若い世代を中心に人気の位置情報共有アプリ「NauNau」で、一時、少なくとも200万人以上のユーザーの位置情報やチャットなどが外部から閲覧できる状態になっていたことがわかりました。 会社側は事実を認め、アプリのサービス提供を21日から一時、停止するとともに、今後、第三者機関による調査を行う考えを示しました。 230万人分以上の位置情報やチャット履歴が 友人などの居場所をリアルタイムで共有し、チャット機能なども利用できる位置情報共有アプリ「NauNau」は、去年9月にサービスを開始し、開発した会社の「Suishow」によりますと、現在はダウンロード数が450万件を超える若い世代などに人気のアプリです。 しかし、複数の関係者によりますと、このアプリはサービス開始の時点からセキュリティー対策が不十分で、少なくとも230万人分以上のユーザーの位置情報やチャット上のやりとりの履歴などが一時、一定のI

先日は住所の件でお楽しみでしたね。 私も楽しくなってしょうもないツイートをしたところ、@masanorkさんから有用な情報をいただいてしまいました。 異体字に加えて外字も根深いですし、日付型に収まらない住基の生年月日とか、屋号を含んだ個人事業主の口座名義とか、外国人氏名における住民登録のアルファベットと口座名義のカタカナとの解離とか、旧姓併記の例外処理とか、文字列型に刻まれたバッドノウハウの塊ですね https://t.co/GOaytijfst — Masanori Kusunoki / 楠 正憲 (@masanork) June 6, 2023 このとき、私はごく簡単な「名寄せの難しさ」の社内研修資料を作っている最中だったのですが、この情報が大変参考になりました。 一方、私だけが得をしているのがなんとなくムズムズしてきたので、ここにアウトプットしてスッキリしようと思います。 なお、住所

クレジットカード決済基盤を提供するメタップスペイメント（東京都港区）は2月28日、同社のデータベースから最大で46万件のクレジットカード番号、有効期限、セキュリティコードなどが流出したと発表した。サーバへの不正ログイン、SQLインジェクション、バックドアの設置などさまざまな攻撃を受けていたことが調査で分かった。 流出した恐れがあるのは2021年8月2日から22年1月25日までに決済で使われたクレジットカードの番号、有効期限、セキュリティコードなど46万395件、21年5月6日から22年1月25日までに実行された決済情報593件、加盟店情報38件。「実際に流出した情報を特定できない」（メタップスペイメント）ため、数値は考えられる最大値という。 同社は21年12月14日に、サービスの提携先からクレジットカードの不正利用が懸念されているとの連絡を受け調査を開始。22年1月中に、外部からデータベー

Electronic Frontier Foundation サードパーティクッキーは死につつある。そしてGoogleはその代替手段を作ろうとしている。 ご承知の通り、クッキーの死を嘆く必要など微塵もない。サードパーティクッキーは20年以上に渡り、ウェブ上の不気味で胡散臭い、数十億ドル規模の広告監視産業の要であった。だが、その基盤に暗雲が立ち込めるようになったことで、最大手のプレイヤーはなんとか窮地を脱しようとしている。 Googleは、サードパーティクッキーを新たなターゲティング広告テクノロジーにリプレイスするべく奔走している。その提案のいくつかは、Googleが従来の監視ビジネスモデルへの批判から正しい教訓を学んでいないことを露わにしている。本稿では、おそらく最も野心的で、最も有害な影響を及ぼしうる提案の1つであるFLoCに焦点を当てる。 FLoCは、サードパーティトラッカーが行ってい

このたび、当社の元従業員が、当社関連会社の株式会社DeNA SOMPO Mobilityから受託しているカーシェアサービス「Anyca」のカスタマーサポート業務において、お客様の個人情報を不正に使用したことが判明いたしましたので、ご報告申し上げます。 当社においてこのような事態が発生したことは誠に遺憾であり、お客様と関係者の皆さまには多大なご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。現在、株式会社DeNA SOMPO Mobilityと連携し調査を進めるとともに、速やかに警察に届出を行っております。 今回の事態を厳粛に受け止め、今後はさらにコンプライアンスを徹底し、再発防止に努めてまいります。

202012_smooz.md Smoozサービス終了に寄せて 前置き この文章と、それに含まれる考察や各サービスへの脆弱性報告などはmala個人の活動であり、所属している企業とは関係ありません。 一方で私は、企業が閲覧履歴を収集して何をしたいのか、所属してる企業や他社事例について、ある程度詳しい当事者でもあります。 一般論として書けることは書けるが、(業務上知り得た知識で開示されてないものなど)個別具体的なことは書けないこともあり、また観測範囲に偏りがある可能性もあります。 Smoozに報告した脆弱性2件 最近、Smoozというスマホ向けのブラウザアプリに2件脆弱性の報告をした。 この記事を書いている時点で、Smoozの配布が停止されていて、修正バージョンの入手が出来ない。 2件目についてはまだ返事が来ていない。 脆弱性情報の開示にあたって特段の許可は得ていないが、開発元からも利用停止す

この記事は過去2回にわたる検証記事の続きとなります。 国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している 続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している 前回の記事では、おすすめ記事機能を有効にしていると、Smoozがユーザーの閲覧しているURL情報を送信してしまうことについて解説しました。 ユーザーID、URLと共に送信されているbc、bt、bdという項目の内容がわからないままでしたが、これもユーザーの情報であるはずだと思い、調査を続けてきました。 ▼これがおすすめ記事のために送信される内容 （この内容は記事の最後にテキスト情報としても掲載しておきます） URL情報に関連するもので 『c、t、d』 と呼ばれそうなものは何か。 ・cのデータ量は飛び抜けて多い ・cとdは一致が見られることがある ・一部が一致しながらもcのほうが長かったりもする

＊これはあくまで私個人の考えであり、他に強制するものではありません。また、取引先等がnoteを利用することを否定したり、問題視するものではありません。 ＊この記事は、2020/09/01更新記事「なぜ私はnoteをやめたのか　IPアドレス流出『3つの不誠実』」の続きです。 私は、上記記事にも書きましたが、今回のIPアドレスの件で、こういうトラブルが起きたときに、不誠実な態度を取る人は、まず人として信頼できないなーと思ったので、noteのサービス利用自体をやめることにしました。 noteにあった私の有料コンテンツは9月中にすべて引き揚げ、こちらのブログで読めるようになっています。（一部内容が古い有料noteは、削除しました。） noteにある無料コンテンツは、アーカイブとして残すことにし、その後アカウントは残しつつ、放置していました。その後は、noteからも何も説明がなかったので、「あ、この

※こちらの機能について2020/03/25にリリースしたユーザーページについて、現在の状況を共有いたしますを公開いたしました。 早急に「読んだ記事」の取り扱いに関する社内協議を全力で進め、適切に対応していく所存でございます。 こんにちは、Qiita開発チームのgetty104 です。 最近サウナにはまっていて、疲れた時にはだいたいサウナで整いながら物思いにふけっています！ さて、今回はユーザーページがリニューアルされたことをご連絡します。 よりアイデンティティを発見、表現できるページへ今までのユーザーページはあまり自己表現には向いていなかったと思います。 今回のリニューアルでは、より「どんなエンジニアなのか」を自分自身で見ても気づきを得られ、他の人が見れば自分がどんなエンジニアなのかがわかるページを目指しました。 新しいユーザーページのUIは以下のようになっています。 また、新しいユーザー

When Jordan Nathan launched his DTC nontoxic cookware company, Caraway, in 2019, he knew he was not the only founder trying to sell a new brand of pots and pans…

証言をまとめました。（2012/11/11） その後発言者より訂正がありましたのでまとめなおしました。 このまとめも誤解を招いたかもしれません。関係者の方にご迷惑をかけたのならお詫びいたします。 ＩＴメディアによると面識がない（マイミクではない）異性に対してのみのようです。 続きを読む

わたしはサラリーマンには向いていませんでしたが、新卒で入ったリクルートでひとつだけ座右の銘となる言葉をゲットしました。どの上司が言ったのかまでは覚えてません。すいません。 「ピンチの時こそチャンス」 深い。深すぎる。これが発展して「崖っぷち愛好会会長」となったわけでありますが、一般のサラリーマンの場合、ピンチはミスのことを指す場合が多い。このミスをいかに誠意を持って切り抜け、逆に信頼を得ることがプロの仕事。それほどミスは出したことは無いが、昔々、リクルート時代に正規輸入ディーラーの仕事を受注して数千万いただいたけど、車が全く売れなかった時があった。死ぬ気でリクルートで社内営業して15台くらい売って担当者のクビをつなぎました。Facebookで先日、このときに車を買ってくれた同僚から友達申請が来たときに思い出しました。汗かきました。 が。しかし・・・ このピンチの時の初動を誤ると顧客の激怒を

技術者としての良心に従ってこの記事を書きます。俺はセキュリティとプライバシーの人ではなく、JavaScriptとUIの人である。法律の勉強だって自分の生活と業務に関わりのある範囲でしかしないだろう。しかし少なくともJavaScriptやブラウザが絡むような部分については、確実に自分のほうが理解していると思っている。高木浩光さんが、あからさまに間違ったことを書いたり、おかしなことを書いていたりしても、徐々に誰も指摘しなくなってきたと思う。おかしなこと書いていたとしても、非技術者から見たときに「多少過激な物言いだけど、あの人は専門家だから言っていることは正論なのだろう」とか、あるいは技術者から見た時でも、専門分野が違えば間違ったことが書かれていても気付けないということもあるだろう。 もう自分には分からなくなっている。誰にでも検証できるような事実関係の間違い、あるいは、技術的な間違いが含まれてい

http://d.hatena.ne.jp/mala/20120220/1329751480 の続き。書くべきことは大体既に書いてあったので、補足だけ書く。 Googleは制裁金2250万ドルを支払うことでFTCと和解した http://jp.techcrunch.com/archives/20120809google-settles-with-ftc-agrees-to-pay-22-5m-penalty-for-bypassing-safari-privacy-settings/ まさか(まともに調査されれば)こんなことになるとは思わなかったので驚いた。異常な事態である。そしてGoogle側の主張を掲載しているメディアが殆ど無いのも異常な事態である。 2250万ドルもの制裁金(和解金)が課せられるのは、2009年に書かれたヘルプの記述が原因だという。 問題の記述 http://obam

twitterなどでTポイントツールバーの利用規約が話題になっています。このエントリでは、Tポイントツールバーを実際に導入して気づいた点を報告します。結論として、当該ツールバーを導入すると、利用者のアクセス履歴（SSL含む）が平文で送信され、盗聴可能な状態になります。 追記(2012/08/10 20:10) たくさんの方に読んでいただき、ありがとうございます。一部に誤解があるようですが、ツールバーが送信している内容はURLだけで、Cookieやレスポンスまでも送信しているわけではありません。URLを送信するだけでも、以下に示す危険性があるということです。 追記終わり 追記(2012/08/13 23:50) ポイントツールバーにバージョンアップがあり、WEB閲覧履歴の送信がSSL通信に変更されました。従って、WEB閲覧履歴が盗聴可能な状況は回避されました。本日22:50頃確認しました。