826万人の在職者情報を管理する「社労夢」のランサムウェア事件から思うこと
ランサムウェアの感染事案 2023年の6月上旬に、社労士向けのクラウドサービス「社労夢」を提供する、エムケイシステムがランサムウェア攻撃を受けたことを発表したことが記憶に新しい。 www.itmedia.co.jp www.nikkei.com エムケイシステムのWebサイトによると、「社労夢」は826万人以上のユーザ情報を保管・管理するクラウドサービスであり、この情報が仮に漏洩したとなれば2023年のセキュリティインシデントとして残念ながら歴史に名を残しかねない大惨事の一つとなるであろう・・・！！ 実際に私もStartup（B to B向けSaaS販売）で勤務しながら、本事案について耳にすることがあった。お客様によってはサービスリプレイスを検討しているとのことであった。 セキュリティの専門家 × Startupの事業推進という、やや異色なキャリアを歩んできた私にとっても改めて気が引き締ま
IT 担当者ならみんな読みたい！！ セキュリティ情報サイト5選 | DevelopersIO
「セキュリティ情報ってどこから仕入れたら良いんだろう？」 って思ったことありませんか？今回は私が日常的に確認している、おすすめのセキュリティ情報サイトを紹介します。最後には読み方のポイントも紹介します！ それでは早速やっていくっ！！ 今回紹介するサイト 以下の5サイトを紹介します。 IPA JVN Security NEXT Amazon Linux Security Center Security Bulletins 1. IPA 重要なセキュリティ情報一覧 IPA の説明を Wikipedia より引用。 独立行政法人情報処理推進機構（じょうほうしょりすいしんきこう、英: Information-technology Promotion Agency, Japan、略称：IPA）は、日本におけるIT国家戦略を技術面、人材面から支えるために設立された、経済産業省所管の中期目標管理法人たる
中国製ネットワークカメラが勝手に動き出して中国語が聞こえてきた怖い話（動画あり） - 僕とネットショッピング
（追記）この記事の内容には誤りがありました。 誤りの内容に関して下記の記事にまとめています。 ご確認の上で閲覧いただきますようお願い致します。 hardshopper.hatenablog.com リビングにネットワークカメラを設置しておいたんです。 小学生の子供を家に置いていくときとか、これがあると様子を覗けてすごく安心感がありました。 設置していたネットワークカメラは価格コムで売れ筋ランキング、注目ランキング1位のKEIANのC7823WIP。 もちろんKEIANで中国製というのはあったんですけど、日本製のものと比べても圧倒的に低価格で、なにより評判も良いわけですからついこれを選択しちゃったんです。 実際、接続も簡単で、すぐスマホから操作もできて、全体的に満足でした。 もし設置直後にレビュー書いてたら高評価にしてたと思います。 まさかこんな怖い思いをするとは思ってなかったですから・・・
Web開発者が恐らく知らない、SSLについて知っておくべきこと | POSTD
2015年、Web開発者は以前よりもSSLに関する理解を深めています。そうしたWeb開発者たちがHacker Newsを読むなら知っておくべきことを以下に挙げてみます。 ドメイン認証（DV）証明書は Let’s Encrypt から無料で取得することが可能。 拡張認証（EV）証明書 は CertSimple かいくつかのチェックののちの支払いで取得することが可能。これが我々のやり方。 Mozilla SSL Config Generator を使用すれば、サポートしたいブラウザに対して、サーバを可能な限り安全に設定することが可能。 完了後に SSL Labs を使って全てをチェックし、A評価獲得を確認しましょう。そうでなければ人に小言を言われます。 その他はどうでしょうか。我々の顧客から寄せられる最も多い質問について、回答を紹介していきましょう。 1. Chromeで”古い暗号スイート”を
Dell、ルート証明書の脆弱性で対応表明 別の問題発覚
Dellはシステムから「eDellRoot」を恒久的に削除する方法について説明。一方、米CERT/CCは、Dellの別のルート証明書「DSDTestProvider」に関する脆弱性情報も公開した。 米DellのPCにルート証明書と秘密鍵が搭載されているのが見つかり、攻撃に悪用されかねないと指摘された問題で、Dellは11月23日、この証明書が脆弱性を生じさせていることを認めて対応を表明した。一方、米カーネギーメロン大学のCERT/CCは24日、この問題のほか、Dellの別のルート証明書と秘密鍵の問題についても脆弱性情報を出している。 今回の問題では、DellのPCに全て同じ「eDellRoot」というルート証明書と秘密鍵が搭載されているというユーザーからの指摘が相次いだ。CERT/CCによれば、これを悪用された場合、攻撃者が任意のドメイン用の証明書を作成してHTTPSなどの通信に割り込む中
DellのPCに不審なルート証明書、LenovoのSuperfishと同じ問題か
Dellのマシンにプリインストールされている自己署名ルート証明書の「eDellRoot」について、危険を指摘する声が相次いでいる。 米DellのノートPCに不審なルート証明書がプリインストールされているのを見付けたというユーザーの報告が、11月22日ごろにかけて相次いだ。Lenovoのコンピュータで発覚した「Superfish」と同様に、偽の証明書発行に利用され、HTTPS通信に割り込む攻撃に悪用される恐れも指摘されている。 問題になっているのは、Dellのマシンにプリインストールされている自己署名ルート証明書の「eDellRoot」。同社の「Inspiron 5000」を購入したというジョエル・ナード氏は、セットアップの過程でこの証明書を発見。不審に思って調べたところ、eDellRootは信頼できるルート証明書とされ、使用期限は2039年、用途は「All」と記載されていたという。 さらに
中国BaiduのSDKにバックドアが発覚、致命的な脆弱性を持つ人気アプリまとめ
中国の検索大手「百度(Baidu)」のソフト開発者キット(SDK)「Moplus」にバックドアが仕込まれており、Moplusを利用したアプリには、ユーザーに無断で端末内のデータを外部に送信したり、アプリをインストールしたり、連絡先を追加したり、SMSを送信したりと、遠隔操作によってやりたい放題されてしまう致命的な脆弱性があることが判明しています。 脆弱性を抱えるソフトウェア開発キット「Moplus」、実はバックドア機能の実装が判明 | トレンドマイクロ セキュリティブログ http://blog.trendmicro.co.jp/archives/12540 BaiduのSDK「Moplus」には「Wormhole」と呼ばれる脆弱性の存在が指摘されていました。しかし、セキュリティ対策会社トレンドマイクロがMoplusを解析したところ、Wormholeとは別にSDK自体にバックドアが仕込まれ
Linux サーバーを強固にする
原文 は、2015 年 8 月 5 日に掲載されました。 著者は、家にファイル サーバーを 1 台と、サイト、メール サーバー、およびクラウド ストレージ サーバーとして 3 台の Live サーバーを持っています。 ホーム サーバーのセキュリティについては、外部と接続していないため、それほど心配していません。しかし、他の 3 台については、適宜保守をしています。サーバーを構築したいと考えている Linux 初心者が注意すべき点について、本文献で説明します。 必要なものをインストールする サーバーを構築する時、だいたいの人は、「40GB の SSD だから、欲しいサービスをなんでもインストールできる」と考えがちです。間違いではありません。しかし、そう簡単ではありません。どんなに強固なサーバーでもどこかに弱点があり、パッチが当たっていない部分があるため、乗っ取られる危険があります。 ですから
Amazon LinuxへのsshをGoogle Authenticatorを用いて二段階認証にしてみた | DevelopersIO
はじめに こんにちは植木和樹＠上越妙高オフィスです。今日はAmazon Linuxへのsshログイン時におけるセキュリティ強化のお話です。 AWS運用チェックリストではOSにログインする際のユーザーは共有せず、個人ごとにOSアカウントを作成することが推奨されています。 これからAWSを始める人は一読すべき「AWS運用チェックリスト」を読んでみた ｜ Developers.IO 個人ごとにOSアカウントを作成すれば、いつ誰がそのサーバーにログインしたのか分かるので不正な操作が行われた際のトレースに役立ちます。 しかし仮にパソコンが盗まれる等で秘密鍵が盗まれてしまった場合を想定し、さらにもう一段階、その人のみが持っているものを用いなければサーバーにログインできない仕掛けを作ってみます。これを2段階認証といいます。今回は 1.個人のssh鍵ファイル ＋ 2.スマホに表示されるワンタイムパスワード
英GCHQ、複雑すぎるパスワードの使用中止を推奨 | スラド セキュリティ
複雑なパスワードはユーザーの負担になるだけでセキュリティー向上にはつながらないとして、パスワードポリシーの緩和とシステム側での対応強化を推奨するガイダンスを英政府通信本部(GCHQ)が発表している。ガイダンスはGCHQの電子通信安全局(CESG)が国家インフラストラクチャー防護センター(CPNI)とともに作成したもの(Password guidance: simplifying your approach、 CESGのブログ記事、 The Independentの記事、 BetaNewsの記事)。 ユーザーの負担を軽減するための措置としては、保護の必要な場面でのみパスワードを使用すること、安全なパスワード管理手段の提供、パスワード変更を強制するのは不正ログインが疑われる場合などに限ること、ユーザー間でのパスワード共有を禁じ、ハードウェアトークンなどによるアクセスコントロール手段の導入を検討
続・設定を見直すだけ、いますぐ簡単にできる「標的型メール攻撃対策」
続・設定を見直すだけ、いますぐ簡単にできる「標的型メール攻撃対策」：Windows標準機能でいますぐできる標的型攻撃対策（1/4 ページ） 2014年9月の公開後、その実効性と手軽さが反響を呼んだ前回記事に新たな対策を追加。Windows標準のセキュリティ機能だけで実践可能な最新の標的型メール攻撃対策を紹介します。Windowsユーザーやドメイン管理者の皆さまは、ぜひご一読ください。 日本年金機構の情報流出事件を契機として、「標的型攻撃」への関心が再び高まっている。最近では、「標的型攻撃でのマルウエア感染は避けられない」「感染・侵入を前提とした対策が必要」との声が聞かれるようになってきた。それらの主張に異論を挟むつもりはないが、感染のリスクを少しでも減らせる対策があるのならば、実施するに越したことはないはずだ。 実際、感染被害が起こると、そのインシデント対応は決して容易なものではなく、費用
空港職員が使うTSAロックのマスターキーの写真から3Dプリンターで合鍵を出力して本当に解錠できることが発覚
by kurashikinote.jp スーツケースなどにはアメリカ合衆国国土安全保障省より認定を受けたTSAロックという特殊な錠がつけられていることが多いのですが、特に意識しないまま使っている人も多いはず。しかし、2015年8月に空港職員の持つTSAロックのマスターキーを撮影した写真が流出したことで、カギの形が割り出され、本当に解錠できるカギを3Dプリンターを使って誰でも5分で作れてしまうという事態が起こっています。 Lockpickers 3-D Print TSA Master Luggage Keys From Leaked Photos | WIRED http://www.wired.com/2015/09/lockpickers-3-d-print-tsa-luggage-keys-leaked-photos/ アメリカでは飛行機に搭乗する際、空港職員が荷物の目視検査を行うこ
堺市職員がレンタルサーバーで個人情報1000人分“公開”、開発スキルが裏目に
堺市は2015年9月7日、同市の外郭団体の職員約1000人分の個人情報がインターネット上で公開状態になり、外部に流出していたと発表した。会計室の課長補佐級職員が個人契約していたレンタルサーバーに保存したデータが流出したという。 市の説明によれば、当該職員はシステム開発のスキルを持ち、市の外郭団体から依頼を受けて短時間勤務職員の出退勤システムを作成していた。この外郭団体から提供を受け、レンタルサーバーに保存していた約1000人分の個人情報が4月から6月までの間公開状態になっており、外部に流出した。 流出データには短時間勤務職員約1000人分の氏名、性別、生年月日、住所、電話番号と、給与実績データなどが含まれる。当該職員が業務上保有していた別の外郭団体のアルバイト応募者11人分の個人情報も流出した。 「選挙管理支援システム」が発覚の発端 こうした事態が発覚する発端になったのが、6月24日に堺市
Linux搭載のライフル銃がWi-Fiハッキングで乗っ取られる脆弱性が発覚
標的を狙うスコープにLinuxを搭載したコンピューターを内蔵し、驚異の命中率を誇るというTrackingPointの「スマートライフル」にシステムが乗っ取られるという脆弱性が判明しました。この脆弱性が悪用されると設定していた標的が知らないうちに別のものに置き替えられ、本来とは異なる標的を撃ち抜いてしまう危険性があります。 Hacking a computer-aided sniper rifle http://www.usatoday.com/story/tech/2015/08/06/computer-controlled-rifle-black-hat-trackingpoint/31239637/ Black Hat USA 2015 | Briefings https://www.blackhat.com/us-15/briefings.html#when-iot-attacks-
シェルスクリプトの平文パスワードをセキュアにする方法 - 余白の書きなぐり
追記: (2015/8/3) 大量のはてブが付いたので 続き を書きました。 sshを使用している人は文字列を手軽に暗号化・復号化できるという話。 このテクニックを使えば色々セキュアになるのでおすすめ。 今回はシェルスクリプト中の平文パスワードをセキュアに代替する。 平文パスワードはやめよう シェルスクリプト中でパスワードが必要になったとき、 とりあえず平文で書いてしまいがち。 #!/bin/sh PASSWORD="hoge" これをセキュアにしたい。 面倒くさいのは嫌なので、なるべく手持ちのツールで暗号化、復号化したい。 ssh用の rsa 秘密鍵と、openssl(大抵の環境に入っている)を使って改善しよう。 秘密鍵の準備 パスワードを暗号化するにあたって、秘密鍵を使用する． sshを常用している場合は ~/.ssh/id_rsa という秘密鍵が存在するだろう。 もし秘密鍵が無ければ
「日本年金機構の情報漏えい事件から得られる教訓」公開のお知らせ（2015年6月 9日）| 株式会社ラック
「日本年金機構の情報漏えい事件から得られる教訓」公開のお知らせ 2015年6月 9日 | お知らせ 2015年6月1日に日本年金機構が発表した、基礎年金番号を含む個人情報が漏えいした事件に関して、背景や想定される原因を、当社が知り得た範囲で整理し、対処方針など他山の石として学ぶべきことを提言するものです。 日本年金機構は、何らかの目的をもって攻撃を繰り返す犯罪者により、個人情報の窃取という被害を受けました。攻撃は執拗かつ巧妙であると見られ、その手法は標的型サイバー攻撃という、狙いをさだめた攻撃対象に対して特化された電子メールやウイルスを仕込んで行われたものでした。 本来は情報系システムとは切り離された基幹系システムで管理されている個人情報が窃取された原因は、日本年金機構内で行われていた業務手順により、情報系システムに個人情報がコピーされていたためでした。 情報を守るために切り離された２つの
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
攻撃者がよく使うWindowsコマンドのランキング発表～マルウェア感染被害の防止に、使わないWindowsコマンドの制限を 
Engadget | Technology News & Reviews
国勢調査の“偽サイト”作った意図は？ 総務省から削除依頼……「騒ぎになり深く反省」と制作者
SSL/TLSの基礎と最新動向
