OneDriveが“勝手に同期”仕様変更に相次ぐ懸念「メチャクチャに」翻弄されるユーザーも…実際に検証してみた
OneDriveが“勝手に同期”仕様変更に相次ぐ懸念「メチャクチャに」翻弄されるユーザーも…実際に検証してみた | オタク総研
OneDriveが“勝手に同期”仕様変更に相次ぐ懸念「メチャクチャに」翻弄されるユーザーも…実際に検証してみた
はじめに はじめまして、セキュリティエンジニアのSatoki (@satoki00) です。今回はブラウザの開発者ツールのネットワークタブから隠れて、Webサイト内の情報を送信する手法をまとめます。所謂Exfiltrationというやつです。中にはCSPの制限をBypassするために用いられるテクニックもあります。CTFなどで安全に使ってください。 前提 発端はWeb上でテキストの文字数をカウントできるサイトが閉鎖する際の話です。カウント対象のテキストデータがサイト運営 (やサイトを改竄した攻撃者) に盗み取られていないかという議論が巻き起こっていました。「盗み取られていない」側の主張は、ブラウザの開発者ツールのネットワークタブにリクエストを送信した形跡がないというものでした。ここで ブラウザの開発者ツールのネットワークタブに表示がなければ外部へデータを送信していないのか？ といった疑問が
栗田COOは「最初に報告を受けたときはさすがに虚偽だと思ったが、社員が撮影したインターフォンの画像から社名および記者名まで把握している」と説明。続けて、報道機関が報道を目的に個人情報を扱う場合、個人情報保護法の適用除外となり、法的措置を取れないとも言及している。 栗田COOは「あくまで報道のモラルの問題ですので、こうしてお願いしている」と投稿の経緯を明かし、今後も続くようであれば社名を開示するとしている。 関連記事 KADOKAWA、漏えい情報の“悪質な拡散”を特定 計473件 削除要請・情報開示請求へ KADOKAWAが、ランサムウェアを含む大規模なサイバー攻撃を受けて従業員や一部取引先の情報などが漏えいした問題で、SNSなどで漏えい情報を拡散する行為のうち、悪質な例が473件あると発表した。「削除要請および情報開示請求を鋭意進めている」（KADOKAWA）といい、悪質性の高いケースには
徳丸さん、こんにちは。 読売のような大手メディアのサイトでもサポート詐欺の偽警告が表示されるようになってしまいましたし、今の時代は広告ブロッカーが必須と考えたほうが安全なのでしょうか？ 徳丸が書いていないことを質問いただくことが時々ありますが、私が書いてないのは書きたくない理由があるから（単にめんどうくさいも含む）です。ですが、せっかく質問いただいたので、思うところを書いてみようと思います。 まず、私自身は広告ブロッカーを使っていないです。その理由は、広告ブロッカーには危険なものがある（原理的にあり得るし、過去にあった）からです。過去には、広告ブロッカーが元の開発者から売却され、マルウェア化した例が複数あります。具体例は示しませんが、検索するとすぐに見つけられると思います。 広告ブロッカーがマルウェア化すると、これらはブラウザアドオンの形で動くため、非常に強い権限があり、すべてのサイトの情
NATO＝北大西洋条約機構は、今月、アメリカで行われた首脳会議で発表した首脳宣言で、ロシアがヨーロッパなどで「ハイブリッド攻撃」を激化させ加盟国の脅威になっていると指摘し、各国が連携して対抗することを確認したと明らかにしました。 NATOによりますと、「ハイブリッド攻撃」は破壊工作、暴力行為、不自然な移民や難民の増加、サイバー攻撃など、軍事力ではない手段で相手国に混乱などを引き起こそうとするもので、これまでもロシアによる「ハイブリッド攻撃」を警戒してきました。 3年前には、ロシアの同盟国ベラルーシのポーランド国境付近に突如、大勢の中東やアフリカの移民らが集まり、ポーランド側へ越境しようとして混乱に陥り「移民の武器化」とも伝えられました。 ヨーロッパ諸国では、この数か月、商業施設や公共施設などで不審な火災が相次いでいて、各国はロシアがウクライナを支援する国々に対し新たに「ハイブリッド攻撃」を
まず初めに、セキュリティー事件や事故が社会で深刻化し、その被害が急拡大していて、未然に防ぐためには利用者も気を付けなければいけない、というくだり。 ・・・これはわかる。使い方を間違えると危険なプログラムを社内に引き込んでしまい、大被害につながる。それはそうだろう。 次にランサムウェアを含むセキュリティー事件の仕組みの話。過去は、目立つために有名な企業が狙われたが、今はお金目的が大半。攻撃が成功すればいいので、むしろ有名な企業より、目立たない小さな企業や個人が狙われるようになった。 ・・・これもわかる。その通りだろう。今は完全にビジネスで攻撃者もやっている節がある。お金の話が必ず出てくる。 そして、どういうルートでランサムウェアが入り込むかという話になる。そこで、電子メールの話が強調される。電子メールの中に細工がしてあって、色んな経路で怪しげなプログラムを端末で実行させようと攻撃者は試みる。
OAuthの仕組みを説明してHonoで実装してみる
はじめに はじめまして！レバテック開発部でレバテックプラットフォーム開発チームに所属している塚原です。 直近に認証・認可周りの改修を予定しているため、チーム内で認証・認可の基礎からOAuth・OpenID Connectの仕組みを学ぶ勉強会を実施しました。今回はそこで学んだことのうち、認証・認可の基礎とOAuthの仕組みをまとめます。また、WebフレームワークとしてHono、JavaScriptランタイムとしてBunを使って、OAuthクライアントを実装してみます。 対象読者 認証と認可の違いってなんだっけ...?という人 Basic認証やDigest認証てなんだっけ...?という人 OAuthはライブラリ使って実装してるから仕組みよくわかっていない...という人 OAuthのクライアントの実装って何をすればいいんだっけ...?という人 認証・認可の基礎 2024/7/18 追記 こちらで
米Googleは7月18日（現地時間）、2019年3月に生成を停止したURL短縮サービス「goo.gl」を、2025年8月25日に完全停止すると発表した。 goo.glは、2009年に立ち上げたURL短縮サービス。生成停止後も、既に生成された短縮URLは実際のURLにリダイレクトされていた。 8月23日から来年8月24日までは、短縮URLから実際のURLにリダイレクトされる前に終了を告知するページが表示されるようになる。 来年の8月25日以降は、すべてのgoo.glのURLには404エラーが返されるようになる。 短縮URLサービスは2009年前後に、Twitter（現X）の140文字制限にリンクを貼る場合などのニーズを受けてtr.imやbitlyなど、複数の企業が提供していた。 関連記事 Google、ドメイン登録サービスを手放す 約1000万ドメインが他社に 米Googleが、ドメイン登
Published 2024/07/14 21:08 (JST) Updated 2024/07/14 21:25 (JST) 政府はサイバー攻撃に先手を打って被害を未然に防ぐ「能動的サイバー防御」を巡り、インターネットの住所に当たるIPアドレスや通信量の変化などの付随的な「メタ情報」について、政府機関による監視を平時から可能とする方向で検討に入った。プライバシーに配慮し、メールの件名や本文のようなデータ本体は原則、収集の対象外とする。複数の政府関係者が14日明らかにした。 ネット空間の監視強化には憲法21条が規定する「通信の秘密」を侵害するとの懸念がある。攻撃元検知を目的に、直接的に個人が特定されないメタ情報限定で収集するならば、正当な行為として許容されると判断した。 関係者によると、国内の通信事業者が保有するメタ情報を政府が取得する仕組みの構築を検討。情報の収集、管理は内閣サイバーセキ
残暑が厳しく、まだまだ水分補給が欠かせない時期が続いています。出掛ける際、子どもが水筒を持ち歩く機会も多いと思いますが、転倒した際に首や肩に掛けていた水筒がお腹に当たり、内臓を損傷する等といった思わぬ事故が発生しています。 消費者庁・国民生活センターには、水筒を持ち歩く子どもの転倒事故についての情報が、医療機関(※1)から寄せられています。 「水筒(1リットルの容器)を斜め掛けにして歩いていたところ坂道で転倒し、地面と水筒に挟まれる形で腹部を強打した。脾損傷のため集中治療室に入院し、保存加療で10日後に退院した。」(9歳)(※1) 「通学中に友人と追いかけっこをしていたところ転倒し、斜め掛けしていた水筒が腹部の右側に当たった。痛みと嘔吐があり救急搬送され、小腸破裂、汎発性腹膜炎のため緊急手術の上、集中治療室に入院した。」(10歳)(※1) 「登校中、走っていたところ硬い土の場所でつまずいて
ネット民の「祭り」がKADOKAWAを追い詰めた 興味本位の行動で犯罪集団の思うツボに | AERA dot. (アエラドット)
ブラックスーツが出した犯行声明の画面 この記事の写真をすべて見る 出版大手KADOKAWAがサイバー攻撃を受け、同社の社内情報が外部に大量流出した。同社から情報を盗み出し金銭を要求したのは、ロシア系とされるサイバー犯罪集団だ。苦しい立場に立たされたKADOKAWAをさらに追い詰めたのは、皮肉にも「ネット民」たちの行動だった。AERA 2024年7月22日号より。 【動画配信でおわび】「ＫＡＤＯＫＡＷＡの夏野剛社長」はこちら ＊ ＊ ＊ サイバーセキュリティー専門家の森井昌克・神戸大名誉教授は「このような事件の展開は経験がない。（1日の大半をネットに費やす）ネット民が犯罪集団の手助けをしたと言われても否定できない」と驚く。 一体、何が起きたのか。まずは事件の概要をおさらいしたい。 KADOKAWAの発表によると、同社グループが使うサーバーがシステム障害を起こし、アクセスできなくなったのは
ドイツ、5Gから中国通信機器大手を排除へ
中国通信機器大手・華為技術（ファーウェイ）と中興通訊（ZTE）のロゴ（2024年7月11日作成）。(c)Josep LAGO and Pau BARRENA / AFP 【7月12日 AFP】ドイツは11日、第5世代（5G）移動通信システムから中国通信機器大手、華為技術（ファーウェイ、Huawei）と中興通訊（ZTE）の製品を今後数年間にわたって段階的に排除すると明らかにした。欧州連合（EU）が両社について、EUにリスクをもたらすと警告していた。 内務省によると、ファーウェイとZTEの製品は、遅くとも2026年末までに5Gの「コアネットワーク」では使用できなくなる。 5Gのアクセス・伝送インフラにおいては、2029年末までに通信事業者のシステムを交換しなければならない。 内務省は5Gネットワークについて、ドイツにとって「極めて重要インフラ」の一部であり、医療から輸送、エネルギーまでさまざま
6月18日に「国民を詐欺から守るための総合対策」の報道で、「スマホ本人確認をマイナンバーカード一本化」という実際の施策とは異なるタイトルの話題が盛り上がった。5月には「偽造マイナンバーカード」を用いた「SIMスワップ」と呼ぶ手法で他人のスマートフォンの電話番号（SMS）を乗っ取り不正決済に利用される事件も話題になった。 「スマホ本人確認をマイナンバーカード一本化」報道のもとになった政府の「国民を詐欺から守るための総合対策」の概要では、赤線のように「マイナンバーカード“等”」となっている。後述するが、これはICチップを搭載する運転免許証や在留カードなども含む。「原則一本化」は法律上の本人確認方法が券面の提示のみという偽造に弱い状況を一新し、ICチップでの真贋確認を義務付けることを意味する 5月には偽造マイナカードを用いた「SIMスワップ詐欺」が話題になった。偽造の本人確認書類で他人のSIMカ
こんにちは、エムスリーエンジニアリンググループの福林 (@fukubaya) です。 golangでずっと課題に思っていたエラーの処理について試行錯誤してみました。 イオンモール センソックシティは、カンボジアにある商業施設。本文には関係ありません。 エラー処理のベストプラクティスは？ ぼくがかんがえるエラー処理の要件 検討したパッケージ 構造化ログ パッケージの検討 pkg/errors cockroachdb/errors goark/errs go-errors/errors go-errors/errors がよさそう? pkg/errors や cockroachdb/errors は使えないのか ラップして使う errors.WithStack(err) と呼びたい slogで使う errors.Join() に対応したい まとめ We are hiring! エラー処理のベス
19日午後1時40分ごろ、成田空港を拠点とするLCC＝格安航空会社、ジェットスター・ジャパンの国内線の搭乗手続きのシステムが使えなくなるトラブルが起き、午後5時現在、国内線のあわせて20便の欠航が決まったということです。会社では世界的に発生している大規模な障害の影響とみて原因を調べるとともに復旧作業を進めています。また日本航空によります。19日午後2時すぎからホームページやアプリ上で航空券の予約など一部のサービスが利用できなくなっているということです。利用できなくなっているのは、ホームページやアプリ上での国際線の予約や購入、それに予約の取り消しなどのサービスのほかマイルを交換して購入する航空券については国内線、国際線ともに予約や購入、予約の取り消しなどのサービスが利用できないということです。会社によりますと、今回のシステムの不具合が、世界的に発生している大規模な障害と関連しているかどうかは
セキュリティ研究者のAlexander Peslyak氏(通称：Solar Designer)は7月8日(現地時間)、Openwallのメーリングリストに投稿した「oss-security - Re: CVE-2024-6387: RCE in OpenSSH's server, on glibc-based Linux systems」において、特定環境のOpenSSHから脆弱性を発見したと伝えた。これは7月1日に公開されたセキュリティ脆弱性「regreSSHion」のレビュー中に発見された脆弱性とされる(参考：「OpenSSHに管理者権限で任意コード実行の脆弱性、アップデートを | TECH+（テックプラス）」)。 oss-security - Re: CVE-2024-6387: RCE in OpenSSH's server, on glibc-based Linux system
米通信キャリア大手のAT&Tは7月12日（現地時間）、約1億900万人、“ほぼ全員の”モバイル顧客データがサードパーティのクラウド上のワークスペースから違法にダウンロードされたことが判明したと発表した。 AT&Tは米Bleeping Computerなどに対し、「サードパーティのクラウド」が米Snowflakeであることを明らかにした。 AT&Tが米証券取引委員会（SEC）に提出した書類によると、盗まれたデータには、2022年5月1日から10月31日までと2023年1月2日に行われた、AT&Tのほぼすべてのモバイル顧客とMVNOの顧客の通話記録とテキストメッセージ記録が含まれていた。 通話やテキストの内容、顧客名、社会保障番号や生年月日などの個人情報は含まれていなかったとしている。 顧客はFAQページで自分の電話番号も含まれているかどうかを確認できる。 Snowflakeは、法人顧客向けに
東京ガスは、子会社のネットワークに不正アクセスがあり、取引先から提供されていた個人情報およそ416万人分が流出した可能性があると発表しました。今のところ、個人情報が不正に利用された事実は確認されていないということです。 発表によりますと、先月26日、東京ガスの子会社のネットワークに不正アクセスがあったことが確認され、外部の専門機関が調査したところ、東京ガスや子会社のサーバーに保管されている個人情報が流出した可能性があることが分かったということです。 この子会社は、別のガスや水道の事業者などにインフラの管理システムを販売する事業を行っていて、これらの取引先から提供されていた顧客の氏名や住所、連絡先などおよそ416万人分が流出した可能性があるということです。 この中には、金融機関の口座情報やクレジットカードの情報は含まれていないとしています。 また、子会社の従業員の氏名や住所などおよそ3000
東京ガスの子会社が不正アクセスを受けて個人情報約416万人分が漏洩した可能性がある問題を巡り、侵入経路はVPN（仮想私設網）装置経由であったことが日経クロステックの取材で2024年7月18日までに分かった。現在は外部との接続を遮断するなど対策を講じた上で、被害範囲や原因などについて調査を進めている。2024年7月18日午前10時時点で情報の不正利用は確認されていないという。 不正アクセスを受けたのは、ガスや電力の営業を手掛ける東京ガスエンジニアリングソリューションズ（TGES）。2024年6月26日に、同社ネットワークへの不正アクセスを検知したという。同社は即日、外部との接続を遮断した上で専門機関による協力を受けて調査を進めたところ、特定のファイルサーバーへのアクセスに必要な従業員のIDとパスワードが複数窃取されていたことが、2024年7月9日に判明したという。 窃取されたIDとパスワード
福岡での事案「首から水筒をかけたら危ないぞ」の注意喚起がすでに漫画「わたしの死にかた」の収録エピソードだった→そこは周知されて欲しい
ライブドアニュース @livedoornews 【事案】「首から水筒をかけたら危ないぞ」、男が小学生女児に声かけ 福岡 news.livedoor.com/article/detail… 福岡県警田川署は、16日午前11時40分ごろ、小学生女児らが見知らぬ男から「首から水筒をかけたら危ないぞ」などと声をかけられる事案が発生したとして、防犯メールで注意を呼びかけた。 pic.twitter.com/l5lZzr8kP8
「あなたのコンピュータがウイルスに感染しています。今すぐコンピュータのスイッチを入れてください」──米Microsoftの名をかたる男がそう促す。電話を受けているのは高齢の男性と思われる声。「ええと、何だったかな、もう一度言ってくれないか？」。そう言って男に何度も何度も説明を繰り返させ、話がかみ合わないまま延々と電話が続く。 実はこれ、詐欺電話を受けているのは人間ではなく、AIである。 AI vs. 詐欺電話 AIは“自慢話”で対抗 電話で被害者をだまして信頼させ、現金などを詐取する特殊詐欺は世界中で問題になっている。そうした手口に対し、AIに相手をさせて詐欺電話をかけてきた相手をだまし、延々と会話を続けて時間を浪費させることで被害者を減らそうという取り組みが進められている。 冒頭の詐欺電話に応対しているのは、実はAIチャットbotの「Lenny」だった。相手をだまして指示に従わせようとす
AIデバイス「Rabbit R1」をジェイルブレイクしたところ「ユーザーの位置情報を勝手に送信」「オープンソースのライセンス違反」などが次々発覚
AIデバイス「Rabbit R1」には基本システムソフトウェアとして「RabbitOS」が搭載されています。そんなRabbitOSをジェイルブレイクしたところ、位置情報やWi-Fiネットワーク名などをストレージのテキストファイルに保存していたことが、ソフトウェアエンジニアのデヴィッド・ブキャナン氏によって報告されています。 Jailbreaking RabbitOS: Uncovering Secret Logs, and GPL Violations | Blog https://www.da.vidbuchanan.co.uk/blog/r1-jailbreak.html 技術系スタートアップのRabbitが開発したAIデバイス「Rabbit R1」は話しかけるだけで音楽を再生したり食事を注文したりできるAIアシスタントデバイスとして期待されていましたが、実態は既製APIを用いてAnd
東京ガス株式会社（以下「東京ガス」）子会社の東京ガスエンジニアリングソリューションズ株式会社（以下「TGES」）のネットワークへの不正アクセスにより、TGESのサーバーおよび東京ガスの法人事業分野のサーバーに保管されているお客さま等に関する情報について流出の可能性があることが2024年7月9日に判明いたしました。 外部への情報流出の可能性について個人情報保護委員会へ報告し、警視庁や独立行政法人情報処理推進機構（IPA）をはじめとした外部の専門機関の協力も得て調査を進めておりますが、現在その痕跡は確認されておりません。また、現時点で情報が不正利用された事実も確認されておりません。 なお、不正アクセスを受けたTGESネットワークへの外部からの経路は、速やかに接続遮断を行い、それ以降外部からアクセスが出来ないよう対策を講じております。 このたびは、多くの方に多大なるご迷惑、ご心配をおかけしており
はじめに こんにちは、セキュリティエンジニアのJJ (yuasa)です。今回はGitHub Actionsのワークフローにおける脅威検知ツールであるtracee-actionを触り、検知ルールの書き方について見ていきます。なお、tracee-actionは2024年7月時点で本番環境での利用は想定されていない点にご注意ください。 This project is not production ready. We are experimenting with it to test and demostrate Tracee capabilities. tracee-action tracee-actionはTraceeを用いてGitHub Actionsのワークフローにおける脅威を検知します。TraceeはeBPFを用いてLinuxランタイム上でのシステムコールを検出することができるツールです
携帯電話やインターネット回線などを提供する大手通信企業のAT&Tは現地時間の2024年7月12日、サイバー攻撃により約1億1000万人いる顧客のデータを「ほぼすべて」盗み出されたと発表しました。 Unlawful Access of Customer Data - AT&T Bill & account Customer Support https://www.att.com/support/article/my-account/000102979 AT&T says criminals stole phone records of 'nearly all' customers in new data breach | TechCrunch https://techcrunch.com/2024/07/12/att-phone-records-stolen-data-breach/ Ame
なぜ多機能な製品は、セキュリティ的に“ダメ”なのか
いつまでたってもなくならないVPN機器の脆弱性 その背景にあるもの ここ最近で話題になったインシデントの多くが、VPN機器の脆弱性をきっかけとしていることは、皆さんもご存じのはずです。かつて大きな話題になった病院におけるインシデント群もやはりVPN機器でした。特に大阪急性期医療センターのランサムウェア被害事例はサプライチェーンを通じて、関連会社から侵入を許してしまったというものでした。自社だけでなく関連会社や関連拠点に置かれた機器も、正しく管理しなくてはならないというのが、現状のランサムウェア対策を困難にしています。 かつてネットワークベンダーの間では「UTM」（Unified Threat Management：統合脅威管理）製品が大変なブームになりました。UTMが一段落したかと思えば、次世代UTMというものもプロモーションのキーワードとして多用されてきています。一方、UTMの導入現場で
Googleのドメイン登録サービス「Google Domains」から移管されたドメインが移管先の脆弱性によってハイジャックされてしまう
2024年7月、ウェブサイト構築・ホスティングサービスやドメイン登録サービスを提供するSquarespaceのドメインを標的として、組織的なドメインネームシステム(DNS)ハイジャック攻撃が行われました。主に仮想通貨ビジネスを標的とした今回の攻撃は、2023年にSquarespaceの買収によってGoogle Domainsから移管されたドメインに関連しているとのことです。 DNS hijacks target crypto platforms registered with Squarespace https://www.bleepingcomputer.com/news/security/dns-hijacks-target-crypto-platforms-registered-with-squarespace/ Researchers: Weak Security Defaults
Windowsによるブルースクリーン発生、CROWDSTRIKE社が復旧手順を公開（大元隆志） - エキスパート - Yahoo!ニュース
本日14:30分前後から世界的にWindows端末がブルースクリーンになる事象が発生しています。 本件はWindowsがインストールされているパソコンにCROWDSTRIKE社のFalcon Sensorが導入されている場合に発生します。 現在、CROWDSTRIKE社はこの問題を特定し、原因は取り除いたと発表しています。 ただし、本事象が発生している場合にはWindows自体が起動しなくなってしまうため、CROWDSTRIKE社はWindowsのSafe Modeでの復旧手順を公開しています。 パソコンが起動せずインターネット接続が出来ない企業担当者向けにCROWDSTRIKE社サポートページの内容に関する内容を記載します。 Summary CrowdStrike は、Falcon Sensor に関連する Windows ホストでのクラッシュの報告を認識しています。 詳細 症状には、F
弁当屋チェーンなどを展開するオリジン東秀（東京都調布市）は7月12日、自社Webサイト内の「お客様お問い合わせフォーム」から、利用者の個人情報などが漏えいした可能性があると発表した。 7月10日の午前10時から7月11日午前11時の間に、問い合わせフォームで利用者が入力した、氏名、性別、住所、年代、電話番号、メールアドレス、問い合わせ内容が漏えいした可能性がある。12日時点で把握しているのは最大31件という。 該当する利用者には個別に知らせている。同社は「今後は原因究明に努めるとともに、個人情報を取り扱う上での管理体制をより一層強化するなどの再発防止策を実施してまいります」としている。 オリジン東秀は、1966年に中華料理店として設立（当時の社名は東秀）。1994年から展開している「オリジン弁当」は500店舗を数える一大チェーンに成長した。2006年にイオンの連結子会社となり、14年からは
LINEアプリの利用者情報の流出問題をめぐり、LINEヤフーの資本関係の早期見直しを、大株主のソフトバンクが断念したことが16日わかった。総務省が求めていたが、韓国国内の世論の反発をうけて、韓国IT大手ネイバーと折半での出資を当面継続する。 ソフトバンク関係者が明らかにした。総務省の行政指導に対し、韓国の野党の一部やネイバーの労働組合が反発。ネイバーとの協議を続けてきたが、「今は動けない」（関係者）という。 一方で、将来的にはLINEヤフーを「国産のプラットフォーム」にしていくため、株の買い増しを中長期で目指していく方針は変わらないとした。 LINEヤフーは1日、再発…
東京ガスは先ほど東京ガス子会社のネットワークへの不正アクセスにより、業務上必要な情報として業務委託先から提供を受けている一般消費者の方の個人情報、氏名・住所、連絡先など約416万人分が流出した可能性があるとして謝罪した。 東京ガスによると、子会社の東京ガスエンジニアリングソリューションズ株式会社（以下TGES）のネットワークに不正アクセスがあり、TGESのサーバーおよび東京ガスの法人事業分野のサーバーに保管されている顧客等に関する情報について、流出の可能性があることが7月9日に判明したという。 流出の可能性のある個人情報は「業務上必要な情報として業務委託元から提供を受けている一般消費者の方の個人情報」約416万人分で、含まれるのは氏名、住所、連絡先などで、金融機関口座情報やクレジットカード情報は含まれないとしている。 さらに、「これまで取引のある法人等に所属する方の個人情報」の氏名、メール
著名なセキュリティーリサーチャーのpiyokango氏が注目のシステムトラブルをピックアップ。今週の注目ネタは……。 今回は3件のシステムトラブル関連トピックを取り上げる。情報処理推進機構の注意喚起と、ユニテックフーズの不正アクセス被害、新日本製薬のランサムウエア被害である。 国内外で悪用を確認された深刻な脆弱性 情報処理推進機構（IPA）は2024年7月5日、PHPの脆弱性を悪用する活動が国内で確認されたとしてPHPの利用者に注意を呼び掛けた。 脆弱性は6月7日に情報公開され、識別子として「CVE-2024-4577」が採番された。Windows上で脆弱性が存在するバージョンのPHPをCGIモードで稼働させていると、外部からシステムが乗っ取られたり、機密情報が流出したりする恐れがある。 IPAによれば、国内の複数組織が当該脆弱性を悪用した攻撃を受け、Webサービス上にバックドアが仕掛けら
攻撃されやすい人向け、Gmail「強固なセキュリティ機能」が誰でも利用しやすくなる | Forbes JAPAN 公式サイト（フォーブス ジャパン）
20億人近い人々が無料のGmailを利用し、毎日3000億通のメールが同サービスを介して行き交っている。Gmailのデータへの扉となるGoogleアカウントが、犯罪者や国に雇われたハッカーたちの主要なターゲットになっていることに不思議はない。 グーグルの「高度な保護機能プログラム」は、政治家、活動家、ジャーナリストといったオンライン攻撃の標的となるリスクが高いユーザー向けに、アカウントにアクセスするための最も安全性の高いオプションだ。これまで二要素認証（2FA）の方法として、ハードウェアによるセキュリティキーが必要であり、別途費用がかかっていた。 グーグルは、「高度な保護機能プログラム」（APP）に登録するユーザーはハードウェアキーの代わりに「パスキー」も使用して、個別の二要素認証は必要なく、オールインワンのログイン方法として利用できるようになったと発表したのだ。 パスキーが「高度な保護機
【ワシントン聯合ニュース】米連邦検察は１６日（米東部時間）、韓国政府のエージェントとして活動したとして米中央情報局（ＣＩＡ）元分析官のスミ・テリー氏を起訴した。テリー氏は韓国系米国人で、北朝鮮専門家として知られる。 米紙ニューヨーク・タイムズによると、ニューヨーク連邦検察はテリー氏が高価な食事の接待を受けたり、高級バッグなどを受け取ったりした見返りに、韓国政府のために活動したとみている。 しかし、テリー氏の弁護側はこれらの容疑を強く否定しているという。 訴状によると、２００８年にＣＩＡを退職したテリー氏はそれから５年後の１３年６月から約１０年間、韓国政府のエージェントとして活動した。同期間に韓国政府の政策を擁護するため、米国と韓国のメディアに出演したり、寄稿したりした。これには１４年のニューヨーク・タイムズも含まれていると、同紙は伝えた。 csi@yna.co.kr
ニコニコ超開示のKADOKAWA、加害者でもあるのになぜか被害者面だけを強調して強い言葉で周りを威嚇 : 市況かぶ全力２階建
コナミ、パワプロ30周年記念作品なのに不具合が多すぎてお金を払ってくれたユーザーにデバッグまでやらせる結果に
PostgreSQLのセキュリティや可用性などを企業向けに強化した「Charmed PostgreSQL」、Canonicalが正式リリース
PostgreSQLのセキュリティや可用性などを企業向けに強化した「Charmed PostgreSQL」、Canonicalが正式リリース Ubuntuの提供元として知られるCanonicalは、企業向けにPostgreSQLのセキュリティや可用性などを強化した「Charmed PostgreSQL」の正式リリースを発表しました。 Experience enhanced security and automation for your databases with enterprise-grade PostgreSQL.https://t.co/NpUSYhA8MP See this Instagram photo by @ubuntu_ph_official https://t.co/0tu1dHZOGK pic.twitter.com/jqxNYzp1Qg — Ubuntu Phil
オーストラリアの空港や国内線の機内に偽の無料Wi-Fiアクセスポイントを設置して他人の個人情報を盗んだとして、42歳の男が逮捕・起訴されました。オーストラリア連邦警察は、公共の無料Wi-Fiに安易にアクセスすることを控えるよう警鐘を鳴らしています。 WA man set up fake free wifi at Australian airports and on flights to steal people’s data, police allege | Cybercrime | The Guardian https://www.theguardian.com/technology/article/2024/jun/28/wa-man-fake-free-wifi-airports-data-theft-ntwnfb Australian charged for ‘Evil Twin’
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ブラウザ開発者ツールのネットワークタブに表示されない情報送信手法 - Qiita
「エンジニア宅への突撃取材はやめて」 ドワンゴ栗田COOが注意喚起 ある新聞社が漏えい情報から住所特定
徳丸さん、こんにちは。 読売のような大手メディアのサイトでもサポート詐欺の偽警告が表示されるようになってしまいましたし、今の時代は広告ブロッカーが必須と考えたほうが安全なのでしょうか？ | mond
世界規模でWindowsデバイスが次々とブルースクリーン（BSoD）に！ 大規模障害発生中／「CrowdStrike Falcon Sensor」に含まれるドライバーが原因か
“ロシアの「ハイブリッド攻撃」欧州で激化”NATO 各国対抗へ | NHK
セキュリティー研修を受けるといつも思うこと - orangeitems’s diary
Google、URL短縮サービス「goo.gl」を2025年8月に完全終了へ
政府が「メタ情報」を平時監視へ 能動的サイバー防御巡り検討 ｜ 共同通信
Vol.635 水筒を持ち歩くときの転倒事故に注意! | 消費者庁
スマホ本人確認「マイナカード一本化」は本当？ 実情とSIMスワップ詐欺問題を知る
goのエラーをスタックトレースも含めて構造化ログで残したい - エムスリーテックブログ
【速報中】世界各地でシステム障害 空港など影響 国内でも | NHK
OpenSSHに再び任意コード実行の脆弱性、確認とアップデートを
AT&T、新たなデータ侵害で“顧客のほぼ全員”の通話記録を盗まれる
東京ガス“個人情報約416万人分流出か 子会社に不正アクセス” | NHK
東京ガス子会社への不正アクセスは「VPN装置経由」、個人情報約416万人分漏洩か
詐欺電話にとって“最悪な悪夢”──悪質業者と長電話するAI 「ええと、何だったかな？」＆自慢話を繰り返す
葬ったはずでは!? 「Internet Explorer」が蘇るゼロデイ脆弱性、Kasperskyが注意喚起／Windows 10/11の最新パッチを適用しておこう【やじうまの杜】
不正アクセスによるお客さま等に関する情報流出の可能性についてお詫びとお知らせ | 東京ガス
GitHub Actionsの脅威検知ツール tracee-action を触ってみる
アメリカの大手通信キャリアが1億1000万人の顧客「ほぼすべて」の電話記録を盗まれたことが発覚
セキュリティソフト「ESET」シリーズに脆弱性 ～サービス拒否（DoS）の恐れ／不正なアクセス権限により特定のファイルを削除できてしまう
「オリジン弁当」運営会社で利用者の個人情報漏えいの可能性 最大31件
LINEヤフーの資本見直し当面断念 韓国・ネイバーの出資継続へ：朝日新聞デジタル
【速報】東京ガスが子会社への不正アクセスにより個人情報など約416万人分が流出の可能性と発表 ｜FNNプライムオンライン
PHPの深刻な脆弱性、IPAが「ネットワーク貫通型攻撃」の悪用に注意喚起
米検察 ＣＩＡ元分析官のスミ・テリー氏を起訴＝「韓国政府のため活動」 | 聯合ニュース
偽の無料Wi-Fiアクセスポイントを空港や飛行機内に設置して個人情報を盗んだ男が逮捕される