メールアドレスをキーにしてID連携を行う設計の危うさ｜ritou
ritouです。このしずかなインターネットにおける初投稿です。 おそらく、このしずかなインターネットのID連携では次のような設計になっていま「した」。問い合わせをさせていただき、対応いただきました。 これまでもQiitaなどで同様の実装例が紹介されていた際にはコメントさせていただいていたものですので、アンチパターンの紹介記事として読んでいただければと思います。 「Googleアカウントでログイン」ではじめると、ユーザーが作成され、Googleから受け取ったメールアドレス([email protected])が設定される 次回から「Googleアカウントでログイン」をすると、Googleから受け取ったメールアドレスでユーザーを参照 試しに、次のような流れで動作を確認してみます。 「Googleアカウントでログイン」でアカウント作成([email protected]) 「メールアドレス変更」
ソルト付きハッシュのソルトはどこに保存するのが一般的か - Qiita
pictBLandとpictSQUAREに対する不正アクセスがあり、パスワードがソルトなしのMD5ハッシュで保存されていたことが話題になっています。 2023年8月16日に外部のフォーラムにpictSQUAREより窃取した情報と主張するデータ販売の取引を持ち掛ける投稿が行われた（中略）パスワードはMD5によるハッシュ化は行われているもののソルト付与は行われていなかったため、単純なパスワードが使用されていた29万4512件は元の文字列が判明していると投稿。（それ以外の26万8172件はまだMD5ハッシュ化されたままと説明。） 不正アクセスによるpictBLand、pictSQUAREの情報流出の可能性についてまとめてみた - piyolog より引用 これに関連してMD5ハッシュやソルトに関するツイート(post)を観察したところ、どうもソルトの理解が間違っている方が多いような気がしました。
個人情報保護委、ChatGPT提供の米OpenAIに行政指導 人種や信条、病歴などを取得しないよう要請
個人情報保護委員会は6月2日、AIチャットサービス「ChatGPT」などを提供する米OpenAIに対し、個人情報保護法に基づく行政指導を行ったと発表した。本人の同意なしで、ChatGPTの利用者と利用者以外の要配慮個人情報（人種、信条、社会的身分、前科・前歴、病歴など）を取得しないよう注意したという。 機械学習の際にも要配慮個人情報が含まれないようにし、収集した情報にそれらが含まれた場合は削除、個人が識別できないようにするよう呼び掛けた。さらに、個人や保護委が要配慮情報の収集中止を要請した場合、正当な理由がなければ指示に従うよう求める。 保護委はこのOpenAIへの注意喚起に合わせて、行政や企業、個人に対して生成AIを利用する場合の注意事項も発表。個人情報を入力する場合は必要最低限にとどめること、利用するサービスが個人情報を機械学習に利用するか確認することなどの点に注意するよう呼び掛けてい
アップルに「アプリストア」開放義務づけへ、政府が新たな巨大ＩＴ規制…他社参入促す
【読売新聞】 政府は巨大ＩＴ企業が運営するサービスに新たな規制を導入する方針を固めた。スマートフォンのアプリ入手に使う「アプリストア」に関し、他社のサービスも使えるようアップルに義務づける。グーグルには検索結果表示で自社サービスを有
システム管理をしていた元社員による社内データ削除事案についてまとめてみた - piyolog
2023年1月24日、警視庁は退職後に男が元勤務先のデータの削除を行ったとして不正アクセス禁止法違反と電子計算機損壊等業務妨害の容疑で逮捕したと発表しました。ここでは関連する情報をまとめます。 退職時に社内システムの認証情報を持ち出しか 容疑は不正アクセス禁止法違反と電子計算機損壊等業務妨害。男は2022年6月4日、自宅近くの喫茶店のWifiに接続し、以前に勤務していた都内の電気計器メーカーの元同僚のIDを使って、元上司のPCを遠隔操作し、社内ネットワークやクラウドサービスに不正ログイン。サーバー上で保管されていたデータを削除することで同社の業務を妨害した疑いがもたれている。*1 *2 男は取り調べに対して「自分は行っていない」と容疑を否認している。男は社内で人間関係の悪化(元同僚とのトラブルと報道)を理由に2021年12月に同社を退職しており、警視庁は同僚らへの嫌がらせを目的に行ったとみ
Node.jsのMySQLパッケージにおけるエスケープ処理だけでは防げない「隠れた」SQLインジェクション - Flatt Security Blog
※本記事は筆者styprが英語で執筆した記事を株式会社Flatt Security社内で日本語に翻訳したものになります。 TL;DR Node.jsのエコシステムで最も人気のあるMySQLパッケージの一つである mysqljs/mysql (https://github.com/mysqljs/mysql)において、クエリのエスケープ関数の予期せぬ動作がSQLインジェクションを引き起こす可能性があることが判明しました。 通常、クエリのエスケープ関数やプレースホルダはSQLインジェクションを防ぐことが知られています。しかし、mysqljs/mysql は、値の種類によってエスケープ方法が異なることが知られており、攻撃者が異なる値の種類でパラメータを渡すと、最終的に予期せぬ動作を引き起こす可能性があります。予期せぬ動作とは、バグのような動作やSQLインジェクションなどです。 ほぼすべてのオンラ
新生銀、顧客8900人の口座番号や暗証番号を外部業者に流出：朝日新聞デジタル
","naka5":"<!-- BFF501 PC記事下（中⑤企画）パーツ＝1541 --><!--株価検索 中⑤企画-->","naka6":"<!-- BFF486 PC記事下（中⑥デジ編）パーツ＝8826 --><!-- /news/esi/ichikiji/c6/default.htm -->","naka6Sp":"<!-- BFF3053 SP記事下（中⑥デジ編）パーツ＝8826 -->","adcreative72":"<!-- BFF920 広告枠）ADCREATIVE-72 こんな特集も -->\n<!-- Ad BGN -->\n<!-- dfptag ＰＣ誘導枠５行 ★ここから -->\n<div class=\"p_infeed_list_wrapper\" id=\"p_infeed_list1\">\n <div class=\"p_infeed_list\">
LINE Pay、約13万人の決済情報が「GitHub」で公開状態に グループ会社従業員が無断アップロード
LINE Payは12月6日、13万3484アカウントの一部決済情報がソースコード共有サイト「GitHub」上で閲覧できる状態になっていたと発表した。すでに情報は削除しており、該当ユーザーへ個別に案内。現時点ではユーザーへの影響は確認されていないという。 国内ユーザーで5万1543アカウント、海外を含めると13万3484アカウントが対象。閲覧できた情報は、LINE内でユーザーを識別するための識別子（LINE IDとは異なる）、システム内で加盟店を識別する加盟店管理番号、キャンペーン情報の3点。氏名、住所、電話番号、メールアドレス、クレジットカード番号、銀行口座番号などは含まれていない。 決済情報の該当期間は、2020年12月26日から21年4月2日まで。情報が閲覧できる状態だったのは、21年9月12日午後3時13分頃から11月24日午後6時45分まで。期間中、外部からのアクセスは11件確認
日立グループにおけるパスワード付きZIPファイル添付メール(通称PPAP)の利用廃止に関するお知らせ：日立
2021年10月8日 株式会社日立製作所 日立グループは、2021年12月13日以降のすべてのメール送受信において、パスワード付きZIPファイルの利用を廃止させていただくことを、お知らせいたします。 パスワード付きZIPファイルが添付されたメールは日立グループにて送受信されず、受信者/送信者の日立グループ従業員に対して、配送を抑止した旨がメールで通知されることとなります。 お客さまおよびお取引先さまにおかれましては、日立グループとのデータの授受の方法につきまして、適宜担当者にご相談頂けますと幸いです。 弊社施策に対するご理解とご協力を賜りますよう、何卒よろしくお願いいたします。 背景 従来、通称PPAP*は、多くの人が利用可能で通信経路上の暗号化を保証する方式として日立グループにおいても利用されてきました。しかし、すでに暗号方式としてセキュリティを担保できるものでなく、昨今はパスワード付き
「PCからウイルスを検出しました」 偽の警告で恐怖をあおる「サポート詐欺」の手口を描いた実録漫画
PC作業中に表示された警告に動揺し、「サポート詐欺」にだまされかけた――。危うい体験を描いた漫画に注目です。気を引き締める意味で大事なお話。 怪しい警告を信じるとどうなるか…… 漫画をまとめて読む Twitterユーザーのはる（@harushibutani）さんが、PCで調べ物をしながら絵の勉強をしていた日のこと。ブラウザから警告画面が次々とポップアップし、PCがトロイ（の木馬）に感染したとのアナウンスが女性の声で流れました。 マイクロソフトを名乗る音声は「フリーダイヤルで当社に今すぐお電話ください」とひたすら連呼。そうしなければPCを無効にするとまで言われて、はるさんはパニックに陥ってしまいました。 家に独りきりの不安から、話を聞くだけ聞いてみようとスマホを手に取るはるさん。焦りと恐怖と心細さで判断力を失い、フリーダイヤルと言いながら「0120」でなく「050」で始まる番号へ、そのまま発
Docker版OWASP ZAPを使用してWebアプリの簡易的な脆弱性診断をしてみた | DevelopersIO
こんにちは、CX事業本部の若槻です。 最近Webアプリケーション向けのセキュリティ診断ツールについて調べてみたところ、OWASP ZAPというオープンソースツールが定番としてよく使われているそうです。 https://owasp.org/www-project-zap 今回は、Docker版OWASP ZAPを使用してWebアプリのログインページの簡易的な脆弱性診断を行ってみました。 なぜDocker版を使ったのか OWASP ZAPにはWindows、Mac、Linuxで使えるインストーラー版およびパッケージ版と、Docker版があります。 https://www.zaproxy.org/download/ 当初はMac向けインストーラー版を使おうとしましたが、Macのセキュリティによりインストールできなかったため断念しました。 よってインストールを要しないDocker版を使うこととしま
デモ(疑似体験)取引キャンペーンの登録情報(個人情報)が漏えいした件について - DMM FX
弊社では仮想資金を用いて外国為替証拠金取引(FX)を疑似体験していただくサービス(以下、デモ取引)において、一定期間内の取引成績に応じて賞品をプレゼントするキャンペーン(以下、デモ取引キャンペーン)を実施しておりますが、2019年2月以降に開催いたしました3回のデモ取引キャンペーンにご参加いただいたお客様の「メールアドレス」と「登録時のIPアドレス」の2点が、一般ユーザーの方がアクセスする場所ではないものの、インターネット上で閲覧できる状況となっていたことが判明いたしました。 弊社は、2020年8月14日(金)20時45分頃、本事象を発見しましたが、その後、直ちに調査を行い、閲覧可能となっていた当該情報の消去を行っております。 なお、デモ取引キャンペーンの賞品プレゼントに利用されるその他の情報(氏名、住所、銀行口座情報)や、【DMM FX】(実際の法定通貨を利用したFX)関連の個人情報は守
【お詫び】IPアドレスが他者からも確認できてしまう不具合について｜note株式会社
経緯と再発防止策について追加のご報告をいたしました。くわしくはこちらをご覧ください。https://note.jp/n/naf3775e93a58 （2020年8月14日 22:33追記）noteサービスにおいて、記事投稿者のIPアドレスが記事詳細ページのソースコードから確認できてしまう不具合が存在していました。 なお、一般的なIPアドレスから、個人情報を特定することはできません。 現在は、該当部分を修正し問題なくご利用いただける状態です。ご迷惑をおかけして、大変申し訳ありませんでした。 今回の不具合により、名誉毀損などの被害をこうむったクリエイターに対しては、ご本人と連携して法的措置を含めてnote社がサポートいたします。 以下、発生内容と今後の対策についてご報告します。 IPアドレスとは？ インターネットでの通信先の情報です。一般的にはIPアドレスは地域や建物、組織で同一の値が共有され
ご報告とお詫び 「Qiita」「Qiita Jobs」におけるユーザー情報の取り扱い不備について - Qiita株式会社
ご報告とお詫び 「Qiita」「Qiita Jobs」におけるユーザー情報の取り扱い不備について各位 Increments株式会社（本社：東京都港区、代表取締役社長：柴田健介、以下「弊社」）の運営するプログラマー向け情報共有サービスQiitaのユーザーページ（以下「ユーザーページ」）において、本年3月25日にリリースした新機能に関し、Qiitaのユーザー様をはじめとする皆様にご心配・ご迷惑をおかけし、誠に申し訳ございません。 本件の事実関係については、弊社内で調査を進める中でQiita Blogにおいてもお知らせしておりましたが、事実関係の確認を行った結果につきまして、判明した事実を改めてご報告いたします。 本年3月25日にリリースした新機能は、ユーザーページにおいて、ユーザー様が閲覧されたQiita内の記事に付されたタグのうち出現割合が高かったもの上位5つ及びその割合を、「読んだ記事」と
なぜ「逆転有罪」に？ コインハイブ裁判、東京高裁が無罪判決を棄却した３つのポイントを解説
運営するサイトにマイニングソフト「Coinhive（コインハイブ）」を設置したとして、Webデザイナーのモロさんが不正指令電磁的記録 取得・保管罪（通称：ウイルス罪）に問われている裁判で2月7日、東京高等裁判所は一審での無罪判決を破棄し、モロさんに罰金10万円の支払いを命じる有罪判決を言い渡しました。なぜ高裁は逆転有罪の判断を下したのか、判決文を解説します。 家宅捜索を受けた際に公開された被告・モロさんのブログ（ブログより） 事件のあらまし サイト訪問者のPCのCPUを使ってWebブラウザ上で仮想通貨をマイニング（採掘）させる「Coinhive」を設置したとして、複数の検挙者が出た本事件（通称：コインハイブ事件）。ねとらぼでは1月30日に「なぜコインハイブ『だけ』が標的に 警察の強引な捜査、受験前に検挙された少年が語る法の未整備への不満」との記事を、2月16日に「『お前やってることは法律に
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Android版「PayPay」、マイナンバーカードのスキャンで本人確認可能に
迷惑メールに返信したら返事がきた、怖い→全く関係無い一般人が本人も気づかず送ってしまっている「知らずに煽っていました」
個人情報って氏名のことですよね？
IPアドレスは「個人情報」を特定できないから、漏えいしても問題ないよね？
コインハイブ逆転有罪、IT業界への影響は？ 識者から「デジタルけしからん罪」の声も - 弁護士ドットコムニュース
