証とセットの技術なので、指紋認証機能を備えたPCや、指紋／顔認証を備えたiPhone、Androidなどでアクセスしてみよう。
パスワードを使わない認証技術「FIDO」が進化 デバイスやOSを越えて利用可能に
Googleの各種サービスやYahoo! Japan、LINE、オンラインバンキング、オンラインショッピングなど、Webサービスの利用で頻繁に使うことになるパスワード。ログインしようとしている人が本人かどうかを認証するための仕組みとして使われているが、フィッシング詐欺やパスワードリスト攻撃など、犯罪者による攻撃が後を絶たず、個人情報や金銭が詐取される被害が頻発している。 そうした問題に対抗する技術として、パスワードを使わない認証技術「FIDO」を推進するFIDOアライアンスが、普及に向けた取り組みを加速している。FIDOアライアンスが主催するイベントに合わせて来日したエグゼクティブディレクター兼最高マーケティング責任者であるアンドリュー・シキア氏と、FIDOを推進するNTTドコモのチーフセキュリティアーキテクトである森山光一氏が、FIDOと新しいパスキーに関して説明。FIDOでは、「パスワ
多要素認証疲労攻撃に要注意、Uberが被害に遭う
Malwarebytesは9月22日(米国時間)、「Welcome to high tech hacking in 2022: Annoying users until they say yes」において、Uberがソーシャルエンジニアリングの斬新な手法を用いた攻撃者によって被害を受けたと伝えた。Uberに対して、多要素認証(MFA: Multi-Factor Authentication)疲労攻撃が行われたことが判明した。 Welcome to high tech hacking in 2022: Annoying users until they say yes 多要素認証疲労攻撃は、攻撃者がすでに被害者のログイン情報を持っていることが前提とされている。攻撃者が何度も被害者のアカウントへのログインを試み、被害者が使用している多要素認証用に設定したモバイル端末またはアプリに「サインインを
もう安心できない? 多要素認証や二要素認証を回避する「AiTMフィッシング攻撃」が流行する可能性
セキュリティ研究者でありMicrosoft技術に詳しいJeffrey Appel氏は2022年8月8日（現地時間）、自身のWebサイトのブログ記事において、二要素認証（2FA: Two-Factor Authentication）を含む多要素認証（MFA: Multi-Factor Authentication）を回避するサイバーセキュリティ攻撃「AiTM（Adversary-in-The-Middle）フィッシング攻撃」が今後長期にわたって継続する可能性があると伝えた。 多要素認証や二要素認証はセキュリティを強化する方法として強く推奨されることが多い。今後こうした状況が続けば、多要素認証や二要素認証を使っているからといって、これまでのように安心してはいられないといった状況が当たり前になる可能性がある。
侵入前提型防御も重要な今、なぜ「特権アクセス保護」（PAM：Privilege Access Management）が必要なのか
侵入前提型防御も重要な今、なぜ「特権アクセス保護」（PAM：Privilege Access Management）が必要なのか：ゼロトラスト時代の特権IDの守り方（1） 古くて新しい「特権アクセス保護」（PAM：Privilege Access Management）について技術的内容を分かりやすく解説する連載。初回は、そもそも「特権」とは何か、特権の持つ特徴リスク、抱える課題などについて整理する。 本連載「ゼロトラスト時代の特権IDの守り方」では、古くて新しい「特権アクセス保護」（PAM：Privilege Access Management）について技術的内容を分かりやすく解説します。「そもそもPAMって何？」という方や、PAMについて検討し始めた方にはぴったりの内容です。 初回は、そもそも「特権」とは何か、特権の持つ特徴リスク、抱える課題などについて整理します。 そもそも「特権」と
「予測されやすいパスワード」有名サイト75％で許可 米プリンストン大が警鐘
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 米プリンストン大学の研究チームが発表した「Password policies of most top websites fail to follow best practices」は、Webサイトで新しくパスワードを設定する際にユーザーが保護される仕様になっているかを調査し考察した論文だ。世界で最も人気のある英語圏のWebサイト120のパスワードポリシーを調査した。 結果は、120サイト中13％しかベストプラクティスではなかった。具体的には、75％のWebサイトが「abc123456」や「P@$$w0rd」のような最も推測されやすいパスワードの選択を許可しはじかなかった。 また45％が数字
Microsoft Defender for CloudがAWSとGCPをサポートする合理的な理由
Microsoftは「Defender for Cloud」で「Google Cloud Platform」（GCP）をサポートする。これによって「Microsoft Azure」と「Amazon Web Services」（AWS）、GCPの3大パブリッククラウドサービスで同一のセキュリティ管理が可能になる。 クラウド業界では、各プロバイダーが「自分の城の安全を確保する」モデルを運用してきた。だがコロナ禍によってユーザー企業がマルチクラウドを余儀なくされるなどの理由から、このモデルは現実的ではなくなったとMicrosoftは主張する。 Microsoftと世論調査会社Harris Poll（Harris Insights and Analytics）の共同調査において、83％の企業が2022年の最も差し迫った問題としてマルチクラウド管理の複雑さを挙げた。 なぜMicrosoftがAWSと
Stolen OAuth tokens used to download data from dozens of orgs, GitHub warns
FIN7 targeted a large U.S. carmaker with phishing attacks | Law enforcement operation dismantled phishing-as-a-service platform LabHost | Previously unknown Kapeka backdoor linked to Russian Sandworm APT | Cisco warns of a command injection escalation flaw in its IMC. PoC publicly available | Linux variant of Cerber ransomware targets Atlassian servers | Ivanti fixed two critical flaws in its Aval
電話番号に届く認証番号を使った「2要素認証」はもはや安全ではない
ネットサービスのアカウントを作ろうとして、「セキュリティのために電話番号も入力してください」とのメッセージに遭遇したことがある人は多いはず。パスワードと電話番号に届いた認証コードの両方でログインする「2要素認証(2FA)」は強力なセキュリティとして重宝されていますが、ハッカーにとってはほとんど無意味だとセキュリティ企業が警鐘を鳴らしています。 Bypassing 2FA - Secret double octopus https://doubleoctopus.com/blog/threats-and-alerts/bypassing-2fa/ 企業向けのパスワードレス認証技術を手がけるDouble Octopusによると、そもそもパスワードを用いること自体が基本的に安全なものとは言えないとのこと。そのため、2FAを導入したログイン方法もその場しのぎの対処法に過ぎず、せいぜいパスワードだけ
多要素認証が効かない「Pass-the-cookie攻撃」の緩和策
前編（多要素認証が効かない「Pass-the-cookie攻撃」の仕組み）では、Pass-the-cookie攻撃の概要と仕組み、リスクを解説した。後編ではPass-the-cookie攻撃を緩和する方法を紹介する。 MFAを無効にする攻撃が内包する「広範囲に広がる」という性質により、ユーザーのリスクは大きくなる。Bitdefenderのアーセン氏は次のように話す。「Cookieとセッションのハイジャックは、特にSSO（シングルサインオン）を導入している企業にとっては非常に懸念される。サイバー犯罪者は盗み出したCookieやセッションを使ってそのIDが関連付けられた複数のWebアプリケーションにアクセスする可能性がある」 OneSpanのフレデリック・メネス氏（製品セキュリティ部門ディレクター）もこのリスクが注目に値することに同意し、次のように話す。「Pass-the-cookie攻撃の実
多要素認証が効かない「Pass-the-cookie攻撃」の仕組み
最近の一連のサイバー攻撃は、多要素認証（MFA）の有効性に疑問を投げ掛けている。 2021年1月初め、米国土安全保障省サイバーセキュリティおよびインフラストラクチャセキュリティ庁はアラートを発し、クラウドの構成を強化するよう助言した。 同庁によると、リモートワークの急増でクラウドサービスへのアクセスに使う端末に企業端末と個人端末が混在するようになったことにより、こうした攻撃が多発している可能性が高いという。 サイバー犯罪者はフィッシングやログインの総当たり攻撃など、多種多様の技法を駆使している。MFAを突破する「Pass-the-cookie攻撃」も仕掛けている。 MFAは魔法ではない Pass-the-cookie攻撃自体は新しい脅威ではない。Tessianのトレバー・ルーカー氏（情報セキュリティ部門責任者）によると、これはかなり標準的な攻撃で、セッションCookieのアクセス権を手に入
ドコモ口座事件が怖い人に知ってほしい解決法
これに対して、ブロックチェーンを用いてIDを分散的に管理する方式が提案されています。 ドコモ口座などを用いた銀行口座からの資金流出事件が発生しました。また、SBI証券では、保有資産がインターネットを通じて盗まれる事件が発生しました。 これまで、「インターネットバンキングやスマートフォン決済は、どうも信用できないから使わない」と考えていた人も少なくないでしょう。 しかし、今回の事件で明らかになったのは、「インターネットバンキングやスマートフォン決済を利用していなくても、被害に遭う可能性がある」ということです。 銀行口座を持っているだけで、潜在的には同様の被害にあう危険があるのです。 日本の金融システムが不正行為に対して極めて脆弱であることが暴露されたことになります。 犯人についてはまだ何も知られていませんが、国家レベルのプロ集団である可能性もあります。彼らが、セキュリティーの甘い日本の金融シ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
MicrosoftがIDガバナンスを強化へ セキュリティ新ブランド「Microsoft Entra」発表
「Zerologon」とは何か？ 深刻度の高い脆弱性、ADサーバを利用しているなら緊急対策を
クラウドID管理の米オクタ、日本に本格参入 - 日本経済新聞
