高校2年生が開発したWindows専用脆弱性スキャナー「DetExploit」がリリース／オープンソースで開発。今後はアドオンによる拡張や自動更新機能も
ロシア連邦保安庁の請負業者サーバへの攻撃でTor匿名化解除プロジェクトなどが暴かれる
SyTechのWebサイトは現在、アクセスできない状態になっている。 0v1ru$は別のハッカー集団Digital Revolutionとデータを共有し、Digital Revolutionが複数のメディアにこのデータを提供した。いずれもSyTechがFSBと関連する研究所から請け負ったプロジェクトに関するものという。 BBCは、Digital Revolutionから入手したというデータの内容をいくつか紹介した。例えば「Nautilus-S」と名付けられたプロジェクトはTorの出力ノードを操作することで匿名化を解除することを目的としている。P2Pネットワークに侵入するプロジェクト「Reward」、ロシア企業のサーバ上のメールを監視するプロジェクト「Mentor」なども紹介した。 SyTech、FSB、ロシア政府からは本稿執筆現在、コメントなどはまだない。 関連記事 Facebook、世界
46MBが4.5PBに膨れ上がる危険なZIP爆弾に注意
Fossbytesは7月13日(米国時間)、「This Dangerous 'Zip Bomb' Can Explode 46MB File Into 4.5 Petabytes」が、「Zip Bomb (ZIP爆弾)」と呼ばれる高圧縮ファイル爆弾に新たな方法が発見されたと伝えた。この方法を使うと、46MBのZIPファイルを展開することで4.5PBのサイズに膨張させることが可能とされており、注意が必要。 記事はDavid Fifield氏が公開した次のドキュメントがベースになっている。 A better zip bomb A better zip bomb 説明によれば、ZIPコンテナ内部でファイルを重ね合わせることで高い圧縮率を実現したという。従来は再帰的な方法を使うことで高圧縮を実現していたが、今回発見された方法は再帰的な方法は使っておらず、1回の解凍で完全に展開されると説明がある。こ
7payの「二段階認証導入」は正解か？ セキュリティ専門家、徳丸氏の視点
不正ログインが相次ぎ、ユーザーの被害総額は約5500万円にのぼったというモバイル決済サービス「7pay」。7月4日には運営元のセブン・ペイが緊急記者会見を行い、翌日5日には二段階認証を導入するなどのセキュリティ強化策を発表した。 しかし、セキュリティ専門会社代表取締役の徳丸浩さんはセブン・ペイの決定に疑問を持っているという。「二段階認証の導入決定は、結論を出すのが早すぎたのではないか」（徳丸さん） ITサービスの脆弱性（ぜいじゃくせい）診断を手掛けるEGセキュアソリューションズ代表取締役であり、「徳丸本」の愛称でも有名な「体系的に学ぶ 安全なWebアプリケーションの作り方」著者の徳丸さんに、7payが取るべきセキュリティ対策を聞いた。
NASA、サイバー攻撃で機密データ流出 侵入口は無許可接続の「Raspberry Pi」
米航空宇宙局（NASA）のジェット推進研究所（JPL）の研究データが昨年、サイバー攻撃により盗まれていたことが、米連邦政府の監察総監室（OIG）が6月18日付で公開した報告書（リンク先はPDF）で明らかになった。 2018年4月にJPLのネットワークに侵入した攻撃者が約10カ月の間ネットワーク内の多数の脆弱性を利用して行動範囲を広げ、火星科学研究探査機のデータを含む約500MBの機密データを盗んだ。深宇宙通信情報網DSN（ディープスペースネットワーク）のデータにもアクセスした痕跡があるため、JPLのネットワークからDSNの宇宙飛行関連システムを切断したという。 攻撃者の侵入口はJPLのネットワークに無許可で接続していたRaspberry Pi端末だった。本来ならば最高情報責任者室（OCIO）がネットワークに接続するすべての端末を管理しているはずだが、正常に機能していなかった。管理者の1人は
NetflixやGoogleアカウントまで共有--個人情報を“渡す”10代
ある高校生がこんな言葉をつぶやくのを聞いた。「友だちのアカウントが何だかおかしかったから、『誰かとアカウント共有してるのかな』と思った」。この発言に驚く大人は多いだろうが、若者の間では特に問題とされない。 若者の間では、様々なアカウント共有が一般化しつつあるためだ。若者たちの間におけるアカウント共有の実態と危険性についてご紹介したい。 Netflixはアカウント共有で格安で楽しむ 「Netflixのアカウント共有しない？」。Twitterではそのような投稿は少なくない。大学生の間で、友だちを集めてアカウントを共有する学生が増えているのだ。 2017年のロイター／イソプス調査によると、定額動画配信サービス利用中の18〜24歳の21%が、同居家族以外のユーザーのログイン情報でNetflixやHuluなどにログインしたことがあるという。もちろん別居している家族のアカウント情報でログインしたユーザ
TechCrunch
In 2019, Amazon upgraded its Alexa assistant with a feature that enabled it to detect when a customer was likely frustrated — and respond with proportionately more sympathy. If a customer asked The halls of power are waking up to the potentials and pitfalls of artificial intelligence. The big question will be how much of an impact they will have on the march of progress if (and when) there a
海賊版サイトにDoS攻撃「全く賛同しない」 JAIPA、IT団体連盟の案に反対
「海賊版サイトをブロッキングする代わりに、権利者が海賊版サイトに直接DoS攻撃を仕掛ける」――国内のIT関連団体を束ねる日本IT団体連盟が、政府の知的財産戦略本部の勉強会で行ったこんな提案について、同連盟に所属する日本インターネットプロバイダー協会（JAIPA）が9月5日、「全く賛同するものではない」との声明を出した。 提案は、政府の知的財産戦略本部が8月10日に開催した、「インターネット上の海賊版対策に関する勉強会」で、日本IT団体連盟政策委員会の別所直哉委員長が行ったもの。ブロッキングに代わる海賊版サイト対策として、権利を侵害された権利者自身が海賊版サイトにアクセスを集中させてつながりにくくする、いわば「権利者による海賊版サイトへのDoS攻撃」を提案する内容だ。 提案資料（PDF）がWebで公開されると「犯罪行為では」「同じサーバを使っている他のサイトにも影響が出る」などと批判が起きた
「海賊版サイトにDoS攻撃」政府の勉強会で提案 日本IT団体連盟の資料公開
「海賊版サイトをブロッキングする代わりに、権利者が海賊版サイトに直接DoS攻撃を仕掛ける」――政府の知的財産戦略本部が8月10日に開催した、「インターネット上の海賊版対策に関する勉強会」で、IT関連の団体で構成する日本IT団体連盟（理事長：ヤフー社長の川邊健太郎氏）がこんな提案を行ったことが話題になった。提案資料がこのほど、政府のWebサイトで公開（PDF）され、ネットで議論を呼んでいる。 資料では、海賊版サイトの技術的対策として、「アクセス集中方式」がブロッキングに代わる手段になると提案。権利者が自ら、違法サイトにアクセスを集中させ、サイトにつながりにくくするという案で、いわば「権利者による海賊版サイトへのDoS攻撃」の提案だ。 この「アクセス集中方式」について、資料では、「1億人の権利を犠牲にして得るものが少ないブロッキングに比べれば、海賊版サイトの運営者だけが影響を受け、回避手段を講
件名・本文に本物のパスワード 新手の脅迫メール出回る
スパムメールの件名や本文に、メールアドレスの持ち主が実際に使っているパスワードを記載した新手の脅迫メールを確認したとして、JPCERT/CCがWebサイトで注意を呼び掛けている。 7月21日ごろから確認しており、メール受信者が実際に使用しているパスワードが件名と本文に書かれているという。内容は、ビットコインを支払うよう脅迫するスパムメール。攻撃者が何らかの方法で、実際に使用されているメールアドレスとパスワードの組み合わせを入手したとみられる。 JPCERT/CCは「脅迫メールに示されたパスワードを使用していたサービスが複数にわたり、マルウエア感染により収集された可能性も否定できないため、パスワード自体が漏えいした原因の特定は困難だった」という。「パスワードの使い回しをしないことや、ウイルス対策ソフトの利用など、普段からの対策を徹底していくことが不可欠」としている。 このようなメールを受け取
Google Chromeで「ダウンロード爆弾」の不具合が復活、Firefoxなどにも影響
この不具合は、ユーザーのPCに大量のファイルを保存させてフリーズさせた末に、エラー警告を表示する手口に利用されていた。 米GoogleのWebブラウザ「Chrome」で修正されていたはずの「ダウンロード爆弾」と呼ばれる不具合が、最近になって公開された「Chrome 67」で復活したと伝えられている。この不具合は、過去に技術サポート詐欺に悪用された事例が報告されていた。 ダウンロード爆弾の手口は、2018年2月の時点でセキュリティ企業のMalwarebytesが伝えていたもので、ファイルをローカルに保存するための「window.navigator.msSaveOrOpenBlob」というAPIを悪用していた。 攻撃には悪質な広告や改ざんされたWebサイトが利用され、ユーザーのPCにファイルを矢継ぎ早に保存させてフリーズさせた末に、エラー警告を表示。「直ちにMicrosoftに電話を。この重大
ファイルを暗号化し、「復元したければPUBGを1時間プレイしろ」と要求するランサムウェア、4月に発見
デスクトップのファイルを暗号化し、「復元したいなら、オンラインゲーム『PUBG』を1時間プレイしろ」と要求するランサムウェアが見つかっていると、キヤノンITソリューションズが、4月のマルウェアリポートで報告している。 感染するとデスクトップのファイルを暗号化し、ファイルの拡張子を「.PUBG」に変更。暗号化が完了すると、「私はお金は欲しくない。ロックを解除するには1時間PUBGで遊ぶか、回復コード『s2acxx56a2sae5fjh5k2gb5s2e』を入力しろ」と求める文章が表示されるという。 キヤノンITソリューションズによると、ファイルを復号するためにゲームで1時間遊ぶ必要はなく、PUBGのプログラムに含まれている「TslGame」という名の実行ファイルが3秒以上起動していれば、暗号化されたファイルは復元されるという。また、指定の回復コードを入力しても、ファイルを復元できるという。
主要OSに共通の脆弱性が発覚--「Windows」「macOS」「Linux」などに影響
AMDおよびIntelのx86プロセッサ上で稼働する「Windows」、「macOS」、「Linux」の主要ディストリビューション、「FreeBSD」、「VMware」、「Xen」に影響する、深刻な脆弱性が明らかになった。OS開発者がチップメーカー2社のデバッグ文書の解釈を誤ったのが原因とみられる。 US-CERTは米国時間5月8日、認証を受けた攻撃者が「メモリ内の機密データを読んだり、OSの低級な機能を制御したり」する可能性を警告し、影響を受けるOSおよびハイパーバイザの開発元でパッチの対応状況を確認するよう呼び掛けている。 US-CERTは影響を受ける開発元として、Apple、DragonFly BSD、FreeBSD、Linux Kernel、Microsoft、Red Hat、SUSE Linux、Synology、Ubuntu、VMware、Xenプロジェクトを挙げている。Lin
人の頑張りだけではもう無理？ 増えるIoT機器のセキュリティ管理、助っ人はAI
この先も確実に増加し続けていくIoT機器、あるいはネットワークにつながるICSを、これまでのようにセキュリティ担当者の頑張りだけで守っていくのは困難です。セキュリティベンダーはその強力な助っ人として、AIや機械学習の活用を提案しています。 好むと好まざるとにかかわらず、この先増え続けていくことが確実なIoTデバイス。総務省によれば、2020年には全世界で約300億台まで急増する見通しです。そうした機器を手作業で管理していては、デバイスの保護はおろか、確実に状況を把握することすら難しい――セキュリティ企業の米Fortinetはそんな風に考えているそうです。 同社は18年2月27～28日に米ラスベガスで開催した年次カンファレンス「Accelerate 18」で、専用OSの新バージョン「FortiOS 6.0」などとともに、機械学習によって人の手に頼らず脅威の分析と検出を行う「FortiGuar
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
URLがなにかおかしい……「Google Chrome 69」に加えられたある小さな変更が話題に／アドレスバーに“些細なサブドメイン”が表示されないように【やじうまの杜】
サマータイム実施は不可能である
TechCrunch
人気のFirefox拡張機能「Stylish」がポリシー違反でブロック、すべての閲覧履歴を収集か／有志のセキュリティエンジニアによる調査で発覚
件名「Microsoftアカウントの不審なサインイン」という偽メールが拡散中、偽Officeサイトへ誘導してユーザー情報をだまし取る 
AMD、CTS Labsが開示したRyzen/EPYC向け脆弱性対応ファームを近く提供
