SPF (やDMARC) を突破する攻撃手法、BreakSPF | 朝から昼寝
SPF レコードで許可されている IPアドレスの実態がクラウドやプロキシ等の共用サービスのものであるケースは多く、それらの IPアドレスが第三者によって利用できる可能性があることを悪用し、SPF 認証を pass、結果的に DMARC 認証まで pass して詐称メールを送信できてしまうことを指摘した論文が公開されています。 この論文では、上記のような SPF の脆弱な展開に対する攻撃手法を BreakSPF と呼び、関連するプロトコルや基盤の実装に対する分析と共に、その内容が体系的にまとめられています。 本記事では、その論文を参照しながら、簡単に概要をまとめておきます。 補足事項 (2024/3/5) 本記事につきまして、(当サイトとしては) 多くのアクセスいただいているようで (ちょっとビビってま) す。まことに大変ありがたいことに色々とシェアいただいたりしたようです。 そこで、記事の
「Fujitsu MICJET コンビニ交付」サービスで発生した印刷障害について
「Fujitsu MICJET コンビニ交付」サービスで発生した印刷障害について2023年3月27日に当社「Fujitsu MICJET コンビニ交付」（以下、当該サービス）にて印刷障害があり、自治体様の証明書交付サービスで申請された方とは異なる住民の方の証明書が発行されるという事象が発生いたしました。 自治体様ならびに証明書交付サービスをご利用の皆様に多大なるご迷惑ご心配をおかけいたしましたことを深くお詫び申し上げます。 既に本事象に関する対処は行っておりますが、今後こうした事象を二度と起こさぬよう、全力を挙げて再発防止に努めてまいります。 なお、当該サービスによる証明書交付の際に印刷障害が発生する可能性のあった自治体様には個別にご報告を行っております。また、3月27日に確認された障害以外に同様の事象は発生しておりません。 1. 発生事象について3月27日（月）、11:40頃、当該サービ
従業員を標的にした認証サービスに対するスミッシングについてまとめてみた - piyolog
2022年8月7日、米国のクラウドコミュニケーションプラットフォームサービスを提供するTwilioは従業員がスミッシングによるアカウント侵害を受け、その後に同社サービスの顧客関連情報へ不正アクセスが発生したことを公表しました。また、Cloudflareも類似の攻撃に受けていたことを公表しました。ここでは関連する情報をまとめます。 米国2社が相次ぎ公表 TwilioとCloudflareは、従業員に対し、何者かがIT管理者からの通知になりすましたSMSを送り、記載されたURLからフィッシングサイトへ誘導される事例が発生したことを報告。 2022年8月7日 Twilio Incident Report: Employee and Customer Account Compromise 2022年8月10日 Cloudflare The mechanics of a sophisticated
一般ユーザに払い出すと危険なサブドメインやメールアドレス - ASnoKaze blog
ユーザに対して、そのユーザ名のサブドメインやメールアドレスを払い出すWebサービスがあります。 しかし、特定のサブドメインやメールアドレスは特別な用途で使われているものもあります。そのようなサブドメインやメールアドレスを一般ユーザに払い出してしまうと危険です。 現在、IETFでは仕様上利用用途が決められている、それらのラベルをとりまとめる「Dangerous Labels in DNS and E-mail」というdraftが提出されています。 今回はそれを眺めていきます。 （あくまでIETFの取り組みであり、仕様上定義されているものをとりまとめています。クラウドサービスや特定ベンダーで特別利用しているものは現在含まれていません。） サブドメイン ここでとりあげるサブドメインは、利用用途が決まってるため一般ユーザに払い出すべきではありません。(例: mta-sts.example.com)
弊社が運営するPeatixへの不正アクセス事象に関するお詫びとお知らせ | Peatix Inc.
2020年11月17日 お客様各位 Peatix Inc. 弊社が運営する「Peatix（ https://peatix.com/ ）」への 不正アクセス事象に関するお詫びとお知らせ ——————————————————————————————————————————————————————————————————————————————————————————————— [2020年12月16日更新] 今回の不正アクセス事象についての調査結果報告をいたしました。 詳細は「不正アクセス事象に関する調査結果のご報告と今後の対応について」（ https:// announcement.peatix.com/20201216_ja.pdf ）をご覧ください。 —————————————————————————————————————————————————————————————————————
不正利用が発生した電子決済サービスについてまとめてみた - piyolog
2020年9月15日、ゆうちょ銀が提携するドコモ口座以外の電子決済サービスでも不正利用被害が発生していると総務大臣が明らかにしました。ここでは関連する情報をまとめます。 不正利用が発生した決済サービス 2020年9月16日8時時点で不正利用が判明している、報道されている電子決済サービスは以下の通り。 決済サービス 被害総件数 被害総額 被害発生/判明時期 被害判明銀行 ドコモ口座 189件 2797万円 2019年10月以降 七十七銀、大垣共立銀、中国銀、紀陽銀、滋賀銀、東邦銀、鳥取銀、みちのく銀、イオン銀、ゆうちょ銀、第三銀（全部で11銀行） PayPay 18件 約265万円 2020年1月以降 ゆうちょ銀、イオン銀、愛媛銀 Kyash 4件 53万円 不明(2020年9月7日提携開始) ゆうちょ銀、イオン銀 LINE Pay 2件 49.8万円 不明 ゆうちょ銀 メルペイ 3件 約4
Webサービスを常時SSL化しようとして諦めた話
弊社の新規事業でWebサービスを作っていて、セキュリティトレンドの常時SSLってやつをやってみようと思った。 世のWebサービスを見てみるとやっている所が何故かほとんどなく、mixiやニコニコなどの大手もやってないようだ。ニコニコのURLを試しにhttpsにしてみたら繋がらず、mixiはhttpにリダイレクトされる。 うちは新規だから最初からhttps化することで特にデメリットはないと判断、安いSSL証明書を買ってhttpをhttpsにリダイレクトするようにした。技術的な難所はまったくないので問題なく実装完了し、これで安心度がちょっと上がったと思っていたのだが…。 つづく。 続き。 弊サービスではユーザーがYouTubeなどの動画を貼り付ける機能が重要なのだが、テストしてみるとニコニコ動画の埋め込みが動作しなくなっていた。調べてみるとニコ動の埋め込みコードがhttpなせいで、さらに最近のブ
いやー、家計簿アプリ業界、そのうち絶対にヒドい事件がおきると予想します | ツイナビ
いやー、家計簿アプリ業界、そのうち絶対にヒドい事件がおきると予想します — Yusuke OSUMI (@ozuma5119) 2015, 6月 30 Zaimの件、そもそも家計簿アプリごとき(と敢えて言う)に、銀行やクレカのログインパスワードを入れちゃう人があんなにたくさんいることの方がよっぽど問題だと思う https://t.co/pidZhtUbej pic.twitter.com/jpNw41MqK0 — Yusuke OSUMI (@ozuma5119) 2015, 6月 28 Zaimの「金融機関の連携」機能、新生銀行にいたっては暗証番号までナチュラルに入れさせようとしてくるので、控えめに言ってこのアプリは頭がおかしいと思う https://t.co/50guysHXIV pic.twitter.com/BQnIaUnfGo — Yusuke OSUMI (@ozuma5119
BOOTH並びにAPOLLOご利用ユーザー様へ
当社が運営するウェブサービス「BOOTH」および「APOLLO」にて当該サービスをご利用いただいているユーザー様のうち、最大で125名の個人情報が漏洩する問題が発生いたしました件につきまして、皆さまに多大なご迷惑をおかけしましたことを、心よりお詫び申し上げます。 この度、BOOTH並びにAPOLLOで、11月29日17時09分から18時12分の間、一部のユーザー様においてログイン中に他のユーザー様のアカウントに切り替わる問題が発生しました。 発生原因は、サーバ負荷を削減するために行った設定（キャッシュの設定）に誤りがあったためです。障害内容の詳細については下部の「APOLLO・BOOTH障害詳細」に記載しております。 現時点で問題は解決しており、現在影響を受けた可能性のある方への対応を進めております。 APOLLOの続行に対して、ご不安を感じているユーザー様および出展サークル様がいらっしゃ
ツイート数カウントくん アクセストークン流出に関して
2014.06.15 この度、私の管理しておりました「ツイート数カウントくん」のアクセストークンが流出し、悪用されていた事実が発覚致しました。 アクセストークンというのは、Twitterアプリを認証した際、そのユーザーに成り代わって操作を行う事の出来るの鍵のことです。 今回は、その鍵を悪用し、ツイート数カウントくんのユーザーに成りすまし、ある特定のユーザーを大多数のユーザーでブロックしていた事が分かり、発覚したものです。 被害に遭われました方々には、深くお詫び致します。 アプリ自体の削除は、6/14(土) 朝10時過ぎに行っており、今後同様の成りすましが起こる事はございません。また、アクセストークンを利用しての、ユーザーのパスワードの表示や変更などは、Twitterの使用上、出来ません。 利用していた皆さんにおかれましては、一度、フォロー及びフォロワー一覧をご確認の上、身に覚えの無いフォロ
My SoftBankに再び不正ログインとコンテンツ不正購入発生。何の対策もしてなかった事が判明 - No！SoftBank
ソフトバンクと孫正義の嘘・騙し・詐欺・誹謗中傷を徹底的に追及するブログです。つながりにくさも料金の高さもブッチギリNo.1のソフトバンクに、皆さん心当たりありませんか？ 様々な情報をお伝えしていきます。 「My SoftBankで不正ログイン、糞仕様のせいでユーザーがiTunesコード不正購入の被害に遭う事案が発生」でも書いた通り、今年2月にMy SoftBankに不正ログインされ最大10万円ものiTunesコードが不正に購入される事件が発生しました。 もちろん、この不正購入被害についてはソフトバンクは完全に隠蔽しています。 で、この約2ヶ月後、不正ログインが再び起こったそうです。 不正なコンテンツ購入も再び行われたそうです。 お客さまへのMy SoftBankパスワード管理のお願いと不正アクセスへの対応について | 企業・IR | ソフトバンク http://www.softbank.j
全てのWEBサービスでチェックすべきセキュリティ項目
WEBサービスにおけるセキュリティ対策の基礎 近年WEBサービスの脆弱性が騒がれておりますが、果たしてあなたが運用しているサイトのセキュリティは大丈夫でしょうか？以下、チェックしておくべきセキュリティ項目をあげました。 SSL証明書の利用 ユーザのプライベートな情報を送信してもらいサーバに保存するようなサービスではSSL認証は必須の機能と言えるでしょう。SSL認証を行っていないと、大切なユーザの情報が外部の悪いユーザに見られてしまう可能性があります。 ※ちなみにGozal-mediaではプライベートな情報のやり取りは行っていないためhttpで通信を行っています。 【確認方法】 ・ユーザ情報を送受信するページのURLが「https」から始まっている事を確認 ・「https」のページにアクセスした際に「セキュリティ証明書が信頼できない」という用な表示が出てこない事を確認 【導入方法】 導入
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「宅ふぁいる便」、メアドとパスワードを含む480万件のユーザー情報が漏洩
【知っ得！旬のネットサービス】ドメイン名を入力するだけでサイトのセキュリティ評価が行える「Observatory」
さくらインターネット、年額1500円で利用できるドメイン認証SSL「ラピッドSSL」 
【重要】スマートフォン版LINEのセキュリティ強化のため、「PINコード」による本人確認手順を追加しました（7/17開始） | LINE公式ブログ
Walti サーバーサイドのセキュリティ スキャンを身近に
ガチなサイバー攻撃で商用ネットサービスが破綻する時代が見えてきた(山本一郎) - 個人 - Yahoo!ニュース
feedlyとEvernote、脅迫的DDoS攻撃から復旧、金銭要求に屈せず 
セガ公式サイトのサーバー内に不正プログラム置かれる、閉鎖して詳細調査中 