はじめに 本当に悔しいし許せないし、エンジニアとして不甲斐ないです。2025年2月26日深夜にハッキングにあいました。どのように相手と繋がり、どのような手口でハッカーに資産を抜かれたか、コードベースで全てお伝えします。今後同じ被害に遭う方が少しでも減ることがあればこんな嬉しいことはないです。 コード解説、さらに対策案も書いていきます。もし他に良い対策案などあればコメントでご教示ください。 ハッカーとのやりとりの流れ ハッカーとは Linkedin でブロックチェーンを使ったプロジェクトを手伝ってくれないかという連絡がりそこからやりとりが始まりました。そして移行の大まかな流れは下記のような感じです。 Linkedinでプロジェクトを手伝ってほしいと言う内容でDMがくる Githubリポを見て実装できそうか確認してほしいと言われる 自分のGithubアカウントを共有してプライベートリポジトリに

口座を開設する時など、免許証やマイナンバーカードの券面を撮影して本人確認を行う方法が広がっていますが、なりすましによる犯罪が相次いでいることから、警察庁は非対面でのこうした確認の方法を再来年4月に廃止する方針を固めました。 免許証などのコピーの郵送で本人確認を行う方法も合わせて廃止する一方、ICチップの情報を読み取る非対面での確認方法などは引き続き認める方針で、今後、規則の改正手続きを進めるとしています。 警察庁によりますと、他人になりすまして偽造した口座やカードが特殊詐欺などの犯罪に悪用されるケースが相次ぎ、治安上の課題になっています。 口座の開設やカードの作成時など、運転免許証やマイナンバーカードの券面をスマホなどで撮影して画像を送る非対面での本人確認の方法が広がっていますが、警察庁はこうした方法について、再来年4月に廃止する方針を固めました。 また、免許証などのコピーを郵送し、「転送

物騒な世の中です。皆様お気をつけください。 3行でまとめ 自作の OSS、fujiwara/apprun-cli のマルウェア入り偽物を作られて GitHub で公開されました 偽物には大量の新規アカウントがスターを付けていたため、検索でオリジナルのものより上位に表示される状態でした GitHub に通報したところ、偽物を作ったアカウントはbanされたようです 経緯 2024年末に、さくらのAppRun用デプロイツール apprun-cli という OSS を公開しました。 github.com 2025年2月10日 12時過ぎのこと、謎の人物が X で apprun-cli を宣伝しているのを見つけました。 どう見ても自分の物と同じ(コピー)なのですが、妙にスターが多い。リポジトリをのぞいてみると、fork ではなくコードがすべて commit 履歴を引き継がない状態でコピーされ、スター

ハンズ（旧社名：東急ハンズ）は1月27日、公式アプリ「ハンズクラブアプリ」のシステムが第三者からの不正アクセスを受け、一部登録ユーザーの個人情報12万件超が漏えいしたと発表した。クレジットカード情報は含まれていない。 【画像】漏えいした個人情報の詳細 漏えいした個人情報は12万1886件で、これには会員情報として登録されていた住所氏名、生年月日、電話番号などの他、メールアドレス、会員番号、ログインパスワードも含まれていた。現時点でハンズクラブポイントやハンズネットストアでの不正利用は確認されていない。 2024年12月2日に異常なログイン回数を確認し、外部調査会社と共に調査を始めたところ、11月27日から繰り返し不正アクセスが行われていたことが分かった。原因は、ハンズクラブアプリのシステムに利用しているソフトウェアの脆弱性をつかれたこと。ハンズは対策を強化し、新たに不正アクセスがあった場合

杉の木 @suginoki7777777 PSNアカウントが乗っ取られました ソニーに問い合わせてるけど、まともに取り合ってくれません 乗っ取り後に地域設定を海外に設定されたことで日本からの問い合わせに対応できないとのこと なんでやねん 2025-01-13 22:45:00 杉の木 @suginoki7777777 2段階認証が無効にされた通知がSMSに届いてました。 色々確認しましたが、ログイン出来てしまえば認証なしで無効に出来てしまうようですね。 2段階認証を無効にするための2段階認証は必須なのでは… pic.x.com/nEgkhJ3xrc x.com/zousuikaisi/st… 2025-01-14 01:20:47

初めてAWSを使っていくときに読んでおきたいセキュリティの覚書、管理者編です。これからAWSの管理者となる人は是非読んでください。あるいは管理者を任せる方が活用してください。 こんにちは、臼田です。 みなさん、AWSのセキュリティ気にしてますか？(挨拶 今回はこれからAWSを使う組織や使い始めた組織向けに、AWSセキュリティで絶対に覚えておく必要があることを解説します。 この記事を読んでいただければ、自信を持って安全にAWSを利用し始められます！ なお、初めてAWSを使う利用者に向けた記事として初めてAWSを使うときのセキュリティ覚書〜利用者編〜 | コラム | クラウドソリューション｜サービス｜法人のお客さま｜NTT東日本を先に掲載しています。本記事はこの続編で管理者としての内容を綴っていきます。まだ読んでいない方は先にそちらをご覧ください。 目次 前置き〜AWSの管理は大変？〜 組織に

はじめに Wikipedia の JWT (JSON Web Token) に関する記事が誤っていたので、2020 年 5 月 9 日、英語版、日本語版ともに修正を行いました。 修正前の記事では、JWT のことを「JSON をベースとしたアクセストークンのためのオープン標準である」と説明していました。しかし JWT は用途を限定しない汎用的なデータフォーマットです。アクセストークンのフォーマットとして JWT を採用することは、JWT の応用事例の一つに過ぎません。なお、アクセストークンのフォーマットは必ずしも JWT とは限りません。→ 参考:『図解 JWS/JWE/JWT/IDトークン/アクセストークンの包含関係』 JWT を知らない状態で OAuth と OpenID Connect の学習を始めると、「JWT はアクセストークンのための技術である」、「JWT はユーザ認証のための技

バッカじゃねーのかな。 この仕組みを考えた奴何も考えてねえだろ。 こう言う頭のいいふりしたバカにシステムを作らせてはいけない。 詳細eSIMを設定したモバイルルータが死んだので、楽手モバイルでeSIMの再発行手続きをしたところ、二段階認証の表示が出た。 SMSまたは登録のメールでコードを送ったのでみてね、だそうである。 しかし待てど暮らせどメルアドにコードが送られてこない。なんだこれは。 で、楽天モバイルのfaqを漁るとこんなことが書いてあった。 https://network.mobile.rakuten.co.jp/faq/detail/00001914/ 継続的にセキュリティー対策を強化しており、5月下旬より一部のお手続きについてワンタイムパスワードの送信方法をメールからSMSに変更しました。は？ ばっかじゃねーの？　ホテルで部屋のパスワードを忘れたので新しく発行してくれと言ったら、

安全性を高めるため証明書の最大有効期間は年を追って徐々に短くなってきた。2011 年以前は最長で約 8 年だったものが、2020 年には約 13 ヶ月になった。Apple の提案が受け入れられれば、証明書の最大有効期間は 2025 年 9 月から 200 日に短縮され、その 1 年後には 100 日に、そして 2027 年 4 月以降は 45 日まで短くされる。この提案には、ドメイン認証（DCV）の有効期間を段階的に短縮し、2027 年 9 月以降は 10 日にすることも含まれている。

あらおじ @ojigunma すごい タリーズの原因発見してる人いる 確かにナンカある slick.min.js という画像をスライドするファイルの中に 難読化された悪意のあるコードが追記されてるっぽい 難読化は４段階ぐらいされてるらしい これブラウザとかセキュリティソフトで気づくのは無理なんだろか。。。 x.com/motikan2010/st… Niishi Kubo | GitLab,Limeboard @n11sh1_ クレカ情報漏洩の件、技術的な原因特定はこの投稿が一番分かりやすかった。 slick.min.js（画像切り替えのライブラリ）を改ざんされてマルウェアが仕込まれて、クレカ情報はサーバーに送信される前にフロントエンドから外部に送信されていたらしい。Content-Security-Policy がレスポンスヘッダーにきちんと設定されていれば悪意あるドメインに対しての通信

タリーズの件、CSPが設置されていたら防げていたという話がありますが、それは正しいでしょうか？ CSPを設定していなかったとしても、想定していない外部へのリクエストが発生していないか、定期的にチェックすることも大事ですよね？ タリーズのサイトからのクレジットカード情報漏えいについて、CSP(Content Security Policy)やintegrity属性（サブリソース完全性）の重要性がよくわかったという意見をX(Twitter)上で目にしましたが、これらでの緩和は難しいと思います。 まず、CSPの方ですが、今回の件では元々読み込んでいたスクリプトが改ざんされたと考えられるので、オリジンとしては正規のものです。evalが使われていたのでCSPで制限されると考えている人が多いですが、evalは難読化のために使われているので、evalを使わないことは可能です。個人的には、難読化しない方が

【重要】弊社が運営する「タリーズ オンラインストア」への不正アクセスによる個人情報漏洩の恐れに関するお詫びと調査結果のご報告 弊社が運営する「タリーズ オンラインストア（通信販売サイト）」におきまして、第三者による不正アクセスを受けたことを、5月30日に「不正アクセスによるシステム侵害発生のお詫びとお知らせ」として公表いたしました。このたび、第三者調査機関による調査の結果、お客様の個人情報（92,685件）、内クレジットカード情報（52,958件）が漏洩した可能性があることが判明いたしました。 お客様をはじめ、関係者の皆様に多大なるご迷惑及びご心配をおかけする事態となりましたこと、深くお詫び申し上げます。 なお、個人情報及びクレジットカード情報が漏洩した可能性のあるお客様には、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げております。また、電子メールが届かなかったお客様には

2024年10月02日 京セラコミュニケーションシステム株式会社は、奈良県の斑鳩町立図書館様からのご依頼で、9月10日より弊社の図書館システム（以降、本システム）の導入作業を行っておりましたが、新規構築したサーバがランサムウェアに感染していることが判明し、2024年10月1日に予定していた図書館利用者様向けのサービス利用開始を延期する事態となりました。現在、原因究明と被害状況の確認、また、本システムの運用再開に向けて取り組んでおります。 斑鳩町立図書館をご利用の皆様には多大なるご迷惑とご心配をおかけすることになりましたことを深くお詫び申し上げます。 被害の全容の把握にはいましばらく時間を要する見込みですが、現時点で判明している内容について、以下の通りご報告いたします。 2024年9月10日 弊社のソフトウェア製品である図書館システムの導入作業開始 2024年9月29日 本システムの稼働開始

パスワードの安全な管理方法として「定期的にパスワードを変更する」「他人にパスワードを作成させる際に記号や数字を混在させるように求める」といったノウハウを実践している人は多いはず。しかし、これらの管理方法は実はセキュリティリスクの高いもので、内閣サイバーセキュリティセンター(NISC)やアメリカ国立標準技術研究所(NIST)のガイドラインでは非推奨とされています。 インターネットの安全・安心ハンドブック Ver5.00 第6章 (PDFファイル)https://security-portal.nisc.go.jp/guidance/pdf/handbook/handbook-06.pdf NIST Releases Second Public Draft of Digital Identity Guidelines for Final Review | NIST https://www.ni

Sophosは8月22日(英国時間)、「Qilin ransomware caught stealing credentials stored in Google Chrome – Sophos News」において、ランサムウェア「Qilin」による侵害を調査する中で、Google Chromeに保存された認証情報を大量に窃取する攻撃を確認したと伝えた。2024年7月に確認されたこの事案では、Active Directoryのドメインコントローラからグループポリシーオブジェクト(GPO: Group Policy Object)を使用して悪意のあるスクリプトをドメイン参加端末すべてに配布して実行したとされる。 Qilin ransomware caught stealing credentials stored in Google Chrome – Sophos News 侵害経路 初期ア

Chrome、FireFox、Safariといった主要ブラウザにおけるIPアドレス「0.0.0.0」の扱い方に問題があり、問題を悪用することで攻撃者が攻撃対象のローカル環境にアクセスできることが明らかになりました。問題を発見したセキュリティ企業のOligo Securityは、この脆弱(ぜいじゃく)性を「0.0.0.0 Day」と名付けて注意喚起しています。 0.0.0.0 Day: Exploiting Localhost APIs From the Browser | Oligo Security https://www.oligo.security/blog/0-0-0-0-day-exploiting-localhost-apis-from-the-browser Oligo Securityによると、主要なブラウザでは「『0.0.0.0』へのアクセスを『localhost (12

ウォンテッドリーは7月30日、ビジネスSNS「Wantedly」について、ユーザー約20万人の情報が漏えいしていた可能性があると発表した。同社は4月、アクセス設定の不備による情報漏えいの可能性を発表。その後リスク調査をしたところ、同様の問題がサービス内で10件見つかり、新たな漏えいの可能性が発覚したという。 調査により、2013年10月17日から24年6月10日にかけて、未公開か削除済みの人材募集記事19万4733件、もしくは企業の公式ページ2万4435件が、本来アクセス権限を持たない第三者に閲覧された可能性が発覚。これにより、それぞれのページに載っていたユーザーの氏名や所属企業、職種、プロフィール画像、自己紹介文など20万578人分が漏えいした可能性が明らかになったという。 期間中は人材募集記事や企業の公式ページに対し「公開範囲を超えてブックマークやフォロー、募集に対する応募が可能であり