【セキュリティ事件簿#2024-271】株式会社北海道産地直送センター　ECサイト「産地直送センター」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ　2024/6/26

北海道産地直送センター
 

このたび、弊社が運営するECサイト「産地直送センター」（以下「産地直送センター」）におきまして、第三者による不正アクセスを受けたことによって、お客様のクレジットカード情報（18,443名）及び個人情報（54,583名）が漏洩した可能性があることが判明いたしました。

お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

なお、個人情報が漏洩した可能性のあるお客様には、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げております。

また、「産地直送センター」は2024年4月24日をもちまして閉鎖しており、再開の予定はございません。

今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。

お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。

1.経緯

2024年4月19日、一部のクレジットカード会社から、「産地直送センター」を利用したお客様のクレジットカード情報の漏洩懸念について連絡を受け、同日、直ちに「産地直送センター」でのカード決済を停止いたしました。そのうえで、当該懸念に関する状況把握のため、第三者調査機関の選定作業を開始し、2024年4月25日より第三者調査機関による調査を開始いたしました。

2024年5月9日、当該調査機関による調査が完了し、2021年3月30日～2024年4月19日の期間に「産地直送センター」でご注文時に入力されたお客様のクレジットカード情報および個人情報が漏洩し、一部のお客様のクレジットカード情報が不正利用された可能性があること、ならびに、2019年4月12日～2024年4月24日に「産地直送センター」システムにご入力いただいた個人情報に漏洩のおそれがあることを確認いたしました。

以上のとおり、本事案について弊社として本事案に関する事実関係が確認できたため、本日の発表に至りました。

2.個人情報漏洩状況

(1)原因

2021年3月30日、「産地直送センター」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスによりペイメントアプリケーションの改ざんが行われました。また、「産地直送センター」のデータベースに記録されている個人情報が漏洩した可能性が否定できないことが判明いたしました。

(2)クレジットカード情報漏洩の可能性があるお客様

2021年3月30日～2024年4月19日の期間中に「産地直送センター」においてクレジットカード決済をされたお客様は18,443名であり、これらのお客様について以下の情報が漏洩した可能性がございます。

・カード名義人名

・クレジットカード番号

・有効期限

・セキュリティコード

(3)個人情報漏洩の可能性があるお客様

2019年4月12日～2024年4月24日の期間中に「産地直送センター」に個人情報を入力し、データを送信されたお客様、ならびにご注文品の送付先として登録されたお客様は54,583名であり、これらのお客様について以下の情報が漏洩した可能性がございます。

  • 氏名・郵便番号・住所・電話番号を含むご注文情報

  • 氏名・住所・メールアドレス・電話番号・FAX番号・性別・職業・生年月日・会社名を含む会員登録情報

上記に該当する54,583名のお客様については、別途、電子メールにて個別にご連絡申し上げます。

3.お客様へのお願い

(1) クレジットカード不正利用のご確認とお願い

既に弊社では、クレジットカード会社と連携し、漏洩した可能性のあるクレジットカードによる取引について、モニタリングを継続して実施し、当該クレジットカードの不正利用防止に努めております。

誠に恐縮ではございますが、お客様におかれましてもクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をいただきますようお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、大変お手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、お客様がクレジットカードの差替えをご希望される場合、カード再発行の手数料につきましてお客様にご負担をお掛けしないよう、弊社において手数料を負担する形でクレジットカード会社にご協力を依頼しております。

(2)その他の個人情報について

お客様のもとに差出人や件名に心当たりのない不審なメールが届いた際には、ウイルス感染や不正アクセス等の危険がございますので、メールに添付されているファイルは開封せず、メール自体を直ちに消去いただくようお願いいたします。不審な電話がかかってきた場合には、お客様の重要な情報等は決してお伝えにならないようお願いいたします。

4.公表が遅れた経緯について

2024年4月19日の漏洩懸念発覚から今回のご案内をさせていただくに至るまで、時間を要しましたことを深くお詫び申し上げます。

本来であれば漏洩懸念が発覚した時点で直ちにお客様にご連絡し注意を喚起するとともにお詫び申し上げるところではございましたが、不確定な情報をお客様にお伝えすることは却っていたずらに混乱を招いてしまうことから、お客様へのご迷惑を最小限に食い止める準備を整えてから告知させていただくことが不可欠であると判断し、第三者調査機関の調査結果、及びカード会社との協力体制を整えてから告知させていただくことといたしました。

今回のご案内までお時間をいただきましたこと、重ねてお詫び申し上げます。

5.再発防止策ならびに「産地直送センター」の再開について

「産地直送センター」は、本件発覚に先立つ2024年3月24日に閉店しており、一部媒体経由での限定公開商品に限って営業しておりました。弊社は本件の発覚を受け、事態を厳粛に受け止め、2024年4月24日にそれら限定公開商品も含めた営業を完全に停止いたしました。今後も再開はしない方針です。

なお、弊社は今回の不正アクセスにつきまして、監督官庁である個人情報保護委員会には2024年4月22日に報告済みであり、また、北海道警察本部サイバー犯罪対策課にも2024年4月22日に被害申告しており、今後も捜査に全面的に協力して参る所存です。

リリース文（アーカイブ）

Labels:

【セキュリティ事件簿#2024-268】印西総合病院　Webサイト改ざんに関するご報告とお詫び　2024/6/24

 

このたび、当院Webサイトにおいて、不正アクセスによりサイトが改ざんされ、本来とは異なるページが表示されていたことが判明いたしました。

現在は復旧し、作業が完了しておりますが、ご利用いただくみなさまに、ご心配をおかけしたことをお詫び申し上げます。

当院におきましてはサイト上に個人情報等の取り扱いがなく、現在のところ被害について、ご報告はいただいておりません。

＜改ざん期間＞

2024年6月22日（土）1時頃〜同日9時30分頃

＜サイトをご覧のみなさまへのお願い＞

当サイトにてマルウェア等の感染は確認されておりませんが、上記の期間にアクセスされた可能性のあるみなさまにおかれましては、お手持ちのセキュリティソフトを最新の状態にし、駆除の実施や、ブラウザのキャッシュクリア等のご対応をお願い申し上げます。

今後、このような問題が発生しないよう、さらに対策を強化し、運営に臨んでまいります。

リリース文（アーカイブ）

Labels:
Location: 日本、〒270-1339 千葉県印西市牧の台１丁目１−１

【セキュリティ事件簿#2024-267】お茶の水女子大学　本学講演会の申込フォームにおける個人情報の漏洩について　2024/6/19

 

この度、講演会「AI時代の人間の創造性、想像力」の申込フォームにおいて、設定に不備があり、申込者の個人情報が一時的に第三者から閲覧できる状態となっておりました。

関係者の皆様に、多大なご迷惑をおかけしましたことを深くお詫び申し上げます。


1．概要

閲覧された可能性がある申込者の件数：197件

期間：2024年5月24日（金）12時30分～6月13日（木）16時40分

閲覧可能であった個人情報、申込内容：

(1)メールアドレス

(2)お名前

(3)ご所属（学校名・お勤め先等）

(4)ご所属の都道府県

(5)属性（学生、教員、大学関係者等）

(6)教員・保護者の別

(7)当日、撮影・録画・録音を行わないことの承諾欄

(8)本講演会をどのようにお知りになりましたか？

(9)講師に質問があればお書きください

(10)参加に関するお問い合わせ運営・ご参加に関するご質問・ご要望等

(11)次回以降のイベントのお知らせをお送りしてもよろしいでしょうか？


2．原因

Google Formsにてフォーム作成時に、「共同編集者を追加」の設定にて、「一般的なアクセス」の項目を「リンクを知っている全員」にしていました。

結果、該当のフォームにて閲覧・回答を行ったユーザが、自身のGoogleアカウントのGoogleアプリからフォームに移動した際に、「最近使用したフォーム」の欄に回答したフォームが表示され、そこから申込者の情報が閲覧可能な画面に遷移が可能となっておりました。


3．現在の状況

6月13日（木）16時40分に、該当フォームの設定を修正し、申込者の情報へアクセスできない状態であることを確認いたしました。

197名の皆様には、6月18日に事態のご説明とお詫びの連絡を行いました。

また、学内に対してフォーム利用時の注意喚起を実施いたしました。


4．今後の対応

今後はこのような事態を起こさないよう、フォーム公開時のマニュアルの整備および周知徹底をはかり、再発防止に努めてまいります。

リリース文（アーカイブ）

Labels:
Location: 日本、〒112-8610 東京都文京区大塚２丁目１−１

バグバウンティで使えるおすすめツール10選


バグバウンティなどの Web アプリケーションを対象とした脆弱性調査でよく使われる、おすすめのツールを10個紹介します。

免責事項
本稿の内容は、セキュリティに関する知見を広く共有する目的であり、悪用行為を推奨するものではありません。

注意点
紹介するツールの中には、ファジング（総当たり）による列挙や検証を行うものが含まれています。

総当たりを行うツールは、対象に負荷をかけたり、悪影響を与えるリクエストを送る可能性があるため、使用には十分な注意が必要です。

総当たりツールを利用する場合は、対象の規約（スキャンツールの利用やレート制限など）を十分に確認し、規約に従って慎重に実行してください。

Burp Suite

Burp Suiteは、Webアプリケーションのセキュリティテストを行うための統合ツールです。サイバーセキュリティの専門家や開発者が、アプリケーションの脆弱性を発見し、修正するのに役立ちます。

主な機能は以下の通りです：

  1. プロキシ：ブラウザとサーバー間の通信をインターセプトし、編集、再送信が可能です。
  2. スキャナー：自動でWebアプリケーションの脆弱性を検出します。
  3. インジェクター：SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃をシミュレーションします。
  4. リピーター：特定のリクエストを何度も送り、挙動を確認します。
  5. シーケンサー：トークンの乱数性や一意性を分析します。
これらのツールを使うことで、セキュリティの弱点を効率的に発見し、改善することができます。Burp Suiteは、プロフェッショナル版と無料版があり、プロフェッショナル版ではより高度な機能が利用できます。

ffuf

ffuf (Fuzz Faster U Fool) は、Webアプリケーションのディレクトリやファイルの強制探索を行うためのツールです。セキュリティテストやペネトレーションテストにおいて、隠れたコンテンツを発見するのに役立ちます。ffufは高速で柔軟性があり、カスタムワードリストを使用したり、さまざまなプロトコルをサポートするなど、多くの機能を備えています。

主な特徴：

  1. 高速な探索：高いパフォーマンスで多くのリクエストを迅速に処理。
  2. 柔軟な出力形式：JSON、CSV、HTMLなど、さまざまな形式で結果を出力可能。
  3. カスタマイズ可能なリクエスト：ヘッダーやパラメータを自由に設定。

実行例：

以下は、ffufを使ってターゲットサイト（例：www.example.com）のディレクトリを探索する簡単なコマンド例です。
ffuf -u http://www.example.com/FUZZ -w /path/to/wordlist.txt

解説：

  • -u：ターゲットURLを指定。FUZZ はワードリストのエントリが置換される部分。
  • -w：使用するワードリストのパスを指定。
例えば、以下のようなワードリスト（wordlist.txt）があった場合：
admin
login
test

このワードリストを使用して実行すると、以下のURLに対してリクエストが送信されます：
  • http://www.example.com/admin
  • http://www.example.com/login
  • http://www.example.com/test
このようにして、ffufを用いることで、Webアプリケーションの隠れたディレクトリやファイルを効率的に見つけることができます。

※ffuf は総当たりによる列挙のため、十分に注意して利用してください。

subfinder

subfinderは、サブドメインの探索に特化した高速で効率的なツールです。セキュリティテストや脆弱性評価の際に、ターゲットドメインのサブドメインをリストアップするのに役立ちます。subfinderは、複数のデータソースから情報を収集し、潜在的なサブドメインを検出するための強力な機能を備えています。

主な特徴：

  1. 高速かつ効率的：多くのサブドメインを迅速に探索可能。
  2. 多様なデータソース：DNSデータベース、API、パッシブDNSサービスなど、複数のソースから情報を収集。
  3. 簡単な使用方法：コマンドラインインターフェースを介してシンプルに操作。

実行例：

以下は、subfinderを使ってターゲットドメイン（例：example.com）のサブドメインを探索する簡単なコマンド例です。
subfinder -d example.com

解説：

  • -d：ターゲットドメインを指定。
このコマンドを実行すると、subfinderは指定されたドメインに関連するサブドメインを検索し、結果を標準出力に表示します。例えば、以下のような結果が得られます：
www.example.com
mail.example.com
blog.example.com

このように、subfinderを用いることで、ターゲットドメインのサブドメインを迅速かつ効果的に発見することができます。

nuclei

Nucleiは、セキュリティテストや脆弱性スキャンを自動化するための高速でカスタマイズ可能なツールです。テンプレートベースのアプローチを採用しており、さまざまなタイプの脆弱性に対するテストを簡単に実行できます。セキュリティ研究者やペネトレーションテスターにとって、Nucleiは効果的で柔軟なスキャンツールです。

主な特徴：

  1. テンプレートベース：再利用可能なテンプレートを使用して多様な脆弱性を検出。
  2. 高いパフォーマンス：大量のターゲットに対して迅速にスキャンを実行。
  3. カスタマイズ可能：ユーザーが独自のテンプレートを作成可能。

実行例：

以下は、Nucleiを使ってターゲットサイト（例：www.example.com）をスキャンする簡単なコマンド例です。
nuclei -u http://www.example.com -t /path/to/templates

解説：

  • -u：スキャン対象のURLを指定。
  • -t：使用するテンプレートのディレクトリパスを指定。
例えば、次のようなテンプレートがある場合：
id: example-vuln

info:
  name: Example Vulnerability
  author: yourname
  severity: medium

requests:
  - method: GET
    path:
      - "{{BaseURL}}/vulnerable-path"
    matchers:
      - type: word
        words:
          - "vulnerable"

このテンプレートを使って実行すると、指定したURLの「/vulnerable-path」にアクセスし、レスポンスに「vulnerable」という単語が含まれているかをチェックします。

テンプレートを指定して実行するコマンド例：
nuclei -u http://www.example.com -t /path/to/templates/example-vuln.yaml

このように、Nucleiを用いることで、多様な脆弱性に対するスキャンを効率的に実行し、潜在的なセキュリティリスクを発見することができます。

naabu

Naabuは、高速で効率的なポートスキャナーです。特定のホストやネットワーク内の開いているポートを迅速にスキャンし、潜在的なセキュリティリスクを特定するのに役立ちます。Naabuは、ネットワークのペネトレーションテストやセキュリティ監査の際に利用され、単一のホストから大規模なネットワークまで対応できます。

主な特徴：

  1. 高速スキャン：多くのポートを短時間でスキャン可能。
  2. カスタマイズ可能：特定のポートや範囲を指定してスキャンを実行。
  3. 柔軟な出力形式：結果を標準出力やファイルに出力可能。

実行例：

以下は、Naabuを使ってターゲットホスト（例：192.168.1.1）の開いているポートをスキャンする簡単なコマンド例です。
naabu -host 192.168.1.1

解説：

  • -host：スキャン対象のホストを指定。

特定のポート範囲を指定してスキャンする場合の例：
naabu -host 192.168.1.1 -p 1-1000

解説：

  • -p：スキャンするポートの範囲を指定。ここでは1番から1000番ポートまでを指定。

結果をファイルに出力する例：
naabu -host 192.168.1.1 -o results.txt

解説：

  • -o：スキャン結果を指定したファイルに出力。ここではresults.txtに保存。
このように、Naabuを用いることで、ネットワーク内の開いているポートを迅速に特定し、潜在的なセキュリティリスクを評価することができます。

getallurls (gau)

getallurls (gau) は、特定のドメインから利用可能なすべてのURLを収集するためのツールです。ペネトレーションテストやセキュリティリサーチの際に、Webアプリケーション内のすべてのエンドポイントやリソースをリストアップするのに役立ちます。gauは、複数のデータソースを利用して効率的にURLを収集します。

主な特徴：

  1. 複数のデータソース：Wayback Machine、Common Crawl、URLScanなどからURLを収集。
  2. シンプルなインターフェース：簡単なコマンドで実行可能。
  3. 効率的な収集：高速で多数のURLを収集。

実行例：

以下は、gauを使って特定のドメイン（例：example.com）のURLを収集する簡単なコマンド例です。
gau example.com

解説：

  • このコマンドは、example.com ドメインに関連するすべてのURLを収集します。

特定のデータソースを指定する場合の例：
gau --providers wayback,commoncrawl example.com

解説：

  • --providers：使用するデータソースを指定。ここではwaybackとcommoncrawlを指定しています。

結果をファイルに保存する例：
gau example.com -o urls.txt

解説：

  • -o：収集したURLを指定したファイルに保存。ここではurls.txtに出力します。
このように、gauを用いることで、Webアプリケーション内のすべてのエンドポイントを効率的に収集し、潜在的なセキュリティリスクを評価するための情報を得ることができます。

xnLinkFinder

xnLinkFinderは、WebアプリケーションのJavaScriptファイルからエンドポイントやURLを抽出するためのツールです。セキュリティリサーチャーやペネトレーションテスターにとって、アプリケーション内の隠れたエンドポイントを見つけ出し、脆弱性を評価するのに役立ちます。xnLinkFinderは、静的解析を行い、JavaScriptファイルに埋め込まれたURLやAPIエンドポイントを効率的に抽出します。

主な特徴：

  1. JavaScript解析：JavaScriptファイル内のURLやAPIエンドポイントを抽出。
  2. 簡単な使用方法：シンプルなコマンドラインインターフェース。
  3. 効果的な検出：埋め込まれたリソースや隠れたエンドポイントを効果的に発見。

実行例：

以下は、xnLinkFinderを使って特定のURL（例：http://example.com/script.js）のJavaScriptファイルからエンドポイントを抽出する簡単なコマンド例です。
python3 xnLinkFinder.py -i http://example.com/script.js -o results.txt

解説：

  • -i：解析するJavaScriptファイルのURLを指定。
  • -o：抽出結果を保存するファイル名を指定。ここではresults.txtに出力。

特定のディレクトリ内のすべてのJavaScriptファイルを解析する場合の例：
python3 xnLinkFinder.py -i /path/to/javascript/files/ -o results.txt

解説：

  • -i：解析するJavaScriptファイルが格納されたディレクトリを指定。
  • -o：抽出結果を保存するファイル名を指定。ここではresults.txtに出力。

特定のパターンにマッチするエンドポイントのみを抽出する場合の例：
nuclei -u http://www.example.com -t /path/to/templates/example-vuln.yaml

解説：

  • -p：抽出するエンドポイントのパターンを指定。ここでは/api/を含むURLのみを抽出。
このように、xnLinkFinderを用いることで、Webアプリケーション内のJavaScriptファイルから隠れたエンドポイントを効率的に抽出し、セキュリティ評価を行うための情報を得ることができます。

dirseaech

Dirsearchは、Webアプリケーションのディレクトリやファイルを強制探索（ブルートフォース）するためのコマンドラインツールです。セキュリティテストやペネトレーションテストにおいて、隠れたコンテンツや管理ページ、バックアップファイルなどを発見するのに役立ちます。Dirsearchは、多言語対応でカスタマイズ可能なワードリストを使用し、効率的に探索を行います。

主な特徴：

  1. 高速探索：高いパフォーマンスで多数のディレクトリやファイルを迅速にスキャン。
  2. カスタマイズ可能：特定のファイル拡張子やディレクトリを指定可能。
  3. 多言語対応：Pythonで書かれ、さまざまなオプションで柔軟に対応。

実行例：

以下は、Dirsearchを使って特定のターゲットサイト（例：http://example.com）のディレクトリを探索する簡単なコマンド例です。
dirsearch -u http://example.com -w /path/to/wordlist.txt

解説：

  • -u：ターゲットURLを指定。
  • -w：使用するワードリストのパスを指定。

特定の拡張子を探索する場合の例：
dirsearch -u http://example.com -w /path/to/wordlist.txt -e php,html,js

解説：

  • -e：探索するファイルの拡張子を指定。ここではphp、html、jsファイルを指定。

結果をファイルに保存する場合の例：
dirsearch -u http://example.com -w /path/to/wordlist.txt -o results.txt

解説：

  • -o：探索結果を指定したファイルに保存。ここではresults.txtに出力。

複数のスレッドを使用して探索を高速化する場合の例：
dirsearch -u http://example.com -w /path/to/wordlist.txt -t 50

解説：

  • -t：使用するスレッド数を指定。ここでは50スレッドを使用。
このように、Dirsearchを用いることで、Webアプリケーション内の隠れたディレクトリやファイルを効率的に探索し、潜在的なセキュリティリスクを発見することができます。

※dirseaech は総当たりによる列挙のため、十分に注意して利用してください。

Arjun

Arjunは、WebアプリケーションのエンドポイントからGETおよびPOSTリクエストに使用される隠れたパラメータを探し出すためのツールです。セキュリティテストやペネトレーションテストにおいて、アプリケーションの動作を深く理解し、潜在的なセキュリティリスクを評価するのに役立ちます。Arjunは、高速で効率的に作動し、数秒以内に数百のパラメータを検出することができます。

主な特徴：

  1. 高速スキャン：数秒で数百のパラメータを発見。
  2. 対応プロトコル：HTTPおよびHTTPSプロトコルに対応。
  3. カスタマイズ可能：リクエスト方法やパラメータの指定が柔軟。

実行例：

以下は、Arjunを使って特定のURL（例：http://example.com/search）のGETリクエストパラメータを探索する簡単なコマンド例です。
arjun -u http://example.com/search

解説：

  • -u：探索対象のURLを指定。

POSTリクエストのパラメータを探索する場合の例：
arjun -u http://example.com/login -m POST

解説：

  • -m：リクエストメソッドを指定。ここではPOSTを指定。

特定のパラメータリストを使用する場合の例：
arjun -u http://example.com/search --get-params /path/to/params.txt

解説：

  • --get-params：使用するパラメータリストのパスを指定。

結果をファイルに保存する場合の例：
arjun -u http://example.com/search -o results.json

解説：

  • -o：探索結果を指定したファイルに保存。ここではresults.jsonに出力。
このように、Arjunを用いることで、Webアプリケーション内の隠れたGETおよびPOSTパラメータを効率的に探索し、セキュリティ評価を行うための情報を得ることができます。

byp4xx

byp4xxは、Webアプリケーションのセキュリティテストにおいて、HTTPステータスコードに基づいて検証を行うツールです。特に、セキュリティヘッダーの欠落や誤った設定、アクセス制御の不備などを検出するために設計されています。このツールは、ブルートフォース攻撃を使用して、潜在的な攻撃手法を実行するために利用されます。

主な特徴：

  1. HTTPステータスコードに基づく攻撃：さまざまなステータスコードを用いた攻撃を実行。
  2. セキュリティヘッダーの検証：セキュリティヘッダーの設定ミスを発見。
  3. ブルートフォース攻撃：アクセス制御の回避やディレクトリの発見に役立つ攻撃を実行。

実行例：

以下は、byp4xxを使って特定のURL（例：http://example.com/login）に対して攻撃を行う簡単なコマンド例です。
byp4xx -u http://example.com/login

解説：

  • -u：攻撃対象のURLを指定。

特定のステータスコードを試す場合の例：
byp4xx -u http://example.com/admin -c 403,401,500

解説：

  • -c：攻撃で使用するステータスコードをカンマ区切りで指定。ここでは403 Forbidden、401 Unauthorized、500 Internal Server Errorを試す。

攻撃対象のパラメータを指定する場合の例：
byp4xx -u http://example.com/search -p "query=test"

解説：

  • -p：攻撃対象のパラメータを指定。ここではquery=testを使用。

結果をファイルに保存する場合の例：
byp4xx -u http://example.com/login -o results.txt

解説：

  • -o：攻撃の結果を指定したファイルに保存。ここではresults.txtに出力。
byp4xxを使用することで、Webアプリケーションのセキュリティ強化に寄与する可能性がありますが、実行は適切な許可を得て行ってください。

Labels:

役に立つWindows向けフリーソフト


これから紹介するフリーソフトは、必需品と楽しい補助アプリをミックスしたもので、ほとんどすべてのコンピューターにインストールする価値があります。

さっそく見ていこう！

Ninite


Niniteを使えば、新しいコンピュータを簡単にセットアップすることができます。Niniteのウェブサイトにアクセスし、インストールしたいフリーソフトを選択するだけです。プログラムを実行すると、Niniteがすべてのプログラムを順番にインストールし、多くの無料アプリがこっそり入れようとするバンドルウェアのオファーを自動的に拒否してくれます。

唯一欠点を言うと、筆者イチオシのブラウザであるBraveには対応していません。

有料版にアップグレードする価値はありますか？

Ninite Updaterという有料の補完ユーティリティがあり、年間10ドルで、デスクトップ・プログラムすべてを簡単に最新の状態に保つことができますが、必須ではないです。

Unchecky


誤って不要なクソアプリをインストールしてしまうことは、フリーソフトウェアの最大のリスクのひとつです。Niniteが対応していないフリーソフトにはUncheckyで対応することが可能です。Uncheckyは、あなたがプログラムをインストールしようとしているとき、すべてのチェックボックスのチェックを自動的に外し、怪しいクソアプリがあなたのPCに忍び込もうとした際に警告してくれます。

有料版にアップグレードする価値はありますか？

必須ではないです。

7-Zip

WindowsはネイティブでZIPファイルの作成と解凍ができますが、もし別の圧縮アーカイブとにらめっこすることになったら、それを処理する専用のプログラムが必要です。その多くは有料です。7-Zipはオープンソースで完全に無料であり、Windowsの右クリック・コンテキスト・メニューからアーカイブのあらゆるニーズを実行できます。7-Zipアーカイブをパスワードで暗号化して安全に送ることもできます。

有料版にアップグレードする価値はありますか？

いいえ。7-Zipは素晴らしく、WinZipのような有料のパラレルは、料金を正当化するのに十分ではありません。もしあなたが一日中巨大なアーカイブファイルの解凍に費やしているのであれば、WinZipのような高速なユーティリティを使う価値があるかもしれません。マイクロソフトは、RARと7-ZipファイルのサポートをWindows自体に直接統合することに取り組んでいます。

VLC

Windows 10と11には厄介な問題があります。Windows 7と違って、OEMの素のままではDVDを再生できないのです。メーカーが販売するPCを購入した場合は、DVD再生プログラムがインストールされているかもしれませんが、そうでない場合は、VLCメディアプレーヤーを使うことで、無料で映画や音楽、ポッドキャストなどを再生することができます。ちょっといじれば、（一部の）ブルーレイディスクも再生できます。

有料版にアップグレードする価値はあるのでしょうか？

いいえ。VLCはとにかく素晴らしく、この無料の主力ソフトと比較して、その価値を正当化できる有料オプションは見当たりません。しかし、VideoLANのハードワークに対する感謝の気持ちとして、VideoLAN団体に寄付を送ることはできます。

SpaceSniffer


コンピュータのストレージ容量の管理は大変です。Windowsはドライブの残り容量を教えてくれますが、それだけです。容量が足りなくなったら、100万種類ものディレクトリをチェックし、ゴミ掃除が必要です。Uderzo SoftwareのSpaceSnifferは、ドライブ全体をスキャンし、ファイルやフォルダを視覚的なグリッドで表示することでこれを解決します。

WinDirStatは、SpaceSnifferと同様の動作をするもう1つのフリーソフトです。最新の大容量ゲームをインストールするために空き容量を確保したいのであれば、このうちの1つをPCにインストールしておくといいでしょう。

有料版にアップグレードする価値はありますか？

不要です。

Recuva

削除したファイルを元に戻したい場合はどうすればいいのでしょうか？Recuvaは、CCleanerのメーカーであるPiriformが提供する、クリーンでシンプルなファイル復元プログラムです。

注意： Recuvaはすべての削除ファイルを復元できるわけではないし、Eraser（これも一流の無料プログラム）のような安全な削除ツールでプログラムを消去した場合は、その確率はさらに低くなります。

有料版にアップグレードする価値はありますか？

そうかもしれません。Recuvaはファイルの復元に役立ちますが、仮想ハードディスク・ドライブのサポートや自動アップデートなどのパワーユーザー機能が必要なら、Recuva Proに20ドル払う価値があるかもしれません。

Sumatra PDF


Adobe Readerは多くの人に愛用されているPDFリーダーかもしれませんが、使い勝手が悪く、常にアップデートされ、頻繁にマルウェアの標的にされています。基本的な機能だけが必要なら、代わりにSumatra PDFを利用しよう。Sumatraは、多くのフル機能PDFリーダーに見られるような派手な機能はありませんが、普及率が低いため、ハッカーはSumatra PDFを相手にしていないようで、その観点からも安全性は高いです。

Labels:

世界のセキュリティカンファレンス10選

セキュリティカンファレンス


サイバーセキュリティの世界において、コミュニケーションとイノベーションの柱として君臨するイベントがある。これらのイベントの多くは10年以上にわたって開催されており、単なるカンファレンスではなく、専門家、実務家、愛好家が最新の脅威について議論し、洞察を共有し、サイバー空間の悪党と戦うための戦略を練る場となっています。

以下では、サイバーセキュリティの展望に大きな影響を与えるサイバーセキュリティ・イベントのトップ10を掘り下げます。

1. RSAカンファレンス

開催年数：30年以上
開催場所：米国カリフォルニア州サンフランシスコ
開催日（2024年）：5月6日～9日
ホームページ：https://www.rsaconference.com/
参加費：500USD～2,500USD

RSAカンファレンスは、サイバーセキュリティの分野で巨大な存在となっています。毎年、業界リーダーやセキュリティ専門家から研究者や愛好家まで、数千人もの参加者が集まります。このイベントは、画期的なイノベーションと戦略を発表するための道標です。

2. Black Hat Asia

開催年数：20年以上
開催場所：通常はシンガポールで開催
開催日（2024年）：4月16日～19日
ウェブサイト：https://www.blackhat.com/asia-24/
参加費：1,800SGD～2,200SGD

Black Hat Asiaは、20年以上にわたって開催されているサイバーセキュリティのプレミアカンファレンスです。米国、欧州、中東での開催を含むグローバルなBlack Hatシリーズの一環として、Black Hat Asiaはアジア太平洋地域のサイバーセキュリティ・カレンダーにおける重要なイベントとして機能しています。このカンファレンスは、深い技術的な内容で知られ、セキュリティ研究者、実務家、愛好家が最新の知見、方法論、イノベーションを共有する場を提供しています。

イベントの構成


  • ブリーフィング：業界の専門家による技術セッションで、脆弱性、脅威インテリジェンス、防御戦略など幅広いトピックを扱う。
  • トレーニング：侵入テストからインシデント対応まで、サイバーセキュリティの様々な側面を掘り下げる実践的なコース。
  • アーセナル： 研究者や開発者がオープンソースのツールや製品を実演するユニークなコーナー。
  • ビジネスホール： サイバーセキュリティをリードする企業が最新の製品やソリューションを展示し、ネットワーキングやビジネスチャンスを促進する展示エリア。

ハイライト


  • 基調講演： サイバーセキュリティ業界の著名人による講演で、現在のトレンドと将来の課題についての洞察を提供します。
  • ワークショップとセッション：最先端の研究、新たな攻撃ベクトル、防御メカニズムなどを取り上げます。
  • ネットワーキングの機会： 参加者は、世界中の同業者、専門家、ベンダーとつながる機会があり、コラボレーションと知識交換を促進します。

Black Hat Asiaは、サイバーセキュリティの専門家にとって、この分野のトップから学び、最新の脅威に関する最新情報を入手し、没頭型のトレーニングセッションを通じて実践的なスキルを身につけるまたとない機会を提供します。アジア太平洋地域におけるサイバーセキュリティへの理解を深めたい方にとって、このイベントは必見です。

3. DEF CON

開催年数：30年以上
開催場所：米国ネバダ州ラスベガス
開催日（2024年）：8月8日～11日
ウェブページ：https://defcon.org/html/defcon-32/dc-32-index.html
参加費：440USD

32回目を迎えるDEF CONには、ハッカー、セキュリティ専門家、政府関係者など、さまざまな顔ぶれが集まり、多彩なアクティビティが繰り広げられます。

このイベントでは、ワークショップ、CTF（Capture the Flag）コンテスト、さまざまなサイバーセキュリティのトピックに関する洞察に満ちた講演が行われます。活気あるハッカー文化とコミュニティ主導の精神が、DEF CONをユニークで貴重な体験にしています。

4. SANS Cyber Threat Intelligence Summit

開催年数：10年以上
開催場所：米国ワシントンDC
開催日（2024年）：1月29日～30日
ウェブページ：https://www.sans.org/webcasts/cyber-threat-intelligence-summit-solutions-track-2024/
参加費：1,899USD～2,099USD

このサミットは、脅威インテリジェンスの技術と科学に特化したものです。一流の専門家が一堂に会し、見識を共有し、脅威行為者の行動を分析し、脅威インテリジェンスの実践的な応用について議論します。

5. InfoSec World 2024

開催年数：25年以上
開催場所：米国フロリダ州オーランド
開催日（2024年）：10月30日
ウェブページ：https://infosec-conferences.com
参加費：1,995USD

InfoSec Worldは、情報セキュリティのあらゆる側面をカバーする包括的なイベントです。基調講演、分科会、実践的なワークショップを組み合わせた内容で、サイバーセキュリティの専門家にとって欠かせない集まりとなっています。

6. Cybersec Europe

開催年数：5年以上
開催場所：ベルギー、ブリュッセル、ブリュッセル・エキスポ
開催日（2024年）：5月29日～30日
ホームページ：https://cybersecurity-centre.europa.eu/events/cybersec-europe-29-30-may-2024-brussels-belgium-2024-05-29_en
参加費：499EUR～1,299EUR

Cybersec Europeは、欧州のサイバーセキュリティの課題とソリューションに焦点を当て、戦略、ヒューマンファイアウォール、ハイブリッドIT保護、データ保護などを取り上げる。イベントには、基調講演、ワークショップ、総合的な展示フロアが含まれます。

このイベントは、協力的な取り組みと国境を越えた情報共有を通じて、欧州のサイバーセキュリティ態勢を強化することを目的としています。また、専門家同士のネットワーキングや知識交換の場も提供しています。

7. Gartner セキュリティ＆リスク・マネジメント・サミット

開催年数：15年以上
開催場所：英国、ロンドン
開催日：2024年9月23日～25日
ウェブページ：https://www.gartner.com/en/conferences/emea/security-risk-management-uk
参加費：1,795GBP～4,795GBP

ガートナー・セキュリティ＆リスク・マネジメント・サミットは、脅威インテリジェンスとリスク軽減に関する戦略的洞察を提供します。このサミットでは、リサーチ主導のセッション、ガートナーのアナリストによる戦略的ガイダンス、数多くのネットワーキングの機会が提供されます。

SOCRadarは、サイバーセキュリティの重要なプレーヤーとして積極的に参加し、高度な脅威インテリジェンスと効果的なリスク管理戦略に関する議論に貢献することが期待されています。

このサミットは、今日のセキュリティおよびリスク管理のリーダーが直面する最も差し迫った課題に対処し、戦略的計画と投資の意思決定を形成する上で影響力を持ちます。

Labels:

【セキュリティ事件簿#2024-265】千葉大学　本学ウェブサイトを経由した不正なメールの送信について　2024/6/20

千葉大学
 

本学環境健康フィールド科学センターのウェブサイト公開のために運用していたウェブサーバが、迷惑メールの送信に利用されていたことが判明いたしました。関係者の皆様にご迷惑をおかけしましたことを深くお詫び申し上げますとともに、本件について以下の通りお知らせいたします。

１．発覚の経緯

2024年６月11日（火）、本学ウェブサイトサーバのホスティングサービス事業者より、当該サーバから迷惑メールが配信されていた（これまで約６万件）ことが確認されたため、緊急措置として当該サーバ上のすべてのファイルにアクセスできないよう措置を行った旨通報があり、本事案が発覚しました。

２．原因

本学およびホスティングサービス事業者で連携して調査をした結果、当該サイトのコンテンツ領域に保存されていたサイト更新用ソフトウェアのスクリプトファイルが攻撃者に悪用され、本学の意図しない迷惑メールの送信が行われていたと考えられます。

３．現在の状況

当該サーバのファイルは現在一律アクセスを禁止しております。これにより、サーバ内外からのアクセスは遮断され、これ以上の不正なメール送信も不可能な状態です。また、当該措置の影響により、現在環境健康フィールド科学センターのウェブサイトはご覧いただけない状態となっております。

なお、本件による個人情報や機密情報の漏洩はございません。また、行われたのは本学サーバを介したメール送信であり、これらのメールが本学のアドレスから送信されたというわけではございません。

４．今後の対応

当該ウェブサイトのサーバ上のファイルを走査し、不正に改ざんないしは設置されたファイルを削除するなど、サイトの復旧に向けて対応してまいります。

また、当該ウェブサイト以外に学外公開しているものについて、同様の攻撃が行われていないかなどを調査し、再発の防止に努めてまいります。

なお、環境健康フィールド科学センターのウェブサイトにつきましては、上記対応後安全が確認され次第再度公開する予定です。

リリース文（アーカイブ）

Labels:
Location: 日本、〒263-8522 千葉県千葉市稲毛区弥生町１−３３

【セキュリティ事件簿#2024-263】株式会社ラストワンマイル　お客様情報の流出に関するお知らせとお詫び　2024/6/10

ラストワンマイル
 

このたび、弊社が展開するサービス「まるっとシリーズ」をご利用中のお客様へ展開するお客様情報の変更や解約時に申請いただくものとして使用している Google フォーム(以下「申請フォーム」といいます。)について、本来専用アカウントのみ編集可能な状態へ設定するところ、公開設定を誤っており、申請フォームへご入力いただいた情報についてリンク先を知る全員が閲覧可能な状態となっていたことが判明いたしました。

このような事態を引き起こしたことにより、ご迷惑とご心配をおかけしましたことを深くお詫び申し上げますとともに、今後の対応につきまして誠心誠意取り組んでまいる所存です。

本件の概要と対応について、下記の通りご報告申し上げます。

１.経緯と対応

2024 年６月 10 日、申請フォームで他の顧客情報が閲覧できるとお客様よりご連絡をいただき、本来専用アカウントのみ編集可能な状態へ設定するところ、公開設定を誤っており、申請フォームの情報が、リンク先を知る全員が閲覧可能な状態となっていたことが判明いたしました。申請フォームについては、判明後直ちに弊社内の専用アカウントのみ編集可能な状態へ設定を変更し、リンクを知っていても自身の入力ができるのみの状態へ設定変更しております。

その他、弊社にてすべての仕様を再度確認し、同様の問題は発生していないことを確認いたしました。

２.当該情報が閲覧可能となっていた期間

2024 年４月 26 日～2024 年６月 10 日

３.閲覧可能となっていた情報

・ご利用者様の氏名
・ご利用者様の住所
・ご利用者様の電話番号
・ご利用者様のメールアドレス
・ご利用者様の会員 ID

４.影響範囲

420 人の申請フォームの情報が、リンク先を知る全員が閲覧可能な状態となっておりました。

５.被害の状況

現時点において、当該情報の不正利用に関する報告やお問い合わせはございません。

また、当該情報についてランダムに抽出してインターネット検索を実施していますが、当該情報がインターネットで不正に公開されている状況は確認されておりません。

当該状況については、今後も継続的に監視することとしていますので、状況の変化が確認された際には、速やかにお知らせいたします。

６.原因

申請フォームの作成作業時に、申請フォームの作業担当者の設定ミスによりリンク先を知る全員が閲覧できる設定に指定していたことによるものです。

この度は皆様に多大なるご心配とご迷惑をおかけしておりますことを、改めてお詫び申しあげます。弊社らは今回の事態を厳粛に受け止め、再発防止に向けてより一層の情報管理体制の強化・徹底に努めてまいります。

Labels:
登録: 投稿 (Atom)