タグ

関連タグで絞り込む (59)

タグの絞り込みを解除

securityに関するFalkyのブックマーク (125)

  • Twilio、「Authy」の多数の顧客電話番号流出を認めアプリ更新を呼び掛け


    クラウド電話APIを手掛ける米Twilioは7月1日︵現地時間︶、セキュリティ保護されていないAPIのエンドポイントにより、“脅威アクター”︵攻撃者︶が同社の多要素認証ツール﹁Authy﹂のユーザーの多数の電話番号を入手したことを確認したと発表した。﹁このエンドポイントを保護する措置を講じ、認証されていないリクエストを許可しないようにした﹂という。 Twilioはユーザーに対し、Authyのアプリをすぐに最新版︵Androidはv25.1.0、iOSはv26.1.0︶にアップデートするよう呼び掛けている。 この件については6月27日、ShinyHuntersとして知られる攻撃者がダークウェブ上で、Twilioをハッキングして入手したという約3300万人のユーザーの電話番号を含むCSVファイルを公開した。米BleepingComputerは、このファイルにAuthyのアカウントIDや電話番号
    Twilio、「Authy」の多数の顧客電話番号流出を認めアプリ更新を呼び掛け
    Falky
    Falky 2024/07/04
    わあ
    リンク

  • 「はじめて学ぶ最新サイバーセキュリティ講義」の監訳を担当しました


    日経BPから4月4日発売予定の﹃はじめて学ぶ最新サイバーセキュリティ講義　﹁都市伝説﹂と﹁誤解﹂を乗り越え、正しい知識と対策を身につける﹄の監訳を担当したので紹介させていただきます。 本書の原書は、ユージーン・H・スパフォード、レイ・メトカーフ、ジョサイヤ・ダイクストラの3名の共著として書かれた﹁Cybersecurity Myths and Misconceptions﹂で、米国Amazonのレビューでは4.6の高評価を得ています。また、﹁インターネットの父﹂ことヴィントン・サーフ氏が本書に前書きを寄せています︵後述︶。 はじめにサイバーセキュリティは、その短い歴史にも関わらず、神話や都市伝説に満ちています。古典的なものとして、本書の冒頭では、﹁ウイルス対策企業が自社製品を売るためにマルウェアを作って拡散した﹂が紹介されています。 本書は、このようなセキュリティの都市伝説や神話をとりあげ
    「はじめて学ぶ最新サイバーセキュリティ講義」の監訳を担当しました
    Falky
    Falky 2024/04/02
    おもしろそう
    リンク

  • 弊社サービスをご利用いただいているお客様への重要なご報告とお詫び - Workstyle Tech


    2024年3月29日 お客様各位 ワークスタイルテック株式会社 弊社サービスをご利用いただいているお客様への重要なご報告とお詫び このたび、弊社のサービス﹁WelcomeHR﹂におきまして、弊社のお客様の個人データが、限定された特定の条件下において外部から閲覧可能な状態にあり、これにより個人データが漏えいしていたことが判明いたしました︵以下﹁本件﹂といいます。︶。その内容と現在の状況について、下記のとおり、お知らせいたします。 お客様には大変ご心配をおかけする事態となりましたことを深くお詫び申し上げます。 1. 本件の概要 本来、お客様がストレージサーバーに保存するファイルの一覧は外部からアクセスできない仕様とすべきところ、当該サーバーのアクセス権限の誤設定により、閲覧可能な状態となっておりました。 当該誤設定により、ファイルの一覧の情報をもとに各ファイルをダウンロードすることも可能となっ
    Falky
    Falky 2024/03/30
    やば…。//社長の個人サイトとLinkedinで経歴見たが、かなり怪しいな。クソほど盛ってそう。//カオナビ傘下に入ったばかりと。子会社化が完了して、いざカオナビ側devsがコードやインフラ確認したら喫驚！って感じか…？
    リンク

  • 社内でのプロダクト脆弱性診断の方法、継続することで見つかる脆弱性の傾向の変化

    社内で脆弱性診断を行なっている理由や、どのように診断から修正までを行なっているか、また社内で脆弱性診断をやることでどのような変化が起きたかについて紹介します。

    社内でのプロダクト脆弱性診断の方法、継続することで見つかる脆弱性の傾向の変化

  • メタップスペイメントへの不正アクセス事件を考えてみた　その１（セキュリティコード） - Fox on Security


    決済代行会社のメタップスペイメント社から、ここ数年で最大のカード漏洩︵国内︶が発表されました。発表された内容を読むと下記の記事にある様に”やられ放題”と書かれても仕方が無い、基本セキュリティ対策の不備が含まれています。この不正アクセス事件について専門家の立場で考えてみます。 www.itmedia.co.jp 公式発表 ・不正アクセスによる情報流出に関するご報告とお詫び︵2/28︶[魚拓]　※第2報 ・不正アクセスに関するご報告とお詫び︵1/25︶[魚拓]　※第1報 ２. 不正アクセスおよび流出情報について 今回は決済情報等が格納されている3つのデータベースに対し不正アクセスがあり、それぞれから情報が流出いたしました。 ① トークン方式クレジットカード決済情報データベース 2021年10月14日から2022年1月25日に利用されたクレジットカード番号数︵括弧内は流出情報︶‥460,395件
    メタップスペイメントへの不正アクセス事件を考えてみた　その１（セキュリティコード） - Fox on Security
    Falky
    Falky 2023/09/08
    この記事なんで上がってこなかったんや、もったいない
    リンク

  • ソルト付きハッシュのソルトはどこに保存するのが一般的か - Qiita

    pictBLandとpictSQUAREに対する不正アクセスがあり、パスワードがソルトなしのMD5ハッシュで保存されていたことが話題になっています。 2023年8月16日に外部のフォーラムにpictSQUAREより窃取した情報と主張するデータ販売の取引を持ち掛ける投稿が行われた（中略）パスワードはMD5によるハッシュ化は行われているもののソルト付与は行われていなかったため、単純なパスワードが使用されていた29万4512件は元の文字列が判明していると投稿。（それ以外の26万8172件はまだMD5ハッシュ化されたままと説明。） 不正アクセスによるpictBLand、pictSQUAREの情報流出の可能性についてまとめてみた - piyolog より引用 これに関連してMD5ハッシュやソルトに関するツイート(post)を観察したところ、どうもソルトの理解が間違っている方が多いような気がしました。

    ソルト付きハッシュのソルトはどこに保存するのが一般的か - Qiita
    Falky
    Falky 2023/08/17
    絶対にありえない「ソルトは保存せず毎回ランダムに生成する」が23.3％もいるの笑ってしまった。どうやって照合すんねんｗ
    リンク

  • 新人の作ったWebアプリが穴だらけ!?　ログイン画面に潜むセキュリティの”あるある”ワナ

    ネット上で商売するのが当たり前な時代。自社でWebサイトやWebアプリを抱える企業も相当な数になっている。そこでインシデントが発生すれば信用、ブランド、収益……失うものは計り知れない。 本連載では情報セキュリティの専門家・徳丸浩さんが制作した脆弱性診断実習用のWebアプリ「BadTodo」を題材に、ストーリー形式でWebアプリ制作に潜む“ワナ”について学んでいく。 登場人物は全て架空の存在だが、ワナは全て現実にあり得るもの。せりふは徳丸さんの監修の下制作した。 特集：Webコンテンツの守り方　情報漏えい対策術 経営や企業イメージに大きな打撃を与える情報漏えい。近年ではWebサイトの改ざんやデータベースを狙った攻撃により情報を盗み出す事案が話題になっている。本特集では情報漏えいを引き起こすサイバー攻撃と、WAFによる対策について解説する。 カクーノ株式会社：Webアプリ開発を手掛ける企業。本

    新人の作ったWebアプリが穴だらけ!?　ログイン画面に潜むセキュリティの”あるある”ワナ

  • マルチ強盗FPS『PAYDAY 3』、公式サイトを“特定条件”で開くと出現する隠しトレイラーが発見される - AUTOMATON


    Plaion/Starbreezeは日本時間7月11日、﹃PAYDAY 3﹄の隠密ミッションを紹介する﹁Stealth Gameplay Trailer﹂を公開した。しかし、このトレイラーがユーザーに発見されたのは7月16日のこと。隠密ミッションを題材とする本トレイラーは公式サイトに巧みに隠されており、“特定の条件下”でのみ出現するという“隠し”トレイラーとなっていたようだ。 ﹃PAYDAY 3﹄は、オンライン4人協力プレイ対応のクライムFPS﹃PAYDAY﹄シリーズの最新作だ。開発を手がけるのは、シリーズを通じて制作を担当するStarbreeze Studios。本作は、PC︵Steam/Epic Gamesストア︶/PS5/Xbox Series X|S向けに9月21日に発売予定。発売に向けて﹁Dev Diary︵開発者日記︶﹂などが順次公開されており︵関連記事1、関連記事2︶、﹃PA
    マルチ強盗FPS『PAYDAY 3』、公式サイトを“特定条件”で開くと出現する隠しトレイラーが発見される - AUTOMATON
    Falky
    Falky 2023/07/17
    シークレットモードの検知、まだできちゃうのか。単なるお遊びとしてはおもしろいけど、Web屋的には複雑な気持ちになるな…。
    リンク

  • 三井住友カード、はがき表面にクレカ番号を誤印字　29万件超を郵送　原因は顧客情報システムの確認ミス


    三井住友カードは5月16日、同社クレジットカードの所有者に郵送したダイレクトメール︵DM︶に、クレジットカード番号を誤って印字したと発表した。DMはシーラーはがきタイプだったが、その表面宛先部にカード番号を印字していたという。対象のDMの件数は29万771件に及ぶ。DMを発送したのは4月18日と20日。本来、DMの宛先部には客の照会番号を印字すべきだったが、誤ってカード番号を印字した。カードの有効期限やセキュリティコードなどの情報は一切記載していないとしている。DMの郵送先は﹁AOYAMA VISAカード﹂﹁AOYAMA PiTaPaカード︵VISA︶﹂﹁AOYAMA LiVE MAX VISAカード﹂﹁BLUEROSE CARD︵VISA︶﹂のカード所有者の住所という。 印字ミスの原因について同社は﹁DMを送る際、住所や氏名、客の照会番号などの顧客情報を基幹システムから抜き出し、D
    三井住友カード、はがき表面にクレカ番号を誤印字　29万件超を郵送　原因は顧客情報システムの確認ミス
    Falky
    Falky 2023/05/19
    『客から申告のあった住所あてに発送していることから、客本人以外の第三者がカード番号を知り得た可能性は極めて低いと考えている』さすがにその言い分は無理ありすぎるだろｗｗｗｗｗｗｗｗ 不誠実オブザイヤー！
    リンク

  • 公共の場で業務用端末を使うのは本当にやめた方がいい - 午前７時のしなもんぶろぐ


    2/11 ～ 2/12 の間、浅草橋で実施された﹁SECCON 2022 電脳会議﹂に参加し、いくつか気になった講演を聴いたりワークショップに参加したりしました。 www.seccon.jp 内容のうえでもためになる知見がいろいろ得られたのですが、プログラム外でもいくつか学びがありました。 今回はその一つを共有します。 見覚えのある﹁あの会社﹂のロゴ 何がいけないのか そういえば…… 会社の資料は特に危ない 結論 見覚えのある﹁あの会社﹂のロゴ ある講演を聴講していたとき、ふと視界の右端に見覚えのあるものが現れたような気がしました。 私の座っていたところから2列前の右側に、ずっと PCを操作している男性がいました。私の興味を引いたものはその画面の中にありました。 彼がそのとき操作していたのはプレゼンテーションソフトで、スライドの表紙には、SECCON のスポンサーに名を連ねるあるセキュリ
    公共の場で業務用端末を使うのは本当にやめた方がいい - 午前７時のしなもんぶろぐ
    Falky
    Falky 2023/02/14
    ショルダーハック対策って現実問題難しいよね。覗き見防止フィルターも真後ろからは無防備だし。極端なこと言えば、会社内で窓際の席に座って仕事してたら窓の外から望遠鏡で画面見られるかもしれないしなあ
    リンク

  • 「解除不可能」ロシア・ハッカー犯罪集団のコンピューターウイルスはなぜ解除できたのか？　サイバー攻撃を受けた徳島・半田病院、復旧の裏で起きていたこと【前編】 ｜ 47NEWS


    ﹁解除不可能﹂ロシア・ハッカー犯罪集団のコンピューターウイルスはなぜ解除できたのか？　サイバー攻撃を受けた徳島・半田病院、復旧の裏で起きていたこと︻前編︼ ２０２１年10月、徳島県つるぎ町の町立半田病院が、ロシアを拠点とするハッカー犯罪集団からサイバー攻撃を受けた。身代金要求型の﹁ランサムウエア﹂と呼ばれるコンピューターウイルスによる攻撃で、電子カルテなどのデータが盗まれ暗号化されてしまい、病院機能がダウンした。ウイルスは高度な暗号技術が使われており、身代金を支払わないと﹁解除は不可能﹂とされる。病院は﹁身代金は支払わない﹂と表明し、東京都内のＩＴ業者に調査とシステムの復旧を依頼、2カ月後には復旧して全診療科が再開した。解除不可能なウイルスは一体どのようにして解除できたのだろうか―。ハッカー犯罪集団、復旧を請け負ったＩＴ業者らに取材を敢行し、その﹁謎﹂に迫った。︵共同通信＝角亮太︶ ▽未明
    「解除不可能」ロシア・ハッカー犯罪集団のコンピューターウイルスはなぜ解除できたのか？　サイバー攻撃を受けた徳島・半田病院、復旧の裏で起きていたこと【前編】 ｜ 47NEWS
    Falky
    Falky 2023/01/09
    11月にYahoo!個人に出た記事の正式版だね。記事を受けて町と病院がどう動くか気になってたが、まさか「B社を疑うなら取材に応じない」とは…。グルってことでいいか？ https://news.yahoo.co.jp/byline/yamadatoshihiro/20221101-00321712
    リンク

  • Slack security update

    Slack security updateBecause we take security, privacy and transparency very seriously, we are sharing the details of a recent incident. Author: Slack’s Security Team31st December 2022 Updated 9 January 2023 We recently became aware of a security issue involving unauthorised access to a subset of Slack’s code repositories. Our customers were not affected, no action is required and the incident was

    Slack security update
    Falky
    Falky 2023/01/06
    やっぱり長期休暇シーズンって狙われるんだな。一斉長期休暇は脆弱性
    リンク

  • パスワード管理ツールの LastPass の保管庫の漏洩について、被害者ができることを解説


    新年、明けましておめでとうございます！ 年末年始の休みを有効活用して、パスワード管理を見直しましょう！︵笑︶ 企業のデータ漏洩は基本的に悪いですが、2,500万人のパスワードも持つデータの場合は、最悪です。 この投稿をするまで、少し間を置きました。 ニュースが出る直後、みんなが騒いで矛盾な情報が流されたり、感情的に報じることが多かったりして、それを避けたかったです。 事実パスワード管理アプリ LastPass によると、 2022年8月に第三者によって同社のクラウドサービスが侵入されました当時、個人データは盗まれなかったそうですが、ソースコードは盗まれましたユーザのデータが漏洩していなかったにも関わらず、 LastPass 社は事件を一般公開しました。 顧客と企業の間でのそのような透明性は望ましいことで、功績を認めるべきです︵多くの会社はそんなことしません︶ しかし、当時漏洩したものの中で
    Falky
    Falky 2023/01/02
    メタデータが平文で保存されてたって、いわゆるフリーテキストエリアとかも含まれるのかな。2auth recovery codeとかを書き込んでる人多いんじゃなかろうか？URLとrecovery codeがセットで漏れたらそれはもう事実上の死では…
    リンク

  • フォーム入力支援やサイト最適化サービスの改ざんについてまとめてみた - piyolog

    2022年10月25日、ショーケースは同社が提供する複数のサービスが不正アクセスを受けたため、サービスを利用する企業のWebサイトを通じて入力された情報が外部へ流出した可能性があると公表しました。ここでは関連する情報をまとめます。 フォーム入力支援やサイト最適化サービス改ざんで複数社に影響波及 www.showcase-tv.com 不正アクセスによりショーケースが提供するサービスのソースコードの改ざんが行われた。対象サービスが稼働するシステムの一部で脆弱性を悪用されたことが原因。 被害に遭ったのは「フォームアシスト」「サイト・パーソナライザ」「スマートフォン・コンバータ」の3つ。フォームの入力支援やサイト表示最適化を行うサービスで利用企業は同社が公開するJavaScript (formassist.jp、navicast.jp上で公開)を自社サイトより読み込むことで利用する。 改ざん被害

    フォーム入力支援やサイト最適化サービスの改ざんについてまとめてみた - piyolog
    Falky
    Falky 2022/10/27
    概観はできるが、結局具体的に何が起きたのかはわからんしタイムラインも不明瞭。対処が適切なのか否かもよくわからない。なぜならば関係者の誰も詳細を説明していないので。ひどすぎる
    リンク

  • 個人情報漏洩に関するFAQ | 資格取得ならユーキャン


    この度はお客様へ多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。 本件の対象となるお客様には、2022年10月26日に弊社より電子メールをお送りしております。 ただし、電子メールをお届けできなかったお客様には、2022年10月27日に速達にて書状を発送いたします。 Ｑクレジットカード情報漏洩の可能性がある対象期間はいつですか？ Ａ2022年7月24日～2022年7月26日の期間、弊社が運営する﹁生涯学習のユーキャン﹂サイトにて受講申込み時にクレジットカード情報を入力されたお客様が対象です。ただし、﹁[案内資料をお持ちの方専用]受講お申込みページ﹂からお申込みの方は対象外です。 クレジットカード情報が漏洩した可能性のあるお客様には、2022年10月26日に弊社より電子メールをお送りしております。 ただし、電子メールをお届けできなかったお客様には、2022年
    Falky
    Falky 2022/10/27
    よくわからん。お互いに「詳細はあっちのサイトで」と言い合っていて、俺の欲しい詳細はどこにもない。// https://www.u-can.co.jp/info/release.html をブクマしたいのに、このFAQページに勝手に変更される…。何のcanonicalやねん
    リンク

  • 不正アクセスに関するお知らせとお詫び - 株式会社ショーケース


    このたび、当社が提供する﹁フォームアシスト﹂、﹁サイト・パーソナライザ﹂、及び﹁スマートフォン・コンバータ﹂︵以下、﹁対象サービス﹂といいます。︶におきまして、第三者による不正アクセスにより、ソースコードの書き換えがなされ︵以下、﹁本件事象﹂といいます。︶、一部のお取引先様のウェブサイト等において入力された情報が外部へ流出した可能性があることが判明いたしました。 当社のサービスをご利用されているお取引先様をはじめ、ご関係者の皆様には多大なるご迷惑とご心配をおかけする事態となりましたことを深くお詫び申し上げます。 なお、本件事象により情報が流出した可能性のあるお取引先様には、すでに、個別に連絡を差し上げております。 今般、第三者専門調査機関によるフォレンジック最終報告書を受領し、社内調査も完了いたしましたので、本件事象の概要及び当社の対応につきまして、下記のとおりご報告いたします。 記 1.
    不正アクセスに関するお知らせとお詫び - 株式会社ショーケース
    Falky
    Falky 2022/10/27
    フォーム入力値の外部送信をするようなコードを仕込まれた感じなのか？このプレスリリースだけだと何もわからん。報道によればユーキャンなどが影響受けてるらしいのでそっち見るか…。
    リンク

  • さっきまで使えてたスマホ、通話音が…しない　勝手に解約されたかも　被害男性の証言

    携帯電話を乗っ取られ、口座から約１千万円もの出金被害を受けた会社経営の男性。「被害に遭わないための教訓にしてほしい」と話す＝神戸市中央区 見知らぬ誰かが自分のスマートフォンを勝手に解約していた。７月下旬、神戸市の会社経営の男性（６０）は何者かに携帯電話を乗っ取られた上、銀行の預金口座から現金１千万円を引き出された。携帯電話会社や銀行に問い合わせると、自分の運転免許証が勝手に偽造され、誰にも教えていないはずの暗証番号が解読されていた。男性は悲嘆に暮れる。「いったい何が起こったのか」（竜門和諒、井沢泰斗） ■アンテナが立っていない！？ 昼過ぎまで、携帯電話は普通に使えていた。午後３時４５分ごろだった。ポケットからスマホを取り出し、電話をかけようとした。だが、通話音がしない。画面を見ると、アンテナマークが１本も立っていなかった。 契約しているＫＤＤＩ（ａｕ）は７月上旬に大規模な通信障害を起こして

    さっきまで使えてたスマホ、通話音が…しない　勝手に解約されたかも　被害男性の証言
    Falky
    Falky 2022/10/17
    1000万手に入るなら、ターゲット選びまで含めてこれくらいのコストはかけても損しないよなー。標的型攻撃って聞くとみんな自分のような一般人には関係ないと思うだろうけど、案外そうでもないんだよな。
    リンク

  • GTA新作リークに使われた“多要素認証疲れ”攻撃とは　1時間以上通知攻め、従業員の根負け狙う


    GTA新作リークに使われた“多要素認証疲れ”攻撃とは　1時間以上通知攻め、従業員の根負け狙う‥この頃、セキュリティ界隈で 人気ゲーム﹁グランド・セフト・オート﹂︵GTA︶などを手掛けるゲームメーカーの米Rockstar Gamesや米Uber Technologiesのネットワークが不正侵入を受け、情報が流出する事件が相次いだ。同じような被害は過去にMicrosoftやCisco、Twitterなどの大手でも発生している。各社とも、そうした侵入を防ぐために多要素認証を設定して従業員のアカウントを保護していたが、攻撃者は﹁MFA Fatigue︵多要素認証疲れ︶﹂攻撃と呼ばれる手口を使ってMFA︵多要素認証︶を突破していた。 多要素認証で守られたアカウントは、ユーザー名とパスワードを入力してログインしようとすると、登録された端末に電話をかけたりプッシュ通知を送信したりする方法で、そのログイン
    GTA新作リークに使われた“多要素認証疲れ”攻撃とは　1時間以上通知攻め、従業員の根負け狙う
    Falky
    Falky 2022/09/29
    『従業員が寝ようとしている午前1時に100回電話をかければ、大抵は受け入れる』いや、スマホの電源切って寝るだろ…
    リンク

  • セキュリティ・バイ・デザイン導入指南書　：IPA 独立行政法人 情報処理推進機構


    ソフトウェア開発者でなくとも、セキュリティ・バイ・デザインという言葉は聞いたことがあると思います。しかし、セキュリティ・バイ・デザインが十分に実施できていると言える組織は多くないのではないでしょうか。 いざセキュリティ・バイ・デザインを実施しようとしても﹁何をすればよいのだろう？﹂﹁どうやれば良いのだろう？﹂となかなか手が動かない。そんな状況の一助となるよう、我々がセキュリティ・バイ・デザインを学び、実践した内容を文書化し公開する運びとしました。 セキュリティ初心者でも読みやすいように、以下の特徴を念頭において本書を執筆しました。 軽快な文章 図表を多用したグラフィカルな見た目 キャラクターのセリフに共感しながら理解ができる1章　セキュリティ・バイ・デザイン －セキュリティ・バイ・デザインの概要や必要性の説明2章　脅威分析 －組織やシステムに対する脅威分析の実施方法3章　セキュリティ
    Falky
    Falky 2022/08/31
    俺はアヒルだ
    リンク

  • inAppBrowser.com

    InAppBrowser.com Check if an in-app browser is injecting JavaScript code Some iOS and Android apps make use of a custom in-app browser (full details). This causes potential security and privacy risks to the user. ✅ This tool couldn't detect any JavaScript injections. However, this doesn't mean there were no code injections. As of iOS 14.3, Apple introduced a new way of running JavaScript code in a

    Falky
    Falky 2022/08/20
    アプリ内ブラウザに変なものがinjectされていると教えてくれるサイト//はてブ公式アプリのブラウザはひとまずセーフな模様
    リンク
  • 1 2 3 4 5 6 7 次のページ

お知らせ

もっと読む

公式Twitter

  • @HatenaBookmark

    リリース、障害情報などのサービスのお知らせ

  • @hatebu

    最新の人気エントリーの配信

はてなブックマーク

公式Twitter

はてなのサービス

  • App Storeからダウンロード
  • Google Playで手に入れよう
Copyright © 2005-2024 Hatena. All Rights Reserved.