「OAuthで認証してます」 「SSOってSAMLのこと？」 「OIDCってOAuthの上位互換？」 このあたり、言葉の形が似ていて普通に混ざります。 で、混ざったままでも開発は進んでしまうので、なおさら厄介です。 ただ、ここで詰まる原因は「専門用語が多いから」じゃなくて、もっと単純で、種類の違う言葉が同じレイヤーに置かれがち だからだと思っています。 体験の名前（SSO） 信頼のつなぎ方（フェデレーション） 登場人物の役割（IdP / SP） 受け渡しのルール（OAuth / OIDC / SAML） レイヤーを分ければ、用語が多くても意外と迷子になりません。この記事はそのための整理です。 TL;TD 認証（AuthN）：あなたは誰？ 認可（AuthZ）：あなたは何ができる？ SSO：1回ログインで複数サービスを使える「体験」 フェデレーション：別システムの認証結果を「信頼して受け取る」

ステルスSSID、百害あって一利なし はじめに 「SSIDを隠せばセキュリティが上がる」 無線LAN設定でこのような運用をしてませんか？ ステルスSSID（Hidden SSID）は、ぱっと見セキュリティ対策に見えますが、現実は効果がないどころか、むしろセキュリティリスクを高めます。 本記事では、ステルスSSIDがなぜ「意味がない」のか、そしてどのような対策が本当に有効なのかを解説できたらと思います LLMに査読させまくりましたが、誤りがあればコメントで優しく教えていただけると幸いです。 あとこの記事の大半は企業の無線LANが主な話題となります

水戸市のネイリストの女性が殺害された事件では、位置情報がわかる機器を仕込んだぬいぐるみが、住所の特定に悪用された可能性があることが、茨城県警の捜査でわかった。こうした機器はストーカー事案でたびたび使…

Kenn Ejima @kenn 最近アメリカでは 無言電話をかけて何か喋らせて切断し その録音から再現した同じ声のAIで 家族にオレオレ詐欺をしかけるという ヤバい手口がじわじわ広がってて FTCが警告してる 最近の音声モデル 数秒で自分の声をクローンできるもんな 絶対日本にも来るから要注意 consumer.ftc.gov/consumer-alert… 2026-01-15 23:31:12 リンク Consumer Advice Scammers use AI to enhance their family emergency schemes You get a call. There's a panicked voice on the line. It's your grandson. He says he's in deep trouble — he wrecked the c

ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（ランサムウェア攻撃によるシステム障害関連・第 13 報） アスクル株式会社は、2025年10月19日、ランサムウェア攻撃によるデータの暗号化とシステム障害により、大規模なサービス停止と保有情報の流出が確認される事態となり、多くのステークホルダーの皆様に多大なるご心配とご迷惑をおかけしております。 当社は外部専門機関の協力のもと、システム障害範囲の特定とランサムウェア攻撃の影響の詳細調査を進めてまいりました。 本日時点までに判明した調査結果等について、以下の通りご報告いたします。 ■代表取締役社長 CEO 吉岡晃より 今般のランサムウェア攻撃により、お客様情報に加え一部のお取引先様の情報が外部へ流出しており、多大なご迷惑をおかけしております。また、当社物流システムに障害が発生してサービスが一時的に停止したことにより、お

この記事はJapan AWS Top Engineers Advent Calendar 2025のDay9 の記事です。 対象読者 Amazon Web Services（AWS）でバックアップ戦略を検討している方 ランサムウェア対策としてのバックアップ設計を検討している方 AWS Backupの論理的エアギャップボールト（Logically Air-Gapped Vault）に興味がある方 マルチアカウント構成でのバックアップ管理を検討している方 はじめに 本記事ではランサムウェア対策としてのバックアップ戦略をご紹介します。 「バックアップを取っていれば安心」という時代は終わりました。現代のランサムウェア攻撃は、バックアップデータそのものを標的にします。本記事では、Veeamが提唱する「3-2-1-1-0ルール」をベースに、AWSでどのようにバックアップを保護するかを、2025年にリリ

クリックジャッキングとは、ウェブページのリンクやボタンといった要素を偽装してユーザーをだまし、意図しない動作を引き起こす攻撃手法です。新たに、情報セキュリティやプログラミングの専門家であるLyra Rebane氏が、クリックジャッキングにScalable Vector Graphics(SVG)を組み合わせた新たな攻撃手法「SVGクリックジャッキング」を考案しました。 SVG Filters - Clickjacking 2.0 Ʊ lyra's epic blog https://lyra.horse/blog/2025/12/svg-clickjacking/ Appleは2025年6月の開発者向け年次会議WWDC25で、iPhoneやMac向けの新デザインである「Liquid Glass」を発表しました。Liquid Glassはガラスの光学的特性を取り入れたデザインであり、光の屈折

お客様各位 この度、弊社が提供するサービスへの第三者不正アクセスにより、お客様の個人情報およびクレジットカード情報が漏洩した可能性につきまして、多大なるご心配とご迷惑をおかけしておりますことを深くお詫び申し上げます。 本お知らせは、2025年8月8日に公表した前回のお知らせ（https://www.suruga-ya.jp/feature/osirase/2025_08_08.html）の続報です。8月8日のお知らせ以降、外部専門家によるフォレンジック調査を実施し、2025年10月10日に完了しました。原因および対象範囲に関する報告書を受領しました。 漏洩の疑いがある対象件数はクレジットカード30,431件、それに付随するお客様の情報29,932名でした。 お客様ならびに関係者の皆様に多大なるご心配とご不便をおかけしておりますことを、深くお詫び申し上げます。 本件の詳細情報および弊社の対応

npm史上最悪のサプライチェーン攻撃「Shai-Hulud 2.0」。正規パッケージのメンテナー認証情報を盗み、悪意あるバージョンをnpmに公開するという手口で、11月21日から急速に拡散しました。 この記事では2つのことを解説します： 自分が被害にあっていないか確認する方法 今後の被害を防ぐ多層防御アプローチ *この記事と同じ内容を動画でも解説していますので、動画の方が好きな方は下記からどうぞ 被害確認 - あなたは大丈夫か？ Shai-Hulud 2.0は11月21日から急速に拡散しました。この日以降にnpm installを実行した人は、感染の可能性があります。 チェック1: GitHubアカウントの確認（ブラウザで完結） 確認ポイント1: 見覚えのないリポジトリ まずGitHubで自分のリポジトリ一覧を確認。 Shai-Huludは感染したアカウントにランダムな名前のパブリックリポ

江崎道朗@富民厚防 @ezakimichio 新幹線に乗っていたら、大声で電話をしている男性がいて、いい迷惑だと思って声がする方を見たら、「昼は◯◯国の◯◯とランチ、今日夜は名古屋で河村さんたちと会合だ」と言っている。顔を見たら、◯◯議員。 インテリジェンスだ、安全保障だとテレビであれこれ話されているが、新幹線のなかで大声で自分の予定を話してはダメでしょう。 機密は、政治家たちから漏れることが多い。セキュリティクリアランスの調査対象に、政治家も加えるべしと主張する所以だ。 2025-12-03 11:12:52 江崎道朗@富民厚防 @ezakimichio 麗澤大学特任教授。情報史学研究家。国家基本問題研究所企画委員、日本戦略研究フォーラム政策提言委員、歴史認識問題研究会副会長、産経新聞「正論」執筆メンバー、「江崎道朗塾」主宰nicochannel.jp/ezakimichio/ 。令和5

偽サイトに誘導して個人情報を盗むフィッシングへの対策として、総務省は携帯大手4社に不審メールの検知精度を高めるよう求める。メール本文など「通信の秘密」を含む情報を外部のセキュリティー企業に提供するよう事実上要請した。利用者の同意などを前提に4社は応じる見通しだ。証券口座の乗っ取りといった被害を防ぐ。NTTドコモ、KDDI、ソフトバンク、楽天モバイルが自社で提供するキャリアメールに対応する。総務

現役の情報セキュリティ責任者やセキュリティ専門家などで構成されるグループが、国民・企業・ジャーナリスト・政策立案者に向けて、インターネット上や公共のコラムなどで依然として広く流布されている誤ったセキュリティアドバイスである「ハックロア」を止めるよう求めています。 The Letter — Stop Hacklore! https://www.hacklore.org/letter 専門家グループはハックロアとして、以下の6つを挙げています。 1：公共Wi-Fiを避ける 公共Wi-Fiを介した大規模なセキュリティ侵害は、記事作成時点では極めてまれです。最新の製品は、オープンネットワーク上でもトラフィックを保護できる暗号化技術を採用しており、OSやブラウザは信頼できない接続についてユーザーに警告を表示するようになりました。個人用VPNサービスは、ほとんどの人にとってセキュリティやプライバシーの

前回の記事では、自作キーボードキットを選ぶ際の注意点や、信頼できる販売者を見極める視点を整理しました。続編にあたる今回は、Geminiなどを通じて、過去の事例など脅威分析のリサーチをした結果なども踏まえつつまとめました。 自作・派生キーボードと大手メーカー製キーボード、その両者でなぜ根本的にリスク構造が異なるのか、誰がどこで検証しなければならないのか(可能なのか？)、そして今どこに最も注意を払うべきか？をセキュリティ面から掘り下げます。 入力デバイスが抱える「信頼境界」の違い 大手メーカー製のキーボードは、製造からファームウェア更新までが単一の管理下に置かれ、ユーザーはそのブランドの保証を信任して利用します。一方、自作キーボードやAliExpress等で流通する派生品は、PCB設計者、基板製造者、マイコン供給者、ファームウェア作者、販売者、組み立てるユーザー本人と、信頼の境界が極端に分散し

フランス・パリのルーブル美術館で10月19日（現地時間）、総額8800万ユーロ（約156億円）相当の宝飾品がわずか8分足らずで盗まれた事件で、館内に設置された監視カメラにアクセスするためのパスワードが「LOUVRE」（ルーブル）であったことが後日の監査で明らかになったという。 リベラシオンやアントレビューなど、複数の仏メディアが報じた。他にも大手セキュリティ会社の社名である「THALES」という単純なパスワードが使われていた他、館内のシステムでは、既にサポートが終了している「Windows 2000／XP／Server 2003」が稼働していたという。 リベラシオンによれば、こうしたセキュリティシステムに関する脆弱（ぜいじゃく）性の指摘は10年前に行われていたが、放置されていた。政府からの手厚い支援が入っている公的施設においても、セキュリティ対策に対する関心の低さが浮き彫りとなった。 関連

もずお @m_o_z_o_ 昨日会社のボールペンを持って帰ってしまってたんだけど今日会社の夜勤のおじさんに「いつもあなたのデスクの引き出しからボールペン借りてるんだけど昨日、無かったよ？？」って言われて今年一番の『私だからいいですけど普通は、』が出た 2025-10-25 14:33:59

政府は携帯電話や金融口座の不正入手を防ぐため、オンラインでの本人確認の方法を相次ぎ厳格化する。「iPhoneのマイナンバーカード」といったスマートフォンで本人確認ができる選択肢が増えた一方、普及にはまだ時間がかかるため、企業にとっては戦略的な対応が必要となりそうだ。 携帯電話不正利用防止法では2026年4月から、非対面のオンライン上で契約する際、本人の容貌と免許証やマイナンバーカードの券面を撮影したり、本人確認書類の写しを送付させたりする本人確認の方法を原則廃止する。同様に、金融機関に顧客の本人確認などを義務付ける犯罪収益移転防止法（犯収法）も、2027年4月から本人確認の書類の画像や写しを送信させる方法を原則廃止する。 いずれも廃止の理由は、精巧に偽造された本人確認の書類が出回っているためだ。偽造された本人確認の書類によって不正に入手した携帯電話や金融機関の口座を用いた特殊詐欺が後を絶た