Smoozのサービス終了のお知らせ – Smooz Blog
このたび、当社が運営するブラウザアプリである『Smooz（スムーズ）』において、ご利用者の情報の取扱い、データ収集、及びセキュリティについてご利用者をはじめとする皆様に、多大なご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。 状況の確認と対策、原因調査を進めてまいりましたが、Smoozの提供を継続することは困難との結論にいたり、2020年12月23日をもってサービスを終了させていただきますことをご報告申し上げます。 これまでに収集したご利用者様の情報につきましては、返金に必要な情報以外はすべて削除が完了しております。返金対応が完了次第、全ての情報を削除いたします。収集したデータに関して悪用、個人情報の社外への流出は、現在のところ確認されていません。 【返金などのご対応につきまして】 プレミアム会員様には、12月分からの利用料金の返金をさせていただきます。また、交換可能なS
SNS「Parler」に投稿された100万本・80TBの映像をメタデータ付きでハッカーが取得したことが判明
投稿内容の管理やチェックを運営が行わないことを明言しているSNS「Parler」に投稿されたムービー合計109万8522本を、ハッカーがスクレイピングで取得したことを明らかにしています。取得された映像は、SNS公開用に処理されたものではなく、アップロード時点の未処理ファイルで、メタデータも残った状態だとのことです。 70TB of Parler users’ data leaked by security researchers | CyberNews https://cybernews.com/news/70tb-of-parler-users-messages-videos-and-posts-leaked-by-security-researchers/ Parler Is Gone, But Hackers Say They Downloaded Everything First
男性器をBluetooth経由でロックできるスマート貞操帯がハッカーの餌食となり身代金を要求される事態に
モバイルアプリからBluetooth経由で制御できるスマート貞操帯「Cellmate Chastity Cage」がハッカーの攻撃対象になり、リモートでロックされて「ロックを解除して欲しければ身代金を支払え」とユーザーが脅迫される事態が発生しました。 Hacker used ransomware to lock victims in their IoT chastity belt https://www.bleepingcomputer.com/news/security/hacker-used-ransomware-to-lock-victims-in-their-iot-chastity-belt/ ‘Your Cock Is Mine Now:’ Hacker Locks Internet-Connected Chastity Cage, Demands Ransom https:/
横浜銀行、紙の通帳を有料化 2月から1100円に Web通帳の利用を促進
横浜銀行は1月7日、個人による紙の通帳の発行を有料化すると発表した。2月16日以降に口座を新規開設し、通帳を発行した70歳未満の個人には、1冊当たり1100円（税込）の手数料を課す。ペーパーレス化を進め、Web上で入出金の明細を確認できる「Web口座」の利用を促進する。 紙の通帳の有料化に合わせ、Web口座の利用者に向けた特典も拡充。Web口座のユーザー限定で、2月16日からATMの時間外手数料を0円にする。横浜銀行はこれまで、通帳の種類を問わず、口座を新設して1年以内の客の時間外手数料を無料にしていたが、このサービスは同日に終了する。 横浜銀行は2020年に住宅ローンの契約書類を電子化し、投資信託に関する書類をSMSで送る取り組みを始めるなど、業務のペーパーレス化を進めている。 関連記事 みずほ銀、21年から新規口座の通帳発行に1100円 ネットバンキング推進を本格化 みずほ銀行が、紙の
共通脆弱性タイプ一覧CWE概説 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
共通脆弱性タイプ一覧CWE概説 CWE（Common Weakness Enumeration） ～脆弱性の種類を識別するための共通の脆弱性タイプの一覧～ >> ENGLISH 共通脆弱性タイプ一覧CWE（Common Weakness Enumeration）(*1)は、ソフトウェアにおけるセキュリティ上の弱点（脆弱性）の種類を識別するための共通の基準を目指しています。 1999年頃から米国政府の支援を受けた非営利団体のMITRE(*2)が中心となり仕様策定が行われ、2006年3月に最初の原案が公開されました。その後、40を超えるベンダーや研究機関が協力して仕様改善や内容拡充が行われ、2008年9月9日にCWEバージョン1.0が公開されました。 CWEでは、SQLインジェクション、クロスサイト・スクリプティング、バッファオーバーフローなど、多種多様にわたるソフトウェアの脆弱性を識別するた
「管理者権限でログインできるバックドアアカウント」が10万台以上のZyxel製ネットワーク機器で見つかる
台湾のネットワーク機器メーカーであるZyxel製のファイアウォール機器やVPNゲートウェイに、第三者が管理者権限でログインできてしまう「バックドアアカウント」が発見されました。これにより影響を受けるデバイスは、全世界で10万台以上に達すると推測されており、セキュリティ研究者は所有者に対してすみやかなファームウェアのアップデートを推奨しています。 Zyxel security advisory for hardcoded credential vulnerability | Zyxel https://www.zyxel.com/support/CVE-2020-29583.shtml Undocumented user account in Zyxel products (CVE-2020-29583) - EYE https://www.eyecontrol.nl/blog/undocu
私のセキュリティ情報収集法を整理してみた（2021年版） - Fox on Security
新年あけましておめでとうございます。毎年年頭に更新している「私の情報収集法」を今年も公開します。何かの参考になれば幸いです。 インプットで参照している情報源（海外） 海外からの攻撃が主流となる中、海外情報をいち早く把握する事の重要性が増している気がしますので、今年は海外情報源から書きたいと思います。 昨年の記事では多くの海外サイトを紹介しましたが、試行錯誤の結果、まとめサイトでもある「morningstar SECURITY」や「DataBreaches.net」を押さえておけば、主要サイトが概ねカバーされると分かったので、今年は数を絞っています。 サイト キタきつね寸評 morningstar SECURITY 去年と変わりませんが、情報の更新頻度、そして関連ソースの網羅性という意味では、英語系のセキュリティニュースとしては最良の情報ソースの１つかと思います。私は「Daily Secur
GitHubがGit操作時のパスワード認証を廃止、今後はトークンによる認証が必須に
GitHubがコマンドラインでのGit操作時の認証方式のひとつである、パスワード認証を廃止すると発表しました。同サービスは2020年11月にREST API利用時におけるパスワード認証を廃止し、二段階認証などのトークン認証に移行しており、今回の発表はその範囲を拡大した形となります。 Token authentication requirements for Git operations - The GitHub Blog https://github.blog/2020-12-15-token-authentication-requirements-for-git-operations/ 近年、GitHubは二段階認証やサインインアラート、デバイス認証、WebAuthnへの対応など、トークンを基盤としたセキュリティ機能の向上に力を入れてきたとのこと。トークンは「ユーザーごとに固有」「いつで
続・国産ブラウザアプリSmoozはあなたの閲覧情報をすべて外部送信している
Smoozには前回の記事で詳しく紹介しきれなかった機能があります。 それがおすすめ記事というものです。 これがオンになっていると、閲覧しているサイトの末尾に、アスツール社の提示するおすすめ記事と広告が付け加えられるものです。ページの一番下までスクロールしないと出てこないので気付いてない人もいるかと思います。 この機能を有効にして、うちのサイトを表示すると下のようになります。 ▼おすすめ記事 私のコンテンツは黒線の上まで。その下からが本来のページには存在しないSmoozの付け足したコンテンツになります。Gigazineの記事や広告が並んでいるのがわかるはずです。 これについて通信内容を解析してみると、 ml.api.smoozapp.com に対しての通信が該当していることがわかります。 ▼ml.api.smoozapp.com /recommend/pagesとあるので、おすすめ記事のこと
三菱パワーが被害に遭ったMSP経由の不正アクセスについてまとめてみた - piyolog
2020年12月11日、三菱パワーは同社が利用するマネージドサービスプロバイダー経由の不正アクセスが発生したと公表しました。ここでは関連する情報をまとめます。 社内PCの不審挙動が発端 power.mhi.com 三菱パワーが発表した不正アクセスは次の通り。 三菱パワー社内PCでの不審な挙動検知が発端。その後の調査で複数の社内のPC、サーバーから外部への不正通信が発生していることが判明。 不正アクセスによる影響範囲は三菱パワー社内、および社内グループが対象。三菱重工グループネットワークへの不正アクセスは確認されていない。 同社が利用するMSP経由による不正アクセスであったことが判明し当該サービスの通信を遮断済。 IT関連情報が流出 流出が確認された主な情報はIT関連に該当する情報で次の通り。機微情報、機密性の高い技術情報、取引先に関係する重要情報、個人情報の流出は確認されていない。 サーバ
カプコン、不採用者の応募書類を破棄せず 採用ページには「責任を持って破棄」と記載も、サイバー攻撃で情報流出の可能性
応募者情報についてカプコンは自社の採用サイトで「採用選考の結果、採用に至らなかった方、採用を辞退された方の応募書類などは選考後、当社において責任をもって破棄致します」と記載していた。本来破棄されるはずの個人情報が破棄されていなかったことについて、Twitter上では同社の対応を疑問視する声が上がっている。 カプコンは「応募者の履歴書などをデータ化し、一定期間保管していた」と説明。「データ化についての言及がなく、表現が不足していたため誤解が生じた。おわびする」と陳謝した。保管理由については「応募者によっては複数回応募される方もいる。過去の応募履歴をスムーズに確認するためだった」と釈明した。応募者のデータを一律保管していたのかなどについては「現時点では不明」としている。 採用応募者の情報については、氏名、生年月日、住所、電話番号、メールアドレス、顔写真などが流出した可能性があるとしている。同社
国内でマルウェア「IcedID」が拡散か--Emotetに類似
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます JPCERT コーディネーションセンター（JPCERT/CC）は11月6日、マルウェア「IcedID」の感染を狙う不正なメールが複数報告されているとして注意を呼びかけた。近年流行するマルウェア「Emotet」の感染を狙った攻撃方法に似ているという。 BlackBerryによると、IcedIDは2017年にIBMのセキュリティ研究者が発見したトロイの木馬型の不正プログラム。銀行やペイメントカード会社、モバイルサービスプロバイダー、オンライン小売り、給与計算ポータル、メールクライアントなど標的に、金融関連情報や資格情報などを窃取するという。 感染攻撃に使われる不正メールは10月下旬に流通し始め、11月3日頃から増加していると見られる。Twi
大量出現したニセ通販サイトを探る - 午前７時のしなもんぶろぐ
こんにちは！ しなもんです。 ふとしたきっかけから、日本語のニセ通販サイトが大量に作られたことが判明しましたので、注意喚起を兼ねて調査結果を公開します。 こうした偽サイトに個人情報や金融情報などを入力しないようにご注意ください。 はじめに 偽サイトの発見 ニセサイト群の特定 ドメインを分析 実際のサイトの様子 運営会社の身元 画像の出所 ソースの分析 注文してみた 評価サイトでの扱い 攻撃を仕掛けているのは何者なのか ニセサイトは平然と存在している 調査に使用したサービス 付録 調査対象のドメイン一覧 更新履歴 はじめに 調査はしなもんが自力で実施しましたが、ニセ通販サイトの存在自体は I 氏から教えてもらいました。 調査上の重要なアイデアのいくつかも I 氏によるものです。 この場を借りてお礼を申し上げます。 以下、不用意なアクセスの防止のために、URL や IP アドレスを 「hxxp
パラノイアのプログラマと第６感 - megamouthの葬列
今だから白状すると、昔、運営していたサービスの一般ユーザーのパスワードをハッシュ化（暗号化）せずに平文でDBに保存していたことがある。 言いわけは、幾つかある。 一つは、今では当たり前のようについているパスワードリマインダーの仕組みが当時は一般的ではなかったこと。 ユーザーがパスワードを忘れた、と問い合わせしてきた時に、最も自然な方法はまさに当人が設定した「パスワード」を一言一句違わず登録メールアドレスに送信することだった。あなたのパスワードは○○○です。ああそうそう、そうだったね。こういう感じだ。 当時のユーザーはそれを不審がらなかった。 またサポートコストの問題があった、パスワードの再発行を、そのためのトークンを含んだ長いURLを、大半のユーザーが嫌がっていた。 サポート部門はOutlookExpressに表示された長すぎるURLのリンクが途中で切れててクリックできない、という苦情にい
Nano Defenderがマルウェアになっちゃいました | 280blocker
前回記事（nano系の広告ブロックは速やかに削除しましょう | 280blocker）の続報です。 前回記事では、Chrome機能拡張のNano DefenderとNano Adblockerがトルコの謎の組織に売却された事を書きました。 その後、2020/10/15にChrome機能拡張のNano Defenderが更新され、githubで公開されているソースコードには存在しない、非公開のコードが挿入されました。 gorhill(uBlock Originの作者）が検証を行った結果、その挙動はマルウエアであるとの結論になりました。 Chrome機能拡張のNano Defenderは、まず外部サイトから検索条件を取得してその条件に合ったブラウザのデータを、外部サイトへ送信するようです。 ユーザーのデータを外部に送信するマルウエア（スパイウエア）と考えられます。 もしも、いまだに使用している
nano系の広告ブロックは速やかに削除しましょう | 280blocker
有名な広告ブロック機能拡張であるNanoAdblockerとNanoDefenderが正体不明の開発者に買収され、安全な機能拡張とは言えなくなりました。 これらを使用している方は速やかに削除して、uBlock Originへ乗り換えましょう。安心できる開発者であることが明らかになるまでnanoのインストールは控えましょう。 これまでの流れ NanoAdblockerとNanoDefenderは広告ブロックの有名な機能拡張でublockから派生したものです。 以前は独自機能で魅力的でしたが、最近はアップデートも遅れがちで、ublockのアップデートに追い付いていない状態が続いていました。 2020年10月3日にnanoの開発者よりアナウンスがあり、機能拡張をトルコの開発者へ売却する事が明らかになりました。売却先の詳細や買収した意図は不明です。その数日後ににnano機能拡張の開発元表示が売却先
日本を含む7カ国、エンドツーエンド暗号化コンテンツへの公的接続を可能にするよう要請する国際声明
英政府は10月11日（現地時間）、IT企業に対し、エンドツーエンドで暗号化（E2EE）されたコンテンツに法執行機関がアクセスできるようにするよう要請する国際声明を発表した。声明に署名したのは、ファイブアイズと呼ばれる英、米、カナダ、オーストラリア、ニュージーランドの5カ国と、インド、日本。 英政府は「テロや児童の性的搾取、虐待などの深刻な犯罪を捜査する場合、E2EEは公共の安全に深刻な影響を及ぼす。ユーザーのプライバシーとセキュリティを損なうことなく、市民の安全を確保するための解決策を見出すために政府と協力するようIT企業に呼び掛ける」としている。 米国では2016年、米Appleが米連邦捜査局（FBI）からの犯人所有のiPhoneのロック解除を拒否したことをきっかけに、国家安全と個人のプライバシーをめぐる議論が高まった。米上院議員は昨年12月、AppleやE2EEのメッセージングアプリ「
ドコモ口座被害、底なし沼 責任押し付け合い（産経新聞） - Yahoo!ニュース
ＮＴＴドコモの電子マネー決済サービス「ドコモ口座」などを用いた不正な預金引き出し問題が底なし沼の様相を見せている。別のスマートフォン決済サービスや、これらのスマホ決済事業者と連携する複数の銀行で新たに被害が見つかるなど、数珠つなぎで被害が発覚しているためだ。また各社の情報公開が後ろ向きなのに加え、責任を押し付け合うような発言も多い。消費者にとって不安は払拭されるどころか、広がるばかりだ。 【図で見る】本人確認が不十分な所が犯人に狙われた 「（２段階認証の導入を）各決済事業者に強力に要請していた」。ドコモ口座と連携する銀行のうち最も多くの被害があったゆうちょ銀行の田中進副社長は１６日の記者会見で、ドコモ口座とは別に、連携する５つの決済サービスの被害の詳細を明らかにすると、こう弁明した。 ただこの発言に対しては一部決済事業者から「２段階認証は他の銀行との連携でも導入している。ゆうちょ銀からの提
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
アイコンを見るだけでデータが破壊されるNTFSの脆弱性
WordPressで「Contact Form 7」を利用中のユーザーは今すぐアップデートを！重大な脆弱性が発覚！
