ガスや水道を手掛ける51事業者の顧客情報416万件に漏洩の恐れが判明した。業務を受託していた東京ガスの子会社が不正アクセスを受けたためだ。システム運用に必要な業務のために集めた個人データが被害を受けた。攻撃者は当該データへのアクセス権限を持つ従業員の情報を窃取。VPN（仮想私設網）装置を経由して社内サーバーに侵入したと見られる。 「お客さまの情報が外部から閲覧できる状態になっていたことが判明しました」――。 2024年7月以降、都市ガスや水道事業を手掛ける全国の企業や地方自治体が相次いでこのような謝罪と対応に追われた。発端となったのは、東京ガス子会社の東京ガスエンジニアリングソリューションズ（TGES）で発生した不正アクセスだ。 この一件が、同社にガス管や水道管を管理する一部業務を委託していた事業者に飛び火。各事業者の顧客情報が漏洩した可能性が浮上した。 例えば、千葉県でガスを供給する京葉

Chrome、FireFox、Safariといった主要ブラウザにおけるIPアドレス「0.0.0.0」の扱い方に問題があり、問題を悪用することで攻撃者が攻撃対象のローカル環境にアクセスできることが明らかになりました。問題を発見したセキュリティ企業のOligo Securityは、この脆弱(ぜいじゃく)性を「0.0.0.0 Day」と名付けて注意喚起しています。 0.0.0.0 Day: Exploiting Localhost APIs From the Browser | Oligo Security https://www.oligo.security/blog/0-0-0-0-day-exploiting-localhost-apis-from-the-browser Oligo Securityによると、主要なブラウザでは「『0.0.0.0』へのアクセスを『localhost (12

KADOKAWAサイバー攻撃、流出個人情報は25万人分　ニコニコユーザーは無事　端緒は従業員アカウントの漏えい KADOKAWAは8月5日、6月上旬に受けた大規模なサイバー攻撃により漏えいした情報の詳細について、社外のセキュリティ企業よる調査結果を発表した。 漏えいした個人情報は25万4241人分で、ドワンゴの全従業員や一部の取引先、N中等部・N高等学校などの在校生・卒業生の一部などが含まれていた。「ニコニコ」ユーザーのアカウント情報の漏えいは確認していないという。 攻撃の標的は、ニコニコを中心としたサービス群。「フィッシングなどの攻撃により、従業員のアカウント情報が窃取され、社内ネットワークに侵入されたことで、ランサムウエアの実行と個人情報の漏えいにつながった」とみている。従業員のアカウント情報が窃取された経路や手法は「現時点では不明」としている。 流出した個人情報 流出を確認した25万

🍪🍺 @cookieandbeer 国際犯罪の被害に遭いかけたので注意喚起です！ 海外サイト(WeWorkRemotely)で良さげな案件を探していて、出会ったクライアントとビデオ通話した後「早速今の実装見てみてほしい」という話になりました。もう遅いし明日にして今日は飲むか〜と思っていたら「すぐチェックしてほしい」という連絡が pic.twitter.com/bRhXJkFEGX 2024-07-20 16:41:25 🍪🍺 @cookieandbeer しょうがないにゃあ…と思いつつまずは親の顔より見た setupTest.js を見るとそこには変わり果てた姿が…… 偶然昼までMarkdown書き物をしてたためVSCodeの折り返しを有効にしていたので気づきましたが、普段無効にしてるときだったらこんなふうに見えるので気づくのは難しそう pic.twitter.com/fbk3og

徳丸さん、こんにちは。 読売のような大手メディアのサイトでもサポート詐欺の偽警告が表示されるようになってしまいましたし、今の時代は広告ブロッカーが必須と考えたほうが安全なのでしょうか？ 徳丸が書いていないことを質問いただくことが時々ありますが、私が書いてないのは書きたくない理由があるから（単にめんどうくさいも含む）です。ですが、せっかく質問いただいたので、思うところを書いてみようと思います。 まず、私自身は広告ブロッカーを使っていないです。その理由は、広告ブロッカーには危険なものがある（原理的にあり得るし、過去にあった）からです。過去には、広告ブロッカーが元の開発者から売却され、マルウェア化した例が複数あります。具体例は示しませんが、検索するとすぐに見つけられると思います。 広告ブロッカーがマルウェア化すると、これらはブラウザアドオンの形で動くため、非常に強い権限があり、すべてのサイトの情

23新卒技術研修で実施したセキュリティ研修の講義資料です。 資料の利用について 公開している資料は勉強会や企業の研修などで自由にご利用頂いて大丈夫ですが、以下の形での利用だけご遠慮ください。 ・受講者から参加費や授業料などを集める形での利用（会場費や飲食費など…

日本国内においてランサムウェアの身代金支払いに関する議論が話題を集めている。ランサムウェア対策における身代金支払いの是非について有識者が見解を示した。 ヴィーム・ソフトウェアは2024年6月25日、同社のランサムウェアに関する年次グローバル調査レポート「2024 Ransomware Trends Report」の結果を解説する記者説明会を開催した。 2024 Ransomware Trends Reportは、日本も含むグローバルの企業で2023年に少なくとも1度はサイバー攻撃を受けたことがあるCISO（最高情報セキュリティ責任者）やセキュリティ専門家、バックアップ管理者のいずれかを務める1200人のITリーダーを対象に、ランサムウェアの影響や今後のIT戦略、データ保護イニシアチブに関する調査した結果をまとめたものだ。 国内ではKADOKAWAグループのランサムウェア被害が大きな話題を集

NewsPicks [ニューズピックス] @NewsPicks このアカウントでは、NewsPicksオリジナル記事・動画をはじめ、ビジネスのヒントとなるコンテンツを、毎日お届けします。 ※有料記事・動画は、下記のリンクから10日間無料トライアルに登録いただくことでご覧いただけます。 premium.newspicks.com/?utm_source=tw… NewsPicks [ニューズピックス] @NewsPicks 【極秘文書】ハッカーが要求する「身代金」の全容 newspicks.com/news/10160526/… NewsPicks編集部は、このハッカーから送られてきた脅迫メールと、それに応対するドワンゴ経営陣のやりとりを入手。 KADOKAWAが、流出データなどと引き換えに、17億円相当のビットコインを要求されている事実を突き止めた。 そして浮かび上がってきたのは、サービス

Publickeyのサーバは3月12日から14日にかけて何度もDoS攻撃を受けてダウンしていました。 その間、読者や広告を掲載いただいているお客様や代理店様にご不便やご心配をおかけし申し訳ありませんでした。 ひとまず現在までの状況と対応について報告したいと思います。 先に現状のみを報告すると、CloudflareのDDoS対策サービスを導入していまのところ平穏な状況を保っているため、このまま様子をみているところです。 関連記事 最終的にDDoS攻撃に効果を発揮した設定を下記記事で紹介しています。 続々、Publickeyが受けたDDoS攻撃。DDoS対策に効果を発揮した設定紹介編 DoS攻撃の発生時間帯 DoS攻撃とは、大量のトラフィックをWebサーバなどに浴びせることでサーバを応答不能にしてしまう攻撃のことです。 下図が3月12日から14日にかけてPublickeyのサーバに対して行われ

スマホでページを見ていると不快な画像を表示して強引に目を引こうとするような広告に加え、誤タップ狙いのスワイプ広告や、場違いのアダルト画像を使った広告、サポート詐欺ページへの誘導を目的とした悪質な広告を目にする機会が増えています。App Storeで2023年の有料iPhoneアプリランキング1位を獲得した実績を持つ広告ブロッカー「280blocker」は、スマートフォンにインストールするだけで、ブラウザの広告をことごとく非表示にすることが可能です。そんな280blockerを使うと、ブラウジングがどれほど快適になるのか確かめてみました。 「280blocker - 広告ブロック-コンテンツブロッカー」をApp Storeで https://apps.apple.com/jp/app/id1071235820 280blocker - Google Play のアプリ https://pla

こんにちは @zaru です。今回は昔からある CSRF (クロスサイト・リクエスト・フォージェリ) の今時の対策についてまとめてみました。もし、記事中に間違いがあれば @zaru まで DM もしくはメンションをください (セキュリティの細かい部分についての理解が乏しい…) 。 2022/08/29 : 徳丸さんからフィードバック頂いた内容を反映しました。徳丸さん、ありがとうございます！ 認証あり・なしで対策方法が違う点 トークン確認方式のデメリットのクロスドメインについての言及を削除、代わりに Cookie 改変リスクを追記 Cookie 改ざん可能性について徳丸さんの動画リンクを追記 SameSite 属性で防げない具体的なケースを追記 nginx 説明が関係なかったので削除 そもそも CSRF ってなに？ 昔からインターネットをやっている方であれば「ぼくはまちちゃん」 騒動と言えば

情報セキュリティ技術者の必携書がPython 3に対応して大幅改訂。本書ではPythonを使ったサイバー攻撃手法について解説します。基本的な通信プログラムからProxyやRawデータ、Webアプリケーションへの攻撃やトロイの木馬の動作、そしてフォレンジック手法やOSINTまで、攻撃者の実践手法から防御方法を学びます。日本語版オリジナルの巻末付録として「Slackボットを通じた命令の送受信」「OpenDirのダンプツール」「Twitter IoCクローラー」を追加収録しました。 賞賛の声 序文 訳者まえがき まえがき 1章　Python環境のセットアップ 1.1　Kali Linuxのインストール 1.2　Python3のセットアップ 1.3　IDEのインストール 1.4　コードの健全性 2章　通信プログラムの作成・基礎 2.1　Pythonによるネットワークプログラミング 2.2　TCPク

「『この訓練をされたら嫌だな、やられたくないな』と思っていたものが来た」──クラウド会計ソフトを提供するfreeeの佐々木大輔CEOは、同社が2021年10月に実施したクラウド障害訓練をこう振り返る。訓練では、社内チームがわざとAWS上のDBからデータを盗み出し、バックアップを消した上で、自社のCEOに社内SNSを通して身代金を要求。経営層を含め、全社で解決に向け対応した。 結局は数時間で解決できたものの、いくつか反省点もあったと佐々木CEO。全社を巻き込む訓練を通じ、freeeの経営層はどんな教訓を得られたのか。 特集：DXでリスク増大　経営層が知っておきたい情報セキュリティの課題と対策 デジタル庁の創設や印鑑・FAXの見直しなど、官民でDXが進んでいる。一方、DXによる利便性の拡大は常に情報セキュリティのリスクを伴う。そこでポイントになるのが、経営層や管理職によるセキュリティへの理解と

新卒向け研修資料「テスト文字列に”うんこ”と入れるな」を公開しました 代表の松井です。 弊社インフィニットループでは、近年「新卒ファースト」を合言葉に社内教育に力を入れています。 先日、主に新卒向け（それ以外の参加者も多くいましたが）に、「テスト文字列に”うんこ”と入れるな」という講義を行いましたので、その資料を公開します。 なぜ人は入力欄に「うんこ」と入れてしまうのでしょうか。 それはどういう経路で社外に漏れ、防ぐには何をすべきなのでしょうか。 タイトルはアレですが、内容は至って真面目に書いています。 悲しい事故を防ぐために「仕事中にはふざけないこと」など、新社会人に必要なメッセージを強く込めたつもりですので、ぜひ本資料をあなたの会社での研修にも役立てていただければと思います。 ツイート

シヤチハタは8月18日、ケンタウロスワークス、早稲田リーガルコモンズ法律事務所とともに、ブロックチェーンを利用した電子印鑑システム「NFT印鑑」を共同開発することで合意したと発表。シヤチハタが長年培ってきた電子印鑑に関わるノウハウをベースに、ケンタウロスワークスの持つブロックチェーン技術を取り入れ、早稲田リーガルコモンズ法律事務所の法的知見をもとに、さまざまな電子契約システム間で利用できるサービスとして提供するという。 NFT印鑑は、印影データをNFT化することで、印鑑保有者の情報と印影情報を結び付けた固有性を持つ電子印鑑。NFT印鑑が押印された電子文書には、印鑑保有者およびNFT化された印影の情報が刻印され、押印の記録は改ざん困難なブロックチェーンに記録されるため、「いつ、誰が、何に押印したのか」という、証拠を確実に残すことができる。押印された印影から押印者を証明するだけでなく、従来の電