国内外のセキュリティ組織やセキュリティ会社は2013年1月11日以降、Javaの実行・開発環境である「Java 7」に新たな脆弱性が見つかり、攻撃に悪用されているとして注意を呼びかけている。対策は、脆弱性を修正した「Java 7 Update 11」にアップデートすること。セキュリティ組織の米US-CERTなどでは、WebブラウザーでJavaを無効にすることも勧めている。 今回脆弱性が見つかったソフトウエアは、プログラミング言語JavaのプラットフォームであるJava 7 Update 10およびそれ以前。 具体的には、Javaで作成されたアプレットやアプリケーションの実行環境であるJava SE Runtime Environment（JRE 7）、それらの開発環境であるJava SE Development Kit（JDK 7）、JREやJDKなどをまとめたパッケージであるJava P

「Amazonはアメリカの会社なので東京リージョンもパトリオット法の対象内です」 今月3月2日に、日本国内のデータセンターとして「東京リージョン」の稼働を発表したAmazonクラウド。その東京リージョンは米パトリオット法の対象内であることを、アマゾン ウェブ サービス ジャパンの小島英揮（おじまひでき）氏が、3月4日に行われたJapan AWS User Group（JAWS）主催の「JAWS-UGサミット2011春」で、参加者の質問に答える形で明らかにしました。 パトリオット法によるデータセンターのリスクとは パトリオット法は、米国内外のテロリズムと戦うことを目的とした米国の法律です。2001年に米国で発生した同時多発テロ事件後に、捜査機関の権限を拡大する法律として成立しました。 情報通信の分野についての主な点は、電話回線の傍受に加えてISPにおける通信傍受も可能となり、捜査令状により電

2月10日（水）から公開が開始されたGoogle版Twitterとも言えるサービス「Google バズ」ですが、このサービス上でコメントした内容に、意図せず本名が表示されてしまうケースが多く発生しているようです。 モバイル端末からのつぶやきには位置情報も付与されるようになっているため、場合によっては自分の名前と住所を公開してしまうことになりかねず、この点が物議を醸したのを察したためか、Google Japan Blogでも注意勧告とも取れる内容が更新されています。 詳細は以下から。Google Japan Blog: Google バズ を快適にお使いいただくために Google Buzz(バズ)とは、Googleのアカウントからコメントをリアルタイムで投稿できる、いわば「Google版Twitter」とも言えるサービスです。Gmailとの連携によって、登録しているアドレスの中でGmail

Webサイトの改ざんとGumblarウイルスへの感染被害が急増し、JPCERT/CCやセキュリティ各社がユーザーやサイト管理へ対策の早期実施を呼び掛けた。 Webサイトの改ざんと、改ざんされたサイトで閲覧者がマルウェア「Gumblar」（別名Geno、JS-Redirなど）に感染する被害が急増している問題で、JPCERTコーディネーションセンター（JPCERT/CC）やセキュリティ企業が1月7日、ユーザーやサイト管理へ対策の早期実施を呼び掛けた。 Gumblarが関係するとみられるWebサイトの改ざん被害は、2009年春ごろから継続しているが、同年10月下旬から急増。年末年始の長期休暇後に鉄道や流通、メーカーなどの大企業サイトでも相次いで改ざんが見つかり、深刻な問題になっている。 セキュリティ企業によれば、Webサイトの改ざんはSQLインジェクション攻撃をはじめとするさまざまな方法で攻撃者

マイクロブログTwitterのアカウントが不正目的で大量に登録され、偽ウイルス対策ソフトの宣伝に使われているという。セキュリティ企業のF-SecureやSophosがブログで伝えた。 それによると、不正アカウントは英語やドイツ語などのさまざまなユーザー名で登録されており、Twitterトレンドや正規ユーザーのつぶやきなどから拾い出したキーワードを使って自動的につぶやきを投稿している。 つぶやきにはURL短縮サービスを使ったリンクが添えられており、クリックすると不正サイトに誘導。「あなたのコンピュータはウイルスに感染しています」といった虚偽の情報で脅して偽ウイルス対策ソフトの購入を迫り、金銭をだまし取ったり、トロイの木馬などの不正プログラムをばらまこうとしたりする。 これとは別にSophosは、Twitterユーザーのアカウントに「rofl is this you on here?」（ここに

Twitterをやっている方の中、鳥達に吊られているクジラのイラストを見たことがあって、下記のイラストを見たことがない方が多いのではないでしょうか。 tweetme （注：アカウント停止が解除になったため、上のイラストは出なくなりました） 現在、私のTwitterアカウント(@omowaku)をアクセスすると、この写真が出ます。アカウントをプロテクトしたわけではなく、８月３０日からアカウントがTwitter社より停止（suspend）されたのです。ログインができていて、TLも表示されるが、つぶやき、フォロー、アンフォロー、設定変更など他の操作は一切できない状態になっている。つまりつぶやく自由がなくなっている。 突然のできことだったのでちょっとびっくり。Twitterのログイン画面に、「This account is currently suspended and is being inve

Twitterのサードパーティーアプリケーションにまつわる深刻な脆弱性情報が英国のブログに掲載された。 Twitterには深刻な脆弱性があり、ユーザーが特定のつぶやきを見ただけでアカウントを乗っ取られてしまう恐れがある――。英国のSEO情報ブログにそんな情報が掲載された。 この情報は、SEOサービスの専門家デビッド・ネイラー氏のブログに8月25～26日に掲載された。それによると、脆弱性はサードパーティーのアプリケーションに起因する。Twitterのつぶやきは、例えばTweetDeck、TwitterFox、HootSuiteといった専用アプリケーションから投稿することもでき、この場合は使われたアプリケーション名がつぶやきの下に表示される。 しかしこの部分は、外部のアプリケーション開発者がTwitterのフォームに入力した内容がそのまま反映され、例えばHTMLコードやJavaScriptのs

米研究チームの発表によると、Adobe Flashを使ってネット上のユーザーの行動をひそかに追跡し続けるサイトが増えているという。 Adobe Flashを使ってネット上のユーザーの行動を追跡し続ける「秘密cookie」を利用するサイトが増えているという。米カリフォルニア大学バークリー校などの研究チームがこのほど論文を発表した。 「Flash cookie」は通常のcookieとは異なり、ブラウザのセキュリティ設定ではコントロールできないという。研究チームが大手サイトによる同cookieの利用実態について調べたところ、調査対象としたサイトの半数以上がFlash cookieを使ってユーザー情報を保存していることが判明した。 中にはユーザーが削除したHTTP cookieを、Flash cookieを使って復活させているケースもあった。しかしその存在についてはサイトのプライバシーポリシーでも

昨夜から今朝にかけて、TwitterでMobsterWorldというゲームの招待がDMで送られてきた。あまり普段DMでやりとりをするような人からではなかったので、ほうっておいたのだが、招待に応じると、自分のTwitterアカウントを使って、DMを送るようなものだったらしい。詳しくは以下のITmediaの記事を参照。 TwitterでスパムDMが出回っている。DMに書かれたURLのページでボタンをクリックすると、同じDMをフォロワーに送り付けるという仕組み。 ITmedia: TwitterでスパムDM出回るフォロワーに自動でDM送りつけ これは、OAuthを利用して、正規の手続きを経て、Twitterのアカウントを利用しているものだ。詳しくは、以下のまちゅダイアリーを参照。 これはウイルスや脆弱性じゃなくて、OAuthという仕組みを見事に悪用している。 OAuth詐欺とでも言えばいいのか。

Twitterで8月1日ごろから、スパムDM（ダイレクトメッセージ）が出回っている。DMに書かれたURLのページにアクセスし、ボタンをクリックすると、同じDMを自動でフォロワーに送り付けるという仕組み。ITmedia Newsのアカウントにも数通届いており、日本のユーザーも被害にあっている。 DMとは、2人のユーザー間でやりとりできるメッセージ機能。通常の投稿「つぶやき」（Tweet）と異なり、内容は送ったユーザーと受け取ったユーザーしか見られず、相手が自分をフォローしていないと送れない。スパムDMも、見知らぬアカウントではなくフォローしているアカウントから送られてくるため、内容を信頼し、書かれたURLを思わずクリックしてしまう人が多いようだ。 スパムDMは英文で、「has sent you a FREE GIFT to join MobsterWorld. Accept you free

犯罪科学の専門家で「iPhone」の開発者でもある人物によると、「iPhone 3GS」の暗号化機能はあまりにも簡単に解読できるため、クレジットカード番号や社会保障番号のような重要な個人データの保護という観点から見れば、実質的には「機能していない」という。 「わたしたち（開発者）の中で、これほど不完全に実装された暗号化を見たことのある人はいないと私は思う。それがセキュリティにとって非常に大きな脅威である理由を説明するのが難しいのは、そのためだ」とJonathan Zdziarski氏はWiredに話した。 Zdziarski氏によると、iPhone 3GSへの物理的なアクセスが可能で無料のソフトウェアがあれば、2分以内でデータを、約45分でRAWディスク全体のイメージを抽出することが可能だという。抽出が始まると、iPhoneは自らデータを復号化する、とZdziarski氏は動画デモの中で説

電子メールセキュリティプロバイダーのMessageLabsは米国時間7月7日、短縮されたウェブアドレスを含むスパムメールの急激な増加を確認したと述べた。これにより、短縮URLによる脅威の増大がまたしても裏付けられた。 スパマーは短縮URLを使うことで、実際のウェブアドレスをウェブユーザーから隠すことができる。短縮URLは、メッセージの文字数が限られているTwitterのようなソーシャルメディアサイトでよく使用される。MessageLabsによれば、短縮URLは先週、急激に増え始め、今では同社のスパムトラップに引っ掛かるスパムの2％以上で短縮URLが使用されているという。 「こうした性質の急増が発生したときは、多くの場合、スパマーがこれらの短いURLを自動生成する何らかの手段を発見したことを示している」とMessageLabsの上級アンチスパムテクノロジストであるMatt Sergeant氏

個人情報を適切に扱っているWebサイトを示す「プライバシーマーク」が勝手に使われているので気をつけてほしいと、プラバシーマークの発行元、財団法人日本情報処理開発協会のプライバシーマーク事務局が「【ご注意】プライバシーマーク（ロゴ）の不正使用について」というWebページで伝えています。 不正使用をしているサイトは複数にあり、いくつかは閉じられたようですが、6月22日現在でもまだ1つが存在することを確認できます。 不正使用の手口は単純で、画像のプライバシーマークをコピーしてWebサイトに貼っているだけ。誰にでもできる簡単な方法です。 しかし問題なのは、こうして不正使用されて貼ってあるプライバシーマークと、正規に取得されたプライバシーマークを、一般の利用者が見分けることは困難だという点です。 正しいプライバシーマークの見分け方 プライバシーマークは正規に取得した企業や団体ごとに、認定番号入りで配