Fox on Security

セキュリティリサーチャー(インシデントアナリスト)で、セキュリティコンサルタントのキタきつねの独り言。専門はPCI DSS

不正アクセス事件

EC-CUBE構築サイトは攻撃を受け続ける可能性が高い

東京新聞のEC-CUBEに関する記事を読んで、納得する部分も多くありましたが、少し認識が違う点もありました。 www.tokyo-np.co.jp インターネット通販サイトで買い物中に偽のクレジットカード決済画面が現れ、利用客の入力したカード情報を盗まれる新手口の被…

ユニクロのセキュリティへの意識

ユニクロの46万件の不正アクセス事件を遅まきながら取り上げてみます。事件発表から少し経ちましたが、流出件数が大きな割には、追加情報(記事)が出てこない印象です。 www.nikkei.com 公式発表 「リスト型アカウントハッキング(リスト型攻撃)」による弊…

宅地建物取引業者情報への不正アクセス

東京都のページが狙われた様です。宅建情報サイトが不正アクセスを受けたとの発表が出ていました。 ■公式発表 「宅地建物取引業者情報のインターネット情報提供システム」の利用停止について ◆キタきつねの所感 東京都管轄の検索サービスという事もあり、時…

小田垣商店のカード情報漏洩事件

ユニクロの件を調べようと思っていたら、カード情報漏洩事件が発表されていました。丹波の黒豆販売の老舗、小田垣商店が今度はターゲットとなってしまった様です。 www2.uccard.co.jp 2.クレジットカード情報流出の概要(1)原因・不正アクセスの手口弊社が…

ななつ星ギャラリーのカード情報漏えい

ななつ星サイトからの個人(カード)情報漏えい事件について少し調べていたのですが、時間が取れずまとめられていませんでした。 www.nikkei.com JR九州は12日、豪華寝台列車「ななつ星in九州」の関連商品を販売する通販サイトが外部から不正アクセスを受け…

シトリックスへのパスワードスプレー攻撃

米国のCitrix社へのサイバー攻撃が記事に出ていました。 www.sbbit.jp 公式発表 Citrix investigating unauthorized access to internal network | Citrix Blogs Citrixがサイバー攻撃を受けたことはFBIから告知を受けたと、Black氏は次のように説明していま…

サーカスのカード情報漏えい

子供服のECサイトもカード情報を漏えいしていた様です。 scan.netsecurity.ne.jp 公式発表 不正アクセスによるお客様情報流出に関するお詫びとお知らせ 2月25日に完了した調査機関による調査結果によると、同社オンラインショップのシステムの一部の脆弱性を…

セシールオンラインショップがベンチマークになっている

セシールオンラインショップへのパスワードリスト攻撃がまた出ていた様です。 www.security-next.com ディノス・セシールは、同社の通信販売サイト「セシールオンラインショップ」がパスワードリスト攻撃を受け、一部アカウントで不正ログインが発生したこと…

ログイン欄は狙われやすい

非保持であろうが、クレジットカード漏えい事件は定期的に発生するもの。そう考えた方が良いのだと思います。歯科書籍の通販サイトを運営するクインテッセンス出版から個人情報・カード情報が漏えいしたと発表されました。 www.security-next.com ■公式発表 …

トヨタも狙われる

トヨタの系列販売店などから310万件の個人情報が漏洩した可能性があるとトヨタが発表しました。 www.nikkei.com ■公式発表 弊社東京地区販売店における顧客情報流出の可能性に関するお知らせ 2019 年 3 月 21 日、トヨタ東京販売ホールディングス株式会社傘…

世界的企業(Norsk Hydro)もランサム攻撃を受ける

大規模なランサム被害を受けたのは世界的な企業でした。 www.technologyreview.jp ノルウェーのアルミニウム生産企業であるハイドロ(Hydro)は、「広範な」サイバー攻撃の影響で、ほぼすべてのITシステムが停止していることを明らかにした。攻撃は3月18日夜…

「宅ふぁいる便」のインシデント対応を考える

「宅ふぁいる便」サービスからの情報漏えい事件について、詳細調査が終わった事を受けて、大阪ガス子会社のオージス総研が記者会見を3/14開き、併せて追加リリースを出しました。 www.itmedia.co.jp ■公式発表 「宅ふぁいる便」サービスにおける不正アクセス…

メルボルンの心臓クリニックへのサイバー攻撃

日本ではあまり病院のセクターが襲われた事例を聞きませんが、オーストラリアでランサム事件が出た様です。 www.theguardian.com ハッカーは、メルボルンの心臓専門クリニックで身代金の請求が行われたと伝えられている患者のファイルを「スクランブル」しま…

MongoDB(NonSQLデータベース)のセキュリティ設定

デリーの市民データが漏洩との記事が出ていました。最大で約45.8万件のデータが漏洩した可能性があるとの事です。 securitydiscovery.com 2019年2月19日に、パスワードを必要としないMongoDBを発見しました。このデータベースはインドの地域にあり、他のデー…

大学は多要素認証を本格的に検討すべきではないか

また大学のOffice365が迷惑メールの踏み台に使われました。 mainichi.jp NHKの記事の方が詳しく書いていたのでこちらを引用します。(しばらくすると消えてしまうと思いますが) 県立大メールに不正アクセス|NHK 島根県のニュース 浜田市にある島根県立大学…

VFEmailへのデータワイプ攻撃

米国メールプロバイダのVFMailがハッカーの攻撃を受けバックアップまで含めて18年分のデータが削除されました。 www.darkreading.com ■公式発表 Current Status: 現在の状態: nl101.vfemail.netを使用していない場合は、メールボックスは消えています。自分…

大学が利用するクラウドサービスはパスワードだけでは守れない。

東京理科大学の個人情報漏えい事件が報じられていました。 www.security-next.com 公式発表 サイバー攻撃による個人情報等の流出について 東京理科大学において、フィッシングにより教員や学生が利用するクラウドサービスのアカウントが乗っ取られたことがわ…

JALマイレージの不正交換

JAL会員サイトが、またパスワードの使いまわしの被害を受けたようです。 www.jiji.com ■公式発表 第三者の“なりすまし”による不正ログインを防ぐための大切なお知らせ 逮捕容疑は昨年8月17~18日、福生市の家電量販店などで、不正入手したPоntaポイ…

ファンサイトへの攻撃

流石の国民的グループという所でしょうか。嵐のコンサート予約に際する”攻撃”が問題となっていました。 news.yahoo.co.jp アイドルグループ「嵐」のファンクラブサイトで、「最近ログインしてないのに、ログインしようとしたら『3回ログインに失敗した』とい…

平文パスワード保管

平文パスワード保存は流行りなのでしょうか・・・。Security Nextの少し前の記事に波通の個人情報漏えいの記事がありました。 www.security-next.com ■公式発表 【重要】 個人情報漏えいに関するお詫びとご報告 サーファー向けに海の状況をリアルタイムで提…

脆弱性診断は自社が先にやらなければならない

またSQLインジェクションです。まだまだOWASPから落ちる事はなさそうです。 www.security-next.com ■公式発表 不正アクセスによるお客様情報流出に関するお詫びとご報告 つり番組に特化した専門チャンネルを運営する釣りビジョンのウェブサイトが不正アクセ…

宅ふぁいる便もAWSを攻められた

宅ふぁいる便・・・お前もか。以前はよく私も使っていたが故に個人的には非常に残念な発表でした。 www.itmedia.co.jp ■公式発表 「宅ふぁいる便」サービスにおける不正アクセスによる、お客さま情報の漏洩について(お詫びとお願い) 1.漏洩したお客さま…

広告パートナーのサプライチェーン攻撃

Magecardの広告パートナーサイト経由の攻撃手法には注意が必要です。British Airwaysが昨年PCI DSS準拠でもカード情報を大量に窃取されましたが、サプライチェーン攻撃だったようです。 thehackernews.com 最も悪名高いハッキンググループの1つであるMagecar…

非保持は来年も狙われる

カード情報非保持を狙った攻撃。ECサイトは狙われている存在である事を今一度思い出すべきかも知れません。 www.nikkei.com ■公式発表 不正アクセスによる個人情報流出に関するご報告とお詫び 電子書籍などのデジタルコンテンツを扱うマーケットプレイス「DL…

カナダのパーキングシステムのデータ侵害

サードパーティのソフトウェアが大規模データ侵害を起こすケースは日本でも海外でも同じかも知れません。 nationalpost.com NB、セントジョン州の6,000人もの人々が個人情報を公開されている可能性があるとアナリストグループは述べた。システム。 同市は、C…

カード情報非保持はゴールではない

カード情報非保持のECサイトからまたカード情報が漏えいしました。 www.security-next.com 銀座ウエストオンライン通販サイトが不正アクセスにより改ざんされ、クレジットカード情報を詐取する偽ページがサイト内に設置されていたことがわかった。一部顧客の…

Twitterは異常検知の役割も果たす

誰でも音楽を売る事ができるBeatStarsへの不正アクセスにより、危なく全てのファイルを削除されそうになっていたとZDNetが報じてました。 www.zdnet.com BeatStars, a marketplace for selling music production beats, has disclosed a security breach tod…

ダイドードリンコの不正アクセス

ダイドードリンコの不正アクセスによる個人情報閲覧が報じられていました。 www.security-next.com 11月21日に不審なメールが届いたとの連絡が外部から寄せられ、調査したところ、ダイドードリンコが新卒採用活動で使用しているメールアカウントが関係ない第…

PayPayのキャンペーンの早期終了

クレジットカードの利用明細には当面注意が必要かも知れません。 news.biglobe.ne.jp スマートフォン決済サービスの「PayPay」で、身に覚えのないクレジットカード利用があったとの報告がTwitterで相次いでいる。PayPay社に確認したところ、同社から情報が流…

ECサイトの管理画面はパスワードだけで守れない

任天堂キャラクターの公式販売サイトも非保持でのカード情報保護を失敗したようです。 tech.nikkeibp.co.jp エディットモードは2018年12月7日、同社が運営する通販サイト「エディットモードショッピングサイト」が不正アクセスを受け、クレジットカード情報…