2021/08/31

レジストリエクスプローラーは、すべてのWindowsユーザーが必要とするレジストリ編集ツールです / Registry Explorer is the registry editor every Windows user needs(転載)


Registry Explorer is the registry editor every Windows user needs:

先日、新しいオープンソースのレジストリエディターがリリースされました。このエディターは、多数の高度な機能をサポートし、レジストリの編集をこれまで以上に簡単にすることで、Windows Regeditソフトウェアに恥じないものとなっています。

Windows レジストリは、オペレーティングシステムがシステム設定、ハードウェア設定、ユーザー設定を保存するために使用する、一元化された階層型データベースです。

Windows管理者やパワーユーザーであれば、バグの修正や設定の微調整のために、Windows内蔵のレジストリエディタ(regedit.exe)を使ってレジストリを変更したことがあるはずです。

しかし、Microsoft社は長年にわたりレジストリエディタを近代化するための変更をあまり行ってこなかったため、人々が求めるような便利な機能が多く欠けています。

Enter Registry Explorer

先日、Windows InternalsのエキスパートであるPavel Yosifovich氏は、レジストリエディタを近代化することを目的としたプログラム「Registry Explorer」をリリースしました。

Registry Explorer」は、GitHubのオープンソースプロジェクトとして公開されました。しかし、プログラムをコンパイルしたくない人のために、Yosifovich氏は、ダウンロードしてすぐに起動できるコンパイル済みのベータ版も公開しています。

Registry Explorerを起動すると、すべてのレジストリハイブが表示され、ユーザーは標準のWindowsレジストリエディタと同様に、これらを展開してサブキーや値を確認することができます。


しかし、このプログラムが優れているのは、付属のダークモード、キーや値を別の場所にコピー&ペーストする機能、変更を取り消すボタン、そして高度な検索機能です。

Registry Explorerの検索機能はregeditよりもはるかに高度で、以下のように検索結果をすべて1つのダイアログボックスに表示することができます。そして、検索結果に目を通し、エントリをダブルクリックすることで、そのレジストリキーや値を自動的に開くことができます。


レジストリエクスプローラーは、「読み取り専用モード」で起動し、モードがオフになるまで変更を加えることができません。

レジストリエクスプローラーの機能一覧を以下に示します。

  • 本物のレジストリを表示(標準のものだけではない)

  • 任意の列でリストビューをソート

  • ハイブ、アクセスできないキー、リンクのキーアイコン

  • キーの詳細:最終書き込み時刻、キー/値の数

  • MUI および REG_EXPAND_SZ 拡張値の表示

  • 完全な検索 (すべてを検索 / Ctrl+Shift+F)

  • バイナリ値用に強化された16進数エディタ

  • アンドゥ/リドゥ

  • キー/値のコピー/ペースト

さらに、Registry Explorer を気に入った場合は、Windows レジストリ エディタを自動的に置き換え、.reg ファイルのデフォルトのファイル ハンドラになるように設定することもできます。

Windows レジストリの編集、値の検索、設定の .reg ファイルへのエクスポートを頻繁に行っている場合は、Registry Explorer を試してみることを強くお勧めします。

Registry Explorerを試すには、プロジェクトのGitHubページにアクセスしてください。

Posted in ,  on 8月 31, 2021 by B-SON |  

2021/08/30

五輪期間中のサイバー攻撃の可能性(転載)


 五輪期間中のサイバー攻撃の可能性

現在、コロナ禍の影響でテレワークを含め自宅で過ごす機会が増え、非常事態宣言下の東京オリンピック・パラリンピックが開催され、期間中はさらに多くの人たちがネットにアクセスすることになろう。

ほぼ無観客でのオリンピック開催であることから、オリンピック・パラリンピック観戦視聴媒体はテレビ、ラジオ、インターネット中継となる。ライブでの視聴に加え、試合の動画配信、再視聴などを勧誘するURLにも要注意だ。

また、オリンピック期間中、開催後は関連グッズのオンラインショッピングも見込まれる。くれぐれもネット上の被害に遭わないよう各個人で意識してほしい。

2021年7月22日、オリンピック・パラリンピックのチケット購入者、ボランティアポータルを利用した人たちのログインIDとパスワードがインターネット上に流出したと、政府関係者が発表した。彼らのユーザー名とパスワードは、パソコンやスマートフォンへの不正アクセスによって盗まれた可能性が高く、個人情報を公開しているウェブサイトに掲載されていた。

これらが使用された場合、紐付けされている購入者やボランティアの氏名、住所をはじめ、登録銀行口座など、より多くの個人情報にアクセスできる可能性が高い。

最近は郵便物や宅急便の置き配サービスに便乗し、宅配不在連絡の偽ショートメッセージと共に、記載されているURLをクリックすると相手方にアカウント情報を抜き取るケースが多発している(この春は特に各通信企業の携帯電話の価格競争で、攻撃側がその事情に便乗して、宅配の不在連絡のメッセージを開けさせ、NTTドコモのアカウントを乗っ取り、ショッピング被害に繋がった事例は記憶に新しい)。

攻撃者に高額の買い物を許すことになり、貯めていたポイントも抜き取られてしまう。いったん(注文していないはずの)荷物が配達されてしまうと買い物が成立してしまい、返金は困難だ。

各企業もこの対応には慣れていないため、窓口でたらい回しにされ、余計な手数、時間がかかり、心理的な苦労を強いられ、諦めて泣き寝入りするケースが多い。

特に、モバイルユーザーを狙う傾向が強く、モバイル上でオンラインショッピングをしたことがある人は全員被害者になり得ると思ってほしい。攻撃者は最近のトレンドを調べており、例えば利用者が多いアマゾンでのショッピングの配送に伴う国際宅配業者(一度でも利用した業者であればURLをクリックしてしまう可能性が高い)、国内の宅急便業者、各航空会社を名乗り、ショートメッセージ、時にはメールで不在配信などを知らせて来る。利用者が多いGmailアカウントは特に狙われやすい。

今年の夏、旅行や帰省をせず自宅で過ごすことが多い中、あまりITに詳しくない家族や身近の人たちに、こういった悪質なサイバー犯罪の被害に遭わないよう、また、彼らが被害に遭いそうにないか状況を尋ねるなどして気に掛けていただきたい。

今回の東京オリンピック・パラリンピックは、何が何でもやるという政府ならびに国際オリンピック委員会(IOC)の思惑が動いているだけに、当イベントの中止や運営の邪魔をする動きに攻撃者が狙いを定めている。

そのため、ランサムウエア(身代金ウイルス)集団は、試合の放送を止め、再開するために多額の支払いを要求する可能性に目を付けているはずだ。つまりオリンピックのイベント自体を人質に取り、解決させるまでの時間に対するプレッシャーを与え、影響を受けたネットワーク事業者が、手動でオペレーションを復旧させるよりも、身代金要求に迅速に対応したいと思う心理を突いてくるであろう。

金を儲け、混乱を招き、知名度を上げ、敵の信用を落とし、イデオロギー的な目標の推進を目的とする名高い中露の国家的な攻撃者の絶好の出番だ。

2021/08/29

不動産投資におけるリスク~事故物件化リスクに備える~


不動産投資には様々なリスクがあるが、不動産自体はある程度の歴史があるため、見方を変えれば、リスクパターンはある程度で尽くしているともいえる。

その主なリスクとは下記のとおりである。

  • 空室リスク
  • 家賃下落リスク
  • 家賃滞納リスク
  • 老朽化リスク
  • 原状回復/修繕費に関するリスク
  • 不良入居者リスク
  • 金利上昇リスク
  • 災害リスク
  • 事故物件化リスク
  • 訴訟リスク
自分は区分所有権でやっているが、空室リスク、家賃下落リスク、金利上昇リスク、災害リスクなどは購入前にヘッジしておくべき様な項目である。

空室リスクや家賃下落リスクは購入物件のエリアを気にする必要があり、基本的には人口が多い東京都内の駅近(徒歩10分以内)とする必要がある

人口が増えているという観点では沖縄や大阪の一部があるが、投資環境や投資可能エリアが特殊だったりするので、触れない。

金利上昇リスクは、リスクとしてはあるものの、現時点特に手を打っておらず、事実上リスクを受容している状況となっている。

災害リスクについては火災保険や地震保険等の保険を付けてリスク移転を行う。

前置きが長くなったが、今回考えるのは事故物件化リスクについてである。

我が大日本帝国は年間自殺者数2万人以上、年間孤独死者数は3万人以上と言われている。

大日本帝国民が1億人だとして、単純計算で0.5%だが、それでも自分が所有する物件でその0.5%が発生したら正直パにくって何をしたらよいか分からなくなる。

ちなみにそんな0.5%が発生した時にことを聞くことができた。

とある1棟もののオーナーさんのある1室での出来事

(事件が発生した部屋の)隣の部屋に住んでいる入居者から大家に入電「隣の部屋から異臭がする」
 ↓
大家から事件が発生した部屋の入居者に何度も連絡するがつながらない(ちなみに家賃滞納はなかった)
 ↓
大家は事件性を感じ警察に安否確認依頼(異臭とのことで、警察と消防が迅速に立ち会い)
 ↓
警察と消防立ち会いのもとドアを開けると強烈な腐敗臭。奥を覗くと、ロフトから吊られた首つり自殺を確認。
 ↓
警察による現場検証(6時間以上は事件現場の部屋への立ち入りが制限される)
 ↓
(現場は警察に任せるしかないので)大家は保険、保証、相続人、他の入居者対応を行う。
 ↓
相続人確認の結果、「相続放棄」を選択されると、損害賠償先はなくなる(自殺は連帯保証人や相続人に原状回復費用と逸失利益について損害賠償請求ができる)
 ↓
特殊清掃代やリフォーム代は大家が泣き寝入りすることに・・・。

では、この0.5%のリスクに対してどう対応するか。

方法としてはリスクファイナンスとなる。

今回教えてもらったのはアソシア保険の「大家の味方」という保険である。

他にもAIUやアーク家賃保証、東京海上日動も類似の保険を用意しているようだが、管理会社等で聞いてみると、紹介してくれるのではなかろうか?

ちなみに上記の保険は物件オーナーが入る保険だが、入居者が入る保険もある。

Posted in  on 8月 29, 2021 by B-SON |  

2021/08/28

アマゾン創業者ジェフ・ベゾス氏の「後悔最小化フレームワーク」から学ぶべきこと(転載)~やるかやらないか悩んだら、とりあえずやってみることが重要~


アマゾン創業者ジェフ・ベゾス氏の「後悔最小化フレームワーク」から学ぶべきこと:


アマゾン創業者ジェフ・ベゾス氏が自ら設立したブルーオリジン社のロケットで、宇宙旅行に挑戦し無事に帰還しました。

アマゾンをゼロから立ち上げて、世界一の会社に育て上げたベゾス氏ですが、起業する前も投資銀行で上級副社長になるほどの成功を収めていました。そのポジションを敢えて捨てて、アマゾンを起業しようと決意したことは驚きです。

その際の意思決定には「後悔最小化フレームワーク(Regret Minimization Framework)」という考え方を使ったそうです。

自分が80歳になったと想像して「本当に後悔しないか」と問いかけることで、その後悔を最小化するという観点から、何をすべきか何をすべきではないかを決めるという方法です。

しかし、多くの人にとって、はるか先の未来から現在を俯瞰(ふかん)して判断をするというのは、理屈はわかったとしても、現実的には簡単ではありません。

そこで思い出したのが、大津秀一さんの「死ぬ時に後悔すること25」という古典的名著です。人生の終末を意識した人たちが何を後悔しているかをホスピスでの経験を基にまとめたものです。

それを見ると、「故郷に帰らなかったこと」「会いたい人に会っておかなかったこと」「自分の生きた証を残さなかったこと」「趣味に時間を割かなかったこと」「他人にやさしくなれなかったこと」というように「やったこと」よりも「やらなかったこと」の方が後悔の数が多いのです。

やって、後悔したこととして挙げられているのは「悪事に手を染めたこと」など、あまりありません。

つまり、「後悔最小化フレームワーク」の判断基準で重要なポイントは、やるかやらないか悩んだら、とりあえずやってみることです。もし、やって失敗したとしても、後悔のない方法であれば納得できるはずです。ただし、悪事には手を染めてはいけません。

私も人生の経験上、多くの事はやって後悔するよりやらないで後悔することの方が多いと感じます。

確かに、このやり方は多くの失敗も生み出しますが、良いと思ってやったことは、例え結果がどうであれ納得でき、後悔しない意思決定になるのだと思います。

Posted in ,  on 8月 28, 2021 by B-SON |  

2021/08/27

ワクチン打って100万円!?簡単作業で一発逆転のキャンペーン(転載)


【ONE】ワクチン打って100万円!?簡単作業で一発逆転のキャンペーン:

 オリンピック開催が盛り上がる中容赦無く侵攻を止めないウイルス。

頼りとなるのは“ワクチン接種”の一択しかない小さな希望の日本で困窮世帯を救えるであろう兆しが。

現在、レシート買取でもお馴染みのアプリ“ONE”では、“ワクチン”接種後に発行できる“接種証明書”をアップロードするだけで、何と“100万円”が当たるかも知れない大規模キャンペーンを開催中です。

ONE

本キャンペーンは”7月21日”から“9月30日”までとなり、その間に“ワクチン接種証明書”を撮影してアップロードすれば参加可能です。

当選内容の詳細は以下の通りです。

  • 1名:100万円
  • 200名:1万円

 “証明書”には個人情報も記載しているため、キャンペーン終了後はデータをすべて消去するとのこと。

さらにキャンペーンの対象となる“証明書”は自治体が発行するものに限られていますが、職域接種で利用する“接種記録書”も対応予定。

また、キャンペーンは”9月30日”で一旦終了とはなりますが、継続して”2022年3月”まで“合計3回”を開催する予定とのことですので若い世代に順番が回ってきた際も参加できる可能性は高いでしょう。

巷では”ワクチン”による二次被害や将来的な副作用も噂されており“敢えて打たない選択肢”もある中やはり唯一の希望に変わりは無し。

Posted in ,  on 8月 27, 2021 by B-SON |  

2021/08/26

高級ホテルに無料で宿泊できる新しい形のサブスクが話題(転載)


高級ホテルに無料で宿泊できる新しい形のサブスクが話題:

現在、テレワーク中心の企業では自宅以外に、ホテルや避暑地でも十分仕事をこなせる時代でしょう。

中には賃貸を解約して、ホテルを転々とする方も多くいるそうです。

そんな状況下で、世界中の施設を定額で利用できるサブスクが話題。


毎月、“定額料金”を支払うことで全国の提携している施設を“無料”で利用することができるサービス。

正直な話、上記のサービスだけで生活されているという方もいます。

そんな”HafH”の気になる料金は以下のプラン別で分かれています。

ピンからキリまで様々となります。

ただ、この”HafH”の最大の魅力というのは、プランの上下により利用できる宿泊施設が違うということは無く、数字が上下するのは“宿泊日数”だということでしょう。

つまり“3000円”の下位プランを契約したとしても“1泊”であれば“高級ホテル”でも泊まれる仕組み。

提携する”高級ホテル”も名立たる一流の名がズラリと並んでいます。
  • プリンス京都宝ヶ池
  • ストリングスホテル名古屋
  • ハイアットセントリック金沢
  • 沖縄ハイアット瀬良垣
など。

そして、決め手はこの“定額料金”

“初月は無料”と大盤振る舞いです。 

つまり、登録完了すれば“無料”で“高級ホテル”を利用できるのです。

このコロナ禍で疲れ切った心身も一流のサービスで癒されることで心機一転できるかも知れませんね。
Posted in ,  on 8月 26, 2021 by B-SON |  

打楽器専門ECサイトでカード情報漏えい 最大1667件(転載)~想定賠償損害額は4,300万円程度か?~


【限定記事】コマキ楽器WEBサイトからのカード情報漏えい:


【重要】個人情報漏えいに関するお詫びとお知らせ

2021年8月23日

お客様各位

株式会社コマキ楽器

弊社が運営する「コマキ楽器WEBサイト」への不正アクセスによる
個人情報漏えいに関するお詫びとお知らせ

このたび、弊社が運営する「コマキ楽器WEBサイト」におきまして、第三者による不正アクセスを受け、お客様のクレジットカード情報1,667件が漏洩した可能性があることが判明いたしました。

お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

 なお、個人情報が漏洩した可能性のあるお客様には、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げております。

弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。

お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。


1.経緯

2021年2月19日、一部のクレジットカード会社から、弊社サイトを利用したお客様のクレジットカード情報の漏洩懸念について連絡を受け、2021年2月19日弊社が運営する「コマキ楽器 WEBサイト」でのクレジットカード決済を停止いたしました。

同時に、第三者調査機関による調査も開始いたしました。2021年5月31日、調査機関による調査が完了し、2019年11月27日~2021年2月19日の期間に 「コマキ楽器 WEBサイト」で購入されたお客様クレジットカード情報が漏洩し、一部のお客様のクレジットカード情報が不正利用された可能性があることを確認いたしました。

以上の事実が確認できたため、本日の発表に至りました。

2.個人情報漏洩状況

(1)原因

 弊社が運営する「コマキ楽器 WEBサイト」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため。

(2)個人情報漏洩の可能性があるお客様

2019年11月27日~2021年2月19日の期間中に「コマキ楽器WEBサイト」においてクレジットカード決済をされたお客様1513名で、漏洩した可能性のある情報は以下のとおりです。

  • クレジットカード名義人名

  • クレジットカード番号

  • 有効期限

  • セキュリティコード
上記に該当する1,513名のお客様については、別途、電子メールにて 個別にご連絡申し上げます。

3.お客様へのお願い

 既に弊社では、クレジットカード会社と連携し、漏洩した可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。

お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

 なお、お客様がクレジットカードの差し替えをご希望される場合、クレジットカード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。

4.公表が遅れた経緯について

2021年2月19日の漏洩懸念から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。

本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、決済代行会社と協議し、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であるとの説明を受け、発表は調査会社の調査結果、およびクレジットカード会社との連携を待ってから行うことに致しました。

今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

5.再発防止策ならびに弊社が運営するサイトの再開について

弊社はこのたびの事態を厳粛に受け止め、「コマキ楽器 WEBサイト」で使用していたサーバー、システムは全て破棄いたしました。今後は調査結果を踏まえてシステムのセキュリティ対策および監視体制の強化を行い、再発防止を図ってまいります。

改修後の「コマキ楽器 WEBサイト」におけるクレジットカード決済の再開日につきましては、決定次第、改めてWEBサイト上にてお知らせいたします。

また、弊社は今回の不正アクセスにつきまして、監督官庁である個人情報保護委員会には2021年6月24日に報告済みであり、また、所轄蔵前警察署にも2021年6月24日被害申告しており、今後捜査にも全面的に協力してまいります。

2021/08/25

POLY Networkの”太陽的(融和的)"解決策 / Hacker gets 500K reward for returning stolen cryptocurrency(転載)~こういう対応は日本企業じゃ無理だろうなぁ~

Hacker gets 500K reward for returning stolen cryptocurrency
POLY Networkの「太陽」手法 

Poly Networkが2週間前に失った6億1,000万ドル以上の暗号通貨資産を取り戻し、ハッカーが資金返還のために50万ドルの懸賞金を受け取ったことで、分散型金融の世界で最大のハッキングと呼ばれてきた武勇伝は終わったように見えます。

本日、Mr.White Hatと呼ばれるハッカーは、Poly Networkに対し、ウォレット内の盗まれたデジタル資産の最後のトランシェ(約1億4100万ドル相当)へのアクセスを許可しました。

Poly Networkは現在、すべてのサービスを再開する前に、被ったセキュリティ侵害から立ち直るための2番目の最終段階である「資産回収」作業に移行しています。

この事件は2021年8月10日に発生したもので、何者かが自分のウォレットにBinance Chain、Ethereum(ETH)、そして分散型クロスチェーンプロトコルおよびネットワークであるPolygon NetworkのPolygonの資産を移しました。

  • イーサリアムトークン:~2億7300万ドル
  • Binanceスマートチェーン:~2億5300万ドル
  • ポリゴンネットワーク(USDC):~8500万ドル

このニュースは瞬く間にブロックチェーン上に広まり、攻撃者が使用した3つのウォレットアドレスはPolyNetwork Exploiterと表示され、取引所に資産が盗まれたことを知らせ、いかなる取引も処理しないようになっていました。

同日、Poly Networkはハッカーにハッキングされた資産の返還を促し、解決のために話し合う意思があると述べました。


このメッセージがハッカーの決断に影響を与えたのか、あるいはブロックチェーンセキュリティ企業のSlowMist社が攻撃者の電子メールアドレスやIPアドレス、デバイスの指紋を追跡したと主張したのかは不明ですが、Mr.White Hatはまさにその翌日に、盗んだ資産をすべて返還すると発表しました。

Mr.White Hatは、約2億6000万ドル相当のデジタル資産を持ってスタートしましたが、3/4マルチシグネチャウォレットの秘密鍵をPoly Network社に引き渡し、戦利品の最後の部分である約1億4100万ドル相当の28,953ETHと1,032ラッピングビットコイン(WBTC)を放出しました。

Poly Network社の「お礼」は、約50万ドル(160ETH)と、Mr.White Hatを同社のチーフ・セキュリティ・アドバイザーに「招待」するという形で行われました。同社はまた、ハッカーに法的責任を負わせるつもりはないと述べました。

Poly Networkはその約束を守り、2021年8月19日に160ETHをハッカーが公開したウォレットのアドレスに送金しました。


しかし、Mr.White Hatから仕事の依頼についての返事は来なかった。また、バグバウンティに関する返事もありませんでした。

Poly Network社は、8月14日より、攻撃を受けてからの進捗状況を、パブリッシングプラットフォーム「Medium」上の一連のアップデートで記録し始めました[1, 2, 3, 4, 5, 6]。同社は、資産の完全な復元プロセスを開始したことを発表しました。


Poly Network社は、約2週間で5億米ドル以上を失った状態から、史上最大の暗号通貨強盗の被害者となっただけでなく、すべての資産を回収したことで、世界的に有名になりました。

さらに、同社は過去を水に流し、ハッカーに対して法的措置を取らず、トップセキュリティの仕事と50万ドルを提供することを決めました。

この報酬は、盗まれた資産の価値と比べると小さく見えるかもしれませんが、ハッカーが戦利品から一銭も使うことができなかったかもしれないことを考えると、多額の賞金となります。

マイクソの設定ミスにより3800万件の記録が流出 / 38 Million Records Exposed Due to Microsoft Misconfiguration(転載)~クラウド利用時にこういうリスクも覚悟しなければならない~


38 Million Records Exposed Due to Microsoft Misconfiguration:

専門家によると、マイクロソフト社(マイクソ)のポータルプラットフォーム「Power Apps」を使用した1000以上のウェブアプリから約3800万件の記録がオンラインでアクセス可能な状態で放置されていたとのことです。武漢ウイルス(COVID-19)の連絡先追跡業務、ワクチン登録、従業員データベースなどのデータ(自宅の住所、電話番号、社会保障番号、ワクチン接種状況など)が記録に含まれていたと考えられます。

今回の事件では、アメリカン航空、フォード、J.B.ハント、メリーランド州保健局、ニューヨーク市都市交通局、ニューヨーク市公立学校など、大手企業・団体が影響を受けました。これらのデータ流出事件はすでに修正されていますが、広く使われているプラットフォームでのたった一つの誤った構成設定が、いかに広範囲に影響を及ぼすかを示しています。 

ユーザーはPower Appsのサービスを利用して、独自のウェブアプリやモバイルアプリを簡単に作成することができます。Power Appsは、収集したデータを使用するためのアプリケーション・プログラミング・インターフェース(API)を開発者に提供します。しかし、セキュリティ企業のUpguard社は、これらのAPIにアクセスすると、Power Appsポータルで受信したデータがデフォルトで公開され、情報を非公開にするためには手動で再設定する必要があることを発見しました。

Upguard社は、2021年5月にこの問題の調査を開始し、秘密にされていた複数のPower Appsポータルのデータが、誰にでもアクセス可能であることを発見しました。Upguard社によると、2021年6月24日にMicrosoft Security Resource Centerに脆弱性レポートを提供し、その中には機密データが公開されているPower Appsポータルアカウントへのリンクや、匿名でのデータアクセスを可能にするAPIを発見する方法が含まれていました。

「しかし、機密情報を公開しているアカウントの数を見ると、この機能のリスク、つまり設定ミスの可能性と影響が十分に認識されていないことがわかります。「複数の政府機関が、アプリのセキュリティレビューを行ったが、この問題を発見できなかったと報告しています。これは、データセキュリティ上の懸念事項として十分に公表されたことがなかったためと思われます。

 マイクソの担当者は、同社が影響を受けたユーザーと直接協力して、データが非公開であることを保証し、データが公開された場合には消費者に通知したと述べ、同製品のセキュリティを擁護しました。マイクソの広報担当者は声明の中で、「当社の製品は、顧客に柔軟性とプライバシー機能を提供し、多様なニーズを満たす拡張可能なソリューションを設計することができます」と述べています。

BloggerにはページのURLが2つある問題(?m=1問題)の解消方法


Bloggerを使っているのだが、モバイル表示時の ?m=1 というやつが気に入らない。

モバイル表示にするかどうかを数文字で変更できるという点では便利ですが、反面、バズりの数がスマホとPCで分散されてしまうという致命的な欠点があります。

日本語サイトで解消策をあたってみたものの、いい方法が見つからず、英語サイトで解消策を見つけたのでメモ。

--

出典:How to remove ? m=1 or ?m=0 from blogger post URL

ブロガーの皆さんがよく検索する言葉に「ブロガーの記事のURLから?m=1または?m=0にする方法」があります。シンプル・イズ・ビューティ」という言葉があるように、パーマリンクをきれいにしたいと思うことがあります。そこで今回は、ブロガーのURLから「?m=1」を取り除き、シンプルでプロフェッショナルなURLにする方法をご紹介します。

ステップ1:まず、ブロガーのダッシュボードにログインし、ブログを選択します。


Step 2 : Theme(テーマ)をクリックします。


Step 3 : customise(カスタマイズ)をクリックします。


Step 4 : Edit HTML(HTMLを編集)をクリックします。


Step 5 : キーボードから(CTRL + F)を押し、「/head」と入力して検索します。(よくわからない場合は、以下の写真をご覧ください。)


Step 6 : </head>タグのすぐ上に以下のコードを貼り付けます。


【貼り付けるコード】

  ➤ Code : mycode.js;

<script type='text/javascript' >
    //<![CDATA[
var uri = window.location.toString();
if (uri.indexOf("%3D","%3D") > 0) {
var clean_uri = uri.substring(0, uri.indexOf("%3D"));
window.history.replaceState({}, document.title, clean_uri);
}
var uri = window.location.toString();
if (uri.indexOf("%3D%3D","%3D%3D") > 0) {
var clean_uri = uri.substring(0, uri.indexOf("%3D%3D"));
window.history.replaceState({}, document.title, clean_uri);
}
var uri = window.location.toString();
if (uri.indexOf("&m=1","&m=1") > 0) {
var clean_uri = uri.substring(0, uri.indexOf("&m=1"));
window.history.replaceState({}, document.title, clean_uri);
}
var uri = window.location.toString();
if (uri.indexOf("?m=1","?m=1") > 0) {
var clean_uri = uri.substring(0, uri.indexOf("?m=1"));
window.history.replaceState({}, document.title, clean_uri);
}
//]]>
</script>


ステップ7 : 最後にSave(保存)アイコンをクリックして、設定とコードを保存します。


保存してモバイルに移動し、ブロガーの記事のパーマリンク/URLを確認するだけです。すると、「M = 1」が削除されていることがわかります。これで、"m=1 or m=0 "のURLなしで楽しめます。)

?m=1と?m=0を削除することの利点。

  • あなたのブログ記事にプロフェッショナルなパーマリンクを与えます。

  • 検索エンジンの検索結果ページでの上位表示に役立ちます。

  • ブログ記事のURLを短くすることができます。



Posted in  on 8月 25, 2021 by B-SON |  

2021/08/24

住宅ローンで高まる「人生が詰んでしまう」リスク(転載)~住宅ローンの最大のリスクとは?~


住宅ローンで高まる「人生が詰んでしまう」リスク:

日本経済新聞の記事によれば、29歳以下の若手世代の持ち家比率が上昇し、3割を超えているそうです。これは2人以上の世帯という事ですから、少なくとも既婚者にそのような傾向が強まっているのだと思います。

その要因として、金利の低下による住宅ローンの借りやすさ、共働きによる借入金額の増大、不動産価格の先行きに対する上昇期待などがあると分析しています。

住宅ローンの最大のリスクは、自分が稼いだ収入(税引後の手取り)で返さなければいけないことです。

住宅ローンを借りていなくても、仕事を失うリスクは誰でも持っています。住宅ローンを借りることにより、そのリスクが増幅されてしまいます。

投資用ローンであれば、返済は家賃収入です。収入が下がったり仕事を失ったりしても、家賃が安定していれば所有を続けることができます。

住宅ローンの投資用ローンと比較したメリットは、借り入れ条件が有利である事です。金利も1%以下と低く、長期の固定金利で借りることも可能です。

といっても返済原資は労働収入であることには変わりありません。

住宅ローン返済期間中に、不動産価格が下落し、雇用情勢が悪化して、収入が下がったり、最悪失業してしまうと、住宅ローンによって「人生が詰んでしまう」ことになります。現状の労働収入が、今後数十年維持できることを前提にした返済する借り入れは、とても危険です。

もし私が20代だったとしたら、やはり住宅ローンを借りてマイホームを買うより、投資用ローンで投資用不動産を購入する選択をすると思います。

Posted in ,  on 8月 24, 2021 by B-SON |  

2021/08/23

どうして日本から敢えて海外移住するのか?(転載)


どうして日本から敢えて海外移住するのか?:

日本から海外に移住して生活する日本人がいます。私の周りでは、少し前はシンガポールで起業する人が多く、最近ではドバイに移住する人が目立ちます。

仕事の関係であったり、税金上の理由であったりその背景は様々です。

勤務先の会社の人事異動であれば、転職しないのなら受け入れざるをえません。でも、自らの意思で決められる経営者のような人たちまで、日本から海外移住する気持ちが私にはどうしても理解できません。日本には、他国にはない素晴らしい要素が、たくさんあるからです。

まず安全と清潔さです。

治安の良さと、街の衛生状態の高さは、他の国にはない日本の大きな特徴です。先進国であっても、衛生状態は日本に比べれば今一つという国は多いのです。清掃に対する意識の違いではないかと思います。

そして、利便性と低い生活コストです。

これは都会だけかもしれませんが、コンビニエンスストアが24時間営業し、利便性が高いのも特徴です。その割に物価水準が低く、生活コストは先進国の中ではかなり低いと思います。

さらに、世界一の食のクオリティーです。

何といっても食事のクオリティーが高いことが、日本の最大の魅力です。ワンコインのファーストフードから、数万円の高級レストランまでバリエーションが広く、価格に関係なく、おいしいものが食べられるのは、大きな魅力です。

ニューヨークやロンドン、パリにも美味しいお店はたくさんありますが、価格帯がまったく異なります。そして、フレンチから日本食、中華まで何でもあるのが日本ならではです。

また、日本の地方には更にその地域でしか食べられない素晴らしい食材があります。東北のほやや、北陸の白えびといった食材は、現地に行くと東京とは別ものの新鮮な味わいです。

人生のプライオリティをどう考えるかは、人それぞれの自由です。私は仕事や税金(お金)のためにクオリティ・オブ・ライフを犠牲にしようと思わないだけです。

日本の数少ない問題の1つが教育環境です。日本の教育内容に対する危機感から、子供を海外の学校に行かせたいという気持ちは、よく分かります。

もし、私に子供がいたら、今ごろどこかの海外で生活しながら、日本での快適な生活に憧れていたかもしれません。

Posted in ,  on 8月 23, 2021 by B-SON |  

THE HAIR BAR TOKYOオンラインストアへの不正アクセス(転載)


ヘアアクセサリーなどを扱う「THE HAIR BAR TOKYOオンラインストア」が不正アクセスを受け、クレジットカード情報が外部に流出した可能性があることがわかった。

同サイトを運営するギャップインターナショナルによれば、脆弱性を突かれてシステムを改ざんされ、4月23日から6月4日にかけて決済のために入力されたクレジットカード情報4538件を窃取された可能性があることが判明したもの。

クレジットカードの名義、番号、有効期限、セキュリティコードなどが対象となる。6月30日にクレジットカード会社より指摘があり問題が判明した。

期間中に入力されたクレジットカード情報4538件について、このうち決済が成立した注文は356件であると同社は説明。大半は機械的に作成したクレジットカード情報が実際に利用できるか、有効性を確認する行為であり、決済は成立していないという。

ープレスリリースー

2021年8月18日
お客様各位
ギャップインターナショナル株式会社

弊社が運営する「THE HAIR BAR TOKYOオンラインストア」への不正アクセスによる
クレジットカード情報流出に関するお詫びとお知らせ

このたび、弊社が運営する「THE HAIR BAR TOKYOオンラインストア(https://www.thehairbar.jp/onlinestore)」におきまして、第三者による不正アクセスを受け、お客様のクレジットカード情報(4,538件)が流出した可能性があることが判明いたしました。
お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。
なお、個人情報が流出した可能性のあるお客様には、本日より、電子メールまたは書状にてお詫びとお知らせを個別にご連絡申し上げております。

弊社では、今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。
お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。


1. 経緯

2021年6月30日、一部のクレジットカード会社から、弊社サイトを利用したお客様のクレジットカード情報の流出懸念について連絡を受け、2021年6月30日、弊社が運営する「THE HAIR BAR TOKYOオンラインストア」でのカード決済を停止いたしました。
また、2021年7月9日より、第三者調査機関による調査も開始いたしました。2021年7月22日、調査機関による調査が完了し2021年4月23日~2021年6月4日の期間に 「THE HAIR BAR TOKYOオンラインストア」をご利用のお客様のクレジットカード情報流出の可能性があることを確認いたしました。
以上の事実が確認できたため、本日の発表に至りました。

2. 個人情報流出状況

(1)原因

弊社が運営する「THE HAIR BAR TOKYOオンラインストア」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ECサイトアプリケーションファイルの改ざんが行われ、カード会員データの不正取得されたため。

(2)個人情報流出の可能性があるお客様

漏洩した可能性がある情報・件数最大4,538会員(注:ただし、その内のほとんどはカードの有効性確認(*)をされていたものと考えられ、上記期間内で決済が成立している注文数は356件でした。
(*)カードの有効性確認とは、機械的に作成したカード情報を弊社サイトで使い利用できるかどうかを確認するもの

決済が成立している356件に該当するお客様については電子メールまたは書状にて、個別にご連絡申し上げます。

【流出した可能性のある情報】
・カード名義人名
・クレジットカード番号
・有効期限
・セキュリティコード

3. お客様へのお願い

既に弊社では、クレジットカード会社と連携し、流出した可能性のあるクレジットカードによる取引のモニタリングを継続して実施し、不正利用の防止に努めております。
お客様におかれましても、誠に恐縮ではございますがクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、たいへんお手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。
なお、お客様がクレジットカードの差し替えをご希望される場合、カード再発行の手数料につきましてはお客様にご負担をお掛けしないよう、弊社よりクレジットカード会社に依頼しております。

4. 公表が遅れた経緯について

2021年6月30日の流出懸念発覚から今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。
本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であると判断し、発表は調査会社の調査結果、およびカード会社との連携を待ってから行うことに致しました。
今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

5. 再発防止策ならびに弊社が運営するサイトの再開について

弊社はこのたびの事態を厳粛に受け止め、調査結果を踏まえて現行システムの破棄、サーバーを含めたシステムの移行、社内外におけるセキュリティ対策および監視体制の強化を行い、再発防止を図っております。

システム移行後の「THE HAIR BAR TOKYOオンラインストア」の再開日につきましては、決定次第、改めてWebサイト上にてお知らせいたします。
また、弊社は今回の不正アクセスにつきまして、個人情報保護委員会には2021年7月15日に報告済みであり、また、所轄警察署である東京都渋谷警察署にも2021年8月4日被害申告しており、今後捜査にも全面的に協力してまいります。

2021/08/22

JAL、国内線特典航空券の必要マイル数引き上げ 10空港発着、最大730マイル(転載)


JAL、国内線特典航空券の必要マイル数引き上げ 10空港発着、最大730マイル:

日本航空(JAL)は、旅客施設使用料対象空港を発着する、JALグループ国内線特典航空券の必要マイル数を引き上げる。

10月31日申し込み分から、札幌/千歳・仙台・東京/羽田・東京/成田・名古屋/中部・大阪/伊丹・大阪/関西・福岡・北九州・沖縄/那覇発着の国内線特典航空券を対象に、特典航空券の交換に必要なマイル数を100〜730マイル引き上げる。

追加マイル数は、福岡・北九州は100マイル、沖縄/那覇は120マイル、仙台は230マイル、大阪/伊丹・大阪/関西は260マイル、札幌/千歳は270マイル、東京/羽田・東京/成田は290マイル、名古屋/中部は440マイル。東京/羽田〜名古屋/中部線を利用する場合、290マイルと440マイルをあわせた730マイルが追加で必要となる。

どこかにマイル、おともdeマイル割引のマイルを利用した航空券、JAL国際線特典航空券とワンワールド特典航空券に含まれる日本国内区間、10月30日以前に発券した航空券の変更は対象外となる。

2021/08/21

【改悪】ブリティッシュエアウェイズのAviosを利用したJAL国内線特典航空券の必要マイル数が変更に。(転載)


【改悪】ブリティッシュエアウェイズのAviosを利用したJAL国内線特典航空券の必要マイル数が変更に。:

国内でも人気の外資系マイレージであるブリティッシュエアウェイズ(BA)のAvios(BAではマイルのことをAviosと言います)ですが、外資系らしく必要マイル数が突如増えました。まあ、いわゆる改悪ですね。

BAのAviosを利用したJAL国内線必要マイル数が変更

本当に突如変更になりました。事前告知も事後告知もなく。それが外資系という感じですね。ブリティッシュエアウェイズのAvios(マイル)は、同じワンワールドの所属するJALの特典航空券を発券することも可能で、非常に人気です。

  • JAL国内線の必要マイル数が非常に少ない
  • キャンセル料が数百円で済む
  • バイマイルも可能なので簡単にAviosが手に入る
  • マリオットポイントからの移行で30%増量キャンペーンがあったりする
などなど非常に魅力となる点が多かったのですが、突如としてJAL国内線特典航空券の必要Avios数がアップ、つまり改悪となりました。

距離区間例旧必要Avios新必要Avios
650マイルまで東京=大阪、東京=札幌など6,0007,500
651マイル~1,150マイル東京=那覇、大阪=那覇、大阪=札幌など9,00010,000
1,151マイル~東京=宮古など11,00011,000
と変更になりました。距離が1,151マイル以上の区間(国際線の大半や、国内線でも東京=宮古など)は変更がありませんが、Aviosで人気の短距離区間が改悪になっています。

Aviosは2019年にも必要Avios数をアップしたばかりで、それまでは東京=大阪は4,500Aviosだったのが、6,000Aviosになり、そして7,500Aviosに・・・。この流れだと2年後には9,000Aviosくらいになってしまいそうですね。

外資系のマイレージというのは、JALマイルやANAマイルにように事前に告知もなく、もしくはあるとしても時間的に猶予が非常に短いというようなシビアなマイレージも非常に多いです。つまり、外資系マイレージを利用する上では、
  • マイルを貯めこまない

  • 改悪も覚悟しておく
というのが、JALマイル・ANAマイル以上に重要になります(JALマイル・ANAマイルでも重要な点です)。マイルに限らず、ポイントというのは企業側が自由に価値を決めることができるものなので、突然価値が半分になってしまうということは多々ありますからね。その分、穴的なお得な制度もあり、そちらをうまく活用しながら、でも改悪には備えてマイル・ポイントは可能な限り使っていくというのが基本になると思います。貯め込みすぎないでくださいね!!

JALマイルとAviosの必要マイル数を比較

今回の改悪で、JAL国内線特典航空券を発券する際には、AviosとJALマイルのどちらが有利なのか比較しておきましょう。これまでは、Aviosの方が有利なことも多かったのですが・・・

区間AviosJALマイル
羽田=伊丹7,5006,000
羽田=札幌7,5007,500
羽田=福岡7,5007,500
伊丹=函館7,5007,500
羽田=那覇10,0007,500
伊丹=那覇10,0007,500
伊丹=札幌10,0007,500
羽田=宮古11,00010,000
となっており、もうAviosの方が必要マイル数が少なくて済むという区間はなくなってしまいました・・・。これは非常に残念です。

やはり、総合的にマイルの貯めやすさ、必要マイル数の少なさ、改悪時の事前告知などなどを含めてもJALマイルとANAマイルは相当利用しやすいマイレージだなと思います。基本はJALマイルかANAマイルをメインにしながら、穴的な場所があれば外資系マイレージも利用するというスタンスがいいのかなと再実感ですね。

2021/08/20

2021年の最新ダークウェブ検索エンジントップ5 / Latest Top 5 Dark Web Search Engines for 2021(転載)


ダークウェブは、匿名性が高いため、安心して投稿できる人もいるため、重要な情報源となっています。しかし、ダークウェブに隠されたデータの層にアクセスするには、検索エンジンが必要です。

さて、今年の2月には、ダークウェブに最適な検索エンジンを紹介する記事を掲載しました。しかし、よく知られているように、ほとんどのダークウェブサイトは長くは続かず、永遠にオフラインになる可能性があります。そこで、現在活動している5つの最高のダークウェブ検索エンジンを詳しく紹介する新しい記事をお届けします。

Ahmia.fi

Ahmia.fiは、以前のリストにもあったように、信頼性が高く、また、児童性的虐待のコンテンツを掲載したウェブサイトをインデックスする他の多くのダークウェブ検索エンジンとは異なる、あらゆる「虐待素材」に対するポリシーを持っています。

The Hidden Wiki

これは文字通りの検索エンジンではありませんが、非常に便利です。ダークウェブ検索エンジンで検索をかけると、20個のスパムリンクと1個の正規のリンクが表示されます。これでは、検索に時間がかかってしまいます。

しかし、このWikiは、ダークウェブ上のウェブサイトのディレクトリリストを提供することで、この問題を解決し、簡単にアクセスできるようにしています。サーフェスウェブ版も用意されています。

Haystak

Haystakは、26万以上のウェブサイトを含む15億ページ以上のインデックスを作成したと主張しており、リストの中では確かにリソースに富んだエンジンとして際立っています。

また、Haystakには有料版があり、正規表現を使った検索や、今は亡きオニオンサイトの閲覧、APIへのアクセスなど、さまざまな機能が追加されています。

しかし、これらの機能の1つによって、盗まれたクレジットカード情報や電子メールアドレスのデータベースにアクセスできることを考えると、彼らがあなたの利益を最優先に考えているとは言えないでしょう。

Torch 

この検索エンジンも、1996年から続いている検索エンジンの1つですが、検索結果はあまり印象的ではありません。上の例では、FacebookのオニオンURLを知りたかったのですが、これはとてもシンプルな情報です。しかし、それ以外の情報はすべて報告されており、これらの検索エンジンが改善するためにどれだけのことをしなければならないかを示しています。

DuckDuckGo 

Googleの長年の敵であるこのエンジンは、ほとんどすべてのダークウェブ検索エンジンのリストに掲載されているはずです。しかし、ダークウェブからの検索結果よりも表層のウェブ検索結果の方が多く報告されるため、唯一の良い点は匿名性を提供することです。実際、いくつかのランダムなクエリでは、ダークウェブの検索結果を1件も見つけることができませんでした。

結論として、このリストがTORブラウザをより効率的に使用するために役立つことを願っています。ただ、もちろん道徳的な選択とともにトラブルに巻き込まれる可能性があるので、違法なウェブサイトを閲覧しないように注意してください。


JTB海外グループ会社へのサイバー攻撃(転載)~預かり情報資産の保管期間は短くした方がリスクは低い~

JTB海外グループ会社へのサイバー攻撃 

JTB、旅行者の氏名など4900件が流出した可能性 海外グループ会社のサーバに不正アクセス

JTBは2021年8月18日、米JTB Americasなど海外のグループ会社3社が共同で使っていたサーバが不正アクセスを受け、日本からの旅行者の情報4921件が流出した可能性があると発表した。

流出した可能性があるのは、2012年1月から20年6月にかけて、パッケージツアー「ルックJTB」で米国(ハワイを除く)やカナダに旅行した人の氏名2525人分(ローマ字表記)と、JTBの会員制サービス「RAKUなびサポート」に登録していたユーザーのメールアドレス2396件。氏名とメールアドレスは別々に保管していたため、それぞれのデータはひもづいていなかったとしている。

不正アクセスを受けたサーバはJTB Americasに加え、米JTB USA、カナダJTB Internationalが利用していた。すでに日本を含むグループ全体のネットワークからは遮断済みで、他のグループ会社への影響はなかったという。

JTBが事態に気付いたのは7月29日。JTB Americasなどの社員から報告を受けたことで発覚したという。JTBは外部の調査会社と協力して調査を進めており、詳細が把握でき次第、再発防止策を講じるとしている。

2021/08/19

FUKUYA ONLINEからのカード情報漏えい(転載)~想定損害賠償額は4,600万円程度か。#EC-CUBE~


【限定記事】FUKUYA ONLINEからのカード情報漏えい:

 2021年8月16日

 お客様各位

株式会社フクヤ
代表取締役社長 田中敬一郎

弊社が運営するオンラインショップへの不正アクセスによる
個人情報流出に関するお詫びとご報告

このたび、弊社が運営しておりますウェブサイト「FUKUYA ONLINE(https://www.fancy-fukuya.co.jp/shop/)」(以下、「当該サイト」といいます。)におきまして、システムの一部の脆弱性を突いた第三者による不正アクセスを受け、クレジットカード情報(1,779件)が流出している可能性があることが判明いたしました(以下、「本件」といいます。)。お客様をはじめ、関係者の皆さまに多大なるご迷惑とご心配をおかけする事態となりましたことを、心より深くお詫び申し上げます。

クレジットカード情報が流出した可能性のあるお客様には、メールにて経緯説明とお詫びのご連絡を開始しております。弊社では、このたびの事態を厳粛に受け止め、お客様には誠心誠意、適切な対応をさせていただくとともに、再発防止の対策を徹底してまいります。

本件に関する事案概要と弊社の対応につきまして、下記のとおりご報告いたします。

1.事案概要

(1)漏えいの可能性がある情報
①クレジットカード情報
当該サイトでクレジットカード決済をご利用されたお客様で、決済画面で入力いただいた以下の情報

  • クレジットカード会員の氏名
  • クレジットカード番号
  • クレジットカード有効期限
  • セキュリティコード

なお、第三者調査機関によるログファイル等の調査の結果、弊社プライバシーポリシーに基づき収集したお客様の個人情報が格納されたデータベースへのアクセスが可能な状態にありましたが、現時点ではクレジットカード情報以外の個人情報の流出は確認されておりません。

(2)クレジットカード情報の件数
2021年2月15日~2021年3月19日の間に、当該サイトでクレジットカード決済をご利用されたお客様、1,779名のクレジットカード情報

(3)原因
弊社が運営する当該サイトのシステムの一部脆弱性を突いた第三者の不正アクセスによって、決済処理プログラムが改ざんされ、偽物のカード会員情報入力画面が埋め込まれました。

また、お客様情報を収集しているデータベースにも不正アクセスされていた可能性はありますが、現時点でデータを取得された記録は確認されておりません。

2.発覚と対応の経緯

2021年5月6日、クレジットカード決済代行会社より、クレジットカードの不正利用に関する報告を受け、同日、当該サイトを閉鎖いたしました。その後、本件の全容解明および被害状況の把握に向け、社内調査を進めるとともに、第三者の専門調査会社による、調査を実施いたしました。2021年6月10日、第三者機関より調査完了の報告を受け、クレジットカード決済代行会社と協議のうえ、クレジットカード情報の流出の可能性があると判断いたしました。

3.弊社の対応

(1)お客様への対応
2021年8月16日より、クレジットカード情報流出の可能性があるお客様にお詫びと注意喚起をご案内させていただいております。また、同日より、お客様からのお問い合わせに対応できるよう、専用コールセンターを設置いたしました。

(2)行政機関への報告
2021年7月6日、個人情報保護委員会に報告いたしました。

(3)警察への相談
2021年6月24日、所轄の警察署に被害申告いたしました。

4.お客様へのお願い

(1)身に覚えのないクレジットカードの利用履歴がないかご確認をお願いいたします。流出した可能性があるクレジットカード情報につきましては、お客様にご迷惑がかからないよう、弊社より各クレジットカード会社へ、不正利用の監視強化を依頼しております。万が一、カード明細書に身に覚えのない請求がございました場合は、お手数ではございますが、クレジットカード裏面に記載のカード発行会社へお問い合わせいただきますようお願い申し上げます。

(2)カード情報が流出した可能性のあるお客様のクレジットカードにつきまして、再発行をご希望の場合、クレジットカード裏面のカード発行会社にお客様から直接、お問い合わせいただきますようお願い申し上げます。なお、カード再発行の手数料につきましては、お客様のご負担にならないようカード会社へ依頼しております。

(3)偽の決済フォームにてクレジットカード情報を入力されたものの、購入にいたらなかったお客様、および偽の決済フォームのみに入力されたクレジットカード情報も流出した可能性がございますが、特定はできておりません。特定できているクレジットカード情報以外のカード再発行をご希望される場合の手数料につきましては、クレジットカード会社により対応が異なります。お客様ご負担での差し替えをご案内された場合、お手数ではございますが、弊社お問い合わせ専用フリーダイヤルまで、ご連絡ください。再発行の手数料につきましては、一旦、お客様ご負担でお願いします。なお、再発行に伴う証憑を弊社までご提出いただいた場合には、弊社にて、同額をお客様に返金させていただきます。

(4)お客様にお心当たりのない不審な点等がございましたら、弊社までご連絡をお願い申し上げます。警察および関係官庁と連携し、誠実に対応を進めてまいります。

5.公表が遅れた経緯について

2021年5月6日、クレジットカードの不正利用の報告を受けてから、今回の案内に至るまで、時間を要しましたことを深くお詫び申し上げます。

本来であれば疑いがある時点でお客様にご連絡し、注意を喚起するとともにお詫び申し上げるところではございましたが、クレジットカード決済代行会社と協議し、不確定な情報の公開はいたずらに混乱を招き、お客様へのご迷惑を最小限に食い止める対応準備を整えてからの告知が不可欠であるとの説明を受け、発表は第三者機関の調査結果、およびカード会社との連携を待ってから行うことにいたしました。

今回の発表までお時間をいただきましたこと、重ねてお詫び申し上げます。

6.再発防止策

弊社では、今回の事態を厳粛に受け止め、個人情報保護の重要性を周知徹底し、二度とこの様な事態を繰り返さないようシステムの構築と当該サイトのセキュリティおよび監視体制の強化に努めてまいります。なお、情報流出の原因となった不正プログラムについては、2021年5月28日に除去が完了しております。

なお、「当該サイト」の再開につきましては、決定次第、改めてWebサイト上にてお知らせいたします。

このたびは、お客様およびご関係者の皆さまに、多大なるご不安ご迷惑をお掛けしておりますことを重ねてお詫び申し上げます。

オリンピックにおける詐欺、ハッキング、マルウェアの歴史 / The Olympics: a timeline of scams, hacks, and malware(転載)


The Olympics: a timeline of scams, hacks, and malware

遅ればせながら、2020年のオリンピックが本格的にスタートしました。そのため、詐欺師が出没する可能性もあります。オリンピックにまつわるサイバー攻撃やハッキングが実際に始まったのは2008年の北京大会からだが、オリンピックは何年も前から、あらゆる種類の悪意ある行為の標的となってきた。見てみましょうか。

1996年:アトランタオリンピック

サイバー攻撃の兆候はまだありません。災害について言及されていますが、問題の災害は、サーファーのための遅いウェブサイトと、イベント自体での欠陥のあるデータ伝送に起因しています。人が悪さをしている?それほどでもありません。

2000年:シドニーオリンピック

シドニーが「インターネット・オリンピック」と呼ばれていたことを覚えている方も多いでしょう(そうでない方もいるかもしれませんが!)。また、主催者がハッキングによる影響に備えた初めての大規模なオリンピック大会でした。当時、悲観的なシナリオを予測する記事が多かったことを覚えています。Y2Kのバグフィーバーも、物事がうまくいかないのではないかという疑念の火を消すには役立たなかったのではないでしょうか。

しかし、結果的には問題は起きませんでした。ハッキングされていないゲームをみんなで楽しむことができました。ふう。

2002年:ソルトレークオリンピック

2002年のオリンピックでは、冬のイベントを封鎖する専門家たちは元気だった。2000年の大会でも何も起こらなかったし、それ以前の大会でも何も起こらなかったようだ。今回も、セキュリティ以外の関心事は、信頼性であり、大規模で複雑なネットワークが競技中に故障しないことであった。

2004年:アテネオリンピック

2004年の大会に向けて、最も興味深いサイバーストーリーは、アテネで起きた悪名高い盗聴事件である。大会期間中にVIPからのあらゆる電話を盗聴するために仕組まれたものである可能性が高いと指摘する人もいる。確かなことはほとんどわからないだろう。

2006年:トリノオリンピック

これは壮観です(ここで見られるものを言葉で表現するのは難しいので、ぜひクリックしてみてください)。ご覧のように、オリンピックの世界では、まだそれほどサイバーな状況ではありません。しかし、それはすぐに変わります...。

2008年:北京オリンピック

北京オリンピックでは、大会を狙ったサイバー攻撃が初めて本格的に行われたことが注目されています。英国オリンピック協会の元最高責任者は、侵害されたのではないかと懸念した。マカフィーによると、各国のオリンピック委員会、世界アンチドーピング機構、国際オリンピック委員会など、多くのスポーツ関連組織が「Operation Shady Rat」の標的となったという。5年間に渡って無関係の組織も狙われていたとはいえ、オリンピック開催前にこれでは誰も困らない。

当時の記事によると、オリンピックサイトの「英語版」が侵害され、ある種のローン会社のポータルにリダイレクトされたようです。しかし、当時の公式・非公式サイトは非常に多く、そのサイトが一体何なのかを言うのは難しい。それはファンサイトなのか?本当のポータル?記事がURLを打ち間違えたのか?よくわからないし、他に言及しているところも見当たらない。バナーの色を変えた話では、ウェブサイトの色を変えたのは、人権侵害を強調するための意図的なハッキングだと主張されています。

また、2008年の大会中に起こったハッキング関連の出来事については、こちらに非常に包括的にまとめられています。わずか2年の間に、私たちは「ここではあまり何も起こっていないのではないか」と思っていたのが、「レッドアラート、これは訓練ではない」と思うようになりました。偽のチケットサイト、偽のストリーム、アスリートのウェブサイトのハッキング、サイトの改ざんなどなど。

ゲームの公式コンテンツそのものとは別に、別の手段で人々が狙われました。突然、感染性のあるメールの添付ファイルが送られてきたり、第三者のサイトでマルウェアが提供されていたりしました。どこを見ても、脅威が目に飛び込んできたのです。

ハッキングの始まりは遅かったかもしれませんが、この時点では間違いなく非公式なイベントでした。

2010年:バンクーバーオリンピック

バンクーバー冬季オリンピックの情報はあまり見つかりませんでした。最も興味深い事件は、偽の開会式ウェブサイトが、偽のTwitterアカウントからの宣伝によって感染症を提供したことでしょう。決して目を見張るものではありませんが、大きなイベントの際にTwitterを攻撃の起点として利用した最初の例の一つです。

2012年:ロンドンオリンピック

ジェームズ・ボンドや本物の女王がヘリコプターから飛び降りたロンドンオリンピックは、インターネット上では悪意ある活動が大々的に行われました。

この時点で、セキュリティの訓練と計画は大会の主要な要素となっていました。カナダがバンクーバー大会に向けて大規模なテストを行っていたという記事を読んだ記憶がありますが、今回の模擬攻撃は、おそらくそのような努力の上に成り立っているのでしょう。その記事によると、2008年の大会期間中、中国は「1日あたり約1,200万回のオンライン攻撃を受けていた」そうです。この記事によると、2008年の大会期間中、中国は「1日あたり約1,200万件のオンライン攻撃を受けていた」そうです。

危険性を警告する記事は、主に検索エンジンポイズニング(2012年当時も脅威であった)、偽サイト、ストリーミングに集中しており、「要注意人物」として再びTwitterが登場しています。また、怪しいWi-Fiホットスポットに関する警告も時折掲載されています。

実際に発生した攻撃については、オリンピック詐欺の手段としてモバイルが台頭してきていることがわかります。ロシアのサイトでは、2012年の公式ゲームアプリを装ったトロイの木馬が使われていました。そう、ゲームはモバイルとセットになっているのです。なんという組み合わせでしょう。観戦のための無料航空券を約束するスパムメールは、ソーシャルメディアでよく見られる詐欺で、今回のスポーツイベントのために再構築されたものです。ここでは、アンケート詐欺ばかりが目立ちます。

他にも、開会式の前に電源を脅かされたこともありました。Vanity Fair誌は、ロンドンが自国の交通信号システムを操作して、オリンピックの最初の招致プロセスのために街を偵察していた役人のために、赤信号を青信号に変えたと報じています。最後に最高のものをご紹介しましょう。もちろん、最高というのは最悪という意味で、COVID-19(武漢ウイルス)を予見していると主張する開会式の陰謀論です。だって、そうでしょう?

2014年:ソチオリンピック

ロシアでは「絶対にハッキングされる」というフレーミングは、今回の大会の準備期間中、ちょっとしたブームになっていました。実際、ソチではハッキングされやすいという具体的な話は、かなりの反響を呼びました

控えめなコメント欄でも「サイバー戦争の舞台」と書かれていました。興味深いことに、本当の意味での花火は、この後の大会で見られることになります。

2016年:リオオリンピック

リオ五輪の開会式では、恒例となった "詐欺の登場 "がありました。詐欺師たちがスポーツの世界で試行錯誤しているうちに、時間の経過とともに明確なパターンが見えてきます。

偽のチケットや宝くじの当選金が流行り始めます。また、偽のチケットサイトやテレビ番組の宣伝、さらには「情事のオリンピック」で世界チャンピオンになるというものまで登場します。フィッシングや偽装ドメインは、詐欺師の金メダル獲得の有力な候補であり、ATMカードローンは次点となりました。

ランサムウェアは、連盟のウェブサイトを経由して侵入してきたため、競技には参加しませんでした。RIGエクスプロイトキットは、リオのケーキの作り方を探している人のために用意されていましたが、正直なところ、私は予想していませんでした。

ブラジルでは、ハッキングやマルウェアの観点から、銀行関連が問題視されており、それに関連する訪問者への警告も多く見られました。主力の脅威に加えて、新たな脅威も浸透し始めていることに気づくでしょう。イベントを重ねるごとに、新たな技術や戦術が次々と生まれてきます。2016年の締めくくりとして、アノニマスがカメラに映らないところで起きている、あまり面白くない活動を強調する試みにリンクします。

2018年:平昌オリンピック

「オリンピック・デストロイヤー」を投入したチーム・サイバー犯罪者は、好調なスタートを切りました。この名前は、ミッション・ステートメントとして信じられないほど正確です。開会式を妨害しようと様々な脅しをかけてきた悪人たちが、ついに念願の大混乱を引き起こしたのです。

ここで、モバイルの世界に話を戻すと、さらに悪質なアプリが登場します。今回、あるアプリは、ハイライトを表示するライブストリーム・アプリケーションと称していました。実際には、このアプリは何度もクラッシュしましたが、確実に広告を表示するという疲れ知らずの能力を発揮しました。

最後に、国家による攻撃と思われるものを紹介します。米国政府は、ロシアのスパイが複数のコンピュータを侵害したと主張し、あたかも北朝鮮が原因であるかのように見せかけました。

しかし、実はそうではありません。このまとめは、ゲームが開催されてから数ヶ月後のエピローグで終わります。ロシアのハッカーが、オリンピックのドーピングスキャンダルへのロシアの関与の重大性を軽視しようとして、米国のオリンピック選手であるシモーネ・バイルス選手、ビーナス・ウィリアムズ選手、セリーナ・ウィリアムズ選手の個人的な医療情報を流出させたとして告発された、非常に厄介な攻撃がありました。

2021年:東京オリンピック

そして、今回の日本でのゲーム開催に至りました。事の始まりは、2月のTwitterアカウントの不正アクセスでした。前回の続きですが、パンデミックの影響で大会が延期される前に、ロシアからの国家的な攻撃が計画されていました。現在、伝統的な警報が鳴らされていますが、どこに大きな打撃を与えるかはまだわかりません。しかし、日本のコンピュータを標的にしたマルウェア「Wiper」の形で、マルウェアが飛び交っている証拠があります。

言えることは、法執行機関も「注意してください」という大きなベルを鳴らしているということです。FBIは警告を発しましたが、案の定、すでに小規模な漏洩が発生しています。

OSを最新版にし、セキュリティソフトを最新のものにし、キャンペーン、無料配布、割引、ストリーミング、モバイルアプリ、または真実とは思えないようなメールには十分注意してください。

これらはオリンピック詐欺師たちが試行錯誤してきた手法であり、彼らは非常に得意としています。彼らは最後までやり遂げることができるでしょうか?

2021/08/18

T-Mobile、大規模なデータ漏洩を調査中 / T-Mobile Investigating Claims of Massive Data Breach(転載)


T-Mobile Investigating Claims of Massive Data Breach:

通信事業者大手のT-Mobile社は2021年8月16日、T-Mobile USAの1億人の顧客の個人情報が流出したとハッカーが主張している情報流出の範囲を調査していると発表しました。この情報には、氏名、社会保障番号、住所、生年月日、電話番号、セキュリティ用暗証番号、および各顧客のモバイル機器を特定するための情報が含まれている場合が多くあります。

日曜日(021年8月15日)、Vice.comは、何者かが1億人分のデータを販売しており、そのデータがT-Mobile社のものであるというニュースを伝えました。本日、同社はウェブサイトに掲載した声明の中で、「一部のT-Mobileデータ」に関わる不正侵入があったことを確認しましたが、何が盗まれたのか、どれくらいの顧客が影響を受けるのかを知るには調査が早すぎると述べています。

盗まれたとされるT-Mobileの顧客データに結びついたセールススレッド。

T-Mobile社は、「一部のT-Mobileデータへの不正アクセスが発生したと判断していますが、関連する個人顧客データがあるとはまだ判断していません」と書いています。

「不正アクセスに使用された入口は閉鎖されたと確信しており、不正にアクセスされたデータの性質を特定するために、当社のシステム全体で状況の詳細な技術的検証を続けています。「この調査には時間がかかりますが、私たちは最大限の緊急性を持って取り組んでいます。この調査が完了するまでは、影響を受けたと報告されている記録の数や他者の発言の妥当性を確認することはできません」。

この侵入は、@und0xxedというアカウントが詳細をつぶやき始めたことで、Twitterで明らかになりました。ダイレクトメッセージで連絡を取ったUnd0xxedは、自分たちはデータベースの盗用には関与しておらず、盗んだT-Mobileの顧客データの買い手を探す仕事をしていたと述べています。

Und0xxed氏によると、ハッカーはT-Mobile社の無線データネットワークに空きを見つけ、T-Mobile社の2つの顧客データセンターにアクセスすることができたという。侵入者はそこから、合計100ギガバイト以上の顧客データベースをダンプすることができた。

これらのデータベースの1つには、1990年代半ばにさかのぼり、米国内のT-Mobile社の顧客3,600万人の氏名、生年月日、SSN、運転免許証情報、平文の暗証番号、住所、電話番号が含まれているとしている。

このデータには、3,600万人分のIMSIおよびIMEIデータも含まれているとのことです。IMSIとIMEIは、顧客のモバイル機器に埋め込まれた固有の番号で、機器とSIMカードを識別し、顧客の機器と電話番号を結びつけるものです。

"もし、私がデータにアクセスできるか/データが本物かどうかを確認したいのであれば、T-Mobileの番号を教えていただければ、私があなたのためにルックアップを実行し、その番号に現在接続されている電話機のIMEIとIMSI、その他の詳細情報をお返しします。" @und0xxed氏はこのように述べています。"T-Mobile USAのプリペイドとポストペイドのすべての顧客が影響を受け、SprintとT-Mobileが所有する他の通信事業者は影響を受けません。"

侵入者がアクセスしたとされる他のデータベースには、顧客の詳細情報がはるかに少ないプリペイドアカウント用のものも含まれています。

"プリペイドのお客様は通常、電話番号とIMEI、IMSIだけです。"とUnd0xxedは述べています。"また、データベースのコレクションには、過去のエントリーが含まれており、多くの電話番号には、長年にわたって10や20のIMEIが付けられており、サービスの日付も提供されています。また、カードの6桁を難読化したクレジットカードの番号を含むデータベースもある。"

T-Mobile社は、同社が同日のブログ記事で述べたこと以上のコメントを拒否した。

2015年、大手3社の信用調査機関Experianのコンピューター侵入により、T-Mobileに融資を申し込んだ1500万人の社会保障番号などのデータが流出しました。

他の携帯電話会社と同様に、T-Mobile社も、自社の従業員を標的としたSIMスワッピング攻撃やその他の手法を用いて、従業員のアカウントを奪い、顧客データへのバックドアアクセスを可能にする詐欺師と常に戦っています。少なくとも1つのケースでは、小売店の従業員がアカウントの乗っ取りに加担していました。

誰がT-Mobileをハッキングしたのか?

Und0xxedというアカウントのTwitterプロフィールには、IRDevやV0rtexなどのハンドルネームを持つ、かなりつかみどころのないハッカーのTwitterアカウントである@IntelSecretsへの呼びかけが含まれています。T-Mobileへの侵入に@IntelSecretsが関与しているかどうかを尋ねられた@und0xxedは、それを確認しました。

IntelSecretsのニックネームは、Mirai「モノのインターネット」ボットネットのソースコードを改変して「Satori」と呼ばれる亜種を作成し、それを犯罪的利益のために使用し、後に捕まって起訴された他者に供給した責任を主張している個人に対応しています。Satoriボットネットの運用について2019年に有罪を認めたKenny "NexusZeta" Schuchmannのように。他にも2人の若者がSatoriに関連して起訴されていますが、IntelSecretsではありません。

IntelSecrets/IRDev/V0rtexについて、なぜこのようなことがわかるのか。本名をジョン・エリン・ビンズと名乗る人物が起こした一連の奇妙な訴訟の中で、その人物はそのことを認めている。このビンズという人物は、intelsecrets[.]suというウェブサイトを運営しています。

サイバー侵害が発生して当然ともいえる状況では発想や考え方を変えることが重要(転載)


サイバー侵害が発生して当然ともいえる状況では発想や考え方を変えることが重要――サイバーディフェンス研究所 名和利男氏 

境界防御が廃れ、境界防御自体が脆弱に

境界防御とは、「防御区域の境界に沿って展開された戦力で構成された、露出した側面を持たない防御」のことだ。ネットワークを攻撃から守る一つのレベルであり、外部からの攻撃から保護する。ボディーガードが要人の身辺を守るように、ファイアウォールやIDS/IPS、SIEM、アンチウイルスなどが、社内ネットワークを外部の攻撃から守るイメージである。

これまでのサイバー環境は、管理や検知、対処が可能だった。しかし現在のサイバー環境は、人間や組織の能力の限界を超え、管理や検知、対処が困難になっている。さらに近い将来、監視や観察、状況判断も困難になり、さらに可視性がなく、状況判断が不可能になる可能性がある。

ある大手ソフトウェアベンダーも、ブログの中で「境界防御のモデルを継続するには、あまりにも煩雑で、あまりにも高価で、あまりにも脆弱であることを学んだ」と述べている。つまり、境界防御が廃れ、人の能力だけでなく、予算的にも限界で、境界防御自体が脆弱になっているということだ。

サイバー侵害が発生して当然ともいえる状況

組織の内部を起点にした侵害活動によるインシデントを経験した国内外の企業や公的組織に対する支援活動において、企業の経営層、組織や団体の責任者、サイバー侵害を経験した当事者と数多くの対話をしてきた。その対話の中で得られたのは、「サイバー侵害が発生して当然ともいえる状況」であるということだ。

対話から得られた「サイバー侵害が発生して当然ともいえる状況」は、次の通りである。

(1)現実のサイバー脅威に適合しない予算と人的リソース

10年以上前よりサイバーセキュリティに先進的に取り組んできた企業に多く見られる傾向だが、経営層が組織設計をすることなく、サイバーセキュリティ関連の認定資格を持っているというだけでセキュリティ担当者に配置させ、組織設計までさせるのは非常に愚かな行為だ。

また、経営層の不理解やサイバー脅威を感じていない企業に多いのが、セキュリティ担当部門に対する割り当て予算の水準が非常に低いことである。サイバーセキュリティ関連の予実管理の仕組みや環境が乏しいのは、多くの場合はセキュリティ担当部門の基本設計が原因となっている。

サイバー脅威対策チームに求められるスキルは、コンピュータフォレンジック、セキュリティイベントの分析、ベネトレーションテスト、ソリューションエンジニアリング、脆弱性マネジメント、サイバー脅威リサーチなど。このようなスキルを持ったチームを作り、アセスメントと評価、プログラム作成と実践、監視と警告、安全保全戦略と実践というサイバーインテリジェンス対応能力を習得する。

(2)現実から大きく乖離したCSIRTの設計

CSIRTに対し、セキュリティインシデントを発生させないための責任が過剰に与えられている。インシデントを発生させるのはCSIRTではなく、ユーザー部門で、インシデントを発生させたユーザー部門に責任を負わすべきである。

しかしユーザー部門では、インシデントに対応できない。これは住宅の火事と同じで、一定規模以上の火事は住人には消せない。119番に電話して消防車を呼び、消してもらうことが必要になる。こうしたシンプルな考え方が、CSIRTをどのように設計するかの出発点となる。

CSIRTの基本設計で重要なのは、ミッションステートメントで、その下にポリシー、品質、サービスが派生する。何をやるべきか、どこまですべきか、どのような判断なのかが重要。判断がポリシー、どこまですべきかが品質、何をやるべきかがサービスである。サービスには、事後対応型サービス、事前対応型サービス、セキュリティ品質管理サービスの3つがある。

諸外国では、インシデントを発生させたユーザー部門が、CSIRTにお金を払って対応してもらうことで、CSIRTのプロフィット化に取り組んでいる。日本のCSIRTも、ユーザー部門から予算をもらう形式にすれば、予算を出したくない事業部は、インシデントを発生させないように頑張るはずだ。

(3)外部脅威者から影響を受けるインサイダー活動

最近見られる現象としては、非常に洗練された脅威主体が、IT管理部門や設計業者、運用保守業者、運用サポート業者などのインサイダーを活用して、攻撃しやすい環境を手に入れている。例えば、困難な状況に陥っている社員を外部脅威者が見つけて助けを申し出る、不満を持つ社員が敵対する国や企業に対して情報を提供するなどである。

(4)セキュリティ担当者とネットワーク運用者の関係が遠い

新型コロナウイルス禍への対応やDX推進などに起因する急なネットワーク構成の変更において、セキュリティ上の問題が軽視されることがある。例えば、Webサーバ運用のケースでは、セキュリティ上の問題の対処や対策のために一時中断をしても事業継続への悪影響はほとんどない。

一方、ネットワーク運用のケースでは、セキュリティ上の問題の対処や対策のために一時中断をすると事業継続に悪影響を及ぼす。事業継続に影響があると、一部の経営層や現場から「業務を止めるのか」というクレームがくるため経営層や現場に忖度し、セキュリティ上の問題が軽視されることになる。

(5)Webホスティングコントロールパネル脆弱性への対応不足

2020年11月、国内Webホスティング会社の多くが使っているcPanelに、2要素認証を回避する脆弱性が見つかった。最初に見つけたのはロシアのハッカーで、この情報が闇サイトで売買されていた。cPanelを使っているWebホスティング会社全てに関わるため非常にインパクトのある脆弱性だが、日本語の情報は多くなかった。

サイバーレジリエンスを確保するために発想や考え方を変える

サイバー侵害を経験した企業や公的組織の経営層やセキュリティ対策責任者などからの問い合わせの中で、サイバーレジリエンスを確保するために発想や考え方を大きく変えてほしい点は、次の通りである。

(1)どの程度の予算と人材を確保すればよいか

サイバー環境およびその変化を直視しない姿勢を改めることだ。画一的な情報システムが採用され、攻撃キャンペーンが行われている前提であれば、情報セキュリティ専門家が回答できる。しかし現在は、超標的型攻撃なので、どのような人材と予算を確保すればよいかを回答するのは困難である。

(2)経営層のセキュリティ意識を高めるにはどうしたらよいか

セキュリティ意識を高めれば、意思決定などの適切な行動をするというのは妄想だということ。本気で経営層の意識を変えたい場合、行動変容技法(COM-Bモデル)を参考にするといい。また、経営を理解した外部のセキュリティ専門家に依頼し、段階的に意識を変える、やさしい圧力をかけることは有効である。

(3)最新のサイバー脅威を把握するにはどうしたらよいか

新着情報や防災情報と同様な一過性のセキュリティ情報ばかりを追求する姿勢は改めることだ。もっとも重要なのは、ストーリーである。サイバー攻撃は人間によって行われ、その人間には癖や慣習がある。彼らは一度成功すると、無意識に繰り返すため、そのストーリーを理解することが重要となる。

(4)自社のセキュリティレベルは競合他社に比べてどうか

変えてほしいポイントは、同調圧力や横並び精神をやめることだ。自分がやるべきことをやるためには、同業界内での横の争いではなく、目の前の脅威者、またはサイバー脅威を見て、それに適合する防御レベルに上げることだ。

(5)どのソリューションを導入するのがよいか

詰め込み教育による情報処理力偏重/正解主義偏重をやめることだ。多様化した脅威により企業ごとに発生するリスクは異なる。誰かに聞けば、どこかに正解があるはずだと思っているかもしれないが、正解は1つではなく、ソリューションに優劣をつけるのは困難である。

攻撃者が活動しにくいビジビリティのある状況を作る

セキュリティのさまざまな問題、自社内で発生する事象、インターネットやメディア、SNSの情報については、氷山の一角であり、氷山の見えている領域だ。この領域は、直接的に管理、対処ができるが、これで満足してはいけない。心構えとして大切なのは、氷山の見えない領域が大きいということ。見えない領域を識別、特定し、間接的に管理、対処する仕組みを作り、ログを記録し保存して分析する努力をすることだ。

もっとも伝えたいのは、ビジビリティ(可視性)の喪失である。内部を拠点としたサイバー攻撃の多くが、相手にばれないように活動する。そこで攻撃者にとって、活動しにくい状況、すなわちビジビリティのある状況を作ることが重要。今後は、見えない領域がますます大きくなっていることに注目した対応が必要である。

2021/08/17

戦跡&ダークツーリズムツアーマップ


 突然だが、拙者は戦跡巡りが好きである。

大東亜戦争で日本のために戦った英霊に敬意を表するというのもあるし、そんな戦争があって今のような平和な世の中ができているということに感謝するという意味もある。

そんな戦跡巡り好きに参考になりそうなサイトを見つけたので、備忘録がてら残しておく。

【参考サイト】

ちなみに、自分は平和という観点から戦跡に限らず、ダークツーリズムも好きである。実は戦跡とダークツーリズムを組み合わせたマップがないとふと思い、日本戦跡協会様作成のgoogle mapをベースに、オリジナルの戦跡&ダークツーリズムマップを作ってみることにした。


Posted in  on 8月 17, 2021 by B-SON |  

アフガニスタンの首都カブール陥落で空港が大混乱中 / Thousands of Afghans desperate to leave the country thronged Kabul airport. A U.S. official said troops fired in the air to deter people trying to force their way on to a military flight that was set to take U.S diplomats and embassy staff out of the city(転載)


RT by @TrackerPayton: Thousands of Afghans desperate to leave the country thronged Kabul airport. A U.S. official said troops fired in the air to deter people trying to force their way on to a military flight that was set to take U.S diplomats and embassy staff out of the city https://reut.rs/3jXCLpo:

reut.rs/3jXCLpo

2021年8月16日 - タリバンが首都を制圧した後、アフガニスタンを脱出しようとする数千人の人々がカブールの空港に押し寄せ、ジョー・バイデン大統領は米国の撤退に対する批判が高まる中、避難を一時停止した。

アフガニスタンの民間放送局「Tolo news」が公開した映像によると、逃げようとする群衆が空港に押し寄せ、中には滑走路に着陸した米軍輸送機にしがみつく人もいました。

米国の外交官や大使館員を避難させる軍用機に無理に乗り込もうとする人々を阻止するために、米軍が空から発砲したと米政府関係者が発表しました。

この混乱で5人が死亡したと報告されており、避難便は一時停止を余儀なくされた。目撃者によると、5人が銃撃されたのか、それとも暴徒化して死亡したのかは不明とのことです。米政府関係者は、過去24時間の間に米軍によって2人の銃撃者が殺害されたと述べた。

米国防総省の報道官によると、米軍兵士1名が負傷したとの情報がある。

ドイツの避難機は、山に囲まれた谷間に位置するカブールに着陸できないため、ウズベキスタンの首都タシケントに迂回しました。また、外国人やアフガニスタン人スタッフを避難させるために軍の輸送機が着陸したと当局は月曜日遅くに発表しましたが、別の輸送機はカブールの上空を旋回しました。

米当局も、飛行場が再開されたことを確認した。

タリバンによるカブールの急速な征服は、バイデン氏が1兆ドル以上の費用がかかったと説明した20年間の戦争から米軍を撤退させるという決定に続いて行われました。

アメリカの情報機関が予測していた数ヶ月ではなく、数日でアフガニスタンの都市が陥落したことや、タリバンが言論の自由や人権、特に女性の権利を弾圧するのではないかという懸念から、批判の声が上がっている。

バイデン氏は月曜日の午後にテレビで行った演説で、自分の決断を擁護し、米軍にアフガニスタンの内戦と呼ばれる戦いを延々と続けてもらうか、共和党のドナルド・トランプ前大統領が交渉した出発の合意を実行するかのどちらかを決めなければならなかったと主張しました。

バイデンは「私は自分の決断を断固として支持します」と述べました。「20年の歳月を経て、米軍を撤退させるのに適した時期などないことを痛感しました。だからこそ、私たちはまだそこにいるのです。"

彼は、タリバンが乗っ取った原因は、アフガニスタンの政治指導者たちが国外に逃亡したことと、アフガニスタン軍が戦闘に消極的だったことにあるとした。

民主党議員は、軍を撤退させた後、避難のために数千人を送り返した米国の撤退の対応について、自国の外交官からも批判の声が上がっている。

共和党の上院少数党院内総務であるミッチ・マコーネル氏は、地元ケンタッキー州で記者団に「アフガニスタンは失われた...世界中のすべてのテロリストが歓喜している」と語った。

普段は米国の強固な同盟国である英国の国防長官ベン・ウォレスは、トランプがタリバンと結んだ2020年のドーハ撤退協定は "腐った取引 "だと述べた。


国連安全保障理事会は、アントニオ・グテーレス事務総長が人権や女性・少女に対する侵害を「冷酷に」抑制すると警告したことを受け、アフガニスタンの新政府樹立に向けた協議を呼びかけました。

アフガニスタンのアシュラフ・ガニ大統領は、イスラム過激派が事実上無抵抗でカブールに侵入したため、流血を避けたいと言って日曜日に逃亡しました。

米国防総省のジョン・カービー報道官によると、ロイド・オースティン国防長官は、カブールに別の大隊を配備することを承認し、避難を警備する部隊の数は約6,000人になるという。

タリバンのスポークスマンであるスハイル・シャヒーンは、ツイッターで、同グループの戦闘員は誰にも危害を加えないよう厳しい命令を受けていると述べた。

「誰の生命、財産、名誉も傷つけてはならないが、ムジャヒディーンによって守られなければならない」と述べています。

タリバンが国全体を掌握するのに1週間しかかからなかった。長年訓練を受け、米国やその他の国が装備を整えた政府軍が溶け出し、カブールで電撃的な掃討作戦が終了したのである。

米国の将校たちは長い間、汚職が、給料が低く、食事も与えられず、不規則に供給される前線の兵士たちの決意を損なうのではないかと心配していた。


ウズベキスタンの発表によると、アフガニスタンの数百人の兵士が、週末に22機の軍用機と24機のヘリコプターでウズベキスタンに逃亡し、そのうち1機は護衛のウズベキスタン戦闘機と衝突して両方とも墜落した。

ロシアのセルゲイ・ラブロフ外相と米国のアントニー・ブリンケン国務長官は、電話でアフガニスタンについて協議し、中国、パキスタン、国連との協議を継続することで合意した、とロシアは発表した。

パキスタンのシャー・メフムード・クレシ外相は、ブリンケン氏とアフガニスタンについて話し、パキスタンは平和と安定を支援するために米国や他のパートナーと緊密に関わっていくと述べた。

タリバンの政治事務所のスポークスマンであるモハマド・ナエームは、アルジャジーラTVに対し、アフガニスタンの新政府の形態はすぐに明らかになるだろうと語った。彼は、タリバンは孤立して生きることを望んでいないと述べた。

タリバンは、女性の権利を尊重し、外国人とアフガニスタン人の両方を保護することを約束し、より穏健な顔を見せようとしている。

しかし、多くのアフガニスタン人は、タリバンが過去の厳しい慣習に戻るのではないかと恐れています。1996年から2001年にかけてのタリバンの支配下では、女性は働くことができず、石打ちや鞭打ち、首吊りなどの刑罰が行われていました。

「アフガニスタンに従軍したドイツ連邦退役軍人協会のアンドレアス・エガート会長は、「私が懸念しているのは、アフガニスタンがイスラム勢力のカリフとなり、避難所になるということです。

「そして、やがて20年前と同じ状況になるだろう」。

Posted in ,  on 8月 17, 2021 by B-SON |  

2021/08/16

ゼロトラストが流行っているのにセキュリティ企業のいうことは信じてしまうの謎すぎる動きだ(転載)~事象セキュリティ専門家は信じるべからず~


ゼロトラストが流行っているのにセキュリティ企業のいうことは信じてしまうの謎すぎる動きだ。。。 https://t.co/ZfZhiXBkig Quoted tweet from @papa_anniekey: いま言えるのは ・セキュリティインテリジェンスの会社のいう事は鵜呑みにするな ・ヤフコメにでてくるセキュリティ関連の専門家は、この業界ではほぼすべて(有名人含)信用されていないよ の2点です。よろしくお伝えください。: ゼロトラストが流行っているのにセキュリティ企業のいうことは信じてしまうの謎すぎる動きだ。。。
https://t.co/ZfZhiXBkig
いま言えるのは
・セキュリティインテリジェンスの会社のいう事は鵜呑みにするな
・ヤフコメにでてくるセキュリティ関連の専門家は、この業界ではほぼすべて(有名人含)信用されていないよ
の2点です。よろしくお伝えください。