イオンカード、不正利用の対応遅れを謝罪 「カード止めてと依頼しても止まらず、数十万円請求された」などの声
「イオンカードを不正利用され、カード会社に対応を求めたのに、何カ月も対応してもらえないまま不正利用が続いている」――こんな悲鳴がXに相次い投稿されて、話題になっている。 こうした声を受け、イオン銀行とイオンフィナンシャルサービスは10月8日、不正利用の被害対応に時間がかっていると謝罪。「被害実態や複雑かつ巧妙化する犯罪手口の解明と、被害金額の特定・返金処理などに時間を要している」と釈明した。 Xでは「イオンカードの不正利用が6月に発覚し、止めてほしいと依頼しても止まらず、8月までに30万近く支払った」「不正利用されてカードを再発行したけれど、返金が可能か3～6カ月かかるので不正利用分はいったん支払った。返金されるか不安」「1月にイオンカードに不正利用の連絡をしたが、関連の書類が10月にようやく届いた」などの声が出ている。 ここ最近は、フィッシング詐欺による被害や、ECサイトへの不正アクセス
中国語のスマホ標準キーボードアプリでキー入力が盗まれる脆弱性 攻撃対象は“10億人規模”と試算
このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 X： ＠shiropen2 カナダのトロント大学にある研究機関「Citizen Lab」は、中国で広く利用されているキーボードアプリに関する最新の調査報告を公開した。報告書によると、中国の主要なクラウドベースのスマホキーボードアプリに脆弱性が認められたという。この脆弱性が悪用されると、ユーザーが入力した内容（キーストローク）が盗まれる可能性があるとしている。 今回問題になったのは、中国語の入力方式として主流のピンイン（ローマ字入力）に対応したキーボードアプリだ。これらのアプリの多くは、入力した文字列をクラウドサーバに送信し、変換候補を取得する「クラウドベースの予測変換機能」を備え
企業「ChatGPTは使っちゃダメ」→じゃあ自分のスマホで使おう──時代はBYODから「BYOAI」へ
企業「ChatGPTは使っちゃダメ」→じゃあ自分のスマホで使おう──時代はBYODから「BYOAI」へ：事例で学ぶAIガバナンス（1/3 ページ） 会社はChatGPTを禁止しているが、自分のスマートフォンからChatGPT（しかも有料契約している高性能版）にアクセスして、使ってしまえば良いではないか――。生成AIのビジネス活用が進む中で、そんな発想が生まれつつある。 サイバーセキュリティ企業の米BlackBerryが2023年8月に発表した調査結果によると、職場でChatGPTやその他の生成AIサービスの禁止を実施、検討している企業の割合は、世界全体で75％に達するそうだ。調査後にはChatGPT、生成AI全般への注目度がさらに高まっていることを考えると、この割合はその後さらに上昇している可能性が高い。 従業員が、社内の機密情報をChatGPTなどを入力した場合、それらの情報が外部サーバ
Apple、「iOS 17.4」の「iMessage」に量子コンピューティング攻撃防御の「PQ3」搭載へ
米Appleは2月21日（現地時間）、同社のE2EEのメッセージングサービス「iMessage」に“画期的なポスト量子暗号プロトコル”の「PQ3」を導入すると発表した。“iMessage史上最も重要な暗号セキュリティアップグレード”という。3月に予定しているiOS 17.4、iPadOS 17.4、macOS 14.4、watchOS 10.4のリリースで展開する計画だ。 PQ3は、高度な量子コンピューティング攻撃からメッセージを守るための堅固な暗号化と防御を提供する。そうした攻撃が実行されるのはまだ何年も先だとAppleは考えているが、ポスト量子認証の必要性を評価しているという。 「実用レベルの量子コンピュータはまだ存在しないが、豊富なリソースを持つ攻撃者は、データストレージコストの低下を利用して量子コンピュータの出現に備えている可能性が高い。こうした攻撃者は、現在はまだ復号できないデー
「DNSに対する最悪の攻撃」 DNSSEC設計の根幹に関わる脆弱性「KeyTrap」が見つかる
「DNSに対する最悪の攻撃」 迅速なパッチ適用を推奨 ATHENEによると、KeyTrapを悪用した場合、単一のDNSパケットが結果的にCPUの使い果たしを誘導し、「Google Public DNS」やCloudflareのDNSなど広く使われているDNS実装やパブリックDNSプロバイダーを全て停止させることが可能だ。発表によると「BIND 9」を16時間ダウンさせたとされている。なお、この欠陥は「CVE-2023-50387」として特定されている。 この攻撃はインターネットの基本的な機能に深刻な影響を与え、世界中のWebクライアントの大部分が利用不能になる可能性がある。主要なDNSベンダーはこの攻撃を「これまでに発見されたDNSに対する最悪の攻撃」と呼んでおり、状況の重大さが指摘されている。 KeyTrapを悪用するサイバー攻撃者は、DNSSECを検証するDNSリゾルバを利用する全ての
高校入試の出願システム、Gmailにメール届かず……神奈川県、受験生に「@gmail.com以外のアドレス使って」
神奈川県教育委員会が2024年1月4日にリリースした、公立高校入試のインターネット出願システムで、「@gmail.com」ドメインのアドレスにシステムからのメールが届かず、受験生が出願用アカウントを作成できない問題が起きている。 15日夜時点でも解消しておらず、県教委は受験生に対して、「@gmail.com以外のメールアドレスで登録してほしい」と呼び掛けている。 このシステムは、公立高校の2月入試に出願する受験生などが利用する。中学校で受け取った書類に書かれたURLから出願サイトにアクセスし、メールアドレスなどを登録して「志願者アカウント」を作成すると、出願サイトへのログインに必要な「登録番号」がメールで届く、という流れだ。 だが、登録したメールアドレスが「@gmail.com」の場合、登録番号入りのメールが届かない不具合が起きているという。 新システムによる出願は1月4日に受付スタート。
Google、Cloudflare、Amazon、 HTTP/2悪用の史上最大規模DDoS攻撃について説明
現在、Webアプリの約60％がHTTP/2を採用しているという。 新たな攻撃は、何十万ものリクエストを作成し、すぐにキャンセルすることで機能するとCloudflareは説明した。リクエスト／キャンセルのパターンを大規模に自動化することでWebサイトを停止に追い込む。 3社は、HTTP/2を採用するプロバイダーに対し、可能な限り早くセキュリティパッチを適用するよう呼びかけた。 クライアントによるこの攻撃への最善策は、利用可能なすべてのHTTPフラッド保護ツールを使用し、多面的な緩和策でDDoS耐性を強化することだとしている。 Cloudflareは、8月の攻撃について今報告するのは、「可能な限り多数のセキュリティベンダーに対応の機会を与えるため、情報を制限してきた」と説明した。 HTTP/2 Rapid Reset Attackの詳しい説明などは、以下の「関連リンク」の各社の公式ブログを参照
宅食「ナッシュ」に不正アクセス、約6000件の顧客情報流出か ランサムウェアに感染
食事宅配サービス「ナッシュ」を展開するナッシュ（大阪市北区）は1月4日、第三者によるランサム攻撃を受け、約6000件の顧客情報が流出した可能性があると発表し、謝罪した。社内PCの一部に保存されていた情報が暗号化され、一部システムに障害が発生した。 問題を認識したのは2022年12月21日。社内システムで障害が発生したため調査したところ、ランサムウェアを使った不正アクセスとデータの暗号化があったと分かった。 暗号化されたのは当該PC内のデータのみ。顧客の氏名や会社名、住所、電話番号など6184件が第三者に閲覧された可能性がある。影響を受けた可能性がある顧客には個別に連絡済み。情報の不正利用などの二次被害は確認されていないという。 ナッシュは「今回の不正アクセスはサーバの脆弱性を利用した攻撃。当社のネットワーク設定やパスワードの強度の問題により発生した」と説明。問題判明後は当該PCをネットワー
トヨタ、ユーザーのメアド約30万件漏えいの可能性 ソースコードの一部、GitHubに5年間放置
トヨタ自動車は10月7日、クルマ向けネットワークサービス「T-Connect」ユーザーのメールアドレスと「お客様管理番号」、29万6019件が漏えいした可能性があると発表した。 2017年7月以降にT-Connectユーザーサイトにメールアドレスを登録した人が該当する。氏名や電話番号、クレジットカード番号などが漏えいした可能性はないという。 原因は2017年12月にT-Connectユーザーサイトの開発委託先企業が、取り扱い規則に反してソースコードの一部を誤って公開設定のままGitHubアカウントにアップロードしたこと。その後、5年にわたって第三者がソースコードの一部にアクセスできる状態で放置されていた。ソースコードにはデータサーバへのアクセスキーが含まれ、これを利用するとサーバに保管しているメールアドレスやお客様管理番号にアクセスできたという。 トヨタは9月15日にGitHub上のソース
三菱の家電に脆弱性 炊飯器、冷蔵庫、エアコン、太陽光発電など広範囲 ユーザー側で対処を
三菱電機は9月29日、炊飯器や冷蔵庫などの家電製品やネットワーク機器などで複数の脆弱性が見つかったと発表した。悪用されるとDoS攻撃を受けた状態になったり、情報漏えいが発生したりする恐れがあるとしている。 【編集履歴：2022年9月30日午後8時 画像内に対象製品ではないものが含まれていたため修正しました】 対象製品は同社製のエアコン、無線LANアダプター、冷蔵庫、給湯器、バス乾燥機、炊飯器、換気システム、スマートスイッチ、太陽光発電システム、IHクッキングヒーターなど。 見つかったのは（1）情報漏えいの脆弱性、（2）DoSの脆弱性、（3）悪意のあるスクリプトを含むメッセージを応答する脆弱性。認証情報が暗号化されず、盗聴により情報を盗まれる恐れもある。 対象製品と対処法一覧（情報漏えいの脆弱性） 対象製品と対処法一覧（DoS、悪意のあるスクリプトを含むメッセージを応答する脆弱性） 三菱電機
イオンの秘密情報を週刊誌に漏えい デロイトトーマツが謝罪 「社内ルールを逸脱した行為があった」
デロイトトーマツコンサルティング（DTC）は6月16日、コンサルティング契約を結んでいたイオンの秘密情報を含む資料を週刊誌に漏えいしたと発表した。週刊ダイヤモンド2月12日号に同資料が掲載されたことを受け、第三者の弁護士の検証も踏まえて調査をした結果、DTCを起点に漏えいした事実を確認したという。 DTCは「コンサルティング業務において守秘義務に対する基本的認識の欠如ならびに社内ルールを逸脱した行為があった」と説明。情報漏えいにイオンが関与した事実は一切なく、「（DTCが）コンサルティング契約における秘密保持条項に違反した」としている。また、これ以外にイオンの秘密情報を漏えいした事実は無いと確認したという。 DTCは「イオン社様をはじめイオン社様のお取引先様およびステークホルダーの皆さまを含む関係者の皆さまに多大なご心配とご迷惑をおかけしましたことを深くおわび申し上げます」と謝罪。再発防止
ソフトバンク、“量子コンピュータでも解けない暗号”をVPNに適用へ 米ベンダーと共同で
ソフトバンクは3月23日、米Sandbox AQとパートナーシップ契約を結んだと発表した。共同で量子コンピュータでも解読できない耐量子計算機暗号を使ったVPNなどの実用化を進める。 Sandbox AQは量子コンピューティングとAI技術を活用するSaaSベンダー。提携により、米国が進める「耐量子計算機暗号標準化プロジェクト」で最終候補や代替候補として選ばれた耐量子計算機暗号アルゴリズムを活用した技術検証ができるようになる。 ソフトバンクは夏までに4Gや5G、Wi-Fiなどさまざまな通信ネットワーク上で耐量子計算機暗号アルゴリズムを動作させて性能を評価。商用ネットワークへの実装も検討する。 同社は、現在は通信の秘密を保護するため公開鍵暗号などの技術が活用されているが、量子コンピュータの登場で暗号が解読されやすくなる恐れがあるとしている。 関連記事 数十年かかる計算が数十秒に？ 昭和電工、半導
自社のDB破壊しCEOに身代金要求、freeeが本当にやったクラウド障害訓練の舞台裏 「従業員はトラウマに」
自社のクラウド環境に侵入され、データベースから経営に欠かせないデータを持ち出される。バックアップも消され、データを取り戻したければ、身代金を支払うよう要求される──企業にとって絶対に直面したくない事態の一つだ。しかしこのシチュエーションをあえて再現し、訓練という形で自社のCEOに身代金まで要求した企業がある。クラウド会計サービスを提供するfreeeだ。 freeeは2021年10月、標的型攻撃とランサムウェアを組み合わせたシナリオを基に全社的な訓練を実施。AWS上のDBからデータを盗み出し、バックアップを消した上で、自社のCEOに社内SNSを通して身代金を要求したという。訓練を主導したのは、製品やサービスのセキュリティ向上を目指す社内組織「PSIRT」だ。 訓練を実施した背景には、情報システム部などのIT部門だけでなく、経営層まで巻き込みたい考えがあったという。同社のPSIRTが取り組んだ
メタバースでのなりすましを防ぐ 3Dアバターの本人証明ができるセキュリティ基盤 凸版印刷が開発
凸版印刷は2月18日、3Dアバターの本人証明ができるセキュリティ基盤「AVATECT」を開発し、試験提供を始めたと発表した。アバターの唯一性を証明するためのNFT化、コピーガードとしての電子透かし付与など、アバターの不正利用や他者のなりすましを防止する機能を備える。 主に、実在する人物の写真を基にアバターを作り、メタバース内で使う場面を想定。AVATECTは、写真からアバターを生成する際に「モデルとなった人物の情報」「そのアバターでやっていいこと」「生成者の情報」「生成日時」「利用権の所在」などを記録し管理するプラットフォーム。 生成したアバターはNFT化し、唯一性を証明できる仕組み。NFT化だけでは複製や加工を防止できないため、電子透かしを付与して、真贋を判定できるようにした。 2022年度中には、アバターの管理・操作権を本人確認された人物のみに与える仕組みを作る予定。将来的には、アバタ
「起きたら全て消えていた」 Discordで横行する“サーバー凍結荒らし”、1万人参加サーバーが一夜で消えたその手口
※本記事はアフィリエイトプログラムによる収益を得ています 1万人以上の利用者がいた、国内の大手Discordサーバー（※）「Twitter2」が、悪意ある第三者の攻撃によって11月に凍結されていたことが分かりました。管理人のにゃるらさんに話を聞いたところ、かなり巧妙な手口で凍結させられており、場合によっては「防御不能」となることも。今後への注意喚起の意味も込め、どのような手口が使われたのかをまとめました。 ※同じ趣味を持つ人たちが参加するグループのようなもの 決まればガード不能、“荒らし”が使った手口とは 今回凍結させられた「Twitter2」は、ライターのにゃるらさん（@nyalra）が2021年の1月に立ち上げたDiscordサーバー。にゃるらさんは以前からTwitterで「だれも社会や政治の話をせず、毎日みんなでアニメを観たりゲームをしたりして1日がおわるマジで楽しいSNS（＝Twi
日本の製粉大手に「前例ない」大規模攻撃 大量データ暗号化 起動不能、バックアップもダメで「復旧困難」
「システムの起動そのものが不可能で、データ復旧の手段はない」――製粉大手のニップン（東証一部上場）は8月16日、7月7日に受けたサイバー攻撃の詳細と影響を明らかにした。 グループ会社を含むサーバの大半が同時攻撃を受け、バックアップを含む大量のデータが暗号化されて復旧不能に。外部専門家に「前例のない規模」と報告を受けたという。 財務システムも被害を受け、早期の復旧が困難なため、8月5日に発表予定だった2021年4～6月期の決算は、約3カ月延期。8月16日が提出期限だった四半期報告書の提出も、11月15日に延期する。 サイバー攻撃を受けたのは7月7日未明。グループの情報ネットワークのサーバや端末が同時多発的な攻撃を受け、大量のファイルが暗号化された。 ニップン単体の財務・販売管理データを保管しているファイルサーバに加え、グループ企業で同じ販売管理システムを使っていた11社と、同じ財務会計システ
LINE、オープンソースソフト「LINE FIDO2 Server」公開 パスワード不要でログイン可能
この記事は新野淳一氏のブログ「Publickey」に掲載された「LINEがオープンソースで「LINE FIDO2 Server」公開。パスワード不要でログインできる「FIDO2/WebAuthn」を実現」（2021年8月16日掲載）を、ITmedia NEWS編集部で一部編集し、転載したものです。 LINEは、スマートフォンやPCの指紋認証や顔認証などを用いることでパスワード不要でログイン処理を可能にする標準技術「FIDO2」や「WebAuhn」に対応したサーバ「LINE FIDO2 Server」をオープンソースで公開しました。 これにより、さまざまなWebアプリケーションやモバイルアプリケーションなどでFIDO2/WebAuthnを利用したログインが容易に実装できるようになることが期待されます。 FIDOアライアンス（ファイドアライアンス）が策定している技術「FIDO2」（ファイドツー
開会式は「NHK＋」のみ 偽サイトに注意 スマホやPCで東京五輪を見る方法
7月23日に開幕する「東京2020オリンピック」はほとんどの競技が無観客で行われ、観戦する手段はテレビ放送かネット配信になった。ただしネットのライブ配信を利用する時には注意も必要だ。 アンチウイルスソフトなどを手掛けるトレンドマイクロは19日、東京オリンピックの中継サイトをかたる不審なWebサイトを見つけたと報告した。利用者にブラウザの通知を許可させ、悪質な広告を表示する「ブラウザ通知スパム」のサイトで、ここに誘導するために作られた不正なWebページも複数見つかった。 トレンドマイクロは「ネット経由でオリンピックを観戦する場合は公式サイトや提携サイトのみにするべき。よく知られていないストリーミングサイト、特に『アクセス制限のない動画サイト』などと強調しているサイトはサイバー犯罪者によって巧妙に仕組まれたワナである可能性が高い」と警告している。 東京2020オリンピックの公式な動画配信はNH
「原神」、ゲーム終了後は不正防止プログラムが停止する仕様に 開発元はスパイウェア疑惑を否定
スマートフォンゲーム「崩壊3rd」などを提供する中国miHoYoは9月29日、同日リリースした新作ゲーム「原神」のPC版で、アンチチートプログラム（外部ツールなどによるゲーム上の不正を検出するプログラム）がゲームの終了後やアンインストール後もPC上で動作し続ける仕様を修正したと発表した。 原神は、miHoYoが開発するPC／プレイステーション4／iOS／Android向けのアクションRPG。28日のリリース後、オンラインコミュニティー「Reddit」やTwitterのユーザーから、PC版でアンチチートプログラム「mhyprot2」が動き続け、アンインストール後も削除できないことが指摘された。「スパイウェアではないのか」と疑う声もあり、同日午後には「スパイウェア」がTwitterでトレンド入りした。 miHoYoによると、アンチチートプログラムは他の起動しているプログラムの状態などを読み取り
「ポストの中身が盗まれて、開封済みの封筒だけ落ちていた」狙いはコミケ関連書類？ 盗難事件の体験談を漫画化 - ねとらぼ
※本記事はアフィリエイトプログラムによる収益を得ています 郵便受けを整理せずにいたら、ある日中身が全てなくなっていた――そんな気味の悪い体験談が注目を集めています。投稿主は漫画家のさふぁ太（@sarfatation）さん。コミケ運営からの書類まで持ち去られていたと判明し、漫画化して注意喚起しています。 広告類を回収せず放置していたところ、ある日全部持ち去られていたそうです 問題が起きたのは、マンションの屋外に設置された集合ポスト。さふぁ太さんは普段、数日に1回程度のペースで確認していたそうです。必要な書類のみを回収し、やたら多い広告類はそのまま。そんなある日、ポストの中身がごっそりなくなっていたといいます。 あたりを見回すと、地面に前日にはなかったはずの封筒が。手に取って確認すると、コミケの運営から自分に宛てられた手紙でした。中身こそ抜き取られていなかったものの、雑に開封済み。何者かによっ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
