依頼を受けた侵入テストで逮捕、起訴？ ハッカーが語る体験談 (1/2)
依頼主と共に綿密な計画を立て、実施を決定したレッドチームの物理侵入テスト。まさかテスト担当者が現行犯逮捕され、計10万ドル（約1,000万円）もの保釈金を支払うはめになるとは――。 2020年8月5日、6日にオンライン開催されたセキュリティカンファレンス「Black Hat USA 2020」の講演で、昨年9月に発生した“レッドチーム逮捕事件”の経緯と顛末について、当事者であるCoalfire（コールファイア）社のセキュリティ専門家2人が詳細に語った。 この事件は州政府／郡政府の独立性が高い米国固有の事情がからんだレアケースにも見えるが、セキュリティテストにおいて双方の見解や視点、感情の行き違いから大ごとに発展するケースは国や文化を問わないものだ。講演から事件を振り返り、今後同じ状況に陥らないためにも何ができるかを考えたい。 州政府から裁判所への物理侵入テストの依頼を受ける Coalfir
世界で26億円もの金が動く、賞金稼ぎバグハンターという生き方
日本でも認知が広がって来た「バグハンター」という仕事 バグバウンティ制度をご存知だろうか。バウンティとは報奨金のこと。企業がウェブやデジタル製品などについて、広く脆弱性検出を依頼し、発見した人には報奨金を支払うという仕組みだ。Google、Facebook、MicrosoftというグローバルIT企業が導入しているのはもちろん、日本でもLINE、サイボウズ、任天堂、エイベックス、gumi、pixivなどが導入している。 このようなバグバウンティには誰でも参加できる。企業が独自にオフィシャルサイトなどでバグバウンティ制度を運営していることもあるが、多くはバグバウンティプラットフォームに登録をし、あとは対象のウェブ、アプリなどから脆弱性を探し出し、レポートを提出する。これで、場合によっては100万円以上の報奨金が得られる。 中には、企業に属することなく、このバグバウンティ制度を利用して、報奨金だ
FAX番号だけで複合機が乗っ取られる“Faxploit”脆弱性公表 (1/2)
ITU-Tが定めたFAX通信規格「T.30」に存在する脆弱性を利用すれば、ターゲットのFAX番号を知っているだけでバッファオーバーフローを引き起こし、デジタル複合機（MFP）を乗っ取ることができる。さらにランサムウェア「WannaCry」でも使われた脆弱性攻撃ツールなどを組み合わせれば、複合機を踏み台にしてオフィスネットワーク内のPCやサーバーにも侵入を拡大し、機密データを盗み出すことなども可能になる――。 2018年8月12日、米国ラスベガスで開催されたハッカーイベント「DEF CON 26」では、こうした攻撃手法を紹介する講演「What the Fax!?」が行われた（講演タイトルはネットスラング「WTF＝What the Fuck」のもじりだ）。講演を行ったCheck Point Software Technologiesのセキュリティリサーチャー、ヤニフ・バルマス氏とエイヤル・イト
詐欺師になりたかった少年が持つホワイトハッカーの「資質」
技術革新の速いWebセキュリティに関連する研究において長期にわたり最先端で活躍。国内、海外でのカンファレンスでの講演や記事執筆も多数。2015年7月より株式会社セキュアスカイ・テクノロジーの常勤技術顧問に就任。同社にて2017年1月よりCTOを務める。2018年3月より取締役CTOに就任。 「僕自身は自分をハッカーだと自称することはあまりないですね。自分から名乗るものではなく、人が既成の概念にとらわれない人を見たときに使う言葉だと思っています」 ましてや職業名として「ホワイトハッカー」という言葉を使うことには違和感があり、SST社内ではごく普通に「セキュリティエンジニア」あるいは単に「エンジニア」と呼んでいるという。 しかし、セキュリティエンジニアといっても毎日同じルーチン作業をこなしているエンジニアと、積極的に脆弱性を発見して対策を講じていくエンジニアでは、だいぶ違いがあるように思う。
ASCII.jp：データ消失！あのとき、ファーストサーバになにが起こったか？ (1/2)｜データ消失事故から2年！ファーストサーバ、再生への第一歩
今から2年前の2012年の6月20日、レンタルサーバー会社のファーストサーバは、大規模な顧客データの消失事故を引き起こした。あのときなにが起こったか？ ファーストサーバのさまざまな部門の担当に、当時の状態を振り返ってもらった。 ファーストサーバは今も変わらずビジネスを展開している ファーストサーバの顧客データ消失事故に関するドキュメンタリーを書きたいと思った。事故の原因究明や責任の所在を明らかにするのではなく、当事者の話を積み上げていくような記事が書きたいと思った。 そして、今回ファーストサーバの全面的な協力により、事故当時から現場を統率してきた現代表取締役社長の村竹昌人氏をはじめ、営業、開発、運用、マーケティング、広報、サポート、管理など各部門の担当者に話を聞くことができた（以下、敬称略・役職は現職）。 事故から2年間の間、ファーストサーバはひたすら事故の影響を受けたユーザーへの対応と再
だって人間だもの…拾ったUSBメモリを開く人は何割いる？調査 (1/2)
人目に付きやすい場所にUSBメモリを落としておき、拾った人がPCに挿してファイルをクリックするのを待つ。実はそれはマルウェアで、感染したPCは攻撃者のC＆C（コマンド＆コントロール）サーバーに自動接続されてしまう。あとは攻撃者の思うがまま――。そんなサイバー攻撃は、果たして現実的なものなのだろうか。 落とし主不明のUSBメモリを拾った人の何割が、自分のPCに挿して中身を覗いてしまうのか。それを確かめるため、米グーグルで不正利用や詐欺対策のグループを統括するエリー・ブルツタイン氏が実験を敢行。8月5日に米国ラスベガスで開催されたセキュリティカンファレンス「Black Hat USA 2016」で、その調査結果を詳細に語った。
Amazonから「パスワード変えといた」メールが来た
図版：いらすとや アマゾンが6月15日10時、記者のもとに「重要 - Amazon.co.jpアカウント、パスワード変更のお知らせ」というメールを送ってきた。「Your Amazon password has been changed」という英文メールも届いた。セキュリティ上の理由からパスワードを一時変更したという。 フィッシングメールかと思ってAmazon.co.jpにアクセスしてみたところ本当にパスワードが変わっていたので驚いた。 理由はアマゾンが実施している定期モニターで「メールアドレスとパスワードの一覧をインターネット上で無作為に掲載しているページ」が見つかったため。「当サイトでもしも同じパスワードを使用されている可能性がある場合には念のためお知らせすべきであると判断したため」とのことで── さらっと書いているがつまりわたしのメールアドレスとパスワードが「インターネット上で無作為に
近所のエロ少年が飛ばすドローンを合法的に撃退したい件
“ドローン乗っ取り”の可能性を調査した結果、ある機種ではWi-FiもFTPもTelnetも認証なしの大公開状態で、機体のコントロールを軽く奪えることがわかった。2015年8月、米国ラスベガスで開催された「DEF CON 23」で、セキュリティリサーチャーのマイケル・ロビンソン氏は、そんな調査結果を楽しく報告した。 ※編集部注：本稿における「合法」「違法」の表現は、すべて米国内での法令に基づくものです。日本国内での合法性／違法性については保証いたしかねますので、ご留意ください。 ホワイトハッカー色／セキュリティ業界色の強いBlack Hatカンファレンスとは対照的に、DEF CONは知的好奇心のおもむくままに（違法／合法を問わず）ソフトウェアやハードウェアを分解、解析し、裏ワザやセキュリティ上の問題をシェアする、まさに“ハッカーによるハッカーのためのイベント”だ。 「実は最近、近所の少年がカ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
