【セキュリティ事件簿#2024-273】三菱 UFJ オルタナティブインベストメンツ株式会社 弊社を装ったスパムメールに関するお詫びとお知らせ 2024/6/17

平素は格別のご高配を賜り、厚く御礼申し上げます。

2024 年 5 月 21 日に、弊社名および弊社社員を装ったスパムメールが複数の方へ送信されました件、メールを受信された皆様には多大なご迷惑をお掛けしましたことを深くお詫び申し上げます。

その後、本件について外部のセキュリティ専門企業 の協力のもと弊社内で調査を進めました結果、以下の事象および流出可能性のあるお客様情報が存在することが判明致しました。調査の内容、流出可能性のあるお客様情報の内容および現在の対応状況について以下の通りでございますが、お客様の情報について流出した可能性が生じたことについて、深くお詫び申し上げます。

1. 調査の内容

（１）2024 年 5 月 21 日発信の弊社名および弊社社員を装ったスパムメールについて

不審メールの送信元および添付されていたファイルのコンピュータ・ウイルス有無を調査いたしました。その結果、当該メールが当社から発信されたものではないこと、当該添付ファイルにはフィッシングサイトへの URL リンクが存在していることが分かっております。

（２）発生原因について

弊社内で行いました調査の結果、本件は 2024 年 5 月 13 日に弊社社員が受信した不審メールに起因するものと判明いたしました。当該不審メールの受信履歴から情報流出元となった可能性のある PC を特定し、外部のセキュリティ専門企業 の協力のもとログ解析等を実施した結果、メール等の一部が流出している可能性が判明しました。

2. 流出可能性のあるお客様情報

上記調査の結果、流出可能性のあるお客様情報は以下のとおりです。弊社では情報流出の事実までは確認できておりませんが、お客様の二次被害・類似被害防止の観点から「流出可能性のある」お客様情報をお知らせするものです。お手数をおかけして誠に申し訳ございませんが、お客様の業務（メール連絡等）において所謂「なりすまし」メールがお客様に送信される等の不正行為に利用される可能性があることを念頭にご留意頂けますと幸いです。

• お客様情報（法人名・ご担当者名・メールアドレス）
• お取引に関する一部の情報（私募の取扱いに関する契約書等）
• 業務に関するお客様情報（契約書等）

3. 再発防止について

これまでの調査の過程で判明した事項に基づき、更なるデータ流出を防止するため、2024 年 5 月 24 日までに以下の不正アクセス遮断措置を実施いたしました。これにより、不審メールを受信した者を含む弊社社員全員について、外部からの不正アクセスを遮断することができたものと判断しております。

• 外部インターネットから使用アプリケーション（Microsoft365）へのアクセス遮断
• 弊社社員の PC ログインパスワードの変更
• 社内 PC 向けリモート操作ツールのパスワード一斉変更
• 本件メールに添付されていたファイル中のURLへの弊社社員アクセス遮断
• 不正にデータを窃取するために利用されたアプリケーションの削除及びインストール機能のブロック（Microsoft365）

なお、上記の通り、2024 年 5 月 21 日発信のメールについては、フィッシングサイトへの URL リンクがございますので、添付ファイルは開封せず、メールごと削除いただきますようお願い致します。

本件に起因する情報の再流出への対応は完了致しましたが、更なるサイバーセキュリティの態勢強化に引き続き取り組んでまいります。ご迷惑・ご心配をお掛けしてしまい誠に申し訳ございませんが、引き続きよろしくお願い申し上げます。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-272】上智大学 メールの誤送信による個人情報の流出について 2024/6/26

 

このたび、本学から海外の協定校に留学プログラム参加者リストをメールにて送信した際に、本学学生の個人情報を含んだファイルを誤って添付して送信する事案が発生いたしました。 

該当する学生およびご父母・保証人の皆様、そして関係者の皆様に大変なご迷惑とご心配をおかけすることとなり、深くお詫び申し上げます。本学は本事案を重大なセキュリティインシデントと受け止めております。今回の事案を重く受け止め、個人情報の適切な管理について教職員に対する一層の周知徹底を図り、再発防止に努めてまいります。 

１．経緯等 

2024年5月16日に、留学プログラムを所管するグローバル教育センターにおいて、短期プログラム に参加する学生のリストを作成しました。リスト作成にあたり本学に在籍する学生情報を含むマスターデータを用いましたが、その際に、マスターデータのシートの削除を行うことなく、海外協定校の担当者にメール添付で当該リストを送信しました。2024年6月7日に、グローバル教育センターにおいて、別のプログラムの参加者リストを作成した際に、マスターデータが残ったままのファイルを発見したことから、本件の誤送信が発覚しました。

２．誤送信したファイルに含まれていた情報および送信先

①　個人情報の項目

上智大学に在籍する全正規生の学生番号、所属学部・学科、学年、学生氏名、生年月日、国籍

②　個人情報の数 　

13,949名

③　送信先 　

海外協定校3校のプログラム担当者（各校1名、計3名）

３．対応状況

本事案の発覚後、送信先の協定校担当者に対してただちに当該データの削除を依頼し、誤送信された個人情報を含む添付ファイルは削除されていることを確認しております。また、全ての学生に対して、メールで個別に謝罪と本事案についての説明の連絡を行っております。なお、本日までにこの情報流出による被害の報告はありません（2024年6月25日現在）。担当部署においては、学生やご父母・保証人の方の相談に随時応じてまいります。

４．今後について

このような事態を発生させてしまい、ご関係の皆様には多大なご心配とご迷惑をおかけしましたことを深くお詫び申し上げます。本事案を全教職員に周知し、個人情報の取り扱いについて改めて注意喚起を行うとともに、メール送信時に添付ファイルも含めて確認の徹底を図り再発防止に努めてまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-271】株式会社北海道産地直送センター ECサイト「産地直送センター」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ 2024/6/26

 

このたび、弊社が運営するECサイト「産地直送センター」（以下「産地直送センター」）におきまして、第三者による不正アクセスを受けたことによって、お客様のクレジットカード情報（18,443名）及び個人情報（54,583名）が漏洩した可能性があることが判明いたしました。

お客様をはじめ、関係者の皆様に多大なるご迷惑およびご心配をおかけする事態となりましたこと、深くお詫び申し上げます。

なお、個人情報が漏洩した可能性のあるお客様には、本日より、電子メールにてお詫びとお知らせを個別にご連絡申し上げております。

また、「産地直送センター」は2024年4月24日をもちまして閉鎖しており、再開の予定はございません。

今回の事態を厳粛に受け止め、再発防止のための対策を講じてまいります。

お客様をはじめ関係者の皆様には重ねてお詫びを申し上げますとともに、本件に関する概要につきまして、下記の通りご報告いたします。

1.経緯

2024年4月19日、一部のクレジットカード会社から、「産地直送センター」を利用したお客様のクレジットカード情報の漏洩懸念について連絡を受け、同日、直ちに「産地直送センター」でのカード決済を停止いたしました。そのうえで、当該懸念に関する状況把握のため、第三者調査機関の選定作業を開始し、2024年4月25日より第三者調査機関による調査を開始いたしました。

2024年5月9日、当該調査機関による調査が完了し、2021年3月30日～2024年4月19日の期間に「産地直送センター」でご注文時に入力されたお客様のクレジットカード情報および個人情報が漏洩し、一部のお客様のクレジットカード情報が不正利用された可能性があること、ならびに、2019年4月12日～2024年4月24日に「産地直送センター」システムにご入力いただいた個人情報に漏洩のおそれがあることを確認いたしました。

以上のとおり、本事案について弊社として本事案に関する事実関係が確認できたため、本日の発表に至りました。

2.個人情報漏洩状況

(1)原因

2021年3月30日、「産地直送センター」のシステムの一部の脆弱性をついたことによる第三者の不正アクセスによりペイメントアプリケーションの改ざんが行われました。また、「産地直送センター」のデータベースに記録されている個人情報が漏洩した可能性が否定できないことが判明いたしました。

(2)クレジットカード情報漏洩の可能性があるお客様

2021年3月30日～2024年4月19日の期間中に「産地直送センター」においてクレジットカード決済をされたお客様は18,443名であり、これらのお客様について以下の情報が漏洩した可能性がございます。

・カード名義人名

・クレジットカード番号

・有効期限

・セキュリティコード

(3)個人情報漏洩の可能性があるお客様

2019年4月12日～2024年4月24日の期間中に「産地直送センター」に個人情報を入力し、データを送信されたお客様、ならびにご注文品の送付先として登録されたお客様は54,583名であり、これらのお客様について以下の情報が漏洩した可能性がございます。

• 氏名・郵便番号・住所・電話番号を含むご注文情報
  
  
• 氏名・住所・メールアドレス・電話番号・FAX番号・性別・職業・生年月日・会社名を含む会員登録情報

上記に該当する54,583名のお客様については、別途、電子メールにて個別にご連絡申し上げます。

3.お客様へのお願い

(1) クレジットカード不正利用のご確認とお願い

既に弊社では、クレジットカード会社と連携し、漏洩した可能性のあるクレジットカードによる取引について、モニタリングを継続して実施し、当該クレジットカードの不正利用防止に努めております。

誠に恐縮ではございますが、お客様におかれましてもクレジットカードのご利用明細書に身に覚えのない請求項目がないか、今一度ご確認をいただきますようお願いいたします。万が一、身に覚えのない請求項目の記載があった場合は、大変お手数ですが同クレジットカードの裏面に記載のカード会社にお問い合わせいただきますよう、併せてお願い申し上げます。

なお、お客様がクレジットカードの差替えをご希望される場合、カード再発行の手数料につきましてお客様にご負担をお掛けしないよう、弊社において手数料を負担する形でクレジットカード会社にご協力を依頼しております。

(2)その他の個人情報について

お客様のもとに差出人や件名に心当たりのない不審なメールが届いた際には、ウイルス感染や不正アクセス等の危険がございますので、メールに添付されているファイルは開封せず、メール自体を直ちに消去いただくようお願いいたします。不審な電話がかかってきた場合には、お客様の重要な情報等は決してお伝えにならないようお願いいたします。

4.公表が遅れた経緯について

2024年4月19日の漏洩懸念発覚から今回のご案内をさせていただくに至るまで、時間を要しましたことを深くお詫び申し上げます。

本来であれば漏洩懸念が発覚した時点で直ちにお客様にご連絡し注意を喚起するとともにお詫び申し上げるところではございましたが、不確定な情報をお客様にお伝えすることは却っていたずらに混乱を招いてしまうことから、お客様へのご迷惑を最小限に食い止める準備を整えてから告知させていただくことが不可欠であると判断し、第三者調査機関の調査結果、及びカード会社との協力体制を整えてから告知させていただくことといたしました。

今回のご案内までお時間をいただきましたこと、重ねてお詫び申し上げます。

5.再発防止策ならびに「産地直送センター」の再開について

「産地直送センター」は、本件発覚に先立つ2024年3月24日に閉店しており、一部媒体経由での限定公開商品に限って営業しておりました。弊社は本件の発覚を受け、事態を厳粛に受け止め、2024年4月24日にそれら限定公開商品も含めた営業を完全に停止いたしました。今後も再開はしない方針です。

なお、弊社は今回の不正アクセスにつきまして、監督官庁である個人情報保護委員会には2024年4月22日に報告済みであり、また、北海道警察本部サイバー犯罪対策課にも2024年4月22日に被害申告しており、今後も捜査に全面的に協力して参る所存です。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-268】印西総合病院 Webサイト改ざんに関するご報告とお詫び 2024/6/24

 

このたび、当院Webサイトにおいて、不正アクセスによりサイトが改ざんされ、本来とは異なるページが表示されていたことが判明いたしました。

現在は復旧し、作業が完了しておりますが、ご利用いただくみなさまに、ご心配をおかけしたことをお詫び申し上げます。

当院におきましてはサイト上に個人情報等の取り扱いがなく、現在のところ被害について、ご報告はいただいておりません。

＜改ざん期間＞

2024年6月22日（土）1時頃〜同日9時30分頃

＜サイトをご覧のみなさまへのお願い＞

当サイトにてマルウェア等の感染は確認されておりませんが、上記の期間にアクセスされた可能性のあるみなさまにおかれましては、お手持ちのセキュリティソフトを最新の状態にし、駆除の実施や、ブラウザのキャッシュクリア等のご対応をお願い申し上げます。

今後、このような問題が発生しないよう、さらに対策を強化し、運営に臨んでまいります。

リリース文（アーカイブ）

【セキュリティ事件簿#2024-267】お茶の水女子大学 本学講演会の申込フォームにおける個人情報の漏洩について 2024/6/19

 

この度、講演会「AI時代の人間の創造性、想像力」の申込フォームにおいて、設定に不備があり、申込者の個人情報が一時的に第三者から閲覧できる状態となっておりました。

関係者の皆様に、多大なご迷惑をおかけしましたことを深くお詫び申し上げます。

1．概要

閲覧された可能性がある申込者の件数：197件

期間：2024年5月24日（金）12時30分～6月13日（木）16時40分

閲覧可能であった個人情報、申込内容：

(1)メールアドレス

(2)お名前

(3)ご所属（学校名・お勤め先等）

(4)ご所属の都道府県

(5)属性（学生、教員、大学関係者等）

(6)教員・保護者の別

(7)当日、撮影・録画・録音を行わないことの承諾欄

(8)本講演会をどのようにお知りになりましたか？

(9)講師に質問があればお書きください

(10)参加に関するお問い合わせ運営・ご参加に関するご質問・ご要望等

(11)次回以降のイベントのお知らせをお送りしてもよろしいでしょうか？

2．原因

Google Formsにてフォーム作成時に、「共同編集者を追加」の設定にて、「一般的なアクセス」の項目を「リンクを知っている全員」にしていました。

結果、該当のフォームにて閲覧・回答を行ったユーザが、自身のGoogleアカウントのGoogleアプリからフォームに移動した際に、「最近使用したフォーム」の欄に回答したフォームが表示され、そこから申込者の情報が閲覧可能な画面に遷移が可能となっておりました。

3．現在の状況

6月13日（木）16時40分に、該当フォームの設定を修正し、申込者の情報へアクセスできない状態であることを確認いたしました。

197名の皆様には、6月18日に事態のご説明とお詫びの連絡を行いました。

また、学内に対してフォーム利用時の注意喚起を実施いたしました。

4．今後の対応

今後はこのような事態を起こさないよう、フォーム公開時のマニュアルの整備および周知徹底をはかり、再発防止に努めてまいります。

リリース文（アーカイブ）

バグバウンティで使えるおすすめツール10選

バグバウンティなどの Web アプリケーションを対象とした脆弱性調査でよく使われる、おすすめのツールを10個紹介します。

免責事項

本稿の内容は、セキュリティに関する知見を広く共有する目的であり、悪用行為を推奨するものではありません。

注意点

紹介するツールの中には、ファジング（総当たり）による列挙や検証を行うものが含まれています。

総当たりを行うツールは、対象に負荷をかけたり、悪影響を与えるリクエストを送る可能性があるため、使用には十分な注意が必要です。

総当たりツールを利用する場合は、対象の規約（スキャンツールの利用やレート制限など）を十分に確認し、規約に従って慎重に実行してください。

Burp Suite

Burp Suiteは、Webアプリケーションのセキュリティテストを行うための統合ツールです。サイバーセキュリティの専門家や開発者が、アプリケーションの脆弱性を発見し、修正するのに役立ちます。

主な機能は以下の通りです：

1. プロキシ：ブラウザとサーバー間の通信をインターセプトし、編集、再送信が可能です。
2. スキャナー：自動でWebアプリケーションの脆弱性を検出します。
3. インジェクター：SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃をシミュレーションします。
4. リピーター：特定のリクエストを何度も送り、挙動を確認します。
5. シーケンサー：トークンの乱数性や一意性を分析します。

これらのツールを使うことで、セキュリティの弱点を効率的に発見し、改善することができます。Burp Suiteは、プロフェッショナル版と無料版があり、プロフェッショナル版ではより高度な機能が利用できます。

ffuf

ffuf (Fuzz Faster U Fool) は、Webアプリケーションのディレクトリやファイルの強制探索を行うためのツールです。セキュリティテストやペネトレーションテストにおいて、隠れたコンテンツを発見するのに役立ちます。ffufは高速で柔軟性があり、カスタムワードリストを使用したり、さまざまなプロトコルをサポートするなど、多くの機能を備えています。

主な特徴：

1. 高速な探索：高いパフォーマンスで多くのリクエストを迅速に処理。
2. 柔軟な出力形式：JSON、CSV、HTMLなど、さまざまな形式で結果を出力可能。
3. カスタマイズ可能なリクエスト：ヘッダーやパラメータを自由に設定。

実行例：

以下は、ffufを使ってターゲットサイト（例：www.example.com）のディレクトリを探索する簡単なコマンド例です。

ffuf -u http://www.example.com/FUZZ -w /path/to/wordlist.txt

解説：

• -u：ターゲットURLを指定。FUZZ はワードリストのエントリが置換される部分。
• -w：使用するワードリストのパスを指定。

例えば、以下のようなワードリスト（wordlist.txt）があった場合：

admin
login
test

このワードリストを使用して実行すると、以下のURLに対してリクエストが送信されます：

• http://www.example.com/admin
• http://www.example.com/login
• http://www.example.com/test

このようにして、ffufを用いることで、Webアプリケーションの隠れたディレクトリやファイルを効率的に見つけることができます。

※ffuf は総当たりによる列挙のため、十分に注意して利用してください。

subfinder

subfinderは、サブドメインの探索に特化した高速で効率的なツールです。セキュリティテストや脆弱性評価の際に、ターゲットドメインのサブドメインをリストアップするのに役立ちます。subfinderは、複数のデータソースから情報を収集し、潜在的なサブドメインを検出するための強力な機能を備えています。

主な特徴：

1. 高速かつ効率的：多くのサブドメインを迅速に探索可能。
2. 多様なデータソース：DNSデータベース、API、パッシブDNSサービスなど、複数のソースから情報を収集。
3. 簡単な使用方法：コマンドラインインターフェースを介してシンプルに操作。

実行例：

以下は、subfinderを使ってターゲットドメイン（例：example.com）のサブドメインを探索する簡単なコマンド例です。

subfinder -d example.com

解説：

• -d：ターゲットドメインを指定。

このコマンドを実行すると、subfinderは指定されたドメインに関連するサブドメインを検索し、結果を標準出力に表示します。例えば、以下のような結果が得られます：

www.example.com
mail.example.com
blog.example.com

このように、subfinderを用いることで、ターゲットドメインのサブドメインを迅速かつ効果的に発見することができます。

nuclei

Nucleiは、セキュリティテストや脆弱性スキャンを自動化するための高速でカスタマイズ可能なツールです。テンプレートベースのアプローチを採用しており、さまざまなタイプの脆弱性に対するテストを簡単に実行できます。セキュリティ研究者やペネトレーションテスターにとって、Nucleiは効果的で柔軟なスキャンツールです。

主な特徴：

1. テンプレートベース：再利用可能なテンプレートを使用して多様な脆弱性を検出。
2. 高いパフォーマンス：大量のターゲットに対して迅速にスキャンを実行。
3. カスタマイズ可能：ユーザーが独自のテンプレートを作成可能。

実行例：

以下は、Nucleiを使ってターゲットサイト（例：www.example.com）をスキャンする簡単なコマンド例です。

nuclei -u http://www.example.com -t /path/to/templates

解説：

• -u：スキャン対象のURLを指定。
• -t：使用するテンプレートのディレクトリパスを指定。

例えば、次のようなテンプレートがある場合：

id: example-vuln

info:
  name: Example Vulnerability
  author: yourname
  severity: medium

requests:
  - method: GET
    path:
      - "{{BaseURL}}/vulnerable-path"
    matchers:
      - type: word
        words:
          - "vulnerable"

このテンプレートを使って実行すると、指定したURLの「/vulnerable-path」にアクセスし、レスポンスに「vulnerable」という単語が含まれているかをチェックします。

テンプレートを指定して実行するコマンド例：

nuclei -u http://www.example.com -t /path/to/templates/example-vuln.yaml

このように、Nucleiを用いることで、多様な脆弱性に対するスキャンを効率的に実行し、潜在的なセキュリティリスクを発見することができます。

naabu

Naabuは、高速で効率的なポートスキャナーです。特定のホストやネットワーク内の開いているポートを迅速にスキャンし、潜在的なセキュリティリスクを特定するのに役立ちます。Naabuは、ネットワークのペネトレーションテストやセキュリティ監査の際に利用され、単一のホストから大規模なネットワークまで対応できます。

主な特徴：

1. 高速スキャン：多くのポートを短時間でスキャン可能。
2. カスタマイズ可能：特定のポートや範囲を指定してスキャンを実行。
3. 柔軟な出力形式：結果を標準出力やファイルに出力可能。

実行例：

以下は、Naabuを使ってターゲットホスト（例：192.168.1.1）の開いているポートをスキャンする簡単なコマンド例です。

naabu -host 192.168.1.1

解説：

• -host：スキャン対象のホストを指定。

特定のポート範囲を指定してスキャンする場合の例：

naabu -host 192.168.1.1 -p 1-1000

解説：

• -p：スキャンするポートの範囲を指定。ここでは1番から1000番ポートまでを指定。

結果をファイルに出力する例：

naabu -host 192.168.1.1 -o results.txt

解説：

• -o：スキャン結果を指定したファイルに出力。ここではresults.txtに保存。

このように、Naabuを用いることで、ネットワーク内の開いているポートを迅速に特定し、潜在的なセキュリティリスクを評価することができます。

getallurls (gau)

getallurls (gau) は、特定のドメインから利用可能なすべてのURLを収集するためのツールです。ペネトレーションテストやセキュリティリサーチの際に、Webアプリケーション内のすべてのエンドポイントやリソースをリストアップするのに役立ちます。gauは、複数のデータソースを利用して効率的にURLを収集します。

主な特徴：

1. 複数のデータソース：Wayback Machine、Common Crawl、URLScanなどからURLを収集。
2. シンプルなインターフェース：簡単なコマンドで実行可能。
3. 効率的な収集：高速で多数のURLを収集。

実行例：

以下は、gauを使って特定のドメイン（例：example.com）のURLを収集する簡単なコマンド例です。

gau example.com

解説：

• このコマンドは、example.com ドメインに関連するすべてのURLを収集します。

特定のデータソースを指定する場合の例：

gau --providers wayback,commoncrawl example.com

解説：

• --providers：使用するデータソースを指定。ここではwaybackとcommoncrawlを指定しています。

結果をファイルに保存する例：

gau example.com -o urls.txt

解説：

• -o：収集したURLを指定したファイルに保存。ここではurls.txtに出力します。

このように、gauを用いることで、Webアプリケーション内のすべてのエンドポイントを効率的に収集し、潜在的なセキュリティリスクを評価するための情報を得ることができます。

xnLinkFinder

xnLinkFinderは、WebアプリケーションのJavaScriptファイルからエンドポイントやURLを抽出するためのツールです。セキュリティリサーチャーやペネトレーションテスターにとって、アプリケーション内の隠れたエンドポイントを見つけ出し、脆弱性を評価するのに役立ちます。xnLinkFinderは、静的解析を行い、JavaScriptファイルに埋め込まれたURLやAPIエンドポイントを効率的に抽出します。

主な特徴：

1. JavaScript解析：JavaScriptファイル内のURLやAPIエンドポイントを抽出。
2. 簡単な使用方法：シンプルなコマンドラインインターフェース。
3. 効果的な検出：埋め込まれたリソースや隠れたエンドポイントを効果的に発見。

実行例：

以下は、xnLinkFinderを使って特定のURL（例：http://example.com/script.js）のJavaScriptファイルからエンドポイントを抽出する簡単なコマンド例です。

python3 xnLinkFinder.py -i http://example.com/script.js -o results.txt

解説：

• -i：解析するJavaScriptファイルのURLを指定。
• -o：抽出結果を保存するファイル名を指定。ここではresults.txtに出力。

特定のディレクトリ内のすべてのJavaScriptファイルを解析する場合の例：

python3 xnLinkFinder.py -i /path/to/javascript/files/ -o results.txt

解説：

• -i：解析するJavaScriptファイルが格納されたディレクトリを指定。
• -o：抽出結果を保存するファイル名を指定。ここではresults.txtに出力。

特定のパターンにマッチするエンドポイントのみを抽出する場合の例：

nuclei -u http://www.example.com -t /path/to/templates/example-vuln.yaml

解説：

• -p：抽出するエンドポイントのパターンを指定。ここでは/api/を含むURLのみを抽出。

このように、xnLinkFinderを用いることで、Webアプリケーション内のJavaScriptファイルから隠れたエンドポイントを効率的に抽出し、セキュリティ評価を行うための情報を得ることができます。

dirseaech

Dirsearchは、Webアプリケーションのディレクトリやファイルを強制探索（ブルートフォース）するためのコマンドラインツールです。セキュリティテストやペネトレーションテストにおいて、隠れたコンテンツや管理ページ、バックアップファイルなどを発見するのに役立ちます。Dirsearchは、多言語対応でカスタマイズ可能なワードリストを使用し、効率的に探索を行います。

主な特徴：

1. 高速探索：高いパフォーマンスで多数のディレクトリやファイルを迅速にスキャン。
2. カスタマイズ可能：特定のファイル拡張子やディレクトリを指定可能。
3. 多言語対応：Pythonで書かれ、さまざまなオプションで柔軟に対応。

実行例：

以下は、Dirsearchを使って特定のターゲットサイト（例：http://example.com）のディレクトリを探索する簡単なコマンド例です。

dirsearch -u http://example.com -w /path/to/wordlist.txt

解説：

• -u：ターゲットURLを指定。
• -w：使用するワードリストのパスを指定。

特定の拡張子を探索する場合の例：

dirsearch -u http://example.com -w /path/to/wordlist.txt -e php,html,js

解説：

• -e：探索するファイルの拡張子を指定。ここではphp、html、jsファイルを指定。

結果をファイルに保存する場合の例：

dirsearch -u http://example.com -w /path/to/wordlist.txt -o results.txt

解説：

• -o：探索結果を指定したファイルに保存。ここではresults.txtに出力。

複数のスレッドを使用して探索を高速化する場合の例：

dirsearch -u http://example.com -w /path/to/wordlist.txt -t 50

解説：

• -t：使用するスレッド数を指定。ここでは50スレッドを使用。

このように、Dirsearchを用いることで、Webアプリケーション内の隠れたディレクトリやファイルを効率的に探索し、潜在的なセキュリティリスクを発見することができます。

※dirseaech は総当たりによる列挙のため、十分に注意して利用してください。

Arjun

Arjunは、WebアプリケーションのエンドポイントからGETおよびPOSTリクエストに使用される隠れたパラメータを探し出すためのツールです。セキュリティテストやペネトレーションテストにおいて、アプリケーションの動作を深く理解し、潜在的なセキュリティリスクを評価するのに役立ちます。Arjunは、高速で効率的に作動し、数秒以内に数百のパラメータを検出することができます。

主な特徴：

1. 高速スキャン：数秒で数百のパラメータを発見。
2. 対応プロトコル：HTTPおよびHTTPSプロトコルに対応。
3. カスタマイズ可能：リクエスト方法やパラメータの指定が柔軟。

実行例：

以下は、Arjunを使って特定のURL（例：http://example.com/search）のGETリクエストパラメータを探索する簡単なコマンド例です。

arjun -u http://example.com/search

解説：

• -u：探索対象のURLを指定。

POSTリクエストのパラメータを探索する場合の例：

arjun -u http://example.com/login -m POST

解説：

• -m：リクエストメソッドを指定。ここではPOSTを指定。

特定のパラメータリストを使用する場合の例：

arjun -u http://example.com/search --get-params /path/to/params.txt

解説：

• --get-params：使用するパラメータリストのパスを指定。

結果をファイルに保存する場合の例：

arjun -u http://example.com/search -o results.json

解説：

• -o：探索結果を指定したファイルに保存。ここではresults.jsonに出力。

このように、Arjunを用いることで、Webアプリケーション内の隠れたGETおよびPOSTパラメータを効率的に探索し、セキュリティ評価を行うための情報を得ることができます。

byp4xx

byp4xxは、Webアプリケーションのセキュリティテストにおいて、HTTPステータスコードに基づいて検証を行うツールです。特に、セキュリティヘッダーの欠落や誤った設定、アクセス制御の不備などを検出するために設計されています。このツールは、ブルートフォース攻撃を使用して、潜在的な攻撃手法を実行するために利用されます。

主な特徴：

1. HTTPステータスコードに基づく攻撃：さまざまなステータスコードを用いた攻撃を実行。
2. セキュリティヘッダーの検証：セキュリティヘッダーの設定ミスを発見。
3. ブルートフォース攻撃：アクセス制御の回避やディレクトリの発見に役立つ攻撃を実行。

実行例：

以下は、byp4xxを使って特定のURL（例：http://example.com/login）に対して攻撃を行う簡単なコマンド例です。

byp4xx -u http://example.com/login

解説：

• -u：攻撃対象のURLを指定。

特定のステータスコードを試す場合の例：

byp4xx -u http://example.com/admin -c 403,401,500

解説：

• -c：攻撃で使用するステータスコードをカンマ区切りで指定。ここでは403 Forbidden、401 Unauthorized、500 Internal Server Errorを試す。

攻撃対象のパラメータを指定する場合の例：

byp4xx -u http://example.com/search -p "query=test"

解説：

• -p：攻撃対象のパラメータを指定。ここではquery=testを使用。

結果をファイルに保存する場合の例：

byp4xx -u http://example.com/login -o results.txt

解説：

• -o：攻撃の結果を指定したファイルに保存。ここではresults.txtに出力。

byp4xxを使用することで、Webアプリケーションのセキュリティ強化に寄与する可能性がありますが、実行は適切な許可を得て行ってください。

出典：バグバウンティで使えるおすすめのツール10選

役に立つWindows向けフリーソフト

これから紹介するフリーソフトは、必需品と楽しい補助アプリをミックスしたもので、ほとんどすべてのコンピューターにインストールする価値があります。

さっそく見ていこう！

Ninite

Niniteを使えば、新しいコンピュータを簡単にセットアップすることができます。Niniteのウェブサイトにアクセスし、インストールしたいフリーソフトを選択するだけです。プログラムを実行すると、Niniteがすべてのプログラムを順番にインストールし、多くの無料アプリがこっそり入れようとするバンドルウェアのオファーを自動的に拒否してくれます。

唯一欠点を言うと、筆者イチオシのブラウザであるBraveには対応していません。

有料版にアップグレードする価値はありますか？

Ninite Updaterという有料の補完ユーティリティがあり、年間10ドルで、デスクトップ・プログラムすべてを簡単に最新の状態に保つことができますが、必須ではないです。

Unchecky

誤って不要なクソアプリをインストールしてしまうことは、フリーソフトウェアの最大のリスクのひとつです。Niniteが対応していないフリーソフトにはUncheckyで対応することが可能です。Uncheckyは、あなたがプログラムをインストールしようとしているとき、すべてのチェックボックスのチェックを自動的に外し、怪しいクソアプリがあなたのPCに忍び込もうとした際に警告してくれます。

有料版にアップグレードする価値はありますか？

必須ではないです。

7-Zip

WindowsはネイティブでZIPファイルの作成と解凍ができますが、もし別の圧縮アーカイブとにらめっこすることになったら、それを処理する専用のプログラムが必要です。その多くは有料です。7-Zipはオープンソースで完全に無料であり、Windowsの右クリック・コンテキスト・メニューからアーカイブのあらゆるニーズを実行できます。7-Zipアーカイブをパスワードで暗号化して安全に送ることもできます。

有料版にアップグレードする価値はありますか？

いいえ。7-Zipは素晴らしく、WinZipのような有料のパラレルは、料金を正当化するのに十分ではありません。もしあなたが一日中巨大なアーカイブファイルの解凍に費やしているのであれば、WinZipのような高速なユーティリティを使う価値があるかもしれません。マイクロソフトは、RARと7-ZipファイルのサポートをWindows自体に直接統合することに取り組んでいます。

VLC

Windows 10と11には厄介な問題があります。Windows 7と違って、OEMの素のままではDVDを再生できないのです。メーカーが販売するPCを購入した場合は、DVD再生プログラムがインストールされているかもしれませんが、そうでない場合は、VLCメディアプレーヤーを使うことで、無料で映画や音楽、ポッドキャストなどを再生することができます。ちょっといじれば、（一部の）ブルーレイディスクも再生できます。

有料版にアップグレードする価値はあるのでしょうか？

いいえ。VLCはとにかく素晴らしく、この無料の主力ソフトと比較して、その価値を正当化できる有料オプションは見当たりません。しかし、VideoLANのハードワークに対する感謝の気持ちとして、VideoLAN団体に寄付を送ることはできます。

SpaceSniffer

コンピュータのストレージ容量の管理は大変です。Windowsはドライブの残り容量を教えてくれますが、それだけです。容量が足りなくなったら、100万種類ものディレクトリをチェックし、ゴミ掃除が必要です。Uderzo SoftwareのSpaceSnifferは、ドライブ全体をスキャンし、ファイルやフォルダを視覚的なグリッドで表示することでこれを解決します。

WinDirStatは、SpaceSnifferと同様の動作をするもう1つのフリーソフトです。最新の大容量ゲームをインストールするために空き容量を確保したいのであれば、このうちの1つをPCにインストールしておくといいでしょう。

有料版にアップグレードする価値はありますか？

不要です。

Recuva

削除したファイルを元に戻したい場合はどうすればいいのでしょうか？Recuvaは、CCleanerのメーカーであるPiriformが提供する、クリーンでシンプルなファイル復元プログラムです。

注意： Recuvaはすべての削除ファイルを復元できるわけではないし、Eraser（これも一流の無料プログラム）のような安全な削除ツールでプログラムを消去した場合は、その確率はさらに低くなります。

有料版にアップグレードする価値はありますか？

そうかもしれません。Recuvaはファイルの復元に役立ちますが、仮想ハードディスク・ドライブのサポートや自動アップデートなどのパワーユーザー機能が必要なら、Recuva Proに20ドル払う価値があるかもしれません。

Sumatra PDF

Adobe Readerは多くの人に愛用されているPDFリーダーかもしれませんが、使い勝手が悪く、常にアップデートされ、頻繁にマルウェアの標的にされています。基本的な機能だけが必要なら、代わりにSumatra PDFを利用しよう。Sumatraは、多くのフル機能PDFリーダーに見られるような派手な機能はありませんが、普及率が低いため、ハッカーはSumatra PDFを相手にしていないようで、その観点からも安全性は高いです。

出典：The best free software for your PC

世界のセキュリティカンファレンス10選

サイバーセキュリティの世界において、コミュニケーションとイノベーションの柱として君臨するイベントがある。これらのイベントの多くは10年以上にわたって開催されており、単なるカンファレンスではなく、専門家、実務家、愛好家が最新の脅威について議論し、洞察を共有し、サイバー空間の悪党と戦うための戦略を練る場となっています。

以下では、サイバーセキュリティの展望に大きな影響を与えるサイバーセキュリティ・イベントのトップ10を掘り下げます。

1. RSAカンファレンス

開催年数：30年以上

開催場所：米国カリフォルニア州サンフランシスコ

開催日（2024年）：5月6日～9日

ホームページ：https://www.rsaconference.com/

参加費：500USD～2,500USD

RSAカンファレンスは、サイバーセキュリティの分野で巨大な存在となっています。毎年、業界リーダーやセキュリティ専門家から研究者や愛好家まで、数千人もの参加者が集まります。このイベントは、画期的なイノベーションと戦略を発表するための道標です。

2. Black Hat Asia

開催年数：20年以上

開催場所：通常はシンガポールで開催

開催日（2024年）：4月16日～19日

ウェブサイト：https://www.blackhat.com/asia-24/

参加費：1,800SGD～2,200SGD

Black Hat Asiaは、20年以上にわたって開催されているサイバーセキュリティのプレミアカンファレンスです。米国、欧州、中東での開催を含むグローバルなBlack Hatシリーズの一環として、Black Hat Asiaはアジア太平洋地域のサイバーセキュリティ・カレンダーにおける重要なイベントとして機能しています。このカンファレンスは、深い技術的な内容で知られ、セキュリティ研究者、実務家、愛好家が最新の知見、方法論、イノベーションを共有する場を提供しています。

イベントの構成

• ブリーフィング：業界の専門家による技術セッションで、脆弱性、脅威インテリジェンス、防御戦略など幅広いトピックを扱う。
• トレーニング：侵入テストからインシデント対応まで、サイバーセキュリティの様々な側面を掘り下げる実践的なコース。
• アーセナル： 研究者や開発者がオープンソースのツールや製品を実演するユニークなコーナー。
• ビジネスホール： サイバーセキュリティをリードする企業が最新の製品やソリューションを展示し、ネットワーキングやビジネスチャンスを促進する展示エリア。

ハイライト

• 基調講演： サイバーセキュリティ業界の著名人による講演で、現在のトレンドと将来の課題についての洞察を提供します。
• ワークショップとセッション：最先端の研究、新たな攻撃ベクトル、防御メカニズムなどを取り上げます。
• ネットワーキングの機会： 参加者は、世界中の同業者、専門家、ベンダーとつながる機会があり、コラボレーションと知識交換を促進します。

Black Hat Asiaは、サイバーセキュリティの専門家にとって、この分野のトップから学び、最新の脅威に関する最新情報を入手し、没頭型のトレーニングセッションを通じて実践的なスキルを身につけるまたとない機会を提供します。アジア太平洋地域におけるサイバーセキュリティへの理解を深めたい方にとって、このイベントは必見です。

3. DEF CON

開催年数：30年以上

開催場所：米国ネバダ州ラスベガス

開催日（2024年）：8月8日～11日

ウェブページ：https://defcon.org/html/defcon-32/dc-32-index.html

参加費：440USD

32回目を迎えるDEF CONには、ハッカー、セキュリティ専門家、政府関係者など、さまざまな顔ぶれが集まり、多彩なアクティビティが繰り広げられます。

このイベントでは、ワークショップ、CTF（Capture the Flag）コンテスト、さまざまなサイバーセキュリティのトピックに関する洞察に満ちた講演が行われます。活気あるハッカー文化とコミュニティ主導の精神が、DEF CONをユニークで貴重な体験にしています。

4. SANS Cyber Threat Intelligence Summit

開催年数：10年以上

開催場所：米国ワシントンDC

開催日（2024年）：1月29日～30日

ウェブページ：https://www.sans.org/webcasts/cyber-threat-intelligence-summit-solutions-track-2024/

参加費：1,899USD～2,099USD

このサミットは、脅威インテリジェンスの技術と科学に特化したものです。一流の専門家が一堂に会し、見識を共有し、脅威行為者の行動を分析し、脅威インテリジェンスの実践的な応用について議論します。

5. InfoSec World 2024

開催年数：25年以上

開催場所：米国フロリダ州オーランド

開催日（2024年）：10月30日

ウェブページ：https://infosec-conferences.com

参加費：1,995USD

InfoSec Worldは、情報セキュリティのあらゆる側面をカバーする包括的なイベントです。基調講演、分科会、実践的なワークショップを組み合わせた内容で、サイバーセキュリティの専門家にとって欠かせない集まりとなっています。

6. Cybersec Europe

開催年数：5年以上

開催場所：ベルギー、ブリュッセル、ブリュッセル・エキスポ

開催日（2024年）：5月29日～30日

ホームページ：https://cybersecurity-centre.europa.eu/events/cybersec-europe-29-30-may-2024-brussels-belgium-2024-05-29_en

参加費：499EUR～1,299EUR

Cybersec Europeは、欧州のサイバーセキュリティの課題とソリューションに焦点を当て、戦略、ヒューマンファイアウォール、ハイブリッドIT保護、データ保護などを取り上げる。イベントには、基調講演、ワークショップ、総合的な展示フロアが含まれます。

このイベントは、協力的な取り組みと国境を越えた情報共有を通じて、欧州のサイバーセキュリティ態勢を強化することを目的としています。また、専門家同士のネットワーキングや知識交換の場も提供しています。

7. Gartner セキュリティ＆リスク・マネジメント・サミット

開催年数：15年以上

開催場所：英国、ロンドン

開催日：2024年9月23日～25日

ウェブページ：https://www.gartner.com/en/conferences/emea/security-risk-management-uk

参加費：1,795GBP～4,795GBP

ガートナー・セキュリティ＆リスク・マネジメント・サミットは、脅威インテリジェンスとリスク軽減に関する戦略的洞察を提供します。このサミットでは、リサーチ主導のセッション、ガートナーのアナリストによる戦略的ガイダンス、数多くのネットワーキングの機会が提供されます。

SOCRadarは、サイバーセキュリティの重要なプレーヤーとして積極的に参加し、高度な脅威インテリジェンスと効果的なリスク管理戦略に関する議論に貢献することが期待されています。

このサミットは、今日のセキュリティおよびリスク管理のリーダーが直面する最も差し迫った課題に対処し、戦略的計画と投資の意思決定を形成する上で影響力を持ちます。

出典：Top 10 Cybersecurity Conferences