兵庫県警へ「不正指令電磁的記録に関する罪」の情報公開請求をしました（その1） - ろば電子が詰まつてゐる
（追記）これまでの活動を時系列にまとめたTwitterのモーメントを作りました。記事はこちらで追えますので、合わせてご覧ください。 Twitter Moment: 兵庫県警へ「不正指令電磁的記録に関する罪」の情報公開請求をしました はじめに 先日、「forループでalertウィンドウを出すだけ」という、いわゆるジョークプログラムへのリンクを張った3人が、兵庫県警によって1名(未成年)が補導、2人が書類送検される予定という事案が発生しました。(for文無限ループURL投稿で補導された件についてまとめてみた) この事案について、兵庫県警に対し兵庫県情報公開条例に基づいて以下の情報公開請求を行いましたので記録します。 なお本記事については、以前に同様に神奈川県警に対して情報公開請求を行った 梅酒みりん 様へお願いし、文面について利用させて頂くことを快諾頂きました。この場を借りて感謝を申し上げます
セキュリティ関連の情報収集に役立ちそうなWebサイト一覧 - セキュリティこねこね
私がRSSリーダで巡回しているサイトから抜粋してまとめておきます。主にニュースやレポート系です。他におすすめがあれば教えてください。なお、この他にCTFやフォレンジック関係も追っているのですが、それはまた別の機会に。 セキュリティベンダー Cisco Japan Blog DARK MATTER FFRI BLOG(RSS) IIJにおけるセキュリティ活動 LAC WATCH MBSD Blog Nota Bene | Eugene Kaspersky Official Blog in Japanese Save the Worldの思いを伝えたい | カスペルスキー公式ブログ SIOS Tech. Lab WAF Tech Blog wizSafe Security Signal - 安心・安全への道標- IIJ キヤノンITソリューションズの更新情報 セキュリティ研究センターブログ ト
日経ビジネスが報じたパスワード16億件流出についてまとめてみた - piyolog
2018年9月7日、日経ビジネスONLINEがスクープ記事としてパスワード16億件がインターネット上に流出していると報じました。ここでは関連情報をまとめます。 日経ビジネス 特集記事 スクープ！ソニー・トヨタ・外務省…パスワード16億件流出 スパイが語る次の標的 PART 1 英国人スパイの独白 サイバー空間に渦巻く陰謀 PART 2 サプライチェーンが標的に 想定外の「抜け穴」判明 16億件は回収不可能 PART 3 日本企業を包囲する4カ国 奪ったカネで核開発 正恩氏の“別動隊”暗躍 PART 4 MUFG、富士通、パナソニックの防衛策 サイバー後進国の企業にできること 以下の記事は日経ビジネス DIGITALで限定公開されている。 サイバー防衛で大事な「Who」「How」「Why」 MUFGの亀田浩樹CISOが重視する、脅威シナリオの事前分析 セキュリティーの責任は、経営層が担うべき
サポート情報 : トレンドマイクロ - Trend Micro社製 macOS/iOSアプリがApp Storeから一時公開停止されている件について
[更新 3月01日] ライトクリーナー、ライトクリーナー LEについて公開状況を更新しました。 [更新 2月04日] Jewelry Box （iOS版）について公開状況を更新しました。 [追記 12月26日] Appleの要件に沿う形で一部の機能を変更し提供していましたが、Appleとの調整が進み、 2018年12月26日より「コンテンツシールド」の一部機能が再度ご利用いただけるようになりました。本機能についての詳細はこちらをご確認ください [追記 12月08日] 当社Trend Micro Mobile Security (iOS デバイス) が2018年9月10日（日本時間）からApp Store上で一時公開停止されていましたが、2018年12月08日より公開が再開されましたのでご報告、ご案内申し上げます。 [更新 11月19日] 公開状況を更新しました。 [追記 11月17日] 当
「公式」QRコードリーダーを使うと読み取り時の位置情報がQRコード作成者に提供される | スラド Submission
あるAnonymous Coward 曰く、 先日、読み取りづらいQRコードに遭遇したため、いくつかのQRコードリーダーを試していたところ「公式」を謳うQRコードリーダーが起動時に位置情報の取得を要求してくることに気づいた。位置情報を要求してくるのは、QRコードの特許及び商標を保有している株式会社デンソーウェーブと、アララ株式会社が共同開発している「公式QRコードリーダー "Q"」。 不審に思って調べてみたところ、実はこの「公式」QRコードリーダーは「アクセス解析機能」が有効化された特別なQRコードを読み取ると、GPSを使った高精度の位置情報が開発元のログ収集サーバー(api.qrqrq.com) に送信される仕組みとなっていた(ログ送信時のキャプチャ)。もちろんQRコード自体に、そのような仕様が存在しているわけではなく、位置情報の送信は「公式QRコード作成サイト」(2017年9月開始)
“使いやすいパスワード”が、大規模組織のシステムをつぶす――「恐怖の実話」はなぜ起こったのか
あなたが「そんなこと、もう知ってるよ！」と思うようなセキュリティ知識を、まだ知らないかもしれない人たちに向けて何度でも伝える――これ、一見ムダに思えませんか？ でも、実はセキュリティ向上にとって非常に重要なポイントは「皆の“知らなかった！”をどれだけ減らせるか」だと、私は考えています。なぜなら、多くの被害者を出した情報漏えい事件の一部は、基本的なセキュリティ知識が“皆に”伝わってさえいれば、本来防げたはずのものだから。 今回、皆さんに紹介するのは、2018年7月に公開された「報告書」です。これは、産業技術総合研究所（産総研）が外部からの不正アクセスを“許してしまった”事件の被害状況と原因を整理した、大変有用な資料です。 （参考） 産総研に外部から不正アクセス、個人情報漏えいの恐れ（ITmedia NEWS） 産総研を襲ったのは「マルウェア」ではなかった 一体何が起こったのでしょうか？ 簡単
総務省｜報道資料｜「クラウドサービス提供における情報セキュリティ対策ガイドライン（第2版）」の公表
総務省は、今般、クラウド事業者がIoTサービスを提供する際のリスクへの対応方針を取りまとめたことから、「クラウドサービス提供における情報セキュリティ対策ガイドライン」（平成26年4月策定）を改定することとし、「クラウドサービス提供における情報セキュリティ対策ガイドライン（第2版）」を策定しましたので、これを公表します。 あわせて、「クラウドサービス提供における情報セキュリティ対策ガイドライン（第2版）」（案）に対する意見募集の結果を公表します。 総務省では、平成29年7月より、特定非営利活動法人ASP・SaaS・IoTクラウドコンソーシアムに委託し、「ASP・SaaSクラウド普及促進協議会」の下に設置された「クラウド事業者におけるIoTセキュリティ対策及び情報開示に関する検討会」（主査：佐々木良一 東京電機大学 教授）（構成員は別紙1のとおり）において、クラウド事業者がIoTサービスを提供
2018年版セキュリティ担当者が情報収集する際に見ておくべき資料・サイト80選
組織のセキュリティ対策 2018.7.25 あなたはセキュリティ業務に関連する情報（webサイトや資料）を整理できていますか？ 情報の移り変わりはとても早く、ご存知の通り情報セキュリティの世界も新しい情報を常にインプットしていかなければなりません。ただでさえ忙しい中、新しい情報をキャッチアップし続けるための手間も最小限に抑えたい、そんな想いを持つ方も多いのではないでしょうか。 そこで、今回は「情報セキュリティ担当者がどのサイト・資料に目を通しておけばいいか」を、下記のような視点から80個厳選してまとめました。 ・セキュリティ対策、インシデント情報、脆弱性情報に関する情報を素早くキャッチしたい ・企画資料のために使えそうな統計データや情報が欲しい ・新人研修のための資料を探している RSS、Social Media、キュレーションサイト等情報の入手方法はいろいろありますが、このような形でまと
【衝撃事件の核心】生徒に破られた高校サーバー、流出したクラス替え案・９８０人分の成績…脆すぎる「学校のＩＴセキュリティ」と「生徒のモラル」（1/4ページ） - MSN産経west
教師のパソコンから新年度のクラス編成案や入試成績が抜き取られ、一部がスマホを介して生徒たちに流された。“犯人”の男子生徒は「軽い気持ちでやった」といい、学校での情報管理やモラル指導のあり方が問われる事態に 新年度のクラス表が春休み中に生徒たちの間に出回っていた－。滋賀県内にある県立高校の男子生徒が今年３月、教諭のパソコンのユーザーＩＤとパスワードを盗み見して学校のサーバーに不正アクセスし、クラス編成案や休み明けのテスト問題、入試や定期試験など生徒９８０人分の成績を入手。このうち、クラス編成案は無料通信アプリ「ＬＩＮＥ（ライン）」で同級生ら３５人に送信した結果、情報があっという間に３００人以上の手元へ拡散した。学校現場にパソコンが普及する中、個人情報に対する学校の管理体制や生徒たちの「情報モラル」が問われる事態になった。（桑波田仰太）付箋に書かれた教諭のパスワード 卒業式を前日に控えた２月２
情報セキュリティ入門［第2版］
書名は堅いが内容はとっつきやすい。システム管理者やエンジニアに求められる“教養としてのセキュリティ”をかなり網羅的にまとめている。セキュリティ管理を展開していくにせよ、セキュリティ技術を取り扱うにせよ、脅威と防護手法の全体像は知っておく必要がある。本書はそうした土台となる知識を提供してくれる。一通り読めば、セキュリティ関連のニュース、専門ブログ、技術セミナー、ガイドラインなど、読者それぞれが必要とする分野での情報収集もスムーズになるだろう。 とはいえ、A5判で350ページ超とかなり分厚い書籍だ。文章の無駄を削りつつ、口語的な表現を使って読みやすくする工夫を凝らしてある。それでも、数時間で読み終えられるものではない。教養的な内容すら、新書サイズに収められない状況であることにがくぜんとする。本の厚さがセキュリティ専門家と一般ユーザーの溝の深さにも感じられてくる。
「情報セキュリティ対策ベンチマーク バージョン4.2」と「診断の基礎データの統計情報」を公開：IPA 独立行政法人 情報処理推進機構
IPA（独立行政法人情報処理推進機構、理事長：藤江一正）は、2005年8月からIPAのWebサイトで公開している「情報セキュリティ対策ベンチマーク」の診断の基礎データを最新のデータに入れ替え、バージョン4.2として新たにサービスを開始しました。 URL：http://www.ipa.go.jp/security/benchmark/ 情報セキュリティ対策ベンチマークは、組織の情報セキュリティ対策の取組状況（27項目）と企業プロフィール（19項目）を回答することにより、他社と比較して、セキュリティ対策の取組状況がどのレベルに位置しているかを確認できる自己診断システムです。診断時の回答項目は、ISMS(*1)認証基準（JIS Q 27001:2006(*2)）附属書Aの管理策(*3)をベースに作成しており、ISMS適合性評価制度を用いるよりも簡便に自己評価することが可能です。 本システムのバー
韓国への大規模サイバーテロ事件について | snowwalker's blog
まだ状況がはっきりしていない部分も多いのですが、韓国で大規模なサイバーテロが発生した模様ですね。現在明らかになっている情報を総合すると、犯人は不明ですがきわめて意図的な大規模攻撃のように見えます。Mandiant報告にあるような産業スパイ大作戦とはまた異なる様相のストレートなサイバー戦争が発生しているように思えるので、こちらで少し状況をまとめておきます。 1.被害状況 複数の放送局・金融機関で社内コンピュータネットワークが一時マヒ状態になる 新韓銀行ではATMやオンラインバンキングサービスまで一時的に利用不能 2.攻撃手法 良くありがちなDDOSなんぞではなく、malware配布によるもの。 感染経路としては韓国内で60%程度のシェアを誇るアンラボ社製品の各社に設置された資産管理サーバを乗っ取り、そこにmalwareを仕込んだと思われる。 アンラボ社の見解(韓国語) 資産管理サーバーを乗っ
Googleドメイン向けの不正証明書、主要ブラウザメーカーが失効措置
「*.google.com」のドメイン向けに手違いで不正な証明書が発行されて攻撃が発生。Google、Microsoft、Mozillaは問題の証明書を失効させる措置を講じた。 「*.google.com」のドメイン向けに不正な証明書が発効されていたことが分かり、主要ブラウザメーカーが問題の証明書を失効させる措置を講じている。 米Googleのセキュリティブログに1月3日付で掲載された情報によると、Google Chromeが12月24日に不正なデジタル証明書を検出して遮断。調べたところ、問題の証明書はトルコの認証局TURKTRUSTの傘下の中間認証局（CA）が発行していたことが判明した。 TURKTRUSTの説明によれば、2011年8月に2組織に対して通常のSSL証明書を発行すべきところを、手違いで中間CA証明書を発行していたことが分かったという。このためGoogleは12月25日から2
NTTデータが運営する地銀共同センターから盗まれた情報で不正出金が発生。委託先社員が逮捕される : プライバシーマーク・ISMSナビ
プライバシーマーク・ISMSナビ プライバシーザムライが、プライバシーマーク／個人情報保護、ISMS／情報セキュリティの最新情報をお届けします。 （画面は同社Webサイトより） 株式会社NTTデータは、11月27日付で、自社が運営する地銀共同センターから取引情報が不正に持ちだされ、ATMから現金が引き出された可能性があると発表しました。また、本件に関連し、業務委託先企業の社員が京都府警に逮捕されたとのことです。 逮捕された委託先社員は、2003年4月より同センターの構築に加わっており、かなりシステムの内容に詳しかったということです。 また、不正に取得された情報は、 ・地銀共同センター参加銀行と提携金融機関の間での取引情報 （口座番号、暗証番号含む） とのことで、この情報を使用してキャッシュカードを偽造して、ATMから現金を引き出していたようです。 （私のコメント） 内部に常駐する委託先の犯
PASMOのお粗末さと企業の情報システムにおけるリスク管理について - novtan別館
駅員によるPASMO履歴開示ストーカー問題は情報システムのもろさと管理の大切さをアピールするいい機会だったと思う。被害者の方には申し訳ない話だけど。そもそも高木先生によるPASMOマイページの問題に指摘がある遥か前に、このような事件が起きていて、かつその結果としてシステムなり運用なりが改善されていなかった、ということが企業でITシステム構築にかかわる身としては驚くべき事態です。 とはいえ、僕の主に担当している領域は、銀行という最もリスク管理に厳しい業種のひとつであり、そこで常識とされていることはほかの業界では常識ではなかったりする。2000年代半ば（ここでは2000〜2009年のことを2000年代というね）なんて、銀行のインターネットバンキングサイトは当然httpsだったけど、クレジットカードのサイトはhttpだったもんですがｗ さて、システムリスク管理とはどんなものか。一般的にはシステム
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
IPA「情報セキュリティ白書2018」PDF版の無料公開開始！ 仮想通貨やIoTなどをテーマに解説 
諜報機関NSAによる「Googleで秘密情報を探すマニュアル」
開発者向けツール、テクニカル ドキュメント、コード サンプル
