NauNau利用者の位置情報が外部から閲覧可能となっていた問題についてまとめてみた - piyolog
2023年12月7日、Suishowは、同社が運営する位置情報共有アプリ「NauNau」より一時230万人分以上の位置情報やチャット履歴が閲覧可能となっていたとの報道を受け調査を行った結果を公表しました。ここでは関連する情報をまとめます。 230万人のNauNau利用者の位置情報などが一時閲覧可能と報道 www3.nhk.or.jp 位置情報共有アプリ「NauNau」の問題が広く公になったのはNHKの2023年10月21日報道が発端。NHKの報道では大まかに次の４点が取り上げられていた。 NauNauはサービス開始の時点からセキュリティの対策が十分ではなかった。そのため閲覧をしようとする者に「一定のITの知識」があれば少なくとも230万人分のアプリ利用者の位置情報、チャット履歴が外部から閲覧可能な状態になっていた。 NauNauの開発元であるSuishowは、2022年12月以降複数回にわ
財務省が衝撃の回答。“本名バレ”不可避でもインボイス制度を導入する「本当の理由」 | 集英社オンライン | ニュースを本気で噛み砕け
宇都宮健児氏らが財務省に申し入れ 前回記事、「氏名、住所も全世界に公開！ インボイス制度導入で「あの漫画家の本名がバレる」は、やはり本当だった」では、インボイスによってペンネーム・芸名で活動するクリエーターの本名や住所がバレる仕組みを詳しく解説した。 今回は、なぜそのような制度設計になっているのかを解説していく。答えを先にお伝えすると、「個人のプライバシーよりも大企業の利便性を優先したから」。ただ、それだけである。 この事実が明らかになったのは、2022年8月8日の公平な税制を求める市民連絡会（共同代表は弁護士の宇都宮健児氏以降は「市民連絡会」と表記）による財務省申し入れにおいて。市民連絡会はインボイス制度の拙速な導入に反対し、政府（岸田総理、鈴木財務大臣 宛）に反対声明と6項目からなる質問書を提出。今回の本題である”本名バレ”は質問書の6点目に含まれている。 ① 物価高とコロナ禍が同時進
高木浩光さんに訊く、個人データ保護の真髄 ——いま解き明かされる半世紀の経緯と混乱
（語り手）JILIS副理事長 高木 浩光 （聞き手）JILIS出版部 編集長 小泉 真由子 （撮影）宇壽山 貴久子 この1年、過去の海外文献を調査していたという高木浩光さん。これまでの研究の一部は情報法制レポート創刊号の特集として掲載されましたが、高木さんに言わせると「あれはまだ序の口」とのこと。本日お伺いする内容は近々高木さん自身が論文にされる予定とのことですが、まだ時間がかかりそうということで、急ぎ、インタビューとしてお話しいただくことになりました。なお、このインタビューは大変長くなっております。ぜひ、最後までお付き合いいただければと思いますが、時間のない方は、目次を参照していただき、気になるトピックからお読みください。 —— 今日は、高木さんがどうしても今すぐみなさんに伝えたいことがあるとのことで、インタビューでお話を聞くことになりました。 高木： はい、よろしくお願いします。話はと
Smoozサービス終了に寄せて
202012_smooz.md Smoozサービス終了に寄せて 前置き この文章と、それに含まれる考察や各サービスへの脆弱性報告などはmala個人の活動であり、所属している企業とは関係ありません。 一方で私は、企業が閲覧履歴を収集して何をしたいのか、所属してる企業や他社事例について、ある程度詳しい当事者でもあります。 一般論として書けることは書けるが、(業務上知り得た知識で開示されてないものなど)個別具体的なことは書けないこともあり、また観測範囲に偏りがある可能性もあります。 Smoozに報告した脆弱性2件 最近、Smoozというスマホ向けのブラウザアプリに2件脆弱性の報告をした。 この記事を書いている時点で、Smoozの配布が停止されていて、修正バージョンの入手が出来ない。 2件目についてはまだ返事が来ていない。 脆弱性情報の開示にあたって特段の許可は得ていないが、開発元からも利用停止す
続・続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している
この記事は過去2回にわたる検証記事の続きとなります。 国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している 続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している 前回の記事では、おすすめ記事機能を有効にしていると、Smoozがユーザーの閲覧しているURL情報を送信してしまうことについて解説しました。 ユーザーID、URLと共に送信されているbc、bt、bdという項目の内容がわからないままでしたが、これもユーザーの情報であるはずだと思い、調査を続けてきました。 ▼これがおすすめ記事のために送信される内容 （この内容は記事の最後にテキスト情報としても掲載しておきます） URL情報に関連するもので 『c、t、d』 と呼ばれそうなものは何か。 ・cのデータ量は飛び抜けて多い ・cとdは一致が見られることがある ・一部が一致しながらもcのほうが長かったりもする
「ログを一切取らない」と謳っていたVPNサービスから、2000万件を超える個人情報が流出した件 - 悪霊にさいなまれる世界 -The Demon-Haunted World
完全に笑い話。 www.hackread.comwww.privateinternetaccess.com 香港を拠点とする"UFO VPN"なるサービス、この手のVPNではよくある「No Log Policy」（ログは一切取らない）を掲げてたにもかかわらず、ログどころかユーザ名・平文パスワード・IPアドレス・接続先・タイムスタンプ諸々が保存されていて、これが流出した。 しかも、発覚したきっかけは、VPNMenterと言う調査サービスがElasticsearchクラスタに894GBのデータベースがパスワード無しで保存されていたのを発見したこと、というアボガドバナナかと案件。 ほかにも"FAST VPN", "FREE VPN", "Super VPN", "Flash VPN", "Rabbit VPN"と言うサービスのデータも含まれていたが、どうやらサービスの名前だけ違って全て同じアプリ
ウェブ決済システム「Stripe」はウェブサイト上のユーザーの動き全てを記録してStripeに送信している
ウェブ決済システム「Stripe」はアプリやプログラムにソースコードを貼り付けるだけで決済システムが導入できるとして、多くの企業や開発者が利用しています。決済システムにとってセキュリティは最重要事項といえますが、ソフトウェアエンジニアのマイケル・リンチさんがStripeを利用したところ、Stripeの公式JavaScriptライブラリ(Stripe.js)がウェブサイト上のユーザーの行動すべてを記録しStripeのサーバーに秘密裏に送信していたことが発見しました。 Stripe is Silently Recording Your Movements On its Customers' Websites · mtlynch.io https://mtlynch.io/stripe-recording-its-customers/ Stripe.jsが記録しStripeに送信していたデータは
オプトアウト方法及び法令遵守について - Treasure Data
昨日（3月25日）より当社サービスのオプトアウトや法令遵守についてのご意見がインターネット上で交わされております。また当社へ直接のお問い合わせも頂戴しております。本件を受けまして、当社サービスのオプトアウト方法及び法令遵守に向けた対応についてご説明させていただきます。 （１）Arm Treasure Dataのサービス概要 当社ではカスタマーデータプラットフォーム（CDP）と呼ばれる、データベース基盤のサービス提供を行っております。CDP内に保管されるパーソナルデータは当社の顧客企業が管理・保有するデータであり、広告配信等のマーケティング活動、CRM施策等は各企業の裁量により行われます。技術サポートやシステム運用等、当社サービスの運営上最低限必要な統計情報やログへのアクセスを除き、当社顧客が収集したデータを当社が使用することはなく、当社によるデータ利用は厳しく制限しています。 （２）オプト
牧歌的 Cookie の終焉 | blog.jxck.io
Intro Cookie は、ブラウザに一度保存すれば、次からその値を自動的に送ってくるという、非常に都合の良い仕様から始まった。 State Less が基本だった Web にセッションの概念をもたらし、今ではこれが無ければ実現できないユースケースの方が多い。 冷静に考えればふざけてるとして思えないヘッダ名からもわかるように、当初はこのヘッダがこんなに重宝され、 Web のあり方を変えるかもしれないくらい重要な議論を巻き起こすことになるとは、最初の実装者も思ってなかっただろう。 そんな Cookie が今どう使われ、 3rd Party Cookie (3rdPC) の何が問題になっているのかを踏まえ、これからどうなっていくのかについて考える。 Cookie のユースケース Web にある API の中でも Cookie はいくつかの点で特異な挙動をする 一度保存すれば、次から自動で送る
ワコムのペンタブ用ドライバーがPC上で起動したすべてのアプリの名前を収集しているという報告
by stevepb ペンタブレットやCAD関連製品を中心としたPCの周辺機器メーカーであるワコムのタブレット用ドライバーが、PC上で起動したアプリケーションの名前をGoogleアナリティクスに送信していたことが判明しました。この事実を解明したセキュリティエンジニアのロバート・ヒートン氏が、どうやってワコムのドライバーのトラフィックをチェックしたのかをブログで解説しています。 Wacom drawing tablets track the name of every application that you open | Robert Heaton https://robertheaton.com/2020/02/05/wacom-drawing-tablets-track-name-of-every-application-you-open/ ヒートン氏はブログ用のイラストを投稿するため
Chrome 80が密かに呼び寄せる地獄 ～ SameSite属性のデフォルト変更を調べてみた - Qiita
Chrome 79以下や他ブラウザのデフォルト値。 Chrome 80からこの値を設定する場合、Secure属性も必須となる。 Aサイトに対し、Bサイトからどのようなリクエストがあっても、発行したサイトでCookieヘッダーに含める (Cookieを使用する) 図にすると以下のようになります。 Strict 外部サイトからのアクセスではCookieを送らない。 Lax 外部サイトからのアクセスはGETリクエストのときだけCookieを送る。 None 従来通りの動き。 【追記】なおChrome 80以降でSecure属性を付けずSameSite=Noneを指定した場合、set-cookie自体が無効になります。 セキュリティ上の効果 CSRF対策になります。 CSRF (クロスサイト・リクエスト・フォージェリ) とは、 WEBサイトがユーザー本人の意図した動作であることを検証していないため
やっぱりNTT東日本の「個人PC等点検」はやっちゃダメだと思う - miyalog
先日、NTT東日本グループが従業員に対し、個人所有のPC等に会社指定の検閲ソフトを導入させてプライベートなデータの検査や、会社が指定したソフトウェアを利用できないようシステムに細工するセキュリティ向上施策を実施していたことが明らかになりSNSで話題になりました。 ntt-workers.net (16.11.18 N関労東 秋闘要求書を提出 の項) さらにその後、ITmedia が取材を行ない、同社は内容を否定しました。 nlab.itmedia.co.jp しかし上記の記事には「いや、やっぱり検閲してんじゃん」、「(SNSで言われていたことは)だいたいあってる」などと多くのコメントが多く寄せられている通り、なにが「事実と異なる」のかいまいち見えません。そこで本エントリでは同社の社員に配布された資料や労働組合の提言を参考に何が行われているのか、さらにいくつかの判例を参考にそれは問題ではない
リクナビ問題の本質を山本一郎氏・高木浩光氏らが斬る 内定辞退予測を始めた背景に「得意先からの頼み」「個人情報理解の甘さ」
リクナビ問題の本質を山本一郎氏・高木浩光氏らが斬る 内定辞退予測を始めた背景に「得意先からの頼み」「個人情報理解の甘さ」（1/3 ページ） 「リクルートキャリアが内定辞退率の提供を始めた理由は、リクルートグループのセミナー事業に大規模な資金提供をしている企業から頼まれたからだ。（競合の）マイナビがエントリーシートを分析して内定辞退率を算出するサービスを先に始めていたこともあり、断りづらく、強いプレッシャーがあったのだろう」――。 就職情報サイト「リクナビ」を運営するリクルートキャリアが、学生の同意を得ないまま内定辞退率の予測データを顧客企業に販売していた問題を巡って、情報法制研究所（JILIS）は9月9日、問題が起きた要因などを議論するセミナーを開催した。同所の上席研究員でブロガー・投資家の山本一郎氏が登壇し、これまで得た情報を基に、問題が起きた背景をこう説明した。 セミナーには山本氏の他
アメリカ国籍を持つAppleの技術者が「スマートフォンやPCのロックを解除しろ」とアメリカ入国時に求められる
Mozillaの元最高技術責任者(CTO)であり、記事作成時点ではAppleに勤めているAndreas Gal氏が、サンフランシスコ国際空港でアメリカ合衆国税関・国境警備局(CBP)に足止めされ、機密情報の入ったApple支給のiPhone XSおよびMacBook Proのロックを解除するように求められたと述べています。 No one should have to travel in fear – Andreas Gal – Medium https://medium.com/@andreasgal/no-one-should-have-to-travel-in-fear-b2bff4c460e5 Ex-Mozilla CTO: US border cops demanded I unlock my phone, laptop at SF airport – and I'm an Ame
位置情報を個人情報として取り扱わなくていいのか
ここ数日、位置情報関連のニュースが日経新聞に掲載されています。 位置情報で日常「捕捉」、ジャパンタクシーに行政指導 :日本経済新聞 （データの世紀）匿名情報 半日で個人特定 位置データ流通に危うさ :日本経済新聞 10時間で本人特定、スマホ位置から出張・実家も筒抜け :日本経済新聞 これらの記事の中で少し気になったのが以下の文言です。 位置情報そのものは日本の個人情報保護法が定める「個人情報」に当たらない。このため現状は持ち主の同意なく企業間で共有することが可能だ。 出典：日本経済新聞 本当にそうだっけ？と思っていろいろ文献を調べてみました。なお、ここでいう「本当にそうだっけ？」というのは、 個人情報にあたらないと言い切ってしまっていいのか 個人情報にあたらなかったとしても、本人同意なく企業間で共有していいのか という問題意識です。 【目次】 １．位置情報の種類 １．１．基地局に係る位置情
TikTokに約6.3億円の罰金。キッズのデータを違法収集
TikTokに約6.3億円の罰金。キッズのデータを違法収集2019.02.28 16:0015,584 Bryan Menegus - Gizmodo US ［原文］ （ 岡本玄介 ） しかも、大人が気軽にメッセージを送られるようにしていたのです。 十代を中心に人気の15秒リップシンク動画アプリTikTokも、そのTikTokが買収したMusical.lyも、過去にはユーザーの同意を得ることにあまり気を配らないでいました。そしてユーザーが若者であるがために、現在TikTokは子供のオンライン・プライバシーを侵害したとして、最大の民事罰を受けています。 親の同意を求めていなかった2000年にアメリカで施工された、児童オンラインプライバシー保護法であるCOPPA（Children's Online Privacy Protection Act）は、13歳未満のユーザーから個人情報収集のためには
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
iOS 14でバッチリ可視化、TikTokがテキスト入力中に、クリップボードを逐一読み取る様子【やじうまWatch】
https://jp.techcrunch.com/2020/01/13/2020-01-10-medical-images-exposed-pacs/
フォースクエアは、いまも「あなたの位置情報」を握っている
Engadget | Technology News & Reviews
