多要素認証のバイパスが可能な攻撃「Pass-The-Cookie」について
システムの穴をつくフィッシング詐欺の手口と対策 『二段階認証』も鉄壁ではない？
「Amazonを不正利用された」──SNS上で報告相次ぐ 「二段階認証を突破された」などの声も
「Amazon.co.jpを不正利用された」──X（元Twitter）では9月上旬からそんな投稿が相次いでいる。「Amazonギフトカードを大量購入された」「二段階認証を設定していたのに、それを突破された」などの報告が上がっている。 Xでは「（アカウントに）二段階認証を設定していたにもかかわらず不正アクセスされ、Amazonギフトカードを大量に購入された」と被害を訴える声が多く見られる。特に話題になっているユーザーの投稿によると「注文履歴を非表示にされ、不正利用に気が付かないままクレジットカードの請求が来た」と語っている。 このユーザーがAmazonのサポートに問い合わせしたところ「同様の案件が多発している」「現状では手口が分からないのでどうやって侵入してるのか調査中」などと返事があったという。その後、被害額は全て返金してもらったとしている。 Amazonではサイバーセキュリティ対策の一環
Xユーザーのゼロさん: ﹁これマジでみんな見てほしい。 今日詐欺に遭いかけた。2段階認証にしてるから大丈夫だったけどしてなかったら終わってた。これが来るってことはオレのApple IDとパスワードがバレってるって事なんだよね。どこでバレたかオレでも検討もつかない。2段階認証は絶対ONにしといてほしい。 まじで危ないよ https://t.co/JT0TwUw7Bi﹂ / X
Vivaldi アカウントに 2 要素認証、Vivaldi ウェブメールのアクセスにレピュテーション（評価）システムを新たに導入しました。 | Vivaldi Browser
malaさんはTwitterを使っています: ﹁必要なのは今後E2EE実装するわ、とか、バランス考えたとかの釈明ではなくて、ブログ記事を訂正したり、現状の実装がどうなってるのかアプリ内から辿れる場所で説明することだと思います。﹂ / Twitter
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Xユーザーの徳丸 浩さん: 「Amazonに関して情報が集まってきていますが、どうも中継型フィッシングではなさそうです。」 / Twitter
Xユーザーのツーブロ（ボルトハンターさん: 「対処方法は以下 1. メールなどのリンクからAmazonのサイトへ移動しない 2.移動してしまった場合、速やかにCookieを削除 3.パスワード変更、電話やEメール、アプリ等の設定していない別の多要素認証が設定されている場合はバックドアになるため削除」 / X
XユーザーのTINGさん: 「いやこれ危なすぎるわ これでログインしたらアカウント抜かれるやつだわ（カスペルスキーでブロックされたのをあえて拒否して試してる 何が怖いってこれブラウザ上で見たらURLも含めて正規サイトにしか見えないしパスワードマネージャーも誤認するってことなんよね https://t.co/eOMVTwNdFs」 / X
XユーザーのFire丸山＠Boost 4.0さん: 「【拡散希望】 アマゾン不正アクセスによるギフトカードの大量購入詐欺が発生してるようで、オレ氏のアカウントもやられました。実に巧妙で気が付いてないヒトもいるかと思います。ヤバいっす その件についてサポートの担当様とのやり取りなども含めて成り行きを連投します。1/n https://t.co/wyTh9UKurM」 / X
Xユーザーの徳丸 浩さん: 「一部で「２段階認証が突破された!」と話題になっているようですが、これは以前からあるリアルタイム・フィッシング（中継型フィッシング）かと思われます。以下の動画でPoC付きで解説しています。 https://t.co/GF5fqPflTh」 / X
ASCAII on Twitter: "なんてこったApple IDの2FA先電話番号が知らない番号になってたらしく、その状態でパスワード変更してログアウトしちまったので一生パスコード来なくなった、らしいのだが本当か？"
覚えがないGoogleの「セキュリティ通知」が届いたら
Two-Factor Authentication for Vivaldi accounts and a new reputation system for Vivaldi Webmail. | Vivaldi Browser
malaさんはTwitterを使っています: 「@agektmr ありがとうございます。別のパスワードマネージャ使っていたり、Googleのパスワードマネージャで同期パスフレーズ使ってるなら、個人的には、2要素目がGoogleに漏れても対してリスクがあるとは思いません。2要素目だけで何か出来るようなケースはそうそう無いだろうし。説明が無いことのほうが問題」 / Twitter
Eiji Kitamura / えーじさんはTwitterを使っています: 「Google は常にユーザーのみなさまの安全とセキュリティに注力しており、Google 認証システムアプリについても例外ではありません。わたしたちのゴールは、ユーザーのみなさまを守ることと同時に、使いやすく利便な機能を提供することです。」 / Twitter
mala on Twitter: "TwitterがSMSでの2FAやめると言い出し2FA用アプリ探す人が増える ↓ 怪しい2FAアプリが大量に出てきてApp StoreもGoogle Playもtakedownしねえというリサーチ ↓ sophosはOTP生成のシードをサーバーに送るアプリはとんでもない無能かマルウェアと評価 https://t.co/ZlTJ4IWHKt ↓ Googleが同じことやる" / Twitter
Mysk 🇨🇦🇩🇪さんはTwitterを使っています: 「Google has just updated its 2FA Authenticator app and added a much-needed feature: the ability to sync secrets across devices. TL;DR: Don't turn it on. The new update allows users to sign in with their Google Account and s
malaさんはTwitterを使っています: 「Googleのパスワードマネージャは同期用パスフレーズを追加することはできる」 / Twitter
Google Authenticator now supports Google Account synchronization
