はてなブックマーク

脆弱性っぽい挙動を見つけたときの 倫理的な行動とは？ 2025-11-29 まっちゃ139勉強会 はせがわようすけ 長谷川陽介(はせがわようすけ) @hasegawayosuke  (株)セキュアスカイ・テクノロジー 取締役CTO  セキュリティ・キャンプ協議会代表理事  千葉大学 非常勤講師 最近の興味関心領域は哲学・倫理学 webブラウザーやwebアプリケーションに関する多数の脆弱性を発見。 Black Hat Japan 2008、韓国POC 2008、2010、OWASP AppSec APAC 2014他講演や記事執筆も多数。 https://utf-8.jp/ ※本内容は個人のものであり所属する組織の見解ではありません 2025-11-29 まっちゃ139勉強会 https://utf-8.jp/ お断り  特になにかの結論がある話をするわけではありません  倫理学

「業務改善とは人間の弱さと向き合う仕事」と語るのは、大阪の警備会社であるアースセキュリティの中西さやか氏だ。だからこそ同氏は、kintoneを導入するも、現場の警備員に“使ってもらうのをあきらめ”、DXを一人で抱え込まずコミュニティに助けを求めた。 サイボウズの年次イベント「Cybozu Days 2025」において、この1年で最も優れたkintone事例を決める「kintone AWARD 2025」が開催された。 4番手に登壇したアースセキュリティの中西氏は、巨大ホワイトボードで現場の管理をするようなアナログ業務を改善し、年1500時間の削減を達成した、kintone＋αによるDX施策ついて披露した。 年間1000時間を浪費する「5メートルのドン引きホワイトボード」 アースセキュリティは大阪を拠点とする警備会社だ。その事業は、工事現場での交通誘導をはじめ、施設やイベントの警備、防犯カメ

他人名義の証券口座を乗っ取り、特定の企業の株式の売買を繰り返して株価をつり上げた上で売り抜けたとして中国籍の会社社長ら2人が逮捕された事件で、2人が株価が安く、変動しやすい「低位株」と呼ばれる株式をね…

2025年11月4日、日本経済新聞社は同社社員個人が保有するPCがマルウェアに感染し、端末から認証情報が流出したために、同社が業務で利用しているビジネスチャットツール「Slack」へ不正ログインが発生したと公表しました。ここでは関連する情報をまとめます。 私物PCマルウェア感染によりSlackの認証情報流出 マルウェアの感染が確認されたのは日本経済新聞社社員が個人で保有するPC。この感染を介して、Slackの認証情報が流出した。Slackへの不正ログインはこの流出した認証情報が悪用されたと同社はみている。 同社が不正ログインを把握したのは2025年9月頃。その後パスワードの変更などの措置を講じている。 流出した可能性のある情報として、同社が説明したのはSlack上に登録されていた社員、取引先の1万7368人分の氏名、メールアドレス、チャット履歴など。*1 同社は報道・著述目的の個人情報は漏

sponsored JN-DMD-IPS14WXをレビュー このちょうどいいサイズ感を待ってた！16：10の14型（1920×1200ドット）を2画面搭載するモバイルディスプレー sponsored シャドーAIの可視化と利用制御、DLPによる機密情報漏洩防止も可能な「FortiSASE」 病院から患者の個人情報漏洩！ “AI世代”研修医が引き起こしたシャドーAI事故……どうやったら防げた？ sponsored CData SyncのCDCでクラウドDWHの真の実力を開花させる 「データは昨日のまま」で大丈夫？　クラウドDWHのデータパイプラインを刷新して、意思決定の「速さ」を手に入れる sponsored 日本市場の声を反映したカスタマイズも アップル愛に満ちた開発者が手掛けた「子供のため」のiPadケース、日本の教育市場に向けて展開 sponsored LEVEL-R889-LC265

中国によるClaude悪用サイバー攻撃をAnthropicが報告　どうAIをだましたのか？：悪用された最近のAIモデルが持つ3つの特徴・機能とは Anthropicは、2025年9月に検知した「極めて高度なサイバースパイ活動」とそのサイバーセキュリティへの影響についてまとめたレポートを発表し、その概要を公式ブログで紹介した。 Anthropicは2025年11月14日（米国時間）、同年9月に検知した「極めて高度なサイバースパイ活動」とそのサイバーセキュリティへの影響をまとめたレポート「Disrupting the first reported AI-orchestrated cyber espionage campaign」（初めて報告されたAI主導型サイバースパイ活動の阻止）を発表し、その概要を公式ブログで紹介した。 同社は、今回紹介するサイバー攻撃について「人間が実質的に介入することな

OpenAIが一部のユーザーの名前やメールアドレス、位置情報などを含む個人情報が流出したことを発表しました。流出はOpenAIが使用していたデータ分析サービス「Mixpanel」のセキュリティインシデントが原因で、OpenAIのシステムそのものが攻撃されたわけではないとのことです。 What to know about a recent Mixpanel security incident | OpenAI https://openai.com/index/mixpanel-incident/ Mixpanelはユーザーの製品使用状況を分析できるサービスで、OpenAIはAPI製品の使用状況分析にMixpanelを用いていました。このMixpanelが2025年11月9日に外部からの不正アクセスを受け、顧客識別情報や分析情報を含むデータセットが外部に流出したことが判明しました。OpenAI

キャッシュレス式の“コインロッカー”から荷物を取り出そうとしたところ、通信障害で開けられず、JR大阪駅に荷物を置いて帰宅せざるを得なかった――11月24日未明にXに投稿された、そんなエピソードが注目を集めた。投稿者は、コールセンターの対応時間外だったこと、東京行きの終電が5分後に迫っていたことなどから荷物の回収を断念。荷物は後日、郵送で受け取ったという。 騒動の中心になったのは、SPACER（東京都中央区）が展開する完全キャッシュレス仕様のスマートロッカーだ。交通系ICカードまたはiOS／Androidアプリを“鍵”として支払い・預け入れ・受け取りができる他、アプリで会員登録を行えば、空きロッカーの検索や事前予約、他の会員への“鍵”の共有にも対応する。 昨今、こうしたスマートロッカーはもはや珍しくない。同様の事態に遭遇したとき、利用者はどう対応すべきか。トラブルの経緯と、もしものときにユー

米OpenAIが11月27日（日本時間）、ユーザー情報が漏えいした可能性があると発表した。原因は、同社がAPIの利用状況を分析するために使っていたツール「Mixpanel」。提供元の米Mixpanelが不正アクセス被害に遭い、影響を受けたという。 漏えいした可能性がある情報は、API用アカウントにひも付く名前やメールアドレス、ブラウザ情報から取得したおおよその位置情報、アカウントにアクセスするために使ったOSとブラウザ、アカウントにひもつけられたユーザーIDなど。件数は明らかにしていない。 OpenAIのシステムは影響を受けておらず、ChatGPTとのやりとりや認証情報、支払い情報は漏えいしていないとしている。 Mixpanel社が事態を把握したのは11月9日。攻撃者の不正アクセスにより、顧客情報などが一部取得されたことを判明したという。OpenAIにも事態を知らせ、25日には取得された可

Taking down Next.js servers for 0.0001 cents a pop👤 Alex Browne    🗓️ 26 Nov 2025    ⏳5 min read TL;DRWe discovered an unauthenticated DoS vulnerability that crashes a self-hosted Next.js server with a single HTTP request and negligible resources. The attack can be prevented by a reverse proxy that limits request size; rate-limiting alone is not sufficient protection. The vulnerability was initi

2025 年 11 月 27 日開催 Japan Microsoft Endpoint Configuration Manager UG の Active Directory 勉強会 第 6 回目 「Active Directory セキュリティについて学ぶ回」 の講演資料です。

カミナシの認証認可ユニットでソフトウェアエンジニアをやっているトモ=ロウです。 先日、過去に弊社で行った共通ID基盤構築プロジェクトに関するブログ記事を公開したのですが、お読みいただけたでしょうか？まだ読んでいない方は是非ご一読ください！ スタートアップがゼロから作る共通ID基盤：立ち上げ〜ID統合まで道のり（前編） - カミナシ エンジニアブログ スタートアップがゼロから作る共通ID基盤：ID統合のその先へ（後編） - カミナシ エンジニアブログ さて、今回は前半に「認証認可完全初心者だった自分が如何にしてID基盤構築プロジェクト完遂に貢献するに至ったか」という視点で僕がどのように認証認可の学習をしてきたかについてお話しします。そして後半は「今から学習し直すならどうするか」というテーマで現時点で僕の考える最速の「知の高速道路」を紹介してみようと思います。 前回の記事が少し硬めの感じになっ

JR東日本は11月27日、問い合わせ窓口「JR 東日本お問い合わせセンター」のオペレーターがネット上で不適切な投稿を行っていたと発表した。該当のオペレーターは、電話番号検索サイトにアクセスし、問い合わせをした顧客に関する不適切な投稿をしていた。同社は「このような行為は顧客の信頼を著しく損なうもの」とし、謝罪している。 該当のオペレーターは、JR東日本の業務委託先であるNEC関係会社の従業員。このオペレーターは2024年3月～25年8月の間、受電業務用端末から電話番号検索サイトにアクセスし、245件の電話番号の口コミ欄に、合計290件の不適切な投稿を書き込んでいた。 JR東日本は、これらの投稿は全て削除済みで、他の電話窓口での同様の事象は確認されていないと説明。再発防止策として、オペレーターへの教育や全従業員対象のコンプライアンス研修でこの事象に関する再教育をする他、受電業務用端末から電話番

システム障害が発生したのは、9月29日の7時ごろだった。ただ、確認できる範囲では、その約10日前から、不穏な動きが見られていた。具体的な日時は特定できていないが、外国の攻撃者が、アサヒグループ内の拠点にあるネットワーク機器を経由して侵入していたのだ。 その後、攻撃者は同社の主要データセンターに入り込み、「パスワードの脆弱性」を突いて管理者権限を奪取。奪取したアカウントを使いネットワーク内を探索し、主に業務時間外の誰も気づかないであろう深夜や早朝に、幾度となく複数のサーバーへの侵入と偵察を繰り返していたことが確認されている。 そして9月29日7時頃、攻撃者は一部のデータを暗号化することで、システム障害を引き起こした。 同日11時頃、アサヒグループは被害を最小限に留めるためにネットワークを遮断し、データセンターの隔離措置を講じている。ただ、その時にはすでに、認証サーバーからランサムウェアが一斉

Android Studio Otter の最新 Gemini 機能 / Latest Gemini features in Android Studio Otter

システム開発などを手掛けるXenon（群馬県太田市）は11月26日、クマの目撃情報や痕跡、被害情報を誰でも投稿・閲覧できる地図サービス「くまっぷ」を正式リリースしたと発表した。 地図上の該当する場所をクリックし、フォームで日時や内容、画像などを投稿すると、報告の種類によって異なるマークが地図上に表示される仕組み。自治体などの導入を想定し、通常の投稿と区別できる公式投稿マークなどを用意した他、既存システムと連携するためのAPIも用意する。 今後の機能拡張として、蓄積された目撃情報や痕跡情報をもとに熊出没の傾向などを可視化する分析ダッシュボード、特定エリアに投稿があった際に担当者に自動で通知する機能などを提供する計画だ。 秋田県の「クマダス」など独自の熊出没マップを提供している自治体も多いが、Xenonは「そのため情報が分散している」と指摘。くまっぷを「将来的に自治体が公式情報を住民に届けるた

先日久々にセキュリティーキー「Yubikey（ユビキー）」の話を聞いた。米国とスウェーデンに本社を置くYubico（ユビコ）が珍しく発表会を開催したためだ。内容はサブスクリプション型でYubikeyを提供する「Yubikey as a Service」を日本でも本格展開し、より小規模の事業者向けに200ユーザーからでも利用できるようにするというものだった。