はじめに LINE はユーザー数が 8,400万人、日本人口の約7割が利用しているという巨大なチャットツールです。メールや電話より手軽にコミュニケーションが取れることから、業務連絡にも LINE を使っている会社も多く存在します。 操作性・利便性が高い一方で、LINE を業務利用することは「シャドーIT」という状態にあたり、情報セキュリティ上のリスクを抱えています。 この  note では会社が LINE を業務利用してはいけない理由について解説します。ユーザー数の多い LINE を例として挙げていますが、これは会社で管理ができないツール全般に置き換えることが可能です。シャドーIT全般に対するリスクであり、LINE 自体の危険性を指摘するものではありません。 シャドーIT とは 会社には多くの社内ITツールがあります。例えば Microsoft 365（Word、Excel、PowerPo

経緯と再発防止策について追加のご報告をいたしました。くわしくはこちらをご覧ください。https://note.jp/n/naf3775e93a58 （2020年8月14日 22:33追記）noteサービスにおいて、記事投稿者のIPアドレスが記事詳細ページのソースコードから確認できてしまう不具合が存在していました。 なお、一般的なIPアドレスから、個人情報を特定することはできません。 現在は、該当部分を修正し問題なくご利用いただける状態です。ご迷惑をおかけして、大変申し訳ありませんでした。 今回の不具合により、名誉毀損などの被害をこうむったクリエイターに対しては、ご本人と連携して法的措置を含めてnote社がサポートいたします。 以下、発生内容と今後の対策についてご報告します。 IPアドレスとは？ インターネットでの通信先の情報です。一般的にはIPアドレスは地域や建物、組織で同一の値が共有され

2020年7月までに国内外の複数のドメイン名が「Subdomain Takeover」とみられる影響を受け、当該サイトに接続した利用者が詐欺サイトに誘導される事象が発生しています。ここではこの事象に関連する情報をまとめます。 何が起きてるの？ 誘導される詐欺サイトの一例 大手組織を含む複数のドメイン名において、検索サイトから接続した際に詐欺サイトへ遷移させる事象が発生していた。 各組織管理のサーバーやレジストラ、CDNサービスが直接被害を受けたのではなく、Subdomain Takeoverと呼称される手法により過去使用されていたドメイン名が狙われたとみられる。 どう対応すればよい？ 不要なCNAMEレコードを削除する。 影響範囲は？ 正確な被害状況は把握していないが、複数の国内外のドメイン名が影響を受けており、検索にかかるものだけでも100件以上をpiyokangoは確認（2020年7月

NTTコミュニケーションズは2日、社内サーバーがサイバー攻撃を受けた問題について、新たに延べ271社の工事情報などが流出した可能性があると発表した。5月28日の時点で把握していた621社から増加した。 延べ271社のうち83社は、契約期間を終えた後も情報を保管していた企業や団体だった。新たに社員用…

テレビのインターネット接続機能 「テレビ視聴データに関する民放５社共同の技術検証および運用実証実験」ってニュースが流れてたけど、そもそも「テレビ視聴データって何？」「どうやって取ってるの？」「Dボタンを押さなくても勝手に通信するの？」と疑問が浮かび調べてみた。 この記事で扱っているデータは、5社共同実験の期間終了後なので、他社と視聴ログを共有しない「テレビ朝日 - 視聴データの取扱いについて」の挙動と考えます。 この記事では扱っておりませんが、他局（ フジテレビ / TBS / テレビ東京 / 日本テレビ / NHK ）からも同様の告知が出ていることから、他局も同様の機能を持っていると考えられます。 作業環境 スイッチは「NETGEAR GS108Ev2」 テレビを接続したポートからパケットキャプチャを接続したポートへのミラーポートを設定。 パケットキャプチャは「Wireshark」 「テ

Cross-site scripting (XSS) cheat sheet This cross-site scripting (XSS) cheat sheet contains many vectors that can help you bypass WAFs and filters. You can select vectors by the event, tag or browser and a proof of concept is included for every vector. You can download a PDF version of the XSS cheat sheet. This is a PortSwigger Research project. Follow us on Twitter to receive updates. Downloaded

7payをめぐる脆弱性の懸念が解決しないまま、不正使用事件発覚から約3週間が経った。この間、実行犯とみられる複数の中国籍の容疑者が逮捕され、また外部ID連携の実装の不備から、セキュリティーの懸念を指摘する報道が続いている。 セブン&アイHDは7月中を目処に、今後の対応策などを公表する予定だ。 しかしここへきて、これまでとは異なる、別の問題が浮上してきた。 7payにも関連する、ECアプリ｢オムニ7｣の設計図にあたるソースコードが漏洩していた可能性がある。オムニ7アプリはセブン-イレブンアプリとは別アプリだが、ログインまわりの設計は非常に似通っているとみる専門家もいる。 事実であれば、アプリ開発の管理体制、アプリ自体やサービスのセキュリティーに関するリスクの有無についても、一層の警戒が必要になる可能性がある。

Business Insider Japan編集部｢7pay｣取材班は、7payの開発スケジュールを取りまとめた内部資料を入手した。 開発現場の関係者の間でやりとりされた資料の最終版に近いもので、2018年末からサービスイン直前までの間が、どのようなスケジュールで動いたのかを示す資料だ。現場をよく知る複数の関係者の証言からは、記者会見で注目が集まった｢セキュリティー不備｣につながる慌ただしい開発現場の姿が浮かび上がる。 7payの不正利用に関しては、7月3日にアカウント乗っ取りと不正利用が発覚し、続く4日セブン＆アイHDが記者会見で被害推定額を｢約5500万円｣と発表。同日夜に中国籍の男2人が不正利用に関して詐欺未遂の容疑で逮捕された。 セブン＆アイHDはセキュリティー対策の甘さへの指摘を受ける形で、5日にはセキュリティー対策強化を目的とした新組織発足と二段階認証導入、1回あたりのチャージ

セブン&アイ・ホールディングスが満を持してスタートしたバーコード決済サービスの7pay。しかしサービス開始早々、第三者による不正利用が発覚、通常では決済アプリに導入されている2段階認証が導入されていなかったことなど、セキュリティ面に問題があったことが浮き彫りになってきた。 業界全体の不信感にもつながりかねないトラブルに、楽天ペイを展開する楽天の三木谷浩史会長兼社長は「他社さんのサービスについてはなかなかコメントしづらいところが正直あるが、基本的に今後、業界全体として、やはりセキュリティの問題についてはレベルをしっかりと上げていくことが必要だと思っている」と話している。

セブン＆アイ・ホールディングスが7月1日に開始したスマホ決済サービス「7pay（セブンペイ）」で不正アクセス被害が発生した。SNS上で「30万円を不正利用された」「19万円を不正にチャージされて使われた」などの被害が相次いで報告され、セブン＆アイは7月3日にクレジットカードとデビットカードからの入金手続き停止を発表。7月4日には全ての入金手続きを止めた。セブン＆アイの発表によると、7月4日の午前6時時点の試算で被害者は約900人、被害額は約5500万円に上る。 4日に会見したセブン＆アイ傘下のセブン・ペイの小林強社長は「詳細な原因を調査中」と話した。だが、原因の一つとしてセブン-イレブン・ジャパンのアプリ「セブン-イレブンアプリ」が使っていた会員システム「7iD」のお粗末ともいえる仕様が考えられる。 セブンペイはこれまでもあったセブン-イレブンアプリに決済機能として組み込まれた。セブン-イ

～IT技術の開発者と利用者の権利を守るために～ 下記発起人による寄稿 本件不起訴処分となりました アラートループ事件２件は2019年5月22日に兵庫地検により不起訴となりましたことをご報告いたします。不起訴理由は起訴猶予であり、検察は不正指令電磁的記録の容疑はあるとされたため、完全な勝利とは言えませんでしたが、支援をした2名が、これ以上不安な日々をおくらなくてよくなったことは喜ばしくあります。不起訴となりましたのは、支援していただいた方々、弁護士らの力によるところが大きく、支援した2名に代わり感謝を申し上げます。 詳細に関しては、今回担当した弁護士らの「起訴猶予処分を受けての声明」をご覧ください。 募集の終了 2019/3/26 12:15 現在までに553名の方々から合計6,934,471円（仮想通貨を含む）寄付を頂きました。本件では十分な金額となりましたので、開始から24時間を一区切り

前回、運転免許証記載情報の真正性を確認する方法を紹介しました。 パスポートにも免許証と同様にICチップが埋め込まれており、海外渡航時の入国審査では本物のパスポートかどうかチェックが行われています。 不動産取引や民間サービスの本人確認業務でも、同じ方法でICチップの確認を行えば身分証偽造による詐欺行為を防ぐことができます。 今回パスポートのICチップにアクセスして真正性を確認するAndroidアプリをつくったのでその仕組みを紹介します。 目次 電子パスポート仕様パスポートは世界で通用する身分証明書です。 それぞれの国が独自仕様のパスポートを発行すると大変なので、 国際民間航空機関(以下ICAO)がICチップの技術仕様を標準化し、各国のシステムで相互運用できるようになっています。 ICAOはDoc 9303 Machine Readable Travel Documents(機械可読な旅券)と

本目的での寄付の受付終了 2022年1月20日、最高裁判所において、Coinhive事件は逆転無罪判決となりました。これまでの皆様のご支援に深く感謝申し上げます。2022/1/20 2021年12月9日に最終弁論が開かれることになりました。2021/10/18 残念ですが、本件の高裁判決は有罪となりました。当協会は最高裁まで支援致します。2020/2/7 本目的の寄付を締め切りました。寄付者数はのべ1044名 合計金額 11,405,944円になりました。 2019/4/19 12:45 現時点までのべ825名の方から合計9,722,169円(仮想通貨、PayPay、協会への寄付を含む)のご寄付をいただきました。そのため、本日受付分(※)をもって、本目的の寄付の受付を一旦終了させていただきます。収支の詳細状況などに関しましては本ページにて発信していきます。 #JHA_Coinhive 返礼

アマゾンのAIアシスタント『Alexa』がユーザーとの会話を録音しており、それを従業員たちが聞ける状態にあることを米メディア『Bloomberg』が衝撃的な証言とともにすっぱ抜きました。 これが海外を中心に、「盗聴だ」と騒ぎになっています（『Alexa』とユーザーの会話なので正確には「盗聴」ではないのですが、プライバシーへの配慮が足りないため騒がれています）。 会話の録音は精度を高めるために必要なものの……　まず説明しておきたいのは、AIアシスタントを搭載するスマートスピーカーがユーザーとの会話を録音する行為は、AIの精度を高めるために行われているという点です。 たとえば発端となった『Bloomberg』の記事では、スペイン語の「Hecho（エチョ）」がよく「echo（エコー。アマゾンのスマートスピーカーの名前）」と聞き間違えられるといった例が紹介されていました。 筆者が家族との会話のなか