追記7月16日 【山と溪谷社より】不正アクセスによる会員情報漏洩のお詫びとご報告 | 山と溪谷社 新着情報 | 山と溪谷社
2015/07/16 不正アクセスによる会員情報漏洩のお詫びとご報告 この度、弊社が運営しております「涸沢フェスティバル特設サイト」（http://special.yamakei.co.jp/karasawa/）のウェブサーバを経由して、ヤマケイオンラインの会員データベース・サーバに対して外部から不正アクセスがあり、サーバ内の一部情報が取得された旨が判明いたしました。この不正アクセスにより取得された情報は以下の通りです。 １)漏洩が確認された会員情報 ヤマケイオンライン会員データ 580 件 対象項目 : メールアドレス 579件、パスワード(暗号化済) 1件 ２）内容 不正アクセスの内容については、「脆弱性を利用した不正アクセスが行われ、弊社データベース・サーバ内の一部情報を取得されている」旨の情報提供を情報セキュリティ団体〔JPCERTコーディネーションセンター（以下JPCERT）〕よ
情報窃盗を狙うSQLインジェクション攻撃が急増――クラウド事業者が報告
クラウドホスティングサービス事業者のFireHostによると、2012年4～6月期はSQLインジェクション攻撃が前期比で69％の急増を記録したという。 企業のデータベースなどから情報を盗み出そうとするSQLインジェクション攻撃が急増しているという。クラウドホスティングを手掛けるFireHostがまとめた2012年4～6月期のサイバー攻撃動向報告書で明らかにした。 報告書では、FireHostのホスティングサービスを利用している顧客のWebアプリケーションとデータベースに対する攻撃を食い止めた事例について、攻撃の手口などを分析した。 それによると、4～6月期に発生した攻撃の手口として最も多かったのはディレクトリトラバーサルで、全体の43％を占めた。次いでクロスサイトスクリプティング（XSS）が27％、SQLインジェクションが21％、クロスサイトリクエストフォージェリ（CSRF）が9％の順だっ
Androidが再生産しているSQLインジェクション？ - pochi-pの絵日記
※ちょっと釣りタイトル気味ですが真面目な話です。 これからするのは、ちょっとセキュリティ屋さんやスマホアプリ開発現場の人達の頭が痛くなるかもしれないお話です。*1 定番のSQLインジェクション対策といえば「prepared-queryを利用し、パラメータはbindメカニズムを使って与える」ですよね。*2 Androidでアプリを開発する場合、その方法は使えるのでしょうか？ 答えはYesです。AndroidはデータベースにSQLiteを使用しており、なおかつprepared-queryを利用出来ます。例えばこんな感じで。 SQLiteDatabase db = databaseHelper.getWritableDatabase(); //←databaseHelperはSQLiteOpenHelperを継承したクラスのオブジェクト SQLiteStatement stmt = db.com
ちょっと変わったSQLインジェクション
＠IT編集部のセミナーに出てきました 3月2日に、＠IT編集部主催の「＠IT セキュリティソリューション Live! in Tokyo」にて、NTTデータ先端技術の辻さんとインターネットイニシアティブの根岸さんとともに、ランチセッションに出演してきました。辻さん＆根岸さんのトークに絡ませてもらい、あっという間にランチセッションは楽しく終了しました。 事前の準備中はあれだけいろいろと話そうと思っていたのに、いざ始まると時間が足りないくらい盛り上がりました。ちょっと物足りないと思うくらいがいいのかもしれませんね。その会場で使った、2002年と2012年付近の出来事を示した資料がこちらです。 私はちょうど10年前の2002年にラックに入社しました。振り返ってみればあっという間の10年の社会人生活です。こうしてみると、いろんなインシデントがリアル世界とサイバーの世界で起こっていたんだなと懐かしくな
科学技術週間ウェブサイトの不正アクセスについて：文部科学省
平成23年12月28日 「科学技術週間」ウェブサイトについて、一部改ざんがなされているとの連絡を受け、現在、同ウェブサイトの運用を停止し、他に被害がないか調査をしてきましたが、新たに個人情報の流失が判明しました。文部科学省としては、今後このようなことが起きないよう、情報管理について徹底を図ってまいります。 文部科学省は、「科学技術週間」ウェブサイトの一部改ざん（12月19日発表済）について、詳細な被害状況等の調査を行ってきましたが、新たに下記について判明いたしました。 ○ 改ざんされた科学技術週間行事データのほか、科学技術週間登録機関データ、「2008年一家に１枚ポスター」配布協力科学館」データ及び「科学館についてのアンケート」データについて不正にダウンロードした痕跡を発見しました。 ○ このうち、アンケートデータ24件に一般の方のメールアドレスが含まれていたほか、登録機関データに85
ソニー・ミュージックの日本語サイトにSQLインジェクション攻撃？
セキュリティ対策企業の英Sophosは5月23日（現地時間）、ソニー・ミュージックエンタテインメント（SME）の日本語サイト（sonymusic.co.jp）がSQLインジェクションによる攻撃を受け、不正アクセスされた可能性があるというブログ記事を掲載した。 記事によると、あるハッカーが、SMEの日本語サイトをハックしたことをTwitterで報告し、脆弱性のあるURLとデータベース構造をネット上に公開した。このデータベースにはユーザーの個人情報は含まれていないようだが、ハッカーによるとほかにデータベースは2つあるという。 ハッカーがデータベースに不正アクセスできたかどうかは不明。万が一不正アクセスに成功された場合、データベースに悪意のあるプログラムを仕込まれ、SMEサイトを閲覧したユーザーが被害を受ける可能性もある（マイクロソフトによるSQLインジェクション攻撃の解説）。 同ブログは前日に
Sony Ericsson Got Hacked by Idahc - Lebanese hacker
Again, DAMN ... Whats Going on with Sony ?.. Idahc , A Lebanese hacker hack The database of ca.eshop.sonyericsson.com with a simple sql injection. Two attacks on Sony in one day. Today's Morning LulzSec Leak Sony's Japanese websites Database and Now Sony Ericsson's Eshop Database Hacked. Email, Password and names of 1000's of users are exposed via text file on pastebin. The news is provided by Hac
LulzSec Leak Sony's Japanese websites Database !
LulzSec Leak Sony's Japanese websites Database ! Update : 10th Attack on Sony --> Sony Ericsson Got Hacked by Idahca (Lebanese hacker Group) LulzSec Hacking team today Release the Sony's Japanese website Database dump via their Twitter Account. This is the 9th Attack on Sony. This attack is also using SQL Injection method. The vulnerable Links are: SQLi #1: https://www.sonymusic.co.jp/bv/cro-magno
第42回 PostgreSQL 9.0に見るSQLインジェクション対策 | gihyo.jp
PostgrSQL 9.0から追加されたエスケープ関数から、SQLインジェクション対策を再度解説してみたいと思います。 SQLインジェクション対策の4原則 基本的にはSQLインジェクション対策として以下の原則を守っていれば、SQLインジェクションに脆弱なアプリケーションを作ることはありません。 すべてのパラメータを文字列としてエスケープする すべてのパラメータをプリペアードクエリのパラメータとして処理する 文字エンコーディングの設定をAPIで行う パラメータとして処理できない文字列はバリデーションを行う 原則1と原則2は重複して適用する必要はありません。どちらかを行います。文字エンコーディングの設定やプリペアードクエリのエミュレーション・抽象化ライブラリのバグ等でSQLインジェクションが可能になる場合もありますが、通常であればこの原則を守っている限りSQLインジェクション脆弱性を作ることは
Mundane Life: MySQL の Prepared Statement
Sunday, April 10, 2011 MySQL の Prepared Statement けさは、SQL インジェクションを少しだけ勉強したので、それに関して、ごく私的なメモを書き残しておこうと思う。情報処理推進機構 (IPA) の 「安全なウェブサイトの作り方」 では、SQL インジェクションの脆弱性を予防するための根本的解決として、まず第一に 「SQL 文の組み立ては全てプレースホルダで実装する」(改訂第5版 p.9) と述べている。 プレースホルダーには、動的プレースホルダーと静的プレースホルダーがあって、これらについては IPA の 「安全な SQL の呼び出し方」 が詳しい。 また、最近刊行された 『体系的に学ぶ 安全な Web アプリケーションの作り方』(徳丸浩著 ソフトバンククリエイティブ ISBN978-4-7973-6119-3) にも詳しい解説が載っている。大
SQLインジェクションのコードが書かれたナンバープレート
もしこれでオービスなどの速度違反チェック機器のシステムがダウンしたら、それはオービス側の設計ミスというよりは、このギークの方が天晴れ、という気がしますね。 [See Also] Joel Johnson（いちる）
情報処理推進機構：情報セキュリティ：脆弱性対策 :「安全なSQLの呼び出し方」を公開
IPA（独立行政法人情報処理推進機構、理事長：西垣 浩司）は、ウェブサイトを狙ったSQL(*1)インジェクション攻撃(*2)が継続していることから、ウェブアプリケーション(*3)の安全な実装方法を解説した資料「安全なSQLの呼び出し方」を2010年3月18日（木）からIPAのウェブサイトで公開しました。 URL：http://www.ipa.go.jp/security/vuln/websecurity.html 近年、ウェブサイトを狙った攻撃が継続しています。攻撃の実例として、IPAが無償で公開している「SQLインジェクション検出ツールiLogScanner(*4)」で、「脆弱性対策情報データベースJVN iPedia(*5)」のアクセスログを解析した事例を図1に示します。 図1を見ると、2008年頃から急増しているSQLインジェクション攻撃が全体の45%、ウェブサーバのパスワードファイ
ボットやSQLインジェクション攻撃の発信元は中国がトップに、マカフィー調べ
マカフィーは2009年10～12月期のサイバー脅威動向を発表し、ボットやSQLインジェクション攻撃の発信元は中国がトップになったと伝えた。 マカフィーは2月15日、2009年10～12月期のサイバー脅威動向をまとめたリポートを発表した。中国が発信元となる脅威の拡大や政治目的とみられる攻撃の増加などを報告している。 コンピュータの不正操作などを狙う不正プログラム「ボット」の製造では、中国が12％を占めてトップになった。7～9月期に13％でトップだった米国が9％で2位となり、以下はブラジルとドイツが続いた。スパム生成元では米国、ブラジル、インドの順だった。 SQLインジェクション攻撃は中国が全体の54％を占めた。特にAdobeのFlashやAcrobatなどの脆弱性を悪用しようと、クライアントを標的にした攻撃が多数観測されたという。悪質なコンテンツのホスト地域では、北米がトップになり、2位は欧
Unu's blog » Blog Archive » Symantec exposed passwords,serials… SQL Injection, full database access
“Symantec was founded in 1982 by visionary computer scientists. The company has evolved to become one of the world’s largest software companies with more than 17,500 employees in more than 40 countries.Symantec helps consumers and organizations secure and manage their information-driven world. Our software and services protect against more risks at more points, more completely and efficiently, ena
Symantecの日韓ユーザー向けサイトに不正アクセス、情報漏えいはなし
Symantecは同社サイトに不正アクセスがあったことを確認した。調査中だが、情報漏えいなどの可能性はないとしている。 「Unu」を名乗るルーマニアのハッカーが米Symantecのサイトに不正アクセスしたという事件について、Symantecは攻撃の事実を確認したことを明らかにした。状況を調査しているという。 同社によると、不正アクセスがあったのは日本と韓国のNortonユーザー向けにサポートを提供しているWebサイト。同サイトにSQLインジェクションの脆弱性があり、脆弱性を突かれてデータベースへ不正に侵入された。 データベースにはユーザーの氏名やクレジットカード情報などが保管されていたが、データはすべて暗号化されており、外部への漏えいや悪用された事実はないという。Unuはブログで、パスワードなどデータはプレーンテキストのままだったと主張しているが、Symantecはこれを否定した。 Sym
Symantecサイトに攻撃、日本のサーバが被害に？
ルーマニアのハッカーがアクセスしたと公言しているSymantecのサーバは、日本での技術サポート用サーバのようだという。 米SymantecのWebサイトがSQLインジェクション攻撃を仕掛けられてハッキングされた模様だと、競合するセキュリティ企業のTrend Microがブログで伝えた。 Symantecのサイト攻撃は「Unu」を名乗るルーマニアのハッカーがブログで公言したもので、Trend Microによれば、ハッキングされたのはPC-Doctor社の「Norton PC Expert」を通じた日本での技術サポートに使われているサーバのようだという。 Unuはブログの中で、Symantecストアのデータベースに記録された個人情報やプロダクトキーなどの情報にアクセスすることができたと主張。しかもそこに保存されたユーザーや従業員のパスワードは暗号化されておらず、プレーンテキストのままだったと
シマンテックのウェブサイト、ブラインドSQLインジェクション攻撃の被害に
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 米国時間11月23日、「unu123456」と名乗るルーマニア人研究者がブログで明らかにしたところによると、同氏はブラインドSQLインジェクション攻撃によってSymantecのサーバに侵入し、データベースからパスワードなどの顧客情報を盗み出すことに成功したという。ZDNet.co.ukによると、これについてSymantecも24日に被害を認め、「pcd.symantec.comにSQLインジェクションに対する脆弱性があることが分かった」と述べている。同社によれば、被害を受けたのは日本および韓国のNorton製品ユーザーのサポートに利用されるウェブサイトという。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ダウンロード販売代行サイトに不正アクセス、18,832件の顧客情報が流出（エクスチェンジ） | ScanNetSecurity
「注意喚起」の記事 | セキュリティ対策のラック
Android Malware Eavesdrops on Users, Uses Google+ as Disguise