ぶいすぽっ！のGoogle Formからの個人情報流出した件でGoogle Formの共有の仕様について調べてたけどこれは仕様としてまずいというか不親切だと思うので共有する。 まず大前提として編集の共有を行う場合は「リンクを知っている全員」にしてはいけません。 編集用URLhttps://docs.google.com/forms/d/ランダムな文字列A/edit 回答用URLhttps://docs.google.com/forms/d/e/ランダムな文字列B/viewform 共有設定が「制限付き」の状態ではもちろん権限がないと編集用URLにアクセしても編集画面は開けない。 その場合、回答フォームにリダイレクトされるのだがその時のURLがこれ。 https://docs.google.com/forms/d/ランダムな文字列A/viewform?edit_requested=true

はじめに こんにちは、サイボウズ24卒の@yuasaです。 サイボウズでは開発・運用系チームに所属する予定の新卒社員が研修の一環として、2週間を1タームとして3チームの体験に行きます。新卒社員の私が生産性向上チームの体験に行った際に、チーム内でGitHub Actionsを利用する際の脅威と対策について調査を行い、ドキュメント化した上で社内への共有を行いました。本記事では、そのドキュメントの一部を公開します。 対象読者 本記事の主な対象読者としては、以下のような方を想定しています。 GitHub Actionsを組織で利用しているが、特にセキュリティ対策を実施していない方 GitHub Actionsを組織で利用しており、部分的にセキュリティ対策を実施しているが、対策が十分かどうか分からない方 本記事がGitHub Actionsのセキュリティ対策を検討する上で参考になれば幸いです。 本記

開かれたインターネットを目指すソフトウェアエンジニアらによって組織された非営利団体・Open Web Advocacy(OWA)が、ユーザーの目が届かない場所でセキュリティやプライバシーを大きなリスクにさらすアプリ内ブラウザについて提言しました。 In-App Browsers: The worst erosion of user choice you haven't heard of - Open Web Advocacy https://open-web-advocacy.org/blog/in-app-browsers-the-worst-erosion-of-user-choice-you-havent-heard-of/ 以下のムービーでは、OWAが危惧しているアプリ内ブラウザの問題点がアニメーションでわかりやすく解説されています。 Open Web Advocacy - In-

連日さまざまなサイバーセキュリティ犯罪のニュースが報じられる中、いまだに日本のセキュリティレベルは高いとは言えない状況にあります。一方で、企業がサイバーセキュリティ対策を進める上では、人材不足や経営層の意識・関心、コスト、導入による利便性の低下など、さまざまな壁が立ちはだかっています。 そこで今回は、株式会社網屋が主催する「Security BLAZE 2023」より、サイバーセキュリティのエキスパートによる講演をお届けします。本記事では、米金融大手で1億人以上の個人情報が漏えいした事件の背景をひもときながら、問題点とセキュリティ対策のポイントを解説します。 Webセキュリティの第一人者が語る、個人情報流出事件の裏側 徳丸浩氏：ただいまご紹介いただきました、EGセキュアソリューションズの徳丸でございます。本日は「米国金融機関を襲った個人情報大規模流出事件の真相」というテーマでお話をさせてい

容量を偽装した偽物の大容量USBメモリを検出するフリーソフト・アプリ『ValiDrive』が登場しました。 『ValiDrive』がどういったものか、制作者のGibson Research Corporationは以下のように述べています。 私は格安で売られていた1TBおよび2TBのUSBメモリを12台購入しました。しかし、そのすべてが容量を偽装した偽物でした。 偽物のUSBメモリはPC上では1TBおよび2TBとして認識されます。しかし、実際には64GBしかありませんでした。使用量が64GBを超えると、新しいファイルは保存されなくなります。PC上ではファイルが存在するように見えますが、ストレージ上には存在しないためファイルを開いても中身は空っぽです。 ValiDriveは、こういった容量を偽装したUSBメモリを見分けるために、ストレージスペース全体にわたってランダムな検査を実行します。 購

JPCERT/CCと情報処理推進機構（IPA）は2月10日、NECが提供する「PC設定ツール」に認証欠如の脆弱性があると報告した。同ツールはNEC製のPC（Mate/VersaPro）に工場出荷時点からインストールされているアプリケーションで、悪用されると管理者権限でレジストリを書き換えられる可能性があるとしている。 認証欠如の脆弱性が見つかった。影響度を示すCVSS v3のスコアは8.8（HIGH）。管理者権限を持たないユーザーに、OSやソフトウェアの基本的な設定情報が保存されているレジストリを変更される可能性がある。 NECは同日、公式Webサイトのセキュリティ情報を更新。アップデート方法を案内している。指示に沿ってツールのアップデートをすることで対処できる。 関連記事 それでも「PPAP」を使い続ける国内企業はどのくらい？　有害と知りつつ使う企業も、そのワケは 東京大学などの研究チー

2018年以降にAppleが発売したMacBookやiMacには、セキュリティを向上させるための「T2」チップや、T2チップの機能を組み込んだM1・M2チップが搭載されています。このT2チップのセキュリティ機能が強固すぎることから、中古業者では「古いApple製マシンをアクティベートできず、ジャンク品として扱うしかない」という状況が発生しています。 Perfectly Good MacBooks From 2020 Are Being Sold for Scrap Because of Activation Lock https://www.vice.com/en/article/xgybq7/apple-macbook-activation-lock-right-to-repair T2チップはAppleが独自に開発したセキュリティチップで、ストレージ全体の暗号化やTouch IDに関す

米Microsoftは4月27日（現地時間）、ロシアとウクライナの「ハイブリッド戦争」におけるロシアのサイバー攻撃の実態についてのレポートを公開した。レポート公開は「民間人の生活や重要なサービスに直接影響を与える可能性のある攻撃から民間人を保護することに焦点を当てている」としている。 Microsoftによると、ロシアは2月24日のウクライナへの侵攻の前から破壊的な攻撃を含む何百ものサイバー攻撃作戦を実行してきたという。こうした攻撃は、ウクライナの政府と軍を機能不全にし、ウクライナ国民の信頼を損なうことを目指していると同社は指摘する。 レポートによると、ウクライナ侵攻の直前から、ロシア政府に関連するとみられる6人の攻撃者が、ウクライナに対して少なくとも237回の作戦を実行した。そのうち約40件は、ウクライナの数十の組織にわたる数百のシステムファイルを消し去る破壊的な攻撃だった。 また、サイ

メールで感染を広げるマルウエア（悪意のあるプログラム）「Emotet（エモテット）」が国内で猛威を振るっている。セキュリティー組織のJPCERTコーディネーションセンター（JPCERT/CC）は2月上旬、Emotetのメール送信に悪用されている可能性があるメールアドレス数が急増しているとして注意を呼びかけた。セキュリティーに関する相談を受け付けている情報処理推進機構（IPA）も、Emotet

みずほ銀行で2021年8月20日、営業店の窓口業務が全面停止するトラブルが発生した。前日の19日午後8時53分ごろに営業店端末と勘定系システムをつなぐサブシステムで、データベース（DB）サーバーがディスク装置の故障をきっかけに停止したためだ。待機系DBサーバーへの切り替えも失敗、副データセンター（DC）に処理を切り替えた。副DCへの切り替えに着手するまで11時間超を要し、業務開始に間に合わなかった。 みずほ銀行で2021年8月20日、全463店舗で営業店端末や店頭のタブレット端末が使用不能になった。午前9時の開店から午前9時45分までは全ての店頭取引ができなくなり、その後も午前11時58分まで融資や外国為替（外為）の一部取引ができなくなった。営業店端末などと勘定系システム「MINORI」をつなぐサブシステム「業務チャネル統合基盤」が前日の8月19日午後8時53分ごろに停止したためだ。 業務

世界中でランサムウエア（身代金要求型ウイルス）攻撃の被害が相次いでいる。理由の1つが「RaaS（ランサムウエア・アズ・ア・サービス）」の存在である。RaaSはランサムウエア攻撃を支援するクラウドサービス。RaaSを利用すれば、手間をかけずにランサムウエア攻撃を仕掛けられる。2021年8月、このRaaSを巡ってある事件が発生した。大手RaaSが利用者に提供している攻撃マニュアルが流出したのだ。「

SolarWinds襲ったサプライチェーン攻撃2020年12月、ネットワーク管理製品の SolarWinds Orion プラットフォームを狙ったサプライチェーン攻撃が発覚しました(*1)。国内外で大きく報道されたこの攻撃では、多くの米国の政府機関や民間企業のネットワークが被害を受けたとされています。 2021年5月にニュースで話題となったメルカリのデータ流出に影響を与えたとされる、コードカバレッジツール「Codecov」への不正アクセスも、サプライチェーン攻撃の一種と言えます（*2）。 米CISAとNISTの資料2021年4月26日、米国の政府機関であるCISAとNISTは、 ソフトウェアサプライチェーン攻撃の概要と対策をまとめた資料 「Defending Against Software Supply Chain Attacks」 （訳：ソフトウェアサプライチェーン攻撃に備える） を、

通信アプリ大手のLINEが、データの保管やアクセスについて官庁や自治体などに対し「データは日本に閉じている」などと、実態と異なる説明をしていたことがわかりました。親会社が設けた有識者委員会では今後、具体的な再発防止策を検討するとしています。 LINEでは利用者の個人情報などを中国からアクセスできる状態にしていたほか韓国で情報を管理していたことが明らかになり、ことし4月、監督体制や利用者への説明が十分ではなかったとして政府の個人情報保護委員会と総務省から行政指導を受けました。 この問題を検証するため、親会社のZホールディングスが設けた有識者による委員会は11日、第一次の調査結果を公表しました。 それによりますと、LINEは2013年から18年にかけてデータの保管やアクセスに関する対外的な説明の内容について検討し、「主要な個人情報は日本のデータセンターに保管」などとしたうえで、官庁や自治体など