このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 X： ＠shiropen2 韓国のセキュリティカンファレンス「POC 2024」で発表された「Lights Out: Covertly turning off the ThinkPad webcam LED indicator」は、LEDを点灯させずにノートPCのカメラで盗撮する手法を提案した内容である。 研究者は、ThinkPad X230に搭載されているWebカメラのLEDインジケーターを、ユーザーに気付かれることなく無効化できる脆弱性を発見。この脆弱性を利用すると、マルウェアがWebカメラが作動していることを示すLEDインジケーターを無効化したまま、カメラを使用することが可

Be the first to know about critical vulnerabilitiesCollect, analyze, and share vulnerability reports faster using AI

合格率も高く，ITSSのスキルレベルもITパスポート同等のものであるため，比較的とっつきやすい試験だと感じております． なぜ受けるべきか 「知識をつけたいなら参考書を読むだけで十分」「資格試験は取るだけでは実務に活かせる部分が少なく意味がない」等々，色々な意見があるのは重々承知していますし，どれも間違いではないと思います． ですが，「学習を進め，知識の習得率を測るために試験合格をゴールとする」ことは大変有意義なことだと私個人は思います．その理由を以下に2点述べたいと思います． セキュリティの体系的な知識は知ろうとしないと身につかない まず大前提ですが，受け身で学習していても部分的な知識しか身につきません． 受け身でいる場合，ニュースで見るようなセキュリティ事故やSNSで閲覧する表層的な知識くらい得ることができません．情報収集がしやすい反面，体系的に学ぶことができないのが欠点です． これは，

新しく契約したばかりのスマートフォンに、怪しい電話がかかってくるという経験をした人という人が増えているようだ。その理由は電話番号が逼迫（ひっぱく）しているため、以前他の人が使っていた番号が再割り当てされているため。古くからある事象ではあるのだが、現在そうした事象に出くわす人が増えているのはなぜだろうか。 実はリサイクルされている携帯電話番号 ここ最近SNSで、新たに契約した携帯電話の番号に、突然不審な電話やSMSが届く……という経験をしたという投稿が話題となり、同じような経験をした人が同情を示すなどして話題となったようだ。 その内容を見るに、単に見知らぬ他人や知らない会社から電話がかかってくる、というケースだけではないようだ。中には金融事業者や法律事務所からの債務回収、警察からの事情聴取などの電話がかかってくるケースもあるようで、どう喝じみた電話を受け怖い思いをした、という人もいる様子だ。

はじめまして､デジタルペンテスト部2年目のれーじです｡ 1年目はIoTペネトレ､2年目の現在はスマホアプリ診断を担当しています｡先輩も後輩も化物みたいな人しかいないため､足を引っ張らないように必死です｡ 先日友人から｢フリーwifiとかって危ないって聞くけど実際どうなの？｣と聞かれました｡｢危ないよ！｣と即答したのはいいものの具体的にどう危ないかの説明に困ったため､それを機にwifiハッキングについて少し勉強し､実験した内容をブログにしました｡ はじめてのブログですので色々ご容赦ください｡ これからの内容は絶対に自身の環境以外で試さないでください｡｢不正アクセス禁止法｣に引っかかる可能性があります｡ wifiハッキングって何するの？ 隣の家のwifiを不正利用 実験環境 事前準備 kaliにwifiインタフェースを認識させる｡ 実験内容(手順) wifiインタフェースをMonitor mo

あらおじ @ojigunma すごい タリーズの原因発見してる人いる 確かにナンカある slick.min.js という画像をスライドするファイルの中に 難読化された悪意のあるコードが追記されてるっぽい 難読化は４段階ぐらいされてるらしい これブラウザとかセキュリティソフトで気づくのは無理なんだろか。。。 x.com/motikan2010/st… Niishi Kubo | GitLab,Limeboard @n11sh1_ クレカ情報漏洩の件、技術的な原因特定はこの投稿が一番分かりやすかった。 slick.min.js（画像切り替えのライブラリ）を改ざんされてマルウェアが仕込まれて、クレカ情報はサーバーに送信される前にフロントエンドから外部に送信されていたらしい。Content-Security-Policy がレスポンスヘッダーにきちんと設定されていれば悪意あるドメインに対しての通信

YAPC::Hakodate 2024での発表内容です。 https://yapcjapan.org/2024hakodate/

##はじめに パソコンを使う上で、セキュリティのことは、割と気になることではあったりします。 しかし、セキュリティと言っても、私のような初心者には全く分からないことだらけで、何からやればいいのか、何を学べばいいのか、その方向性が見えない人も少なくないと思います。 ここで、私は、防御を学ぶには、まず攻撃から学ぶのが最も効率が良いのではないかと考えています。 これは、防御手法のほとんどは、攻撃側から発生すると考えるからです。 具体的には、脆弱性の発見とその修正といった形などのことです。 攻撃手法やその防御は、日々変化していくものですが、その多くは、攻撃から始まることが多いからと言い換えてみてもよいかもしれません。 したがって、攻撃から防御を見ていくことは、情報の新規性や専門技術的知識から見て、一定の合理性があると思います。 もちろん、ここで言う専門技術的知識というのは、何も定型的な技術に限らず

はじめに セキュリティエンジニアの齋藤ことazaraです。今回は、不可思議なContent-Typeの値と、クラウド時代でのセキュリティリスクについてお話しします。 本ブログは、2024 年 3 月 30 日に開催された BSides Tokyo で登壇した際の発表について、まとめたものです。 また、ブログ資料化にあたり、Content-Type の動作や仕様にフォーカスした形で再編を行い、登壇時に口頭で補足した内容の追記、必要に応じた補足を行なっています。 また、本ブログで解説をする BSides Tokyoでの発表のもう一つの題である、オブジェクトストレージについては、以下のブログから確認をすることが可能ですので、ご覧ください。 blog.flatt.tech なぜ今、この問題を取り上げるのか？ 従来のファイルアップロードにおいて、Content-Type の値を任意の値に設定すること

スライド概要 Vuls祭り#10 | 脆弱性管理の最前線〜リスク評価からSSVC、VEX、AIまで〜 https://vuls-jp.connpass.com/event/327031/ 発表資料_配布用

はじめに CISSP試験に合格しました。（2024/4/30） 独学で勉強を進めるにあたって、色々な方の合格・不合格体験記を参考にさせていただいたので、私も忘れないうちに感想を書いておこうと思います。 CISSPとは CISSPとは、Certified Information Systems Security Professional の略で、(ISC)2が実施しているグローバルな情報セキュリティの認定資格です。 セキュリティの資格は数多くありますが、その中でも範囲が膨大でマネジメント寄りの思考が求められる資格となっています。（赤枠） 学習については公式からトレーニングが提供されており約50万円と高額です。 （自分は試験費用の約11万円のみ） 試験内容 問題は以下の８つのドメインから出題されます。 ドメイン 内容

A new tool that blends your everyday work apps into one. It's the all-in-one workspace for you and your team

2024年6月25日よりご報告させていただいておりました、当社グループが運営するオーディションにおける個人情報流出があった事案（※）につきまして、漏えい対象者の皆様をはじめ、ファンの皆様、関係者の皆様には大変なご迷惑、ご心配をおかけすることを心より深くお詫び申し上げます。 本事案における原因と影響範囲の特定に向けて、当社および外部機関によるログ情報の調査・分析、社内関係者へのヒアリングなどの詳細調査を実施しておりましたが、この度、調査及び精査が完了いたしましたので、当該調査結果及び再発防止に向けた取り組みについてご報告いたします。 （※）個人情報流出に関するお詫びとご報告 1. 調査結果 ・原因の特定について 本事案の経緯としまして、まず対象のオーディションにおけるGoogle Formsの編集用URLの閲覧範囲が「このリンクを知っているインターネット上の全員が閲覧できます」と設定されてい

2024年4月5日、江崎グリコは基幹システムの切り替え後にシステム障害が発生し、同社や販売委託を受けている一部の冷蔵食品の出荷に影響が生じていると公表しました。ここでは関連する情報をまとめます。 障害後緊急対応するも在庫数合わず業務停止 今回システム障害が起きたのは江崎グリコの基幹システムで2024年4月3日の新システムへの移行に伴い発生した。物流、販売、会計などを一元管理するERPパッケージ SAP社製「SAP S/4HANA」で構築されており、「顧客への継続的価値創出を可能にするバリューチェーン構築と経営の迅速な意思決定を目的とした、調達・生産・物流・ファイナンスなどの情報を統合する基幹システム」と同社では説明している。障害原因の詳細は同社から開示されてはいないが、システム障害の問題個所の特定は済んでいる。なおサイバー攻撃によるものではないと取材に答えている。*1 システム障害の影響に

CrowdStrikeは数ヶ月前にDebianとRocky Linuxを破壊していたが誰も気づかなかった 2024 7/20 Windowsデバイスで広範囲にブルースクリーン・オブ・デス(BSOD)が発生し、航空会社、銀行、医療機関など、さまざまな分野で業務が中断しています。 原因は、クラウドベースの総合セキュリティソリューション「CrowdStrike Falcon」のアップデートによって配信されたドライバーファイルにあり、CrowdStrikeは問題を認め、MacやLinux PCには影響しないと説明しています。 今回の問題は突然発生したかのように思えますが、実は同じような問題が数ヶ月前にも発生し、DebianとRocky Linuxのユーザーが大きな影響を受けていたことがわかりました(Neowin)。 Hacker Newsによると今年の4月、CrowdStrikeのアップデートによ

デジタルペンテスト部の吉原です。 4 月から「セキュリティ診断」の部署が「ペネトレーションテスト（ペンテスト）」の部署に吸収合併され、ごった煮ブログに執筆する機会を頂き、いいネタを思いついたので、記事を書かせていただきました！ 私事ですが、4 月から今まで担当してきた「Web アプリケーション診断担当」から「プラットフォーム診断担当」（現 DiaForcePSR グループ）に異動させて頂き、プラットフォーム診断を楽しみながら、お仕事させていただいております、、！ そんな私ですが、先日「クライアント端末設定診断」の案件を担当させていただき、お客様の診断対象端末に対してセキュリティパッチスキャンをかける機会がありました。 そこで診断作業中にふと、「自分の私用デバイスは普段から WindowsUpdate を適用するように心がけてはいるけど、大丈夫かな、、？」と思い、診断作業の練習を兼ねて無償利

NewsPicks [ニューズピックス]がKADOKAWAが流出データなどと引き換えに「身代金」を要求されていると報道 NewsPicks [ニューズピックス] @NewsPicks 【極秘文書】ハッカーが要求する「身代金」の全容 newspicks.com/news/10160526/… NewsPicks編集部は、このハッカーから送られてきた脅迫メールと、それに応対するドワンゴ経営陣のやりとりを入手。 KADOKAWAが、流出データなどと引き換えに、17億円相当のビットコインを要求されている事実を突き止めた。 そして浮かび上がってきたのは、サービスや個人情報などを人質にとられた時に直面する、KADOKAWA苦渋の経営判断だ。 リンク NewsPicks 【極秘文書】ハッカーが要求する「身代金」の全容 KADOKAWAの悪夢は、まだまだ続いていた──。今月8日、大手出版社のKADOKAW