search.wikileaks.org/gifiles/attach…
2011年のだけど使えそうなOSINTの資料があった、たすかる （転載）
search.wikileaks.org/gifiles/attach…
サイバーセキュリティシンポジウム道後2021に参加してみた～オワコンと思われがちな新聞は、バランスの観点で重要！？～
サイバーセキュリティシンポジウム道後2021に参加してみた。
通常はシンポジウムの名称にある通り、愛媛県松山市で開催されるのだが、COVID-19(武漢ウイルス)の影響でオンライン開催になった。
武漢ウイルスの影響により、これまで対面がベースだったカンファレンスは軒並みオンライン化されている。
オンラインではメリット、デメリットがそれぞれあると感じている。
■オンラインのメリット
・ナイトセッションに気軽に参加でき、司会者の声がちゃんと聞こえる点（対面だと、司会者から離れた席に座ると、何を話しているのか全く分からない。それ以前にナイトセッションは自分みたいな人見知りにはそもそも参加のハードルが高い）
■オンラインのデメリット
・セッションがLIVEではなく、スピーカーの都合で録画配信になること（カンファレンスはライブでも、ライブと見せかけて録画配信になるケースがあり、ガッカリさせられる）
・ながら視聴ができるため、実は会場参加に比べて集中できていない。
・現地に行くことで、カンファレンス参加に加えて温泉や現地観光(+α)が楽しめるのに、+αが楽しめない
個人的には地方開催のカンファレンスは、オンラインにしてしまうとメリットの9割が無くなってしまうため、早く会場開催に戻してほしいと感じた。
今年はオンライン開催ということで、普段は参加しないナイトセッションに参加してみた。
その結果、セキュリティとは直接関係ないが、ちょっとした学びを得ることができた。
参加したのは、須藤龍也氏と、にゃん☆たく氏が座長を務めるセッション。
須藤龍也氏は、朝日新聞の記者で、以前某G社のセミナーで話を聞いたことがある。
にゃん☆たく氏もIT Security Live Week以来である。
昔(インターネットがない時代)の情報収集と言えば、専らテレビや新聞といったマスメディアが中心だった。
ところが、インターネットが普及し、自身がインターネットから必要な情報を自由に取りに行くことができ、「個」の細分化が進んだ。
これは、言い換えれば新聞は買うと新聞社が選んだ万人受けする情報が詰まっているので、それを読んで情報を得るか、YouTubeやネットニュースを使って欲しい情報を検索して入手するかの違いだと思う。
「個」の細分化により、ネットからも情報を得ることができるため、新聞を読む人は減り、実際に新聞の購読者も右肩下がりらしい。
実は自分も新聞の定期購読は行っておらず、週末読みたいときにコンビニで購入して読む程度である。
日本のマスコミは偏向報道をしているという話もあり、ここから先は、新聞の記事が偏向報道か否かで若干考えが変わってくる。
まずは、新聞の記事内容が偏向報道ではないと仮定する。
そうすると、新聞は幕の内弁当に例えられる。
その心は、バランスがよいということだ。
例えば、自分の志向では選ぶことのない食材があった場合に、それが新たな出会いや気づきにつながる可能性がある。
自分で興味のある記事を得るということは、食事でいうと好きなものだけを食べている状態とほぼ同じであり、栄養バランスが欠けてしまっている可能性が考えられ、新聞を読むことで栄養バランス（=情報のバランス！？）を取ることができる。
という考え方を得られたのが非常に勉強になった。
ただ、新聞の記事が偏向報道だと、「幕の内弁当」が、「毒入り幕の内弁当」となるため、栄養バランス以前の問題となる。
新聞の記事を丸呑みするのも良くないが、定期的に新聞を読むことは結構重要だと感じた。
週末はじっくり新聞を読む時間を作ってみようと思う。
初心者に人気のバグバウンティコースとトレーニングプログラム10選 / The 10 Most Popular Bug Bounty Courses and Training Programs for Beginners（転載）
かつてハッカーといえば、暗い部屋に座っているフード付きの人物で、インターネット上のミステリアスで人目につかない場所に住んでいると思われていましたが、ありがたいことに時代は変わりつつあります。
ホワイトハットやエシカルハッキングの人気は急上昇しており、多くの人にとって有益なキャリアの選択肢となっています。
バグバウンティハンティングは、ハッキング業界に参入したばかりの若いハッカーにとって、最も人気のある仕事の一つです。ハッキング技術を磨くための趣味として取り組む人もいれば、フルタイムのキャリアとして実に有益な選択肢となる人もいるだろう。2020年だけでも、バグバウンティハンターたちは、バグバウンティプラットフォーム「HackerOne」でセキュリティ上の脆弱性を報告することで、過去最高の4000万ドルを獲得しています。
毎日のように多くの新しい熱心なハッカーがコミュニティに参加していますが、彼らが始めるためには良いリソースが必要です。新しいバグバウンティハンターが実践的なアプローチを始める前に理解しなければならないのは、馴染みのない専門用語、トピック、テクニック、ツールなどがたくさんあります。ありがたいことに、バグバウンティコミュニティは、知識の共有に協力的で、初心者を歓迎してくれることで知られています。そのため、オンラインで安価な学習教材を豊富に見つけることができます。
キャリアをスタートするにあたり、バグバウンティハンティングの基本を学ぶための最良の方法の一つは、トレーニングプログラムやコースを利用することです。私たちは、Twitterコミュニティやお気に入りのハッカーたちに、これらの教材の中で最も優れたものについてアドバイスを求め、このリストを作成しました。コースやトレーニングは順不同で掲載されており、それぞれ基本的なスキルレベルが異なる個人に役立つものです。
バグバウンティハンティングの基本とそれに必要な理論的知識を手に入れたら、ペネトレーションテストや倫理的ハッキングのために意図的に脆弱なウェブサイトをハッキングして自分のスキルを試し、ツールスタックの構築を始める準備ができたら、最高のバグバウンティブラウザ拡張機能をチェックするようにしてください。
1. BugBountyHunter
好きなバグバウンティハンティングのコースやトレーニングプラットフォームについてTwitterで質問したところ、BugBountyHunterが断トツで選ばれました。BugBountyHunterは、有名なハッカーでバグバウンティハンターのSean（zseanoとして知られている）が作成したもので、初心者と経験豊富なハッカーの両方を対象としています。実際のバグバウンティで発見された脆弱性を備えたカスタムメイドのウェブアプリケーションを使って、スキルを学び、テストすることができます。このプラットフォームは、バグバウンティに関するあらゆる情報を提供することを目的としており、バグバウンティハンティングを始めるためのガイド、最も一般的な脆弱性の調査、必要なツール、貴重なバグバウンティハンティングの方法論の豆知識など、セキュリティ関連のコンテンツを数多く提供しています。
BugBountyHunterでは、ウェブアプリケーションのセキュリティ脆弱性を発見するためのzseanoの完全で非常に詳細な方法論にアクセスすることができます。一方、BBHの会員になると、あなたの実践的なスキルをテストするためのカスタムメイドのウェブアプリケーション「BARKER」が提供されます。BARKERは実際のターゲットを模したもので、実際の発見に基づいた100以上の脆弱性を含み、異なる難易度を提供します。
zseano氏は常に新しい脆弱性をアップデートしており、zseano氏の方法論に従えば、BARKERでほとんどの脆弱性を見つけることができるはずです。さらに、BARKERはゲーム性があり、スキルを磨いてより多くの脆弱性を発見するとレベルアップしていきます。25個のユニークなバグを発見すると、プロが参加するライブハッキングイベント「Hackevents」に参加することができ、賞金を獲得することもできます。
BBHの会員になると、特定のトピックに関するトレーニングビデオやそのアプリケーションのデモが見られるBountyTrainingにもアクセスできるようになります。全体的に見て、BugBountyHunterはまだ若いプラットフォームですが、すぐにコミュニティの人気者になっている有望なプラットフォームです。
2. PentesterLab
PentesterLabは、特にバグバウンティハンティングを目的としたものではないかもしれませんが、ウェブアプリケーションのセキュリティやペネトレーションテストを学ぶためのオンラインおよびオフラインのラボを提供する、有名なプラットフォームです。このプラットフォームでは、Webアプリケーション・セキュリティやペンテストを始めたばかりの人のために、無料の演習問題やブートキャンプを提供しているほか、200以上の専用演習問題や実際のシナリオにアクセスできる、非常に価値のあるPROサブスクリプションも提供しています。
PentesterLabでは様々なバッジを提供しており、それぞれにEasyからHardまでのエクササイズが混在しています。バッジには、クロスサイトスクリプティング（XSS）、SQLインジェクション、認証・認可、リコン、デシリアライゼーションなど、ウェブセキュリティやペンテストに関する幅広いトピックが含まれています。それぞれのバッジには、多数のオンライン演習が用意されており、教材やビデオを使ったコースも含まれています。
オンラインエクササイズの多くは、PentesterLabで必要な知識やリソースを得ることができます。難易度の高い問題は、Googleで検索する必要があるかもしれませんが、初心者にはこのプラットフォームのビデオと資料で十分でしょう。
オンラインのエクササイズはシンプルで要点を押さえており、学んだことを試すことができ、ビデオは非常に高品質である。このプラットフォームの作者は、常にウェブサイトを更新し、バッジを追加しています。最高のリソースや教材を手に入れるためには、月額20ドルのPRO会員になる価値があり、忠実なユーザーがそれを証明しています。
3. Portswigger Web Security Academy
Web Security Academyは、Burp Suiteを開発したPortswigger社によって作成されました。この無料オンライン・トレーニング・センターは、ウェブ・アプリケーション・セキュリティを学び、実践するための実行可能なリソースであり、サイバーセキュリティの専門家による実戦的なコンテンツやインタラクティブなラボが含まれています。
膨大な量の高品質なリーディング教材と、3段階の難易度を持つインタラクティブなラボを備え、コンテンツは継続的に更新され、新しいトピックや教材が定期的に追加されています。自分のペースで学習を進めることができ、ライブリーダーボードで他のユーザーと競い合うこともできます。
Web Security Academyでは、30以上の無料ラボが用意されており、SQLインジェクション、XSS、XML外部エンティティ（XXE）、安全でないデシリアライゼーション、情報漏えい、サーバサイドリクエストフォージェリ（SSRF）、Webキャッシュポイズニングなど、Webの脆弱性に関する重要なカテゴリの知識を習得し、実践することができます。
ラボの解説は、ウェブアプリケーションセキュリティを学ぶための出発点として、初心者の方はもちろん、経験豊富なハッカーの方が知識をリフレッシュしたり、スキルを練習したりするのにも適しています。
4. Hacker101
多くの著名なバグバウンティハンターは、Hacker101のビデオから学んでキャリアをスタートさせています。世界で最も人気のあるバグバウンティープラットフォームのひとつであるHackerOneが主催する無料のウェブセキュリティクラス「Hacker101」は、バグバウンティハンティングの道を歩み始めた初心者向けにデザインされています。
無料ビデオのコレクションであるHacker101は、HTTPの基本、クッキーのセキュリティ、HTMLの解析、MIMEのスニッフィング、CSRFやXSSなど、ウェブアプリケーションの基礎を紹介しています。また、BurpSuite、正しいハッカー精神、優れたバグレポートの書き方、バグバウンティからペンテストへの移行などのトピックについても紹介されています。有名なプロやバグバウンティハンターとのコラボレーションによるビデオの多くは、STÖKを使ったハッカーのためのJavaScriptの学習、クッキー改ざんのテクニック、クリックジャッキング、モバイルハッキングなど、基本的な内容をはるかに超えるトピックを含んでいます。
Hacker101では、Capture the Flag（CTF）トレーニングも提供しており、脆弱な実世界のシナリオで狩りをして、さらにスキルを磨くことができます。旗を3つ見つけると、プライベートプログラムに招待される優先リストに加えられます。
盛り上がっているコミュニティと、バグバウンティハンティングの技術を学んでそれをキャリアにするのにこれ以上の方法はないという事実から、Hacker101はバグバウンティハンターを始める人にとっての必須アイテムとなっています。
5. Intigriti Hackademy
欧州最大級のバグバウンティープラットフォームであり、急成長を遂げているIntigritiは、Webセキュリティの無料オンライン学習教材「Intigriti Hackademy」を開始しました。Intigriti Hackademy」は、初心者のバグ・バウンティ・ハンターのための無料のリソース集で、必要なすべての脆弱性のカテゴリーを、詳細な説明と実際の例、書き込み、説明ビデオでカバーしています。
Intigriti Hackademyに掲載されている脆弱性の種類は、クリックジャッキング、XSS、CSRF、ファイルインクルード、ファイルアップロード、HTTPパラメータ汚染、IDOR、オープンリダイレクト、SSRF、SQLインジェクション、XXEなどです。
また、良いレポートを書き、Intigritiで報奨金を獲得するチャンスを高めるためのガイドやレッスン、バグバウンティハンターが偵察、サブドメインの列挙、コンテンツの発見、サブドメインの乗っ取り、ポートスキャン、脆弱性評価、パスワードクラッカー、プロキシなどに必要なツールについての洞察も提供しています。
2019年に開始され、アップデートを提供しているIntigriti Hackademyは、バグバウンティハンターが知っておくべきすべての基本について素晴らしい概要を提供しており、より高度な知識を得るための素晴らしいジャンプオフポイントとなっています。
6. Bugcrowd University
Bugcrowd Universityは、バグバウンティハンターやセキュリティ専門家がスキルを磨き、洞察力のあるトピックを探求し、現場で価値あるツールを得るために2018年に誕生しました。スタート当初から成長してきたBCUは、現在、初心者を含むあらゆるスキルレベルに対応した幅広いトピックを提供しています。利用可能な教材は、カンファレンストーク、スライドデッキ、高品質なビデオ、ワークスルーに加え、追加のリソースやラボなど多岐にわたります。
フリーでオープンソースのBCUは、最も重要なバグに関する重要な知識と、初めての人が最も頻繁に尋ねる質問を組み合わせて作られています。BCUには、初心者、中級者、上級者向けのコンテンツが用意されており、独自のバグバウンティプログラムを開催したいと考えている組織向けのリソースも用意されています。
初心者向けのコンテンツには、最も一般的な脆弱性に関するビデオやスライドのほか、和解、CSS、BurpSuiteの紹介、SSRF、バグの上手な提出方法などのトピックが含まれています。また、ハッキングやバグバウンティハンティングの他の側面に焦点を当てた、技術的ではないトピックのトークやビデオも用意されています。コミュニティ自体、ハードウェアのハッキング、車のハッキング、Bugcrowdの創設者であるCasey EllisとのQ&Aなどがあります。
BCUは、バグバウンティハンティングに関するあらゆる情報を集めた貴重なリソースであり、倫理的なハッキングの世界をユニークに表現しているので、ぜひブックマークしておきたい。
7. Intro to Bug Bounty Hunting and Web Application Hacking
この新鮮な入門コースは、NahamSecとしてよく知られ、教育的なバグバウンティのコンテンツで多くの人に愛されている尊敬すべきハッカー、Ben Sadeghipour氏によるものです。「Intro to Bug Bounty Hunting and Web Application Hacking」はUdemyで公開されており、実践的なバグバウンティハンティングを学ぶことができます。まさに入門編ということで、基本的なトピックが多く網羅されており、聞き取りやすく、知識ゼロからでもバグハンティングを始められる方法が明確になっています。
XSS、クロスサイトリクエストフォージェリ（CSRF）、SQLインジェクション、安全でない直接オブジェクト参照（IDOR）、SSRF、XXEなど、10種類以上の脆弱性の概要と、それぞれに対応した実践的な演習を収録しています。また、偽のターゲットを攻撃することで新しいスキルを試すことができる実践的なラボ、Reconの紹介、最も人気のあるバグバウンティプログラムの紹介、プログラムの選択に関する洞察、レポートの書き方のレッスン、プライベートなバグバウンティプログラムへの招待を受けるための貴重な指導なども用意されています。
ベンは、今後もコースをアップデートし、中級者向けのトピックを増やしていくことをすでに発表しています。このコースがどのように進化していくのか、楽しみですね。
8. TryHackMe
TryHackMeは、ハッキングやバグバウンティハンティングだけではなく、サイバーセキュリティ全般に焦点を当てたオンラインプラットフォームです。TryHackMeのコンテンツはすべて、ゲーム化された短時間の実世界実験の形で提供されており、「一口サイズの部屋」と呼ばれるさまざまなモジュールで構成されています。このプラットフォームはサイバーセキュリティに関する幅広いトピックを提供しているので、Linuxやネットワークなどの真の初心者向けトピックを扱う部屋もありますが、ここではWeb Hacking Fundamentalsモジュールとその他のモジュールに焦点を当てます。
Web Hacking Fundamentalsでは、Webサイトの仕組みや悪用方法、必需品であるBurpSuiteの使い方、OWASP Top10 Webアプリケーション脆弱性のすべて、そしてCTFについて学びます（このモジュールでは、ある程度の予備知識が必要です）。
このモジュール以外にも、「Web」カテゴリの部屋では、Google dorking、SQLインジェクション、様々なCTF、CSS、効率的な偵察の一環としてのOSINTの実施方法、バグバウンティハンターが持つべき多くのツールの使用方法などのリソースを見つけることができます。また、NahamSecのUdemyコースで学んだスキルをテストするために作られたNahamStoreもあります。ゲーミフィケーションを核としたTryHackMeは、あらゆるスキルレベルのハッカーにとって楽しいプラットフォームです。新しい技術を学んだり、すでに身につけた技術を磨いたりするのに役立つものがきっと見つかるはずです。
9. Bug Bounty Hunting - Offensive Approach to Hunt Bugs
Udemyで公開されていた人気のバグバウンティ講座「Bug Bounty Hunting - Offensive Approach to Hunt Bugs」は、Vikash Chaudhary氏が制作したもので、同氏が経営するHackersEra社のアプリ「HackersEra University」で公開されており、その一部はYouTubeチャンネルで見ることができます。これまでに10,000人以上の受講生がこの講座を聴き、バグ報奨金獲得の経験がない多くの人が、キャリアをスタートするために必要な基礎知識を身につけることができました。
このバグバウンティコースでは、基本的な用語、情報収集、BurpSuiteの使い方、そしてもちろん、XSS、URLリダイレクト、パラメータ改ざん、HTMLインジェクション、SSRF、サブドメインの乗っ取り、ファイルアップロードなど、OWASPトップ10の一般的な脆弱性をカバーしており、最も優れたコースの1つと言われています。
このコースでは、バグバウンティのプラットフォームや報酬、殿堂入りの仕組みなど、バグバウンティハンティングのその他の重要な側面もカバーしており、基本的にはバグハンティングの輝く世界に足を踏み入れるための準備をします。このコースは、Udemyで提供されていた方が便利だったかもしれませんが、Vikash氏のコースはここに掲載されるに値するもので、最高のバグバウンティハンティングトレーニングコースのリストには、このコースを抜きにしては考えられません。
10. Website Hacking/Penetration Testing & Bug Bounty Hunting
初心者向けのコースを探しているなら、もう探す必要はありません。「Website Hacking/Penetration Testing & Bug Bounty Hunting」は、Zaid Sahibが提供するUdemyのコースで、Linuxやプログラミング、ハッキングの知識を必要としません。開発者だけでなく、Webサイトのハッキングを始めたばかりの人にも人気で、すでに7万人以上の受講者がこのコースを修了しています。このコースを修了したからといって、すぐに賞金を獲得できるわけではありませんが、理論と実践の講義を適切に組み合わせることで、しっかりとした基礎的なハッキングの知識を身につけることができます。
このコースでは、まずペンテスティング・ラボの作成方法を学び、次にウェブサイトの基本と使用される技術について学びます。その後、Webサイトのハッキング、情報収集、さまざまな脆弱性カテゴリーの発見とその修正方法を学びます。コード実行、SQLインジェクション、XSS、ブルートフォースなど、バグバウンティプログラムやOWASPトップ10で発見された一般的な脆弱性を、90本以上のビデオで網羅しています。
このバグバウンティコースは、しっかりとした基礎を提供し、ウェブアプリケーションのペンテストの基本的な側面をすべてカバーしています。このコースで提供されている技術は、やや古いと思われるかもしれませんが、全くの初心者向けによく構成されており、バグバウンティハンターとしてのキャリアを容易にするために必要な最低限の知識を得るのに役立ちます。
ココイチでバイトテロ！陰毛をカレーに・・・・
今度はココイチで「バイトテロ」、不衛生行為をSNSで限定公開→予期せず拡散 店は一時営業停止に...運営会社「厳正な対応を行う」
再び目立つようになった「バイトテロ」が、今度は「カレーハウス CoCo 壱番屋」で発覚した。
店の休憩室で、アルバイトの男性がカレーに「不適切行為」をしたものだ。運営会社の壱番屋は2021年6月14日、「お客様にご不快、ご不安な思いをさせた」として公式サイトで謝罪した。
男性店員が、左手で股間に手を入れ、カレーに振りかける
黒いTシャツと黄色い半ズボンをした若い男性店員が、左手で股間に手を入れた。
「なんしてるんですか？ は？」。また手を入れると、別の店員がこう声をかける。
すると、男性は、その左手で食べかけのカレーの上に何かをばらまいた。別の店員は、「うわー！」と声を上げるが、男性は、「スパイスを振りかけました」とつぶやく。カメラがカレーに近づくと、男性の陰毛らしきものがライスの上に乗っていた。
別の店員は、「この人...」と呆気に取られるが、男性は、その場で踊り始め、右隅にいた3人目の店員は、あきれた様子で顔を両手で押さえていた。
この15秒ほどの動画は、インスタグラムに投稿され、6月13日には、ツイッターで転載されるなどして騒ぎになった。
壱番屋の経営企画室は14日、J-CASTニュースの取材に対し、福岡県内にあるフランチャイズ加盟店で12日夕に実際にあったことだと認めた。
今回も鍵付きインスタに投稿し、「仲間うちだけで見るつもりだった」
それによると、バイトの男性店員が店の休憩室で、客に提供するのと同じまかないのカレーを食べていると、動画の男性が、カレーに対して「不適切な動作」を行った。
同社では、この行為は、いじめではなく、お互いに面白がっていた単なる悪ふざけだと説明した。動画の最後に顔を両手で覆った男性は、また別の店員だという。
動画は、食事をしていた男性がスマートフォンのカメラで撮り、行為があった直後に、自らのインスタに投稿していた。インスタは、鍵付きのアカウントで、24時間で消える「ストーリー」に動画をアップしたため、仲間うちだけで見るつもりだったという。
それがなぜネット上で流出したのかは不明だというが、12日の深夜には拡散が始まり、それに気づいた別の店から本部に通報があったそうだ。
壱番屋は14日昼過ぎ、「店舗従業員による不適切な行為とお詫びについて」のタイトルでお知らせを出した。「従業員による不適切な SNS 投稿があったことが発覚いたしました」と報告し、「このような、店舗内の休憩室での不衛生で不適切な行為によって、お客様に大変ご不快でご不安な思いをさせてしまいましたことを深くお詫び申し上げます」と謝罪した。
発覚当日に店の営業を停止し、再発防止に向けた指導を行うとともに、店における衛生管理の確認や清掃などを行い、翌日から営業を再開したという。
バイト店員2人については、「事実関係を認め、素直に反省しておりますが、弊社といたしましては規程に則って厳正な対応を行う所存」だとしている。
プレスリリース：店舗従業員による不適切な行為とお詫びについて
区分一筋26年、59室を「現金買い」した兼業大家の軌跡（転載）～購入価格は500万～1000万円くらい、家賃5万円を得られる物件を目指す～
1989年、自宅用として購入した区分マンションをきっかけに不動産投資を開始。現在に至るまで59室の中古ワンルームマンションを現金で買い進め、家賃年収3600万円の大家となった芦沢晃さん。
投資歴26年、これまで区分マンション一筋で購入し続けてきた「区分投資の生き字引」である芦沢さんは、これまでどのように規模を拡大してきたのだろうか。そして、無借金で物件を買い進めてきた「堅実投資術」について、インタビューで語ってもらった。
初めての不動産投資は「マイナス100点」
―現在の投資規模について教えてください
これまで26年間で、59室の中古ワンルームマンションを無借金で購入してきました。現在の総資産は3億円、年間家賃収入3600万円です。主に西東京、神奈川の横浜・川崎などの京浜地区に物件を所有しています。
毎月発生する管理費・修繕積立金や、固定資産税、所得税などを差し引いた税引き後CFは、だいたい2000万～2400万円です。現在は入居率95％で運営しています。
―初めて購入したのはどのような物件だったのでしょうか。
実は、収益用のマンションを購入する前に、自宅用に不動産を購入しているんです。1989年のことです。当時は会社の独身寮に住んでいたのですが、30歳を過ぎたら出なくてはいけない決まりだったので、新居を探していたんです。
当時は、都内の新築住宅は毎年1000万円ずつ高騰しているようなバブル期。「数年後に購入するよりも、今買った方が良いだろう」と思い、思い切って物件を購入しました。八王子市の約3000万円、2DKの中古区分マンションです。
―居住用として購入された物件が最初だったんですね。
その6年後、結婚して子どもが生まれ、2DKだと手狭になってしまうので引っ越すことにしました。そこで購入した物件を売却しようと不動産会社に相談したのですが、バブルが崩壊してしまって。3000万円で購入した物件が、半値にしかならないことがわかったんです。
それで、やむを得ず賃貸に出しました。これが大家の始まりです。
―問題なく運営はできたのでしょうか？
入居はついたのですが、毎月の返済が7万円、家賃も7万円でした。管理費・修繕積立金や税金を支払うと赤字でしたね（笑）。
不動産投資家としては、「マイナス100点」の物件だったと思います。物件の評価が半値になってしまいましたし、収支もボロボロでしたから。
でも、この物件を貸し出したことで不動産投資を知ることができました。この物件がなければ、現在のように不動産投資で資産を築くことはできなかったと思います。だから、自己投資という側面で見れば300点くらいかな？
―その失敗を、次の物件購入に生かしたのでしょうか。
いえ、次の物件も失敗したんですよ（笑）。
1戸目の物件が赤字ですので、なんとかして、収支がプラスになるように挽回しようと思いました。1戸目の物件を賃貸に出した半年後くらいに、2戸目の物件を購入しました。投資用として購入した初めての物件です。
鶯谷駅にある1000万円の中古ワンルームマンションをフルローンで買いました。収支は家賃6万円で返済額が5万5000円だったので、これで「やっとお財布にお金が入るぞ！」と喜んでいましたね。
でも実際に運営してみると予想外の出費が発生してしまい、年間の収支はマイナスだったんです。
固定資産税などの税金、エアコンや給湯器などの故障による修繕費、退去による原状回復費用を、計算に入れていなかったんですね。退去があった際は家賃が入らないですし。
また、管理組合の積立金も赤字だったということも購入後に分かりました。
―2戸目での失敗は、芦沢さんの不動産投資にどのような影響を及ぼしたのでしょうか？
この経験から、2つのことを学びました。
1つは「ローンを組むと収支が回りにくくなる」ことです。銀行返済をする必要があるからです。一棟物件の場合は、複数の部屋があるため、退去や修繕が発生しても他の部屋の家賃でカバーがしやすいです。
しかし、私が購入している1Rマンションの場合、得られる家賃収入は少ないため、専有部で修繕が発生すると、ローンを組んでいた場合すぐに手出しが発生します。また、部屋も1室しかないため、退去があればその期間の家賃は得られません。
2つ目は「マンションの修繕積立金の金額を必ずチェックすること」です。築年数が経過するにつれ、エレベーターや外壁といった共用部など、いたるところで修繕が必要になります。仮に修繕積立金が不足している場合、オーナーが費用を捻出しなければなりません。
修繕積立金の積立金額は、目安1室あたり50万～100万円程度で見ています。大規模修繕が発生したとしても、これくらいの積立金額があればひとまず安心だと判断しています。
できるだけ支出額を少なくするためにも、この2つは気を付けなければいけないと、失敗から学びました。
そして、次の物件から現金購入をしていこうと決めました。
「コツコツ現金購入」を確立し、59室まで拡大
―年表を見ると、2戸目から3戸目を購入する間に3年の間があいているんですね
そうなんです。この3年間は、経験とお金を貯める時期にしていました。
2戸目の物件を購入したものの、不動産投資の収支がどのようになっているのか、何にお金が発生するのか、ほとんど理解していませんでした。そのため、所有している不動産を運営しながら、賃貸経営の収支や管理の方法などを学んでいったんです。
また区分マンションを2戸、融資を組んで購入したことで手出しが多く発生しましたから、「中古ワンルームマンション投資は現金で買わなくてはダメだ」と反省し、貯金に専念しました。
―どのようにお金を貯めていったのでしょうか？
倹約と資産運用です。独身の頃から、必要な生活費以外は毎月すべて投資に回しており、コツコツお金を増やしていました。
当時は投資商品が今ほど豊富ではありませんでしたが、財形貯蓄や株式累積投資、持株会などを行い、毎月15万円くらい投資しました。あとは社内預金が5万円くらいで、合計毎月20万円以上は預金と投資に回していました。
―そのように貯めたお金で購入した3戸目は、どのような物件だったのでしょうか。
3戸目は、田園都市線の駅徒歩4分の場所にある、630万円のワンルームマンションです。家賃は7万円。この物件は現金で購入したので、返済がありません。そのため、固定資産税や所得税などの税金を支払った後の年間の手残りは50万円くらいです。この物件からは、すべて現金購入をしています。
―その後、2004年から2012年にかけて、一気に30室近くの区分マンションを購入されたんですね。
また、2008年にリーマンショックが起きて、日本の不動産市場に影響が出て、安い物件が多く出たんですよ。その時に仲の良い不動産会社から物件を紹介してもらいました。不動産会社と関係性が構築できていたことも大きかったと思います。
リスク回避をする「建物分散」
―物件を購入する際、どのように選んでいますか？
まず、基本的には自分とゆかりのあるエリアを選ぶようにしています。生活圏や勤務圏ですと周辺に何があるのか、ある程度土地になじみがあるため、どのような賃貸需要が見込めるのかを予測することができるからです。
ちなみに、私は神奈川県に生まれて、今は西東京で生活をしているため、東京の西側や神奈川の東側で物件を購入することが多いです。
購入価格は500万～1000万円くらい、家賃5万円を得られる物件という条件を定めています。
販売価格が500万円より安ければ、利回りは高くなるかもしれません。しかし、修繕リスクが高くなりランニングコストの不確定要素が多くなってしまう。一方、価格が1000万円以上だと、資金回収効率が悪くなってしまいます。
資金回収は税金や修繕費などのランニングコストを考慮しても、10数年くらいで回収することを基準にしています。
―家賃5万円を基準にしているのはなぜでしょうか？
家賃が5万円以下だと、維持費負けしてしまうからです。区分マンションの場合、管理費・修繕積立金が毎月発生します。家賃が低すぎると、毎月のキャッシュフロー（CF）が少なくなってしまうため、スピード感が出ないんです。
一方、家賃が6万～7万円であればCFが出るのが利点です。しかし、その分買い手が増え、競合が多くなります。よって販売価格が高くなるため、投資回収率が悪くなってしまいます。
そのため、家賃は5万円を基準にしています。
また、管理費・修繕積立金が大体家賃の3分の1程度に収まるかどうかも確認しています。例えば、家賃が5万円であれば管理費・修繕積立金が1万5000円です。築年数が経過していくにつれ、管理費・修繕積立金は徐々に高くなっていきます。10～30年と長期間にわたって物件を保有するのであれば、家賃が下落していくことも考えられますから、そこも重要なポイントと言えます。
―修繕積立金は、どのようにチェックしていますか？
物件の重要事項説明書を見て、いつ大規模修繕を行ったのか、今後いつ修繕を行うのかを確認しておくようにしています。
管理組合が機能していなければ、修繕が行われずに物件の状態が悪くなり、入居付けに苦労しますから、管理組合が管理費・修繕積立金をどのように利用しているかを確認するのも重要なポイントと言えます。
ただし、初めは難しいことなので、徐々に経験を積んでから理解できることかもしれません。そのため物件購入は慎重に考えていく必要があります。
また、そのような物件を購入してしまっても大きな失敗を回避するために「建物分散」することが大切です。
―「建物分散」とはどういうことでしょうか？
購入する物件を分散することです。一棟物件の場合は一度に複数の部屋を扱うことができ、キャッシュフローを一気に高められるのが特徴の1つです。
一方、区分マンションは1室のキャッシュフローは小さいのがデメリットですが、建物を分散して購入できます。
購入する物件のエリアや建物を分散することで、管理組合が機能していないリスクや、怠慢な管理会社による空室リスク、建物の老朽化や震災などによる大規模修繕リスクなど、さまざまなリスクを分散できます。
そのため、区分マンションを購入する際は建物を分散させることが大切だと考えています。
成功の秘訣は焦らないこと
―芦沢さんは、現在もサラリーマンを続けていらっしゃるそうですね。なぜでしょうか？
ひとえに仕事が面白いからです（笑）。最近は「FIRE」という言葉が話題になっており、そのような生き方も大変素晴らしいと思います。ただ、私の場合は、サラリーマンとして行っている仕事が楽しくて仕方がないんです。
大切なことは、人生の目的に合った生き方をすることだと思います。人生の価値観は人それぞれ異なりますから。
―今後の目標は何でしょうか？
相続をどのようにするか、対策を決めておくのが今後の目標です。
現在63歳ですから、今後は何が起こるかわかりません。いつ自分の身に何か起きたとしても大丈夫なように、今のうちに相続のことを考えています。
妻と息子がいるのですが、妻は不動産には全く興味がなく、息子は社会人になったばかり。息子が不動産投資に関心を持つかどうかはまだわかりません。仮に不動産投資に関心がないとなった場合は、不動産を現金化して株式投資に資金を回すことも検討しています。現在不動産の資産が3億円くらいで、株式が1億円くらいなので、もう少し株式に資金を回しても良いかなと思っています。
…とはいえ、昨年も2戸購入してしまいましたが（笑）。
―これから不動産投資をはじめていきたいと考えている人に、アドバイスはありますか？
「焦らない」ことが成功の秘訣だと思います。さまざまな事情があって、「5年後に資産○億円」などといった、短期間で高い目標を達成したいと考えている人もいると思います。
しかし、短期間で高い目標を掲げてしまうと、焦って行動してしまいます。そうすると、購入条件を妥協して物件を高掴みしてしまったり、入居者が付かないようなエリアの物件を購入してしまったりと、焦って適切な判断ができず物件を購入してしまう恐れがあります。
とにかく焦らず、不動産投資の世界を楽しんでいただければ良いと思います。
JOCは2020年4月にサイバー攻撃を受け、業務停止に陥ったにもかかわらず公表せず（転載）～ランサム被害受けて流出が無いことはないと思うのだが・・・～
JOC サイバー攻撃受けるも公表せず 去年4月 一時業務できず
JOC＝日本オリンピック委員会が去年4月、サイバー攻撃を受け、一時的に業務ができなくなるなど被害に遭っていたことがわかりました。外部のセキュリティー会社の調査の結果、内部情報の流出の痕跡はなかったとして、JOCは被害を公表していませんでした。
JOCによりますと、去年4月下旬ごろ、都内の事務局にあるパソコンやサーバーがウイルスに感染し、サーバーに保存されていたデータが書き換えられるなどして一時、アクセスできなくなったということです。
外部のセキュリティー会社が調査した結果、被害は「ランサムウエア」と呼ばれる身代金要求型のウイルスによるものとみられ、金銭の要求などはなかったということです。
JOCのサーバーには各競技団体の強化指定選手の個人情報などが保管されていますが、調査で内部情報が流出した痕跡はないとする報告を受け、被害を公表していませんでした。
この影響でJOCは一時的に業務ができなくなり、事務局で使用していたおよそ100台のパソコンやサーバーのうち、ウイルスに感染した可能性がある7割ほどを入れ替え、およそ3000万円の費用がかかったということです。
JOCの籾井圭子常務理事は、去年4月に受けたサイバー攻撃について「ルートや原因は特定されていないが、情報漏えいはなかった。ただ、万全なセキュリティー体制が整っていたかというとそうではなかったと思う。これをきっかけにシステムの強化と職員への教育をきちんとやっていく方向性にしている」と話しました。
被害を公表しなかったことについては、「情報漏えいのおそれがあれば関係者にもリスクがあり、公表する必要があるが、今回はその必要性がなく、JOCのサーバーがぜい弱だと思われる可能性もあり、競技団体も含めて公表しなかった。スポーツ庁には報告し、専門家にも相談したうえでルールにのっとって対応した」と説明しました。
加藤官房長官は、午後の記者会見で「去年5月の時点で、スポーツ庁に対し、事務的に情報提供がなされていたものの、その後、特に関係機関などへの情報共有は行われていなかったと聞いている。情報共有が速やかに行われなかったことが適切であったかどうかについては、当時の経緯をしっかりと検証する必要があると考えている」と述べました。
そのうえで「安心・安全の東京大会を実現するためにも、官民や政府内でサイバーセキュリティーに関する連携強化を図っていくことが極めて重要であり、大会組織委員会はじめ関係組織も含めて、東京大会の成功に向けた対策をしっかり進めていく」と述べました。
COVID-19（武漢ウイルス）のせいでBA特典航空券のキャンセルが面倒なことに‥‥
COVID-19（武漢ウイルス）の蔓延により1年以上旅に行けていない。
海外については全くめどが立たないないか、今年は国内にでも行ってみようといろいろ思案している。
んで、何故かぱっとひらめいたのが鹿児島の知覧である。
知覧と言えば、大東亜戦争末期における、特攻の前線基地である。
という訳で早速チケットを押さえることに。
ブリティッシュエアウェイズ(BA)のAVIOを使ってJALの特典航空券に変えるわけだが、鹿児島行きの便に以外に空きがなく、熊本城もついでに見ておきたいと思ったことから、熊本行きを往復で取った。
取った後でよくよく考えると、羽田→熊本→鹿児島→熊本→羽田のルートにするよりも、日程をずらすか多少コストをかけてでも羽田→鹿児島→熊本→羽田のルートが精神衛生上よいなと思い、結局日程をずらして鹿児島入りすることにした。
結果、羽田→熊本のチケットが不要になったので、BAのサイトからキャンセルしようとすると、何故かキャンセルではなく、バウチャー発行画面に遷移してしまう。
まいっかと思いながら手続きを進めていくと、便はキャンセルできてものの、本当にバウチャーが発券されてしまった。。。
これは困ったと、ネットを調べてみたところ、どうやら電話することでAVIOSによる返還に応じてくれるらしい。
BAは日本にコールセンター用意してくれているので助かる。
昨年くらいまでいろいろなマイルに手を出していたが、海外マイルに手を出す際は、自分がどこまでトラブルシューティングできるかを踏まえた方が良い。
BAの場合は、日本にコールセンターが用意されているので、辛抱強く待てば恐らくつながる。
海外の航空会社によってはWebによるキャンセルができず、電話が必要なケースもある。日本語対応できない場合は当然英語で頑張る必要がある。
まさに自己責任ですな～。
【参考】
ブリティッシュエアウェイズ(BA)のAviosで発券した特典航空券をバウチャーにせずAvios払戻しでキャンセルした方法
登録:
投稿 (Atom)