スラド
本レビューサイト「ブクログ」、2年弱ソースコード上にメールアドレスが表示された状態に 2020年10月27日 08:01

本レビューサイト「ブクログ」、2年弱ソースコード上にメールアドレスが表示された状態に

2020年10月27日 08:01

ブクログは10月21日、読んだ本の感想などを投稿できる同社のサービス「ブクログ(booklog)」で、本棚の公開設定をしている場合、利用者のページのソースコード内にそのページ利用者のメールアドレスが記載されていたと発表した（ブクログリリース）。

20日16時頃に利用者からの指摘を受けて発覚したという。リリースによれば、2018年12月25日に行ったサイト改修が行われた時点から、2020年10月20日に修正されるまでの期間、メールアドレスが表示される仕様になっていたとしている。なお本棚を非公開にしている場合はメールアドレスが表示されることはないとしている。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

スラド
Microsoft、流出したWindows XPのソースコードをGitHubから削除するのに10日を要する 2020年10月12日 13:03

Microsoft、流出したWindows XPのソースコードをGitHubから削除するのに10日を要する

スラド

著者: nagazou

2020年10月12日 13:03

headless 曰く、

9月に流出が話題となったWindows XPのソースコードだが、GitHubに転載されたソースコードをMicrosoftが削除するまでに10日を要したようだ(TorrentFreakの記事、 BetaNewsの記事)。

GitHubリポジトリにソースコードがアップロードされたのは9月28日(Internet Archiveのスナップショット)。Microsoft Security Insident ResponseのスタッフがDMCA削除要請をGitHubに送ったのは10月8日となっている。同じユーザーはWindows XPと同時にリークしたWindows Server 2003のソースコードもGitHubに転載しているが、こちらのリポジトリは日本時間12日0時過ぎの時点でもアクセス可能な状態だ。

Microsoftは結果として、流出したWindowsのソースコードを傘下のGitHubでホストしていることになる。元々torrentで流出したため簡単に止めることはできないとはいえ、Microsoftが流出をあまり問題視していないようだとTorrentFreakは評している。

東映子会社のサイトから10,395件のクレジットカード情報が漏洩した疑い。なぜかセキュリティコードまで保存

スラド

著者: Dharma-store (posted by nagazou)

2020年10月6日 13:02

東映の子会社である東映ビデオは9月30日、同社が運営する「東映ビデオオンラインショップ」で、ユーザーのクレジットカード情報(10,395件)が漏えいした可能性があると発表した（東映ビデオ）。

原因は外部からの不正アクセスとみられ、漏洩はクレジットカード会社からの指摘で判明したという。クレジットカード会社から漏洩の指摘があったのは5月11日。その段階でサービスは停止している。5月29日に第三者機関による調査が完了したとのこと。最終報告書によれば、2019年5月27日から2020年5月11日の期間に不正アクセスが発生、利用者のクレジットカード名義人名、クレジットカード番号、有効期限、セキュリティコードが流出した可能性があるとしている。

5月に判明していたにもかかわらず、9月まで発表が遅れた理由としてはカード会社と協議を重ねていたためだとしている。

Dharma-store 曰く、

クレカ情報、1万件が流出か　東映子会社DVD販売サイトから
https://news.yahoo.co.jp/articles/906c73ffff8b815b3636d475d97cfa81a29a8306
というのは、まぁありがちな話かなぁとおもったら、
> 同社によると、昨年5月から今年5月までに同サイトでカード決済した人の
> カード番号、名義人の氏名、有効期限、セキュリティーコードが漏れた可能性があるという。
とのこと。セキュリティコードが漏れるって、わざわざ保存してたんでしょうか。
決済システムの仕様が分かりませんが、そんな恐ろしいことしてて良いんですかねぇ。
可能性としては、システムいじられてて、入力データがダダ漏れになってたということも
あるかもしれませんが、それにしてもセキュリティコードもってかれたらたまりません。
実店舗でも、最近は店員にカードを渡さない感じになってきたので有り難いのですが、
昔は裏面のセキュリティコードは修正テープで隠したりしてたものです。
ああ、マイナンバーカードもそうすればいいんじゃないの。＞ナンバー隠してどうする。
とりあえず、東映には、仮面ライダーやら戦隊ヒーローやら、セーラームーンやらプリキュアやら
正義の味方がたんまりいるので、あの方たちになんとかしてもらうのが宜しいかと。
ああ、ショッカーもたんまりいいるんでしたっけ。
東映太秦映画村のイーッ！ところをショッカーがご紹介！！
https://www.youtube.com/watch?v=J-OYcziq_XU

すべて読む | セキュリティセクション | 情報漏洩 |

スラド
テレフォンバンキングがリバースブルートフォース攻撃される可能性について 2020年9月18日 12:00

テレフォンバンキングがリバースブルートフォース攻撃される可能性について

スラド

著者: nagazou

2020年9月18日 12:00

複数の銀行やサービスで発生している不正引き出し事件だが、セキュリティ研究家の高木浩光氏は、インターネットバンキングの普及でだいぶ影の薄くなっているテレフォンバンキングでも、先の不正引き出し事件同様にリバースブルートフォース攻撃によるハッキングの危険性があると指摘している（高木浩光＠自宅（テレワークを除く）の日記）。

同氏はこの問題を指摘するために、三井住友銀行のコールセンターに電話したという。その流れ自体は複雑な上にとても長いので割愛するが、途中で上席担当が出てきた上で、危険性があること自体は認める流れるとなっている。

編集子が個人的に興味深かったのは、三井住友銀行の場合は、インターネットバンキングは継続し、テレフォンバンキングだけを止めるといったこともできるということ。キャッシュカードがICカードに切り替わってる場合は、磁気ストライプ型のキャッシュカードを偽造されても引き出せない基本設定になっていることなどだった。ほかの銀行でもそういうものなのだろうか。

なお高木氏は自衛策として、自分の暗証番号を複数回間違えて口座をロックしてしまう方法をおすすめしている。ネットバンキングやテレフォンバンキングがロックされていても、ATMからの引き出しはできるから問題ないそうだ。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

スラド
国際宇宙ステーションで通常よりもわずかに高いレートの空気漏れ、全ハッチを閉じて調査へ 2020年8月22日 11:39

国際宇宙ステーションで通常よりもわずかに高いレートの空気漏れ、全ハッチを閉じて調査へ

スラド

著者: headless

2020年8月22日 11:39

国際宇宙ステーション(ISS)で通常よりもわずかに高いレートの空気漏れが確認されていることから、今週末に全ハッチを閉じて各モジュールの気圧変化を調べるテストを実施する(NASAのブログ記事)。

ISSはクルーが快適に過ごせるよう与圧されており、常時ごくわずかな空気漏れが発生している。そのため定期的に再与圧が行われているが、昨年9月に標準よりも若干高いレートでの空気漏れが確認されたという。しかし、ISSの運用には船外活動や宇宙船のドッキング・アンドッキングといった作業が伴うため、空気漏れレート増加の判断に十分なデータを収集するための時間がかかったとのこと。

現在ISSに滞在している第63次長期滞在クルー3名(NASAのクリストファー・キャシディ宇宙飛行士、ロスコスモスのアナトーリ・イヴァニシン宇宙飛行士とイヴァン・ヴァグナー宇宙飛行士)は金曜日の夜から月曜日の朝までロシア側の居住棟ズヴェズダサービスモジュールに滞在する。テスト中は全ハッチが閉じられるがクルーへの危険はなく、小型研究モジュールポイスクや地球帰還用の有人宇宙船ソユーズMS-16にはアクセスできる。

ISSでは2018年、ドッキングしていたソユーズMS-09の軌道モジュールに開いた直径2mmほどの穴が原因で空気漏れしている。今回の空気漏れは通常より多いものの基準内に収まっており、直ちにISS滞在クルーへ危険が及ぶことはないそうだ。

スラド
米国国家安全保障局（NSA）、位置情報を漏らさないようにするためのガイダンスを公開 2020年8月13日 08:05

米国国家安全保障局（NSA）、位置情報を漏らさないようにするためのガイダンスを公開

スラド

著者: nagazou

2020年8月13日 08:05

あるAnonymous Coward 曰く、

米国国家安全保障局（NSA）が、位置情報を保護するためのガイダンス「Limiting Location Data Exposure」を発表したそうだ。このガイダンスは政府機関や一般ユーザーなどの位置情報漏洩を防ぐためのものだという（NSA、マイナビ、ガイダンス全文[PDF]）。

マイナビによると具体的な対策例としては、
デバイスの位置情報サービス設定を無効にする
Wi-FiやBluetoothを頻繁に使用していない場合にはオフにする
デバイスを使用していない時は機内モードにする
アプリには最低限必要な権限しか許可しないようにする
"デバイスを探す"などの追跡機能をオフにする
デバイスでのWebブラウジングは最小限にとどめ、ブラウザへの位置情報サービスへのアクセスは許可しない
匿名のVPNを使用する
可能であれば、クラウドに保存される位置情報を最小限にする
というものとなっている。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

スラド
ショップチャンネルの通販サイトで不正ログインが発生。22件の個人情報が流出した疑い 2020年7月31日 13:02

ショップチャンネルの通販サイトで不正ログインが発生。22件の個人情報が流出した疑い

スラド

著者: nagazou

2020年7月31日 13:02

あるAnonymous Coward 曰く、

やや旧聞に類する話だが、通販番組を手がける「ショップチャンネル」の通販サイトに不正ログインが発生していたそうだ。サイト上に登録されている顧客情報が流出した可能性があるという。7月15日に海外から不正ログインが試行されていることが定期チェックで判明、そこから調査した結果、不正ログインが判明したようだ（リリース[PDF]、ScanNetSecurity）。

運営会社ジュピターショップチャンネルによると、不正ログインはリスト型攻撃によって行われたと推測されている。発表によれば不正ログインされた情報は264件。そのうち22件が氏名、郵便番号、住所、電話番号、メールアドレス、生年月日、クレジットカード番号の下4桁と有効期限と本人以外へのお届け先として登録されている氏名や住所、郵便番号の情報も閲覧されている可能性があるとしている。

不正ログインされたユーザーのパスワードは7月16日にリセットされたとしている。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

EASA、エアバスA350型機の制御パネルにカバーを装備するよう命じる。操縦席でコーヒーが飲めるように

スラド

著者: nagazou

2020年7月31日 08:00

headless 曰く、

US航空安全機関(EASA)は7月21日、エアバスA350型機の制御パネルにカバーを装備するよう運航会社に命ずる耐航空性改善命令(AD)を発行した(AD、 The Registerの記事)。

同型機では2つの操縦席の間にある制御パネルの組み込まれた台に液体をこぼした場合、運航中にエンジンが停止して再始動できなくなる可能性がある。エアバスは操縦室内の液体禁止ゾーンを定義する航空機運航マニュアル(AFM)暫定リビジョン(TR)を発行しており、EATAはAFM TRに従ったAFM修正を運航会社に命ずるADを2月に発行していた。

その後、エアバスは制御パネルを完全に液体から保護できる取り外し可能なカバー(mod 116010)を開発し、作業指示書(SB)を発行している。また、液体禁止ゾーンの定義に加えてカバーの使用方法や誤って液体をこぼしたときの対応などを含むAFM TRも同時に発行したという。エアバスはさらに、制御パネル自体を耐水化するmod 116038も開発したとのこと。

今回のADは2月のADを置き換えるもので、mod 116038を適用済みのものを除くすべてのA350-941/1041にカバーを装備し、AFMを更新するよう運航会社に命じている。

スラド
保存されないはずの無料VPNアプリの個人情報が流出。被害者は2000万人以上におよぶ可能性 2020年7月21日 15:02

保存されないはずの無料VPNアプリの個人情報が流出。被害者は2000万人以上におよぶ可能性

スラド

著者: nagazou

2020年7月21日 15:02

あるAnonymous Coward 曰く、

VPNサービスのニュース・レビューサイト「vpnMentor」のブログ記事によると、香港を拠点とする複数の無料VPNアプリの個人情報が流出していたのを発見されたそうだ。各サービスの公称利用者数を合計すると約2000万人分の個人情報が流出している可能性がある（Digital Trends）。

各サービスでは本来はログは保存していないと説明されていたようだ。しかし、流出したデータには、ユーザ登録時のIPアドレスやアカウント名とパスワード、有料版利用者のビットコインの支払い情報やPayPalのURLなどが含まれていた。容量では1テラバイト、内容的には10億行のデータが含まれていたという。

これらのVPNサービスは異なる企業によって提供されていたものの、アプリの配布元はすべて同一の香港の会社だった。また支払いに関してはDreamfii HKという企業だったという共通点があった。さらに各サイトは同じIPアドレスで似たデザインになっていることから、同一提供者によるホワイトラベルだったのではないかとvpnMentorでは予想している。

それぞれのVPNサービスのアプリ名をアプリストアで見てみると、iOS版やGoogle Playでも日本語のレビューが見られることから、日本でも利用者が結構いた可能性があるようだ。利用していた方はパスワード変えるなど対策が必要だろう。

今回データが流出したのは以下のサービス
UFO VPN
FAST VPN
Free VPN
Super VPN
Flash VPN
Secure VPN
Rabbit VPN

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

スラド
最も使用されているパスワードは相も変わらず「123456」。漏洩データからの研究 2020年7月6日 16:52

最も使用されているパスワードは相も変わらず「123456」。漏洩データからの研究

スラド

著者: nagazou

2020年7月6日 16:52

taraiok 曰く、

過去に漏洩した10億を超える認証情報を元に分析したところ、未だに「123456」のパスワードが多く使われていることが分かった。この分析はコンピュータエンジニアリングの学生であるAtaHakçıl氏が先月実施したもの。さまざまな企業で発生したデータ侵害後、オンライン上に漏洩したユーザー名とパスワードの組み合わせを分析したという（ZDNet、分析に使われたデータセットなど、slashdot）。

同氏の分析結果によると、10億件以上のデータの中から重複していない一意のパスワードは168,919,919個であったという。さらに700万以上が毎度おなじみの「123456」文字列であったとしている。パスワード長に関しては平均で9.48文字であったことも分かったという。ほとんどのセキュリティ専門家は、16〜 24文字以上の長いパスワードを使うことを推奨しているが、9.48文字はとくに少ないはいえないとしている。

別の発見はパスワードに使われている文字の種類だ。特殊文字を含むと解析されにくくなるが、こうした特殊文字を使用しているのは全体の12％ほどだったという。ほとんどの場合、ユーザーは文字のみ（29％）や数字のみ（13％）だけのパスワードを使用している。
つまり10億個のデータセットに含まれていたすべてのパスワードのうち、約42％が辞書攻撃に対して脆弱であることを意味している。

スラド
NTTコミュニケーションズで「水平移動」型の不正アクセス、621社の情報流出の恐れ 2020年5月30日 08:00

NTTコミュニケーションズで「水平移動」型の不正アクセス、621社の情報流出の恐れ

スラド

著者: hylom

2020年5月30日 08:00

Anonymous Coward曰く、

NTTコミュニケーションズは5月28日、攻撃者からの不正アクセスを受けたことを5月7日に検知し一部の情報が外部に流出した可能性があることを発表した（プレスリリース）。

NTTコミュニケーションズが提供する企業向けクラウドサービスBHE/ECL1.0において、ラテラルムーブメント（水平移動）タイプのアタックによりシンガポールのサーバからサービス管理セグメントの運用サーバを経てNTTコミュニケーションズ社内のActiceDirectoryサーバが不正操作された模様。情報流出の可能性があるユーザは621社であるとのこと。

またNTTコミュニケーションズ社内のサーバ群への不正アクセスも認められるため影響を調査しているとのこと。撤去予定のサーバが踏まれたような記述があるが、同業社としては注意したいところである。

スラド
日経グループの社員がメール経由でウイルスに感染、社員ら1万2514人分の個人情報流出 2020年5月15日 16:01

日経グループの社員がメール経由でウイルスに感染、社員ら1万2514人分の個人情報流出

スラド

著者: hylom

2020年5月15日 16:01

日本経済新聞社に対しサイバー攻撃が行われ、同社やグループ会社の社員の個人情報が流出した（日経新聞の発表、プレスリリース）。

同社グループ従業員のPCがメールの添付ファイル経由でウイルスに感染し、そこから流出が発生したという。流出したのは同社のネットワーク端末を利用した同社および関連会社・団体、派遣社員、アルバイト、業務委託先社員など1万2514人分の情報で、氏名や所属、メールアドレスが含まれていた。読者や顧客、取材先に関連する情報の流出はないとのこと。

セキュリティソフトなどは導入しているが、今回のウイルスは検出できていなかったようだ。

すべて読む | セキュリティセクション | セキュリティ | 情報漏洩 |

ノーマルビュー