SMS OTPの自動入力によるリスクとその対策
フィッシングサイトへの自動入力のリスク SMS OTPとWebサイトが紐付かない状態では、正規のSMS OTPがフィッシングサイトへ自動入力されるリスクが生じる。現実的なリスクとして、GutmannらはMITMと組み合わせた「ログインにおける2要素認証の回避」と「ソーシャルログインの偽装による電話番号確認の回避」、「オンライン決済における取引認証の回避」の3つのシナリオを示している⁷。2要素認証の回避につながるリスクは、iOSの自動入力がPayPayの偽サイトで発動した前回の検証で確認している。今回の検証ではAndroidの自動入力がPayPalの偽サイトで発動するか確認する。 2要素認証の回避 PayPalの偽サイトは前回と同様にMITMフィッシングフレームワーク「Evilginx2」で複製し、一般利用者が誤ってアクセスしないようインバウンド接続を制御した。Android 11のChro
鍵の“挿入音”をスマホで録音→スペアキーを作る攻撃 シンガポール国立大「SpiKey」発表
この方法により、推定したビッティング間の距離から鍵のビッティングパターンを推測できる。この手法で、大量の鍵の中から特定の鍵を効率的に絞り込むことが可能となる。実験により、33万以上の鍵の中から最も可能性の高い3つの候補鍵を特定することに成功している。 SpiKeyの最大の利点は、特殊な道具や技術を必要とせず、スマートフォンさえあれば誰でも利用できる点である。また、従来のロックピッキングに比べて疑いをかけられにくく、最新のアンチピッキング機能を備えた錠前に対しても有効である。 Source and Image Credits: Soundarya Ramesh, Harini Ramprasad, and Jun Han. 2020. Listen to Your Key: Towards Acoustics-based Physical Key Inference. In Proceedi
折りたたみスマホを持つ人の割合は40%！大きな画面とステータス感が魅力【フォルダブル購入動向調査】
本コーナーは、「PR TIMES」から提供を受けた企業・団体などのニュースリリース（報道機関向け発表資料）を、原文のまま掲載しています。読売新聞社が、 掲載している製品やサービス等の購入や利用を推奨したり、その品質・内容を保証したりするものではありません。本コーナーの内容や削除に関するお問い合わせは「PR TIMES」まで、直接ご連絡ください。 合同会社リュミエールデスポワール お得なスマホ情報や、最新の通信キャリア情報を発信するメディア「happy iPhone」が、約300人を対象に折りたたみスマホ（フォルダブルスマホ）の購入動向を調査。 インターネットメディアを利用した広告宣伝・サイトの収益化・事業拡大や売り上げ向上を行う合同会社リュミエール デスポワール（東京都渋谷区、代表取締役社長：土島志麻）が運営するスマホの最新情報メディア「happy iPhone」は、約300人を対象に折り
どのように1Passwordへのログイン方法を管理しているか
まえがき 昨年LastPassのセキュリティインシデントが話題になりましたが、みなさんはパスワードや秘匿情報の保護はどのようにされていますか？ SSOログインや、YahooさんのようにSMS認証でパスワードそのものを排除する方式もあったり様々なパターンがでてきました。 とはいえ、引き続きID/Passwordを必要とする場面はまだまだ継続するんじゃないかなと思っています。 また、WEBサイトのID/Password以外にもクレジットカード番号や、ソフトウェア開発するときに必要となるSSH秘密鍵等のように保存しておきたい秘匿情報も多いかと思います。 1Passwordを使って、ローカルにファイル(~/.configや.env)として置かれてる生のパスワードなどを削除した＠Web Scratchにもあるように、ローカルからどんどん秘匿情報を削除する素晴らしい方法もあります。 私も日々生成される
ドコモとソフトバンク、パスワードをハッシュ化せず保持 「パスワードを忘れた」からユーザーへ開示【追記あり】
ドコモとソフトバンク、パスワードをハッシュ化せず保持 「パスワードを忘れた」からユーザーへ開示【追記あり】 LINEMOがパスワードを平文保持している――そんな報告がTwitterで上げられている。ITmedia NEWS編集部で確認したところ、LINEMOの他にドコモとahamo、ソフトバンク、Y!mobileの会員サービスでも、ユーザーに対してパスワードを平文で提示する機能を持っていることが分かった。事業者側によるパスワードの平文保持は、不正アクセスなどで情報漏えいが起きた際のリスクになる可能性がある。 【編集履歴：2022年3月16日午後2時 ドコモへの追加取材に伴い、タイトルとドコモ引用部の記述を変更し、追記を行いました】 【編集履歴：2022年3月16日午後7時30分 ソフトバンクへの追加取材に伴い、ソフトバンク引用部の記述を変更し、追記を行いました】
自社のDB破壊しCEOに身代金要求、freeeが本当にやったクラウド障害訓練の舞台裏 「従業員はトラウマに」
自社のクラウド環境に侵入され、データベースから経営に欠かせないデータを持ち出される。バックアップも消され、データを取り戻したければ、身代金を支払うよう要求される──企業にとって絶対に直面したくない事態の一つだ。しかしこのシチュエーションをあえて再現し、訓練という形で自社のCEOに身代金まで要求した企業がある。クラウド会計サービスを提供するfreeeだ。 freeeは2021年10月、標的型攻撃とランサムウェアを組み合わせたシナリオを基に全社的な訓練を実施。AWS上のDBからデータを盗み出し、バックアップを消した上で、自社のCEOに社内SNSを通して身代金を要求したという。訓練を主導したのは、製品やサービスのセキュリティ向上を目指す社内組織「PSIRT」だ。 訓練を実施した背景には、情報システム部などのIT部門だけでなく、経営層まで巻き込みたい考えがあったという。同社のPSIRTが取り組んだ
五輪チケット購入者の情報流出 ｜ 共同通信
東京五輪・パラリンピックのチケット購入者とボランティアのID、パスワードが盗まれ、インターネット上に流出していたことが21日、政府関係者への取材で分かった。大会組織委員会が調査している。
GoogleアプリがiOSで収集している個人情報の詳細が判明、あまりの多さに「隠したがっていたのも無理はない」との声
GoogleがAppleのApp Storeで公開しているGoogleアプリとChromeにアップデートが配信されたことに伴い、アプリが収集する情報を明示した「プライバシーラベル」もApp Storeに掲載されました。このプライバシーラベルには、Googleのアプリが広範囲な個人情報を収集していることが明記されていたため、「GoogleがiOS版アプリの更新をしばらく放置してプライバシーラベルの掲載を先送りにしたのも無理はない」との声が上がっています。 Apple's app transparency rules: Google's privacy labels for Chrome and Search on iOS highlighted by DuckDuckGo • The Register https://www.theregister.com/2021/03/16/keep_s
マイナンバー、中国で流出か 長妻氏指摘、年金機構は否定：時事ドットコム
マイナンバー、中国で流出か 長妻氏指摘、年金機構は否定 2021年02月17日17時15分 衆院予算委員会で答弁する日本年金機構の水島藤一郎理事長＝１７日、国会内 立憲民主党の長妻昭副代表は１７日の衆院予算委員会で、マイナンバーが業者を通じて中国で流出した可能性を指摘した。長妻氏は証拠となる通報メールの存在を明らかにした上で徹底調査を求めたが、日本年金機構の水島藤一郎理事長は「流出はしていない」と否定した。 マイナンバー、８例目も敗訴 「権利侵害ない」―大阪地裁 発端は、日本年金機構から個人データ入力の委託を受けた東京都内の情報処理会社が中国業者に再委託した問題。２０１８年に発覚し、当時の機構の特別監査では、中国業者に再委託されたのは５００万人分の氏名部分の入力で、個人情報の外部流出はないとされていた。 監査のきっかけになったとみられる通報メールは、長妻氏が厚生労働省から入手したという。差
マルウェア化した「The Great Suspender」がChromeウェブストアから消滅、拡張機能削除時に巻き添えで消えたタブを復旧させる方法はコレ
非アクティブ状態のタブを一時停止してメモリを解放してくれるという人気Chrome拡張機能「The Great Suspender」をインストールしている場合には削除を促す通知が表示されるようになりました。誘導に従って削除を実行した場合には「一時停止していたタブも巻き添えで消える」という仕様であるため、削除時には注意が必要です。 Malware? · Issue #1307 · greatsuspender/thegreatsuspender · GitHub https://github.com/greatsuspender/thegreatsuspender/issues/1307 The Great Suspender removed from Chrome for malware - 9to5Google https://9to5google.com/2021/02/04/the-g
続・続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している
この記事は過去2回にわたる検証記事の続きとなります。 国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している 続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している 前回の記事では、おすすめ記事機能を有効にしていると、Smoozがユーザーの閲覧しているURL情報を送信してしまうことについて解説しました。 ユーザーID、URLと共に送信されているbc、bt、bdという項目の内容がわからないままでしたが、これもユーザーの情報であるはずだと思い、調査を続けてきました。 ▼これがおすすめ記事のために送信される内容 （この内容は記事の最後にテキスト情報としても掲載しておきます） URL情報に関連するもので 『c、t、d』 と呼ばれそうなものは何か。 ・cのデータ量は飛び抜けて多い ・cとdは一致が見られることがある ・一部が一致しながらもcのほうが長かったりもする
NURO光で使用する管理者アカウントが特定される、見えてはいけない画面がまる見え＆root権限も奪取可能
ソニーネットワークコミュニケーションズのインターネットワークサービス「NURO光」でレンタルされるネットワーク機器について、NURO光側が管理時に使用するアカウントIDとパスワードが特定されました。このアカウントを利用することで、通常はユーザーがアクセスできない機能にアクセスできるほか、root権限によるコマンド実行が可能になります。 GitHub - meh301/HG8045Q: Pwning the Nuro issued Huawei HG8045Q https://github.com/meh301/HG8045Q/ 目次 ◆1：「HG8045Q」の脆弱性の指摘 ◆2：脆弱性を確認してみた ◆3：新たな脆弱性を発見 ◆4：脆弱性の報告とNURO光の対応 ◆1：「HG8045Q」の脆弱性の指摘 研究者のAlex Orsholits氏によって報告された今回の脆弱性は、通信ネットワーク
いよいよ身分証のDXが始まった―、eKYCの最前線をTRUSTDOCK千葉氏に聞いた | Coral Capital
2020年9月、ドコモ口座と銀行口座の連携において第三者による不正引き出し事件が発生。デジタル時代における本人確認に焦点が当たることになりました。本インタビュー記事ではデジタルによる本人確認、いわゆるeKYC関連サービスだけでなく、デジタル時代の身元証明の第三者機関を目指しているTRUSTDOCK代表の千葉孝浩さんに、現状の課題と今後やってくる本格的デジタル社会での本人確認のあり方について話を伺いました。 「ドコモ口座」問題では本人確認の「緩さ」が問題に ──TRUSTDOCKは「KYC（本人確認）プロバイダー」の看板を掲げて、e-KYC/本人確認APIサービス「TRUSTDOCK」などを提供されています。そこでKYCに関連してお聞きしたいことがあります。先日、「ドコモ口座」などキャッシュレス決済サービスのアカウントを勝手に作り、銀行口座から不正にお金を引き出す事件が発生しました。対策とし
Hiromitsu Takagi on Twitter: "いや、ですから、氏名は銀行サービス（振込機能）で任意の口座番号で検索できるんですってば。有効な口座番号も同じ方法で特定できる。暗証番号はリバースブルートフォース。 https://t.co/G0WwLI2ArE 「どこかから漏洩し… https://t.co/FvzlmWN8wh"
いや、ですから、氏名は銀行サービス（振込機能）で任意の口座番号で検索できるんですってば。有効な口座番号も同じ方法で特定できる。暗証番号はリバースブルートフォース。 https://t.co/G0WwLI2ArE 「どこかから漏洩し… https://t.co/FvzlmWN8wh
「ドコモ口座」不正出金で注目 「リバースブルートフォース攻撃」ってどんなもの？
七十七銀行、中国銀行、大垣共立銀行の、ドコモの決済サービス「ドコモ口座」を使った不正出金事件を受け（関連記事）、犯人が使ったと考えられる不正ログインのアカウント突破法の1つ「リバースブルートフォース攻撃」が話題になっています。聞きなれない名前ですが、どのような手法なのでしょうか。 聞きなれない言葉ですが、不正ログインのアカウント突破法の1つです リバースブルートフォース攻撃は、パスワードを固定し、口座番号やユーザーIDをツールなどを使って片端から試していく手法です。 通常、銀行口座などでは、アカウントにログインする際に複数回パスワードや暗証番号を誤って入力すると、ログインが凍結されます。これは、1つの口座に対し、対応するパスワードなどを片端から試していく「ブルートフォース攻撃」を防ぐための仕組みです。 リバースブルートフォース攻撃は、ブルートフォース攻撃に対しパスワードを固定するという反対
プライベートジェットの大型荷物 保安検査を義務化 | NHKニュース
日産自動車の元会長、カルロス・ゴーン被告が関西空港からプライベートジェットで、ひそかに出国したとみられていることについて、赤羽国土交通大臣は閣議後の会見で、プライベートジェットに持ち込む大型荷物の保安検査を義務化したことを明らかにしました。 プライベートジェットでは、ふつうの定期便と異なり、保安検査が義務化されていないため、エックス線による検査を行わないケースもあるということです。 これについて、赤羽国土交通大臣は７日の閣議後の記者会見で、出入国在留管理庁から厳格な検査の実施について、協力依頼があったことを明らかにしたうえで「プライベートジェットの専用施設がある羽田、成田、関西、中部では、機内に持ち込むすべての大きな荷物の保安検査を義務化した」と述べ、６日、通達を出したことを明らかにしました。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
iOS・Androidも対応「パスキー」とはなにか? パスワード時代の終焉
「au通信障害」KDDI髙橋社長の会見質疑詳報、なにが起きたのか、「ドコモの教訓」は？
本当にあった怖い脆弱性の話
LINEアカウントが誤操作で消えてトーク履歴も消失！ 思わぬ原因と意外にも「対処法なし」の現実 
