Smoozサービス終了に寄せて
202012_smooz.md Smoozサービス終了に寄せて 前置き この文章と、それに含まれる考察や各サービスへの脆弱性報告などはmala個人の活動であり、所属している企業とは関係ありません。 一方で私は、企業が閲覧履歴を収集して何をしたいのか、所属してる企業や他社事例について、ある程度詳しい当事者でもあります。 一般論として書けることは書けるが、(業務上知り得た知識で開示されてないものなど)個別具体的なことは書けないこともあり、また観測範囲に偏りがある可能性もあります。 Smoozに報告した脆弱性2件 最近、Smoozというスマホ向けのブラウザアプリに2件脆弱性の報告をした。 この記事を書いている時点で、Smoozの配布が停止されていて、修正バージョンの入手が出来ない。 2件目についてはまだ返事が来ていない。 脆弱性情報の開示にあたって特段の許可は得ていないが、開発元からも利用停止す
はてなブックマークボタンを設置した一部サイトに対するセキュリティ警告に関して - はてなブックマーク開発ブログ
10月15日（水）より、はてなブックマークボタンを設置したサイトの一部に対して、はてなブックマークボタンが原因とされるセキュリティ上の警告が、Googleセーフブラウジング等において報告されています。 この警告に対して、はてなでも15日より調査を行っておりますが、はてなブックマークボタンの貼り付けコードを配信しているサーバーに対する侵入や、貼り付けコードそのものの改ざんは確認しておりません。 この警告に関して、はてなに起因するセキュリティ上の問題はなかったものと判断しています。警告が報告された要因については、はてな外部のネットワークなどにある可能性が考えられますが、詳細や影響範囲については現時点でなお調査中です。 はてなでは、サービスのセキュリティを維持するよう日々さまざまな監視や対策を行っております。はてなのサービスに関して、セキュリティ上の懸念点等を発見された場合は、下記のページに従っ
はてなブックマークボタンが改ざんされマルウェア感染を媒介していた可能性について
昨日、Chromeに突然セキュリティ警告が出た、という記事を書いたのですが、そのセキュリティ警告が出た原因をせっせとたどった結果、はてなブックマークボタンが利用するb.st-hatena.comサーバが改ざんされ、多数のサイトを、マルウェアを配布する状態にしていた形跡があったので、説明します。最初に書いておきますが、10/17現在は改ざんされていない、正規のファイルが取得できる状態です。 ※はてなから、公式発表がありました。記事の最後にその記事についてのことを追記しました。 目次 1. Chromeに出たエラー2. 経緯3. マルウェア配布サイト java-se.com へ接続するまで4. 改ざん内容5. bookmark_button.js の正体は、はてぶボタン用 JavaScript6. Googleセーフブラウジング情報の照合6.1. java-se.com6.2. b.st-ha
はてなにログインしてると人のブログを見ただけでユーザー名がバレる - 素人がプログラミングを勉強していたブログ
11 August 2014: はてなのサポートから連絡がきた。 いつもはてなをご利用いただきありがとうございます。 ご指摘いただきました件につきまして、ただいま対応を検討しております。 第三者に悪用される可能性もございますので、 もし、脆弱性を確認された場合には、先に弊社にご連絡いただき、 脆弱性が修正されるまで、ブログなどで詳細を公開されないようご協力いただけますと幸いです。 もしなにかご不明な点などございましたらご連絡ください。 どうぞよろしくお願いいたします。 しかしサポートにはこの記事のURLしか送っていないし、既に（一部ユーザによるDDoSも含めて）89656のスターがつくほど閲覧されているので、この記事を消してもしょうがない。よって、このまま放置する。読者は修正されるまで、決して悪用しないでほしい。 テスト RSSで見てる人は直接開いてください はてブで指摘があったが、このペ
2014-06-20
はてなへのリスト型アカウントハッキングと思われる不正ログインについてのご報告と、パスワード変更のお願い 昨日6月19日（木）、はてなアカウントにおいて、ご登録ユーザーご本人以外の第三者による不正なログインが発生したことを確認しました。同日、疑わしいIPアドレスからのアクセスを遮断しました。このお知らせは本告知と並行して、全ユーザー様にも現在、メール送信しております。 前回告知した不正ログインと同様に、他社サービスから流出または不正取得されたアカウント情報（IDとパスワードの組み合わせ）を流用された「リスト型アカウントハッキング（リスト型攻撃）」である可能性が高いと考えています。 参考資料：「リスト型アカウントハッキングによる不正ログインへの対応方策について」（総務省） http://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000063.h
2014-02-24
不正ログイン防止のため、パスワードと登録情報のご確認をお願いします 弊社自身の調査により、はてなのサービスに対して外部から不正なログインが行われた可能性があることが判明しました。 ただし、弊社サーバーへの侵入によるアカウント情報の流出や、パスワードを機械的に推測してログインを試行するといった不審な行動は確認されておらず、他社サービスから流出または不正取得されたアカウント情報（IDとパスワードの組み合わせ）を流用された可能性が高いと考えています。 そこで、他社サービスと同一のID（メールアドレスまたはユーザー名）およびパスワードを使用しているユーザー様は、安全のため登録メールアドレスがご自身のものであるかを確認の上、早急にパスワードを変更してください。 それ以外のユーザー様も、下記にあるように登録情報等をご確認の上、より安全なパスワードと、正しく有効なメールアドレスを設定いただけるようお願い
2012-10-03
「ポイント付きメッセージ送信」機能の停止継続と、脆弱性への対応について 2012年10月1日にお知らせさせていただいた通り、あるユーザーから他のユーザーへ、はてなポイントを送信する機能である「ポイント付きメッセージ送信」を、2012年9月30日の12時26分ごろから停止させていただいております。停止の理由は脆弱性を確認したためです。 この脆弱性により、ある1人のユーザーが、はてなポイントを不正に取得しました。さらに、人力検索はてなの回答への配当として、複数のユーザーに不正に取得したポイントを配布しました。 はてなは、はてな利用規約 第7条（利用料金）の12に基づき、不正に取得したポイントと、そのポイントから派生した取引を取り消しました。取り消し処理は2012年10月2日までに終わっています。 あわせてはてなは、本脆弱性を用いた不正利用が他にないかを調査しました。調査の結果、本脆弱性を用いた
ニセはてなポイント事件について - 凹レンズログ
はてな人力検索にて、ひとつの事件が起こりました。回答者にはポイントを分配するという旨の質問がたてられ、現金にして約300万円のポイントが一気に配分されたのです。今回は、このニセポイント事件(通称300億事件)について書いてみようと思います。 ＊以下の質問やはてなハイクにも情報が集約されています 300億の行方、どうなったでしょうか？ 人力検索 - はてなハイク 経緯 時間経過は以下のようなものです。 9/28 id:wsptによって、「ポイントぶちまけようか」という題名で4つの質問が立てられます。その内2つが以下です（非公開になっていますが） 人力検索はてな人力検索はてな 1〜3の質問では、合計で各10000ポイントが配分されており、この程度のものであれば大きな騒ぎにはなりませんでした。 最後の質問では、合計で約3000000ポイントが放出されました。個人には最高で、65535ポイントが配
はてなブックマークボタン設置サイトがトラッキングをしていた問題 | 水無月ばけらのえび日記
公開: 2012年3月15日2時15分頃 2011年9月からとのことですが、正直申しまして、全く気づいておりませんでした……。 はてなブックマークボタンは2011年9月1日より行動情報の取得をしている (d.hatena.ne.jp)ブログパーツやソーシャルボタンの類でアクセスログが残るのは当然だけどトラッキングされるのは当たり前にはなっていない - 最速転職研究会 (d.hatena.ne.jp)はてなブックマークボタンのトラッキング問題で高木浩光先生が決別ツイートをするに至った経緯まとめ (matome.naver.jp)はてなブックマークボタンを外しました (blog.tokumaru.org)はてブボタンを表示するスクリプトがスパイウェア的な挙動をしていたことが話題に (it.slashdot.jp)はてなブックマークを経由したトラッキングに関するお詫び (www.nantoka.
はてなブックマーク開発ブログ
はてなブックマークのブックマーク数が多い順に記事を紹介する「はてなブックマーク数ランキング」。9月4日（月）〜9月10日（日）〔2023年9月第2週〕のトップ30です*1。 順位 タイトル 1位 OpenInterpreter / ついにAIがガチのアシスタントに!これは凄い、というか凄すぎる｜shi3z 2位 元給食営業マンが「ホーユー」の学校・警察での給食提供停止騒動の原因をざっくり解説してみた。 - Everything you've ever Dreamed 3位 横向きA4サイズの現代アート。霞が関の「ポンチ絵」はどうして生まれたか？ その知られざる使命とは｜narumi 4位 ダイヤモンドにかかった魔法が解ける日。天然ダイヤの終焉？｜nayadia 5位 小児性愛者だけど生きるのが辛い 6位 ジャニーズ事務所、ブランド名を温存について（9/8追記） - はてブの出来事 7位 (
2012-03-13
はてなブックマークボタンから収集した行動情報の第三者提供をやめます 皆さま、大変申し訳ありません。はてなブックマークボタンで収集される行動情報の外部企業への提供をやめます。 先週から、この情報提供について、多くの皆さまから反対のご意見をいただきました。はてなブックマークは、あらゆるページから簡単にブックマークでき、たくさんのブックマーク情報から人気の記事が得られる最高のサービスを目指しています。その一環として、はてなブックマークボタンの普及に努めてきました。2011年9月に、新しい収入源の開発と、ウェブサイトを訪れた際に最適な広告が表示されることでより価値の高い情報が手に入ることを目的に、はてなブックマークボタンで収集した行動情報の第三者への販売を開始しました。 ブックマークボタン本来の目的は、「ブックマーク数が分かる」ことと、「簡単にブックマークできる」ことです。このボタンの表示から得た
はてなブログ | 無料ブログを作成しよう
トルコ水紀行 －前編 イスタンブール－ みなさんこんばんは、地図子です！8月は久しぶりに毎月更新にしようと思います。今までずっと名古屋について書いてきましたが、ワープして・・・ トルコについて書きたいと思います。 2024年6月に念願のトルコに行ってきました。いつからトルコに行きたかったかわから…
はてなブックマークボタンのトラッキング問題で高木浩光先生が決別ツイートをするに至った経緯まとめ - NAVER まとめ
サービス終了のお知らせ NAVERまとめは2020年9月30日をもちましてサービス終了いたしました。 約11年間、NAVERまとめをご利用・ご愛顧いただき誠にありがとうございました。
ブログパーツやソーシャルボタンの類でアクセスログが残るのは当然だけどトラッキングされるのは当たり前にはなっていない - 最速転職研究会
わたくしは立場上、実装がダメなことにはとやかく言いますがポリシーについてはとやかく言わないことをポリシーとしており、また個人的にも所属組織的にも付き合いがある企業様を痛烈に批判するというのはブーメランとか槍とか鉄砲玉とかソーシャルメディアガイドラインとか飛んできたりしてリスキーではあるのですが、どう見てもアウトだろこれ、と考えるに至りまして筆を取らせていただく次第です。 これ http://d.hatena.ne.jp/kanose/20120306/hbmbutton http://blog.dtpwiki.jp/dtp/2011/09/post-9367.html どう見てもアウトだろ。理由は単純で、そういう目的で設置されたボタンではないし、はてなブックマークボタンが設置されているサイトは、はてなの管理してないサイトなのではてなの裁量でやってはいけないからです。いつから「はてな」は「は
はてなブログのサブドメイン問題～他人になりすました悪質ブログが増えるのか、それとも？～ - そっと、はてなブログ
はてなブログはユーザーがドメインを選択する事ができる。これは、はてなが提供してきた従来のサービスとは異なる点の一つだ。 ドメインを選べます ブログごとにドメインを設定してご利用いただけます。トップページから先は、すべてあなたの領域です。はてなID（ユーザー名）と異なるドメインを取得することも可能です。 http://hatenablog.com/ つまり「はてなブログのサブドメイン≠はてなID」だ。だから例えば私が「http://jkondo.hatenablog.com/」 でブログを開設することだって仕様的には可能だ。現状は早いもの勝ちなのだ。 この状況は、従来からのはてなユーザーを戸惑わせるかもしれない。例えばid:mame-tanukiというユーザーが、id:jkondoという別のユーザーと紛らわしい「http://jkondo.hatenablog.com/」というブログ作れてし
サードパーティCookieの歴史と現状 Part2 Webアプリケーションにおける利用とその問題 - 最速転職研究会
前回 http://d.hatena.ne.jp/mala/20111125/1322210819 の続きです。 前回のあらすじ ブラウザベンダーはサードパーティCookieをデフォルトでオフにしたかったんだけどお前らがサードパーティCookieに依存したサイト作るし使うからオフに出来なかったんだよ!!!!! といった事情を踏まえた上でWebアプリケーションにおけるサードパーティCookieの利用の歴史について書きます。前提知識の共有が済んだので、ここからはある程度個人的な意見も含まれます。実装面での技術的な内容も含みます。 サードパーティCookieが必要とされてきた歴史 広告のためのトラッキングCookie以外にも、サードパーティCookieに依存したサービスが数多く存在してきた。個人的に把握しているいくつかのサービスについて時系列で述べる。ついでに広告業界の流れについても重要なのを幾
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Hatena ID
はてな、ブックマークボタンで周知せず行動情報取得を行なっていたことを謝罪 
開いただけで自動的にスターがつく便利日記 - ぼくはまちちゃん！
新はてなダイアリーの裏側
