ソーシャルエンジニアリングが使われた事例を分析すると、幾つかのパターンが存在していることが分かる。プロの詐欺師は、状況に応じて複数のパターンを組み合わせている。情報を盗まれないためには、個別の攻撃パターンを理解することが役に立つ。 これは、フィッシング詐欺で使われる最も簡単なメールの一文だ。この文を読んで「こんな言葉にだまされない」と思ったのではないだろうか。だが、この一文にはソーシャルエンジニアリングで使われるパターンを見つけることができる。ここには、金融機関からの電子メールを思わせる「ネームドロップ」、期間を限定する「ハリーアップ」といった手法が使われている。プロの詐欺師はこのようなパターンを複数組み合わることで、相手の信頼を獲得し、必要な情報を引き出すのである。 それではソーシャルエンジニアリングで用いられる攻撃パターンを分類し、特徴を説明しよう。 きっかけを探し出す「トラッシング（

2021.02.16 「私はロボットではありません」はワンクリックでなぜ人間を判別できる？ 仕組みとその限界を聞いてきた WebサイトにIDとパスワードを入力するとき、ときどき「私はロボットではありません」にチェックを求められることがあります。 僕はロボットではないので、当然チェックを入れて認証を進めるわけですが……。でもちょっと待ってください。なぜクリックひとつで、人間かロボットかを判断できるんでしょう。 これはきっと、人間ではないなんらかの不正アクセスを防ぐ仕組みのはず。でもチェックを入れるくらい、プログラムを作ってなんやかんやすれば、シュッとできるのでは？ 「私はロボットではありません」は、どんな仕組みで人間とロボットを判別しているのか。もっといい方法はないのか。これまでの歴史的経緯も含め、情報セキュリティ大学院大学の大久保隆夫教授に聞きました。 気づかないうちに「人間かロボットか」

マイナンバーの通知が始まった。「個人情報が抜かれる」「副業が勤務先にバレる」といったネガティブな記事が人気を集めているが、実際、どれくらい“危険”なものなのだろうか？ マイナンバー制度の構築を担当した人物にロングインタビューを行い、さまざまな疑問をぶつけてきた。 マイナンバー（個人番号）の通知が始まった。「なりすましが横行する」「個人情報が芋づる式に抜かれる」「副業が勤務先にバレる」「徴税祭りがやってくる」「お上に個人の金の流れが筒抜けになる」などネガティブな情報が先行し、不安を煽る記事が衆目を集める。 果たして本当にそうなのだろうか。政府が満を持して投入するマイナンバー制度（正式名称は「社会保障・税番号制度」）は、それほどまでに脆弱かつ、国民の財布の中身を監視する恐ろしいシステムなのだろうか。それならば、と、疑問の数々に終止符を打つべく、マイナンバー制度の構築に関わった「中の人」に会って

24時間態勢のイギリス政府通信本部（GHCQ）を訪ねる財務大臣ジョージ・オズボーン。11月17日　Ben Birchall- REUTERS 11月13日にまたもやフランスのパリでテロが起きたことは、大きな衝撃となった。思い返してみれば、2001年に米国で9.11テロが起きた後、イスラム過激派によるテロはヨーロッパに飛び火し、2003年にスペインのマドリードで列車爆破テロ、2007年には英国のロンドンでバス・地下鉄同時爆破テロが起き、今年1月にはパリで新聞社襲撃事件が起きた。 10月末には、ヨーロッパではないものの、エジプトでロシア機が空中で爆破され、墜落している。ロシアはテロと認定するのに慎重だったが、11月13日のパリでのテロの後、ロシア機墜落もテロによるものと正式に認めた。 通信傍受は役に立つか？ ロシア機墜落に関して、ロシア政府はいち早く何かに気づき、ロシアの航空機がエジプトを飛ぶ

Socに『Snapdragon 695 5G』を搭載する、Xiaomi（シャオミ）のミドルレンジスマートフォン『Redmi Note 11 Pro 5G』。CPU性能に関しては、日常的な使い方であれば十分なレベル。ただし3Dゲームや動画撮影・編集に影響を与える『GPU』性能は低めです。

これまでGoogleアカウントを所有していなかったユーザ層にスマホが普及することで、Googleアカウントにログインした状態でGoogle検索を利用する人が増えているはず。 ただ、このスマホ全盛時代において、自分がしていることの意味を理解していない人も、また増えているように思える。 そこで、警鐘を鳴らす意味を込めて、まず3つの質問をしておきたい。 ウェブ履歴とロケーション履歴という機能を知っているだろうか？ Googleで検索するときに、Googleアカウントにログインした状態になっているだろうか？ Googleアカウントのパスワードを、身近な人間に知られているだろうか？ この3点について、意味が分からなかったり認識が曖昧だったりする人は、非常に危険な事態に置かれる可能性がある。 その事態とは、「ウェブ履歴」と「ロケーション履歴」が他人に知られてしまうという想像したくない状況から引き起こさ

EMC傘下のRSA Securityは、米国家安全保障局（NSA）との間で1000万ドル相当の秘密契約を結び、欠陥のあるDual Elliptic Curve Deterministic Random Bit Generator（Dual_EC_DRBG）をRSAの暗号製品におけるデフォルトの疑似乱数生成器として採用していたとする報道を否定した。 Reutersが先週末にかけて入手した情報によると、RSAが同アルゴリズムを採用したことで、NSAは米政府内での使用事例を提示し、米国立標準技術研究所（NIST）の「Recommendation for Random Number Generation Using Deterministic Random Bit Generators」に同アルゴリズムを含めるよう要求することができたという。これは、Dual_EC_DRBGを推進するNSAの取り組

米EMCのRSA事業本部は2013年9月19日（米国時間）、自社の暗号ツールである「RSA BSAFE」や「RSA Data Protection Manager」の顧客に対して、乱数生成アルゴリズムの技術標準「Dual_EC_DRBG」を使わないよう呼びかけていることを明らかにした。「Dual_EC_DRBG」には、NSA（米国家安全保障局）が暗号解読に使うバックドア（裏口）が存在する恐れがあり、米NIST（国立標準技術研究所）が同アルゴリズムを使わないよう勧告している。 RSA BSAFEは、セキュリティアプリケーションを開発するためのツールキットであり、「多数の商用アプリケーションにBSAFEソフトウェアが組み込まれ、市場で活用されています」（RSAのWebサイトより）という。またRSA Data Protection Managerは、データの暗号化を行うためのツールである。いずれ

４人を誤認逮捕し、うち２人から虚偽の自白を引き出したことが明らかになっているPC遠隔操作事件。威力業務妨害容疑で逮捕された片山祐輔氏は関与を否認している。当初は、事件と片山氏を結びつける決定的な証拠があると報じられ、警察は絶対的な自信を持っているように見えたが、その後も１６０人もの捜査員を動員して証拠集めを続けるなど、苦労している状況も伝わってくる。 片山容疑者の弁護人となったのは、足利事件で菅家利和さんの無実を証明するなど、刑事事件の経験豊富な佐藤博史弁護士だ。佐藤弁護士に、２月１９日時点での弁護人としての考えや主張を聞いた。 【弁護人となるいきいさつ】ーー佐藤先生がなぜ弁護人に？ 報道で彼の逮捕を知った時には、他の方と同じように、警察がこれだけの発表をしたのだし、まず間違いないのだろう、ただ本人は否認しているんだな、と思っただけでした。彼が当番弁護士を要請し、その時にたまたま当たったの

池田信夫氏のGmailアカウントがハックされて、寸借詐欺メールが送信されたようです。 Gmailの振り込め詐欺にご注意池田信夫、自らのメールアカウントを乗っ取られ今日も見事な醜態を晒す私の周囲でも、知人が同種の被害にあっていますので、他人事ではない気がします。池田氏が被害にあった原因は不明のようですが、このエントリではその原因を予想（妄想）し、対策について検討します。 池田氏の主張：twitter連携アプリからの漏洩池田氏は自らのブログエントリで以下のように主張しています。 Gmailのパスワードを知らせたことはないのですが、ツイッターと共通にしていたため、「連携アプリ」を認証するときパスワードを入力します。これはシステム側に通知されないことになっていますが、悪意をもって偽装することは容易です。かなりあやしげなアプリも含めて20ぐらい使っていたので、そこから推測してGmailにログインされ

このコラムのテーマは「テクノロジにおける一般常識」だ。そのため筆者はこのテーマについて、ソーシャルメディアでのシェアという観点から取り上げようと考えた。個人によるシェアに関して言えば、常識や礼儀、マナーが欠如している例を時折見かける。この問題について、「してはいけないこと」のリストを考えよう。 以下のアドバイスのいくつかは、筆者が個人的に実践しようとしているものだ。筆者はソーシャルメディアでシェアするのが好きだが、同時にほかの人のプライバシーに気を配るようにしている。アドバイスの中には、ほかの人から教えてもらったものもある。まさにソーシャルメディアを通じて、だ。 これらのアドバイスは、ソーシャルメディアサイトにおいて、ビジネス目的ではなく、個人のアカウントでシェアを行う人を対象としている。しかし企業のアカウントを運営する人にとっても、このヒントのいくつかは有益かもしれない。 ほかの人が写っ

賢いと称賛されていた「誰がスパム業者にメールアドレスを流出させているのか突き止める方法」 eメールがなくては社会が成り立たないほど普及しましたが、スパム（迷惑メール）も同じように増えており、うんざりさせられます。 そして気になるのが、いったいスパム業者はどこからメールアドレスを入手しているのかということ。 こんな風に流出経路を突き止めていると言う、ある手法が海外サイトの注目を集めていました。 海外掲示板で紹介されていたやり方は、以下の通り。 まず、通販サイトであったり、企業サイトに自分のメールアドレスを登録するとき、自分の名前の代わりにそこの会社名やサイト名を入力する。 大半のサイトで無料サービスが提供されているが、メールアドレスの登録が必要なところが多く、そのときに本名をそのまま使わない。 多くのサービスや企業にとって、本名を入れることをそれほど重要視していないので、たとえば"ABC.c