SIMスワッピングによるTwitter CEOアカウントのっとりについてまとめてみた - piyolog
2019年8月31日5時頃（日本時間）、Twitter CEOのJack Dorsey氏のTwitterアカウント（@jack）から不審なツイートが複数投稿されました。この投稿は第三者により行われたもので、Twitterの報告によればモバイルキャリアの侵害が原因とされます。またその手口にSIMスワッピングが用いられたと報じられています。ここでは関連する情報をまとめます。 Twitter CEOアカウントから爆弾が仕掛けられたとツイート . @jack has been hacked pic.twitter.com/E2p9IopnSx— Yashar Ali 🐘 (@yashar) 2019年8月30日 CEOのアカウントから不審な投稿は10分間続いた。 不審な投稿は20件程度行われてたとみられる。 レイシストやナチスを称賛する投稿等もリツイートされていた。 Twitter本社に爆弾が仕
中国発の越境オンライン通販「Temu」の安全な使い方
ESETは2024年1月17日(現地時間)、「Is Temu safe? What to know before you ‘shop like a billionaire’」において、オンラインマーケットプレイス「Temu」を取り巻く問題点を取り上げ、Temuを利用する際の注意点を伝えた。Temuは中国の拼多多(Pinduoduo Inc.)を親会社とする越境オンライン通販サイトおよびアプリで、主に中国企業の製品を低価格で直接購入することができる。 Is Temu safe? What to know before you ‘shop like a billionaire’ Temuの問題点 ESETによると、Temuの顧客レビューは評価が低く、星による評価では2.5以下だという。批判的なレビューでは、スパムメッセージ、返金の難しさ、商品の質の低さ、商品が届かないといった問題点が指摘されて
コンビニエンスストアを日本に広げた流通の王者、セブン＆アイ・ホールディングスに異変が起きている。規律と実行力で競合他社を上回ってきたが、今年7月に始めた決済サービス「7pay（セブンペイ）」は開始直後に不正利用が相次いで発覚し、9月末でのサービス廃止に追い込まれた。同社の成長を支えてきたコンビニを巡っては、24時間営業など同社が作り上げてきた仕組みの根幹に厳しい視線が注がれている。セブン＆アイに今、何が起きているのか。 この夏、セブン＆アイ・ホールディングス社内では、数人の弁護士が一部のグループ幹部らを呼び、事情を聞く作業が進んでいた。2019年9月30日でサービス廃止となったスマートフォン決済サービス「7pay（セブンペイ）」の開発経緯などを調査するためだ。 セブン＆アイは7月1日に7payのサービスを開始した。しかし、サービス開始直後から不正アクセス被害が発生。SNS（交流サイト）上で
2020年のWebAuthnアップデート
Digital Identity技術勉強会 #iddance Advent Calendar 2020 12日めの記事です。 年末ということで、気楽に2020年のWebAuthn関連の話題を振り返ってみたいと思います。WebAuthnは2019年に一度W3C勧告になりましたが、その後も色々な実装での採用の拡大や、WebAuthn Level2という新しい改訂版の仕様策定の進展など、2020年も色々動きがありました。それらの中から、興味を惹かれた話題を解説していきます。 SafariでFace ID/Touch IDがPlatform AuthenticatorとしてサポートWebAuthn周りで今年最大の進展というと、やはりSafariのWebAuthn実装がFace ID/Touch IDをPlatform Authenticator（内蔵の認証デバイス）としてサポートしたことが挙げられ
開発の「種」だけを渡すのはなぜか？ 開発者との「いい関係」を構築するためコミュニケーションAPIのTwilioとMackerelがしていること - はてなニュース
2008年にサンフランシスコでスタートしたTwilioは、音声電話やSMS（電話番号宛テキストメッセージ）のプログラマブルなCPaaS（Communications Platform as a Service）です。電話の自動発呼やSMSの送受信ができるAPIを提供し、ソフトウェア開発者がさまざまなコミュニケーション手段を自作のプログラムに組み込めるようにします。 こういったクラウドサービスは、一般のエンドユーザーに向けたサービスを展開したい事業者によって利用されるため、多くの開発者に受け入れられなけばなりません。APIを利用して新たなサービスを作り出す開発者と良好な関係を構築し、顧客である事業者それぞれのビジネスを成長させるポイントは何でしょうか？ KDDIウェブコミュニケーションズ（以下、KWC）でTwilioのエバンジェリストとして活動し、赤い芸人とも呼ばれる高橋克己（@_katsu
Twitterが凍結されたのでWildebeestでFediverseに移住した Mzyy94 Misc 05 Jul, 2023 まだTwitterで消耗しているの？ 遡ること2023年4月末。世間が数年ぶりの我慢のいらないGWを満喫しようと熱気を帯びている時期に、凍てつくような出来事が起きた。 いつも通り深夜までTwitterをして寝て起き、手ぐせのようにTwitterを開くと見慣れないダイアログが表示された。 「ご利用のアカウントは永久凍結されています」 状況を飲み込むのに2秒もかからなかった。ああ、ついにきたかと。 イーロン・マスク体制になっていつか訪れると思っていた終わりがやってきたことを理解した。 目次 Open 目次 永久凍結、そしてアカウント消失 新しい居場所を求めて Mastodon Weibo Twitterの崩壊とポストTwitter Bluesky Threads
ssh を Google Authenticator PAM module で二要素認証化する（CentOS 8） - setodaNote
2023-01-10 以下の記事を教えてもらい、比較的簡単に ssh にワンタイムパスワード認証を追加できるようだったので CentOS 8 でも試してみました。 Raspberry Pi の場合と異なり、SELinux による制御を考慮する必要があったので、それを踏まえて設定しました。 Setting up two-factor authentication on your Raspberry Pi - Raspberry Pi https://www.raspberrypi.org/blog/setting-up-two-factor-authentication-on-your-raspberry-pi/ 設定方針 Google Authenticator PAM module の設定 sshd の設定 接続テスト 付録 A： 認証コードが正しいのにログインできない 設定ファイルの確
無料で二要素認証ができ安全にバックアップ＆デバイス間でエクスポートもできるオープンソースアプリ「Aegis Authenticator」レビュー
ウェブサービス利用時のセキュリティを強固にする手法の1つに「ワンタイムパスワード発行アプリを用いて二要素認証を行う」とうものがあります。しかし、ワンタイムパスワード発行アプリとして広く使われている「Google認証システム(Google Authenticator)」には「アプリ公開から長らくエクスポート機能がサポートされていなかった」「端末を壊すとバックアップコードの再発行が不可能になる」といった問題が存在しています。オープンソースで開発されている「Aegis Authenticator」なら、無料でワンタイムパスワード発行環境を整えつつ「認証情報を自由にエクスポート可能」「ワンタイムパスワードの閲覧にパスコードや指紋認証を要求可能」といった便利機能も使えるとのことなので、実際にインストールする手順や使い方をまとめてみました。 Aegis Authenticator - Secure 2
SIMスワップ攻撃はどれほど簡単に仕掛けることができるだろうか？また、攻撃者は電話番号を乗っ取った後、何ができるのだろうか？結論から言うと、SIMスワップ攻撃を仕掛けるのは驚くほど容易で、攻撃者はあらゆることが実行可能となるのだ。 SIMスワッピングは、SIMハイジャック、あるいはSIMスワップ詐欺とも呼ばれる。これらの言葉を耳にしたことがあるかもしれない。しかし、多くの人は自分の身には起きないものだと考えてしまうだろう。実際、「自分は絶対にハッキングされない」、「なぜ自分が狙われるのかわからない」という声も聞く。しかし、悪意のある攻撃者は日々、膨大な数の攻撃を仕掛けており、私たち一般消費者もそのターゲットになっているのは事実である。これらのリスクを軽減するために、具体的な対策を講じてみてはどうだろうか。 具体的な対策方法は後述するが、まず、リスクそのものについての理解を深めるために、どの
令和7年末までに行政手続きを全オンライン化へ！急増するプロジェクトを支えるBacklog ――Backlogをご利用いただいている部署と主な業務内容について教えていただけますか？ 経済産業省では、従来行政自体のDXに力を入れておりましたが、2022年7月に省全体のDXをさらに強力に推進する体制を整え、省内のシステム担当部署の職員やベンダーと力を合わせて業務に取り組んでいます。 大臣官房デジタル・トランスフォーメーション室（以下、DX室）の前身となる情報プロジェクト室では、2018年からプロジェクト管理ツールとしてBacklogを利用していました。関与する情報システム開発等のプロジェクト増加に伴い、Backlogの活用の幅も大きく広がりました。 ――どのように活用が広がっているのか、詳しくお聞かせください。 政府では、令和7年末までに民間から行政への申請に伴う手続は、すべてオンライン化する方
スマホの電話番号を乗っ取られる「SIMスワップ」被害が増加 求められる対策とは？：房野麻子の「モバイル新時代」（1/3 ページ） ここ最近、「SIMスワップ」「SIMハイジャック」といった言葉が世間を騒がせている。一般に知られるようになったきっかけは、4月に起こった東京都の都議会議員と、大阪府八尾市の市議会議員の被害だ。 SIMカードの乗っ取りで200万円を超える被害 市議会議員のケースでは、議員のソフトバンク携帯電話が、何者かによって高額な最新機種に機種変更され、PayPayを使い込まれたり、200万円以上もする腕時計を購入されたりしたことがX（旧Twitter）に投稿された。 議員はまず、自分の携帯電話が圏外で使えなくなった。当初、電波障害をうたがったという。しかし、そのような状況ではないことを確認し、原因を調べに八尾市のソフトバンクショップを訪れたところ、名古屋市のショップで最新のi
先日、私がワードプレスで運営しているサイトでサイバー攻撃を受けました。 サイトのいくつかのファイルが改ざんされ、管理系ページにアクセスできない状態に陥りました。 その後、なんとか復旧できたものの、インシデント対応中は生きた心地がせず、手の震えと動悸が凄まじかったです。 今回サイバー攻撃による障害の経験から学んだ、サイバー攻撃に備える7つの心構えを説明します。 ※本記事は個人開発でサービスを運営している方や、1人でシステム担当を行っている人を対象にした記事です。 いきなりサイトアクセスが403エラー 私は個人でレンタルサーバーを借りてワードプレスで構築したサイトをいくつか運営しています。 その中のうち、ある特化ジャンルの情報を発信しているサイトの管理画面にアクセスした時、異変が起きました。 403エラーです。 はじめはレンタルサーバー側のトラブルを疑いました。 しかし、ユーザー向けの記事ペー
[追記] 2022/8/4 に Twilio がフィッシング攻撃で顧客データを漏洩しました。これが下で説明していたデータを預けるリスクです。 クラウド電話APIサービスのTwilioにフィッシング攻撃で顧客データ漏えい - ITmedia NEWS クラウド電話APIサービスを手掛ける米Twilioは8月7日（現地時間）、4日に「高度なソーシャルエンジニアリング攻撃」を受け、一部の顧客アカウント情報に不正にアクセスされたと発表した。 最近驚いたのですが、どうもセキュリティ・プライバシーを重視する人たちは Twilio Authy から他のワンタイムパスワード（TOTP [Time-based One Time Password]）ツールに移行しているようです。 TOTPは多要素認証としてよく使われるようになってきています。Google は2要素認証（2段階認証）によってアカウントへの侵入が
新政権のデジタルガバメント構想の一環として、マイナンバーが日本でも再び注目を集めている。健康保険証や免許証との一体化や、銀行口座との紐づけなどを通して、国民IDとしての機能強化を目指す方向だ。 マイナンバーは、その仕組みの複雑さと不便さ、セキュリティに対する漠然とした不安、国家による監視強化への恐怖など、様々な観点と相反する国民感情が混然一体となるトピックであるため論点を整理しにくい。本稿は、このマイナンバーについて、米国の（実質的な）国民ID制度であるSSN（Social Security Number：社会保障番号）を参照点として理解を深めてみようという趣旨のテキストである。特に、国民IDのセキュリティの要衝である認証（本人確認）にフォーカスする。「マイナンバーとマイナンバーカードの違いってなに？」とか「なぜマイナンバーは他人に知られても大丈夫なの？」という素朴な疑問にも、認証における
マジックリンク認証の落とし穴
TL;DR 主にモバイル端末からの利用において、ユーザーが手間取ることが多い エンジニアなど、リテラシーが高いユーザー層を対象にした場合にのみ利用したほうが良さそう マジックリンク認証、使ってますか？ マジックリンク認証とは、メール内に記載されたリンクを踏むことで認証が完了する認証方式です。パスワード流出のリスクが無いことから、パスワード認証に比べてセキュアな点が特徴です。 Slackが採用しているため、ユーザーの立場で使ったことがある人は多いと思います。 筆者は一時期Firebaseを多用していたのですが、Firebase Authenticationを使用すると簡単にマジックリンク認証を実装することができ、またパスワード設定/変更/忘れ等を考慮する必要がないことから実装の手間を省けると考え、個人開発のプロダクトで採用しました。 実際開発は短期間で終わり、最小限のコード量で済んだことから
はじめに こんにちは。セキュリティ・ディレクション室/セキュリティスペシャリストの戸田 薫です。ヤフーのセキュリティを担当しています。 ヤフーでは、ユーザーへの安心・安全なサービス提供の実現にむけて日々取り組んでいます。今回は セキュリティに関する取り組みを簡単に紹介いたします。 はじめに 日々、攻撃は行われている なぜ攻撃者は攻撃をするのか？ セキュリティ対策の考え方 攻撃は防げない 問題は早期発見する システムを堅牢化する 多層で防御する 権限を最小化する システムに任せる 専門家に任せる 脆弱性を埋め込まない・取り除くための組織体制のあり方 ガイドラインと教育を提供 システム・ソフトウェアの健康状態を確認し続ける 脆弱性を探す 近年のセキュリティの取り組み TLS 1.0 と 1.1 のサポートを終了 DNS CAA の 導入 プライベートバグバウンティのトライアル さいごに 日々、
三要素中二要素認証
最近のスマホは指紋や虹彩などの生体認証になっているものが多いが、生体での認証に失敗してもパスワードなどでロックを解除できる。 つまり生体要素と知識要素の二要素認証だね！って、そんなわけがあるまい。 二要素認証は二要素をANDで認証する方式だ。 生体認証と知識認証をORで結んでいるスマホのロックは二要素認証ではなくて「二要素中一要素認証」とでも言うべきだろう。 二要素中一要素認証は、はっきりいって一要素認証より安全性が小さい。 攻撃者は時と場合によりどちらか簡単な方を盗むだけで突破できるからだ。 それならば純粋な一要素認証にした方が遥かにセキュアだろう。 しかしこういう認証にしたくなる気持ちもわかる。 生体認証は便利で強力だが精度が微妙で、本人でも認証できないことがザラにあるからだ。 生体要素、所持要素、知識要素、どれをとってもそれぞれの異なる事情で本人のもとから「失われる」ことがある。 そ
注：この記事は、有識者個人の意見です。COVID-19有識者会議の見解ではないことに留意ください。 HER-SYSは行政機関と自治体、医療機関、そして感染者自身が共同利用するシステムであり、感染者にかかる要配慮個人情報を大量に扱うシステムである。このような特徴を持つシステムがゼロトラストネットワークモデル上に構築されたのは、日本では最初の事例であろう。港区は2020年5月1日にHER-SYS先行利用自治体に応募し、5月15日にはNESIDからのデータ移行を受けて、試行を開始した。保健所で最初の日に教えられた、感染症法における人権擁護と信頼関係。HIV等の検査はすべて匿名で受けられ、個人を特定できる情報は取り扱わない。要配慮個人情報を集めるシステムであればこそ、丁寧に個人情報保護と情報セキュリティの内部監査をしよう、そう考え始めていた2020年7月最初の週末に事件は起こった。港区では、情報安
PCI DSS対応 AWS 上の踏み台サーバーでの操作ログ取得、MFA、アイドルタイムアウトを実現 | DevelopersIO
PCI DSS に対応すべく Linux サーバーの操作履歴を S3 へ保存する、ログイン時に MFA を使用する、アイドルタイムアウトを実装する方法を紹介します。 こんにちは。 ご機嫌いかがでしょうか。 "No human labor is no human error" が大好きな ネクストモード株式会社 の吉井です。 AWS 上の踏み台サーバー (ここでは Amazon Linux 2 を想定しています) での操作履歴を S3 へ保存する、ログイン時に MFA を使用する、アイドルタイムアウトを実装する方法を紹介します。 PCI DSS の関連して以下のような要件があり、これを実現するために考えた方法です。 ssh ログインは Google Authenticator を利用した二要素認証にしたい ssh ログイン後の操作ログ(コマンドログ)を保管したい 踏み台サーバーから更に業務サ
二段階認証の仕組みと導入時におさえておきたい対策 - RAKUS Developers Blog | ラクス エンジニアブログ
はじめに こんにちはこんばんは！ 昨今、セキュリティへの関心が非常に高まっています。 二段階認証を取り入れる企業が多くなってきました。 最近の例で言うと、Githubが2023年3月ごろに二段階認証を義務化したのは記憶に新しいと思います。 そこで、今回は認証の基礎知識をおさらいした上でTOTPを使った二段階認証の仕組みと導入時の注意点について解説します！ ※本記事の内容は、ビアバッシュ（社内の技術共有会）にて登壇発表した内容です。 ビアバッシュの取り組みについては以下の記事を読んでみてください！ tech-blog.rakus.co.jp はじめに 基礎知識 二要素認証とは？ 二段階認証とは？ 二要素認証と二段階認証の違い ワンタイムパスワードとは？ HOTPとTOTPについて HOTPとは？ TOTPとは？ TOTPの時刻ズレ対策 導入編 TOTPの時刻ズレ対策の実装 TOTPの注意点
七十七銀行、中国銀行、大垣共立銀行の、ドコモの決済サービス「ドコモ口座」を使った不正出金事件を受け（関連記事）、犯人が使ったと考えられる不正ログインのアカウント突破法の1つ「リバースブルートフォース攻撃」が話題になっています。聞きなれない名前ですが、どのような手法なのでしょうか。 聞きなれない言葉ですが、不正ログインのアカウント突破法の1つです リバースブルートフォース攻撃は、パスワードを固定し、口座番号やユーザーIDをツールなどを使って片端から試していく手法です。 通常、銀行口座などでは、アカウントにログインする際に複数回パスワードや暗証番号を誤って入力すると、ログインが凍結されます。これは、1つの口座に対し、対応するパスワードなどを片端から試していく「ブルートフォース攻撃」を防ぐための仕組みです。 リバースブルートフォース攻撃は、ブルートフォース攻撃に対しパスワードを固定するという反対
ドコモ口座の波紋､銀行の大失態が浮き彫りに
「ドコモ口座」を発端とする銀行口座からの不正出金問題。その波紋が広がっている。 ゆうちょ銀行は9月16日、ドコモ口座を含む6つの決済サービスで被害が確認されたと発表した。被害件数は109件、金額は1811万円にのぼる。 被害の構図はNTTドコモの「ドコモ口座」と同じだ。不正利用者は、何らかの形で入手した第三者の名前や口座情報をもとに銀行口座と決済サービスを接続。その後、口座から決済サービスに入金し、お金を使った。 ゆうちょ銀行の場合、口座と決済サービスを接続する際の本人確認に甘さがあった。本人確認のセキュリティーを高めるには異なる要素を持っているかを確認する「二要素認証」を行う必要がある。具体的には、口座の番号を知っている「知識」、電話や通帳などを持っている「所有」、指紋や顔などの「生体」のうち2つの要素を確認する。 二要素認証の導入は2つだけ ゆうちょ銀行の口座と接続可能な決済サービスは
無料＆Google Drive経由でKeePassのパスワードを同期できるプラグイン「KPSync for Google Drive」レビュー
無料で使えるオープンソースのパスワードマネージャー「KeePass」は、パスワード生成機能や二要素認証といった高度な機能を備えていますが、Google Drive経由でのデータベース同期にはデフォルトでは対応していません。無料のKeePass用プラグイン「KPSync for Google Drive」を使うと、KeePassのデータベースファイルをGoogle Drive経由で同期することが可能になります。なお、KPSync for Google Driveを利用するには、Windowsでバージョン2.35以上のKeePassを利用する必要があります。 KPSync for Google Drive™ | Secure sync automation with Drive. https://www.kpsync.org/ まずはプラグインのダウンロードページにアクセスして、「Downlo
国内38社がVPNの脆弱性をついた攻撃を受け、ダークウェブ上にVPNのユーザーIDやパスワードが流出していたと内閣サイバーセキュリティセンター（NISC）が明らかにした問題で、被害にあった1社の平田機工は8月25日、流出の原因を明らかにした。 4月から始めたテレワークの負荷分散のため旧VPNシステムを急きょ稼働させたところ、最近発見された脆弱性を突かれて、社員24人とVPNシステム管理用のユーザーIDとパスワードが抜き取られたという。社内ネットワークに侵入された形跡はなかったとしている。 同社は4月後半からテレワークを実施。その負荷に現VPNシステムでは対処しきれなくなったため急きょ、前年度に交換した旧VPNシステムを4月22日から稼働させて負荷を分散させた。 だが旧VPN装置には最近発見された脆弱性があり、社員24人とVPNシステム管理用のユーザーIDとパスワードが6月25日に抜き取られ
本記事はキヤノンマーケティングジャパンが提供する「マルウェア情報局」に掲載された「今一度、おさらいしておきたいWordPressのセキュリティ」を再編集したものです。 2020年11月に発表されたウェブサイト向けCMSの世界シェアでは、WordPressが圧倒的な1位となっている。2003年にリリースされたこのオープンソースのソフトウェアは、ウェブ制作におけるデファクトスタンダードになったといえるだろう。しかしその分、悪意のある第三者に狙われやすくなっている。この記事では、WordPress利用時のリスクとその対策について詳しく解説する。 WordPressとは WordPressは無料で利用できるウェブサイト向けのCMS（コンテンツ・マネジメント・システム）で、その導入によりHTMLやCSSを直接編集することなく、ウェブサイトを更新することができる。プログラムが公開されているオープンソー
Twitterの大規模乗っ取り、犯人は21歳のSIMスワッパーか──Krebs on Security報道 Twitterで7月15日（現地時間）に多数の著名アカウントが乗っ取られ、ビットコイン詐欺投稿をツイートした問題について、米セキュリティニュースメディアKrebs on Securityのブライアン・クレブス氏は16日、この攻撃は「SIMスワッピング」を行う個人が実行した兆候があると報じた。 クレブス氏は、米Motherboardが紹介したTwitter内部ツールのスクリーンショットをTwitterに投稿した「@shinji」アカウント（投稿とアカウントは既に削除されている）と、Instagramの「@j0e」および「@dead」アカウントが同じ人物のものであり、さらにこれらのInstagramアカウントが「PlugWalkJoe」と呼ばれる有名なSIMスワッパーに関連付けられている
多くのユーザが使用しているGmailだが、その機能の豊富さと使い勝手のよさの一方、メールの内容を読み取って関連性の高い広告を表示するなど、機密性の低さがしばしば問題視される。著名なサービスゆえ攻撃の対象となったり、偽装に使われやすいのも事実で、フリーのメールアドレスで登録できないサービスの中には、Gmailを名指しでNGとしている場合もある。 こうした事情を背景に、もしGmailと同等以上の機能および使い勝手を備えたメールサービスがあれば、乗り換えたいと考えている人は少なくないはずだ。またGmail自体に特に抵抗がなくても、いま新たにGmailでメールアドレスを取得しようとすると、ドメインが一種類しかないため、気に入ったメールアドレスがなかなか取得できないといった理由もある。 今回は、そんなGmailの代替になりうる、Webメールサービスを3つ紹介する。なかには無料版では機能に制限があった
スマホを買い替えても二要素認証を継続できるWebAuthn Level3 | IIJ Engineers Blog
社会人生活の半分をフリーランス、半分をIIJで過ごすエンジニア。元々はアプリケーション屋だったはずが、クラウドと出会ったばかりに半身をインフラ屋に売り渡す羽目に。現在はコンテナ技術に傾倒中だが語りだすと長いので割愛。タグをつけるならコンテナ、クラウド、ロードバイク、うどん。 GitHubが2023年末までに二要素認証を必須にすることを発表しました。直接的なトリガーは先日のherokuの一件だと思いますが、すでにGoogleは2FAを必須としているように、同様の動きが業界全体へ広まるのは間違いありません。ちなみに、GW中にherokuからパスワードの強制リセットのお知らせが届きました（ユーザだったんです）。どうやら影響範囲はトークンだけではなかったようですね。きっと、耳を覆いたくなるようなアナウンスがこれからあるのでしょう。 https://www.itmedia.co.jp/news/ar
七十七銀行で不正利用が多発している件についての仮説
ドコモ口座に勝手に銀行口座が登録されて不正利用される件が多発している件 どうやら七十七銀行のみで起こっている事案らしいので現時点でちょっと調べてみた https://b.hatena.ne.jp/entry/s/www.77bank.co.jp/emergency/detail1.html https://b.hatena.ne.jp/entry/s/togetter.com/li/1588201 Web口振受付サービスまずドコモ口座に銀行口座を登録するとき、 多くの銀行で「Web口振受付サービス」というものを使っている 七十七銀行でもこのサービスを使ってドコモ口座に登録できる https://www.chigin-cns.co.jp/services/web_service/bank.php 他の大多数の地銀でも、これを利用して口座登録ができるようだ（すべての地銀がドコモ口座対応なわけで
米Googleは10月10日（現地時間）、パスワード不要のサインイン機能「パスキー（passkey）」を、Googleアカウントのデフォルト（初期設定）オプションに設定すると発表した。アカウントにサインインしようとすると、パスキーの作成を求めるプロンプトが表示されるようになる。 パスキーはパスワードより安全ではあるが、「新技術が普及するには時間がかかることが分かっているため」、ユーザーにはパスワードを引き続き使い続けるオプションも提供する。設定画面で「可能な場合はパスワードをスキップする」をオフにすれば、パスキーをオプトアウトできる。 パスキーは、Googleが昨年5月に米Appleと米Microsoftとともに発表したFIDO Allianceの「マルチデバイス対応FIDO認証資格情報」の通称。業界標準のAPIとプロトコルに基づく公開鍵暗号化を使い、面倒なログイン名とパスワードの入力を省
NTT 東日本 - IPA 「シン・テレワークシステム」 - ダウンロード トップ | 中間報告 | 自治体テレワーク for LGWAN | HTML5 Web 版クライアント (Mac, Chromebook 対応) | バージョン履歴 | ダウンロード | ユーザー数グラフ 入門 - 今すぐ使ってみよう | クライアント検疫機能・MAC アドレス認証機能 | 二要素認証・ワンタイムパスワード (OTP) 機能 | マイナンバーカードを用いたユーザー認証機能 | 仮想マルチディスプレイ機能 行政情報システムでの利用 | 組織 LAN におけるポリシー規制サーバー設置 | 企業システムにおける VM・HDD クローン対応 | Wake on LAN リモート電源 ON 機能 | 画面撮影・キャプチャ防止のための電子透かし機能 FAQ | 掲示板 (ユーザーサポートフォーラム) | 相互
2019年の今年は「令和元年」であるわけだが、年初はまだ「平成31年」だったので、ギリギリまだ平成ともいえる。ところで、ITの世界にもいろいろな都市伝説や根拠は薄いけれどもかっちり守られているしきたり/習慣があり、少なくとも今の世界では通用しないため本当は改善したほうがいいのだが業界的にずるずるといってしまっていることが色々と存在する。年末の今、平成を思い返したときに元IT企業に勤めていた人間として「この習慣は平成のうちに終わらせておかねばならなかっただろうに！」と悔やまれることを7つ挙げてみた。 ※ちなみに、諸君のまわりでこれらをすべてやめられている人がいたならば本当に神である、というのが残念ながら今の現状だ。 【7位】 2要素認証でない「2段階認証」 これは令和元年にセブンペイサービスの停止でだいぶ話題になったので、認識されている諸君も多いかもしれない。話題になったのは大手企業のサービ
こんにちは、株式会社スマートラウンドSREの@shonansurvivorsです。 私は今年5月に1人目のSREとしてこの会社に入社し、既に半年以上が経過しました。 2022年も終わりが近づいて来た中、この場を借りて、スタートアップの1人目SREとして、今年やってきたことを記録として残したいと思います。 なお、本記事で取り扱う内容はSREの理論や原理原則に沿って各種プラクティスを実践したこと、というよりは、セキュリティ、モニタリング、IaC、コスト、パフォーマンス、運用、開発効率などなど、いまこの組織で取り組むことでプロダクトと事業に貢献できるのではないか？と私なりに判断してきたこととなります。 そのため、Site Reliability Engineeringに関して学びのある記事にはなっていないと思いますし、また概ね時系列順に近い形で実施事項を羅列していきますので(述べ方が長たらしいと
無料で二要素認証のワンタイムパスワードを発行可能＆デバイス間エクスポートもできるオープンソースアプリ「Aegis Authenticator」、特定の企業に依存する危険性がなくなり安全
ウェブサービスを安全に使用する手段の1つとして、「ワンタイムパスワード発行サービスを利用する」という方法があります。ワンタイムパスワードを生成するアプリとしては「Google Authenticator」「Microsoft Authenticator」「Authy」といったアプリが広く利用されていますが、これらのアプリはGoogleやMicrosoftなどの企業によって開発されたものであり、透明性や信頼性に不安を感じる人もいるはず。オープンソースで開発されているAndroid向けのワンタイムパスワード発行アプリ「Aegis Authenticator」を使えば、特定の企業に依存せず二要素認証によるセキュリティ強化を実行できるだけでなく、Google Authenticatorでは不可能な「ワンタイムパスワードの不可視化」なども可能となります。 Aegis Authenticator -
はじめに この記事はAuth.jsがどのようなものか，どのように実装すればいいかなどをドキュメントを要約しながら紹介するものです． Auth.jsは2024/02/19現在ドキュメント整備中です．現在のドキュメントとは内容が異なる場合があります．この記事では旧ドキュメントの内容も交えて解説しています． Auth.jsとは？ (https://authjs.dev/ より) Auth.js is a complete open-source authentication solution for web applications. Check out the live demos of Auth.js in action: Next.js SvelteKit SolidStart Auth.jsはwebアプリのための完全なオープンソース認証ソリューションです．その特徴として， 簡単に OAu
Google Authenticatorのバックアップ機能はE2E暗号化されておらず重大なセキュリティリスクにさらされる可能性が高いことが判明
ログイン情報の複数デバイス間同期に対応した「Google Authenticator(Google認証システム)」のクラウドバックアップにおいて、エンドツーエンド(E2E)暗号化が行われていないことがセキュリティ研究者の調べで明らかになりました。Googleはこの懸念を受けて、Google Authenticatorの将来的なE2E対応を表明しています。 Google has just updated its 2FA Authenticator app and added a much-needed feature: the ability to sync secrets across devices. TL;DR: Don't turn it on. The new update allows users to sign in with their Google Account and
大阪教育大学（大阪府柏原市）は5月24日、附属小学校の教員1人がスミッシング（SMSによるフィッシング）の被害に遭い、同教員が私的に契約するクラウドストレージ内に保存していた学級名簿などの個人情報約3900件が第三者から閲覧可能な状態にあると発表した。教員は大学が決めた情報管理のルールを守らず、個人情報を私的なクラウドストレージに保存していたという。 クラウドストレージに保存されていたのは、児童や他の職員が写った顔写真や学校生活の写真3349件、児童の氏名が載った学級名簿（357人分）、児童や職員の氏名が載った写真（70人分）、学生や職員の氏名が載った夏休みの課題の応募用紙（12人分）など。 児童の氏名が載った学級写真（12クラス分）や、同大が運営する情報システムのログインに必要な、IDやパスワードが写った写真も保存されていた。大阪市の教育委員会によれば、教員が以前務めていた別の小学校で撮
セキュリティ本部セキュリティビジネス推進部セキュリティオペレーションセンターに所属。2019年新卒入社。大学生時代より情報セキュリティにまつわる研究・開発をしている。インターネットが好き。 【IIJ 2021 TECHアドベントカレンダー 12/20（月）の記事です】 こんにちは。naotです。 普段はIIJのセキュリティオペレーションセンター（SOC）で、ログ分析ルールの管理やスレットハンティングのお仕事をしています。 1年目から小ネタでエンジニアブログのアドベントカレンダーを書かせていただいていて、もう3年目です。 私の一番長く続いている趣味は迷惑メール観賞です。 だいたい小学生時代から受け取りたいメールとそうでないメールの分類や、怪しいメールの観賞をしていました。 怪しいメールは集めるとその中に関連性やストーリーを見いだせることがあり、鑑賞だけでなく収集にも興味を持つようになった結果
Xの未来
私たちの変革と未来について 私たちはより良いXの未来を築くべく急速に革新を進め、この9ヶ月でこれだけの成果を上げることができました。これからのさらなる変化にぜひご期待ください。Xを支えてくれてくださっている皆様に心より感謝申し上げます。 Xには映画ファン、スポーツファン、テクノロジーファンなど、多様で熱狂的なコミュニティが世界中にあります。私たちの未来はそうした皆様とともにあります。 2022年11月 11/01 | 公式認証システムをサブスクリプションモデルに転換。 11/09 | イーロンによるX（旧Twitter）の大胆なビジョンを公開。 11/23 |強化されたパフォーマンス広告ソリューションがローンチ。 2022年12月 12/12 | Blue（旧 Twitter Blue）の正式提供を開始。 12/12 | Blue加入者は10分までの動画アップロードを可能に。 12/12
headless曰く、 バトルロイヤルゲーム「Apex Legends」ではチート対策の一つとして、検出したチーターやスパマー同士をマッチメイキングしているそうだ（Redditのスレッド、The Next Web、PC Gamer）。 このチート対策は、開発元Respawn Entertainmentのコミュニティーマネージャー、Jay Frechette氏（jayfresh_Respawn）がRedditで更新情報とともに明らかにしたものだ。このほかのチート対策としては、機械学習によりチーターを検出・自動ブロックする行動モデルの開発、特定の地域でリスクの高いアカウントに対する二要素認証の必須化、新しいスパムアカウントを使われる前に特定・ブロックする機能の強化、新しいチートへの対応、パーティーがどのように組まれているかの調査（チーターとパーティーを組んだ場合はチートしていなくてもチーターと
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
7payを廃止に追い込んだセブンイレブンへの「忖度」
Twitterが凍結されたのでWildebeestでFediverseに移住した
SIMスワップ攻撃で電話番号は簡単に盗まれる
経済産業省が事務作業を3分の1に削減！行政手続オンライン化の一翼を担う | 株式会社ヌーラボ(Nulab inc.)
スマホの電話番号を乗っ取られる「SIMスワップ」被害が増加 求められる対策とは？
個人開発(1人システム)担当者がサイバー攻撃に備える7つの心がけ - Qiita
認証アプリ｢Authy｣の安全性を危惧する声。何が問題なのか。Authyに登録したトークンをエクスポートして移行する方法
米国からマイナンバーを擁護する ー あるいはフラットモデルの災厄について｜ミック
ヤフーのサイバーセキュリティに対する考えと取り組み
HER-SYS戦記−新型コロナウイルス感染症対策におけるシステム− | COVID-19有識者会議
「ドコモ口座」不正出金で注目 「リバースブルートフォース攻撃」ってどんなもの？
VPNパスワード流出、原因は「テレワーク用に急きょ稼働させた旧VPN装置に脆弱性」 平田機工
「WordPress」利用時のリスクとその対策
Twitterの大規模乗っ取り、犯人は21歳のSIMスワッパーか──Krebs on Security報道
Gmailから乗り換えるならコレ！ 普段使いにぴったりなWebメールサービス3選
Google、「パスキー」を個人ユーザーのデフォルトに
NTT 東日本 - IPA 「シン・テレワークシステム」 - ダウンロード
平成のうちにやめたかった『ITの7つの無意味な習慣』 - Qiita
スタートアップの1人目SREが入社後にやってきたこと
Auth.jsを完全に理解する (基本編) #1 - Qiita
小学校教員がSMSフィッシング被害に 学級名簿などを保存したクラウドストレージの個人アカウントが奪われる
迷惑メールの歩き方 | IIJ Engineers Blog
Apex Legendsのチート対策、チーター同士を戦わせる | スラド セキュリティ