結果から先に書くと、即答に近い形で個人情報が漏れた。購買情報に関しては聞いてもないのに勝手に教えてくれた。 予想より反響が大きかったので文末にgmailを使った対策を追記した。 なお、米Amazonと同様、数日遅れて問い合わせ内容についてのメールが来たので追記しました。 Amazonのカスタマーサービス経由でアカウント情報が流出したことが判明 - GIGAZINE http://gigazine.net/news/20160125-amazon-customer-service-backdoor/ こーんな記事があったものだから、嘘くせえと思って実際に（英語めんどくさいので日本の）カスタマーサービスにチャットで問い合わせてみた。いうまでもなく、ソーシャル・エンジニアリングはクラックの基本である。セキュリティにうるさいAmazon社がこんなにザルなわけがないと思ったからだ。 なお、ニセの住所

「LINEヤフーDesign 公式note」 LINEヤフー株式会社のデザインに関連するさまざまな情報を発信するLINEヤフーDesign 公式noteです。

Insecamというおかしなサイトが話題。世界中の無防備なWebカメラを覗き見ることができる。 メニューから「メーカー」「国」「場所」を選べる仕様 http://www.insecam.org/ （自己責任で） 日本ではPanasonic製のカメラが覗き見られているもよう。中には銭湯の脱衣所などもあり、セキュリティー意識の低さが物議に。 Insecamというおかしなサイトが、世界中の無防備なWebカメラ73000台を表示できる、と豪語している。 その多くはCCTVやシンプルなIPカメラだが、それらに共通しているのは、一般的にアクセス可能なネットワークポートへストリーミングされていることと、デフォルトのパスワードをそのまま使っていることだ。だから誰でも、Webをクロールするロボットなどを使って、単純に”admin/admin”とタイプし、そのストリームにアクセスできる。 わざわざ弱いパスワー

WACULとロードスターキャピタルの社外取締役の舩木真由美さん、タイミー広報ネキの炎上を擁護したせいで有価証券報告書の経歴不一致を掘られて「雉も鳴かずば撃たれまい」状態になる

セキュリティ事故ってもう日常茶飯事で、萎縮ムードは常識化してる。 大きな組織になればなるほど、もう社員のことは信用しない。 それってSIerが死にゆく理由だと感じてしょうがない。 社員さんよ、「信用してないけど結果残せ」って言われてる感じじゃない？ それってちゃちな話じゃない。 例えば、DropBoxが使えないからリアルタイムな情報共有ができないとか 社外とのGitのやり取りができないから、ソースの共有で手間食うとかそれだけの話じゃない。 SIerが「IT企業」の枠にいるくせに 「情報技術には保守的です」って言ってるってことで 「医者だけど、医術は信じてません。まじないで病を直します」って言ってるような感覚を受ける。 IT業界と言ってるくせに、情報を扱う姿勢が保守ってどう？ 例えば以下３つの事例はなぜ毎年おこるのか？ 1.　セキュリティーカード紛失によるセキュリティー事故 もう1５年も同じ

出会い系サイト運営者と繋がりのある方より直接話を聞くことができました。 文才がないながらも出来るだけ当事者側からの目線で解説したいと思います。 先に言いますが、本件は出会い系サイト自身が被害者でもありますので、「出会い系サイトなんて全部サクラサイトだろ?」みたいな先入観をお持ちの方は一旦捨てて頂くと理解しやすいかと思います。真っ当に運営されている出会い系サイトが被害者です。 まず流出したであろう情報とは何なのか?「残高照会ダイヤル」は、契約者が持つ口座の残高や、通帳に「印字されうる」取引明細も音声で知ることができます。例えば 「27-11-27 振込 フグタマスオ *30,000」 「27-11-30 振込 イソノカツオ *10,000」 このような入出金の取引を、音声で知ることができます。 もちろん契約者(契約団体)自身しかアクセスできないはずの情報なわけですが、この残高照会ダイヤルの操

出張中、平成27年国勢調査の「インターネット回答の利用案内」という封書を妻が受け取っていました。 そろそろ来る頃だと知っていたので、来た時にはきちんと「国勢調査員証」を確認するように言っていたのですが、我が家を担当されている調査員の方はしっかりとした方だったようで、自ら「国勢調査員証」を提示され封書を手渡されたとのこと。 ただ、この封書って中に調査対象者IDと初期パスワードを記載した用紙が入っているにも関わらず、封印されていないんですね。 用紙の下部には以下のように書いてあります。 ※この利用者情報は、配付された世帯でのみご使用ください。また、第三者に渡らないように取扱いなどには十分ご注意ください。 ※本誌は、セキュリティ確保のため、原則、再発行いたしません。 調査対象者ＩＤは、回答内容の確認や修正を行うための再ログインの際に必要となります。 このような注意喚起をするのであれば、IDやパス

Androidスマートフォンのロック解除方法としてPINコードやパスワードなどと共に「パターンロック」がよく使われています。しかし、パターンロックの統計データに基づく分析結果から、性別ごとに好まれやすいパターンロック形状や、万人に選ばれやすいパターンロック形状、理由は不明ながら避けられやすいパターンロックの長さなど、パターンロックの選ばれ方には特徴があることが分かっています。 New data uncovers the surprising predictability of Android lock patterns | Ars Technica http://arstechnica.com/security/2015/08/new-data-uncovers-the-surprising-predictability-of-android-lock-patterns/ ノルウェー科学技

Editor's Notes・ChatWork でWebフロントエンドを担当 ブラウザ上で動くScalaを書いてます。 基本的にセキュリティとの関わりは趣味の範疇。MixiさんからAmazonギフト券もらったくらいの経験 ・きっかけは「趣味と実益のスタック破壊」 これは「いかに対象のコード上でバッファオーバーフローやヒープオーバーフローを起こすか」という視点で書かれた文書。非常に面白かった すでにサイトからは消えていてWebArchivesでのみ読める 「セキュリティが趣味になる」ということを知ったのは衝撃だった ・セキュリティ関係での活動はApplicationCache poisoningが主 ApplicationCache poisoningはけっこう昔から一般的に言われていることなので取り立てて言う話ではない DNS関係も好き今までセキュリティとは開発とは別に考えられていた。 現

海外旅行に出掛けると、各国の空港や港湾で税関の手続きがあります。課税対象の荷物を持っていないか、あるいは輸出入禁止のアイテムを携帯していないかなどを実際にチェックされた経験のある人も少なくないはずです。 ただこの税関の手続き、甘く見ない方がいいかもしれません。何も知らずに禁止のお土産を旅先に持ち込んで、罰金を払わされたり没収されたりするケースもあります。最悪の場合は逮捕されてしまうかも・・・。 そこで今回は外務省などの情報を基に、海外旅行の際に持ち運びに注意したいアイテムをまとめました。 1：楽器 プロの演奏家が数千万円する高額な楽器をドイツの空港で没収されたというトラブルがありました。有名な話なのでご存じの方も少なくないと思いますが、プロの演奏目的でなくても、高額な楽器の場合は申告をしないと、密輸などの疑いで没収をされてしまうケースもあるとか・・・。 自慢の名器を持って旅先を周り、ホ

スマートフォン、タブレットといったスマートデバイスは、当たり前のものとなった。個人利用が先行してきたこれらのデバイスは、今、企業においても急速に導入が進んでいる。スマートデバイスの企業利用を考える時、情報システムへのアクセスの主役は、無線LANになるだろう。 機密情報が日常的にやり取りされる企業業務において、無線LANにはしっかりとしたセキュリティレベルが求められる。そこで、本稿では無線LANのセキュリティのポイントについて改めて解説していきたい。 主な無線LANのセキュリティリスク 無線LANに対する主なセキュリティ上のリスクとしては、以下が挙げられる。 データの盗聴 不正侵入 無線LANのセキュリティリスクとして、まず、思い浮かべるのはデータの盗聴だろう。無線LANの電波は空気中に拡散する。その電波を傍受することで無線LAN上を流れている情報を記録しておくことができる。有線LANに比べ

Androidスマートフォンにインストールすることで持ち主のLINEメッセージなどを第三者が読み取ることも可能なソフトが日本で市販されているとして、セキュリティ会社が注意を呼び掛けている。販売元はスマホの盗難・紛失対策をうたい、「他人のスマホに無断インストールするとプライバシー侵害になる」と警告しているが、セキュリティ会社はこうしたソフトが企業の端末に密かに仕込まれた場合などには「深刻なセキュリティリスクになる」と指摘している。 セキュリティ会社の米Lookoutによると、このソフトは「AndroidAnalyzer」「Androidアナライザー」という名称で販売されている。同社の分析によると、モバイル遠隔操作型のトロイの木馬（mRAT: Mobile remote access trojans）である「AndroRAT」を使用して開発されたとみられるという。 このソフトがインストールされ

このところのウイルス感染被害の報道では、外部の機関からの通報等によって初めて感染に気づかされるケースがほとんどです。こうしたことから「自組織においても感染に気が付かないまま、潜伏されているのでは」との懸念が高まっているものと考えられます。IPAでは6月1日の公的機関からの個人情報漏洩の報道を受け、対策と運用管理に関する注意喚起を6月2日（*1）、6月10日（*2）に行っています。本日の注意喚起では、“検知をすり抜けて侵入してしまったウイルスによる感染”の検査を推奨する目的で、端末内に潜伏するウイルスの有無を確認するための情報とノウハウを公開します。 たとえ組織内全ての端末検査は困難でも、業務で外部からのメールを頻繁に受け付けていて、“組織内への感染の突破口となり得る”部署の端末など、優先順位の高い端末から、可能な限り検査を進めることを推奨します。 標的型攻撃メールを使った攻撃は、(1)メー

新しいゲームが出たというので、面白そうだから登録しておいたんですけど、今日になってメールが来たんでダウンロードしてみたんですよ。 そしたら、プロフィールはともかくタイムラインとかフレンドとかの情報を取ろうとするんです。何で？　こっちはゲームがしたいだけなんですよね。なんで「タイムラインの投稿」とか欲しがるの？　気持ち悪いじゃないですか。友達情報とか。やめてくださいやめてください。LINEが知りたくなるような興味深い友達とかいませんよ。 で、お断りするとゲーム本編が始められないわけです。なんでだよ。友達だのタイムラインだのゲームやるのに関係ないだろ。どうしてそんな情報を欲しがるんですか。タイムラインなんて家族ぐらいしか見てねえし、使ってねえよ。中身だって「少し黄色めのうんこがでました」とかそういう内容ばっかりなんですよね。そんなの完全にプライベートですよね。黄色いうんこなんて。LINEはどう

伊藤ロマ@金魚 @kingyo_roma 私は元ストーカーでございます。ストーキングしたいわけじゃないんだけどストーキング以外に愛情表現わかんない☆っていうたちの悪いストーカーでした。過去ね、過去。 住所とか職場とか電話番号とか家族構成寝る時間好きなもの、全部調べるの得意です。 で、昨日の夜ふと思い立った。 2015-06-20 12:51:56 伊藤ロマ@金魚 @kingyo_roma 絡みがあるわけではないけど、TLでたまに見かける人で、子供の写真を思いっきり晒してる人がいて… この人のこと、インターネットだけを使って、どれだけ調べられるかなぁ？と、試してみました。 結果… 2015-06-20 12:53:54 伊藤ロマ@金魚 @kingyo_roma 以下のことを、インターネットのみで特定することに成功しました。 ・本人と子供の本名 ・住所 ・電話番号 ・子供が取り組んでいるスポー