三菱電機は二段階認証を破られた - Fox on Security
三菱電機が今年に入って2度目の不正アクセス被害の発表をしました。前回の発表は朝日新聞のスクープ記事から発覚しましたが、今回も朝日新聞のスクープ記事が出ていました。 digital.asahi.com 複数の関係者によれば16日夕方、同社が利用する外部クラウドサービスの監視システムが、通常とは異なる不審なアクセスを検知し、警告を発した。本社内でしかアクセスしないはずの管理者アカウントで、中国国内に割り当てられたIPアドレス（ネット上の住所）から接続があったためだ。 同社は不正アクセスの発生と判断し、接続を遮断した。調査の結果、社内ネットワークの管理や保守を担当する従業員の管理台帳ファイルを盗み取ろうとしていた形跡が見つかった。 接続元のIPアドレスを手掛かりに調べたところ、新たに2人の社員アカウントからの接続も見つかった。いずれもクラウドサービスの管理を任されている社員のものだった。ハッカー
「個別の11人事件」は現実に起こせるか 「攻殻機動隊S.A.C. 2nd GIG」のゾクっとする話
連載：アニメに潜むサイバー攻撃 サイバー攻撃は、時代に合わせ、攻撃の対象や手口が変化してきました。しかし近未来の世界、最新技術へのセキュリティ対策はイメージしにくい部分もあります。そこで、そう遠くない未来、現実化しそうなアニメのワンシーンをヒントに、セキュリティにもアニメにも詳しい内閣サイバーセキュリティセンター（NISC）の文月涼さん（上席サイバーセキュリティ分析官）が対策を解説します。第3回のテーマは「攻殻機動隊S.A.C. 2nd GIG」です。 文月（以下F）： 役人とは……。 ITmedia NEWS編集K： 役人とは？ F： 国民の血税で国家の運営を任されている公僕です。だからこそ常に中立であり、いわゆる政治のゾーンに関する発言をするべきではありません。 K： なるほど。 F： それは役人のルールでもあり、矜持（きょうじ）でもあります。ですので今回話す内容がそれに類するものに見
気を付けろ！QRコードに脆弱性？ その深刻さと騙されないための対策（森井昌克） - エキスパート - Yahoo!ニュース
電子決済や広告などに広く利用されている「ＱＲコード」に、偽の情報を仕込むことができるセキュリティ上の弱点があることが、神戸大学のグループの研究でわかりました。この弱点を悪用すると、利用者を一定の割合で不正なサイトに誘導することも可能で、グループではセキュリティー対策の強化が必要だとしています。 出典:ＱＲコードにセキュリティー上の弱点 不正サイトに誘導も【NHK NEWS WEB】 この記事およびNHKでの2018年6月23日（土）午後6時のニュース映像の通りなのですが、開発者本人から説明し、その深刻さとどのように悪用されるのか、さらにQRコードを利用している一般の人がとるべき対策について解説します。 【7月3日付記】上記のNHK記事はすでに消去されています。ここにもNHK記事の概要があります。 一言でいうと、まったく同一のQRコードで、AというURL（ウエッブサイト）に飛ぶ時もあれば、B
覆された常識、CSVファイルでウイルス感染
テキストファイルは開いても安全――。情報セキュリティの常識だ。ところが、その常識が覆された。テキストファイルの一種であるCSVファイルを使った標的型攻撃が国内で確認されたのだ。CSVファイルを開いただけでウイルス（マルウエア）に感染する恐れがある。CSVファイルも危ないファイル形式の一つだと認識すべきだ。 CSVファイルとは、表の要素などをカンマや改行を使って記述したテキストファイルのこと。CSVはComma Separeted Valueの略である。ファイルの拡張子はcsv。CSVファイルの中にはテキストの情報しかない。 だが、拡張子がtxtなどのテキストファイルとは大きく異なる点がある。初期設定（デフォルト）でExcelと関連付けられている点である。Excelをインストールすると、ユーザーが設定変更しなければ、CSVファイルが関連付けられる。つまり、CSVファイルをダブルクリックするな
サービス終了のお知らせ - NAVER まとめ
サービス終了のお知らせ NAVERまとめは2020年9月30日をもちましてサービス終了いたしました。 約11年間、NAVERまとめをご利用・ご愛顧いただき誠にありがとうございました。
SHA1 が初めて衝突
.app 1 .dev 1 #11WeeksOfAndroid 13 #11WeeksOfAndroid Android TV 1 #Android11 3 #DevFest16 1 #DevFest17 1 #DevFest18 1 #DevFest19 1 #DevFest20 1 #DevFest21 1 #DevFest22 1 #DevFest23 1 #hack4jp 3 11 weeks of Android 2 A MESSAGE FROM OUR CEO 1 A/B Testing 1 A4A 4 Accelerator 6 Accessibility 1 accuracy 1 Actions on Google 16 Activation Atlas 1 address validation API 1 Addy Osmani 1 ADK 2 AdMob 32 Ads
Nintendo Switchはデバイスを物理的に変更することでシステムソフトウェアのダウングレードを防いでいる
By Scott Akerman 数多くのゲーム機で動作するシステムソフトウェアは、セキュリティ問題などの対応のため、ソフトウェアの更新を随時行っています。しかし、システムソフトウェアを意図的にダウングレードし、脆弱性を使って悪用しようとする人が一定数いるのが事実で、ダウングレードを行わせないこともセキュリティ対策の1つとされています。セキュリティ研究者のジョンルーカス・ド・カーロ氏によると「Nintendo Switchはチップ内に存在するヒューズを物理的に破壊することで、システムソフトウェアのダウングレードを防いでいる」とのことです。 How the Nintendo Switch prevents downgrades by irreparably blowing its own fuses https://hackernoon.com/how-the-nintendo-switch
macOS 10.13 High Sierraにユーザ名「root」を使用するだけでパスワード無しに管理者アカウントでログインできてしまう不具合が発見される。
macOS 10.13 High Sierraにユーザー名「root」を使用するだけでパスワードなしに管理者アカウントでログインできてしまう不具合が発見され、騒ぎになっています。詳細は以下から。 Appleが今年9月に公開した「macOS 10.13 High Sierra」にはディスクユーティリティのヒントにAPFSの暗号化用パスワードが平文で表示されてしまう不具合があり、Appleは急遽「macOS High Sierra 10.13追加アップデート」を公開しましたが、トルコのソフトウェアエンジニアLemi Orhan Erginさんが新たにユーザ名「root」を利用するだけでパスワード無しに管理者アカウントでログインできてしまう不具合を発見して話題になっています。 Dear @AppleSupport, we noticed a *HUGE* security issue at Ma
メモリのビット反転エラーとセキュリティの話｜Rui Ueyama
ハードウェアのエラーでメモリの内容が化けてしまうことが稀にある。大抵のDRAMエラーはせいぜいプログラムがクラッシュする結果になるだけだが、データ破壊になることもありえるし、悪意のある使い方をすればセキュリティ破りに使うこともできてしまう。ここではメモリエラーとセキュリティの話をしようと思う。 メモリのエラー率は意外なほど高い。データセンターで大規模なマシン群を対象に実際に観測したところ、1年間に1回以上のエラーが発生したDIMMモジュールは全体の8%にのぼったそうだ。DIMM 1枚に数百億個のメモリセルが実装されているといっても、このエラー率はちょっとびっくりするくらい大きな数字ではないだろうか？ サーバでは普通はエラー訂正付きのDIMMを使うので1ビットのエラーは問題にならないが、エラー訂正のないコンシューマ機器ではこれは実際的な問題になりえる。 メモリエラーを利用したセキュリティ破り
HTTP Headers という 5万人が使っている Chrome 拡張のマルウェア疑惑。セッション盗まれて BTC も盗まれそうになった話。 - clock-up-blog
疑惑どころか 99.99% くらい黒な話。 （後記：セッション盗まれたと思ってたけど、よくよく考え直してみると生パスワードごと盗まれてる可能性もあるしやばい） 追記：続報 11月3日 今回指摘した HTTP Headers 以外にも、「Tab Manager」「Give Me CRX」「Live HTTP Headers」等で同様（？）の問題が報告されています。第三者が元の作者からソフトウェア権利を買い取って悪用する、というケースが割とある模様（？）。皆さま情報ありがとうございます。 11月4日 Zaif については、「不正な Chrome 拡張」と「スクリプトから保護されていなかったクッキー」のコンボによりセッションが盗まれていた可能性あり。 Zaif のセッション情報が盗まれた原因のひとつについて。JavaScript からクッキー値を取得させない方法。 - clock-up-blog
あのパスワード規則、実は失敗作だった - WSJ
パスワードに記号や大文字や数字を盛り込み、定期的に変更するというルールは間違いだったと当事者が告白。
WannaCryに襲われた日立、セキュリティ人材1万人の確保急ぐ
日立製作所は2020年までにセキュリティ人材を1万人育成する計画だ。同社は2017年5月12日、世界150カ国で猛威を振るったランサム（身代金）ウエア「WannaCry（ワナクライ）」に感染し、メールや受発注が一時停止した。現在は復旧しているが、世界中にある大量のPCやサーバーをサイバー攻撃から守る難しさが改めて浮き彫りになった。 こうした事態を再発させないためにも、1000人の専門家に加え、一般社員から9000人のセキュリティ人材を育てる施策を急ぐ。 ITSSのレベルで専門家をランク分け 同社がセキュリティ人材の育成を本格化させたのは2014年8月から。10職種程度のIT人材を認定する社内制度「日立ITプロフェッショナル認定制度」の一つにセキュリティ人材用の「情報セキュリティスペシャリスト（HISSP：Hitachi Certified Information Security Spec
VRを悪用すれば「相手を洗脳できる」「数千人を嘔吐させられる」 「サマーレッスン」開発者がリスク指摘
「VR（仮想現実）を悪用すれば、相手の視覚をジャックできる」――PlayStation VR用ゲーム「サマーレッスン」を開発した、バンダイナムコエンターテインメントの原田勝弘チーフプロデューサーが3月4日、政府のサイバーセキュリティ啓発イベント「サイバー攻撃を目撃せよ！2017」（ベルサール秋葉原）で、VR技術に潜むリスクについて話した。VRを悪用すると、端末を装着したユーザーを嘔吐（おうと）させたり、洗脳したりできる可能性があるという。 「VRは近い将来、ゲームやエンタメに限らず、何らかの形で生活の中に存在するものになる」と原田さんは話す。例えば、Web会議システムにVR端末を導入して臨場感を高めたり、トラウマをVR世界であえて追体験し、徐々に慣れて克服したり――など、さまざまな用途が見込まれるという。 一方「VRゲームを研究する間に、さまざまな悪用の恐れを発見した」とも。「PCやスマホ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
WebView の脆弱性編 - Android セキュリティ勉強会