情報セキュリティの啓発を目指した、技術系コメディー自主制作アニメ「こうしす！」の＠ITバージョン。第51列車は「本末転倒」です。※このマンガはフィクションです。

ritou です。 Digital Identity技術勉強会 #iddance Advent Calendar 2024 初日の記事です。今年も頑張りましょう。 qiita.com パスキー認証の理想と現実 パスキー(というかFIDO)認証はパスワード認証を用いた脆弱な現状を打破すべく考えられた仕組みです。メディアの取り上げられ方はこんな感じでした。 とても安全で便利な仕組み プラットフォームを跨いだ利用が可能 パスワードを置き換える 1の安全性については技術的に説明されています。最もシンプルな使い方であれば「慣れ」ることで便利さも感じられるかと思います。 2はプラットフォーマーやパスワードマネージャーが頑張っているところです。Appleがいち早く同一プラットフォーム、クロスデバイスな環境における同期を確立、Google Password ManagerはChromeが動作する環境でパス

stuartschechter.org 米国立標準技術研究所（NIST）の認証に関するガイドライン「NIST SP 800-63」が改訂され、「パスワードは「複雑」より「長い」が重要、定期的な変更を義務付けてはならない」というのがようやく周知された。 しかし、「複雑なパスワード」と「定期的なパスワードの変更」が長年推奨されてきたのか。この文章は、その原因を偉大な科学者たちが過ちを犯したことに理由を求めている。 その科学者とはロバート・モリスとケン・トンプソンの二人である。ケン・トンプソンについては説明は不要だろうが Unix の開発者ですね。ロバート・モリスは暗号学者で、Y Combinator の共同創業者であり「モリスワーム」の作者として知られるロバート・タッパン・モリスの父親である。 この二人が1979年に実際のユーザパスワードを調査して発表した Password Security:

オイシックス・ラ・大地は11月26日、食品宅配ECサービス「Oisix.com」がパスワードリスト型攻撃による不正ログインを受け、9万7533件の個人情報が閲覧された可能性があると発表した。同社は不正ログイン攻撃対策としてWAF（Web Application Firewall）を導入していたが、防げなかったという。 クレジットカード番号は決済代行会社が保持しているため流出の可能性はない。 第三者が外部から不正に取得したIDとパスワードを使い、ユーザーになりすましてログインする行為を11月24日に検知。24、25日にかけ、9万7533件のIDが不正ログインを受けたという。 不正ログインで閲覧された可能性があるのは、ユーザーの氏名、住所、電話番号、メールアドレス、配送先の氏名、住所、電話番号、メールアドレス、予約・購入履歴。 不正ログイン検知後、サーバ側で対策を講じたという。該当顧客のパスワ

「コード決済サービスの相続手続きが、1カ月以上たっても終わらない」「故人が契約したサブスクの請求を止めたいが、IDとパスワードがわからない」 故人の“デジタル遺品”に関するこんな相談が寄せられているとし、国民生活センターが「“デジタル終活”の必要性が高まってきている」と呼び掛けている。 万一の際に、遺族がスマートフォンやPCのロックを解除できるよにしておくこと、各サービスのIDやパスワードを整理しておくことなどを推奨している。 センターに寄せられた相談として、「故人が利用していたネット銀行の手続きをしたいが、スマートフォンの画面ロックを解除できず、契約先が分からない」「弟がコード決済に入金したまま突然亡くなり、カスタマーサポートに連絡して戸籍謄本などを送付したが、1カ月経っても回答がない」「夫が契約していたサブスクサービスのIDとパスワードが分からず、すぐには解約できないと言われた」などの

AWS News Blog Introducing Amazon CloudFront VPC origins: Enhanced security and streamlined operations for your applications I’m happy to introduce the release of Amazon CloudFront Virtual Private Cloud (VPC) origins, a new feature that enables content delivery from applications hosted in private subnets within their Amazon Virtual Private Cloud (Amazon VPC). This makes it easy to secure web applic

はじめに HTTPとHTTPSの違いを理解できていますか？ ウェブサイトにアクセスする際、多くの方がブラウザのURLバーで「http://」や「https://」といった表示を目にしたことがあると思います。一般的に 「HTTPSはセキュアだから安全」「HTTPは非暗号化だから危険」 と言われますが、その違いや仕組みを正しく理解している方は意外と少ないかもしれません。もし 「ちょっと怪しいかも…」 と感じたら、この記事に目を通してみてください！ 特に読んでほしいのは、ネットを日常的に利用している方や、ウェブサイトの開発・運営に関わりたいと考えている方です。サイトを作る側としても、どの場面でHTTPSが必須なのか、HTTPとの使い分けを知っておくと、より安全で信頼できるサイトづくりができるはずです。ぜひ参考にしてみてください！ どんな方でも頭の片隅に入れておいても損はない情報ですので、ぜひ最後

消費者向けサイバーセーフティブランド「ノートン」が、「マイナンバーカードの利用実態調査」を実施。その結果を踏まえて、懸念される犯罪被害、その対策について、2024 年 11月 6日に実施した「Norton ダークウェブ体験会」で説明した。 マイナンバーカードの利用について調査したその結果とは？ 2024年12月2日以降、従来の健康保険証の新規発行はなくなり、医療機関や薬局ではマイナ保険証（マイナンバーカードの健康保険証）を利用する仕組みに移行する。また25年3月24日からは、マイナンバーカードと運転免許証を一体化させたマイナ免許証の運用が開始する。 このようにマイナンバーカードに様々な情報が紐付くことで、その価値が高まってくる。このような背景を踏まえて、ノートンが「マイナンバーカードの利用実態調査」を実施。その調査結果について、SNS・PR担当の櫻井理沙氏が説明した。なお調査は20～70代

平素より、当社が運営するデリバリーサービス「出前館」をご利用いただきまして、誠にありがとうございます。 2024年10月26日（土）14時30分頃よりサービスを停止しておりましたが、先ほど再開いたしましたのでお知らせいたします。お客さま、加盟店さま、配達員さま及び関係するすべての皆さまに、多大なるご不便とご迷惑をおかけしましたことを深くお詫び申し上げます。 なお、本事案に関する詳細は次のとおりです。 10月25日（金）20時頃、サーバが高負荷となったことからサービスを停止し、当該サーバより切り離してサービスを再開いたしました。原因の調査を継続していたところ、翌10月26日（土）14時30分頃、前日とは異なるサーバが高負荷となり再度サービスを停止したのち、暗号資産マイニングマルウェアである通称「RedTail」に感染したことが発見され、当該マルウェアの削除を実施しました。サービスの再開にあた

AWS CDK の脆弱性が発覚、S3バケット名の予測可能性で管理者権限奪取の危険｜約38,000アカウントに影響の可能性 Last Updated on 2024-10-25 08:42 by admin Aqua Securityのセキュリティ研究チームは、AWSの6つのサービス（CloudFormation、Glue、EMR、SageMaker、ServiceCatalog、CodeStar）に重大な脆弱性を発見した。この発見は2024年8月のBlack Hat USAカンファレンスで発表された。 脆弱性の概要 – AWS Cloud Development Kit (CDK)のデフォルトのS3バケット命名パターンが予測可能で、攻撃者による悪用が可能 – 攻撃者は未使用のAWSリージョンで事前にS3バケットを作成し、被害者がそのリージョンでサービスを使用するのを待つことができる – こ

対話型生成人工知能（ＡＩ）を使い、身代金要求型ウイルス「ランサムウエア」を作成したとして、不正指令電磁的記録作成などの罪に問われた無職林琉輝被告（２５）が、２４日までに東京拘置所で共同通信の接見取材に応じた。無料の生成ＡＩを使い「６時間ほどで作った。簡単だった」と証言した。検察側は懲役４年を求刑。２５日に東京地裁で判決が言い渡される。 生成ＡＩは通常、犯罪に悪用されるような指示には回答しない。だが被告は複数の生成ＡＩを利用し、回答を組み合わせウイルスを作成したと説明しており、対策の難しさが浮き彫りになった。 ＳＩＭカード詐取などの「闇バイト」をしていた被告は、より楽に稼げる方法を探す中、トラブルになった知人からランサムウエアを送られた。以前から生成ＡＩに興味があり「ウイルスを作って身代金を要求することを思いついた」と話す。

このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 X： ＠shiropen2 イスラエルのネゲヴ・ベン・グリオン大学に所属するMordechai Guriさんが発表した論文「Mind The Gap: Can Air-Gaps Keep Your Private Data Secure？」は、インターネットに接続していない物理的に隔離したコンピュータから機密データを盗む攻撃をまとめた研究報告である。 現代において、個人情報は価値のある資産の一つとなっている。これには個人識別情報、医療記録、法的情報、生体認証データ、私的通信などが含まれる。こうした機密データを保護するため、多くの組織が「エアギャップ」と呼ばれる物理的に隔離されたネ

正規通信との区別はほぼ不可能な「偽のMicrosoftメール」に注意、「従来のセキュリティでは認識しにくい」のはなぜ？　対策は？：チェック・ポイントが5000通以上の偽メールを検出 チェック・ポイント・ソフトウェア・テクノロジーズは、Microsoftの通知を装った5000通以上の偽メールを発見した。これらのメールは、ユーザーが正規の通信と区別することはほぼ不可能だという。

素因数分解の困難さを安全性の根拠とした暗号「RSA暗号」について、量子コンピューターを使用することで解読手法の構築に至ったと上海大学のワン・チャオ氏らが発表しました。 基于 D-Wave Advantage 的量子退火公钥密码 攻击算法研究 (PDFファイル)http://cjc.ict.ac.cn/online/onlinepaper/wc-202458160402.pdf Chinese researchers break RSA encryption with a quantum computer | CSO Online https://www.csoonline.com/article/3562701/chinese-researchers-break-rsa-encryption-with-a-quantum-computer.html Chinese Scientists R

近年クレジットカードの不正利用に関する犯罪が増えているが、その利用スタイルの変化や対策手段の登場にともない、以前とは違う形での不正利用が増加している現状がある。 以前までであればスキミングや番号の盗み見などの手段で入手したカード番号を元に偽造カードを作成する手法が多かったと思われるが、ICチップ利用の必須化により偽造カード作成は困難になり、盗んだカード番号をオンライン取引で利用するケースが一般化してきている。 まずユーザーにフィッシングメールを送信してカード情報の入力を促したり、あるいは決済サービスを提供する企業のサイトをハッキングしておき、そこに入力された情報をかすめ取るといった手法だ。 このようにして盗んだカード番号をオンラインの決済で利用して換金性の高い商品を購入し、売却することで利益を得るのが犯人の狙いだが、もともとオンラインでの取引は、人と人が店頭で行う対面取引に比べても不正利用

企業向けコラボレーションツール「Slack」のアップデート情報に書かれたバグ報告が、「深刻なのに表現がライトすぎる」と話題になっている。 例えば、こんな調子だ。 「Enterprise OrG のすべてのワークスペースから外れたはずのユーザーが、それらのワークスペースの一部で操作を行えるようになっていた問題を修正しました。お部屋を解約したのに外からリモコンでテレビのチャンネルを替えられる、みたいな状態で失礼しました。怪談の季節ももう終わりです」 つまり、企業が全ワークスペースから削除したはずのユーザーが、なぜかまだ一部の操作を実行できていた、とのこと。 具体的にどんな操作ができたのかは書かれていないが、権限のないユーザーがクリティカルな操作ができる状態だったとすると、ちょっと恐ろしい。それを「怪談の季節ももう終わりです」というジョークで締めている。 企業向けに有料サービスを提供しておきなが