あらおじ @ojigunma すごい タリーズの原因発見してる人いる 確かにナンカある slick.min.js という画像をスライドするファイルの中に 難読化された悪意のあるコードが追記されてるっぽい 難読化は４段階ぐらいされてるらしい これブラウザとかセキュリティソフトで気づくのは無理なんだろか。。。 x.com/motikan2010/st… Niishi Kubo | GitLab,Limeboard @n11sh1_ クレカ情報漏洩の件、技術的な原因特定はこの投稿が一番分かりやすかった。 slick.min.js（画像切り替えのライブラリ）を改ざんされてマルウェアが仕込まれて、クレカ情報はサーバーに送信される前にフロントエンドから外部に送信されていたらしい。Content-Security-Policy がレスポンスヘッダーにきちんと設定されていれば悪意あるドメインに対しての通信

読売新聞は、「サポートを装った怪しい警告にご注意を」との記事を7月19日に掲載しました。 これは読売新聞オンラインによく表示されるとSNSで話題となっている「サポート詐欺」と呼ばれる類型の詐欺をめぐる対応。 （速報）読売新聞のサイトを見ていたらこれが出た。サイトを見ていただけでボタン等は押していません。これが出た当初はフルスクリーンでないですが、サイト内をクリック等すると、フルスクリーンになります。 pic.twitter.com/7yL8puRFcN — 徳丸 浩 (@ockeghem) July 18, 2024 具体的には、ファイアウォール更新・スパイウェア感染などの虚偽の警告が表示され、サポートセンターを装った詐欺の窓口に誘導されるという悪質な手口です。クリックを伴わずとも突然、このような警告画面が表示されるそうです。おそらく広告のJavaScriptを悪用して詐欺を行っている業者

マクドナルド公式アプリのモバイルオーダー経由でクレジットカードが不正利用された話 やられました。一応，全容がわかってきたので記録として残しておきます。 クレジットカードの不正利用されてしまった【マックデリバリーでセゾンアメックスが被害に】｜モチのブラックカードが欲しい！ かなりの部分は上記の方と類似していましたので，こちらもご参照ください。 セゾンポータルアプリへの通知で気付く 最初に気付いたのは，セゾンポータルアプリへの通知でした。 この時点では「ショッピング利用」としかわからなかったので，身に覚えがなく不審には思いましたが，まだ不正利用を確信できませんでした。 続いてクレディセゾンモニタリング担当からSMSが セゾンポータルアプリへの通知とほぼ同じタイミングで，クレディセゾンからSMSが届きました。 上記，ものすごくフィッシングっぽいですが，「0366883248」からのSMSは本物で

注釈：追記すべき情報がある場合には、その都度このページを更新する予定です。 概要 近年、インターネット境界に設置された装置の脆弱性の悪用を伴うネットワーク貫通型攻撃が脅威となっています。IPA は、昨年8月に公開した「インターネット境界に設置された装置に対するサイバー攻撃について ～ネットワーク貫通型攻撃に注意しましょう～」脚注1、今年4月に公開した「アタックサーフェスの Operational Relay Box 化を伴うネットワーク貫通型攻撃について ～Adobe ColdFusion の脆弱性（CVE-2023-29300）を狙う攻撃～」脚注2 で注意を呼び掛けています。 そのような中、IPA では、The PHP Group が提供する PHP の脆弱性 (CVE-2024-4577) を悪用した攻撃による被害を確認しています。具体的には、国内の複数組織においてこの脆弱性が悪用され

個人的に「Webサービスの公開前チェックリスト」を作っていたのですが、けっこう育ってきたので公開します。このリストは、過去に自分がミスしたときや、情報収集する中で「明日は我が身…」と思ったときなどに個人的にメモしてきたものをまとめた内容になります。 セキュリティ 認証に関わるCookieの属性 HttpOnly属性が設定されていること XSSの緩和策 SameSite属性がLaxもしくはStrictになっていること 主にCSRF対策のため。Laxの場合、GETリクエストで更新処理を行っているエンドポイントがないか合わせて確認 Secure属性が設定されていること HTTPS通信でのみCookieが送られるように Domain属性が適切に設定されていること サブドメインにもCookieが送られる設定の場合、他のサブドメインのサイトに脆弱性があるとそこからインシデントに繋がるリスクを理解してお

瀬之本久史 @senomotomb 自分メモ 【迷惑メールが来たら、meiwaku@dekyo.or.jp. のアドレスに転送して、本文の文中に受信月日・迷惑メール送信者のアドレスを書いておくと総務省が行政処分してくれる】 あとで試してみよう。

SPAのアプリケーションで、外部のIdPを使ってOpenID Connect によるログイン機能を開発しようと考えています。IDトークンの保存先として、ブラウザのCookieかサーバーのDBに保存するかの2つの案があると思っています。調べた限り、サーバーサイドで持つべきという意見が多いように見えますが、以下のような背景がある中で開発しても、ブラウザのCookieでは持つべきなのではないのでしょうか？ - IDトークン自体にも、個人の属性（氏名等）情報は無いことを確認している - サーバーサイドでIDトークンの署名検証をして、IDトークンの改ざんが無いか確認する - Http Only属性：JSによるCookieへのアクセスを防ぐため - Secure属性：流出防止のため - SameSite=strict：CSRF対策のため 結論から言えば、「どちらでもよい」となります。しかし、恐らく話は

すまほん!! @sm_hn これ日本における「マイナンバーカードによる『SIMハイジャック』発生事案」なので注目すべき。政府は原則読み取り必須にすべし。 x.com/setagaya_k/sta… 風間ゆたか 東京都議会議員 立憲民主党 世田谷区選出 @setagaya_k 昨日昼頃、スマホにPayPay通知が表示され「1000円チャージしました」と。自動チャージ設定？なんだろうとアプリを確認してもよくわからず放置。（この時にPayPayに確認すべきだった！）午後にメールチェックをしていると画像のようなメールが突然届き、これはおかしい、とパスワード再設定しようと... pic.twitter.com/z81IF167aP x.com/setagaya_k/sta… 風間ゆたか 東京都議会議員 立憲民主党 世田谷区選出 @setagaya_k 携帯電話乗っ取られました。すぐに気づいてソフトバ

ゴールデンウィークのはじめ（4月29日）に投稿された以下のツイートですが、5月7日20時において、1,938.8万件の表示ということで、非常に注目されていることが分かります。 我が名はアシタカ！スタバのFreeWi-Fiを使いながら会社の機密情報を扱う仕事をしてたら全部抜かれた。どうすればよい！ pic.twitter.com/e26L1Bj32Z — スタバでMacを開くエンジニア (@MacopeninSUTABA) April 29, 2023 これに対して、私は以下のようにツイートしましたが、 これ入社試験の問題にしようかな。『スタバのFreeWi-Fiを使いながら会社の機密情報を扱う仕事をしてたら全部抜かれた』と言う事象に至る現実的にありえる脅威を説明せよ。結構難しいと思いますよ。 https://t.co/LH21zphCTV — 徳丸 浩 (@ockeghem) April

な @sssxohn [表示圏外]の通知でドン・キホーテ梅田から電話があり、父親名義のクレジットカードで買い物をしようとしている中国人がいて怪しく思い本人確認したところ住所とこの電話番号を言われたが生年月日が言えなかったので念の為確認の電話をしてきたとのこと。 な @sssxohn 紛失か盗難にあっていないかと聞かれてありませんと伝えると個人情報が漏れて不正にカードを作られる被害が多発している情報もあるので警察に連絡しておくと一旦電話が切れたがまたかかってきてクレジットカードの消費者センターに連絡するよう警察から言われたとのことで電話番号告げられた な @sssxohn 一応メモったけど050から始まるIP電話で明らかにおかしくないか？と思って調べたら消費者センターは03から始まる固定電話… 警察に連絡してみました。 そういう詐欺が多発してるらしいです。 言われた番号にかけると個人情報根こ

[2024年1月10日、19日追記] GmailとYahoo!側のアップデートに合わせていくつか細かい説明を追加しています（大筋は変わっていません）。変更点だけ知りたい方は「追記」でページ内検索してください。 2023年10月3日、Googleはスパム対策強化のため、Gmailへ送るメールが満たすべき条件を2024年2月から厳しくすると発表しました。また米国Yahoo!も、2024年2月 第一四半期[1] から同様の対策を行うと発表しています。端的に言えば、この条件を満たさないと宛先にメールが届かなくなるという影響の大きな変更です。 この記事では、Gmailや米国Yahoo!の規制強化への対応方法を解説します。ただし米国Yahoo!にメールを送る人は多くないと思うので、フォーカスはGmail寄りです。また、メール配信サービス（海外だとSendGridやAmazon SES、国産だとblas

2023年12月4日、マイナンバーカードの偽造などを行っていたとして有印公文書偽造と入管難民法違反の容疑で女が逮捕されました。ここでは関連する情報をまとめます。 初のマイナンバーカード偽造事案 警視庁と兵庫県警など6の府県警によって有印公文書偽造と入管難民法違反の容疑で再逮捕されたのは中国籍の女。他者と共謀し2023年11月12日頃に自宅で在留カード13枚とベトナムやインドネシア国籍の外国人名義のマイナンバーカード9枚の偽造を行っていた疑い。*1 マイナンバーカードの偽造により摘発された事案は今回が初めて。女は「9月頃からマイナンバーカードの依頼が増えた」などと供述し容疑を認めている。 知人の紹介を受け中国から届いたPC、プリンターを使用して2023年6月頃より女は1日20～60枚のカードの偽造を繰り返していたとみられている。*2 偽造に必要なデータ（顔写真、住所）はWeChatを通じて送

この記事は、 NTT Communications Advent Calendar 2023 3日目の記事です。 はじめに みなさんこんにちは、イノベーションセンターの益本(@masaomi346)です。 Network Analytics for Security (以下、NA4Sec) プロジェクトのメンバーとして、脅威インテリジェンス(潜在的な脅威について収集されたデータを収集・分析したもの)の分析業務をしています。 本記事では、日本を狙ったフィッシングサイトの情報配信をはじめたことについて紹介します。 セキュリティにおける情報配信について興味がある方、フィッシングについて興味がある方は、ぜひ最後まで読んでみてください。 NA4Secについて NA4Secは、「NTTはインターネットを安心・安全にする社会的責務がある」を理念として、インターネットにおける攻撃インフラの解明・撲滅を目指

2023年10月19日、京都府警は不正アクセス禁止法違反と窃盗の容疑で男を逮捕したと発表しました。男はSNSを通じて消費者金融に誘導し現金をだまし取るいわゆる借り入れ詐欺を行っていたグループの一員とみられています。ここでは関連する情報をまとめます。 借り入れ詐欺の被害多数 組織的な犯行か 男の10月18日の逮捕容疑は2023年5月30日に何者かと共謀し群馬県の女性が登録した個人情報を使用してスマートフォンアプリにログインし、コンビニのATMから女性名義で20万円の現金を引き出した不正アクセス禁止法違反と窃盗の疑い。男は取り調べに対し全く身に覚えがないと容疑を否認している。 また11月9日も京都府警などは男を再逮捕しており、2023年5月30日に女性に登録させた消費者金融のアカウントを不正に使用しATMから3万円を引き出した不正アクセス禁止法違反と窃盗の疑い。こちらも男は黙秘をしている。*1

他人のクレジットカード情報を悪用し、新幹線の特急券などを不正に購入してだまし取ったとして、茨城県に住む20代の会社員ら4人が逮捕されました。 容疑者の自宅からは200枚以上の切符が押収されていて、警視庁はオークションサイトなどで売りさばいていたとみて調べています。 いずれも容疑を一部否認しているということです。 逮捕されたのは、茨城県潮来市に住む会社員で中国籍の方※かん（26）容疑者ら4人です。 警視庁によりますと、ことし1月、他人のクレジットカード情報を悪用し、JR東日本の予約サイトで購入した新幹線の乗車券や特急券合わせて20枚、およそ9万5000円分をだまし取ったとして、私電磁的記録不正作出などの疑いが持たれています。 予約サイトで切符を購入すると、携帯電話などに送られたQRコードを自動券売機にかざすことで発券できる仕組みになっていて、4人は、サイトでカード情報を入力して購入する役や券

nextauth.js でシングルサインオン機能を実装する場合、SlackなどはアプリケーションがHTTPS接続をサポートしていることが前提となっており、開発時にもHTTPSのサポートが必要となる場合があります。このような場合には、local-ssl-proxyを利用して、リバースプロキシのようにする方法が簡単で便利です。 以下、LOCAL環境＝Windows PC、という前提です。 local-ssl-proxyのインストール local-ssl-proxyはグローバルインストールしかサポートしていません。ので、グローバルインストールします。

ほどほどう @urinorino スマホを持つお子さん及び保護者の方気をつけて下さい・・・ 長女がインスタで知り合った人に電話番号やpaypayのパスワード等を教えてしまいアカウントを乗っ取られて、チケット詐欺の受け渡し場所となっていました・・・ チケット詐欺被害者からの直電で判明し、明日警察に届けます。↓ ほどほどう @urinorino 手口 まずは友達として仲良くなってから言葉巧みにPayPayアカウントを作らせて、娘のスマホに送られてくる認証コードも聞き出しそのアカウントを詐欺の金銭譲渡に使用していた。被害総額20万強。↓ ほどほどう @urinorino 私は以前小中学生向けのネットリテラシーを講師をしていまして、娘がスマホを持つ際は、何のために制限するのか・どのような事に気をつけるか・使用時の約束を記して貼る・ペナルティを作り実行する・フィルタリングをかけるetc対策出来てると

ペースト出来ないID/パスワード欄 4つに分割されてるクレジットカード番号入力欄 入力した後で記号は使えませんとか言ってくるパスワード欄 あと一つは？

2022年8月7日、米国のクラウドコミュニケーションプラットフォームサービスを提供するTwilioは従業員がスミッシングによるアカウント侵害を受け、その後に同社サービスの顧客関連情報へ不正アクセスが発生したことを公表しました。また、Cloudflareも類似の攻撃に受けていたことを公表しました。ここでは関連する情報をまとめます。 米国2社が相次ぎ公表 TwilioとCloudflareは、従業員に対し、何者かがIT管理者からの通知になりすましたSMSを送り、記載されたURLからフィッシングサイトへ誘導される事例が発生したことを報告。 2022年8月7日 Twilio Incident Report: Employee and Customer Account Compromise 2022年8月10日 Cloudflare The mechanics of a sophisticated