携帯大手「楽天モバイル」のシステムに自作プログラムで不正ログインし、通信回線を契約したとして、警視庁が１４～１６歳の中高生３人を不正アクセス禁止法違反と電子計算機使用詐欺の疑いで逮捕したことがわかった。対話型生成ＡＩ（人工知能）サービス「チャットＧＰＴ」で作業の効率化や処理速度の向上を図っており、ＳＮＳで購入した２０億件超の情報を基にログインを試み、入手した回線を転売していたという。 【図解】一目でわかる…中高生３人による「楽天モバイル不正アクセス」事件の手口

台湾でサイバーセキュリティのコンサルティングサービスを提供しているDEVCOREは2024年6月6日（現地時間）、PHPに緊急度が「緊急」（Critical）に分類される重大なセキュリティ脆弱（ぜいじゃく）性が存在すると伝えた。 PHPに発覚した新たなセキュリティリスク この脆弱性はWindows OSにインストールされている全てのバージョンのPHPに影響を及ぼし、認証されていない攻撃者がリモートから任意のPHPコードを実行する可能性がある。Windowsの文字エンコード変換を処理するベストフィット機能に問題があり、攻撃者はベストフィット機能を悪用することでPHPのコマンドライン引数に任意の文字列を挿入し、悪意のあるPHPコードを実行できる。 特に影響を受けるのはPHP 8.3.8、PHP 8.2.20、PHP 8.1.29より前のバージョンだ。ユーザーは修正済みのバージョンにアップグレー

オンライン詐欺は、インターネットを通じて世界中の人々を標的とする社会全体の脅威です。 詐欺は、多くの場合に国境を越えて行われ、自動化やその他のあらゆる手法を使って、意図的に私たちの検出を回避しようとする、悪意のある人々による仕業です。金銭を目的とし、詐欺をはたらく者が、様々なサービスやウェブサイト上で、広告と投稿の双方を活用したり、プラットフォーム間を移動したりと、人を欺くために常に新たな方法を編み出し続けている、敵対的な状況です。 Metaは、プラットフォーム上における安全を守るため、長年にわたり大規模な投資を行っており、2016年以降、チームと技術に200億ドル以上を投資してきました。これには詐欺対策も含まれ、プラットフォーム上の利用者を詐欺から守るための多面的な対策を講じています。 これには、弊社プラットフォームのすべてにおいて、この種の行為を禁じるポリシーやシステム、利用者が自身を

3月12日火曜日に始まったPublickeyへのDDoS攻撃に対して、これまでサーバの強化、Cloudflareの導入とDDoS対策のための設定を行ってきました。 その結果、3月24日日曜日の夜に始まり3月27日水曜日の朝まで3日間連続で続いたDDoS攻撃のあいだもWebサイトの閲覧と記事更新などを問題なく行える状態となり、DDoS攻撃がWebサイトの運営の大きな障害ではなくなりました。 ちなみにそれ以後DDoS攻撃は止んでいますが、今後はいつDDoS攻撃を受けてもWebサイトの運営に支障がでることはなくなったと考えられます。この記事では結局どのような対策を行ったのか、実際に効果を発揮したDDoS対策を紹介していきます。 これまでの経緯は下記の記事をご参照ください。 Publickeyが受けたDoS攻撃、これまでの経緯と対策まとめ 続、Publickeyが受けたDoS攻撃、これまでの経緯と

2024年3月29日に、圧縮ツールのXZ Utilsに、悪意のあるバックドアが仕込まれていたことが明らかになりました。そのバックドア攻撃において攻撃者が使用したスクリプトについてGoogleのエンジニアであるラス・コックス氏が解説しています。 research!rsc: The xz attack shell script https://research.swtch.com/xz-script XZ Utilsへの攻撃がどのように行われたのかという時系列順のまとめは下記記事で確認できます。 XZ Utilsにバックドア攻撃が行われるまでのタイムラインまとめ - GIGAZINE コックス氏は今回の攻撃は大まかに「シェルスクリプト」の部分と「オブジェクトファイル」の部分の2つに分割できると述べました。攻撃はソースコードをコンパイルする「make」に対し、環境に応じて適切な設定を行う「con

神奈川県内の公立高校入試の出願に必要なインターネットの手続きで、志望校への出願が始まった24日、Gメール(@gmail.com)を利用している志願者に出願システムに入るためのメールが届かないなどの不具合が生じていることが分かった。県教育委員会が同日、発表した。 県教委によると、今年からインターネットによる出願が義務付けられた。志望校への出願の準備としてメールを事…

Googleの開発するウェブブラウザのChromeがシークレットブラウジング中でもユーザーの個人情報を収集しているとして、Googleとその親会社であるAlphabetが集団訴訟を提起されていました。この訴訟で、Googleがついに和解に合意したことが明らかになっています。 Google settles $5 billion consumer privacy lawsuit | Reuters https://www.reuters.com/legal/google-settles-5-billion-consumer-privacy-lawsuit-2023-12-28/ 2020年6月、GoogleのChromeがシークレットブラウジング(プライバシーモード)を利用している間もユーザーの個人情報を収集しているとして、訴訟を提起しました。原告側はChromeのシークレットウィンドウはアメ

だがWebブラウザーのセキュリティーは年々強化され、こういった手口はほとんど使えなくなった。このため前述のようにアドレスバーの表示を確認することが、偽サイトに誘導されないための有効な対策になっている。 今回「mr.d0x」を名乗るセキュリティー研究者が警鐘を鳴らすのは、Webブラウザーが表示するポップアップウインドウ（Webブラウザーウインドウ）である。Webブラウザーのアドレスバーではなく、ポップアップウインドウのアドレスバーを偽装する。アドレスバー付きのポップアップウインドウは「Webブラウザーが表示するWebブラウザー」といえるので、この手口はBrowser In The Browser（BITB）攻撃と名付けられた。 BITB攻撃の主な対象となるのは、ソーシャルログインのログイン画面である。ソーシャルログインとは、SNSのアカウントで別のWebサービスにログインできるようにする仕組

SELinuxの変更SELinuxに関しては、主な変更点として SELinuxで/etc/selinux/configで「selinux=disabled」が効かなくなる(ハングすることがあります)パフォーマンスの向上が挙げられています。今回は一番最初の「selinux=disabled」が使えなくなる（システムがハングすることがある）というのを見ていきたいと思います。 当たり前ですが、筆者の見解/立場ではSELinuxは無効化するべきでは無いので、無効化する前に「待て、考え直せ」とは言いたいです。 SELinuxを無効にしたときのハングアップまずは事象を見てみたいと思います。/etc/selinux/configで SELINUX=enforcing を SELINUX=disabled に設定し、再起動を行います。すると（タイミングの問題だと思いますが）下記のようにブート中にシステムが

アジャイル開発の外部委託が「偽装請負」だと疑われないためにすべきこと、厚労省が公表した疑義応答集を読み解く（前編）。Agile Japan 2021 アジャイル開発において開発担当者を外部のベンダに依頼した場合、必然的に発注側の企業とベンダ側の開発者が1つのチームとなり密なコミュニケーションを行います。 すると、発注側の企業がベンダの開発者の業務遂行に対して具体的な指示を行う、いわゆる「偽装請負」とみなされる可能性があるのではないか？ という疑義が以前から呈されていました。 この疑義に対して、どのように対処すれば偽装請負と見なされないか、その指針が今年9月に厚生労働省から「労働者派遣事業と請負により行われる事業との区分に関する基準（37号告示）関係疑義応答集」として公表されています。 オンラインで11月8日に開催されたイベント「Agile Japan 2021 Day 0」では、この疑義応

脅威インテリジェンスにおけるIPアドレスの取扱 GDPR対個人情報保護法(令和2年改正法-個人関連情報) 2021.10.1 GDPR, データ保護／プライバシ, 情報セキュリティ, 情報共有, 通信の安全／プライバシ 投稿者: Ikuo ネットワークに攻撃を仕掛けているものがいて、そのIPアドレスがわかっているとしたときに、そのIPアドレスをネットワーク管理者間で共有したり、また、顧客に脅威インテリジェンス情報として共有することは、各国においてデータ保護法制の関係で問題ないのでしょうか。データ保護論者は、そのようなIPアドレスを共有するときに、攻撃者の同意をとならなければならないとかいわないよね、という問題があります。 まずは、論点として、IPアドレスって「個人情報」なの、「個人データ(Personal Data) @GDPR」なの？という問題です。 以下、便宜上、個人データと呼びます。

5月9日午後、香川県丸亀市のため池に釣りに来ていた小学1年生の男の子と33歳の父親の2人が死亡しました。なぜ、ため池に落ちると命を落とすのでしょうか。繰り返される事故にどう対処すればよいのでしょうか。 事故の概要　９日午後3時40分頃、香川県丸亀市綾歌町のため池で、「人が落ちている」と近隣住民から110番があった。駆けつけた救急隊員が、水中に沈んでいる男性（33）と、水面に浮かんでいる小学1年の息子（6）を発見。男性は現場で、息子は搬送先の病院でいずれも死亡が確認された。 丸亀署の発表によると、ため池の水深は約6メートル。周囲に柵はなかった。父子で釣りに来ていたが、帰宅が遅いため、妻が現場に行き息子を見つけ、近くの住民が通報したという。同署は誤って転落した可能性があるとみて調べている。 （記事中の氏名等を筆者が改変）　最終更新:5/10(月) 9:35 読売新聞オンライン 筆者が現場を直接

デルのパソコン約400機種に脆弱性。すぐにアップデートを2021.05.07 14:0043,371 Florence Ion - Gizmodo US - ［原文］ （ R.Mitsubori ） 10年分のPCが対象ですって。 私のように、何年もDellのPCを愛用している方に重要なお知らせです。Dellの公式発表によると、2009年から現在までに製造されたDell製Windows PC各種に影響のあるセキュリティ上の脆弱性が見つかり、セキュリティパッチがリリースされたとのこと。対象となる機種は400ほどで、結構な数になります。 この脆弱性を発見したのは、セキュリティ調査会社SentinelLabs。DellとAlienwareのファームウェアアップデートユーティリティなどに使われるドライバで見つかりました。これは、侵入者の特権昇格に悪用される恐れのある欠陥。つまり、悪意あるユーザに本

新型コロナウイルスのワクチン接種により、副反応などで死亡した場合、国の予防接種健康被害救済制度で一時金4420万円が支払われると田村憲久厚生労働相が19日、明らかにした。衆院予算委員会で、立憲民主党の末松義規氏の質問に答えた。 【画像】コロナのワクチン「当然打つ」　分科会メンバー即答の理由 田村氏は医療機関側の過失の有無にかかわらず、接種によって死亡した場合は遺族に対し、4420万円が支払われると説明。その他、葬祭料として20万9千円も給付される。 また、常に介護が必要になるような1級の障害が生じた場合は、18歳以上は本人に対して障害年金505万6800円（年額）を支給。入院せずに在宅の場合は、年額84万4300円の介護加算がされるという。 また、末松氏は、ワクチンの接種券（クーポン券）について、外国では売買されている事例があると指摘し、日本国内での対策を尋ねた。田村氏は「接種時に免許証や

NRIセキュアのセキュリティ・オペレーション・センター(以下、当社SOC)では、10月下旬より「IcedID」と呼ばれるマルウェアの感染被害を検知しております。 本記事では、この「IcedID」の傾向と感染に至るまでのプロセスを解説します。 IcedIDとは？キャンペーン検知傾向について IcedIDはユーザの金融情報やホスト情報などを窃取したり、他のマルウェアをダウンロードする特徴があり、過去にやり取りのあったメール件名を引用し返信を装い、パスワード付きzipしたdocファイルを添付したメールを通じて感染します(図1、図2)。 図1 確認した不審メールの例 図2 添付されたパスワード付きzipファイルに含まれるdocファイルを開いた例 弊社SOCで観測するIcedIDへの感染を誘導する不審メール数は日によって変化があり(図3)、その変化にあわせて不審メールを実行した例やマルウェア感染に至

サービス終了のお知らせ SankeiBizは、2022年12月26日をもちましてサービスを終了させていただきました。長らくのご愛読、誠にありがとうございました。 産経デジタルがお送りする経済ニュースは「iza! 経済ニュース」でお楽しみください。 このページは5秒後に「iza!経済ニュース」（https://www.iza.ne.jp/economy/）に転送されます。 ページが切り替わらない場合は以下のボタンから「iza! 経済ニュース」へ移動をお願いします。 iza! 経済ニュースへ