パスキーの本質はユーザー側としてはパスワード入力機会の削減、サービス側としては企業のセキュリティリスクのユーザーへの責任転嫁とコストカットである。 サービス側 企業がユーザーにパスキーを使わせようと強要するのはログイン情報の流出や流出したログイン情報による攻撃のリスクと責任とコストから企業を守るために認証に関する問題がユーザーの責任によってしか発生しないよう責任転嫁したいからに過ぎない。このため認証情報の紛失や盗難などによる喪失リスクと復旧の困難性やその他新たに発生する問題については隠蔽または矮小化される。企業にとってパスキーとはパスワードの定期的変更の最新版なのでありユーザーがパスキーを強要されるのはパスワードの定期的変更を強要された歴史を繰り返しているに過ぎない。 ユーザー側 パスキーの適切な実装におけるユーザーの本質的利益はパスワード入力機会が減ることによりフィッシング被害を受ける機

東京都内に拠点を置く11の企業や団体の電子商取引（EC）サイトが不正なプログラムを仕掛けられて改ざんされ、少なくとも10万件以上の顧客情報が抜き取られたとみられることが捜査関係者への取材で判明した。同様の被害は全国で相次いでおり、警視庁などは不正指令電磁的記録供用容疑なども視野に捜査している。 捜査関係者などによると、都内で被害が確認されたのは、大手コーヒーチェーン「タリーズコーヒージャパン」（新宿区）や「全国漁業協同組合連合会（全漁連）」（中央区）など11の企業や団体が運営するインターネット通販などのECサイト。 何者かが利用者を装い、ECサイトの注文フォームなどに不正なプログラムを発動させる文字列を入力。サイトの運営側が入力された内容を確認すると、プログラムが発動し、攻撃者側が遠隔でサイトを改ざんできる仕組みだった。 その後、ECサイトで顧客が新規に個人情報を登録すると、それが攻撃者側

Appleが、ロック状態にあるiPhoneを一定時間が経過すると自動的に再起動する「inactivity reboot(非アクティブ時再起動)」という機能をiOS 18.1にひそかに追加したことがわかりました。 Apple Quietly Introduced iPhone Reboot Code Which is Locking Out Cops https://www.404media.co/apple-quietly-introduced-iphone-reboot-code-which-is-locking-out-cops/ Here's why iPhones were rebooting themselves, according to experts https://www.androidauthority.com/iphone-reboot-explained-34981

ウエルシア薬局（東京都千代田区）は11月8日、外部からの不正アクセスにより個人情報が漏えいしたおそれがあると発表した。公式通販サイト「ウエルシアドットコム」に携わる従業員がサポート詐欺に遭った。 10月24日に従業員がサポート詐欺のWebサイトに誘導され、遠隔操作ソフトをインストールさせられたことで不正アクセスを受けた。これにより、ウエルシアドットコム利用者3万9805人分の個人情報や、ウエルシア薬局グループ社員931人分の情報が漏えいしたおそれがある。 サイト利用者の情報には、氏名、住所、電話番号、生年月日、性別、ウエルシアドットコム利用時のIDとパスワード、購入商品情報が含まれる。従業員情報は氏名、所属組織、会社のメールアドレスという。 同社は外部調査会社を使って被害状況と影響範囲を調査している。8日までに漏えいの事実および被害は確認されていない。詳細は改めて公表する。 同社は利用者や

大手ドラッグストアの「ウエルシア薬局」は、自社のオンラインストアが不正なアクセスを受け、4万人近くの氏名や住所などの個人情報が漏えいしたおそれがあると発表しました。 会社によりますと、先月、通販サイト「ウエルシアドットコム」に関連する業務を行う従業員のパソコンが、偽の警告メッセージを表示して不正なサイトに誘導する「サポート詐欺」の被害を受けたということです。 その結果、このサイトで過去に商品を購入した3万9805人分の氏名や住所、電話番号などの個人情報と、会社の従業員931人分の氏名やメールアドレスなどが漏えいしたおそれがあるということです。 今のところ被害は報告されていないということですが、会社では情報が漏えいしたおそれのある人たちに確認を進めています。 また電話の相談窓口も設けていて、フリーダイヤル0120-119-358で、午前9時から午後8時まで問い合わせを受け付けることにしていま

KDDIは11月7日、セキュリティ企業のラックに対し、普通株式の公開買付（TOB）を実施し、完全子会社化すると発表した。買付価格は1株あたり1160円、買付総額は約246億円におよぶという。 KDDIとラックは2007年に資本提携し、新サービスの共同開発や、クラウド・IoT領域への拡大など、数多くの協業案件を通じてサイバーセキュリティーソリューションを提供してきたという。KDDIは「本取引を通じて、ラックのサイバーセキュリティーに関する豊富な知見と、KDDIのネットワークサービスなどの経営資源を集約し、お客さまに最適なソリューションを提供できる体制を構築していく」としている。 公開買付は11月下旬を予定。買付が成立した場合、一連の手続きを経て上場廃止を見込む。これに先駆け、ラックが設置した特別委員会による答申を受け、24年11月7日開催のラックの取締役会において、TOBに賛同するとともに、

https://togetter.com/li/2460034 数年前同じような被害にあったので、ここに書いてみる 発覚の経緯当時マンション購入を検討していて、ARUHIのクイック事前審査を申込んだところ即否決される。 クレカも携帯も税金も滞納したことなかったので、気になってCICに照会したところクレジットカード（百人隊長の外資系）で150万、消費者金融（銀行系）で200万申込まれていて事故になっていることが発覚。 更に否決されていたものの別のクレジットカード(百貨店系)も申込まれていた。 免許証は紛失しておらず手元にある。考えられるのは数年前に賃貸契約した際に免許証をコピーした時か、 以前在籍していた会社で付き合いでクレジットカードを申込みしたときのコピーか。 その時の会社の担当者が、クレカ申込後数週間後に謎の退職していて（挨拶もなく社報にものっていなかった。借金？失踪した？）、そいつが

出前館は10月29日、10月26日から丸3日間サービスが利用できなくなった大規模システム障害の原因について「暗号資産マイニングマルウェア『RedTail』への感染」だと発表した。 発表によると、最初の障害は10月25日20時頃に発生した。サーバーが高負荷となったことからサービスを停止し、当該サーバーを切り離してサービスを再開した。 その後、翌10月26日14時30分ごろに、前日とは異なるサーバーが高負荷となり再度サービスを停止。のちに暗号資産マイニングマルウェアである通称「RedTail」に感染したことを発見し、マルウェアの削除を実施したという。 サービスの再開にあたっては、万全を期すために作業を慎重に実施したため、サービスの再開が想定より遅れたという。なお、現時点では個人情報の流出の恐れはないとしている。

サイゼリヤは10月16日、社内サーバに対するランサムウェア攻撃の被害を確認したと発表した。これにより、会社の秘密情報や保有していた個人情報が一部漏えいした可能性があるという。 サイゼリヤの発表によると、複数の社内サーバでシステム障害が起き、一部サービスが停止する事態が発生（日時は明かしていない）。外部機関に調査を依頼したところ、不正アクセスを受けた可能性を確認した。不正アクセスを受けたサーバは社内ネットワークなどから切り離す措置を講じた。 この影響で、重要な社内システムが一部使用できなくなっているという。現在、同社は被害規模を把握するための調査を進めつつ、早急な社内システムの復旧と平常業務の再開に取り組んでいるとしている。 なお、16日時点で個人情報が漏えいした可能性のある対象者は、同社の従業員（パート・アルバイトなどを含む）と取引先、過去に採用面接を受けた一部の人物、お客さま相談窓口に問

関連記事 イオンカード、不正利用の対応遅れを謝罪　「カード止めてと依頼しても止まらず、数十万円請求された」などの声 「イオンカードを不正利用され、カード会社に対応を求めたのに、何カ月も対応してもらえないまま不正利用が続いている」――こんな悲鳴がXに相次い投稿されている。 「イオンカード」の不正利用が急増した根本原因　なぜここまで返金対応が遅れているのか 近年クレジットカードの不正利用に関する犯罪が増えているが、その利用スタイルの変化や対策手段の登場にともない、以前とは違う形での不正利用が増加している現状がある。今回問題となっている「イオンカード」の返金が遅れている理由は何か。 解約しやすさはもっと評価されるべき　“実質有料化”したセゾンカード、解約が簡単で素晴らしかった クレディセゾンが提供するクレジットカードの一部で、1年間利用がない場合に「カードサービス手数料」が新たに発生することにな

近年クレジットカードの不正利用に関する犯罪が増えているが、その利用スタイルの変化や対策手段の登場にともない、以前とは違う形での不正利用が増加している現状がある。 以前までであればスキミングや番号の盗み見などの手段で入手したカード番号を元に偽造カードを作成する手法が多かったと思われるが、ICチップ利用の必須化により偽造カード作成は困難になり、盗んだカード番号をオンライン取引で利用するケースが一般化してきている。 まずユーザーにフィッシングメールを送信してカード情報の入力を促したり、あるいは決済サービスを提供する企業のサイトをハッキングしておき、そこに入力された情報をかすめ取るといった手法だ。 このようにして盗んだカード番号をオンラインの決済で利用して換金性の高い商品を購入し、売却することで利益を得るのが犯人の狙いだが、もともとオンラインでの取引は、人と人が店頭で行う対面取引に比べても不正利用

「イオンカードを不正利用され、カード会社に対応を求めたのに、何カ月も対応してもらえないまま不正利用が続いている」――こんな悲鳴がXに相次い投稿されて、話題になっている。 こうした声を受け、イオン銀行とイオンフィナンシャルサービスは10月8日、不正利用の被害対応に時間がかっていると謝罪。「被害実態や複雑かつ巧妙化する犯罪手口の解明と、被害金額の特定・返金処理などに時間を要している」と釈明した。 Xでは「イオンカードの不正利用が6月に発覚し、止めてほしいと依頼しても止まらず、8月までに30万近く支払った」「不正利用されてカードを再発行したけれど、返金が可能か3～6カ月かかるので不正利用分はいったん支払った。返金されるか不安」「1月にイオンカードに不正利用の連絡をしたが、関連の書類が10月にようやく届いた」などの声が出ている。 ここ最近は、フィッシング詐欺による被害や、ECサイトへの不正アクセス

スマートフォンが、気づかないうちにデータや位置情報を共有しているのではないかと心配しているなら、先に発表された新しいレポートは不安を煽る内容になっている。 「グーグルの監視を拒否することはできない」とCybernewsの調査チームは警告する。彼らは、新しいスマートフォンからグーグルのサーバーに継続的に送信される秘密のデータストリームを捕捉した。さらに懸念されるのは、「このスマートフォンは定期的に新しいコードをダウンロードして実行しようとしており、セキュリティリスクが生じる可能性がある」という彼らの主張だ。 Cybernewsのチームは、「新しいGoogleアカウントとデフォルト設定の真新しいPixel 9 Pro XL」を用意し、中間者攻撃によるデータ傍受を可能にするためにルート化（特殊なやり方での管理権限取得）した。チームは「送受信トラフィックを中間で取り込み、カスタムセキュリティ証明書

このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 X： ＠shiropen2 「組織はユーザーに定期的なパスワード変更を要求してはならない」──米国政府機関の米国立標準技術研究所（NIST）が、そんな内容を含めた新しいガイダンス「SP800-63B」を発表した。パスワードの内容は、セクション3.1.1に記されている。 多くの人々が新しいパスワードを考え出し、それを覚えることに苦労している。セキュリティ上の理由から、多くの組織がユーザーや従業員に定期的なパスワードの変更を要求し、もしくは義務付けている。しかし今、米国政府はソフトウェアやオンラインツールを作成・運用する組織にこの慣行をやめるよう呼びかけている。 これは、Webサイト

YAPC::Hakodate 2024での発表内容です。 https://yapcjapan.org/2024hakodate/