Twitterの大騒動から1日、このいたずらを仕掛けた犯人たちがどうやってユーザーをリダイレクトし、訳の分からないリツイートを大量にばらまいたのかが明らかになってきている。意外なのは、犯人のほとんどはコンピュータを乗っ取ったり、情報を盗もうとする犯罪者や攻撃者ではなく、セキュリティホールを利用して何ができるのか見てみようと好奇心に駆られたユーザーだったということだ。 各紙報道によると、TwitterのホームページのXSS（クロスサイトスクリプティング）脆弱性を最初に発見したのは、Masato Kinugawaと名乗る日本人開発者だった。彼はこれを利用して、虹の七色のツイートを作った。ノルウェーのRubyプログラマー、マグナス・ホルム氏も騒動に荷担した1人で、New York Timesによると、このXSS脆弱性を悪用する最初のワームの作成者という。同氏はKinugawa氏のコードを見て、自

結論から言うとパスワードは漏れてないけれどUNIQLO HAPPY LINEがユーザビリティを優先してセキュリティ軽視しすぎだった。10万近く集めてtwitterのトレンドに載るなどキャンペーンとしては成功だがセキュリティ上大きな問題があり早期改修orプレスリリースで謝罪などに至ると予想。とりあえず現状即被害があるものではないが念のためtwitterのパスワードを変えておくと安心でしょう。 今回のキャンペーンの問題をまとめると以下の通り。 2010.05.27 10:100S2ファクトリーから、ホスティングしているだけで制作会社は別である旨アナウンスがありました。 http://blog.s2factory.co.jp/kuriyama/2010/05/uniqlo-lucky-line.html UNIQLO LUCKY LINE に関して今回の UNIQLO さんの LUCKY LIN

Webブラウザのタブがいつの間にか詐欺サイトに切り替われば、大抵のユーザーは気付かないままログイン情報を入力してしまうという。 Firefoxのクリエイティブを率いるエイザ・ラスキン氏は、Webブラウザのタブでユーザーが見ていたページをこっそり詐欺サイトに切り替え、ログイン情報を盗み出す新たな手口を報告している。同氏はこの攻撃を「タブナッピング」と名付け、解説・実証するページを公開した。 この攻撃では、ユーザーが普段からアクセスしているWebサイトを閲覧した後にしばらくそのままにしておき、別のタブで別のWebサイトを見ている間に、攻撃者がJavaScriptを使って最初のサイトのお気に入りアイコンをGmailのアイコンにすり替えてしまう。すると、「Gmail: Email from Google」のタイトルを付けて、Gmailのログインページに見せかけた画面を表示することができてしまうとい

国民に「マイナンバー」の共通番号法案を閣議決定、２０１５年から利用開始目指す (shimarnyのブログ) 内閣官房情報セキュリティセンター／NISC (Wiki (PukiWiki/TrackBack 0.3)) Twitter Trackbacks () 君は生き残ることができるか？ (情報セキュリティプロフェッショナルをめざそう！(Sec. Pro. Hacks)) 公認会計士試験の最新情報について (公認会計士試験ガイド★講座 対策 受験 求人 事務所 問題集 合格 資格 学校) 短答式合格率4.6%に！ (■ＣＦＯのための最新情報■) 世間が反対するDPI広告を擁護する (んがぺのちょっとした政治・経済の話) 米国防総省、米軍サイバー対策を統括する司令部を設立 (情報セキュリティプロフェッショナルをめざそう！(Sec. Pro. Hacks)) 総務省 (時の流れ) クラウド・コ

ロシアのセキュリティ企業カスペルスキーラブスなどは2010年5月17日、ボット（パソコンを乗っ取るウイルス）を作成するための新しいツールが出回っているとして注意を呼びかけた。「Twitter」のツイート（書き込み）で操作できるボットを、1分もかからずに作成できる。 作成ツールの名称は「TwitterNet Builder」。操作は極めて簡単。同ツールを起動して、ボットを操作するTwitterのアカウント名（ユーザー名）を入力し、「Build」ボタンを押すだけ（図1）。これで、実行形式（拡張子がEXE）のボットプログラムが作成される。 このツールが作成するボットには、自分で感染を広げる機能はない。ボットを有用なプログラムに見せかけて実行させたり、ソフトウエアの脆弱（ぜいじゃく）性を突いて感染させたりする必要がある。 実行されたボットは、そのパソコンを乗っ取る。そして、作成時に登録されたTwi

情報セキュリティに関する相談や届け出を受け付けている情報処理推進機構（IPA）は2010年5月7日、マイクロブログサービス「Twitter」を悪用した攻撃が確認されているとして注意を呼びかけた。見知らぬユーザーを安易に「フォロー」すると、ウイルスサイトなどに誘導される危険性があるという。 Twitterには、ほかのユーザーの「ツイート（つぶやき、投稿）」を、自分の「タイムライン（ツイートの一覧表示機能）」に表示する「フォロー」という仕組みがある。あるユーザーをフォローすれば、そのユーザーのツイートが、リアルタイムで自分のタイムラインに表示されるようになる。 攻撃者はこの仕組みを悪用して、ターゲットとしたユーザーのタイムラインに、危険なURLを表示させようとするという。まず、攻撃者はターゲットとしたユーザーをフォローする。するとユーザーの多くは、知らない相手であっても、自分をフォローしたユー

今回の回答者： 平居 秀朗 サイバーエージェント　アメーバ事業本部 マーケティング・スタッフディビジョン ゼネラルマネジャー ブログ記事やコメントの筆者を特定したいという依頼は毎日のように寄せられています。自分のブログのコメント欄であれば，特定のIPアドレスからの書き込みを禁止したり，コメントを公開する前にチェックする承認機能を使って悪質なコメントを防ぐことができます。しかし，他人のブログに書かれる記事については，自分ではコントロールできません。ブログ開設時に入力する氏名や住所などのユーザー情報を調べても，正確に書かれているとは限らないので，筆者本人の特定にはつながらないケースがほとんどです。 筆者を特定するには，ブログ・サーバーに誰がいつアクセスしたのかというアクセス・ログと，正確なユーザー情報が必要です。アクセス・ログはブログ・サービス事業者が，正確なユーザー情報はプロバイダが持ってい

Twitterユーザー、あるいはこのプラットフォームを利用しているデベロッパーや企業は、2010年6月30日に向けて適切な対応を図る必要がある。Twitter APIのBASIC認証が廃止されるためだ。 意外と知られていないこととして、APIの制限のほかにユーザーごとの制限があると丹羽氏。1日当たりのツイートやフォロー、ダイレクトメッセージなどに上限があるが、ダイレクトメッセージの250件／日制限に引っかかってはじめてそれに気付く企業アカウントも少なくないという 「Twitter Development Talk（Twitter-Dev）」や「Twitter API Announcements」などではかなり前からアナウンスされていたが、2010年6月30日を最後に、Twitter APIのBASIC認証はエラーが返ってくるようになる。一見地味に映るこの出来事だが、カウントダウンサイトも用

猛威をふるうGumblar系ウイルスに対して、多くのウイルス対策ベンダーではヒューリスティックな振る舞い検知によるウイルス検知や、WebアクセスのIPアドレス/ドメイン/URLによるレピュテーションなどの手法で対抗しようとしている。だが、現実にはまだまだ防御しきれていないのが現状だ。ウイルス対策ソフトだけでGumblarを防げるようになるには、少なくとも2～3年はかかると筆者は予想している。 結局のところ、Gumblarへの対策としては、ウイルス対策ソフトだけに頼らず、総合的にGumblar系ウイルスに対する攻撃の芽を、リスクが発現するポイントを見極めて一つ一つつぶしていくしかない。 Gumblarのリスクが発現するポイントで考えた場合、大別すると以下の4つのポイントでの対策が必要となる。 （1）Webコンテンツ作成関連端末の対策 （2）Webコンテンツ管理の対策 （3）Webサーバーでの

買い物情報共有サイトの米Blippyは、同社ユーザーのクレジットカード番号がGoogleの検索結果に表示されていたことが分かったと、ブログで明らかにした。 Blippyは、ユーザーが自分のクレジットカード情報を登録しておき、そのカードで購入した物品の情報を共有できるサイト。同社が4月24日までに確認したところ、5人のユーザーのカード番号がGoogleの検索結果で露出していたことが分かった。 同社によると、番号が露出したユーザーは2月3日以前にサイトに登録し、クレジットカードのアカウントをBlippyにリンクさせて、公開アカウントの設定にしていた。このため、カード情報がGoogleにインデックス化されてしまった。 ただし同社は、ハッキングされたり、セキュリティが破られたりしたわけではなく、影響を受けたのはごく一部のユーザーにすぎないと強調している。 セキュリティ企業の米Websenseによれ

チェーンカッターやバールのようなものなどの破壊的な手段を使わなくても、どこにでもある輪ゴム一本でチェーンロックを突破してしまう方法の動画です。チェーンロックをしておけばドアから中に入ってこられることはない……というのがいかに危険な考えかがよく分かります。 詳細は以下。 ごく普通のチェーンロックがターゲット。 YouTube - Defeating a sliding chain lock using a rubber band 万が一鍵が開いていた場合、ロックを突破される危険は飛躍的に高まります。 まず、チェーンに輪ゴムを結びます。 そしてドアノブにその端をかける。 後は軽くドアを閉めるだけ。 ドアチェーンがゴムに引っ張られて外れます。 もちろんチェーンロックにはガイドから外れにくくするためのストッパーがついていることが多いわけですが、それが故障していないとは限りません。もちろんGIGAZ

文：Ryan Naraine（Special to ZDNet.com） 翻訳校正：石橋啓一郎 2010-04-05 14:06 2010年のCanSecWestで開かれたハッキングコンテストPwn2Ownで悪用された脆弱性を修正した、最初のブラウザベンダーはMozillaだった。 「Nils」として知られる英国のハッカーが、64ビット版Windows 7上のFirefoxを破ってからわずか1週間後に、Mozillaはそのセキュリティホールを修正したFirefox 3.6.3を公開した。 Mozillaのアドバイザリには次のように述べられている。 コードの実行につながるメモリ破壊の脆弱性が、TippingPoint Zero Day Initiative主催の2010 Pwn2Ownコンテストの期間中、MWR InfoSecurityのセキュリティ研究者Nils氏によって報告されました。ド