2019年6月8日夜、クレジットカードの情報窃取を目的としたページが稼働していたと情報をいただきました。偽ページが稼働していたドメインやIPアドレスを調べたところ、いくつか興味深い情報が確認できたため、調べた内容をここではまとめます。 偽決済画面だらけのサーバー 情報提供頂いたURLではクレジットカード情報を窃取することを目的とした偽決済画面が稼働していた。 サブドメインには決済代行サービスのペイジェントに似せた文字列が用いられていた。 偽決済画面はワイン販売を行っている会社名がフォーム上部（モザイク部）に掲載。 この会社は2019年2月にWebサイトの改修を目的として一時閉鎖すると案内。 6月に新ドメインでECサイト再開。新ドメインへ移行した理由は「諸事情により」とのみ説明。 問題のドメインsearch-hot.comを調べる 問題のページが稼働していたドメインsearch-hot.co
フォロワーの数が仕事や報酬に直結するＳＮＳのインフルエンサーの世界。そのフォロワーを購入して水増しする行為がインスタグラムの一部のインフルエンサーの間で行われている実態を取材した記事を21日に掲載した。 News Up「私は“水増しインフルエンサー”」 https://www3.nhk.or.jp/news/html/20190521/k10011924131000.html では水増ししたフォロワーはどこからやってくるのか。売買しているのはどんな業者で、どのようなからくりになっているのか。取材で購入した３万人のフォロワーを徹底追跡すると、その一端が見えてきた。 （「ネット広告の闇」取材班記者 田辺幹夫・田隈佑紀・藤目琴実、ディレクター 中松謙介） フォロワーを売っているのはどんな業者なのか。「フォロワー購入」とネット検索するだけで、数多くの業者が見つかる。 インスタグラムをはじめ、Ｙｏｕ
こんにちは、Recruit-CSIRTのきっかわです。 「ウィルスオタクの若手エース」と呼ばれるようになったから、というわけではないでしょうが（笑）、このたび、話にはよく聞くが見かけたことのなかった「クレジットカード情報を盗むJavscript」を見つけたので、そのマルウェアと周辺の攻撃について情報を共有します。みなさんにとって本ブログが有益な情報になれば幸いです。 忙しい方へ 今回発見されたJavaScriptの概要 クレジットカードのチェックディジットの計算とクレジットカード番号の構成をチェックする チェックが通ると、外部サイトへ入力情報を全て送信する Javascriptコードの仕込まれ方 Webサイトのjsファイルを改ざんして動作 元のサイトの動きに対して、見た目上の動きは変わらない IOC https://ww1-filecloud[.]com/img 攻撃の流れ 今回観測した攻
インターネット掲示板に，真実は，特定の文字などが表示され続けるだけであり，ブラウザを閉じれば終了するプログラムのリンクを掲載しただけであるのに，兵庫県警が，これを「不正なプログラムに誘導するリンクを貼り付けた」と問題視して，平成３１年３月に捜索差押を強制的に行い，神戸地方検察庁に送検し，被疑者として扱われた成人男性２名の方々につき，検察官は，令和元年５月２２日付で，今回の件をそれぞれ不起訴処分としました。 これら２名の方々が，今後裁判にかけられ，無罪立証の負担を強いられる煩を事実上避けることができたことは一安心です。 しかしながら，検察官の処分は，不起訴処分のうち，「起訴猶予処分」でした。これは，犯罪の嫌疑がありかつ訴訟条件が具備していても，被疑者の境遇や犯罪の軽重，犯罪後の状況などから検察官の裁量によって公訴提起を差し控えるというものです。 今回の事案で兵庫県警が，不正指令電磁的記録供用
Intro 「ユーザが意図する挙動」とは何か。技術的に可能であるが「やらない方が良いこと」は、誰がどう決めるのか。 Web には仕様、実装、デプロイ、そしてユーザの利用とフィードバックによって、そうした合意がゆるやかに形成されていく仕組みがあると筆者は考えている。 しかし、これは明文化されているわけでもなく、その全体像を把握するのは一般には難しいだろう。 今回は、ちょうど何度目かの議論が再発している ping 属性を例に、この合意形成の概観について解説を試みる。 リンクの ping 属性 <a> には ping という属性があり、以下のように URL を指定する。 <a href=/load/view.php?a=aHR0cHM6ZXhhbXBsZS5jb20 ping=/path/to/report>example.com</a> HTML Standard - ping Attribute このリンクは、クリックすると https
芸術家のGuo O Dong氏が、世界で最も危険なマルウェア6つに感染したノートPCに「The Persistence of Chaos」と名付け、芸術作品として100万ドル(約1億1000万円)以上の価格で販売しています。販売されているノートPCは「Wi-Fiに接続したりUSBメモリーを接続したりしない限りは安全」とのことです。 The Persistence Of Chaos https://thepersistenceofchaos.com/ A laptop filled with six of the world’s most dangerous viruses is on sale for more than $1 million - The Verge https://www.theverge.com/2019/5/25/18638308/laptop-viruses-mal
2019年4月27日、Dockerはコンテナ共有サービス「Docker Hub」が不正アクセスを受け約19万件のアカウントに影響が及んだとして情報漏えいの可能性について発表しました。ここでは関連する情報をまとめます。 公式リリース success.docker.com 被害の状況 Docker Hubのデータベースが不正アクセスを受けた。 不正アクセスにより一部のユーザー情報が盗まれた恐れがある。 影響を受けたのは約19万件のアカウント。全ユーザー数の約5%未満。 Dockerは不正アクセスの時間は短時間と説明。 2019年4月25日にDockerがDocker Hubデータベースへの不正アクセスを把握。 この侵害によるDockerの公式イメージへの影響はない。 不正アクセスの手口については明らかにされていない。 メール届いた場合は影響を受けた恐れ Dockerから連絡メールが届いた場合は
毎日のように企業や組織を狙ったサイバー攻撃が繰り返され、その方法も次々と新しくなっています。皆さんの中にはひょっとして、小さな企業を十分守るだけのセキュリティの知識を身に付けるには「ある程度お金がかかるはず」と思っている方もいるのではないでしょうか？ 実は、そんなことはありません！ 内閣サイバーセキュリティセンター（NISC）は2019年4月19日、新たに「小さな中小企業とNPO向け情報セキュリティハンドブック 初版（Ver.1.00）」を公開しました。その内容は、セキュリティ本を上梓している筆者が「ぐぬぬ」とうなったほどです。これは、素晴らしい！ 「どうしてこの人は、他人の本をそこまで推すの……？」と面食らった読者もいるかもしれません。この本を読んでほしいと私が考える根拠を、これから詳しく説明していきましょう。 NISCはこれまでも、個人向けに黄色い表紙の「インターネットの安全・安心ハン
前回、運転免許証記載情報の真正性を確認する方法を紹介しました。 パスポートにも免許証と同様にICチップが埋め込まれており、海外渡航時の入国審査では本物のパスポートかどうかチェックが行われています。 不動産取引や民間サービスの本人確認業務でも、同じ方法でICチップの確認を行えば身分証偽造による詐欺行為を防ぐことができます。 今回パスポートのICチップにアクセスして真正性を確認するAndroidアプリをつくったのでその仕組みを紹介します。 目次 電子パスポート仕様パスポートは世界で通用する身分証明書です。 それぞれの国が独自仕様のパスポートを発行すると大変なので、 国際民間航空機関(以下ICAO)がICチップの技術仕様を標準化し、各国のシステムで相互運用できるようになっています。 ICAOはDoc 9303 Machine Readable Travel Documents(機械可読な旅券)と
TL;DR iOS 12.2 の Update でジャイロがデフォルト Kill されていて、ユーザーが自ら設定を変えないと WebVR も WebAR も機能しないことへの言及を完全に忘れていた、ありとあらゆるユーザーにこの設定を変えてもらう所作を求めるのはなかなか厳しいから WebVR/AR を用いたマーケ施策ちょっと面倒になりそう pic.twitter.com/XR2YvaTkSa — いっこう / ikkou @4/20はxRTechTokyo (@ikkou) 2019年4月13日 更新履歴 2019/04/17 8th Wallの事例に見る対応方法を追記しました 2019/09/04 パブリックベータを見る限り iOS 13 でどのような状態になるか既にわかっていますが、例によって NDA の絡みがあるのでまだ具体的なことを Qiita に書けません。近々に控えているであろう
アマゾンのAIアシスタント『Alexa』がユーザーとの会話を録音しており、それを従業員たちが聞ける状態にあることを米メディア『Bloomberg』が衝撃的な証言とともにすっぱ抜きました。 これが海外を中心に、「盗聴だ」と騒ぎになっています（『Alexa』とユーザーの会話なので正確には「盗聴」ではないのですが、プライバシーへの配慮が足りないため騒がれています）。 会話の録音は精度を高めるために必要なものの…… まず説明しておきたいのは、AIアシスタントを搭載するスマートスピーカーがユーザーとの会話を録音する行為は、AIの精度を高めるために行われているという点です。 たとえば発端となった『Bloomberg』の記事では、スペイン語の「Hecho（エチョ）」がよく「echo（エコー。アマゾンのスマートスピーカーの名前）」と聞き間違えられるといった例が紹介されていました。 筆者が家族との会話のなか
2019年4月12日、小学館の漫画アプリ「マンガワン」のデータを改変し課金対象となっていた利用制限時間を大幅に引き延ばしていたとして男性が書類送検されました。ここでは関連する情報をまとめます。 被害を受けた漫画アプリ manga-one.com 小学館が提供するAndroid,iOS対応の漫画購読アプリ 2014年12月からサービス提供。 Android版のインストール端末数は100万件以上。*1 アプリ改変の内容 Android版アプリの利用可能時間を改変し、実質制限を無効化する。 当時Android版は一定時間(1日20分間)無料閲覧でき、その後課金し継続閲覧する仕様だった。 男性が紹介したのはアプリ内包のXMLファイルの特定値を改変する方法。 特定値はベタ書きで、数字を増やすだけで利用制限時間が引き延ばされた。 2017年12月アップデートでAndroid版も閲覧可能数に制限が変更さ
先日、2019年3月11日、以下の「不正指令電磁的記録に関する罪」に関する公文書公開請求を行いました前回の記事参照。 ここで請求した文書は、「兵庫県警において刑法第百六十八条の二又は第百六十八条の三（不正指令電磁的記録に関する罪）に基づく取締りその他の運用を行うにあたり、どのような内容をもって犯罪行為とするかの構成要件等を記載した文書（具体例を含む）」です。 これに対し、2019年3月27日に回答が郵送で届きましたので報告します。回答は以下の通り「4月10日までの期間延長」でした。 これは公開を延長するという意味ではなく、「公開するか非公開とするかの判断を含めて延長する」ということに注意してください。 また延長理由は、「請求内容が複雑であり、公文書の特定が困難であるため、15日以内に公開決定等をすることが困難である。」でした。 考察 期間延長が来ることは予想していたので、そこは特になんとも
～IT技術の開発者と利用者の権利を守るために～ 下記発起人による寄稿 本件不起訴処分となりました アラートループ事件２件は2019年5月22日に兵庫地検により不起訴となりましたことをご報告いたします。不起訴理由は起訴猶予であり、検察は不正指令電磁的記録の容疑はあるとされたため、完全な勝利とは言えませんでしたが、支援をした2名が、これ以上不安な日々をおくらなくてよくなったことは喜ばしくあります。不起訴となりましたのは、支援していただいた方々、弁護士らの力によるところが大きく、支援した2名に代わり感謝を申し上げます。 詳細に関しては、今回担当した弁護士らの「起訴猶予処分を受けての声明」をご覧ください。 募集の終了 2019/3/26 12:15 現在までに553名の方々から合計6,934,471円（仮想通貨を含む）寄付を頂きました。本件では十分な金額となりましたので、開始から24時間を一区切り
KINEZOといえば、映画のチケット予約サービスだけれども、セキュリティー界隈では「数字4桁のログインパスワード」でお馴染みの有名所でもある。平成も終わりに差し掛かっているのにこれを貫いていることについては何と申せば良いのやら…。そんなKINEZOだが、今回は新宿バルト9で更なる深淵を覗いてしまったので、ここに書き記しておく。 暗証番号代わりのログインパスワード 昨日映画を観に行った所、生憎スマートフォンの調子が悪くてネットに繋がらなかったので、チケット発行用の予約番号は確認できたが、QRコードの確認ができなかった。そこで、予約番号からチケットを発券しようとした。 すると、求められたのはKINEZOのログインパスワード。 おいおい、ログインパスワードが暗証番号代わりかよ…。 と、その時点でセキュリティー的にアウトだろうとは思いつつも、仕方ないので入力する。が、どうにも通らない。暗証番号代わ
2019/03/11(月)に、簡易書留で公文書公開請求書を送付しました(前回の記事参照)。郵便追跡で到着は確認していたのですが、念のため兵庫県警へ電話して受理を確認したので記録します。 なお、本記事の最後に「必ず知って欲しいこと」を付けておりますので、できれば最後まで読んでください。 到着確認の電話 兵庫県警察本部県民広報課 情報センターへTELしました。 電話のやりとり はじめに広報担当の方が出て、情報センターの方に代わって頂いたため、その部分は省略します。また、各所に「えー」「あー」がお互い入っておりますが、それは省略します。 ozuma「わたくし、○○○○と申します。一昨日に公文書公開請求書をご送付いたしましたが、そちらに届いているか確認したく、お電話させて頂きました」 ご担当「はい、届いております。現在、作業に入っております」 ozuma「了解いたしました、よろしくお願いします。そ
国連安全保障理事会の専門家パネルは１１日、報告書を公表し、北朝鮮が仮想通貨交換業者にサイバー攻撃をするなどして、外貨を獲得している実態を明らかにした。 北朝鮮に対する制裁の実効性を調査している専門家パネルが公表した報告書では、北朝鮮がサイバー攻撃を行って仮想通貨交換業者から約５億７１００万ドル、日本円で６３０億円あまりを盗み出したと指摘した。 また、盗んだ額のほとんどが、去年、巨額流出が問題となった日本の「コインチェック」からだったとしている。 また、中国漁船１５隻以上が北朝鮮の漁業免許を掲げて操業していたという調査結果を写真付きで公表し、北朝鮮が外貨を獲得するために、漁業権を売り渡している実態も明らかにした。 さらに、メルセデス・ベンツやロールスロイスなど、輸入が禁止されている高級車を利用しているとして、制裁逃れを続けていると指摘している。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く