「0.0.0.0」へのアクセスを悪用してローカル環境に侵入できる脆弱性「0.0.0.0 Day」が発見される
Chrome、FireFox、Safariといった主要ブラウザにおけるIPアドレス「0.0.0.0」の扱い方に問題があり、問題を悪用することで攻撃者が攻撃対象のローカル環境にアクセスできることが明らかになりました。問題を発見したセキュリティ企業のOligo Securityは、この脆弱(ぜいじゃく)性を「0.0.0.0 Day」と名付けて注意喚起しています。 0.0.0.0 Day: Exploiting Localhost APIs From the Browser | Oligo Security https://www.oligo.security/blog/0-0-0-0-day-exploiting-localhost-apis-from-the-browser Oligo Securityによると、主要なブラウザでは「『0.0.0.0』へのアクセスを『localhost (12
KADOKAWAサイバー攻撃、流出個人情報は25万人分 ニコニコユーザーは無事 端緒は従業員アカウントの漏えい
KADOKAWAサイバー攻撃、流出個人情報は25万人分 ニコニコユーザーは無事 端緒は従業員アカウントの漏えい KADOKAWAは8月5日、6月上旬に受けた大規模なサイバー攻撃により漏えいした情報の詳細について、社外のセキュリティ企業よる調査結果を発表した。 漏えいした個人情報は25万4241人分で、ドワンゴの全従業員や一部の取引先、N中等部・N高等学校などの在校生・卒業生の一部などが含まれていた。「ニコニコ」ユーザーのアカウント情報の漏えいは確認していないという。 攻撃の標的は、ニコニコを中心としたサービス群。「フィッシングなどの攻撃により、従業員のアカウント情報が窃取され、社内ネットワークに侵入されたことで、ランサムウエアの実行と個人情報の漏えいにつながった」とみている。従業員のアカウント情報が窃取された経路や手法は「現時点では不明」としている。 流出した個人情報 流出を確認した25万
【怖い】経緯を読んだらガチの国際クライムサスペンスだった→フリーのエンジニアを狙ったサイバー攻撃が増加中
🍪🍺 @unplannedsleep 国際犯罪の被害に遭いかけたので注意喚起です！ 海外サイト(WeWorkRemotely)で良さげな案件を探していて、出会ったクライアントとビデオ通話した後「早速今の実装見てみてほしい」という話になりました。もう遅いし明日にして今日は飲むか〜と思っていたら「すぐチェックしてほしい」という連絡が pic.twitter.com/bRhXJkFEGX 🍪🍺 @unplannedsleep しょうがないにゃあ…と思いつつまずは親の顔より見た setupTest.js を見るとそこには変わり果てた姿が…… 偶然昼までMarkdown書き物をしてたためVSCodeの折り返しを有効にしていたので気づきましたが、普段無効にしてるときだったらこんなふうに見えるので気づくのは難しそう pic.twitter.com/fbk3og3Dml
徳丸さん、こんにちは。 読売のような大手メディアのサイトでもサポート詐欺の偽警告が表示されるようになってしまいましたし、今の時代は広告ブロッカーが必須と考えたほうが安全なのでしょうか？ | mond
徳丸さん、こんにちは。 読売のような大手メディアのサイトでもサポート詐欺の偽警告が表示されるようになってしまいましたし、今の時代は広告ブロッカーが必須と考えたほうが安全なのでしょうか？ 徳丸が書いていないことを質問いただくことが時々ありますが、私が書いてないのは書きたくない理由があるから（単にめんどうくさいも含む）です。ですが、せっかく質問いただいたので、思うところを書いてみようと思います。 まず、私自身は広告ブロッカーを使っていないです。その理由は、広告ブロッカーには危険なものがある（原理的にあり得るし、過去にあった）からです。過去には、広告ブロッカーが元の開発者から売却され、マルウェア化した例が複数あります。具体例は示しませんが、検索するとすぐに見つけられると思います。 広告ブロッカーがマルウェア化すると、これらはブラウザアドオンの形で動くため、非常に強い権限があり、すべてのサイトの情
結局、ランサムウェア身代金は支払った方がいいのか？ 被害実態から見えた答え
日本国内においてランサムウェアの身代金支払いに関する議論が話題を集めている。ランサムウェア対策における身代金支払いの是非について有識者が見解を示した。 ヴィーム・ソフトウェアは2024年6月25日、同社のランサムウェアに関する年次グローバル調査レポート「2024 Ransomware Trends Report」の結果を解説する記者説明会を開催した。 2024 Ransomware Trends Reportは、日本も含むグローバルの企業で2023年に少なくとも1度はサイバー攻撃を受けたことがあるCISO（最高情報セキュリティ責任者）やセキュリティ専門家、バックアップ管理者のいずれかを務める1200人のITリーダーを対象に、ランサムウェアの影響や今後のIT戦略、データ保護イニシアチブに関する調査した結果をまとめたものだ。 国内ではKADOKAWAグループのランサムウェア被害が大きな話題を集
川上量生氏「先ほど、KADOKAWA社長の夏野剛のXアカウントが乗っ取られました。これはNEWSPICKSの報道による犯罪者グループとの関係の変化によるものです。」
NewsPicks [ニューズピックス] @NewsPicks このアカウントでは、NewsPicksオリジナルの新着記事に加え、WEEKLY OCHIAIのダイジェスト、経営者や偉人の名言、経済トピックスの4コマ解説など、ビジネスのヒントとなるコンテンツを、毎日お届けします。 ※有料記事・動画は、下記のリンクから10日間無料トライアルに登録いただくことでご覧いただけます。 premium.newspicks.com/?utm_source=tw… NewsPicks [ニューズピックス] @NewsPicks 【極秘文書】ハッカーが要求する「身代金」の全容 newspicks.com/news/10160526/… NewsPicks編集部は、このハッカーから送られてきた脅迫メールと、それに応対するドワンゴ経営陣のやりとりを入手。 KADOKAWAが、流出データなどと引き換えに、17億円
Publickeyが受けたDoS攻撃、これまでの経緯と対策まとめ
Publickeyのサーバは3月12日から14日にかけて何度もDoS攻撃を受けてダウンしていました。 その間、読者や広告を掲載いただいているお客様や代理店様にご不便やご心配をおかけし申し訳ありませんでした。 ひとまず現在までの状況と対応について報告したいと思います。 先に現状のみを報告すると、CloudflareのDDoS対策サービスを導入していまのところ平穏な状況を保っているため、このまま様子をみているところです。 関連記事 最終的にDDoS攻撃に効果を発揮した設定を下記記事で紹介しています。 続々、Publickeyが受けたDDoS攻撃。DDoS対策に効果を発揮した設定紹介編 DoS攻撃の発生時間帯 DoS攻撃とは、大量のトラフィックをWebサーバなどに浴びせることでサーバを応答不能にしてしまう攻撃のことです。 下図が3月12日から14日にかけてPublickeyのサーバに対して行われ
怪しい詐欺広告を簡単手順でブロックできる最強アプリ「280blocker」を使ってブラウジングを快適にしてみた
スマホでページを見ていると不快な画像を表示して強引に目を引こうとするような広告に加え、誤タップ狙いのスワイプ広告や、場違いのアダルト画像を使った広告、サポート詐欺ページへの誘導を目的とした悪質な広告を目にする機会が増えています。App Storeで2023年の有料iPhoneアプリランキング1位を獲得した実績を持つ広告ブロッカー「280blocker」は、スマートフォンにインストールするだけで、ブラウザの広告をことごとく非表示にすることが可能です。そんな280blockerを使うと、ブラウジングがどれほど快適になるのか確かめてみました。 「280blocker - 広告ブロック-コンテンツブロッカー」をApp Storeで https://apps.apple.com/jp/app/id1071235820 280blocker - Google Play のアプリ https://pla
今時の CSRF 対策ってなにをすればいいの？ | Basicinc Enjoy Hacking!
こんにちは @zaru です。今回は昔からある CSRF (クロスサイト・リクエスト・フォージェリ) の今時の対策についてまとめてみました。もし、記事中に間違いがあれば @zaru まで DM もしくはメンションをください (セキュリティの細かい部分についての理解が乏しい…) 。 2022/08/29 : 徳丸さんからフィードバック頂いた内容を反映しました。徳丸さん、ありがとうございます！ 認証あり・なしで対策方法が違う点 トークン確認方式のデメリットのクロスドメインについての言及を削除、代わりに Cookie 改変リスクを追記 Cookie 改ざん可能性について徳丸さんの動画リンクを追記 SameSite 属性で防げない具体的なケースを追記 nginx 説明が関係なかったので削除 そもそも CSRF ってなに？ 昔からインターネットをやっている方であれば「ぼくはまちちゃん」 騒動と言えば
サイバーセキュリティプログラミング 第2版
情報セキュリティ技術者の必携書がPython 3に対応して大幅改訂。本書ではPythonを使ったサイバー攻撃手法について解説します。基本的な通信プログラムからProxyやRawデータ、Webアプリケーションへの攻撃やトロイの木馬の動作、そしてフォレンジック手法やOSINTまで、攻撃者の実践手法から防御方法を学びます。日本語版オリジナルの巻末付録として「Slackボットを通じた命令の送受信」「OpenDirのダンプツール」「Twitter IoCクローラー」を追加収録しました。 賞賛の声 序文 訳者まえがき まえがき 1章 Python環境のセットアップ 1.1 Kali Linuxのインストール 1.2 Python3のセットアップ 1.3 IDEのインストール 1.4 コードの健全性 2章 通信プログラムの作成・基礎 2.1 Pythonによるネットワークプログラミング 2.2 TCPク
“自社DB破壊＆身代金要求”に直面してfreee経営層が気付いた3つの課題 佐々木CEOに聞く
「『この訓練をされたら嫌だな、やられたくないな』と思っていたものが来た」──クラウド会計ソフトを提供するfreeeの佐々木大輔CEOは、同社が2021年10月に実施したクラウド障害訓練をこう振り返る。訓練では、社内チームがわざとAWS上のDBからデータを盗み出し、バックアップを消した上で、自社のCEOに社内SNSを通して身代金を要求。経営層を含め、全社で解決に向け対応した。 結局は数時間で解決できたものの、いくつか反省点もあったと佐々木CEO。全社を巻き込む訓練を通じ、freeeの経営層はどんな教訓を得られたのか。 特集：DXでリスク増大 経営層が知っておきたい情報セキュリティの課題と対策 デジタル庁の創設や印鑑・FAXの見直しなど、官民でDXが進んでいる。一方、DXによる利便性の拡大は常に情報セキュリティのリスクを伴う。そこでポイントになるのが、経営層や管理職によるセキュリティへの理解と
VPN Gate 筑波大学による公開 VPN 中継サーバープロジェクト
Follow @vpngate 外国政府の検閲用ファイアウォールを超えて、世界中の知識に自由にアクセス。 あなたの IP: 133.242.243.6 あなたの国・地域: Japan VPN Gate を経由して IP アドレスを変えましょう。 VPN Gate 学術実験サービスへようこそ。 (2013 年 3 月 8 日開始) - 外国政府等の検閲用ファイアウォールを回避し、海外の YouTube などの Web サイトを自由に閲覧できます。 - IP アドレスが VPN サーバーのものに書き換わります。インターネットで安全に情報発信をしたり、Web コンテンツを閲覧したりできます。 - 暗号化により公衆無線 LAN を安全に利用できます。詳しくはこちら... - 2023/08/31 SoftEther VPN Client に TunnelCrack 保護機能を実装 毎日ミラーサイト
新卒向け研修資料「テスト文字列に”うんこ”と入れるな」を公開しました
新卒向け研修資料「テスト文字列に”うんこ”と入れるな」を公開しました 代表の松井です。 弊社インフィニットループでは、近年「新卒ファースト」を合言葉に社内教育に力を入れています。 先日、主に新卒向け（それ以外の参加者も多くいましたが）に、「テスト文字列に”うんこ”と入れるな」という講義を行いましたので、その資料を公開します。 なぜ人は入力欄に「うんこ」と入れてしまうのでしょうか。 それはどういう経路で社外に漏れ、防ぐには何をすべきなのでしょうか。 タイトルはアレですが、内容は至って真面目に書いています。 悲しい事故を防ぐために「仕事中にはふざけないこと」など、新社会人に必要なメッセージを強く込めたつもりですので、ぜひ本資料をあなたの会社での研修にも役立てていただければと思います。 ツイート
ブロックチェーンを活用した電子印鑑システム「NFT印鑑」、シヤチハタらが共同開発
シヤチハタは8月18日、ケンタウロスワークス、早稲田リーガルコモンズ法律事務所とともに、ブロックチェーンを利用した電子印鑑システム「NFT印鑑」を共同開発することで合意したと発表。シヤチハタが長年培ってきた電子印鑑に関わるノウハウをベースに、ケンタウロスワークスの持つブロックチェーン技術を取り入れ、早稲田リーガルコモンズ法律事務所の法的知見をもとに、さまざまな電子契約システム間で利用できるサービスとして提供するという。 NFT印鑑は、印影データをNFT化することで、印鑑保有者の情報と印影情報を結び付けた固有性を持つ電子印鑑。NFT印鑑が押印された電子文書には、印鑑保有者およびNFT化された印影の情報が刻印され、押印の記録は改ざん困難なブロックチェーンに記録されるため、「いつ、誰が、何に押印したのか」という、証拠を確実に残すことができる。押印された印影から押印者を証明するだけでなく、従来の電
私のセキュリティ情報収集法を整理してみた（2021年版） - Fox on Security
新年あけましておめでとうございます。毎年年頭に更新している「私の情報収集法」を今年も公開します。何かの参考になれば幸いです。 インプットで参照している情報源（海外） 海外からの攻撃が主流となる中、海外情報をいち早く把握する事の重要性が増している気がしますので、今年は海外情報源から書きたいと思います。 昨年の記事では多くの海外サイトを紹介しましたが、試行錯誤の結果、まとめサイトでもある「morningstar SECURITY」や「DataBreaches.net」を押さえておけば、主要サイトが概ねカバーされると分かったので、今年は数を絞っています。 サイト キタきつね寸評 morningstar SECURITY 去年と変わりませんが、情報の更新頻度、そして関連ソースの網羅性という意味では、英語系のセキュリティニュースとしては最良の情報ソースの１つかと思います。私は「Daily Secur
Private Presentation
Private content!This content has been marked as private by the uploader.
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
そのQRコードは“本物”ですか？ PayPayで送金する前に確認を！【だまされないように注意！】
セキュリティ研修【MIXI 23新卒技術研修】
URL and website scanner - urlscan.io
盗撮を一網打尽。iPhoneのLiDARセンサーを使って隠しカメラを発見する手法が開発される【やじうまWatch】 - INTERNET Watch
