【読売新聞】　携帯大手「楽天モバイル」のシステムに自作プログラムで不正ログインし、通信回線を契約したとして、警視庁が１４～１６歳の中高生３人を不正アクセス禁止法違反と電子計算機使用詐欺の疑いで逮捕したことがわかった。対話型生成ＡＩ（

🍪🍺 @cookieandbeer 国際犯罪の被害に遭いかけたので注意喚起です！ 海外サイト(WeWorkRemotely)で良さげな案件を探していて、出会ったクライアントとビデオ通話した後「早速今の実装見てみてほしい」という話になりました。もう遅いし明日にして今日は飲むか〜と思っていたら「すぐチェックしてほしい」という連絡が pic.twitter.com/bRhXJkFEGX 2024-07-20 16:41:25 🍪🍺 @cookieandbeer しょうがないにゃあ…と思いつつまずは親の顔より見た setupTest.js を見るとそこには変わり果てた姿が…… 偶然昼までMarkdown書き物をしてたためVSCodeの折り返しを有効にしていたので気づきましたが、普段無効にしてるときだったらこんなふうに見えるので気づくのは難しそう pic.twitter.com/fbk3og

Intro CSRF という古の攻撃がある。この攻撃を「古(いにしえ)」のものにすることができたプラットフォームの進化の背景を、「Cookie が SameSite Lax by Default になったからだ」という解説を見ることがある。 確かに、現実的にそれによって攻撃の成立は難しくなり、救われているサービスもある。しかし、それはプラットフォームが用意した対策の本質から言うと、解釈が少しずれていると言えるだろう。 今回は、「CSRF がどうして成立していたのか」を振り返ることで、本当にプラットフォームに足りていなかったものと、それを補っていった経緯、本当にすべき対策は何であるかを解説していく。 結果として見えてくるのは、今サービスを実装する上での「ベース」(not ベスト)となるプラクティスだと筆者は考えている。 CSRF 成立の条件 例えば、攻撃者が用意した attack.examp

総務省は、LINEヤフー株式会社（代表取締役社長CEO 出澤 剛）に対し令和6年3月5日付けで行政指導を実施し、同年4月1日、同社から再発防止等に向けた取組に関する報告書の提出を受けました。同報告書を踏まえ、総務省は、同行政指導において求めた措置の早期実施等を求めるとともに、その実施状況や実施計画を報告するよう、本日、文書による行政指導を行いました。 総務省は、LINEヤフー株式会社（代表取締役社長CEO　出澤　剛、法人番号 4010401039979、本社 東京都千代田区。以下「LINEヤフー社」という。）に対し、令和6年3月5日付けの「通信の秘密の保護及びサイバーセキュリティの確保の徹底について（指導）」（総基用第46号）による行政指導を実施し、同年4月1日、同社から再発防止等に向けた取組に関する報告書の提出を受けました。 同報告書によれば、一定の応急的な対策については実施済みとのこと

コンテンツブロックが有効であることを検知しました。 このサイトを利用するには、コンテンツブロック機能（広告ブロック機能を持つ拡張機能等）を無効にしてページを再読み込みしてください。 ✕

Red HatやDebianを含むLinuxディストリビューションで広く使用されている圧縮ツール「xz」の最新版に悪意のあるバックドアが含まれていた事がわかりました(Ars Technica)。 発見した開発者のAndres Freund氏は、xz version 5.6.0と5.6.1に悪意のあるコードが含まれていることが分かったと指摘しています。幸い、このバージョンは主要なLinuxディストリビューションの製品リリースでは使用されていませんが、Fedora 40やFedora Rawhide、Debian testing/unstable/experimentalなどのベータ版リリースには含まれていたそうです。 macOSのHomebrewでは、複数のアプリがxz 5.6.1に依存している事が判明し、現在xz 5.4.6へのロールバックが行われています。 悪意のある変更は難読化され、バ

多くの経営者が重要性を認識しているにもかかわらず、ほとんどの企業が十分に対策をできていないサイバーセキュリティ。 サイバーセキュリティの事件や被害は年々増え、高い水準で推移している一方、特に中小企業での対策があまり進んでいない。その背景には、十分な対策を講じていない経営層の存在がある。 なぜ企業が今、サイバーセキュリティ対策をする必要があるのか。「世界中の人々が安心安全に使えるサイバー空間を創造する」という理念を掲げるサイバーセキュリティクラウドの小池敏弘社長兼CEOに、安全なサイバー空間をいかにして創出していくかを聞いた。 サイバー系の被害は高い水準で推移 サイバーセキュリティの事件は、どのくらい増えているのか。金融庁と警察庁が2020年12月に発表した「フィッシングによるものとみられるインターネットバンキングに係る現金の不正送金被害が急増について（注意喚起）」によると、同年12月8日時

2024年2月26日、NIST（米国立標準技術研究所）は、「NIST サイバーセキュリティフレームワーク（NIST Cybersecurity Framework：NIST CSF）」のバージョン2.0を正式に公開した。2014年4月に初版であるNIST CSF 1.0が公表されて以来、約10年ぶりの大幅改訂である。 本記事では、NIST CSF 2.0における主な改訂のポイントと、特にインパクトの大きい6つ目の新機能「GV（統治）」について解説する。 はじめに 2020年代に入り、新たな生活様式の変化に起因する脅威の発生、世界各国での深刻かつ大規模なサイバー攻撃の急増、生成AIなど新技術の普及に伴うリスク増加など、セキュリティ脅威が多様化・複雑化している。そのような状況に合わせて、各国でサイバーセキュリティに関する法規制・号令の発出、ガイドラインなどが整備されてきた。 直近10年間の脅威

【読売新聞】　コンピューターウイルスや詐欺メール、爆発物の作成など犯罪に悪用できる情報を無制限に回答する生成ＡＩ（人工知能）がインターネット上に複数公開されている。既存の生成ＡＩに、不正行為に関わる情報を学習させたものとみられる。誰

追記と修正 2024/01/09: FOR710 についてはプロ視点で賛否両論あったので表現を変えました 2024/01/09: FLARE-VM の構築部分でも書きましたが、解析環境と普段生活する環境は分離しましょう。VMWare or VirtualBox を使ってください。普段使いの環境にここで述べた解析ツールをいきなりインストールするとAnti-Virusに検知される可能性もあります。 TL;DR 将来的にベンダーレポートやカンファレンス発表レベルでの"マルウェア解析"を想定した話です とりあえず FLARE-VM 環境を作ってインストールされたツールを見る・触るところから始めるといいんじゃないでしょうか TL;DR はじめに "マルウェア解析" のスコープと前提知識の明確化 ツールの選択元(プール) : FLARE-VM FLARE-VM に入っている中でもよく使うツール PES

はじめに こんにちは。基礎技術研究部の茂木です。 今年の夏は例年以上に暑かったですね。暑いと言えば、昨年 ChatGPT[1]が OpenAI によって公開されてから AI 周りが熱くなっています。公開当時も凄いと思いましたが、それでもここまで大規模な社会現象になるとは想像できませんでした。 さて、そんな生成 AI*1を含む AI は、様々な領域へ応用が広まっています。そして当然というべきか、(サイバー)セキュリティへの応用も始まっています。 大きな応用事例として、メガクラウドが生成 AI をセキュリティに応用したサービスを展開したことが挙げられます。Google Cloud は、セキュリティに特化した大規模言語モデル(Large Language Model、以下 LLM)である Sec-PaLM 2 を用いた Google Cloud Security AI Workbench を公開

米OpenAIのサービス（ChatGPT、API、Labs、Playground）が11月8日正午ごろ（現地時間）から断続的に停止し、同社は同日午後7時過ぎに「DDoS攻撃を反映した異常なトラフィックパターンによる定期的な停止に対処している」とステータスページで発表した。9日の午後1時過ぎ（日本時間の10日午前6時過ぎ）にはサービスは復旧したとしている。 OpenAIでは、6日にはDALL・Eのエラー率が上昇し、8日にはAPIをダウンさせるChatGPTの大規模な障害も発生していた。 OpenAIはDDoS攻撃の詳細を明らかにしていないが、Anonymous Sudanとして知られる攻撃者がTelegramでOpenAIとChatGPTをターゲットにした理由を説明する犯行声明を投稿した。その中で、「ChatGPTはTwitter（原文ママ）で暴露されているように、イスラエルとパレスチナに対

WordPress向けセキュリティプラグイン・Wordfenceを開発しているDefiantが、本物のWordPressプラグインを装いつつさまざまなタスクを実行できる、高度なバックドアとして機能するマルウェアの存在を明らかにしています。 Backdoor Masquerading as Legitimate Plugin https://www.wordfence.com/blog/2023/10/backdoor-masquerading-as-legitimate-plugin/ New WordPress backdoor creates rogue admin to hijack websites https://www.bleepingcomputer.com/news/security/new-wordpress-backdoor-creates-rogue-admin-to

現在、Webアプリの約60％がHTTP/2を採用しているという。 新たな攻撃は、何十万ものリクエストを作成し、すぐにキャンセルすることで機能するとCloudflareは説明した。リクエスト／キャンセルのパターンを大規模に自動化することでWebサイトを停止に追い込む。 3社は、HTTP/2を採用するプロバイダーに対し、可能な限り早くセキュリティパッチを適用するよう呼びかけた。 クライアントによるこの攻撃への最善策は、利用可能なすべてのHTTPフラッド保護ツールを使用し、多面的な緩和策でDDoS耐性を強化することだとしている。 Cloudflareは、8月の攻撃について今報告するのは、「可能な限り多数のセキュリティベンダーに対応の機会を与えるため、情報を制限してきた」と説明した。 HTTP/2 Rapid Reset Attackの詳しい説明などは、以下の「関連リンク」の各社の公式ブログを参照

近年マルウェアをダウンロードさせる攻撃者の手口は巧妙を極めており、信頼性の高い無料ソフトウェアだと思ってダウンロードしたところ、実はダウンロードしたサイトごと偽物だったというケースが報告されています。ウェブブラウザのFirefoxを開発するMozillaが、メーラーのThunderbirdを安心安全にインストールするための方法を提示しています。 Are You Using A Trusted Version Of Thunderbird? https://blog.thunderbird.net/2023/10/ransomware-alert-are-you-using-a-trusted-version-of-thunderbird/ 通常のオンライン広告に見せかけてユーザーをマルウェア拡散用の不正なウェブサイトに誘導する広告は「マルバタイジング」と呼ばれます。セキュリティアナリストの

7月28日、APIインフラストラクチャは使命上重要であることを強調する発表を行いました。 APIはあらゆる産業を革新し、デジタルトランスフォーメーションを推進し、グローバルなインターネットトラフィックの83％以上を占めています。 しかし、APIはセキュリティ上の課題を抱えており、サイバー攻撃の標的になっています。 この記事では、API関連のセキュリティインシデントの増加とコストの上昇、およびAPIが使命上重要なインフラストラクチャである理由について説明します。 詳細は以下の通りです。 7月27日、API管理とマイクロサービスAPIゲートウェイを提供する企業Kong（コング）が、APIのインフラストラクチャがますますミッションクリティカルであると指摘する発表を行いました。APIは世界のあらゆる産業に革命をもたらし、デジタルトランスフォーメーションを推進する上で不可欠な要素であり、全世界のイン

MIXIには、探究心溢れるエンジニアがたくさん在籍しています。その探究心は業務で扱う技術に留まらず、趣味で書いているプログラムだったり、個人的に研究している言語だったりと、自身の気になった技術への追求も留まることを知りません。今回は、『セキュリティ』をテーマに、開発本部セキュリティ室セキュリティエンジニアの野村が語ります！ 野村 敬太 2022年MIXI入社。セキュリティ室にてセキュリティエンジニアとしてMIXIのセキュリティ全般に携わる。趣味はソフトウェアの開発や運用、サバイバルゲーム、コーヒー。 SECCONの運営からMIXIへ ──セキュリティに関わるきっかけについて教えてください 以前SECCON運営のインタビューでも取り上げたのですが、友人の開発していたTwitterアプリについてセキュリティ的な視点で議論したことがあります。すごく良いアプリでも、脆弱性によってユーザーが一気に離