Aggregator

米Appleは20日、紛失防止タグ「AirTag」を発表した。4月30日からの発売で、アップルストアでの価格設定は1個3800円（税込）、4個セットの場合は1万2800円（税込）となる（ケータイ Watch、ITmedia）。 iPhoneなどの「探す」アプリと組み合わせることにより、忘れ物や紛失物を見つけ出すことができるようになる。こうした紛失防止タグ自体は従来からあるが、AirTagではAppleの製品同士が持つネットワークを活用し、iPhoneの「探す」アプリから落とし物を見つけ出せるのが最大の特徴。通常の落とし物タグが、Bluetoothで通信を行うのに対し、AirTagはUWB（Ultra Wideband）を使用することで、広い範囲での通信と正確な位置把握ができる特徴を持っている。 一方でこの仕組みを悪用してストーカーなどに悪用されないかとする懸念も出ているようだ。Appleもこの問題に関してはあらかじめ想定していたようで、一定の対策が行われている模様。Engadgetの記事が具体的なストーカーの事例と対策例を紹介している（Engadget）。この記事によれば、Phoneから離れたAirTagは、設定した親機から離れて一定の時間が経過すると、AirTagが鳴り続ける仕組みであることからストーカー用途には不向きであるという。タレコミにあるようにModを用いて音を消している場合でも、本人がiPhoneを所持している場合、登録していないAirTagを「知らないAirTag」として検知するが機能が用意されており、この「知らないAirTag」が自分と一緒に動いている場合、iPhoneに通知が行われる仕組みであるらしい。 あるAnonymous Coward 曰く、Appleが忘れ物防止タグ AirTag を発表しましたネットワークの利用に関して高度のセキュリティを備えているそうですが、ならばストーカー御用達の道具にもなり得るのではないでしょうか？AirTagはスピーカーを内蔵して音を出すことが出来るそうですが、ならば持たせた人にAirTagを気づかせないようにスピーカーを無効化するmodもすぐに出てくるのでは？ https://k-tai.watch.impress.co.jp/docs/news/1320035.html https://www.apple.com/jp/airtag/

すべて読む | アップルセクション | セキュリティ | スラッシュバック | アップル | 情報漏洩 |

関連ストーリー：
ロシアでのiOSデバイス初期設定、ロシア製アプリ選択画面の表示が始まる 2021年04月04日
Apple、iOSのコンテンツ配布手段はApp Storeに限られないと主張 2021年03月29日
iOS 10ベータ版、不要なプリインストールアプリの削除が可能に 2016年06月18日
「iPhoneを探す」で実際の所在地とは別の場所が現在位置として表示される問題 2016年01月26日
墜落したチリ空軍機、「iPhoneを探す」機能により位置が特定される 2011年09月10日
楽天モバイルがiPhoneの取り扱いを開始。一部制限も緩和へ 2021年04月27日

４月２２日、ＮＰＯ法人「移住者と連帯する全国ネットワーク」（移住連）などの主催で、政府が今国会に提出した入管法改定案への反対を訴えかける院内集会が開催された。同集会に登壇したミャンマー人女性やクルド人男性からは、難民申請者への強制送還を促す本法案に対する不安な心境が語られた。（岩本裕之）

headless 曰く、Microsoft Storeなどの偽ページを通じた情報窃取キャンペーンが確認されたとしてESETが注意喚起している(BleepingComputerの記事、 SlashGearの記事、 Windows Centralの記事、 ESET researchのツイート)。 ESETによれば情報窃取キャンペーンは南米のユーザーをターゲットにしたもので、「cdnserverhostingdomainname[.]site」というドメインでホストされている。攻撃用ページはMicrosoft Storeのほか、SpotifyとオンラインPDFコンバーター「FreePDFConvert」の偽物が確認されているという。直接たどり着くことはなさそうな偽ページだが、BleepingComputerによれば広告を通じて誘導する仕組みのようだ。 Microsoft Storeの偽ページは本物そっくりに作られているが、「Get」ボタンは「Download Free」ボタンに置き換えられており、クリックするとマルウェア「Ficker」を含むZIPファイルがダウンロードされる。偽Spotifyや偽FreePDFConvertも同様だ。ダウンロードしたZIPファイルを展開してできる実行ファイルを実行すると、アプリや変換結果のPDFファイルが表示される代わりにマルウェアが活動を開始する。 Fickerは1月にロシア語のハッカーフォーラムでレンタル用として公開されたもので、開発者はWebブラウザーなどが保存した認証情報や暗号通貨ワレット、文書ファイルを盗み出すほか、実行中アプリのスクリーンショット撮影も可能だと説明しているとのことだ。

すべて読む | セキュリティセクション | セキュリティ | マイクロソフト | ソフトウェア | お金 | プライバシ |

関連ストーリー：
「ハッキング」は犯罪？それとも別のこと？ 2021年03月07日
警察庁などISPを通じてEmotet感染端末ユーザーへの警告を行うと発表。2月下旬から 2021年02月26日
3万台近いMacに感染しているが、まだ活動開始していないマルウェア「Silver Sparrow」 2021年02月23日
Microsoftのマルウェア対策エンジンに12年以上前から存在した脆弱性 2021年02月16日
Microsoft Edgeアドオンサイト、人気ゲームの海賊版等をプレイできる拡張機能が多数見つかる 2021年02月15日
Google Playにある古参アプリ、マルウェアと誤認される。マルウェア化したアプリと同名 2021年02月12日
Google、マルウェア化したChrome拡張機能をリモートから無効化 2021年02月06日
英教育省支給のノートPC、プリインストールのマルウェアで注目される 2021年01月28日

headless 曰く、Microsoft Storeなどの偽ページを通じた情報窃取キャンペーンが確認されたとしてESETが注意喚起している(BleepingComputerの記事、 SlashGearの記事、 Windows Centralの記事、 ESET researchのツイート)。 ESETによれば情報窃取キャンペーンは南米のユーザーをターゲットにしたもので、「cdnserverhostingdomainname[.]site」というドメインでホストされている。攻撃用ページはMicrosoft Storeのほか、SpotifyとオンラインPDFコンバーター「FreePDFConvert」の偽物が確認されているという。直接たどり着くことはなさそうな偽ページだが、BleepingComputerによれば広告を通じて誘導する仕組みのようだ。 Microsoft Storeの偽ページは本物そっくりに作られているが、「Get」ボタンは「Download Free」ボタンに置き換えられており、クリックするとマルウェア「Ficker」を含むZIPファイルがダウンロードされる。偽Spotifyや偽FreePDFConvertも同様だ。ダウンロードしたZIPファイルを展開してできる実行ファイルを実行すると、アプリや変換結果のPDFファイルが表示される代わりにマルウェアが活動を開始する。 Fickerは1月にロシア語のハッカーフォーラムでレンタル用として公開されたもので、開発者はWebブラウザーなどが保存した認証情報や暗号通貨ワレット、文書ファイルを盗み出すほか、実行中アプリのスクリーンショット撮影も可能だと説明しているとのことだ。

すべて読む | セキュリティセクション | セキュリティ | マイクロソフト | ソフトウェア | お金 | プライバシ |

関連ストーリー：
「ハッキング」は犯罪？それとも別のこと？ 2021年03月07日
警察庁などISPを通じてEmotet感染端末ユーザーへの警告を行うと発表。2月下旬から 2021年02月26日
3万台近いMacに感染しているが、まだ活動開始していないマルウェア「Silver Sparrow」 2021年02月23日
Microsoftのマルウェア対策エンジンに12年以上前から存在した脆弱性 2021年02月16日
Microsoft Edgeアドオンサイト、人気ゲームの海賊版等をプレイできる拡張機能が多数見つかる 2021年02月15日
Google Playにある古参アプリ、マルウェアと誤認される。マルウェア化したアプリと同名 2021年02月12日
Google、マルウェア化したChrome拡張機能をリモートから無効化 2021年02月06日
英教育省支給のノートPC、プリインストールのマルウェアで注目される 2021年01月28日

Horner Automation が提供する Cscape には、複数の脆弱性が存在します。

二段階認証の方法として「SMS認証」が使われるようになって久しい。本人確認のためのる仕組みであるにも関わらず、これを有料で代行する業者が増加しているという。しかし、SMS認証が本来の意味を喪失しかねないとして、警察庁が取り締まりなどの対策を強化する方針を決めた模様（時事ドットコム、産経新聞、日経新聞）。 こうした代行業者はユーザーの代わりに自分の端末の電話番号を伝えて手続きし、一手間かかる認証コードの入力を受け持つ。依頼者は入力の手間がなくなるほか、携帯電話がなくても匿名のままサービスを利用できるというメリットがある。 しかし、多くの場合は通話アプリを特殊詐欺に、電子決済アプリをマネーローンダリングに使用するなどの犯罪目的で悪用されているとのこと。トラブルが起きても利用者本人と登録名義が異なることから、警察の追跡が困難であるためだという。代行業者自体が仕組みを悪用して摘発された例も出ている。昨年、PayPayの認証コードを他人に提供し、認証代行を行った家族が埼玉県警に逮捕されている。

すべて読む | セキュリティセクション | 犯罪 | セキュリティ | 情報漏洩 |

関連ストーリー：
カイコは｢二段階認証｣を用いて食べられるクワの葉を見分けていた 2020年12月08日
ゆうちょ銀行、不正引き出し多発の「mijica」を廃止する方向 2020年11月09日
PayPayの無料ポイントを現金化したとして、認証代行業の一家3人が逮捕される 2020年10月08日
テレフォンバンキングがリバースブルートフォース攻撃される可能性について 2020年09月18日
PayPayとKyash、LINE Payでもゆうちょ銀行からの不正預金引き出しが発生。Kyashはイオン銀行からも 2020年09月16日
Mozilla、拡張機能開発者に二段階認証の有効化を義務付けへ 2019年12月15日
クロネコメンバーズの二段階認証、スマホ向けログイン画面には実装されていなかった 2019年07月29日
フィッシング詐欺被害にあったにも関わらず被害者ではないとして被害届を受理されないという事案 2019年07月24日
会社の部署ごとに代表電話あり、それを誰かが取って回す作業は国際的には珍しい 2021年05月01日
米連邦最高裁、FTCが詐欺被害者を助ける最も強力なツールを奪う 2021年04月26日

三菱電機製 GOT2000 シリーズ、GOT SIMPLE シリーズの VNC サーバ機能には、パスワード認証回避の脆弱性が存在します。

Everyone online relies on strong encryption for our privacy and security. But federal law enforcement officials keep attacking encryption, seeking backdoor access that would allow the government to scan our messages. This year, we have a chance to fight back.

Rep. Tom Malinowski (D-NJ) and Rep. Peter Meijer (R-MI) have proposed to ban federal funds from being spent on software or hardware that creates security vulnerabilities or weakens end-to-end encryption. Tell your Representative to back the Malinowski-Meijer language in an upcoming appropriations bill.

（更新）オンライン登記申請件数

沖縄で水中の中でも暮らすことのできる新種のムカデが発見されたそうだ。体長約20cm、体幅約2cmほどと大型。水中で暮らせるムカデの発見は国内では初めて、世界で3例目であるという。また国内でのオオムカデ新種は143年ぶりに見つかったとのこと。青緑色をしており、川に飛び込む習性から学名を「Scolopendra alcyona」、和名をムカデにまつわる沖縄の故事から「リュウジンオオムカデ（琉神大百足）」と命名したとしている。日本・台湾に生息するムカデ類では最大種で遺伝子解析の上でも新種であることが判明したとしている（NHK、琉球大学）。

すべて読む | ITセクション | バイオテック | バグ | サイエンス |

関連ストーリー：
20年以上もDNA断片しか知られていなかった生物、海洋に広く分布していた 2021年03月31日
法政大学教授、Twitter投稿写真から新種の海岸性ダニ類を発見。世界初 2021年03月29日
駿河湾深海で発見された新種の巨大深海魚、「ヨコヅナイワシ」と名付けられる 2021年01月28日
日本で発見された新種の寄生バチ、ゴジラと名付けられる 2020年11月08日
魚類で新しい科が新設。通称ドラゴンスネークヘッド科 2020年10月22日
メキシコで発見された新種のハチ、COVID-19にちなんだ学名が付けられる 2020年10月14日

We don’t need government minders in our private conversations. That’s because private conversations, whether they happen offline or online, aren’t a public safety menace. They’re not an invitation to criminality, or terrorism, or a threat to children, no matter how many times those tired old lines get repeated. 

TAKE ACTION

TELL CONGRESS: DON’T SPEND TAX MONEY TO BREAK ENCRYPTION

Unfortunately, federal law enforcement officials have not stopped asking for backdoor access to Americans’ encrypted messages. FBI Director Christopher Wray did it again just last month, falsely claiming that end-to-end encryption and “user-only access” have “negligible security advantages” but have a “negative effect on law enforcement’s ability to protect the public.”

This year, there’s something we can do about it. Rep. Tom Malinowski (D-NJ) and Rep. Peter Meijer (R-MI) have put forward language that would ban federal money from being used to weaken security standards or introduce vulnerabilities into software or hardware.

Last year, the House of Representatives inserted an amendment in the Defense Appropriations bill that prohibits the use of funds to insert security backdoors. That provision targeted the NSA. This year’s proposal will cover a much broader range of federal agencies. It also includes language that would prevent the government from engaging in schemes like client-side scanning or a “ghost” proposal, which would undermine encryption without technically decrypting data.

Secure and private communications are the backbone of democracy and free speech around the world. If U.S. law enforcement is able to compel private companies to break encryption, criminals and authoritarian governments will be eager to use the same loopholes. There are no magic bullets, and no backdoors that will only get opened by the “good guys.”

It’s important that as many members of Congress as possible sign on as supporters of this proposal. We need to send a strong signal to federal law enforcement that they should, once and for all, stop insisting they should scan all of our messages. To get there, we need your help.

TAKE ACTION

TELL CONGRESS: DON’T SPEND TAX MONEY TO BREAK ENCRYPTION