勝手に登録されたネットバンキングから不正送金される事案についてまとめてみた - piyolog
開設済みの銀行口座を狙って第三者が勝手にインターネットバンキングの利用登録を行い、それを悪用することで不正送金の被害に遭う事例が全国で相次ぎ報じられています。ここでは関連する情報をまとめます。 インターネットバンキングに勝手に登録して不正送金 2021年末頃から全国的にこの手口による不正送金事案が発生しており、被害者に対して電話でインターネットバンキングの利用登録に必要となる情報を聞き出し、その情報を使って勝手に利用登録を行う。登録したインターネットバンキングを通じて自身の口座に不正に送金が行われる。 インターネットバンキングの利用にはワンタイムパスワードの登録が必要で、利用者が口座開設の際に登録している電話番号から所定の番号へかけることで確認が行われるものがある。これに対しては「手続きに必要」などの指示を通じて被害者から電話を掛けさせることで確認作業を突破し、被害者自身は本人確認の行為を
CVE - CVE-2022-38392
• CVSS Severity Rating • Fix Information • Vulnerable Software Versions • SCAP Mappings • CPE Information Certain 5400 RPM hard drives, for laptops and other PCs in approximately 2005 and later, allow physically proximate attackers to cause a denial of service (device malfunction and system crash) via a resonant-frequency attack with the audio signal from the Rhythm Nation music video. A reported
Janet Jackson had the power to crash laptop computers - The Old New Thing
A colleague of mine shared a story from Windows XP product support. A major computer manufacturer discovered that playing the music video for Janet Jackson’s “Rhythm Nation” would crash certain models of laptops. I would not have wanted to be in the laboratory that they must have set up to investigate this problem. Not an artistic judgement. One discovery during the investigation is that playing t
“まだ作成していないユーザーアカウント”を先回りして乗っ取る攻撃 米Microsoftなどが指摘
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 セキュリティ研究者Avinash Sudhodananさんと米Microsoft Security Response Centerの研究者が発表した「Pre-hijacked accounts: An Empirical Study of Security Failures in User Account Creation on the Web」は、まだ作成していないWebサービスのアカウントを乗っ取る攻撃をテストし脆弱性を示した論文だ。 具体的に5種類の攻撃を提案し75のWebサイトで試したところ、35のサイトで乗っ取りに成功したという。その中には、ZoomやInstagram、Drop
Hackers hide credit card stealing script in favicon metadata
Hackers are always evolving their tactics to stay one step ahead of security companies. A perfect example of this is the hiding of malicious credit card stealing scripts in the EXIF data of a favicon image to evade detection. A common attack used to steal credit cards is to hack the website and inject malicious JavaScript scripts that steal submitted payment information when a customer makes a pur
【iPhoneのWi-Fiを破壊】特定の文字列を含むWi-FiにアクセスするとWi-Fiが一切使えなくなる→正常な名前になりすます場合もあり被害拡大
ライブドアニュース @livedoornews 【判明】iPhoneのWi-Fiを破壊、悪質SSIDになりすます手口で被害拡大か news.livedoor.com/article/detail… SSID名に「%」などを含むネットワークに繋ぐとWi-Fi機能が無効になることが報告されていたが、最新の研究で悪質なSSIDがありふれた名前のホットスポットになりすませることが分かった。 2021-07-19 17:02:34 vmcall @vm_call After joining my personal WiFi with the SSID “%p%s%s%s%s%n”, my iPhone permanently disabled it’s WiFi functionality. Neither rebooting nor changing SSID fixes it :~) pic.t
「Androidのカーネルをいじるな」グーグルがスマホメーカーに苦言
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Googleのセキュリティチーム「Project Zero」の研究者であるJann Horn氏は、サムスンがカーネルコードを修正して自社スマートフォンへの攻撃を防ごうとしたことは、脆弱性を増やすことになったと指摘した。 同氏は、サムスンをはじめとするスマートフォンメーカーが、ハードウェアからAndroidのLinuxカーネルに直接アクセスするためカスタムドライバーをダウンストリームで追加していることについて、メーカーはLinuxカーネルがすでに持っているセキュリティ機能を使うべきだと主張している。 Horn氏がサムスンの「Galaxy A50」のAndroidカーネルに発見した問題は、この種のものだった。ただし、アップストリームのLin
【2Captcha】Python+Seleniumで『reCAPTCHA』を突破する方法
2Captchaとは 2Captcha公式ページ ロシアの会社が開発したreCAPTCHAを突破するためのプラットフォームです。 通常であれば、プログラムからreCAPTCHAにチェックをいれることは、ほぼ不可能レベルだと言われています。 では、なぜ2Captchaを使うだけで、可能なのでしょうか。 2Captchaの仕組み 2Captchaの仕組みを簡単に説明すると、reCAPTCHAのチェックボタンをネット上の『Worker』と呼ばれている人達に代わりに押してもらっているイメージです。 PythonのSeleniumで説明すると、プログラムの実行中にWorkerの誰かがリアルタイムで解錠した結果を2Captcha経由で受け取ると言ったところでしょう。 なので、2Captchaはプログラムで解錠しているように見えるけど、実際は人力…みたいなオチです。 使用方法 2Captchaを使うため
Wizard Bible が閉鎖するらしい 追記あり - ど～もeagle0wlです（再）
※2018/04/24追記 Wizard Bible vol.62 (2016,3,27) から削除された記事を読んだ感想を追記しました ※2018/04/22 Wizard Bible の閉鎖を確認しました ※2018/04/20追記 筆者の推測をさらに追記しました ※2018/04/20追記 筆者の推測を書きました ※2018/04/19追記 閉鎖理由がさらに詳細になっていたので差し替えました ※2018/04/18追記 閉鎖理由の本文中の伏字が外れていたので、差し替えました（伏字だった箇所は大文字にしている） 日本版『Phrack』とも言えるコンピューターアンダーグラウンド系のウェブマガジンである『Wizard Bible』が4月22日の24時に閉鎖するらしい。 Wizard Bible www.phrack.org ※上記サイトで配布されている実行ファイルがマルウェア扱いされてブラ
Pマークの審査基準で「パスワードの定期的な変更」は廃止へ〜JIPDECが素早い対応〜 : プライバシーマーク・ISMSナビ
プライバシーマーク・ISMSナビ プライバシーザムライが、プライバシーマーク／個人情報保護、ISMS／情報セキュリティの最新情報をお届けします。 （画像はJIPDECのWebサイトより） 皆さんこんにちは。 プライバシーザムライことオプティマ・ソリューションズの中康二です。 先日、「パスワードの定期的な変更」は廃止へ〜情報セキュリティの常識が変わる〜という記事を掲載しました。 米国NISTのガイドライン見直しを受けて、日本のNISCや総務省も正式に方針を転換し、長らく続いてきた「パスワードの定期的変更は必要なのか」という議論に終止符が打たれたという内容でした。 この流れを受けて、プライバシーマークの審査基準にも早速見直しが入りました。 プライバシーマーク制度を運営している一般財団法人日本情報経済社会推進協会（JIPDEC）プライバシーマーク推進センターは、4月10日付で、プライバシーマーク
「公式」QRコードリーダーを使うと読み取り時の位置情報がQRコード作成者に提供される | スラド Submission
あるAnonymous Coward 曰く、 先日、読み取りづらいQRコードに遭遇したため、いくつかのQRコードリーダーを試していたところ「公式」を謳うQRコードリーダーが起動時に位置情報の取得を要求してくることに気づいた。位置情報を要求してくるのは、QRコードの特許及び商標を保有している株式会社デンソーウェーブと、アララ株式会社が共同開発している「公式QRコードリーダー "Q"」。 不審に思って調べてみたところ、実はこの「公式」QRコードリーダーは「アクセス解析機能」が有効化された特別なQRコードを読み取ると、GPSを使った高精度の位置情報が開発元のログ収集サーバー(api.qrqrq.com) に送信される仕組みとなっていた(ログ送信時のキャプチャ)。もちろんQRコード自体に、そのような仕様が存在しているわけではなく、位置情報の送信は「公式QRコード作成サイト」(2017年9月開始)
「さようなら ImageMagick」の考察 - Qiita
はじめに サイボウズさんの ImageMagick の利用をやめる記事について少し思う所を書きます。否定というよりアシストのつもりです。(2018年08月26日投稿) さようなら ImageMagick 自分のスタンスを3行でまとめると、 policy.xml で読み書き出来るファイル形式を絞れば、いうほど怖くはない ただ、ImageMagick に限らずサーバサイドで動かすのは手間と覚悟が要る Yahoobleed の件でコード品質が信用ならないと言われたら、ごめんなさい 「ImageMagick を外した理由」 サイボウズさんのブログでは、2017年の ImageMagick 脆弱性報告数が多いので駄目との事です。 脆弱性 ImageMagick には脆弱性が大量に存在します。 2017 年に報告された ImageMagick の脆弱性は 236 件 でした。 大量にある上にリモートコ
気を付けろ！QRコードに脆弱性？ その深刻さと騙されないための対策（森井昌克） - エキスパート - Yahoo!ニュース
電子決済や広告などに広く利用されている「ＱＲコード」に、偽の情報を仕込むことができるセキュリティ上の弱点があることが、神戸大学のグループの研究でわかりました。この弱点を悪用すると、利用者を一定の割合で不正なサイトに誘導することも可能で、グループではセキュリティー対策の強化が必要だとしています。 出典:ＱＲコードにセキュリティー上の弱点 不正サイトに誘導も【NHK NEWS WEB】 この記事およびNHKでの2018年6月23日（土）午後6時のニュース映像の通りなのですが、開発者本人から説明し、その深刻さとどのように悪用されるのか、さらにQRコードを利用している一般の人がとるべき対策について解説します。 【7月3日付記】上記のNHK記事はすでに消去されています。ここにもNHK記事の概要があります。 一言でいうと、まったく同一のQRコードで、AというURL（ウエッブサイト）に飛ぶ時もあれば、B
任天堂の新しいセキュリティ対策はSwitchでのデジタル海賊行為を「完全に防止」する
プラットフォームホルダーはパッチ不可能なハードウェア脆弱性の公開に続いて，海賊版ゲームを使ったゲームを永久に追放する。 任天堂は，正規に購入されたゲームのデジタルコピーかどうかを「完璧に検出する」とされる新たな海賊版対策を実装した。 新しい対策は，Nintendo Switchに残されたパッチ不可能なハードウェア脆弱性が感染に公開され，潜在的セキュリティの悪夢に見舞われてから数か月後に登場した（関連記事）。 しかしながら，任天堂は現在違法ダウンロードを取り締まっており，海賊版ソフトを使用したユーザーはNintendo Networkから恒久的に追放される。 任天堂の新しいセキュリティ対策の詳細を提供したRedditユーザーのSciresM氏は（参考URL），ゲーム機が追放されかねないのでゲームの海賊行為はしないよう人々に呼びかけている。 「任天堂は，接続されたユーザーが任天堂認定ゲームカー
感染したスマホを物理的に破壊する可能性を秘めた恐怖の多機能マルウェア「何でも屋」が登場
新しく発見されたAndroidをターゲットとしたマルウェアの「Trojan.AndroidOS.Loapi」は、終わりのない一連の広告を見せ続けたり、分散型サービス拒否攻撃(DDoS攻撃)を仕掛けるための末端端末として使用したり、任意の番号にテキストメッセージを送信したり、秘密裏に有料サービスに加入したりと、多くの悪意ある攻撃を実行します。そんな「Trojan.AndroidOS.Loapi」は、物理的に感染したスマートフォンを破壊してしまう可能性もあるという恐るべきものとなっています。 Jack of all trades - Securelist https://securelist.com/jack-of-all-trades/83470/ Currency-mining Android malware is so aggressive it can physically harm
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「OpenSSL」にリモートコード実行などにつながる脆弱性 ～v3.0.5/1.1.1q」への更新を／最大深刻度は「High」
シスコのIP電話機に見つかった脆弱性は、1社だけで解決できる問題ではない
Engadget | Technology News & Reviews
恋人・夫婦間でパスワードを共有する／しない、あなたはどちら派？ →半数が共有しているとの調査結果 
アップルに相次ぐOSのバグは、その信頼と品質に「黄信号」を灯す──専門家たちが指摘する「根深い問題」