「ＬＩＮＥ乗っ取り詐欺」新手口は中国から直接脅迫電話 | 東スポWEB
ＬＩＮＥ乗っ取り詐欺に新しいバージョンが出てきた。これまで多くの人がだまされた乗っ取りは（１）不正ログインしたＩＤで知人になりすます（２）「大至急、コンビニで電子マネーのプリペイドカード５万円を買って」などとメッセージを送る（３）購入させたカードのコードの写真をメッセージで送らせ、電子マネーの金額をだまし取る――という手口だ。 だが、この手口があまりに広がりすぎたため、だまされる人は減少。そこで出てきた新バージョンのＬＩＮＥ乗っ取り詐欺の手口はこうだ。犯人が不正ログインしたＩＤで知人になりすまし「アプリが開けないんだけど、代わりに開いてみてくれる？」というメッセージを送ってくる。メッセージにはＵＲＬが添付されており、アクセスしてしまうと、即座にアドレス帳、画像などのスマホデータがすべて盗まれてしまうというもの。 さらに悪質なのがＵＲＬにアクセスしてしまった被害者のスマホに登録された電話番号
2 段階認証は本当に安全なのか調べてみた | はったりエンジニアの備忘録
このブログを読んでいる人なら Google や AWS の 2 段階認証（マルチファクタ認証）を有効にしていると思います。もしパスワードが漏れてしまってもワンタイムパスワードを入力しないと認証されないので安心です。 有名どころのサービスでは使えるところが増えてきましたが、2 段階認証を有効にしていれば万全なのでしょうか。エンジニアである以上、その仕組みを理解したうえで自信を持って安全と言いたいところ。 というわけで、2 段階認証は本当に安全なのか仕様を紐解きながら調べてみました。 ワンタイムパスワードの仕様 ワンタイムパスワードを生成する仕様は HOTP と TOTP の 2 つがあり、RFC の仕様になっています（TOTP はドラフト段階）。 HOTP (HMAC-Based One-Time Password Algorithm) TOTP (Time-Based One-Time P
漏洩が問題なのではない、名寄せが問題なのである - 第3回プライバシーフリークカフェ（前編） (1/7)：テクノロジーでビジネスを加速するための実践Webメディア EnterpriseZine (EZ)
ベネッセ事件の功 ―名簿屋問題を考える 山本 はい、ということで第3回プライバシーフリークカフェ開催いたします。よろしくお願いします。今回も、この3人、新潟大学の鈴木先生と、技術者の高木浩光先生、そして私、山本一郎でお送りしたいと思います。 さて、今月先月もいろんなことがありました。その中でも一番冴えたものは、ベネッセ事件がだいぶ続報が報じられて状況がわかるようになってきたかなあ、と。 高木 ちょうど前回、第2回の次の週に報じられましたか、ベネッセ事件は。 山本 はい。突然、ベネッセ大爆発という非常に素敵な話が出ましたけども、実際、事件の概要そのものはもうかなり報じられてきています。 高木 なんか今日も、ドコモの記者会見がさっき4時からあったそうで… 山本 ええ。法人のデータが、1,100人分くらい出ましたっていう話で終わるのかどうかっていうのが非常に微妙なところかと思うんですけれども、出
どこからアクセスしているかを隠して匿名化できるブラウザ「Tor Browser」
インターネットにつながるあらゆる機器を識別するために割り振られるのがIPアドレスですが、これを匿名化することでユーザーがどこからアクセスしてきているのかを隠してしまうのが「Tor Browser」です。「一度は聞いたことがあるけどなんだかめんどくさそうなのでちょっと……」という人も多いかと思いますが、実際のところはWindows・Mac・LinuxのどのPCからでも気軽にインストールして使用することができます。 Tor Browser 4.0 https://blog.torproject.org/blog/tor-browser-40-released 「Tor Browser」はココからダウンロード可能です。 「ファイルを保存」をクリック。 ダウンロードした「torbrowser-install-4.0_en-US.exe」をダブルクリックで起動。 「実行」をクリック。 インストーラー
「リスト型攻撃」が止まらない
国内企業のWebサイトを狙った「リスト型攻撃（パスワードリスト攻撃、リスト型アカウントハッキング）」が止まらない（関連記事：JALが最大75万件の顧客情報漏洩 ドコモ、佐川、ヤマト、JR東も攻撃受ける）。 リスト型攻撃とは、別のWebサイトなどから入手したユーザーIDとパスワードのリストを使って不正ログインを試行する攻撃手法。これだけ頻発しているところをみると、国内企業を対象とした攻撃手法が“確立”していると考えられる。同様の攻撃は今後も続くだろう。 リスト型攻撃が“成功”するのは、パスワードを使い回しているユーザーが多数いるためにほかならない。このため、「リスト型攻撃を受けたWebサイトは被害者。悪いのは、パスワード管理が不十分なユーザー」といった言われ方をされることが少なくない。 ただ、そうとばかりは言い切れないだろう。ユーザーにとってパスワード管理は苦痛以外の何物でもない。Webサイ
USBに設計上の致命的な脆弱性が発見され、そのコードが公開される
PCの接続端子として不動の地位を確立したUSBに設計上の致命的な脆弱性が見つかり、この脆弱性を突くハッキング手法「BadUSB」が2014年8月に開催された開発者会議Black Hat 2014 USAで発表されていました。BadUSBについて公表した技術者は有効な対策のない脆弱性の危険性を勘案してコードを公開しませんでしたが、DerbyCon 4.0の講演でBadUSBのコードが別の技術者によって公開されてしまいました。 SRLabs-BadUSB-BlackHat-v1.pdf (PDFファイル)https://srlabs.de/blog/wp-content/uploads/2014/07/SRLabs-BadUSB-BlackHat-v1.pdf The Unpatchable Malware That Infects USBs Is Now on the Loose | WIR
bashにコードインジェクションの脆弱性「Shellshock」、管理者に大きなショック
bashにコードインジェクションの脆弱性「Shellshock」、管理者に大きなショック：影響範囲はどこまで？ UNIX系OSのシェル「bash」に極めて深刻な脆弱（ぜいじゃく）性が発見された。すでにこの脆弱性をスキャンする通信を観測したという報告もあり、修正パッチの適用や継続的な情報収集が望まれる。 米国時間の2014年9月24日、LinuxやMac OS XなどのUNIX系OSで使われているシェル「bash（Bourne Again Shell）」に、極めて深刻な脆弱性（CVE-2014-6271）が発見された。シェルの環境変数として外部入力を受け入れる設定となっている環境では、最悪の場合、リモートから任意のコマンドを実行される恐れがある。bashの配布元であるGNU Projectやパッケージ配布を行っている各Linuxディストリビューションがパッチを公開済みで、速やかに適用するよう
ヤマト運輸の「クロネコメンバーズ」で不正アクセス--1万件の個人情報閲覧か
ヤマト運輸は9月26日、同社が個人を対象とした会員制サービス「クロネコメンバーズ」のウェブサービスについて、外部からの不正ログインがあったことを発表。一部の会員の個人情報が閲覧された可能性があるとしている。 経緯として、9月25日に特定のIPアドレスからの不正なログインを確認。緊急措置として、該当するIPアドレスからのログインを遮断するなどの対策を講じたという。確認された不正ログイン件数は26日17時時点で1万589件。また不正ログイン試行件数は約19万件だとしている。閲覧された可能性のある会員情報はクロネコID、メールアドレス、利用の端末種別（パソコンまたは携帯・スマートフォン）、氏名、氏名のふりがな、電話番号、性別、郵便番号、住所。なおクロネコメンバーズ会員のうち、メールアドレスを登録していない会員は、今回の事象による被害の可能性はないという。 同社では調査の結果、不正なログインに使用
【実録】死闘74分！ 今度こそマジのマジで念願だった「LINE乗っ取り」と戦えた!! ジラしにジラして寝技に持ち込み相手はブチギレ爆発TKO
» 【実録】死闘74分！ 今度こそマジのマジで念願だった「LINE乗っ取り」と戦えた!! ジラしにジラして寝技に持ち込み相手はブチギレ爆発TKO 特集 【実録】死闘74分！ 今度こそマジのマジで念願だった「LINE乗っ取り」と戦えた!! ジラしにジラして寝技に持ち込み相手はブチギレ爆発TKO GO羽鳥 2014年9月18日 これまで「LINE乗っ取り」との遭遇は二度あった。一度目は単なる “LINE乗っ取りのフリをした同僚” で、二度目は “戦おうと思ったら屍（しかばね）” だった。その度に、私は「なぜ戦えないのか」と涙していた。 しかし最後の涙から三日後、「三度目の正直」ともいうべき奇跡のメッセージがLINEに届く。そして私は……戦った。LINE乗っ取り用に考案した究極奥義『JIRASHI（じらし）』も、フルパワーで火を吹いた！ お互いの意地と意地がぶつかりあった死闘激闘74分、あますこ
パスワード定期的変更の効能について徳丸さんに聞いてみた
高橋: こんにちは、高橋です。今日は徳丸さんをお招きして、今話題のパスワードの定期的変更について、本当のところ効果がないのか、その効能についてご説明いただきます。徳丸さん、よろしくお願いします。 徳丸: 徳丸です。いつもはパスワードの定期的変更にはあまり意味がないと主張していますが、今日はパスワードの定期的変更を擁護する立場なんですね。面白そうです。よろしくお願いします。 高橋: まず問題の整理についてです。IPAより9月3日に『「ID・パスワードのセキュリティ対策促進に関する広告等業務」 係る企画競争 』の仕様書(PDF)が公開されました。その仕様書中の行動喚起を促す対策事例の一つに「ID・パスワードは定期的に変更する」 があったので、セキュリティクラスタが騒ぎ出し、その結果かどうかは分かりませんが、9月9日に同仕様書が改定され、パスワードの定期的変更は対策例から削除されました。一連の議
ヌード写真大量流出の原因判明！iCloudのハッキングは「iPhoneを探す」の脆弱性を狙ったブルートフォースアタック | 男子ハック
「iPhoneを探す」の脆弱性をついたブルートフォースアタック現在では既にこの脆弱性はパッチがあてられ悪用することはできなくなっていますが、今回のヌード写真などが大量流出した騒動はiCloudの「iPhoneを探す」という機能の脆弱性をついたものだったことが判明したそうです。 この脆弱性を悪用するツールはGithub上に2日前に公開されていたようで、Appleが気がついてパッチを適用したのか、偶然だったのか、Appleからのコメントはいまだされていません。 「iPhoneを探す」機能ではパスワードを複数回間違えてもロックアウトされることもなく、繰り返し施行することができるということを利用したブルートフォースアタックだったようです。現在は複数回間違えるとロックアウトされるようになっています。 iCloudのセキュリティ対策には、簡単なパスワードではなく複雑で強力なパスワードを設定。そしてAp
iCloudがハッキングされて米女優のヌード写真などが大量流出 | 男子ハック
@JUNP_Nです。Appleが提供する「iCloud」というクラウドサービスがハッキングされ、人気のある歌手アリアナ・グランデさんや、アカデミー賞女優ジェニファー・ローレンスさんのヌード写真などが大量に流出。英語圏で利用されている画像掲示板「4chan」上へ投稿されてしまったそうです。 iCloudのセキュリティ設定や自動同期内容は要チェック！左：ジェニファー・ローレンス、右：アリアナ・グランデ今回のiCloudのハッキングについてAppleからのコメントはなく、iCloudがハッキングされたのかパスワードとIDが流出してしまったのかは不明。 ですがジェニファー・ローレンスさんの代理人が流出した写真は本人のものであると確認もしているそうなので、流出してしまったことは紛れもない事実のようです。 少し検索すれば流出してしまった写真は簡単に見つけることができてしまうほど広く拡散されてしまってい
Androidアプリの多くにSSLセキュリティ脆弱性 - MITM攻撃が可能な状態
FireEyeは8月20日(米国時間)、「SSL Vulnerabilities: Who listens when Android applications talk?｜FireEye Blog」において、人気のあるAndroidアプリ1,000個に関して調査を実施したところ、そのうち約68%にSSL関連の何らかのセキュリティ脆弱性が存在していたと伝えた。これらセキュリティ脆弱性を利用されるとMan-in-the-Middle攻撃(MITM)を受ける危険性があるとされている。 アプリの中には機能や利便性を優先させるためにホスト名のチェックを無効にしているものがあったりSSL関連のエラーを無視しているものがあったと説明がある。Man-in-the-Middle攻撃を受けると、攻撃者は通信内容を傍受することができるほか、接続先をほかのサイトへ変更するといったことができる。 記事ではこうした問
患者450万人の個人情報流出、発端はOpenSSLの脆弱性だった
米病院チェーンから患者450万人の個人情報が流出した事件は、4月に発覚したOpenSSLの重大な脆弱性を突く攻撃でネットワークに侵入されていたことが分かった。 米病院チェーンのCommunity Health Systems（CHS）社から患者約450万人の個人情報が流出した問題で、米セキュリティ企業TrustedSecは8月19日、4月に発覚した「Heartbleed」と呼ばれるOpenSSLの重大な脆弱性を突く攻撃が、流出の発端だったことが分かったと伝えた。 CHSのネットワークは4～6月にかけて外部から攻撃され、系列の医療機関を受診した患者約450万人の氏名や住所、社会保障番号などが流出したとされる。TrustedSecは、この問題に関する調査に詳しい関係者から情報を入手したという。 それによると、攻撃者はHeartbleedの脆弱性を突いてCHSのJuniper製デバイスのメモリか
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Windowsに新たなゼロデイ脆弱性、PowerPoint悪用の標的型攻撃も既に発生 
送金ウイルス、制圧せよ 「最強種」に警察、国際包囲網：朝日新聞デジタル
Black Markets for Hackers Are Increasingly Sophisticated, Specialized, and Maturing
- Elevate Community | Juniper Networks
Hackonomics: 'Cyber Black Market' more profitable than illegal drug trade
1万7000台を超えるMacがマルウェア「iWorm」に感染、感染源は不明～掲示板「reddit」からの命令を待っている 