狙われた7pay｢外部ID連携｣の脆弱性の全貌。急遽“遮断”した理由
7payの新規登録停止を知らせる張り紙。全国津々浦々のフランチャイズ店舗にまで掲出を行き渡らせるのは簡単なことではない。 撮影：7pay取材班 7payの不正使用をめぐって、その脆弱性が背景にあるとの見方が強まっている。窃盗容疑などで複数の中国籍の容疑者らが逮捕されているが、実態にはまだ不可解な部分が少なくない。 一連の7pay報道のなかで、徐々にハッキングの手法に関する情報が出てきたが、具体的に｢7payの脆弱性とは、一体どんなものだったのか｣は直接的に報じられていない。 Business Insider Japanの｢7pay｣取材班では、複数の協力者の通信解析を通じて、7payとその周辺に潜む脆弱性のうち、重要な事象の1つである外部ID経由のハッキング（不正侵入）のメカニズムについて確証を得た。 不正アクセス犯はどんな手口で侵入したのかを探る。
マルウェアの初期調査の範囲をほぼカバーする、無料調査ツール「FalconNest」とは | LAC WATCH
企業内のPCがマルウェアに感染されているかどうか、皆さんはどのようにして確認されていますか？ セキュリティ調査ができる「FalconNest（ファルコンネスト）」 ラックが2018年11月に無料公開したセキュリティ調査ツール提供サイト「FalconNest（ファルコンネスト）」。ウェブサイトへ必要なデータをアップロードするだけで、PC内に標的型攻撃やマルウェアの痕跡があったのか、メールで送られてきたファイルが不審ファイルかどうかをいつでも簡単に調査することができます。 公開から半年以上が過ぎた今、約600社800ユーザーに登録いただき、ご利用いただいています（登録は所属組織のあるユーザーに限らせていただいています）。マルウェアはセキュリティ製品だけでは発見できないことも多く、専門的な知識がないと感染したかどうかを確認できないため、情報システム部門の担当者を悩ませていることも少なくありません
米国NISTのIoTセキュリティリスク管理指針と医療機器
IoTデバイスのセキュリティリスク管理は医療機器業界の共通課題である。重要情報インフラに関わる医療機器ユーザーの技術標準化視点に立ったサイバーセキュリティのガイドライン整備を進めてきた米国のNIST（国立標準技術研究所）が2019年6月25日、IoTデバイスのセキュリティに関連する新たなガイドラインを公表した。 ⇒連載「海外医療技術トレンド」バックナンバー 米国NISTがIoTセキュリティ／プライバシーリスク管理指針草案を公表 米国では、医療機器を所管する食品医薬品局（FDA）と並んで、国立標準技術研究所（NIST）が、本連載第4回で取り上げた「サイバーフィジカルシステムのフレームワーク1.0版」（関連情報）、連載第25回で取り上げた「NIST SP 1800-8：医療提供組織における無線輸血ポンプのセキュア化」（関連情報）、連載第35回で取り上げた「重要インフラのサイバーセキュリティを向
セキュリティーのプロが首を傾げるアマゾンの対応
個人情報の開示請求をかける今回の調査の中で、セキュリティーの専門家がそろって首を傾げる対応をした企業がある。EC（インターネット通販）の帝王、アマゾン・ドット・コムだ 問題は、記者への開示データの送り方にあった。 次の行動が正しいか答えなさい。 「取引先から受け取ったUSBメモリーを自分のパソコンに挿した」 「取引先から送られてきた拡張子『.exe』のファイルをダブルクリックした」 勤務先の会社でサイバーセキュリティーに関する研修を受けたことがある人なら、上記のような設問を目にしたことがあるかもしれない。どちらの設問に対しても「○」と答えたならば、残念ながら落第だ。 USBメモリーやexeファイルが、サイバー攻撃者がウイルスをばらまく常とう手段だったのはもはや一般常識。会社の内規で上記のような行為を禁じている会社も多いだろう。 ところが、アマゾンのプライバシー担当者はサイバー攻撃には無頓着
7payクレジットカード不正利用：第三者乗っ取りがあり得る致命的な2つの弱点（三上洋） - エキスパート - Yahoo!ニュース
セブンイレブンのスマホ決済「7pay」で、クレジットカード不正利用事件が起きています。まだ原因はハッキリしませんが、仕様に大きな弱点があることがわかりました。 メールアドレス・生年月日・電話番号がわかれば、第三者が7payのセブンイレブンアプリのパスワードを変更できることが判明したのです。 さらにSMS認証など2つ目の認証がないため、第三者が乗っ取ることも可能になります。 7payクレジットカード不正利用が7月3日から発生7月3日早朝から、セブンイレブンの7payでクレジットカード不正利用の被害が出ています。Twitterで複数の人が報告しているもので、3日午前中にはセブンイレブンも注意喚起を出しました。 7payに関する重要なお知らせ（セブンイレブン） クレジットカードからのチャージは止めていますが、決済機能自体は生きています。現時点では原因は発表されていません。 パスワードリスト攻撃（
「7pay」の不正アクセス事件、似た問題続発の危険性が大
スマートフォン決済サービス「7pay」で事件が勃発した。2019年7月4日午前6時の時点で約900人分のアカウントが第三者による不正アクセスを受け、総額約5500万円の被害を受けた。だが、この不正アクセスは「セブン・ペイだけの問題ではない」と警鐘を鳴らすのが、メディアスケッチ代表取締役兼サイバー大学専任講師、AI/IoT評論家の伊本貴士氏だ。7payの問題点と日本企業のセキュリティー事業、そして防止策について同氏が語る。（近岡 裕＝日経 xTECH） 2019年7月1日に提供を開始したスマートフォン決済サービス「7pay」の不正アクセス事件が発生したことを受けて、セブン＆アイ・ホールディングス傘下で同サービスを手掛けるセブン・ペイが2019年7月4日に記者会見を行った。 7payが認証に利用している「7iD」では、「生年月日」と「登録電話番号」、「会員ID（メールアドレス）」でパスワードを
7Payの失態で露呈した本当は怖いIDの話｜楠 正憲（デジタル庁統括官）
セブンイレブンのQR決済「7Pay」がリリース翌日から大規模な不正アクセスの被害を受け、少なくとも約900人が、計約5500万円の被害を受けた。原因は杜撰なIDの設計にあり、被害者はいずれもIDを乗っ取られて、クレジットカードから不正にチャージされた。 自分の設定したIDとパスワードを入力して、どちらも正しい場合にログインできる仕組みは1960年代前半に発明されて以来、今もインターネット上で最も広く利用されている。GAFAはじめYahoo!や楽天といった大手企業が今も使っていることから、十分に安全と思われがちだ。 ところが実際のところ特にここ数年は非常に激しい攻撃に晒されており、血の滲むような努力と不断の改善によって維持されている。利用者は自分が入力したIDとパスワードしか意識しないけれども、その裏では端末環境の特徴やアクセス元のIPアドレスや位置情報、同時に利用している他の端末など、実に
どれくらい自社ドメインがなりすまされているか、ご存知ですか? | IIJ Engineers Blog
IIJ ネットワーク本部アプリケーションサービス部所属。 メールサービスの運用業務に従事し、日々世界の悪と戦う一児の父親。社内 Power Automate エバンジェリスト(自称)。M3AAWG member / openSUSE Users / WIDE Project メンバー。趣味は大喜利。はがき職人。 企業の情報システム部門でメールを担当されているみなさん、この問いに答えられる方は、どれくらいいらっしゃるでしょうか。 「そんなこと、気にしたこともない」という方も少なくないかもしれません。それもそのはず、これまで送信ドメイン認証を代表する SPF、DKIM は、送信者側が受信者側でどのように評価されたか知る術がありませんでした。ましてや、第三者の何者かが自社ドメインを勝手に使って誰かにメールを送っている、なんて知ることは不可能でした。 しかし、DMARC(RFC 7489;「ディー
日立の工場IoTセキュリティサービスはBCPから、「WannaCry」の経験が生きる
日立製作所は2019年6月11日、東京都内で開催した「日立セキュリティフォーラム2019」の展示コーナーで、工場IoT（モノのインターネット）セキュリティに関する提案を行った。 展示は、同社がこれまで展開してきた「現状把握」「多層防御・検知」「運用・対処」という3つのステップに分かれている。これらのうち「現状把握」のステップでは、事業の継続性を重視したリスク分析を実現するコンサルティングサービス「工場向けサイバーBCPリスクアセスメント」の提供を同日から始めた。 国内製造業の工場では、IoTやAI（人工知能）活用に向けた取り組みが進みつつある一方で、サイバーセキュリティについてはなかなか導入が広がらない状況にある。日立の工場向けサイバーBCPリスクアセスメントは、工場のサイバーセキュリティ以前に、BCP（事業継続計画）の観点で発生したら事業継続が困難にある事象を洗い出していくことが特徴だ。
パスポートのセキュリティ - AAA Blog
前回、運転免許証記載情報の真正性を確認する方法を紹介しました。 パスポートにも免許証と同様にICチップが埋め込まれており、海外渡航時の入国審査では本物のパスポートかどうかチェックが行われています。 不動産取引や民間サービスの本人確認業務でも、同じ方法でICチップの確認を行えば身分証偽造による詐欺行為を防ぐことができます。 今回パスポートのICチップにアクセスして真正性を確認するAndroidアプリをつくったのでその仕組みを紹介します。 目次 電子パスポート仕様パスポートは世界で通用する身分証明書です。 それぞれの国が独自仕様のパスポートを発行すると大変なので、 国際民間航空機関(以下ICAO)がICチップの技術仕様を標準化し、各国のシステムで相互運用できるようになっています。 ICAOはDoc 9303 Machine Readable Travel Documents(機械可読な旅券)と
欧米注目の産業制御システムセキュリティの国際規格、ルネサスが認証取得を支援
欧米注目の産業制御システムセキュリティの国際規格、ルネサスが認証取得を支援：産業制御システムのセキュリティ（1/2 ページ） ルネサス エレクトロニクスは、産業分野の組み込み機器向けプラットフォーム「RZ/G Linuxプラットフォーム」をベースに、産業制御システムセキュリティの国際規格であるIEC 62443-4-2の認証を短期間で取得できる「RZ/G IEC 62443-4-2 READYソリューション」を2019年12月末に提供開始すると発表した。 ルネサス エレクトロニクスは2019年3月26日、東京都内で会見を開き、産業分野の組み込み機器向けプラットフォーム「RZ/G Linuxプラットフォーム」をベースに、産業制御システムセキュリティの国際規格であるIEC 62443-4-2の認証を短期間で取得できる「RZ/G IEC 62443-4-2 READYソリューション（以下、REA
【電子版】ラック、コネクテッドカーの安全を支える新技術 サイバー攻撃を受けたECUの特定を可能に
ラックはインターネットにつながるコネクテッドカーのセキュリティー分野に参入し、自動車に搭載されたネットワークがサイバー攻撃を受けた際、攻撃を受けた電子制御装置（ECU）がどれかをピンポイントで特定できる技術を確立した。これまでサイバー攻撃を受けたことは分かっても、車載ネットワークに使われている100個以上のECUの中から、攻撃を受けたECUを特定することが難しかった。同社は今後、この技術を「スマートCANケーブル」として製品にする。自動車メーカーや電装メーカーなどに訴求し、より安全なコネクテッドカーの実現に役立ててもらう構え。 グローバルスタンダードを目指す 同社の渥美清隆IoT技術研究所長（工学博士）は「この技術を（国内だけで使われるだけの）ガラパゴスなものにするつもりはない」とする。国内外の標準化機関にも働きかけて、この技術をコネクテッドカーが採用するセキュリティー対策のグローバルスタ
“Huawei外し”で揺れる欧州の通信業界
既に設置されているHuaweiの通信機器を取り外すのは困難を伴う。同社の製品を最初から避けることはもちろん、取り外す必要があるのかは不明だ。では、通信事業者は何をすべきなのだろうか。 Huawei機器の使用、決断を迫られる国と企業 既に設置されているHuaweiの通信機器を取り外すのは困難を伴う。同社の製品を最初から避けることはもちろん、取り外す必要があるのかは不明だ。では、通信事業者は何をすべきなのだろうか。 中国の通信機器メーカーであるHuaweiの苦難と5G（第5世代移動通信）ネットワークのグローバル展開について考えると、「Be careful what you wish for：決断は（予想外の展開を招く場合もあるため）慎重にすべし」というフレーズが思い浮かぶ。公正なモバイルネットワーク事業者であるためにも、この言葉を胸に刻む必要がある。 国や企業は、Huaweiの機器を引き続き使
「何回閉じても無駄ですよ～」ブラクラURLを掲示板に貼っただけで補導、「やり過ぎ」と物議
Chromeの場合は、1度OKを押した後に「ダイアログを表示しない」メニューが出現。タップするとダイアログは消える。また、Safariの場合は「閉じる」を何度押しても消えないが、タブを閉じれば消える 報道によると、この3人が貼り付けたURLは、アクセスすると、「何回閉じても無駄ですよ～」という文字や、顔文字などが表示され続けるという。ネットでは、「このサイトではないか」と具体的なURLを指摘する声もある。 実際にそのURLをクリックすると、猫がパンチを繰り出しているアスキーアート（AA）と、「何回閉じでも無駄ですよ～ｗｗ」の文字などがダイアログで表示される。このダイアログはブラウザの「OK」や「閉じる」ボタンを押しても消えないが、タブを閉じてしまえば消えるため実害はほとんどない。 このURLは、2014年ごろから掲示板やLINE、Twitterなどに繰り返し投稿されている有名ないたずらペー
NISTの衝撃。セキュリティの国際標準が、日本のビジネスを変える | Tech & Device TV
NewsPicks Brand Design NISTの衝撃。セキュリティの国際標準が、日本のビジネスを変える 安全保障の観点から、世界のサイバーセキュリティが変わろうとしている。鍵になっているのは、アメリカ国立標準技術研究所（以降、NIST）が定めた政府調達の要件「NIST SP800-171」。 安全保障の観点から、世界のサイバーセキュリティが変わろうとしている。鍵になっているのは、アメリカ国立標準技術研究所（以降、NIST）が定めた政府調達の要件「NIST SP800-171」。 これは米国内のルールだが、たとえ米国外の民間企業であっても準拠していなければ、結果的に北米を中心とする様々な産業のサプライチェーンから退場させられる可能性があるのだ。 サイバー空間の安全を保つために、世界では今、何が起こっているのか。多摩大学ルール形成戦略研究所の客員研究員で、サイバー空間での安全保障につい
米国主導の「ファーウェイ包囲網」から距離置く英国の矜持
英フィナンシャル・タイムズなどの報道によると、英国の国家サイバーセキュリティーセンター（NCSC）は、中国の華為技術（ファーウェイ）製品を次世代通信規格「5G」に採用した場合のリスクは抑制できると結論付けた。 米国、英国、オーストラリア、カナダ、ニュージーランドは「ファイブアイズ」と呼ぶ国家機密情報の共有網を構成しており、カナダは米国の要請に応じて孟晩舟CFO（最高財務責任者）を逮捕し、米国に身柄を引き渡している。米国による「ファーウェイ排除」の呼びかけにニュージーランドやオーストラリアなども賛同、日本も事実上、追随する動きを見せている。そんな中で、ファイブアイズの中核をなす英国が米国主導の包囲網とは一定の距離を置く結論を出したことが波紋を呼んでいる。 EU（欧州連合）からの「合意なき離脱」という厳しい現実が迫っているタイミングを考えれば、欧州に加えて中国とまで対立が深まるのを避けたいとの
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Engadget | Technology News & Reviews
NXP、IoT機器向けの新セキュアエレメントを発表
改ざんされたQRコードを99％検出！メディアシーク、キャッシュレス決済向け「セキュアQRコードリーダー」提供開始！ | 株式会社メディアシーク
ブラックベリー、14億ドル買収の狙いは自動車向けOS
