三井住友カードは5月16日、同社クレジットカードの所有者に郵送したダイレクトメール（DM）に、クレジットカード番号を誤って印字したと発表した。DMはシーラーはがきタイプだったが、その表面宛先部にカード番号を印字していたという。対象のDMの件数は29万771件に及ぶ。 DMを発送したのは4月18日と20日。本来、DMの宛先部には客の照会番号を印字すべきだったが、誤ってカード番号を印字した。カードの有効期限やセキュリティコードなどの情報は一切記載していないとしている。 DMの郵送先は「AOYAMA VISAカード」「AOYAMA PiTaPaカード（VISA）」「AOYAMA LiVE MAX VISAカード」「BLUE ROSE CARD（VISA）」のカード所有者の住所という。 印字ミスの原因について同社は「DMを送る際、住所や氏名、客の照会番号などの顧客情報を基幹システムから抜き出し、D

Firefoxの開発元であるMozillaの調査によると、Android向けの公式アプリストアであるGoogle Playにおいてトップアプリとされているアプリの多くが、アプリ配信ページ上でユーザーデータをどのように取り扱うか説明する「データセーフティセクション」で虚偽あるいは誤解を招く表記をしているとのことです。 Mozilla Foundation - Mozilla Study: Data Privacy Labels for Most Top Apps in Google Play Store are False or Misleading https://foundation.mozilla.org/en/blog/mozilla-study-data-privacy-labels-for-most-top-apps-in-google-play-store-are-false-

Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 ベルギーのKU Leuven、オランダのRadboud University、スイスのUniversity of Lausanneによる研究チームが発表した「Leaky Forms: A Study of Email and Password Exfiltration Before Form Submission」は、まだ送信していないのにもかかわらず、オンラインフォームで入力した個人情報（今回は電子メールアドレスとパスワード）が打ち込んだだけで収集されている問題を調査した論文だ。 サインインやサービスへの登録、ニュースレターの購読など、さまざまな理由でオンラインフォームに個人情報を入力す

ナニコレ、違法だよ。どこにある？ https://t.co/QN2vYU8cNm

Intro iOS15 がリリースされたため、 Private Relay のベータを試すことができた。 このようなサービスが提供されるようになった背景を踏まえ、挙動を簡単に確認しつつ、解説する。 背景 そもそも、なぜこのようなサービスが出てきたのかを理解するには、現在のインターネットが抱える問題の背景を理解する必要がある。 特に Web において問題になっている「トラッキング」を防ぐために、法的な規制や業界団体の自主規制による対策は長いこと行われてきたが、それでも看過できないインシデントなどが目立ったために、 Apple の ITP を皮切りに 3rd Party Cookie の制限が始まった。 ここで重要なのは、「本来防ぎたいのは 3rd party Cookie という技術ではなく Tracking というユースケースだ」という点だ。 この前提が伝わっていない場合、トラッキングのユ

PayPalは利用規約の中で、「取引を円滑に行うために必要な個人データとアカウント情報」などを、取引の当事者間で共有する場合があるとしている。送り手の住所が受け手側に表示されたのは、この規約に基づくもののようだ。 トバク氏は「これはTwitterではなくPayPalの問題だ。PayPalは（ユーザー）データの共有をやめるべき」と主張する一方、Tip Jarの決済手段にPayPalを採用したTwitterの責任にも言及。「Tip Jarの使用がユーザーのプライバシーにどんな影響を与えるのか知らせることがTwitterの責任だ」と投稿した。 トバク氏の投稿後、Twitterも送金時の情報共有について対応を投稿。「他のアプリの規約に基づき、チップの送り手と受け手側で情報が共有される可能性があることをヘルプセンターに明記し、支払い時にも説明するようにした」とした。 これに対し、トバク氏はTwitt

Clubhouse（クラブハウス）のプライバシーポリシーとアプリ双方を分析。DataSign代表太田氏が評価するClubhouseのプライバシーリスクレベルとは。 Clubhouseのプライバシーポリシーとアプリ通信ログをプロが解析 1月下旬から日本でも人気に火がついた音声オンリーSNS「Clubhouse」。 先日、利用規約について本メディアで取り上げたところですが、サイト調査のプロフェッショナル集団である株式会社DataSign代表の太田 祐一氏が、Clubhouseのプライバシーポリシーを分析し、合わせてアプリの挙動とサーバーに送信している情報を調査。その結果について、ZoomとClubhouseを併用したオンラインセミナーを開催しました。 このセミナーの内容と合わせ、DataSignが独自にアプリを調査分析した結果について、以下レポートします。 プライバシーリスクは高いか低いか ま

米Googleは1月27日（現地時間）、米Appleが間もなく開始する予定のiOSアプリでのトラッキング許可画面表示義務付けへの対策について説明した。 Appleは昨年のWWDC 2020で、ユーザーのプライバシー保護の一環として、Apple製品向けのアプリ開発者に対し、アプリが他社のアプリあるいはWebサイトでユーザーをトラッキングしたり、IDFA（Appleが端末にランダムに割り当てるID）にアクセスするためにはユーザーの許可を得ることを義務付けると発表した。「iOS 14」リリースのタイミングで実施する予定だったが、「開発者に対応の時間を与えるため」機能の追加を延期している。 開発者は「AppTrackingTransparency」（ATT）フレームワークを使って、トラッキングしたり、デバイスの広告識別子にアクセスしたりする許可をユーザーにリクエストする。これにより、ユーザーの画面

消極(facebookも始めた) @depolarization1 海外の配信者が投げ銭コメント読み上げ機能を付け、就寝配信していたら「アレクサ、今の私の居場所はどこ」というコメントが投げられ、住所バレするクリップを見た。

このたび、当社が運営するブラウザアプリである『Smooz（スムーズ）』において、ご利用者の情報の取扱い、データ収集、及びセキュリティについてご利用者をはじめとする皆様に、多大なご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。 状況の確認と対策、原因調査を進めてまいりましたが、Smoozの提供を継続することは困難との結論にいたり、2020年12月23日をもってサービスを終了させていただきますことをご報告申し上げます。 これまでに収集したご利用者様の情報につきましては、返金に必要な情報以外はすべて削除が完了しております。返金対応が完了次第、全ての情報を削除いたします。収集したデータに関して悪用、個人情報の社外への流出は、現在のところ確認されていません。 【返金などのご対応につきまして】 プレミアム会員様には、12月分からの利用料金の返金をさせていただきます。また、交換可能なS

この記事は過去2回にわたる検証記事の続きとなります。 国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している 続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している 前回の記事では、おすすめ記事機能を有効にしていると、Smoozがユーザーの閲覧しているURL情報を送信してしまうことについて解説しました。 ユーザーID、URLと共に送信されているbc、bt、bdという項目の内容がわからないままでしたが、これもユーザーの情報であるはずだと思い、調査を続けてきました。 ▼これがおすすめ記事のために送信される内容 （この内容は記事の最後にテキスト情報としても掲載しておきます） URL情報に関連するもので 『c、t、d』 と呼ばれそうなものは何か。 ・cのデータ量は飛び抜けて多い ・cとdは一致が見られることがある ・一部が一致しながらもcのほうが長かったりもする

Smoozを運営するアスツール株式会社の代表の加藤です。 当社のSmooz（スムーズ）ブラウザにおけるユーザー情報の取り扱いについてご指摘いただきました。Smoozを利用するユーザーの皆様にはご心配・ご迷惑をおかけして誠に申し訳ありません。 以下で、弊社アプリの挙動についての概要とその詳細について、私の方からご説明させていただきます。 【概要】 (1)Smoozは、おすすめ記事をパーソナライズしブラウジング体験を快適なものとするために、行動履歴や検索履歴のデータを収集しております。ご利用者様のプライバシーを侵害するデータの収集を目的とするアプリではございません。 (2)プライベートモード利用時または「サービス利用データの提供」をオフにした時には、サーバーへの全てのデータ送信を停止する設計にしておりましたが、弊社側で調査をしたところ、実際には一部の情報送信が止まっていないことが分かりました。

調べた事実を列挙してみる。 ・デフォルトの設定では、設定・操作・閲覧情報がユーザーID、デバイスIDと共にアスツール社のサーバーへ送信されている ・検索窓に入力した文字は、検索ボタンを押さなくても、その内容が逐一アスツール社のサーバーへ送信されている ・検索内容がアダルト関連ワードかどうかがアスツール社のサーバーに送信され判定されている ・サービス利用データの提供設定をオフにしても、閲覧情報がアスツール社のサーバーに送信されている ・プライベートモードにしても、閲覧情報がアスツール社のサーバーに送信されている ・https通信であろうとも閲覧したURLは完全な形でアスツール社のサーバーに送信されている 様々な設定を調べたが、どのようにしても外部への閲覧情報送信を止めることはできなかった。 あなたが何を調べ、何を買おうとしているのか、何で遊び、どこへ行こうとしているのか。それらはあなたの知ら

追記： アクセスされた可能性のある最大件数については、詳細な調査分析により2,101件であったことが判明しております。 詳細は下記をご確認ください。 管理サーバーへのアクセス履歴の調査結果について（2021年5月7日） https://paypay.ne.jp/notice-merchant/20210507/01/ 2020年12月1日に外部からの連絡に基づき、当社管理サーバーにある、加盟店に関する営業情報のアクセス履歴について調査したところ、11月28日にブラジルからのアクセス履歴を1件確認、12月3日までに遮断する措置を実施しました。現時点で、これらの情報が利用された事実はありません。なお、ユーザー情報は別のサーバーで管理しているため、本事象における影響はありません。 ＜アクセスされた可能性のある情報＞ (1)加盟店の店名、住所、連絡先、代表者名、代表者生年月日、契約日、売上振込先、

2020年11月17日、Peatix Japanは米本社（Peatix.Inc）が提供するイベント管理サービス「Peatix」が不正アクセスを受け、登録されていた利用者情報が取得されたと発表しました。ここでは関連する情報をまとめます。 最大677万件のデータ流出 peatix.com 【Peatix不正アクセス事象】よくいただくご質問とその回答 [PDF] 弊社が運営する「Peatix」への不正アクセス事象に関するお詫びとお知らせ Peatix社が情報流出の可能性を把握したのは2020年11月9日頃。 外部企業による調査の結果、2020年10月16日～17日にかけて不正アクセスが同社サービスに行われていた。 登録されていた個人情報を含む利用者情報が最大約677万件不正に取得された事実が判明。 2020年11月17日発表時点で調査中。新事実等判明次第公表。 同社は今回の流出に関係する二次被害

AppleがmacOS 11 Big Surでユーザーが実行したアプリの情報をチェックしているのはGatekeeperや公証のためだと説明し、2021年にはより強固なセキュリティチェックを導入するとコメントしています。詳細は以下から。 Appleが2020年11月より正式に提供を開始した「macOS 11 Big Sur」では、Beta段階から新たに導入されたNetworkExtensions APIsにホワイトリストが用意され、このリストに記載されているFaceTimeやシステムアップデートなどApple製の56アプリ/サービスのトラフィックはNetworkExtensions APIをバイパスしてファイヤーウォール系のアプリでチェックできない問題や、 ユーザーがいつアプリを起動したかや、アプリのハッシュ値(Unique ID)などを収集している問題などが確認され、セキュリティ界隈で話題