リダイレクトの終了について投稿したゆやりん（@yuyarin）さんは「group.ntt/jp/ にすれば参照できる」と解決方法を紹介。しかし「リダイレクトしていないため、新しいURLでリンクされてないものはインデックス化されない。古いURLはエラーでインデックスから消されて、そのうち検索エンジンで探せなくなって存在しないのと同義になるので全くよくない」と問題点を訴えた。 なぜNTTはリダイレクトをやめたのか。同社に問い合わせたところ「12月までの旧URLへのアクセス数を見たところ、数がかなり減っていたため、影響はないと判断した。また、継続することでコストもそれに応じてかかっていくことも踏まえて、総合的な判断からリダイレクトの終了を決めた」と話した。 NTTは「新URLに変更したことをあらためて周知することで、ご迷惑をおかけしないように対応させていただきたい」と話したが、再びリダイレクトを

中堅中小企業の場合、損失額は平均で約2億7000万円を超え、経営に深刻な影響を及ぼしかねない影響が出ていることが分かった。 IBMは2019年7月23日（現地時間）、情報流出による損失コストに関する年次調査を発表した。そこで、「情報流出が発生した場合に企業が負担を強いられる損失コストは平均で392万ドル（約4億2400万円）に増え、企業は困難な対応を強いられて、影響は何年にも及ぶ」という実態が浮き彫りになった。 調査によると、企業の情報流出に伴う損失コストは過去5年の間に約12％増えて平均で392万ドルとなった。特に従業員500人未満の中堅中小企業の場合、損失額は平均で250万ドル（約2億7000万円）を超え、経営に深刻な影響を及ぼしかねない影響が出ていることが分かった。

約30億円相当の仮想通貨不正流出を起こした仮想通貨交換業者のビットポイントジャパン（BPJ）は、16日に行った緊急記者会見の中で「ホットウォレットの秘密鍵の暗号化」など、複数のセキュリティ対策を実施していたことを明らかにした。 流出が起きたのは、BPJが管理する仮想通貨であるビットコイン、ビットコインキャッシュ、イーサリアム、リップルの5銘柄。オンライン環境で迅速な出金ができる「ホットウォレット」に入金していた資産の大半が流出したという。流出したのは全てホットウォレットからで、送金を承認する秘密鍵をオンライン上で管理しない「コールドウォレット」からの流出は確認されなかった。 “二重のセキュリティ対策”にもかかわらず…… 流出した各仮想通貨のホットウォレットは「マルチシグ」に対応していた上、秘密鍵自身も暗号化していた。マルチシグは、送金の承認に複数の秘密鍵を必要とする技術。つまり、マルチシグ

悪用されればひそかに防犯カメラを操作される恐れがある。NUUOのウェブサイトには、パートナーとして日本の主要家電メーカーを含む世界各地のメーカー名が記載されている。 セキュリティ企業のTenableは9月17日、世界中の防犯カメラに使われている、台湾企業NUUOのソフトウェアに未解決の重大な脆弱性が見つかったと発表した。NUUOは日本の主要メーカーを含む、世界各国の大手などと提携して相手先ブランドでソフトウェアを提供しており、影響は広範に及ぶ可能性がある。 Tenableによると、今回の脆弱性は、NUUOが提供している「NVRMini2」というネットワークビデオレコーダーが影響を受ける。悪用されればひそかに防犯カメラを操作され、映像を見られたり改ざんされたりする恐れがあるという。例えば、防犯カメラで監視している場面の映像を静止画に切り替え、監視の目を盗んで構内への侵入を手助けすることも可能

ただでさえ、不足しているといわれるIT人材。その貴重なリソースを、サマータイム導入に向けたシステム改修に費やしていいのか――。情報法制研究所（JILIS）のシンポジウムでそんな意見が交わされました。 ただでさえ、不足しているといわれるIT人材。その貴重なリソースを、サマータイム導入（と、軽減税率対応と新元号対応）に向けたシステム改修に費やしていいのか。本来ならば新たなイノベーション創出に充てるべき人材を、後ろ向きの対応に充てるのは損失ではないのか――。 情報法制研究所（JILIS）が9月2日に開催した「サマータイム導入におけるITインフラへの影響に関するシンポジウム」では、そんな意見が交わされました。 サマータイムの「自動対応」は技術的に何を意味するか 既に報道されている通り、政府・与党は2020年の東京オリンピック・パラリンピックの酷暑対策としてサマータイムの導入を検討していますが、さま

ぴあ、アララ、トレンドマイクロ――情報漏えい事件の後に“支持される企業”と“たたかれる企業”の違い：半径300メートルのIT（1/3 ページ） 一度起こってしまった情報漏えい事故は、なかったことにできない。だからこそ問われるのが、事件後に各企業がとった対応です。さまざまな“事件”を巡って彼らの評判を分けたものとは、一体何だったのでしょうか。 2018年8月、マイナビさんが主催する「情報セキュリティ事故対応アワード」に参加してきました。そこでは、3月に開催された第3回アワードで優秀賞を受賞した「ぴあ」における情報漏えい事故に関して、当事者と審査員メンバーで赤裸々なディスカッションが行われました。 残念ながらその内容は公開できないものの、オンラインで同社が公開した事故の経過報告の行間に込められた内容や、企業側の思いがストレートに伝わる内容で、個人的に大変感銘を受けました。 今回の事故の原因は、

米Microsoftは2018年7月17日（米国時間）、同社のIDサービスやID連携のための標準規格「OpenID」の脆弱（ぜいじゃく）性を発見した研究者に対し、最高で10万ドル（約1100万円）の賞金を支払うバウンティプログラム「Microsoft Identity Bounty Program」の創設を発表した。 同プログラムの対象となるのは、Microsoftの「login.windows.net」「account.live.com」などのコンシューマーと法人向けログインページやアカウント管理ページ、およびiOSとAndroid向けの「Microsoft Authenticator」など。 標準規格では、OpenID Foundationの「OpenID Connect Core」や「OAuth 2.0 Multiple Response Types」などを対象とする。 賞金は500

2017年に発生した不正アクセスの再発防止に向け、着実に歩みを進める大阪大学。その先には、大学という多様性に満ちた組織における、新たなガバナンス、そしてCSIRTの在り方を模索、研究するという目標がある。 2017年12月に不正アクセスを発表した大阪大学。原因の究明を行い、脆弱性管理に課題を感じた同大学は、脆弱（ぜいじゃく）性スキャナーの「Tenable.io」を導入した。 記事前編はこちらから→不正アクセスを受けた大阪大学が模索する、新しい「CSIRT」の在り方（前編） 800以上あるホストの脆弱性検査を自動化させるシステムを構築するなど、再発防止に向けた歩みを着実に進めているが、Tenable.ioを導入した背景には、「CSIRTのあるべき姿を模索したい」という意図もあるそうだ。記事後編では、同大学サイバーメディアセンターの柏崎氏が考える、新たなCSIRTの在り方に迫る。 Tenabl

2017年12月に不正アクセスを発表した大阪大学。原因の究明を行い、再発防止に向けて歩み出した同大学は、脆弱性スキャナーの「Tenable.io」を導入した。事件を通じて、彼らが気付いたこととは。 江戸時代、緒方洪庵が設立した適塾に源流を持ち、人文系、理工学系から医学・歯学に至るまで11学部・16研究科を擁する大阪大学では、3200人を超える教員の下、1万5000人以上の学部生と7000人以上の大学院生が学業・研究に取り組んでいる。その基盤となるネットワークや各種システム、そしてキャンパスクラウドサービスの運用を担っているのがサイバーメディアセンターだ。 この大阪大学を激震が襲ったのは2017年6月のことだった。「何か不審なアクセスがある」と気付いて調べてみると、どうやら標的型攻撃を受け、教員のIDとパスワードが盗まれているらしいと分かった。さらに調査を進めた結果、そのPCを足掛かりに不正

西日本豪雨の被災地などで、災害時用の無料Wi-Fi「00000JAPAN」が提供されている。ただ、通信内容が第三者に盗聴されるリスクがあるため、「緊急時のやむを得ない安否確認や情報収集のみに利用してほしい」と内閣府が注意を呼び掛けている。 西日本豪雨の被災地などで、災害時用の無料Wi-Fi（統一SSID）「00000JAPAN」（ファイブゼロジャパン）が提供されている。ただ、通信が暗号化されておらず、同名のSSIDを設定したなりすましも可能。通信内容が第三者に盗聴されるリスクがあるため、「緊急時のやむを得ない安否確認や情報収集のみに利用してほしい」と、内閣サイバーセキュリティセンター（NISC）が注意を呼び掛けている。 「00000JAPAN」は、大規模災害時に無料開放する災害用統一SSIDとして2014年に世界で初めて策定。冒頭に「00000」を付けてSSIDの検索結果上位に表示されるよ

自分のメールアドレスやパスワードが流出していないかどうかチェックできるWebサイト「Have I been pwned？」とMozillaが提携し、新ツール「Firefox Monitor」のトライアルを開始する。 自分のメールアドレスやパスワードが流出していないかどうかチェックできるWebサイト「Have I been pwned？（HIBP）」と米Mozilla Foundationが提携し、Firefoxの新しいセキュリティツール「Firefox Monitor」を使って、ユーザーが流出情報を検索できるサービスのトライアルを開始する。 Webサイトや企業から大量のユーザー情報が流出する事案は後を絶たない。しかしHIBPを運営するセキュリティ研究者のトロイ・ハント氏によると、自分の情報が流出したことを知らないままのユーザーが大多数を占める。そうした状況の中、Mozillaとの提携を通じ

セキュリティ企業のTripwireは6月18日、米Googleのスマートスピーカー「Google Home」とストリーミング用端末の「Chromecast」について、ユーザーの位置情報を高い精度で流出させてしまう問題が見つかった伝えた。この問題を悪用して住所を特定されれば、脅迫や詐欺などの手口に利用される恐れもあるとしている。 Tripwireやセキュリティ情報サイトのKrebs on Securityによると、この問題は両デバイスの認証問題に起因しており、攻撃者がWebサイトに簡単なコードを仕込むだけで悪用できる。被害者がGoogle HomeやChromecastと同じWi-Fiを使ってコンピュータでこの不正なリンクを開くと、攻撃者が被害者の位置情報を高い精度で特定することが可能になり、番地まで絞り込むこともできてしまう恐れがあるという。 攻撃者が位置情報を取得するためには、被害者が1

「5000兆円欲しい！」と書かれたテキストを、太字の画像に変換するChrome拡張「5000兆円コンバーター」の「v1.0.6」に、クロスサイトスクリプティング（XSS）の脆弱性が見つかったと、脆弱性対策情報提供サイト「JVN」（Japan Vulnerability Notes）が注意を呼び掛けている。 「5000兆円欲しい！」は2017年から流行しているネットスラング。「5000兆円」を赤い太字、「欲しい」を銀色の太字で記載し、現実離れした金額や欲望を表現できる“パワーワード”として流通している。 「5000兆円コンバーター」は、Webブラウザ上の「5000兆円」「欲しい！」「森鴎外」というテキストをそれぞれ、太字の画像に換えるジョーク拡張で、開発元は「owen」。 JVNによると、5000兆円コンバーターの「v1.0.6」にXSS脆弱性があり、攻撃者により任意のスクリプトを実行される

FBIは米政府機関や各国の捜査当局と連携して「Wire Wire作戦」を展開、不正送金にかかわったとして米国やナイジェリアで74人を逮捕した。 米司法省と連邦捜査局（FBI）は6月11日、企業や個人をだまして偽口座に現金を送金させる「ビジネスメール詐欺（BEC）」の集中的な摘発を行い、米国やナイジェリアなどで計74人を逮捕したと発表した。 BECの手口では、犯人が企業の幹部や取引先になりすましたり、コンピュータに不正侵入したりするなど、さまざまな手口で会計担当者や取引先への送金担当者などをだまし、取引先への送金と思わせて、犯罪集団が管理する口座に現金を振り込ませる。 今回摘発された事件の被害者には、不動産を購入した消費者や高齢者なども含まれるという。 FBIは、BECの摘発を目的とした「Wire Wire作戦」を展開し、米国土安全保障省や財務相、郵便監察局、およびナイジェリアなど各国の捜査

米CNBCの取材に対し、同取引所の広報担当者は、「今回の攻撃で影響を受けたのは取引のオペレーションだけで、ユーザーのアカウントや関連する勘定の残高などはリスクにさらされなかった」と語った。 現在はサービスを再開している。 CoinDeskによれば、ビットコインの価格はこの事件を受け2％下落。一時は7373.47ドルまで下がった。 Bitfinexは2017年6月にもハッカーの標的になっており、16年8月には12万ビットコインを盗まれ取引を一時停止していた。 セキュリティは世界の仮想通貨取引所共通の課題であり、これまでもいくつもの仮想通貨取引所がサイバー攻撃などによる被害に合っている。 今年1月に日本の仮想通貨取引所コインチェックで5億ドル相当の仮想通貨「ネム（NEM）」が流出するという事件が起こった。 17年12月には韓国の仮想通貨取引所Youbitがデジタル資産の約17％を失い、その後親

米国土安全保障省（DHS）や連邦捜査局（FBI）が北朝鮮による悪質なサイバー活動と位置付ける「HIDDEN COBRA」に関連して、新たに2種類のマルウェアに関する分析情報を公開した。 北朝鮮が使っているマルウェアとして新たに情報が公開されたのは、リモートアクセスツール（RAT）の「Joanap」と、SMBワームの「Brambul」。被害者のネットワークに潜伏して、悪用の機会をうかがっているとされる。 DHSなどによると、両マルウェアは2009年ごろから、各国のメディアや航空宇宙、金融、インフラなどの企業を標的にしていたと思われる。JoanapはWebサイトの閲覧や電子メールの添付ファイルを通じてユーザーが知らないうちにダウンロードされる。感染すると、HIDDEN COBRAによってリモートから不正アクセスされ、データを抜き取られたり悪質なコードを仕込まれたりする恐れがある。 一方、Bra

米セキュリティ機関のSANS Internet Storm Centerは5月21日、IoTデバイスを狙うマルウェア「Mirai」をベースにした新手のボットネット型マルウェアが出回っていると伝えた。 SANSによると、MiraiがIoTデバイスのデフォルトの認証情報を突くなどの手口で感染を広げていたのに対し、新手のボットネット「Wicked」は、特定のIoTデバイスの脆弱性を悪用する手口を使っている。 標的にされているのは、Netgearのルータ「DGN1000」「DGN2200」（8080番ポート）と「R7000」「R6400」（8443番ポート）、CCTV-DVR（81番ポート）、および改ざんされたWebサーバに仕込まれているInvokerシェル（80番ポート）。それぞれのポートをスキャンして、接続が確立されると別のマルウェアを呼び込もうとする。

オープンソースのコンテンツ管理システム（CMS）「Drupal」で、2018年3月下旬に発覚した脆弱性を突いて、世界各国の政府機関や教育機関などのWebサイトがハッキングされ、仮想通貨採掘に利用されているのが見つかった。米セキュリティ研究者のトロイ・マーシュ氏が5月5日のブログで明らかにした。 それによると、米サンディエゴ動物園やメキシコ・チワワ州のWebサイトで、仮想通貨採掘を狙った「クリプトジャッキング攻撃」の被害が確認された。両サイトには、Drupalを更新しないまま、脆弱性のあるバージョンを使い続けていたという共通点があった。 マーシュ氏が詳しく調べたところ、世界各国で348のWebサイトが被害に遭っていることが判明。いずれも脆弱性が放置されたDrupalを悪用する手口で、仮想通貨採掘ツール「Coinhive」が仕込まれていた。 被害に遭ったWebサイトは各国の政府機関や自治体、学

米Oracleが2018年4月の定例パッチで修正したWebLogicの脆弱性を突く攻撃が横行しているとして、米セキュリティ機関のSANS Internet Storm Centerが注意を呼び掛けている。 WebLogicのリモートコード実行の脆弱性は、Oracleが2018年4月17日に公開した定例パッチで修正された。SANSによると、その翌日には中国語のブログにこの脆弱性に関する技術情報が掲載され、19日にはGitHubでコンセプト実証コードが公開された。 その日以来、WebLogicの脆弱性発見を狙ったと思われるTCP 7001番ポートに対するスキャンが急増しているという。 WebLogicの脆弱性が発表されてから2日後に、TCP 7001番ポートに対するスキャンが急増した（出典：SANS Internet Storm Center） SANSの調査では、最初の被害は、パッチが公開さ