LINE公式アカウントにおけるアカウント乗っ取りに関するお知らせとお願い｜LINEヤフー株式会社
このたび、LINE公式アカウントなどの利用に必要なLINEビジネスIDの一部において、第三者（以下、攻撃者）の不正ログインによるアカウントの乗っ取りが発生いたしました。その結果、被害にあったLINEビジネスIDに紐づくLINE公式アカウントを友だち追加しているユーザーにおいて、攻撃者から当該のLINE公式アカウントとのやり取りの一部が閲覧されたり、不審なメッセージが送付されたりしたことを確認いたしました。 本件の概要とアカウントの乗っ取りへの対応策について、下記のとおりご報告いたします。 なお、現時点で判明している不正ログインの被害にあったLINEビジネスIDにつきましては、ログインセッションの無効化（強制的なログアウト措置）およびパスワードの初期化を実施しております。 また、アカウントの乗っ取りによる影響のあったユーザーの皆さま、および不正ログインの被害にあったLINEビジネスID・LI
Android 14 (Credential Manager) におけるパスキー対応が面倒すぎる
Life with Web Browser Engine (Gecko, WebKit and etc), Mobile and etc. DroidKaigiにココらへんの話をしようと思って、CfP書いたけど落ちたので、自分用の覚書。 Firefox (GeckoView) AndroidでCredentail Managerの対応を入れたのが、GeckoViewとしてはバイナリサイズを大きくしたくないため、JetPackを一切使わずにCredential Manager経由でWebAuthn対応を行うコードをJavaでスクラッチで書いた。おそらくJavaでスクラッチで書いたのはChromeとGeckoViewだけだし、おそらくこの2つの製品以外でスクラッチ実装がされることは今後もないと思う。 しかもGeckoViewはWebブラウザエンジンなわけだから、いろんなWebサイトで実行可能な
「認証」を整理する | IIJ Engineers Blog
英語の「Authentication」を整理する ここからは先ほどの分類で言うところの「ユーザ認証」としての「認証」、つまり英語の「Authentication」に該当する「認証」について、さらに整理を進めていきます。 先ほど、「ユーザ認証」を「システムを利用しようとしているユーザを、システムに登録済みのユーザかどうか識別し、ユーザが主張する身元を検証するプロセス」と説明しました。「ユーザの識別」と「身元の検証」はユーザ認証に欠かせませんが、実際は他にも「ユーザの有効／無効状態の確認」や「検証に成功した場合の身元の保証（アクセストークンの発行等）」などの処理も一般的にユーザ認証のプロセスには含まれます。 ここで冒頭の「○○認証」を振り返りましょう。パスワード認証、SMS認証、指紋認証、顔認証は実はここで言うユーザ認証には該当せず、ユーザ認証中の一処理である「身元の検証」を担っていることがお
多要素認証を私物スマホでやっていいのか問題
Hello,World! gonowayです。 弊社がご支援するお客様とお話するなかで、多要素認証のためにIDaaSが提供しているアプリケーション（以降、認証アプリ）を私物モバイル端末にいれていいのか？という疑問に、わたしたちが普段お客様にご案内していることをざっくりまとめてみました。 3行まとめ 現代では外部の不正ログインから守るために多要素認証が必須になってきている。 多要素認証の実現のため、会社モバイル端末であれ私物モバイル端末であれ認証アプリはインストールしてほしい。 私物モバイル端末にインストールしてもらう場合、エンドユーザーへの説明を行うことが必要。また、ガラケーしか持っていないような例外措置への対処を考えることも必要。 前提 認証要素について 認証要素は下記の3種類です。NIST SP800-63を参考にしています。 記憶によるもの：記憶(Something you know
会員サービス「My Sony」にログインできない？ Twitterで物議 ソニー「正しいパスワードでもサインインできないことある」
すまほん!!の公式Twitterアカウントは5月24日、「パスワード絶対合ってると思うのにログインできない」とMy Sonyへログインができないという旨のツイートを投稿。パスワードリセットをして、前回設定したと記憶のあるものを入力したところ、前回と違うパスワードを入力するよう求められたという。 このツイートに対し、「最近同じ現象にあった」「これが理由でいまだにログインできていない」「これのせいでもうすぐサ終するゲームに触れて思い出に浸ることもできなかった」など同様の現象に遭遇したという声が相次いで見られた。これを受け、すまほん!!の公式Twitterアカウントは「ホントどうにかしてくださいソニーさん」と訴えている。 記者も自身のMy Sony会員ページへログインを試みたところ、思い当たるパスワードではログインすることはできなかった。パスワードリセットをかけ、再度思い当たるパスワードを設定す
電話後にメールを送ってくるフィッシング攻撃についてまとめてみた - piyolog
2023年3月30日、名刺管理サービスを提供するSansanは、同社になりすました不審な電話やメールが確認されているとして利用組織に対して注意を呼びかけました。その後、この注意喚起に関連して実際に被害に遭ったとみられる企業が名刺管理システムからの情報流出の公表を行っています。ここでは関連する情報をまとめます。 運営会社になりすました人物から電話後にフィッシングメール 不正アクセス被害を公表したのは川崎設備工業。名刺管理システム上に登録された名刺情報6万6214件が流出した。名刺情報には氏名、会社名、役職、会社住所、電話番号、メールアドレス等が含まれていたが、公表時点では流出した情報の悪用（営業メールや電話等の発生）は確認されていない。 不正アクセスは2月13日の同社従業員への電話連絡から始まった。電話をかけてきた人物は、Sansanの従業員になりすまし、川崎設備工業からその従業員に対して2
ジャニーズの現場でのチケット転売について解説する｜めりぴょん／山野萌絵
昨今、よく目にする言説がある。それはこうだ。 「転売屋がチケットを買い占めているので、最前列の価格が高騰する。転売屋さえいなくなれば、皆が平等に欲しいチケットを手に入れることが出来るはずだ」 まあ、これはこれで一種の正論だし、この言説を元に転売屋を排除すれば平和になる現場も一定数存在するだろう。 しかし、ジャニーズの現場に限ってはそれは例外だ。 なぜなら、ジャニーズの現場には「中売り」「中買い」という文化が存在し、オタクがオタク同士で高額取引をしているのである。その会場にいわゆる世間一般人がイメージする「ダフ屋」はすでに姿を見せていないのに、だ。筆者の私見ではあるが、ジャニーズに関しては未来永劫高額での取引が絶対に無くなることはない。ある程度規制されているにも関わらず、オタクたちは器用というか巧妙というかなんというか、ありとあらゆる手を使って「その席に座る権利」を売買するのである。ではなぜ
GTA新作リークに使われた“多要素認証疲れ”攻撃とは 1時間以上通知攻め、従業員の根負け狙う
GTA新作リークに使われた“多要素認証疲れ”攻撃とは 1時間以上通知攻め、従業員の根負け狙う：この頃、セキュリティ界隈で 人気ゲーム「グランド・セフト・オート」（GTA）などを手掛けるゲームメーカーの米Rockstar Gamesや米Uber Technologiesのネットワークが不正侵入を受け、情報が流出する事件が相次いだ。同じような被害は過去にMicrosoftやCisco、Twitterなどの大手でも発生している。各社とも、そうした侵入を防ぐために多要素認証を設定して従業員のアカウントを保護していたが、攻撃者は「MFA Fatigue（多要素認証疲れ）」攻撃と呼ばれる手口を使ってMFA（多要素認証）を突破していた。 多要素認証で守られたアカウントは、ユーザー名とパスワードを入力してログインしようとすると、登録された端末に電話をかけたりプッシュ通知を送信したりする方法で、そのログイン
“まだ作成していないユーザーアカウント”を先回りして乗っ取る攻撃 米Microsoftなどが指摘
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 セキュリティ研究者Avinash Sudhodananさんと米Microsoft Security Response Centerの研究者が発表した「Pre-hijacked accounts: An Empirical Study of Security Failures in User Account Creation on the Web」は、まだ作成していないWebサービスのアカウントを乗っ取る攻撃をテストし脆弱性を示した論文だ。 具体的に5種類の攻撃を提案し75のWebサイトで試したところ、35のサイトで乗っ取りに成功したという。その中には、ZoomやInstagram、Drop
メタップスペイメント不正アクセス事件の第三者報告書から攻撃の模様を読み解く
株式会社メタップスペイメントの運営する決済代行システムから約288万件のクレジットカード情報が漏洩した不正アクセス事件について、第三者委員会の報告書および経済産業省の行政処分（改善命令）があいついで公開されました。 第三者委員会調査報告書（公表版） クレジットカード番号等取扱業者に対する行政処分を行いました （METI/経済産業省） 本稿では、主に第三者委員会の調査報告書（以下「報告書」と表記）をベースとして、この事件の攻撃の様子を説明します。 システムの概要報告書にはシステム構成図やネットワーク構成図は記載されていないため、報告書の内容から推測によりシステムの構成を以下のように仮定しました。 図中のサーバー名は報告書の記載に従っています。以下、概要を説明します。 サーバ名概要 A社アプリ一般社団法人A 会員向け申込みフォーム 経産省改善命令では、「同社とコンビニ決済に係る契約を締結してい
Yahoo! JAPAN はパスワードレス認証で問い合わせを 25% 削減、ログイン時間も 2.6 倍速に
Yahoo! JAPAN は日本にて検索やニュースといったメディアサービス、e コマース、メールサービスなど、100を超えるサービスを提供している企業です。これらのサービスで利用するためのユーザーアカウントも長年提供し続け、月間のログインユーザーは 5,000 万を超える規模となっています。しかし、このユーザーアカウントを提供する中で、ユーザーアカウントに対しての攻撃を継続的に受けており、また、アカウントを継続利用する上での課題についてユーザーから問い合わせも多く頂いていました。これらの課題の多くはパスワードという認証手段に依存するものでした。また、当時、技術的にもパスワード以外の認証手段を提供するための機能やデバイスの普及が始まりつつありました。こういった背景のもと、Yahoo! JAPAN はパスワードによる認証からパスワードレスな認証へ移行すると判断しました。 なぜパスワードレスか
【重要】安全なパスワードへの変更のお願い ※2021年5月10日より一部アカウントはpixivにログインができなくなります。
=============================================================== 〈2021年4月28日（水）19:30追記〉 ユーザーの皆さまからお問い合わせいただいた「パスワードの変更が必要なアカウントの判別について」を追記させていただきました。追記部分は下部よりご確認ください。 =============================================================== 2021年5月10日より、第三者に推測されやすいパスワードをお使いのアカウントは、パスワードを変更しない限りpixiv及び関連サービスにログインできなくなります。 ※この措置は該当するアカウントに対し、期間を空けて順次適用されます。 ログインできない場合、以下のような案内が表示されます。 【ログインできない場合の案内表示】 ＜デスクトップ
SMS OTPの自動入力によるリスクとその対策
フィッシングサイトへの自動入力のリスク SMS OTPとWebサイトが紐付かない状態では、正規のSMS OTPがフィッシングサイトへ自動入力されるリスクが生じる。現実的なリスクとして、GutmannらはMITMと組み合わせた「ログインにおける2要素認証の回避」と「ソーシャルログインの偽装による電話番号確認の回避」、「オンライン決済における取引認証の回避」の3つのシナリオを示している⁷。2要素認証の回避につながるリスクは、iOSの自動入力がPayPayの偽サイトで発動した前回の検証で確認している。今回の検証ではAndroidの自動入力がPayPalの偽サイトで発動するか確認する。 2要素認証の回避 PayPalの偽サイトは前回と同様にMITMフィッシングフレームワーク「Evilginx2」で複製し、一般利用者が誤ってアクセスしないようインバウンド接続を制御した。Android 11のChro
auじぶん銀行のフィッシングSMSが届いた
3日前に、auじぶん銀行の巧妙な不正出金についてYouTube動画を公開しました。みんな見てねー。 auじぶん銀行アプリに対する不正出金の驚くべき手口 そうしたところ、先程私のiPhoneに以下のようなSMSが届きました。 ふーん、au自分銀行のときは宅配事業者を装ったSMSということでしたが、これはどうなんでしょうね。開いてみると… 詐欺サイトの警告が出ていますが、構わずに開いてみると… きたきたきたー。これですよ。auじぶん銀行のフィッシング（SMSの場合はスミッシングと言いますが）サイトのようですよー。「閉じる」をタップすると… うーむ、これがauじぶん銀行の本物のフィッシングサイトですよ。これかー。僕が作った偽サイトよりもきちんと作ってありますねー（笑い）。ちなみに、本物のauじぶん銀行サイトはこちら。 よく似ていますね。お客様番号とログインパスワードの欄は共通ですが、偽物の方は暗
「ドコモ口座」で相次ぐ不正出金、なぜ地銀だけが狙われた？ 専門家の見解は
NTTドコモが提供する電子決済サービス「ドコモ口座」を利用して、銀行から不正に現金を引き出す被害が相次いでいる。七十七銀行（宮城県仙台市）は9月7日、同行の顧客に被害があったとしてドコモ口座への新規登録を当面停止すると発表。中国銀行（岡山県岡山市）、大垣共立銀行（岐阜県大垣市）、東邦銀行（福島県福島市）も8日、同様の理由で新規登録の停止を発表した。 地銀ばかりで被害 なぜ？ 今回被害が発生しているのはいずれも地方銀行。NTTドコモはITmedia NEWSの取材に対し「被害のあった銀行はいずれも『Web口振受付サービス』を使ってドコモ口座と連携していた」と話す。 Web口振受付サービスは、地銀ネットワークサービス（東京都中央区）が提供する、収納企業（決済サービス提供社）と地方銀行の連携サービス。ユーザーは収納企業のWebサイトを通じて預金口座振替の新規登録などの手続きを行える。 ユーザーが
Git credentialプロトコルの脆弱性(CVE-2020-5260)を眺めた - Plan 9とGo言語のブログ
Gitは認証の必要なリポジトリへアクセスするとき、ユーザ名とパスワード入力を必要としますが、アクセスするたび入力するのは煩わしいので、資格情報を記憶するために、git-credential-から始まる名前のカスタムヘルパーコマンドが存在します。これらカスタムヘルパーはGitから標準入出力を扱う普通のコマンドで、標準入力経由でGitから渡されたパラメータに従って、対応するパスワードを標準出力を介してGitへ返します。ヘルパーコマンドが呼ばれるルールはgitcredentials(7)に書かれています。 これらのヘルパーコマンドとGitの間で使われるプロトコルがGit credentialプロトコルです。プロトコルは1行に1つのキーバリューが書かれるテキストプロトコルで、リクエストは空行で終わります。ヘルパーコマンドは空行までを読み取って、不足しているパラメータ(通常はパスワードだけ)を返しま
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
malaさんはTwitterを使っています: 「少し真面目な話をつらつら書くけど、Google Authenticatorがクラウド同期対応の公式の記事に https://t.co/WKbeATtICd "making one time codes more durable by storing them safely in users’ Google Account" とあるが何ら性質についての説明もなく safely などと言っていてユーザーを舐め腐っている」 / Twitter
本当にあった怖い脆弱性の話
楽天モバイルで知らぬ間に「iPhone」不正購入される被害
Microsoft Authenticatorにパスワード管理機能が追加。EdgeやChromeとの同期もサポート
