Yahoo!のサーバに不正アクセス、「情報漏えい前に遮断」と発表
Yahoo! JAPANに侵入した不正プログラムが、約127万件のデータを外部に送信しようとしていたという。 ヤフーは4月4日、「Yahoo! JAPAN」を管理するサーバへの不正アクセスを検知したと発表した。システムに侵入した不正プログラムが大量のデータを外部に送信する直前に遮断したという。 同社によると、2日の午後9時過ぎに不正プログラムが作動しているのを発見。Yahoo! JAPANのユーザー名、不可逆暗号化されたパスワード、登録メールアドレス、パスワードを忘れた場合の再設定に必要な情報の一部を抽出した、約127万件のデータのファイルが作成されていた。同社はこの時点で不正プログラムを強制停止させ、データが外部に持ち出されるのをブロックしたという。 ヤフーは、不正アクセスを防止するための対策を講じているものの、「今回の事態を厳粛に受けとめ、全社を挙げて原因究明と再発防止に取り組む」と説
不正アクセス（JINS オンラインショップ）に関する調査報告（中間報告） (PDF)
平成 25 年３月 15 日 各 位 上 場 会 社 名 株式会社ジェイアイエヌ （コード番号：3046 JASDAQ スタンダード） 代 表 者 代表取締役社長 田 中 仁 問合せ先専 務 取 締 役 中 村 豊 管 理 本 部 長 電 話 番 号 TEL（03）6406-0120（代表） Ｕ Ｒ Ｌ http://www.jin-co.com 不正アクセスによるお客様情報流出の可能性に関するお知らせとお詫び このたび、当社が運営する「JINS ONLINE SHOP（http://www.jins-jp.com/）（以下、 」 「本サイ ト」といいます。 ）のウェブサーバに対して、外部からの不正アクセスがあった事が判明いたし ました。 本件に関して、現時点で判明している不正アクセスの概要と対応について、下記のとおりご報 告いたしますとともに、お客様をはじめとする皆様に対し、
なぜGoogleはJSONの先頭に while(1); をつけるのか - Qiita
Stack Overflowに面白い質問があったので紹介する javascript - Why does Google prepend while(1); to their JSON responses? - Stack Overflow 質問 Googleのサービス内で使われるJSONの先頭に while(1); てついているのは何故？ 例えばGoogle Calendarではカレンダーを切り替えるときに以下のような内容のデータがサーバから返される。 while(1);[['u',[['smsSentFlag','false'],['hideInvitations','false'],['remindOnRespondedEventsOnly','true'],['hideInvitations_remindOnRespondedEventsOnly','false_true'],['C
[PDF]横浜市立小学校に対する威力業務妨害被疑事件における警察捜査の問題点等の検証結果 神奈川県警察 平成24年12月
横浜市立小学校に対する威力業務妨害被疑 事件における警察捜査の問題点等の検証結果 神奈川県警察 平成24年12月 はじめに 本年６月29日、横浜市（保土ケ谷区）の投稿フォームに無差別大量殺人を予告す る書き込みがあり、捜査の結果、無実の少年（以下「甲さん」という。 ）を誤って 逮捕するという、極めて遺憾な事案が発生した。 神奈川県警察では、本件事案の検証を客観的かつ綿密に実施するための体制を構 築し、捜査指揮を行った警察本部及び警察署の捜査幹部や、取調べを担当した捜査 員、パソコンの解析を担当した捜査員はもとより、本件捜査に従事した全ての捜査 員から事情聴取を行うとともに、関係する書類の精査やパソコン解析結果の再検証 等を実施した。 その過程において、本県警察を管理する神奈川県公安委員会に対して、７回にわ たり検証の状況や再発防止策を報告し、同委員会から様々な指導・指摘を受けたと こ
Exploits Database by Offensive Security
The Exploit Database is maintained by OffSec, an information security training company that provides various Information Security Certifications as well as high end penetration testing services. The Exploit Database is a non-profit project that is provided as a public service by OffSec. The Exploit Database is a CVE compliant archive of public exploits and corresponding vulnerable software, develo
Samsung Galaxy S III、NFC 経由でハッキングされる | スラド セキュリティ
アムステルダムで開催中のセキュリティコンテスト「Pwn2Own」で、MWR Labs の 4 名からなるチームは、近距離無線通信 (NFC) の脆弱性を利用して Android をハックする方法を公開した。対象となったのは Samsung の Galaxy S III (Android 4.0.4)。二つの脆弱性を使ってハッキングを行ったとしている (The Next Web の記事、本家 /. 記事より) 。 ハッキングの方法は大まかに言うと、一つ目の脆弱性を使ってメモリクラッシュを起こし、NFC を通じてマルウェアをアップロード、マルウェアの機能でユーザーの権限を昇格させる。さらに、Android の評価用フレームワークをカスタマイズした「Mercury」をインストール、アプリケーションの Sandbox を突破するというものらしい。Mercury はメールや、テキスト・メッセージや、
イランの原発、コンピューター・ウィルスに攻撃され、AC/DCを爆音で再生か－rockinon.com｜https://rockinon.com/news/detail/70695
イランの原発施設がコンピューター・ウィルスに冒され、そのせいでAC/DCの"サンダーストラック"が施設で爆音で鳴り響いているという。 フィンランドのコンピューター・セキュリティ企業F-セキュアのチーフ調査員でウィルス・ハンターとしても有名なミコ・ヒポネンが、ニュース・サイトのゴーカーに伝えたメールによると、イランの原発がサイバー攻撃に遭っていて深夜にAC/DCの"サンダーストラック"が施設で爆音で鳴り響く事態に陥っているという。 ヒポネンによれば、イランから次のような報告があったとか。 「当方の原子力プログラムがまたしても新しいワームに攻撃され支障をきたしています。ナタンズやクオムに近いフォルドの原発施設でのオートメーション・ネットワークが動作しなくなっています。こちらのサイバー・テロ専門スタッフがチームに配信した報告によれば、ハッカー・ツールのメタスプロイトが使われたようです。ハッカーた
iCloudハック事件の手口がガード不能すぎてヤバイ | fladdict
GizmodeのライターがiCloudのアカウントを乗っ取られ、iCloud消滅、iPad, iPhone, Macのデータワイプ、Gmail, Twitterの乗っ取りを食らった件について、ハッキングを本人が語ってらっしゃる。 手口としては典型的なソーシャルエンジニアリングによる、複数サイトから得た情報のギャザリングを用いたハック。 だがこのハッキングのプロセスが鮮やかすぎてヤバイ。ツールを一切つかわず電話だけでハッキングしてる。 Twitterアカウントに目をつける 元々クラッカーは、Gizライターの持っていた「３文字のTwitterアカウント」が欲しくてアタックをかけたらしい。 Twitterプロフィールから、本人のウェブサイトへ 本人のウェブサイトからGmailのアドレスを発見 Gmailで「パスワードがわからない」から再発行 再発行メール用のアドレスが画面に表示される。この m*
Masato Kinugawa Security Blog: location.hrefの盲点
夏ということで、怖い話をします。 Webアプリケーション開発者の皆さん、聞いて下さい。 時間がない人や、他の人に問題を説明するときなどには簡潔にまとめた版をどうぞ。 これは2011年12月27日にAppleに報告したSafariの問題です。Appleからは修正する予定はないという回答を貰っていましたが、2012年7月25日にリリースされたMacのSafari 6のアドバイザリによるとどうもMacのSafari 6では修正されたようです。 About the security content of Safari 6 http://support.apple.com/kb/HT5400 WebKit Available for: OS X Lion v10.7.4, OS X Lion Server v10.7.4 Impact: Visiting a maliciously crafted
30文字のパスワードを脳の無意識領域下の記憶内に保存する技術が登場
By Diamond Farah パスワードの重要性といってもピンキリで、たとえば軍事機密を閲覧できるパスワードともなると扱いは厳重になってきますが、それでも締め上げ暗号分析のように、パスワードを知っていたり入手できたりする人に直接的に働きかけることで盗まれてしまう可能性は残ります。 アメリカの神経科学者と暗号専門家の合体チームが、この「人間」という弱点をクリアしたパスワードシステムを開発しました。 Neuroscience Meets Cryptography:Designing Crypto Primitives Secure Against Rubber Hose Attacks (PDFファイル)http://bojinov.org/professional/usenixsec2012-rubberhose.pdf Unbreakable crypto: Store a 30-ch
朝日新聞デジタル：東京メトロ駅員、パスモでストーカー 乗車履歴を投稿
東京メトロの３０代の男性駅員が昨年、駅の業務用端末を使って、ストーカーの標的にしていた３０代の女性の乗車履歴を引き出し、インターネット上に公開していたことがわかった。女性から被害の申告を受けた東京メトロは昨年３月、駅員を懲戒解雇した。 女性によると、駅員は２００９年ごろから、帰宅時に女性の勤務先で待ち伏せるようになった。食事などにしつこく誘われ、夜道で尾行されたこともあった。 女性は、氏名や生年月日を登録する記名式のＩＣ乗車券「ＰＡＳＭＯ（パスモ）」を使っていた。昨年２月、ネットの匿名掲示板「２ちゃんねる」で自分の乗車履歴に関する投稿を発見。自宅の最寄り駅など約１カ月間に利用した首都圏の９駅と乗降した日付、利用したバス会社名などが書き込まれていた。 うち１駅はラブホテル街に近いとして、男性と性的関係を持ったのではという事実無根の内容も書かれた。女性の名前はなかったが、事実上個人を特定できる
高木浩光＠自宅の日記 - 今こそケータイID問題の解決に向けて
■ 今こそケータイID問題の解決に向けて 目次 ソフトバンクモバイル製のiPhoneアプリがUDIDを認証に使用していた件 Web開発技術者向けの講演でお話ししたこと 研究者向けの講演、消費者団体向けの講演でお話ししたこと 総務省がパブリックコメント募集中 ソフトバンクモバイル製のiPhoneアプリがUDIDを認証に使用していた件 6月初めのこと、ソフトバンクモバイルが「電波チェッカー」というiPhoneアプリを直々に開発して、iTunesストアで配布を始めたというニュースがあったのだが、それを伝えるITmediaの記事で、「取得された電波状況情報はiPhoneのUDIDとともにソフトバンクモバイルに報告される」と書かれているのが気になった。*1 「電波チェッカー」で検索して世間の反応を探ったところ、ソフトバンクモバイル社のCTO（最高技術責任者）の方が、Twitterで直々に市民と対話な
最近 Android Market の売上レポートに購入者の個人情報が思いっきり入るようになってしまった件 - むらかみの雑記帳
'13/7/6 追記: Google Play の売上情報に、購入者の個人情報が入らなくなりました 注: '12/1/13、Google側が誤りであったことを認めたとのことです。詳細は一番下の追記参照。 最近、Android Market の売上レポートに購入者の完全な名前・住所・電話番号・メールアドレスなどが表示されるようになってしまい、少々困っています。 Android Market でのアプリ売上は Google Checkout というサイトで確認できるようになっており、それぞれの売上ごとに詳細なレポートを閲覧できるようになっています。以下はその中の抜粋です（個人情報は全部塗りつぶしています) 配送先というところに、購入者の完全な住所・名前・携帯電話番号・メールアドレスが入ってしまっています。この配送先は前からレポートには出ていたのですが、以前は情報は部分的なものでした（住所は番地
Webアプリケーションに対する広範なDoS攻撃手法(hashdos)の影響と対策
28C3(28th Chaos Communication Congress)において、Effective Denial of Service attacks against web application platforms（Webプラットフォームに対する効果的なサービス妨害攻撃）と題する発表がありました（タイムスケジュール、講演スライド）。 これによると、PHPをはじめとする多くのWebアプリケーション開発プラットフォームに対して、CPU資源を枯渇させるサービス妨害攻撃(DoS攻撃)が可能な手法が見つかったということです。この攻撃は、hashdos と呼ばれています。 概要PHPなど多くの言語では、文字列をキーとする配列（連想配列、ハッシュ）が用意されており、HTTPリクエストのパラメータも連想配列の形で提供されます。PHPの場合、$_GET、$_POSTなどです。 連想配列の実装には
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました 以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記 このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。 終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。 はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記 ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記 はてなグループ日記のエクスポートデータは2020年2月28
mixi足あと廃止に寄せて - 最速転職研究会 | コメント mixiって今ほとんどがモバイルでアクセスされてたはずだけど、スマホ以外のガラケーでもこの問題が起きるの？
mixiが6年以上に渡って放置してきた足あと機能を使って訪問者の個人特定が可能な脆弱性を修正した。簡単に説明するとmixi以外のサイトからでもユーザーに気付かれずに、その人のmixiアカウントを特定するということが出来たが、出来なくなった。(正確にはユーザーが気付いたとしても特定された後) アダルトサイトが訪問者のmixiアカウント収集したり、ワンクリック詐欺サイトがmixiアカウント特定して追い込みかけたり、知らない人からメッセージ送られてきてURL開いたらmixiアカウント特定されてたり、そういうことが今まで出来ていたのが出来なくなった。 過去にもいろんな人が言及してるし、すでに終わった議論だと思ってる人もいるだろう。世間一般にどれぐらい認知されていたのかはよく分からないが、少なくとも技術者やセキュリティ研究者の間ではよく知られている問題だった。 http://internet.kil
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPA-安全なウェブサイトの作り方2021年改訂第7版.pdf
JVNTA12-240A: Oracle Java 7 に脆弱性
まとめよう、あつまろう - Togetter
App Isolation: Get the Security of Multiple Browsers with Just One