ネット上で商売するのが当たり前な時代。自社でWebサイトやWebアプリを抱える企業も相当な数になっている。そこでインシデントが発生すれば信用、ブランド、収益……失うものは計り知れない。 本連載では情報セキュリティの専門家・徳丸浩さんが制作した脆弱性診断実習用のWebアプリ「BadTodo」を題材に、ストーリー形式でWebアプリ制作に潜む“ワナ”について学んでいく。 登場人物は全て架空の存在だが、ワナは全て現実にあり得るもの。せりふは徳丸さんの監修の下制作した。 特集：Webコンテンツの守り方　情報漏えい対策術 経営や企業イメージに大きな打撃を与える情報漏えい。近年ではWebサイトの改ざんやデータベースを狙った攻撃により情報を盗み出す事案が話題になっている。本特集では情報漏えいを引き起こすサイバー攻撃と、WAFによる対策について解説する。 カクーノ株式会社：Webアプリ開発を手掛ける企業。本

GTA新作リークに使われた“多要素認証疲れ”攻撃とは　1時間以上通知攻め、従業員の根負け狙う：この頃、セキュリティ界隈で 人気ゲーム「グランド・セフト・オート」（GTA）などを手掛けるゲームメーカーの米Rockstar Gamesや米Uber Technologiesのネットワークが不正侵入を受け、情報が流出する事件が相次いだ。同じような被害は過去にMicrosoftやCisco、Twitterなどの大手でも発生している。各社とも、そうした侵入を防ぐために多要素認証を設定して従業員のアカウントを保護していたが、攻撃者は「MFA Fatigue（多要素認証疲れ）」攻撃と呼ばれる手口を使ってMFA（多要素認証）を突破していた。 多要素認証で守られたアカウントは、ユーザー名とパスワードを入力してログインしようとすると、登録された端末に電話をかけたりプッシュ通知を送信したりする方法で、そのログイン

コンテンツデリバリーネットワーク（CDN）サービスを基盤に、各種のクラウド型セキュリティサービスを手掛けるアカマイ・テクノロジーズでWebセキュリティの動向を追う中西一博氏が、非常に発見が難しくなっているWeb攻撃の実態と手口を暴き、その対策について解説する。 以前の連載：迷惑bot事件簿 歯止めの利かない情報漏えい 12月22日までに日本で公表された、ECサイトにおける21年のクレジットカード情報流出の被害件数は、手元の集計では71件だった。これは前年比で約1.7倍の数値だ。しかも被害の多くで、クレジットカードのセキュリティコードまでもが盗み取られている。 本連載で過去に説明した通り、こういったWebスキミング被害の多くで、Webサイトにアクセスしたブラウザ内で動作する悪性のJavaScriptによって情報が読み取られている。不正なスクリプトをブラウザに挿入する手口と対策上の課題について

狙われるクラウド、恐喝の手口は悪質化　2022年のセキュリティ動向予測：この頃、セキュリティ界隈で（1/2 ページ） 社会を支えるインフラを脅かしたランサムウェア攻撃や、取引先との関係を悪用するサプライチェーン攻撃など、2021年も世界的な影響を及ぼすサイバー犯罪が多発した。未解決の脆弱性を突くゼロデイ攻撃も後を絶たず「Apache Log4j」の問題は今まさに業界を揺るがしている。2022年はどんな年になるのか。被害を防ぐためにはどんな対策が求められるのか。セキュリティ専門家の予測から動向を探った。 ランサムウェアはより悪質に、日本での被害も増加か セキュリティ各社が共通して指摘しているのが、ランサムウェアの一層の悪質化・巧妙化だ。ランサムウェア稼業は犯罪集団にとって実入りのいいビジネスと化し、被害は増加の一途をたどる。被害企業のデータを暗号化するだけでなく、機密データ公開の脅しをかける

連載：迷惑bot事件簿 さまざまなタスクを自動化でき、しかも人間より早く処理できるbot。企業にとって良性のbotが活躍する一方、チケットを買い占めるbot、アカウントを不正に乗っ取るbot、アンケートフォームを“荒らす”botなど悪性のbotの被害も相次いでいる。社会や企業、利用者にさまざまな影響を及ぼすbotによる、決して笑い事では済まない迷惑行為の実態を、業界別の事例と対策で解説する。著者は、セキュリティベンダーの“中の人”として、日々、国内外のbotの動向を追っているアカマイ・テクノロジーズの中西一博氏。 今年8月、大手プレイガイド、イープラスのチケット購入サイト「e＋」への一般先着チケット購入アクセスの9割がbotによるものだった、というニュースがさまざまなメディアで報じられた。あれから4カ月、イープラスのbot対策はさらに進み、目に見える効果をあげている。 そこで「迷惑bot事

Mt.Goxのビットコイン盗難は、以前から指摘されていたプロトコルの問題を利用されたとの情報も。ユーザーのビットコインを狙うマルウェアも急増しているという。 仮想通貨ビットコインの大手取引所「Mt.Gox（マウント・ゴックス）」を運営するMTGOXが東京地裁に民事再生手続きを申し立てた。Mt.Goxに何が起きたのかは現時点で不明だが、セキュリティ専門家は以前から、ビットコインの取引所やユーザーを狙った攻撃の増加を予想しており、ビットコインを狙うマルウェアも相次いで浮上している。 ロシアのセキュリティ企業Kaspersky Labは2月28日のブログで、「ビットコイン取引所に対する攻撃は、極めて実入りがいいことから犯罪者に注目される」と指摘した。 Kasperskyによると、Mt.Goxは74万4408ビットコイン（現在の相場で約3億ドル相当）を盗まれたと噂されるが、現時点で詳しい原因は分か

大日本印刷と東芝ソリューションは2月12日、スマートフォンから銀行口座を開設できるアプリ（iOS／Android）を開発したと発表した。1月29日からみずほ銀行が導入している。 運転免許証の写真をカメラで撮影し、銀行の口座開設に必要な本人確認書類としてアプリ上から送信できる。申し込みはアプリ上で完結し、最大4週間後に通帳やカードなどが郵送される。店頭での対面手続きや書類郵送の手間を省き、ユーザーの利便性向上を図る。 東芝ソリューションが提供する「クラウド版免許証OCR」により、撮影された免許証の写真を基に氏名や生年月日、住所などを自動入力する機能も備えた。画像の一部を切り出して送信するため、クラウドサーバ側では項目をひも付けず、個人情報の漏えいリスクを抑えるとしている。 今後、金融機関など本人確認が必要なサービスへの導入を進めていく。 関連記事 仮想通貨「ビットコイン」、日本で普及するか