その履歴書に書かれた名前住所は本物か？入社前から入社処理を自動化する | ロードバランスすだちくん
シンジです。いつだったか知人から、「入社初日にデータ抜かれて翌日から連絡が取れなくなった人がいて」といった話を聞きました。調べてみると名前も住所もでたらめで、まさにデータをぶっこ抜くためだけに面接を通過してきたという興味深い話でした。結局そこで深刻なデータ侵害はなかったようですが、この話を聞いてから今シンジだったら何ができるか考えて社内に実装した話です。 面接はZoomで、会うこともない どこから接続しているかも分からないし、それを知ったところで本当にそうなのか確認することも難しい。そもそも会ったところで、履歴書や本人が申告する名前と住所が本当に本人のものかを確認することもしていません。もし自分が面接を受けたときに、身分証明してくださいって言われてもなんか気持ち悪いし、もちろんそれが必要な業界や業種があるわけですが、当社のようなただのITベンチャーが、何が身分証明だせだばかやろうとか思うわ
twitterアカウント@yanmaが乗っ取られた - yanma
字下げ.iconTwitterで拡散され始めているため、誤解のないように補足しておきます。私のアカウントが乗っ取られたことは事実ですが、私はTwitterのセキュリティ設定のうち、「2要素認証」と「追加のパスワード保護」をいずれもデフォルト設定のままOFFにしていました。これらのいずれか一つでもONになっていた場合、今回の手口は使えない可能性があります(Twitterのセキュリティ周りの仕様が不明なため推定)。 字下げ.iconしかし、「2要素認証」はともかくとして、「追加のパスワード保護」がデフォルトでOFFになっているのはWebサービスのセキュリティ上正しい設計なのかどうかかなり疑問です。私はこの設定の存在を知らず、パスワードのリセット要求がされると少なくとも一回はログインアラートが来て阻止するチャンスがあると考えていました。
YouTuberを襲うサイバー攻撃が進行中、二段階認証も突破される新手口とは
2019年9月ごろから、Googleアカウントを狙ったフィッシング詐欺の被害が相次いでいます。その攻撃の矛先は不特定多数の一般人ではなく、動画投稿で収益を得る「YouTuber」（ユーチューバー）の人たちです。手口も比較的新しい手法で、Googleの二段階認証を突破して不正ログインする方法が用いられています。なぜYouTuberが狙われるのか、どのような手法でGoogleアカウントが乗っ取られているのか、関係者から得られた情報をまとめました。 仮想通貨取引所「Coincheck」からの大量の仮想通貨流出事件や、「漫画村」など海賊版漫画サイトの追跡でいち早く新情報を探し当てたホワイトハッカー。ダークウェブやネット上での匿名化技術に精通し、「ダークウェブの教科書 匿名化ツールの実践」（データハウス）を執筆した。 日本を含め世界中で被害発生 このYouTuber乗っ取り事案は世界規模で発生してい
「私はロボットではありません」選ぶ必要なし 新「reCAPTCHA」Googleが公開、ユーザーは何もしなくてOK
「私はロボットではありません」選ぶ必要なし 新「reCAPTCHA」Googleが公開、ユーザーは何もしなくてOK 米Googleは10月29日、人間とbotを識別するための新API「reCAPTCHA v3」を公開したと発表した。従来のreCAPTCHAは、ゆがんだ文字を読み取ったり、チェックボックスにチェックを入れるなどユーザーによる操作が必要だったが、v3は操作が不要。リスク分析エンジンでユーザーのアクティビティを分析し、どれぐらい不審かをスコア化して示すことで、Webサイトオーナーが対策を講じられるようにした。 reCAPTCHA v1では、アクセスした全ユーザーに対して、ゆがんだ文字を読み取って入力するよう要求していた。reCAPTCHA v2では、「I'm not a robot」（私はロボットではありません）というチェックボックスにチェックを入れる方法がメインとなり、リスク分
モバイルSuicaのアプリでログインできなくなる現象が多発してる件 | Yuya Sakamoto.com
JR東日本が提供するモバイルSuicaアプリのアップデートが先日ありました。 ぼくもアップデートしたのですが、アプリを起動するとログアウト状態に。 結構大きなアップデートだったので、仕方ないかと思い、ログイン画面でパスワードを入力しました。 しかし、合ってるはずのパスワードが不可に。 入力ミスにもかなり気を配りトライしたのですが、何度やってもログインできず。 ついには、度重なるログイン操作ミスでロックがかかるはめに。 このログイン規制はネットで調べるとおよそ24時間かかる上に、解除にはコールセンターに電話しなければならないということ。 僕がモバイルSuicaでログインするまでにやったことコールセンターにかけてみるSuicaの残高を早急にチャージしたかったので、コールセンターにかけるも、「お話中」で繋がらず。 その後、10回ほどかけるものの繋がらず。 不審に思い、ネットで調べると案の定、コー
架空世界 認証セキュリティセミナー 第18回「認証と技術的特異点（シンギュラリティ）【BEATLESS】」
架空世界 認証セキュリティセミナー 第18回「認証と技術的特異点（シンギュラリティ）【BEATLESS】」 2018年3月22日 架空世界 認証セキュリティセミナー AI, シンギュラリティ, セキュリティ, ネタ記事, 人工知能, 架空世界, 生体認証 まゆずみ＠パスロジ 現在好評放送中のSFアニメ「BEATLESS」 ……それでは講義を始める。 前回は映画「キングスマン」「キングスマン：ゴールデンサークル」に登場する認証を紹介した。いかがだっただろうか。 「掌紋認証」という生体認証や、スパイや敵役ならではの認証を紹介した。未見の方も興味が出たのではないかと思う。この記事が掲載されている頃にはすでに「キングスマン：ゴールデンサークル」も配信されていると思うので、ぜひ観てほしい。 >「架空世界 認証セキュリティセミナー」記事一覧 さて今回は現在好評放送中のTVアニメ「BEATLESS」を題
中国最大級の認証局「WoSign」がニセの証明書を発行していたことが判明
by Barney Moss 無料でSSL証明書を発行してくれることで、多くの自宅サーバーユーザーに重宝されている中国最大級の認証局「沃通(WoSign)」が、「偽物の証明書」を大量に発行していたことが明らかになりました。 The story of how WoSign gave me an SSL certificate for GitHub.com | Schrauger.com https://www.schrauger.com/the-story-of-how-wosign-gave-me-an-ssl-certificate-for-github-com Thoughts and Observations: Chinese CA WoSign faces revocation after possibly issuing fake certificates of Github,
実際、パスワードはどれくらいの頻度で変えるべきですか？ | ライフハッカー・ジャパン
ライフハッカー編集部様 私の会社やいくつかのウェブサイトが、パスワードを定期的（たとえば3カ月おき）に変えるように強制してきます。基本的にパスワードはどれくらいの頻度で変えるべきなのでしょうか？ 使い古しのパスワード（Stale Passwords）より 使い古しのパスワードさん、こんにちは。 多くの組織がユーザーにパスワードの変更を強制しています。長い間、それがセキュリティーの「ベストプラクティス」だと考えられてきたからです。しかし、実際には賛否両論のテーマなのです。以下にパスワードの変更が「有効であるケース」と「有効でないケース」について解説します。■なぜ企業はパスワードに有効期限を設けているのか？ パスワードを定期的に変える利点は、パスワードが盗まれた場合に、犯人がシステムに侵入できる期間を制限できることです。もし、パスワードに有効期限がなく、またパスワードが盗まれたことにも気づかな
UDID及び類似方式による行動ターゲッティング広告のセキュリティ実験に関する呼びかけ
Hiromitsu Takagi @HiromitsuTakagi いろいろヤバい。ネタのストックは大量にあるが、ウイルス罪やら番号制度やらが優先で、書いていく時間が足りてない。もうTwitterで先出していくしか。 Hiromitsu Takagi @HiromitsuTakagi UDIDやスーパークッキー同等の問題は英語圏でいずれ必ず問題視されて路線変更に至るが、日本の人たちがそれに取り残されてしまって、後で困ったことになることが国家的損失。そうならないよう早め早めに啓蒙していくことが重要であるところ。残念ながら政府の取組みは極めてお粗末で、… Hiromitsu Takagi @HiromitsuTakagi …政府の取組みは極めてお粗末で、セキュリティについては2003年ごろから積極的に取り組まれるようになったが、データプライバシーはそれとは全くの別物とみなされていて、政策課題に
高木浩光＠自宅の日記 - 富士通総研が研究員のコラムを削除、国民ID・共通番号制度を巡る現況
■ 富士通総研が研究員のコラムを削除、国民ID・共通番号制度を巡る現況 先週の金曜日、富士通総研のコンサルタントらによるコラムのサイトに掲載された、「国の礎としての共通番号制度を構築すべく、抜本的な議論の見直しを」という記事が、その日のうちに説明なく削除されるという事件があり、いったい何があったのかと憶測を呼んでいる*1。 国の礎としての共通番号制度を構築すべく、抜本的な議論の見直しを, 榎並利博, 富士通総研, 2011年5月13日（現時点では「エラー404 お探しのページは存在しません」と表示される） 政府からの圧力を疑う人が続出していたが、私の感触では、番号制度*2をめぐる現在の状況では、そういうことは考えにくいのではないかと思う。それよりも、この記事の主張の組み立て手法に見られる典型的な不味さが、富士通総研やその周辺の関係者に見抜かれたためではないか。私はそう憶測する。 榎並氏の3
最近のネットデマについて - 最速転職研究会
ソースをろくに確認せずに取り敢えず拡散する 自分の発言の責任が希薄になるように計算されたテンプレート 詳細はリンク先で 真偽不明ですが取り敢えず拡散 自己責任で 元情報が訂正されても、拡散した誤情報は消えない 「あなたのGmailをすべて盗まれる」問題 http://b.hatena.ne.jp/entry/jp.techcrunch.com/archives/20101120whoa-google-thats-a-pretty-big-security-hole/ http://topsy.com/jp.techcrunch.com/archives/20101120whoa-google-thats-a-pretty-big-security-hole/ http://disqus.com/guest/84d6bff45c2112e083c425e39f954f5e/ http://t
高木浩光＠自宅の日記 - ログイン成功時のリダイレクト先として任意サイトの指定が可能であってはいけない
■ ログイン成功時のリダイレクト先として任意サイトの指定が可能であってはいけない これが「脆弱性」として合意されるかどうかわからなかったが、脅威と対策をまとめてIPAに届け出てみたところ、受理され、当該サイト（複数）は修正された。以下、この問題がどういうもので、どうするべきなのか、はてなのケースを例に書いておく。 4月にこんな話が盛り上がりを見せていた。*1 ソーシャルブックマークユーザーのIDとPASSをいとも簡単に抜き取る手口, ホームページを作る人のネタ帳, 2007年4月6日 Ｂボタンフィッシングとは何？ 記事の最後には私のブログでもおなじみの、はてなブックマークへ追加ボタンや、バザールのブックマークボタン（Ｂボタン）を設置しているブログを最近良く見かける。何気なく私はそれを利用したりしている。（略）『あれ？セッションがきれたのかな』と思い、自分のIDとパスワードを入れてログイン。
ヤフー、フィッシング防止に有効なパスワード相互認証プロトコルを開発
ヤフーはこのほど、産業技術総合研究所とウェブ利用に適したパスワード相互認証プロトコルを開発したと発表した。 このプロトコルは、「PAKE（Password Authenticated Key Exchange）」と呼ばれる方式のひとつであるISO/IEC 11770-4のプロトコルを基盤として設計したもの。ユーザーにとっては、使い慣れたIDとパスワードを利用するだけでよく、サービス提供者はユーザーに新たな負担を強いることなく導入できる相互認証方式となっている。 この方式では、ユーザーが入力したパスワードは乱数を用いて暗号学的に加工されてサーバに送信され、一方サーバ側は、そのユーザーのパスワードとして事前に登録されている情報を加工してユーザーのコンピューターに返す。ユーザー側でも、そのサーバが自分のパスワードを過去に登録したサーバであるかを検証することが特徴となっている。 また、ウェブの標準
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
このページを見るには、ログインまたは登録してください
LinkedIn, Foursquare and Netflix on Android Store Your Passwords in Unencryped Text Files | Android Headlines
米VMware、SaaSアプリを統合管理する「Horizon App Manager」を発表
日本オンラインゲーム協会、なりすまし対策で共通認証システム