パスワードマネージャーのBitwardenがサプライチェーン攻撃を受ける、npmパッケージを使っていた人は要確認
オープンソースソフトウェアのセキュリティ専門のSocket社が、パスワードマネージャーのBitwardenがサプライチェーン攻撃を受けたことを発表しました。 Bitwarden CLI Compromised in Ongoing Checkmarx Supply Chain ... https://socket.dev/blog/bitwarden-cli-compromised Bitwardenはオープンソースのパスワードマネージャーで、1000万人以上のユーザーと5万社以上の企業に利用されており、企業での導入率は上位3位に入るほどのシェアがあります。 Socket社の研究チームによると、Bitwardenに設定されているCI/CDパイプラインにおいて、GitHub Actionsを通して悪意あるコードが侵入したとのこと。影響を受けたパッケージのバージョンは「@bitwarden/c
Google、「バックボタン ハイジャッキング」をスパムポリシー違反に追加。2026年6月15日からペナルティの対象に
[レベル: 中級] Google は、スパムに関するポリシーに「Back button hijacking（戻るボタンのハイジャック）」を追加しました。 バックボタン ハイジャッキングとは バックボタン ハイジャッキングとは、ブラウザの「戻る」ボタンの機能を乗っ取り、ユーザーを意図しないページへ誘導する手法です。 ユーザーが「戻る」ボタンをクリック／タップした際に、直前のページではなく、攻撃者が指定した別のページ（広告やレコメンデーション、その他の予期しないページなど）へ強制的に遷移させます。 悪意のある行為として手動対策の対象に追加 バックボタン ハイジャッキングはユーザーエクスペリエンスを損ない、通常のブラウザ動作を破壊し、欺瞞的かつ操作的とみなされています。 こうした行為の増加を受けて、悪意のある行為スパムポリシーの明示的な違反として正式にスパムポリシー違反の項目に Google は
SUUMO・CHINTAI・アットホーム・ホームズ・オウチーノ・賃貸EXからメールアドレス約100万件などを含む個人情報が大規模流出か
SUUMOなど複数の日本の不動産情報サイトから、ユーザーの氏名やメールアドレス、電話番号、家族構成、対象物件といった個人情報が流出していることが指摘されています。 SUUMO, CHINTAI, At Home, HOME'S Suffer Data Breach - Daily Dark Web https://dailydarkweb.net/suumo-chintai-at-home-homes-suffer-data-breach/ 独立系メディアのDaily Dark Webによると、情報の流出が確認されているプラットフォームは「SUUMO」「CHINTAI」「アットホーム」「ホームズ」「オウチーノ」「賃貸EX」の6つ。 流出したデータの総量は2.78GBで、メールアドレス97万6824件など240万行で構成されており、以下の情報が含まれているとのことです。 ・顧客IDと登録日
数千人のユーザーがOneDriveの止められないスパムの影響を受ける
2025年12月頃から、Microsoftの「OneDrive」で知らない人からファイルを共有されるという報告が相次いでいます。OneDriveには「知らない人からの共有を無効化する」というオプションがなく、根本的な解決策がないということです。 Thousands of users got affected by OneDrive unstoppable spam on Windows, Android, Mac - Neowin https://www.neowin.net/news/thousands-of-users-got-affected-by-onedrive-unstoppable-spam-on-windows-android-mac/ 確認できる報告は以下。「最近、見知らぬ人からMicrosoft OneDriveへのリンクが添付されたメールが送られてくるようになりました
axios, LiteLLM...不使用だったのでOK、ではない。「次に備える」ソフトウェアサプライチェーン侵害への対策
弊社ウェビナー ( https://flatt.tech/takumi/event/github-actions-compromise-202603 ) におけるCTO米内の講演資料です。 動画はこちら ( https://www.youtube.com/watch?v=ms8MkNmiejA )
「子供のマイナカードむずすぎ」問題 成長で顔認証も通らない？
ITmedia NEWSにおける1週間の記事アクセス数を集計し、上位10記事を紹介する「ITmedia NEWS Weekly Top10」。今回は2026年03月28日から04月03日までの7日間について集計し、まとめた。 コラム筆者・小寺さんの息子さんは、大学進学に伴う一人暮らしに向け、マイナンバーカードを使って転出手続きをしようとしたが、子供用のマイナには「署名用電子証明書」が存在しなかったため失敗。結局、紙で手続きせざるを得なかった、という話だ。 息子さんのマイナカードは14歳時に取得。15歳未満には、希望しない限り、「署名用電子証明書」が発行されず、それを知らなかったため、転出手続きなどができなかったという。 また、お子さんのマイナカードで「JPKI暗証番号リセットアプリ」を使うために顔認証をしようとしたら、14歳当時と大学生現在で顔が変わっているため、3回連続認証できず、ロック
なぜ検知できなかったのか？ Axiosを襲った「遅延型」サプライチェーン攻撃の技術的解析
一連のインシデントは日本時間の3月31日の9時ごろから12時ごろに終了しました。悪性の「axios@1.14.1」の露出時間は約2時間53分、「axios@0.30.4」は約2時間15分と推定されます。 上記の期間中に以下の操作をした場合、バックドアによる侵害が行われた恐れがあります。 「npm install axios」を実行した場合 依存パッケージにaxiosが含まれており、バージョン固定されていない状態で「npm install」を実行した場合 パッケージの依存ツリーにaxiosが含まれている状態で「npm install」を実行した場合 また、CI/CDパイプラインなどでこの時間帯に「npm install」が行われていた場合にも、パイプラインの実行先サーバーが侵害されている恐れがあります。 現在はnpm上で悪性バージョンは削除済みであり、「plain-crypto-js」も無害
NEC「Aterm」シリーズに複数の脆弱性 アップデートまたは買い換えを推奨
Japan Vulnerability Notes（JVN）は4月3日、日本電気（NEC）製の複数のWi-Fiルーターに関する脆弱性情報を公開した。 脆弱性の概要と想定される影響は、それぞれ以下のとおり。 ●脆弱性の概要 ・権限チェックの欠如（CVE-2026-4309） ・パストラバーサル（CVE-2026-4619） ・OSコマンドインジェクション（CVE-2026-4620／CVE-2026-4622） ・セキュリティ上問題のある隠し機能（CVE-2026-4621） ●想定される影響（一例） ・装置固有の情報を取得され、結果として設定を変更される（CVE-2026-4309） ・任意のファイルを上書きされる（CVE-2026-4619） ・任意のOSコマンドを実行される（CVE-2026-4620／CVE-2026-4622） ・telnetサービスを有効化される（CVE-2026
スマートフォンの脅威となるスパイウェア、感染の兆候と対策
スパイウェアはモバイルセキュリティにおける最大の脅威の一つであり、不運にも感染すればスマートフォンのパフォーマンスに深刻な影響を及ぼす。これはマルウェアの一種で、一般的には悪意のあるモバイルアプリやフィッシングリンク、電子メール、メッセージなどを通じて、「iPhone」や「Android」端末に侵入する。 スパイウェアは、正規のソフトウェアや便利なユーティリティを装いながら、バックグラウンドで密かに動作し、ユーザーの行動を監視したり活動を盗み見たりする。電話の通話やソーシャルメディアのやりとりなど、会話の内容を記録されることもある。さらに、画面のスクリーンショットを撮られたり、通話記録をログに記録されたり、GPSによる現在地の追跡が行われたりする恐れもある。 こうして収集された情報はリモートサーバーに送信され、本人の許可なく第三者の手に渡る。同様に、保護者による管理や業務目的で提供されてい
大学生協で話題沸騰の｢pCloud｣は、HDDとクラウドのいいとこ取りだった
大学生協で話題沸騰の｢pCloud｣は、HDDとクラウドのいいとこ取りだった2026.03.23 19:00Sponsored by pCloud International AG 小野寺しんいち 買い切り型クラウドストレージ｢pCloud｣が最大58%OFFになる桜満開セールを開催中！ 3月31日（火）まで ｢ストレージの使用容量が上限に達しました｣。 デバイスから非情にも放たれる、恐怖の通知。4K動画、高画素RAWデータ、そして増え続けるアプリ。私たちのデジタルライフは、常に"容量の壁"とのせめぎ合いです。 そんな切実なデータ管理の悩みを抱えているのは、私たちだけではありません。日々膨大な研究データや論文を扱う｢大学の先生たち｣も同じです。 しかし今、日本各地の大学の研究者たちの間で、急速に支持を集めているクラウドストレージがあるのをご存知でしょうか？ わずか数ヶ月で大ヒット！ 大学生
突然フィッシング詐欺の報告が3分の1以下に！ 何が起きた？ 原因は旧正月と……
数字が激減！ いったい何が？ フィッシング対策協議会が発表した、2026年2月分の「フィッシング報告状況」によれば、「報告件数」は前月から14万5254件減って、5万7096件でした。 グラフを見れば一目瞭然ですが、今回はまれに見る減少幅で、同協議会によると、「2024年2月以来、2年ぶりに5万件台」になったとのこと。報告件数は旧正月を挟むこの時期にいったん減少し、その後急増するのが通例ですが、一気に10万件以上も減少したのはおそらく初めてのことです。 加えて、悪用されやすいプロキシやボットネットの無力化が1月末に海外で実施されたことも影響している可能性があるとのこと。つまり、悪意ある人たちの動きが鈍る時期と、本腰を入れたセキュリティ対策の実行時期が重なった結果のようです。 報告数全体における割合は、マネックス証券を騙るフィッシングが約23.9％（約1万3600件）、Amazonを騙るフィ
Google Cloud が推奨セキュリティチェックリストを公開しました | DevelopersIO
Google Cloud で推奨セキュリティチェックリストが公開されたので、まずはベーシックレベルから適用していきましょう。 ウィスキー、シガー、パイプをこよなく愛する大栗です。 Google Cloud が推奨するセキュリティチェックリスト「Google Cloud minimum viable secure platform（GCMVSP）」が公開されました。60 のセキュリティコントロールが段階的にまとめられており、すぐに使える Terraform コードも提供されています。 Make security simpler: Introducing the Google Cloud recommended security checklist Google Cloud minimum viable secure platform GoogleCloudPlatform/ociso-sol
電源が切れていても攻撃が成立。MediaTekチップの脆弱性がヤバすぎる - すまほん!!
電源オフでも45秒で丸裸。 スマートフォンのセキュリティは、画面ロックやパスコードで守られている。多くの人がそう信じています。しかし、その「信頼」がわずか45秒で崩れ落ちるとしたらどうでしょうか。Android Authorityが伝えています。 暗号資産ハードウェアウォレット大手Ledgerのセキュリティ研究チーム「Donjon」が、MediaTek製チップの脆弱性「CVE-2026-20435」を報告しました。Donjonの研究者はNothingのCMF Phone 1をUSBケーブルでPCに接続し、Androidを起動することなく、45秒以内にPINの取得、ストレージの復号、暗号通貨ウォレットのシードフレーズ抽出を実証したとされています。 LedgerのCTOであるCharles Guillemet氏は「電源が切れた状態でも、PINやシードフレーズを含むユーザーデータを1分以内に抽出
「子どもの安全を守るため」のオンライン年齢確認ツールが普及しているが実際には「成人」も監視対象となっている
アメリカではオンライン上で子どもを保護するために、プラットフォーマーにユーザーの年齢確認を義務付ける法律である「年齢確認法」が検討されており、既にAppleやDiscordは年齢確認法に則った年齢確認ツールの導入を進めています。しかし、子どもの安全を守るための年齢確認ツールが、大人の監視に利用されているとCNBCが報じました。 Online age-verification tools for child safety are surveilling adults https://www.cnbc.com/2026/03/08/social-media-child-safety-internet-ai-surveillance.html 未成年の保護を目的としたアメリカの年齢確認法により、何百万人もの成人がオンラインコンテンツへのアクセスに年齢確認を義務付けられることとなります。アメリカの
ロボット掃除機で「他人の間取り」筒抜けか 仏技術者が脆弱性指摘
中国のハイテク機器メーカー、大疆創新科技（DJI）のロゴ（2019年5月27日撮影）。(c)HECTOR RETAMAL/AFP 【2月26日 AFP】スペイン・バルセロナ在住のフランス人プログラマー、サミー・アズドゥファルさん（32）は、所有するロボット掃除機を家庭用ゲーム機「プレイステーション」のコントローラーで操作しようとカスタマイズしていたところ、誤って他人のデバイス約7000台にリモートアクセスできる状態になっていることに気が付いた──。本人が今週、AFPに明らかにした。 アズドゥファルさんが改造を試みたのは、中国のハイテク機器メーカー、大疆創新科技（DJI）の高級ロボット掃除機「ROMO（ロモ）」だ。 アズドゥファルさんによると、掃除機と連動したアプリを解析し、操作に必要な情報を把握しようとしていた際、偶然にも他の約7000台にアクセス可能な状態になっていることに気付いたという
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
LINEヤフー、韓NAVERとのシステム分離を完了――残存データも6月末までに削除へ
Yahoo! JAPAN ID、ログインを「パスキー」に一本化
【やじうまPC Watch】 いいですか、コントロール パネルはまだ廃止されないと思います
量子コンピューターが現代の暗号を破る「Qデイ」は数年で訪れる？ 新たな論文が示した“発見”の衝撃
スパイウェアの脅威からiPhoneやAndroidを守る方法