この記事は過去2回にわたる検証記事の続きとなります。 国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している 続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している 前回の記事では、おすすめ記事機能を有効にしていると、Smoozがユーザーの閲覧しているURL情報を送信してしまうことについて解説しました。 ユーザーID、URLと共に送信されているbc、bt、bdという項目の内容がわからないままでしたが、これもユーザーの情報であるはずだと思い、調査を続けてきました。 ▼これがおすすめ記事のために送信される内容 （この内容は記事の最後にテキスト情報としても掲載しておきます） URL情報に関連するもので 『c、t、d』 と呼ばれそうなものは何か。 ・cのデータ量は飛び抜けて多い ・cとdは一致が見られることがある ・一部が一致しながらもcのほうが長かったりもする

仮想通貨「モナコイン」を顧客から預かるサービス「Ｍｏｎａｐｐｙ（モナッピー）」（営業停止中）に昨年、サイバー攻撃を仕掛け、運営会社からモナコイン約１５００万円相当（当時のレート）を詐取したなどとして、警視庁は１４日、宇都宮市の少年（１８）を電子計算機使用詐欺と組織的犯罪処罰法違反（犯罪収益の隠匿）の疑いで書類送検し、発表した。容疑を認めているという。 仮想通貨をめぐっては、昨年１月に「コインチェック」で約５８０億円相当、同９月に「ザイフ」で約７０億円相当（ともに当時）など、取扱業者からの不正流出が相次ぐ。同庁によると、仮想通貨流出事件の摘発は全国で初めて。 サイバー犯罪対策課によると、少年は昨年８～９月、モナッピーの送金システムの欠陥を悪用して誤作動させ、運営会社が管理していたモナコイン約９万７千モナ（約１５００万円相当）を外部の口座に送金させて詐取。大半を海外の仮想通貨交換所の匿名アカウ

全AWSユーザが今すぐ設定したほうがいいS3のセキュリティを向上するアップデートです。パブリックアクセス設定を有効化して誤ったS3オブジェクトの公開を防ぎましょう。 こんにちは、臼田です。 S3のセキュリティを向上する素晴らしいアップデートが来ました！ほぼすべてのAWSユーザがこの設定を今すぐ有効化すべきだと思います。 S3で新たにパブリックアクセス設定という機能が追加され、誤ってデータを公開してしまうことを防ぐ設定をAWSアカウント全体・バケット毎にできるようになりました。 Amazon S3 Block Public Access – Another Layer of Protection for Your Accounts and Buckets | AWS News Blog この良さを理解するにはこれまでどうなっていたかを知る必要がありますので、そこから順に説明したいと思います。

2018年11月5日です。�さらりと便利なリリースが飛び込んできましたね。 Amazon API Gateway Adds Support for AWS WAF AWS WAF を Amazon API Gateway に使用して、SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃から保護することができます。さらに、ルールを使用して、IPアドレス、地域、要求サイズ、文字列または正規表現パターンに基づいてWebリクエストをフィルタリングできます。これらの条件をHTTPヘッダーまたはリクエストボディに設定することができます。複雑なルールを作成して、特定のユーザーエージェント、不正なボット、またはスクレイピングからの攻撃をブロックすることができます。また、AWS Marketplace の管理ルールを利用して、OWASPトップ10のセキュリティリスクやCommon Vul

フィンランドのアールト大学とヘルシンキ大学の研究グループが、コンピュータセキュリティにとって重要な10以上のアプリケーションに、インサイダー攻撃に対する脆弱（ぜいじゃく）性があることを発見、2018年8月15日に発表した。ログイン認証情報の保存に使用する「パスワードマネージャー」の他、同様の攻撃や侵害を受けやすいアプリケーションが幾つかあることが分かった。 パスワードマネージャーは通常、Webブラウザの拡張機能として動作するフロントエンドと、パスワードを保存、管理するバックエンドの2つのコンポーネントから成り、これらは同一コンピュータ上で別々のプロセスとして実行されている。 2つのプロセスはデータを交換するために、「プロセス間通信（IPC）」というメカニズムを使用する。IPCは同一コンピュータ内で実行され、外部ネットワークに情報を送信しない。そのため、IPCはこれまで安全と考えられてきた。

セキュリティ企業のESETは、ハードディスク搭載PCをクラッシュさせる音響攻撃「ブルーノート」に関して注意を呼びかけた。PCのスピーカやPCの近くに置かれたスピーカからある種の音を流すだけで、PCを使用不能な状態に陥れられるという。なお、攻撃を受けるのはハードディスクなので、SSDのみを搭載しているPCはクラッシュしない。 この攻撃は、ミシガン大学と浙江大学の研究チームがデモンストレーションしたもの。音楽である音程を意味する用語“ブルーノート”と、Windowsのクラッシュ画面“ブルースクリーン”から、ブルーノート攻撃と呼ばれるようだ。 研究チームによると、音の振動でハードディスクの読み書きヘッドとプラッターがそれぞれ振動し、振幅が限界を超えるとハードディスクそのものが損傷したり、ソフトウェアが誤作動したりして、ファイルシステムが破壊されクラッシュやリブートに至るという。攻撃を実行するにあ

AWSのクラウドベースのDNSサービスである「Route 53」のDNSトラフィックが何者かに乗っ取られ、「MyEtherWallet.com」のユーザーが仮想通貨を盗まれる事件が発生した。 米Amazon Web Services（AWS）のDNSサービスで4月24日、トラフィックが一時的に不正なWebサイトにリダイレクトされ、仮想通貨Ethereumを扱うウォレットサービス「MyEtherWallet.com（MEW）」のユーザーが通貨を盗まれる被害に遭った。 MyEtherWallet.comは同日、DNS登録サーバが何者かに乗っ取られ、ユーザーがフィッシング詐欺サイトにリダイレクトされていたことを明らかにした。DNSサーバのリダイレクトには、古くからあるハッキングの手口が使われており、どんな組織であっても被害に遭う恐れがあると強調している。 この攻撃についてセキュリティ研究者のケビ

パスワードには問題があり、多くの人がパスワードを適切に管理していない。そこで代替策が、複数の主要ウェブブラウザでサポートされる。Google、Mozilla、Microsoftは今後、パスワード不要の認証方式を「Chrome」「Firefox」「Edge」の各ブラウザに組み込む見通しだ。 World Wide Web Consortium（W3C）は米国時間4月10日、FIDO Allianceから提出された「Web Authentication（WebAuthn）」の仕様を勧告候補（Candidate Recommendation）の段階に進めたと発表した。 これが実装されれば、ユーザー名とパスワードを使わなくても、一意の暗号鍵を使って別のデバイスにIDを保存することで、セキュリティを管理できるようになる。また、PIN（暗証番号）や、指紋、顔認証などの生体認証データを使って、オンライン接

Nintendo Switch 2: Everything we know about the coming release

2018年1月3日にCPUに関連する3つの脆弱性情報が公開されました。報告者によるとこれらの脆弱性はMeltdown、Spectreと呼称されています。ここでは関連情報をまとめます。 脆弱性の概要 報告者が脆弱性情報を次の専用サイトで公開した。 Meltdown and Spectre (またはこちら) 3つの脆弱性の概要をまとめると次の通り。 脆弱性の名称 Meltdown Spectre CVE CVE-2017-5754（Rogue data cache load） CVE-2017-5753（Bounds check bypass） CVE-2017-5715（Branch target injection） 影響を受けるCPU Intel Intel、AMD、ARM CVSSv3 基本値 4.7(JPCERT/CC) 5.6(NIST) ←に同じ PoC 報告者非公開 論文中にx

中国のVoIP製品にバックドアがあることが発見されました。あらゆる物がインターネットにつながるIoT(モノのインターネット)時代の到来を前に、この種のバックドアが悪意ある者に悪用される危険性が指摘されています。 Dangerous backdoor exploit found on popular IoT devices | TechRadar http://www.techradar.com/news/dangerous-backdoor-exploit-found-on-popular-iot-devices Undocumented Backdoor Account in DBLTek GoIP https://www.trustwave.com/Resources/SpiderLabs-Blog/Undocumented-Backdoor-Account-in-DBLTek-GoI

エグゼクティブサマリ WordPress 4.7と4.7.1のREST APIに、認証を回避してコンテンツを書き換えられる脆弱性が存在する。攻撃は極めて容易で、その影響は任意コンテンツの書き換えであるため、重大な結果を及ぼす。対策はWordPressの最新版にバージョンアップすることである。 本稿では、脆弱性混入の原因について報告する。 はじめに WordPress本体に久しぶりに重大な脆弱性が見つかったと発表されました。 こんな風に書くと、WordPressの脆弱性なんてしょっちゅう見つかっているという意見もありそうですが、能動的かつ認証なしに、侵入できる脆弱性はここ数年出ていないように思います。そういうクラスのものが久しぶりに見つかったということですね。 WordPress、更新版で深刻な脆弱性を修正　安全確保のため情報公開を先送り Make WordPress Core Conten

Googleのクラウドは間違いなく世界最大規模のコンピュータシステムです。膨大なハードウェアとソフトウェアから構成されるこの巨大なシステムを、同社はどうやってセキュアに保っているのか。そのことを解説したホワイトペーパー「Google Infrastructure Security Design Overview」が公開されました。 ホワイトペーパーには、Googleのデータセンターを構成するデバイスの1つ1つにまで独自のセキュリティチップを組み込んで正規のデバイスかどうかを相互に認証するという物理レベルのセキュリティから、何層のものロードバランサーからの情報を集約してDos攻撃を検知すると、その通信を破棄するといったDoS対策。 そしてマシンも従業員もサービスも包括するグローバルな名前空間など、きわめて広範かつ綿密なセキュリティ施策が説明されています。 クラウドがいかに高度なセキュリティで

ブラウザのテキストボックスに文字を入力すると、登録されている情報をナビゲートしたり自動入力したりできる「Autofill(オートフィル)」機能は、煩わしい入力作業を大幅に省略できるので非常に便利です。しかし、オートフィル機能をONにしておくと、極めて単純な手法を使って簡単に住所や電話番号などの個人情報をぶっこ抜くフィッシング詐欺の餌食になってしまう危険性が指摘されています。 GitHub - anttiviljami/browser-autofill-phishing: A simple demo of phishing by abusing the browser autofill feature https://github.com/anttiviljami/browser-autofill-phishing オートフィル機能の危険性を指摘するViljami Kuosmanen氏は、G

Google Analyticsはスパマーのターゲットとなっていて、ユーザーがどこからやってきたのかチェックしている人をアクセス元であるかのように見せかけてスパムサイトへ誘導するという手口が存在します。そのアクセス元が「ɢoogle.com」となっていると「googleで何かの検索フレーズが引っかかったのだろうか」などと思ってしまいそうですが、この「ɢoogle.com」は「Google.com」ではないスパムサイトなので絶対にアクセスしないようにしてください。「G」が違います。 Here’s a secret: ɢoogle.com is not google.com – Analytics Edge http://www.analyticsedge.com/2016/11/heres-a-secret-%C9%A2oogle-com-is-not-google-com/ 「ɢoogle

iPhoneのロック画面を解除することなく、連絡先の情報を調べたり、端末内のすべての写真をのぞき見したりできるバイパス方法が発見されました。これは次期アップデートのiOS10.2(ベータ3)でもふさがれていない穴なので、Appleによる対策は不可避です。 New Hack: How to Bypass iPhone Passcode to Access Photos and Messages http://thehackernews.com/2016/11/iphone-hacking.html パスコードを入力することなく端末内の連絡先や写真にアクセスするバイパス方法は以下のムービーで解説されています。 How To Unlock ANY iPhone Photos Without Passcode! - YouTube ということで、ムービーの案内通りに試してみました。 まずはロックの