トレンドマイクロ従業員の不正行為で発生したサポート詐欺についてまとめてみた - piyolog
2019年11月5日、トレンドマイクロは同社従業員（当時）の内部不正行為で一部の顧客情報が流出し、その情報が同社のサポートになりすました詐欺電話に悪用されていたと発表しました。ここでは関連する情報をまとめます。 トレンドマイクロの発表 blog.trendmicro.com www.trendmicro.com 2019年8月上旬、ホームセキュリティソリューション利用者の一部がトレンドマイクロサポート担当者になりすました詐欺電話を受けている事実を把握。 詐欺犯が保持している情報を受け、同社が組織的な攻撃を受けている可能性を考慮。 顧客情報の流出は外部からのハッキングではなく、同社従業員による内部不正行為が原因であることを確認。 徹底的な調査は即行われたが、2019年10月末まで内部不正行為によるものと断定できなかった。 同社は洗練されたコントロールを行っていたが、計画的犯行により突破されて
利用省庁ゼロで廃止された政府共通プラットフォームのセキュリティ機能についてまとめてみた - piyolog
2019年10月8日、読売新聞は総務省が開発費約18億円をかけ政府共通プラットフォーム上に導入したセキュリティ機能が各省庁から一度も使用されずに廃止されたと朝刊一面で報じました。ここでは関連する情報をまとめます。 誰も使わなかったセキュリティ機能 報じられたのは「セキュアゾーン」と呼称されるセキュリティ機能。*1 政府共通プラットフォーム上に実装され、インターネットからは遮断された環境で利用する。 2015年6月に発生した日本年金機構の不正アクセス事案を受け導入が決定されたもの。 平成27年度総務省所管の補正予算案で「一億総活躍社会の実現に向けて緊急に実施すべき対策」の1つに計上されていたとみられる。 (2) 政府情報システムのセキュリティ対策 33.8億円 政府共通プラットフォーム及び新たな共通ネットワークにおけるセキュリティ対策（情報システムのインターネットからの分離、インターネット接
7Payの失態で露呈した本当は怖いIDの話｜楠 正憲（デジタル庁統括官）
セブンイレブンのQR決済「7Pay」がリリース翌日から大規模な不正アクセスの被害を受け、少なくとも約900人が、計約5500万円の被害を受けた。原因は杜撰なIDの設計にあり、被害者はいずれもIDを乗っ取られて、クレジットカードから不正にチャージされた。 自分の設定したIDとパスワードを入力して、どちらも正しい場合にログインできる仕組みは1960年代前半に発明されて以来、今もインターネット上で最も広く利用されている。GAFAはじめYahoo!や楽天といった大手企業が今も使っていることから、十分に安全と思われがちだ。 ところが実際のところ特にここ数年は非常に激しい攻撃に晒されており、血の滲むような努力と不断の改善によって維持されている。利用者は自分が入力したIDとパスワードしか意識しないけれども、その裏では端末環境の特徴やアクセス元のIPアドレスや位置情報、同時に利用している他の端末など、実に
WEB特集 潜入取材！フォロワー３万人買ってみた | NHKニュース
フォロワーの数が仕事や報酬に直結するＳＮＳのインフルエンサーの世界。そのフォロワーを購入して水増しする行為がインスタグラムの一部のインフルエンサーの間で行われている実態を取材した記事を21日に掲載した。 News Up「私は“水増しインフルエンサー”」 https://www3.nhk.or.jp/news/html/20190521/k10011924131000.html では水増ししたフォロワーはどこからやってくるのか。売買しているのはどんな業者で、どのようなからくりになっているのか。取材で購入した３万人のフォロワーを徹底追跡すると、その一端が見えてきた。 （「ネット広告の闇」取材班記者 田辺幹夫・田隈佑紀・藤目琴実、ディレクター 中松謙介） フォロワーを売っているのはどんな業者なのか。「フォロワー購入」とネット検索するだけで、数多くの業者が見つかる。 インスタグラムをはじめ、Ｙｏｕ
制限もセキュリティも破る--裏技に長けたスマホネイティブたち
2015年10月、WikiLeaksがCIA長官ジョン・ブレナン氏の個人用メールアカウントの内容をリークして話題となった。しかも、ハッキングをしたと名乗ったのは何と10代の少年だった。 少年は、米通信キャリア「Verizon」の関係者を装い、ブレナン氏のアカウントのパスワードをリセットさせたという。つまり、技術不要なソーシャル・エンジニアリングの手法でハッキングしたというわけだ。ソーシャル・エンジニアリングとは、人間の心理的な隙を狙ったり、行動のミスを誘ったりして秘密情報を入手する手法のことだ。 少年を名乗るTwitterアカウントは、「このアカウントでツイートしなくなったら、僕はCIAに捕まって拷問されている」などとツイートしていた。パスワードをリセットさせるための方法は大人顔負けだし、少年の言うように「5歳の子ども」にもできはしない。 このように、10代の少年たちがハッキングをしたり、
無料でファイルサイズ制限なし＆ブラウザだけで直接ファイルを送信できる「Station307」
ファイルを相手に送るのにクラウドストレージサービスを利用することがありますが、登録に手間がかかったり、セキュリティ面に不安があったりして、1回だけ使用するときなどにはなかなか使いにくいものです。「Station307」は、ブラウザだけで相手とファイルを共有可能で、無料・ファイルサイズ制限なし・HTTPS経由の暗号化済み転送・サーバー上にファイル保存しないなどなどお手軽に使えるサービスになっているとのことなので、実際に使用してみました。 Station307 https://www.station307.com 上記URLを開いたら「Add a file」の直下に転送したいファイルをドラッグ＆ドロップ、もしくはクリックして転送したいファイルを選択します。 今回は550MBあるmp4ファイルを共有してみました。クラウドにアップロードするのではなくP2P通信で転送するので、アップロード完了までの
ネットショッピングでクレカ番号を毎回自動生成して安全に買い物できる「Privacy」
by Sean MacEntee クレジットカードを持っていなくても、銀行口座に直結してクレジットカード番号を発行でき、ネットショッピングの決済1回ごとに新しい番号を作成したり番号を変更したりして個人情報の保護に役立てることができる無料サービスが「Privacy」です。 Privacy - Forget Your Credit Card https://privacy.com/ 「Privacy」は、銀行口座を登録しておけば仮想的なクレジットカード番号を複数個作成できるサービスで、ネットショッピングサイトごとに異なる番号を発行したり、1回の支払いごとに新しいカード番号を発行したりすることが可能。使い方は以下の3ステップで非常に簡単です。 ・ステップ1：Privacyのユーザー登録を行い、Google Chrome用の拡張機能をインストール。 ・ステップ2：ネットショッピングなどで商品代金を
ゼラチン製の指でiPhoneの指紋認証の突破に挑戦してみた
ゼラチンで指の複製を作成し、iPhoneの指紋認証「Touch ID」を通るか試してみました。 こちらの記事を参考に、次のものを用意しました、 食用のゼラチンパウダー おゆまる 「おゆまる」はお湯に入れると柔らかくなるプラスチック粘土で、100円ショップで購入しました。 まずは「おゆまる」で指の型を取ります。 80°以上のお湯に「おゆまる」をしばらく浸けておくと柔らかくなるので、触れることができる程度に冷ましてから指を押しつけます。 そのまま室温で放置しておくと固まります。 写真ではよく見えませんがが、内側にはしっかりと指紋の凹凸ができています。 次に、おゆまるで作った指の型にゼラチンを流し込みます。 しっかりとした指(?)を作るために、ゼリー等の10分の1くらいのお湯の量でゼラチンパウダーを溶かしました。 あとは冷蔵庫で30分くらい冷やして固まらせます。 出来上がったのがこちら。 本物の
Twitterで身バレしないように気をつけていること - ネットの海の渚にて
Twitterなどで身バレをしないように気をつけていることがいくつかある。 俺はブログを書き始めたことでその告知がしたいがためにツイッターを使うようになった。 ところがだんだんとTwitterが楽しくなってきてしまって毎日のようにつぶやいている。 どこかに遊びに行ったらその写真をアップしたり、何か美味しいものを食べたらそれをつぶやいたりする。 よくあるSNSの使い方だ。 ブログを書くにあたって最初に決めたことがある。 このアカウントを絶対にリアルの自分に紐付けないこと。 これだけは固く自分に誓った。 そうしないと何かあった際にアカウントを消して逃亡、という最後の手段が効かなくなる。 それに一部の本当に仲の良い友人は別として、このアカウントのことをリアルの人間関係に知れてしまってメリットはひとつもない。 人によっては実名、顔出しでSNSを運用していたりするけれど、それはそのほうがメリットがあ
iPhoneの指紋認証を回避する最も簡単な方法を7歳の子どもが発見、生体認証が抱える深刻な問題も明らかに - こぼねみ
コンピュータセキュリティや暗号化を教える大学教授の7歳になる息子が、いとも簡単に父親のiPhoneの指紋認証を破ることに成功したというニュースが話題となっています。 その小さなハッカーの成し遂げたことによって、より重要で深刻な側面も浮かび上がっているからです。 Matthew Green氏は、ジョンズ・ホプキンス大学で暗号化やコンピュータセキュリティを研究する権威です。 セキュリティや暗号化の専門家である彼は、自分の7歳の息子によって、こともあろうに自分のiPhone 6 Plusの指紋認証を破られました。 Green氏のiPhone 6 Plusは、当然ですが、彼の指紋によってだけロックを解除できます。 そこで、息子のHarrison君は、大胆な考えを実行に移しました。 彼は、ある日の朝、両親の眠る寝室にそっと忍びこみました。 そして、ぐっすりと眠る彼のお父さんの右手の指をiPhoneの
盗聴を完全に不可能にする「量子化インターネット」の構築が本格的に進行中
By Carlos Lee 2013年、アメリカの国家安全保障局(NSA)や連邦捜査局(FBI)などの政府系機関が秘密裏に国民の情報収集をしていた問題が明らかになり、インターネットの秘匿性が大きな話題になりました。通信の秘匿性を高める技術の根幹は暗号化なのですが、「究極の暗号化技術」とも呼ばれる「量子インターネット」の構築に向けた取り組みがアメリカと中国で進められています。 Building a globe-spanning quantum internet | The Verge http://www.theverge.com/2014/11/18/7214483/quantum-networks-expand-across-three-continents 元CIA職員のエドワード・スノーデン氏がリークした情報により、政府機関が「PRISM」と呼ばれる極秘の監視システムを用いて通信内容
「君は新人だから知らないと思うけどセッション変数が改竄されることもある。その対策は安全ではない」
noon @n00nw0rks 日本人はリスク管理ができない、リスクはゼロにできないということを受容れられない、とよく言われるけど、日本人だからどうこうというより、リスクを管理できるだけの知識と論理的思考能力がない人は「怯える＝意識高い」と考えているんだと思っていて、その話のたびに前の会社のことを思い出す noon @n00nw0rks 前の会社でCSRF発見して「hiddenなinputとセッション変数にランダムトークンを保存して照合し正当なページからのリクエストか判別する」のを提案したら「君は新人だから知らないと思うけどセッション変数が改竄されることもある。その対策は安全ではない」と呆れた顔で言われて、 noon @n00nw0rks 確かにOSやミドルウェアに脆弱性があればそういうこともあるかもだけど、セッション変数が攻撃者に改竄されることまで前提としたらCSRFどころじゃないし何も
SIMロックフリー時代には、SIMカードをロックしたほうがいいという話(意味わかる?)｜More Access! More Fun
来年５月以降、キャリアから販売される携帯は基本SIMロック解除に応じないとならない。 SIMロック解除に関する論点を総務省ガイドラインから整理する だが、いままで買ったiPhoneは関係無いし、スマホを買って支払いしないですぐ転売して逃げる、みたいなことを防ぐために「最低限必要な期間はSIMロック解除に応じなくても良い」の但し書き付きだ。アメリカとかでは縛り付きのiPhoneは２年経過しないとSIMロックは解除してくれないはずだが、docomoはiPhone以外ならたとえXperia買ってもその場で3240円払うとSIMロック解除してくれる。いったい最低期間ってなんなのと思うが、SoftBankとかちゃっかり２年縛りの間は解除しませんとか言い出しそうだよな。 で、だ。日本中のスマホがSIMロックフリー(面倒なのでSIMフリーと書く。英語ではファクトリーアンロックだよ)になった時、どういうこ
パスワードをインターネットに公開してはならない | らんだむけんきゅうじょ
何を言ってるんだ？当たり前じゃない？と思う方がいると思いますが、思わぬ形でパスワードがわかってしまうことがありますよ、という話。もう時効だと思うので、記事にしてみようかなと。 2013年の3月に遡ります。事の発端はとあるGigazineの記事でした。 各ブラウザからパスワードを抜き出すフリーソフト「WebBrowserPassView」 この記事にパスワードをモザイク処理した画像が乗っていました。(現在パスワードは変更済みです)具体的にはWindows標準のnotepadでパスワードのリストを表示させたものでした。 これを見て、もしかしたらパスワードわかるんじゃない？と。 理由としては、確か、 ・フォントがMSゴシックだとわかる ・フォントサイズが12ptなのでビットマップフォントになっている ・モザイクが小さく、綺麗に処理されている だったからだと思います。 で簡単なスクリ
「iPhone 6 Plus」「iPad mini 3」のTouch IDを偽造指紋で突破、ついでに猫の肉球でも認証OK
Touch IDはiPhone 5sの発売時に、切断した指では突破不可能であることが判明していましたが、「iPad mini 3」と「iPhone 6 Plus」のTouch IDを偽造指紋で突破し、さらには猫の肉球で指紋認証して端末をアンロックするムービーが公開されています。 指紋認証を突破したムービーを公開しているkuronyankotanさんが使用しているのは、木工用ボンドを用いて作った指紋偽造シートです。 偽造指紋シートでiPad mini 3のTouch IDを突破しているムービーは下記から確認可能です。 iPad mini 3 TouchID Hack. - YouTube ムービーで使用されるiPad mini 3は右手の親指の指紋が登録されています。 人さし指を認証させると「もう一度試してください」というメッセージが表示されて、認証失敗。 次に親指の指紋の偽造シートを用意。
気づけばプロ並みPHP 副読本：お助け電子BOOKへの寄稿の顛末
谷藤賢一さんの著書『気づけばプロ並みPHP~ショッピングカート作りにチャレンジ! 』に、発売1周年の謝恩キャンペーンとして『副読本：お助け電子BOOK』が公開されました(*1)。私はこの副読本の中で、『第2章 【徳丸 浩氏 スペシャル寄稿】安全なWebアプリケーションのために』を寄稿しています。このエントリでは、寄稿の顛末を報告したいと思います。 動機 私が本書『気づけばプロ並みPHP』を購入したのは昨年の10月29日ですから、本書が出版されてまもなく、今から約1年前です。私は本書を一読して、セキュリティ上の多数の問題があることに気がつきました。 以前は、セキュリティ上の問題が多い本は書評をブログ記事として書くことも多かったのですが、この際は書評という形にするのはためらいがありました。その理由は以下の様なものです。 私のブログの読者層はセキュリティに関心の高い方たちであり、本書の読者とは重
Kindleの電子書籍からAmazonアカウントをハッキング可能なことが判明
By Zhao ! Kindleの電子書籍に潜ませたスクリプトを使い、ユーザーのAmazonアカウントをハッキング可能であることが判明しました。 B.FL7.DE: Amazon.com Stored XSS via Book Metadata http://b.fl7.de/2014/09/amazon-stored-xss-book-metadata.html Your Amazon Account Can be Hacked via a Kindle eBook - The Digital Reader http://the-digital-reader.com/2014/09/15/amazon-account-can-hacked-via-kindle-ebook/ セキュリティ研究者のレポートによると、Amazonが重大なセキュリティホールを抱えているのはKindleストア内の
T会員規約の解説｜CCC カルチュア・コンビニエンス・クラブ株式会社
カルチュア・コンビニエンス・クラブ株式会社 顧客情報管理委員会 いつもTポイントやTSUTAYAレンタルなど、T会員向けサービスをご利用いただきまして、誠にありがとうございます。2014年11月1日にT会員規約を改訂し、T会員の個人情報の取り扱いに関する規定を変更いたしますので、ここにご案内申し上げます。 個人情報の取り扱いに関する改訂の要点 １．当社T会員規約における「T会員の個人情報」の定義 ２．ポイントプログラム参加企業を含む提携先との個人情報の利用方式を「共同利用」から「第三者提供」に変更 ３．「第三者提供の範囲」と「提供の停止」 ４．提供先での利用目的の「販促」「分析」を再設定 ５．個別の共同利用 ６．外部からのデータ取得 １．当社における「T会員の個人情報」の定義 現在の個人情報保護法では、「『個人情報』とは、生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日そ
中国語ができる人がＬＩＮＥ乗っ取り犯と会話してみたらどうなるか？作家・安田峰俊の場合 : 中国・新興国・海外ニュース＆コラム | KINBRICKS NOW（キンブリックス・ナウ）
ある日突然、友人のアカウントから「高額額面のプリペイドカード（※iTunesカードなど）をコンビニで何枚か買ってもらえませんか。お金は後で払います」というメッセージが来るが、実はそのアカウントは別人による乗っ取り。素直にプリペイドカードを買い、相手の指示通りにカードの情報を教えると、まんまとお金をだまし取られてしまうという寸法だ。日本語がやや怪しげであることもあり、犯人は中国系の人たちではないかという情報も、最近ネット上で流れている。 このなりすましアカウントからのメッセージが、中国事情に詳しいノンフィクション作家の安田峰俊さんの元にもやってきた。中国語が堪能、かつ元中国ブロガーでこの手のＢ級ニュースが大好きな安田さん。「ついに俺の所にも来てくれた」と喜び勇んで、乗っ取り犯と会話を試みることにした。 ■オッス、LINE乗っ取り犯からメッセ来た。オラ、すげえワクワクしてんぞ オッス、LINE
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews
