大規模なサプライチェーン攻撃の一部が見え始めた。Googleが発見したこの攻撃では、攻撃側が長い時間を掛けて巧妙な侵入を図ったことと、EDRを回避したために攻撃の全貌がいまだに明らかになっていない。 Googleは2025年9月24日（現地時間、以下同）、これまでで最も重大だと言えるサプライチェーン攻撃を発見したと発表した（注1）。 中国政府と関係のある高度な攻撃者グループが、テクノロジー企業やSaaSプロバイダー、法律事務所などに侵入して、極めて巧妙なマルウェアを用いて企業やその顧客から機密データを盗み出していた。 Googleが発見した史上最大のサプライチェーン攻撃　F5はソースコードが流出 Googleによると、攻撃者はまずサービスプロバイダーを狙い、そこからサービスプロバイダーを利用している企業のネットワークへと侵入先を切り替えた。狙われた企業の一つには法律事務所があった。そこに到

人気ルーターブランドであるTP-Linkのルーターが米国で禁止される可能性が高まっている。The Washington Post（WP）の報道によると、6以上の連邦政府省庁がこの提案を支持しているという。 この件に関するニュースが最初に報じられたのは2024年12月のことだ。商務省、国防総省、司法省の捜査官が、中国との関係に起因する国家安全保障上のリスクを理由に同社への調査を開始したと、The Wall Street Journal（WSJ）が報じた。それ以来、TP-Linkに関するニュースはそれほど多くなかった。 「商務省は、TP-Link Systemsの製品がリスクをもたらすと結論付けた。その理由として、米国に拠点を置く同社の製品が米国の機密データを扱っていること、そして当局が、同社は依然として中国政府の管轄権や影響の下にあると考えていることを挙げている」とWPは伝えている。 TP-

米X（旧Twitter）は10月27日（現地時間）、2要素認証（2FA）の方法としてセキュリティキーを使用しているすべてのアカウントに対し、11月10日までにセキュリティキーを再登録するよう、公式アカウントで求めた。 期日までに再登録されない場合、関連するアカウントは更新が完了するまでロックされる。 Xは「この変更はセキュリティ上の懸念とは関係なく、YubiKeyやパスキーにのみ影響し、他の2FAには影響しない。2FA方式として登録されたセキュリティキーは現在、twitter.comドメインに関連付けられている。セキュリティキーを再登録すると、x.comに関連付けられるようになり、Twitterドメインを廃止できるようになる」と説明した。

この記事は、エージェント型ブラウザにおけるセキュリティとプライバシーの課題に関するシリーズのはじめての投稿になります。この脆弱性研究は、シニアモバイルセキュリティエンジニアのArtem Chaikinによって実施され、Artemとプライバシー・セキュリティ担当VPのShivan Kaul Sahibによって執筆された記事の日本語訳です。 インストラクション・インジェクションの脅威 Braveでは、ブラウザ内AIアシスタントのLeoがユーザーの代わりにWebブラウジングをする機能を開発しています。単に「このページがロンドン便について何を言っているか要約して」と尋ねるだけではなく、将来的には「来週の金曜日のロンドン行きの便を予約して」と指示できるようになります。AIは読むだけでなく、自律的に閲覧し取引を完了します。このような機能拡張により、 Braveのプライバシー保証を保ち、データと閲覧セッ

アップデート 2025-10-15 Socket Firewall Freeもbunに対応していることがわかった[1]ので、その旨追記しました。 前置き 2025年9月14日[2]、npmで公開されているパッケージに対する攻撃があったようです。今までの同様の攻撃と比べて規模が大きく、よく利用されるパッケージも攻撃を受け、またマルウェアがワームとして広がったことから注目されている気がします。 パッケージ利用者の観点からは、「信頼しているパッケージが攻撃されて、新しいバージョンにマルウェアが混入した」という、一般的なサプライチェーン攻撃の流れです。 とはいえ最近はサプライチェーン攻撃の頻度も増加し、規模も大きくなっているように思え、現実的な脅威を感じます。 残念ながらサプライチェーン攻撃に対しては、Webアプリケーション開発におけるXSSに対する適切なエスケープ、SQLインジェクションに対する

「あなたがアダルトサイトを見ている姿を撮影した。知り合いにばらまかれたくなければ金銭を支払え」――。このような脅迫メールが2018年ごろに多数出回った。もちろん単なる脅しで、メールの内容は嘘だ。 ところが、このような脅迫メールを一笑に付すことができない時代になった。アダルトサイトを閲覧しているユーザーを実際に撮影するマルウエア（悪質なプログラム）が確認されたのだ。一体、どのようなマルウエアなのだろうか。 日本語の脅迫メールも出現 冒頭で書いたような脅迫メールを使うネット犯罪はセクストーション（性的脅迫）などと呼ばれる。 脅迫メールの送信者（攻撃者）は、受信者が見ていたアダルトサイトの画面と、それを見ていた受信者の姿の両方をマルウエアを使って盗撮したと主張。指定の金額（300～1000ドル程度の場合が多い）をビットコインで支払うよう求め、支払わなければそのビデオを知り合いに送信すると脅迫する

興味深い記事を読みました。「macOS」に内蔵されたセキュリティ対策機構で、マルウェアを防げるかどうか検証したという「Macworld」の記事です。「Can Apple's free antivirus defend a Mac from malware」（Appleの無料アンチウイルスはMacをマルウェアから守れるのか）という記事タイトルから、皆さんはどういう結果になったと思いますか。 筆者は「既知のマルウェアなら即座に検知できるが、未知のマルウェアには歯が立たない」と予想していましたが、一体どういう結果になったのでしょうか。 有償ソフトはもう不要だが「無料アンチウイルス機能で十分」には条件がある 記事では「OSベンダーが提供するストアから、信頼できる開発者のアプリをダウンロードし、OSの警告プロンプトに注意を払えるようなユーザーであれば、安全を保てる」という、それなりに守れるという結論

Strengthening npm security: Important changes to authentication and token management As part of our ongoing commitment to securing the npm ecosystem, we’re implementing the first phase of security improvements outlined in our recent announcement. These changes will roll out over the coming five weeks completing by mid-November 2025 and require action from package maintainers. We’re taking this pha

ritouです。 ここ数年、ユーザー認証のお話をさせていただいている中、最近ようやく「パスキー認証はね、入れとかないと」みたいな雰囲気になってきましたが、しかしその一方で、「パスキー認証のこういうところが好きになれない」といったご意見も当初からいただいています。今回は、その中の「こうしたらやられる」と言う主張、つまりパスキー認証に対する現状の脅威、考えられる対策 について整理しましょう。 ユーザー認証の現状とこれから ユーザー認証はここ数年、脅威の認識と対策の繰り返しの中で変化してきました。 パスキー登場までの経緯については、 “パスワードレス認証への道" ユーザー認証の変遷とパスキーの関係 にて整理しています。 3行でまとめると、次のようになります。 パスワード認証のみの利用は、パスワードの使い回しによる他サービスへの影響範囲を考えても、極めて危機的な状況である 一般的に使われている「パ

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

はじめに 昔からサービスの運営者を困らせてきたものはいくつかあると思いますが、 特に代表的なのが “自動化による悪用” です。 スクレイピングによる無断データ収集や、予約システムを狙ったボット、さらには不正ログインを試みる自動化ツールなど、その形は時代とともに多様化してきました。 X (旧Twitter) には、今でも詐欺DMを送るボットが多いです。(自分は毎日来ます。) また、大阪万博の予約を勝ち取るために、サーバーに過度の負荷をかける形で自動化が悪用された事例もあります。 そして、最近はAIを利用した巧妙なものも増えています。 この記事を読んで、そのような事態に対処できるように知識が少しでも増えれば良いな、と思っています。 ぜひ少しでも役に立てば、いいね・他SNSへの共有など、よろしくお願いします！！ 実例 2025年現在、大阪万博なる物が開催されており、DX化の一環として予約をウェブ

先週金曜、突如OpenAIのCodex CLIというコーディングエージェントがリリースされましたが、このリポジトリを見て特に気になったのは、ツールの機能そのものよりも、以下の記述*1でした。 macOS 12+ – commands are wrapped with Apple Seatbelt (sandbox-exec). Everything is placed in a read‑only jail except for a small set of writable roots ($PWD, $TMPDIR, ~/.codex, etc.). Outbound network is fully blocked by default – even if a child process tries to curl somewhere it will fail. この記述によると、Co

2025-07-06 設定ファイルと起動オプションに不備があったので修正しました。今度こそ大丈夫です！！！！！ 2025-07-09 設定ファイルに不備があり、セッションの更新がされずAPIエラーになる事象を修正しました。本当に今度こそ大丈夫だと思います！！！！！！！ 2025-07-10 挑戦に失敗はつきもの Claude Codeくんは便利ですが、ちょっとドジなところもあるので目を離すのはちょっとこわいですね。 このようなときはVMやコンテナで開発環境を完全に隔離すれば安全安心が手に入るわけですが、プロジェクトごとに設定するのは面倒くさい。 悪意のないAIのうっかりミスを防げる程度の軽量なサンドボックスがあると嬉しいのですが、Macには意外と手頃なものがないんですね。 普段dev containerを使ってる人ならそれで良さそうですが、わたしはMac上で直接開発したいので……。 ところ

Intro 前回は、Nx の事例をベースに「パッケージを公開する側」の対策について解説した。 今回は、「パッケージを使う側」、もっと言えば「OSS を使う上で開発者が考えるべきこと」について考察する。 OSS の危険性 npm 起因のサプライチェーン攻撃が確認されたことで「npm は危険だ」という話になると、「npm を禁止すべき」といった極端な話になったりする。 前回のブログで紹介したような対策を行うなら、多少は良くなるかもしれない。しかし、それらは全てパッケージ公開者に委ねられる。自分が公開者として実施するなら、自分が原因で攻撃が発生することは防げるだろう。 一方、攻撃に必要な突破口は 1 つあれば良い。npm にある全てのパッケージが対策されない限り、npm を主語とした安全が担保される日は来ない。 この広大な依存関係の中には、闇落ちした開発者が、それまでの善良なコードを、自分の意志

ローカル開発のために GitHub App からセキュアに User Access Token を生成する CLI である ghtkn を紹介します。 まとめ ghtkn は Device Flow を用いて GitHub App から User Access Token を生成する CLI セキュアなローカル開発を実現 No More Personal Access Token Personal Access Token と違い短命 (8時間) な access token GitHub App とユーザー両方が持ってる権限しか持たず、両方がアクセスできるリポジトリにしかアクセスできない Secret manager を用いて access token を管理 プレインテキストや shell の環境変数に access token を露出しないため、流出リスクが低い 複数の GitHub

パッケージを利用する側、パッケージを公開する側でサプライチェーン攻撃を防ぐためにできることのメモ書きです。 パッケージを利用する側 npmやGitHub Actionsなどを利用する側として、サプライチェーン攻撃を防ぐためにできることをまとめます。 ロックファイルを使う npmやYarn、pnpmなどのパッケージマネージャーは、依存関係のバージョンを固定するためにロックファイル（例: package-lock.json, yarn.lock, pnpm-lock.yaml）を使用する GitHub ActionsではSHA Pinを行う pinactなどを使ったGitHub ActionsのSHA Pinを行う また、GitHubリポジトリの"Require actions to be pinned to a full-length commit SHA”を有効にする https://gi

昨今の国内における報道等での脆弱性関連情報の取扱いを踏まえて、今般、経済産業省、独立行政法人情報処理推進機構（IPA）、一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）及び国家サイバー統括室から、国内の脆弱性関連情報を取り扱う全ての皆様（脆弱性関連情報の発見者、製品開発者やウェブサイト運営者、報道機関その他産業界の皆様等）に向けて、「情報セキュリティ早期警戒パートナーシップガイドライン」に則した対応に関するお願いについてお伝えします。 経済産業省では、経済社会の活力の向上及び持続的発展並びに国民の皆様が安全で安心して暮らせる社会の実現に資することを目的として、ソフトウェア等の脆弱性（注釈1）を悪用した不正アクセス行為やコンピュータウイルスによる企業活動の停止や情報資産の滅失、個人情報の漏えい等の被害発生を抑制するため、脆弱性関連情報（注釈2）が発見された場合にそれら