ハッカーがアカウント認証情報を狙っているのは周知の事実であり、Microsoft アカウントに対する高速攻撃や、グーグルユーザーに対する2要素認証回避攻撃など、その手口は多岐にわたる。初動の攻撃手段は主にメールであり、リンクをクリックしないタイプの攻撃（開封だけで攻撃されるもの）や、フィッシングを伴わない脅威（従来のフィッシング詐欺のように、偽のウェブサイトに誘導してIDやパスワードを詐取するのではなく、それ以外の方法でユーザーを騙したり、システムに侵入したりする脅威）なども登場している。 いま、セキュリティ研究者らが警告を発しているのは「VIP Keylogger」と「0bj3ctivityStealer」というマルウェアだが、これらはメール本文内に巧妙に隠されているため、一見して発見しにくいとされる。 こうした状況の中で、最大手のメールプラットフォームであるGmailとOutlookの
令和6年５月19日に岡山県精神科医療センターがサイバー攻撃を受け、電子カルテをはじめとする院内システムがランサムウェアと呼ばれる身代金要求型コンピュータウイルスに感染し、法人内の診療所を含む全カルテが閲覧できなくなるなどの大きな被害が生じました。患者さんとそのご家族、関係者の皆さまには多大なご迷惑とご心配をおかけいたしましたこと、改めて深くお詫び申し上げます。 この度、医療情報セキュリティの第一人者であり、当院の事案について厚生労働省初動チームとして原因究明にあたった一般社団法人ソフトウェア協会の専門家に事案調査を依頼し、本調査報告書を頂きました。この調査の目的は、つまびらかに事実を記載し、ひとえに今後の対策にとって重要な情報を正確に把握して、公表することです。本報告書は一切の忖度なしで事実と責任の所在を明確にし、今後の警鐘とすることをお願いしています。そのことは、報告書に書かれた厳しい指
こんにちは、セキュリティ猫です。 今回は、調査で便利なツール「SHODAN」について使い方を紹介していこうと思います。 SHODAN はじめに 【注意事項】 SHODANとは？ メンバーシップ 使い方 基本画面 サーチをして見る 例題 Maps Images おまけ SHODANを使った調査事例記事 ユニーク調査 脆弱性調査：FileZen 脆弱性調査：Exchange Server 脆弱性調査：BIG-IP 脆弱性調査：vCenter Server メンバーシップのディスカウントセール 参考URL まとめ はじめに 【注意事項】 本記事内で、SHODANの使い方や調査方法について記載しています。本内容は脅威から守るために利用しているものであり、決して悪用することはしないでください。 SHODANを利用することが外部組織の機器情報について情報が得ることができます。しかしながら、ここで得られ
■概要 2019年頃から管理が不十分な外部公開資産、つまりインターネット側からアクセス可能な資産（サーバやNW機器等）の脆弱性や設定不備を突いた攻撃手法が流行し、多くのセキュリティインシデントの発生原因となっています。 これらの攻撃手法への対策の取り組みとして、自組織が持つ外部に公開されたサーバやNW機器を網羅的に把握し、そのセキュリティリスクに対処する運用のサイクルを回すAttack Surface Management（ASM）の必要性が各所で訴求されています。 ASMの取り組みの中の重要な初手の1つが、守るべき自社資産の把握です。関係会社や海外拠点が利用する資産も含め、セキュリティ担当者の方が未把握の資産や攻撃を受けうる資産を把握することが重要です。 本記事では、自組織の外部に公開された資産を、ツールを使って無償かつ効率的に把握する手法をご紹介します。 ■手順 今回はShodanを用
端末の設定から位置情報を無効化しても、ユーザーの好みや行動に基づいたパーソナライズド広告を表示するために収集するデータで位置が特定されてしまうことがあります。この仕組みについて、サイバーセキュリティの専門家が解説しました。 Everyone knows your location https://timsh.org/tracking-myself-down-through-in-app-ads/ セキュリティ関連のブログ「tim.sh」を運営するティム氏は、古いiPhone 11を工場出荷時の状態に戻して完全にリセットし、新しいApple IDを取得。まっさらな状態でゲームアプリを1つだけインストールし、どのような情報が取得されてしまうのかを調査しました。サンプルとして選ばれたゲームは「Stack」というゲームでした。 その結果、アプリを起動した直後から大量のデータが取得されることが判明し
著名なセキュリティーリサーチャーのpiyokango氏が注目のシステムトラブルをピックアップ。今週の注目ネタは……。 今回は、東北芸術工科大学と京都先端科学大学の個人情報漏洩、岩手朝日テレビと日本海建設電気のランサムウエア被害を取り上げる。 アクセス範囲を「パブリック」とする設定ミス 東北芸術工科大学は2025年1月20日、一部の職員でのみ共有されるべき個人情報が、学内の学生や職員にも閲覧可能だったとして、関係者に謝罪した。 同大によると、Teamsで共同作業を行う「チーム」で共有していたデータが、検索機能によってチーム外の人にも閲覧できることが2024年12月19日に判明。調査の結果、データにはのべ900件、810人の個人情報が含まれていた。 原因はTeamsの公開設定において、本来「プライベート」（秘密）とすべきところを、誤って学内関係者全員がアクセスできる「パブリック」（公開）として
フィッシング対策協議会（東京都中央区、会長：岡村 久道）の証明書普及促進ワーキンググループ（主査：田上 利博）は、日本国内のフィッシング詐欺における、「送信ドメイン認証技術「 DMARC 」の導入状況と必要性について（以下、本解説ドキュメント）」を公開しました。 ■ はじめに フィッシング対策協議会で統計をとっているフィッシング報告件数は、 2023 年 1 月から 12 月までの報告件数は過去最高の 100 万件を超え、 2022 年と比較して約 1.2 倍となりました。さらに月次の報告件数においては、 2024 年 10 月には 18 万件に達し過去最高値となり、 11 月も 18 万件近い報告件数となっています。 2023 年も送信元メールアドレスに正規サービスのドメイン名を使用した「なりすまし」送信メールが継続しています。観測しているメールアドレスで受信したフィッシングメールのうち
10年ほど前は、フィッシングサイトやマルウェアがダウンロードされてしまうサイトへの対策として「怪しいサイトにはアクセスしない」と呼びかけられていました。今となっては「怪しいサイトって何？」と思いますが、当時これらのサイトは見るからに怪しいURLだったのです。 PCの場合は、リンクにマウスカーソルを合わせることでリンク先のURLを確認できます。URLは一般的に「https://www.proofpoint.com/jp」のように社名（ドメイン名）と.comなどのトップレベルドメインの組み合わせになっていますが、ドメイン部分が無意味な文字列になっているものがあり、明らかに怪しいサイトであると見分けることができました。 しかし現在は巧妙な手法が次々に登場し、よく見ても怪しいサイトとは思えない危険なサイトが増えています。ここでは、URLを偽装する新しいフィッシングテクニック、そしてHTMLを悪用す
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます アカマイ・テクノロジーズは「2025年注目すべきサイバーセキュリティの動向」に関する説明会を開催した。 プロダクト・マーケティング・マネージャーの中西一博氏は主に「Mirai Botnetの復活」をテーマとして取り上げた。Mirai Botnetは2016年に当時最大規模の分散型サービス拒否（DDoS）攻撃を実行したIoTデバイスベースのボットネットだが、ソースコードがハッカーコミュニティーに公開されたことから、その技術要素を受け継いだ亜種が繰り返し登場している。今回取り上げられた「復活」も2016年当時のMirai Botnetと同じものではなく、亜種と位置付けられるものだという。 現在のDDoS攻撃に使われているMirai Botn
[PG] 縮めるだけじゃダメ [PG] 暗算でもできるけど？ [PG] formjacking [PG] loop in loop [NW] 頭が肝心です [NW] 3 Way Handshake？ [NW] さあ得点は？ [NW] decode [WE] 簡単には見せません [WE] 試練を乗り越えろ！ [WE] 直してる最中なんです [WE] 直接聞いてみたら？ [WE] 整列！ [CY] エンコード方法は一つじゃない [CY] File Integrity of Long Hash [CY] Equation of ECC [CY] PeakeyEncode [FR] 露出禁止！ [FR] 成功の証 [FR] 犯人はこの中にいる！ [FR] chemistry [FR] InSecureApk [PW] CVE-2014-7169他 [PW] 認可は認証の後 [PW] formerL
2/2に12時間というちょうどよい競技時間で開催された。21時終了だったけれども、11時45分ぐらいに最速で全完して1位🎉 第1回以来4年ぶりの優勝だ。昨年大会の第4回ではヒントの閲覧数で優勝を逃してしまって悔しい思いをしたので、雪辱を果たすことができ嬉しい。開始直後からずっと1位を独走できており、450名以上のプレイヤーがいる中で圧勝だったのも嬉しい。 昨年度や一昨年度はバルクが作問を担当していたが、今回はAGESTが担当していた。これまでの問題と比較すると全体的に易化したように思うが、解くにあたって発想の大きな飛躍を必要とするいわゆる「エスパー要素」のある問題はごく一部を除いて存在しておらず*1、よかったと思う。また、昨年度・一昨年度に引き続きwriteupは公開可能というのもよかった。 戦略というほどの戦略は立てていなかったけれども、とりあえずWebを見た後は全カテゴリを上から見て
2025年1月21日、京都府警は不正な手段を用いてクレジットカード情報を収集していた疑いがあるとして高校生を逮捕したと発表しました。高校生はフィッシングなどの情報を共有するTelegramのグループチャットに参加していました。ここでは関連する情報をまとめます。 有効性確認と偽りカード情報を取得 逮捕された高校生の容疑は不正アクセス禁止法違反と割賦販売法違反。2024年7月26日から8月11日にかけて、クレジットカードの有効性確認ができるとして、自身が作成したプログラムを通じて6件のクレジットカード番号を入力させ、不正に取得した疑い。加えて、2024年5月20日に他人へID、パスワードを提供した疑いも持たれている。*1 高校生は「僕がやったことに間違いはありません」として容疑を認める供述を行っている。また「同じ犯罪を行っている人たちからカード情報をもらっても問題ないと思った」とも話している。
近年、数十億単位のパスワード盗難がニュースとなり、マイクロソフトはすべてのユーザー向けに既存のセキュリティ対策を置き換えたい意向を示している。そんな中、セキュリティ専門家は、マイクロソフトのWindows BitLocker暗号化システムに影響を及ぼす脆弱性が、利用者のパスワードを含む機密データを暗号化されない状態で漏洩させる可能性があると警告している。安全を保つために押さえておくべきポイントと、今すぐ取るべき行動は以下のとおりだ。 マイクロソフトがWindows BitLockerのセキュリティ脆弱性を認める 米国時間1月14日に配布された最新のマイクロソフトによるPatch Tuesdayセキュリティ更新プログラムは、今月2つの理由で注目を集めた。1つは、攻撃者がすでに悪用しているWindowsのゼロデイ脆弱性が3件含まれていたこと、もう1つは、そのセキュリティアップデートにより修正さ
This website uses cookies to analyze our traffic and only share that information with our analytics partners. Accept What is Threat Dragon? OWASP Threat Dragon is a modeling tool used to create threat model diagrams as part of a secure development lifecycle. Threat Dragon follows the values and principles of the threat modeling manifesto. It can be used to record possible threats and decide on the
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
