他人から借りたUSB充電器は危険？　スマホの「ジュースジャッキング」、対策かわす新手の手口も：この頃、セキュリティ界隈で 「旅客機の機内で親切な若い男性が充電器と充電ケーブルを貸してくれた。彼は私が寝ている間に降りてしまったので返すことができなかった。彼の持ち物を返せなかったことを本当に申し訳なく思う」 インドの政治家のある投稿がちょっとした物議をかもした。「親切な若い男性」の行為は単純な善意なのか、それともデータを盗む目的の「ジュースジャッキング」攻撃だったのか――。そんな論議がユーザーの間で交わされている。 発端となったのはインド・アッサム州のヒマンタ・ビスワ・サルマ州首相のXへの投稿。ニューデリーからドバイへ向かうエミレーツ航空の機内での出来事だった。 同氏の投稿に対してユーザーからは「すぐにスマホをチェックしてもらった方がいい。きっと善意だったのかもしれないけれど、州首相である以上

Intro 4 月末にリリースされる Chrome 136 からは、一部のケースで「閲覧履歴があってもリンクの色が変わらない」状態が発生する。 もしこの挙動に依存して閲覧をしているユーザがいれば、多少不便に感じるかもしれない。 しかし、これは長年問題視されてきた、ユーザのプライバシー保護のための更新だ。 ユーザ側でも、「サイトが壊れたのでは?」と思う人もいるだろうため、前半は技術用語を少なめに解説し、エンジニア向けの解説は後半で行う。 従来の挙動 例えば、Wikipedia では、リンクをクリックして閲覧先を確認すると、閲覧済みのリンクの色が変わる。 これは、ブラウザに保存された閲覧履歴に該当するリンクの色を、訪問済みとして変えるブラウザの機能だ。 多くのリンクがある場合、確認済みかどうかがわかるために、便利に使われることもあるだろう。 (最近では、閲覧済みでもリンクの色を変えないように実

Intro 震災の直後、復興のさなかに水害が起こり、再び全てが流される。能登の人々にとっては大変な 2024 年だったと思う。首都直下型や南海トラフはいつ起こってもおかしくないと言われ、戦火すら他人事ではなくなっている。 家に災害用の備蓄を用意するのと同様、定期的に「アカウント防災訓練」を個人的に実施するようになって数年経つ。 観点は「今、持っているものを全て失っても、リカバリできるだろうか?」だ。 現代のアカウントの管理は、"Password Less" を目指す過渡期で、中途半端に複雑だ。Password は無くなっているというより、集約された "Less Password" 状態であり、残る「最後の Password」を起点にどう全体を復元するかが、災害時リカバリの課題となる。これに失敗して全てが詰むと、仮に無事避難できたとしても、相当な喪失を味わうだろう。 現状の選択肢と設計方針を

しゅーとです。 新婚旅行で沖縄に行ってきたのですが、そこで泊まった高級リゾートホテルの客室にタブレットが置いてありました。 このタブレットを調査したところ、客室内の盗聴・盗撮が可能となる脆弱性や、第三者がネットワーク上から他客室のコントロール、チャットの盗聴が可能となる脆弱性を発見しました。この問題はIPAを通して開発者に報告し、報告から2年の年月を経て影響する全ホテルへの改修が完了し、公表されました。 本記事ではキオスクアプリ開発者がよりセキュアなシステムを構成できるように、発見した脆弱性の原因と対策を解説します。 客室に設置されていた脆弱性を有するタブレット ※今回は稼働中システムに対する調査という背景を鑑み、他者の情報・資産を侵害しないよう細心の注意をもって調査しており、他者の情報が関連するセンシティブな問題についてはアクセスなどの実際の検証を行わず、複数の間接的な証跡をもって報告し

だが、何度試しても失敗。どうやら、2段階認証に成功しても、2段階認証の端末同士が近くにないとログインが許可されないらしい。セキュリティが強化されているな ※2段階認証の端末同士→今回の場合は、僕の手元にあるrealme GT7 Pro と出品者が今使っているスマホ 同じ場所でやらなければならない 裏技もある YouTubeやネットでスマホの名前＋FRPで検索すると、そのスマホの脆弱性やバグを利用してGoogleアカウント情報を抹消する方法が紹介されている。 しかし、いずれもかなり複雑で素人が試すにはハードルが高い。また、時間をかけても成功する保証はない。 パソコンのソフトもある 調べてみると、解除専用のパソコンソフトがあることがわかった。一つ試してみたが、結果的にはうまくいかなかった。 どうやら、Android 15がよりセキュリティが強化されていることが原因のようだ。 返品が早くて確実

みなさんこんにちは、イノベーションセンターの益本(@masaomi346)です。 Network Analytics for Security (以下、NA4Sec) プロジェクトのメンバーとして活動しています。 この記事では注意喚起を兼ねて、特殊詐欺を例に犯罪者のコミュニティで行われている活動を紹介します。 ぜひ最後まで読んでみてください。 警告 特殊詐欺について どのように詐欺に加担させようとするのか 特殊詐欺の裏で行われていること 1. 案件の紹介 受け子・出し子・かけ子 かけ子の仲介 荷受け・空き家の確認 SIMカードの契約 電話番号の契約 本人確認のなりすまし 偽造免許作成 2. 犯罪で使う道具の販売 空き部屋の紹介 銀行口座の販売 SIMカードの販売 3. 銀行口座や決済サービスのアカウントの買取など 銀行口座の買取 メルカリアカウント買取・レンタル 4. 違法薬物の販売 犯罪

2023年後半頃から、ブラウザの「戻る」ボタンを押すと、訪問したおぼえのないページが表示されることが増えた。そういうページは大抵、記事風の広告やサイト内の記事へのリンクが大量に並ぶという構成になっている。こんなレイアウトになってることが多い。 この手法はブラウザバック広告とかブラウザバックレコメンド (あるいはレコメンデーション) とか呼ばれており、国内外の複数のWeb広告会社がこれを提供しているようだ。 たとえば、こちらはGMOアドマーケティングの “TAXEL” が提供しているブラウザバックレコメンド。 【新たな収益・回遊源が誕生！】ブラウザバックレコメンド サイトから離れてしまうユーザーに対し、広告やレコメンド記事を表示させることで、収益化や内部回遊に繋げることを目的としているフォーマットになります。 ……というのがセールスポイントらしいのだが、サイトから離れる人は、サイトから離れた

ガジェット全般、サイエンス、宇宙、音楽、モータースポーツetc... 電気・ネットワーク技術者。実績媒体Engadget日本版, Autoblog日本版, Forbes JAPAN他 先週、人気ゲーム『Apex Legends』のeSports世界大会の北米大会決勝戦で発生したハッキング問題は大きな話題になりました。 Apex Legendsでは、特に上位帯のランクマッチにおいては、こうした不正プログラムを使用する「チーター」が横行しており、それ自体は珍しくもありません。 しかし、公式の大会における、専用のコードを知らなければ入ることのできないカスタムマッチに侵入し、出場選手にチートとよばれる不正プログラムを強制使用させたという大胆不敵さは、これまでにないものでした。 そして、Apex Legendsのファンのなかにはハッキング被害に遭った選手のひとりの画面に「Destroyer2009」

ガジェット全般、サイエンス、宇宙、音楽、モータースポーツetc... 電気・ネットワーク技術者。実績媒体Engadget日本版, Autoblog日本版, Forbes JAPAN他 人気ゲーム『Apex Legends』の eSports北米大会決勝で、試合中に選手のPCをハッキングする大胆な行為に及んだハッカーが、事件後初めて発言しました。 Destroyer2009と名乗るApex Legendsのチーター（ハッカー）は、TechCrunchのインタビューに応じ、自らがハッキング行為を行ったことを認め、「単純に面白半分」で2人の著名選手のゲームプレイ中にチートプログラムを起動したと語りました。このハッカーは、この問題を「開発者に修正させようとした」と述べています。 ハッカー本人は「試合中に選手に非がないとわかる方法であのようなチートを付与した者は、これまでにいなかっただろう」と自らの

サポート詐欺とネット広告 サポート詐欺の被害拡大が大きな問題になっています。 サポート詐欺は様々な手法でパソコンの不調を警告する画面をPC上に表示させ電話をかけるように煽り、サポート費用としてGoogle PlayギフトカードやiTunesギフトカードを買わせて支払わせたりPCの遠隔操作で振込をさせて、お金を奪う詐欺です。 この詐欺自体は昔からあるものですが、増加したようで2023年9月末には消費者庁も注意喚起を行っています。 www.caa.go.jp また、夏以後に日本各地の警察も注意喚起を始めた他、様々な報道機関やネット媒体がその問題を報じ続けています。 (2/14)詐欺：“サポート詐欺”に注意！ | NHK (5/15)パソコン「サポート詐欺」電話かけてみた 72分間の通話の全容 | NHK | デジタルでだまされない (7/2)【動画解説】パソコン「サポート詐欺」警告が出た時の対

最近見つけた現象で既に論じられているかと思ったがちょっと解説が見つからなかったのでまとめておく。 手短に X(旧Twitter)クライアントで表示されるTwitterカードについてカードに表示されるドメインとは違うページにリンクさせる手法が存在する この手法は第三者のTwitterカードを利用することができる つまり悪用者は第三者のTwitterカードを表示させながら自身の意図するページに閲覧者を誘導することができる これはフィッシングの手法になりうる 見つけたツイート 以下のツイートはGoogle、Bloomberg、日経ビジネスのTwitterカードが添付されているがクリックするとそれらとは異なる情報商材サイトにジャンプする。リンク先に危険な仕組みはないと思われるがクリックは自己責任で。念を入れたい人は curl -L　で。 PCブラウザでカーソルを合わせてもXの短縮URLサービスであ

コロナ禍中に取得された地方自治体のドメインがオークションで高値売買され、中古ドメインとして悪用されるなど、公的機関のドメイン放棄問題が注目されています。 11月25日のNHKニュース7でドメイン流用の件が報じられました。私も取材を受け少しご協力をしています。 www3.nhk.or.jp 公的機関のドメイン放棄問題の理想の解決は、今後は lg.jp、go.jp などの公的機関しか使えないドメインだけを使うようにすることです。 ただ今回の問題はコロナ禍初期の大混乱時、非常にスピーディにサイト立ち上げが求められていた時の話です。 信頼が求められる lg.jp などのドメインの利用には厳格なルールがあるのも当然です。あの混乱時期にルール改定も難しかったと思います。新規ドメインが選ばれた事は仕方がない事と思っています。 ただ、コロナ禍が落ち着いた今、無責任に放棄されるのは明らかな問題です。 今回の

2023年11月9日、いなげやは同社一部店舗で掲示していたポスターなどに記載されたQRコードへアクセスした際、予期せぬ不正サイトに誘導する広告が表示され、クレジットカード情報が盗まれる被害が発生したと公表し注意を呼びかけました。ここでは関連する情報をまとめます。 短縮URLサービス中の広告表示を起因とした事案か いなげやはネットスーパーの入会案内として、入会用サイトへアクセスさせるため店頭展示していたポスターや配布していたチラシにQRコードを掲載していた。このQRコードを読み込んだ際に、予期せぬ不正なサイトに誘導する広告が表示される場合があり、今回この不正なサイトを通じてクレジットカード情報を盗まれる事案が発生したとして顧客に対して注意を呼び掛けた。また万一クレジットカード情報を誤って入力するなどしてしまった際はカード会社に連絡を取るようあわせて案内を行っている。*1 同社が公表した資料中

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? ゴールデンウィークのはじめ（4月29日）に投稿された以下のツイートですが、5月7日20時において、1,938.8万件の表示ということで、非常に注目されていることが分かります。 我が名はアシタカ！スタバのFreeWi-Fiを使いながら会社の機密情報を扱う仕事をしてたら全部抜かれた。どうすればよい！ pic.twitter.com/e26L1Bj32Z — スタバでMacを開くエンジニア (@MacopeninSUTABA) April 29, 2023 これに対して、私は以下のようにツイートしましたが、 これ入社試験の問題にしようかな。『