短縮URLサービス利用時に表示された悪質な広告についてまとめてみた - piyolog
2023年11月9日、いなげやは同社一部店舗で掲示していたポスターなどに記載されたQRコードへアクセスした際、予期せぬ不正サイトに誘導する広告が表示され、クレジットカード情報が盗まれる被害が発生したと公表し注意を呼びかけました。ここでは関連する情報をまとめます。 短縮URLサービス中の広告表示を起因とした事案か いなげやはネットスーパーの入会案内として、入会用サイトへアクセスさせるため店頭展示していたポスターや配布していたチラシにQRコードを掲載していた。このQRコードを読み込んだ際に、予期せぬ不正なサイトに誘導する広告が表示される場合があり、今回この不正なサイトを通じてクレジットカード情報を盗まれる事案が発生したとして顧客に対して注意を呼び掛けた。また万一クレジットカード情報を誤って入力するなどしてしまった際はカード会社に連絡を取るようあわせて案内を行っている。*1 同社が公表した資料中
Wasmはなぜセキュアなのか？
Wasmはなぜセキュアなのか？ 前回Wasmのバイナリを読んでみたが、実行時にどのようにセキュアに実行しているのか気になったので調べてみた。 とりあえず今回も公式ドキュメントを見ながら整理しつつ、実際のコードも無理なく辿れそうなところはwasmerの実装を参考に見ていきたいと思う。 Wasmの目指すセキュリティ とりあえず公式の記載を脳死で読解していく。 The security model of WebAssembly has two important goals: (1) protect users from buggy or malicious modules, and (2) provide developers with useful primitives and mitigations for developing safe applications, within the
SBOMで始める脆弱性管理の実際 - NTT Communications Engineers' Blog
この記事は、 NTT Communications Advent Calendar 2022 1日目の記事です。 はじめに こんにちは。イノベーションセンターテクノロジー部門の西野と申します。 「Metemcyber」プロジェクトで、脅威インテリジェンスの運用や活用に関する研究開発をしています。 今回の記事では、SBOMを利用した脆弱性管理の取り組みについてご紹介します。 実は NTT Communications Advent Calendar に6年連続で寄稿しているので、そろそろ名前を覚えてあげてください。 SBOMとは？ SBOMは「ソフトウェア部品表（Software Bill Of Materials）」と呼ばれるもので、一般的には特定のソフトウェアに含まれるコンポーネントの依存関係を記述するために利用されます。記述フォーマットとしてはSPDXやCycloneDXが有名です。
総務省、“クラウド設定ミス”対策のガイドライン公開 パブリックコメント反映し完全版に
新しいガイドラインの公開に伴い、SaaSなどを提供する上で必要な情報開示指針をまとめた「ASP・SaaSの安全・信頼性に係る情報開示指針（ASP・SaaS編）」も内容を改めた。設定ミスに関するガイドラインに合わせて一部改定したという。 関連記事 総務省が“クラウド設定ミス”対策のガイドライン公開 まずは素案、パブコメも募集 総務省が、クラウドサービスの設定ミスがもたらすリスクやその対策などをまとめたガイドラインの素案を公開した。クラウドサービスの設定ミスに起因する情報漏えいの多発を受けて作成したという。 総務省、「AIを活用したSaaS」の情報開示指針を策定 AIの精度など106項目 総務省が、クラウドサービスの提供に当たっての情報開示指針にAIを活用したSaaSやASPに関する項目を追加した。AIを活用したクラウドサービスが増加傾向にあることから新たに策定したという。 データセンター新設
Mitigate cross-site scripting (XSS) with a strict Content Security Policy (CSP) | Articles | web.dev
Mitigate cross-site scripting (XSS) with a strict Content Security Policy (CSP) Stay organized with collections Save and categorize content based on your preferences. Cross-site scripting (XSS), the ability to inject malicious scripts into a web app, has been one of the biggest web security vulnerabilities for over a decade. Content Security Policy (CSP) is an added layer of security that helps to
__proto__の除去でNode.jsのプロトタイプ汚染を防げないケース - knqyf263's blog
前提 Node.jsのプロトタイプ汚染について書いているのですが、プロトタイプの説明（prototype と __proto__ の関係とか）を定期的に見直さないと綺麗サッパリ忘れる程度にはNode.js触っていないので、何かおかしいところあればご指摘お願いします。 概要 Node.jsではここ数年プロトタイプ汚染攻撃が流行っています。概要は以下を見れば分かると思います。 jovi0608.hatenablog.com そもそもプロトタイプって何？という人は以下の記事が分かりやすいです。自分はお守りのように定期的に読んでます。 qiita.com 外部から送られてきたJSONなどをパースして変換し、そのオブジェクトをmergeやcloneする際に __proto__ を上書きすることで Object.prototype を汚染するというものです。このオブジェクトが書き換えられると、新しく作
Bypass SameSite Cookies Default to Lax and get CSRF
SameSite cookies, source:web.devSameSite Cookies the new cookie attribute that everyone is talking about, it can be used to prevent SOP bypasses and CSRF attacks. but first let's look what is it actually. SameSite is a cookie attribute which you can tell the browser to when it should send the specific cookie in a cross origin request, it has 3 types: SameSite None Will be sent in all cross origin
An update on plugin security | Figma Blog
We're excited to introduce plugins to the entire Figma community. Today, the gates are open for anyone to use plugins built by our community and build your own plugins tailored to your workflow. know, we did a lot of research to figure out how to safely run 3rd-party code on figma.com. We eventually settled on a technology called the Realms shim to do this. A little over two weeks ago, several ind
Zoncolan: How Facebook uses static analysis to detect and prevent security issues
Zoncolan: How Facebook uses static analysis to detect and prevent security issues Facebook’s web codebase currently contains more than 100 million lines of Hack code, and changes thousands of times per day. To handle the sheer volume of code, we build sophisticated systems that help our security engineers review code. Today, we are sharing the details of one of those tools, called Zoncolan, for th
脆弱性に対するヤフーの取り組みについて
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、YJ-CSIRTの中村です。 皆さんはCSIRT（シーサート/Computer Security Incident Response Team）という組織名を耳にしたことがありますか。 CSIRTは、組織内の情報セキュリティインシデントを専門に扱う、インシデント対応チームです。 CSIRTについては、7/11のtechblog記事「守れサイバーセキュリティ～SOCとは？ ヤフーにおけるその役割」でも紹介されています。 こちらの記事では、CSIRTと関わりが深いSOCについての説明をしていますので、ぜひご一読ください。 ヤフーの組織内CSIRTであるYJ-CSIRTでは、情報セキュリティインシデントが発生したときだけでは
【サイバーエージェント様ご登壇事例】【レポート】「これ危ない設定じゃないでしょうか」とヒアリングするための仕組み #AWSSummit | DevelopersIO
AWS Summit Tokyo 2018。Day2 で開催された『【サイバーエージェント様ご登壇事例】「これ危ない設定じゃないでしょうか」とヒアリングするための仕組み』についてレポートします。 スピーカー 柿島 大貴さん 株式会社サイバーエージェント 技術本部 ソリューショングループ エンジニア 東 和宏さん 株式会社サイバーエージェント 技術本部 ソリューショングループ エンジニア セッション概要 株式会社サイバーエージェントのメディア事業でクラウドの管理者として働く 2 人の日々の悩みや試行錯誤の様子を共有させていただきます。ベストプラクティスや驚くような技術とは言えないかもしれないですが、組織でのクラウド利用に おける開発スピードや柔軟性と安全のバランスを目指している １ つの事例として紹介をさせていただきます。 スライド （聴講後、スライドが公開されていました） [slidesh
New improvements and best practices for account security and recoverability | The GitHub Blog
ProductSecurityNew improvements and best practices for account security and recoverabilityFinding compromised passwords and two-factor recovery checkups Strong authentication credentials are critical to preventing malicious access to your account. Everyone on GitHub has a password, so a strong password is an excellent starting point. And, for even stronger assurances, we highly encourage users to
Building Secure JavaScript Applications
Building Secure JavaScript Applications A few weeks back, I've attended SFNode, where Randall Degges gave a presentation on JWTs, mostly on why you avoid using them. The talk was amazing, and also reminded me of an article I wanted to write for a long time now - how one can build secure JavaScript applications. Here we go! In this article, I will go through the most frequently asked question about
WebAppSec @ TPAC 2017
This document: https://bit.ly/webappsec-tpac-2017-agenda WebAppSec @ TPAC 2017 06-10 NOVEMBER 2017 (WebAppSec meets 6-7; unconference Nov 8) FOLKS WHO REGISTEREDDevdatta Akhawe (Dropbox) Abdulrahman Alkhelaifi (UCSD) Dirk Balfanz (Google) Daniel Bates (Apple) Dominic Battré (Google) Hadley Beeman Sangrae Cho (ETRI) WOOLIM CHOI (INCAInternet) Jochen Eisinger (Google) Jeff Hodges (Paypal) Christoph
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Scaling Appsec at Netflix
https://agoric.com/realms-shim-security-updates/
DeNA の AWS アカウント管理とセキュリティ監査自動化
PenTesterが知っている危ないAWS環境の共通点
FIFA, hacked again, is leaking like a sieve – Naked Security
Optimizing Angular 2 Apps - Martin Probst
