Security

中国の浙江大学、香港中文大学、米シカゴ大学による研究チームは、自動運転車に搭載されるカメラをレーザー光で攻撃し、信号機の認識を錯覚させる方法を実証し、脆弱性を指摘した論文を発表した。

英オックスフォード大学の研究チームは、電波を使い、画像認識システムをだまして存在しないものを見せる手法を提案した研究報告を発表した。例えば真っ黒であるカメラフレームに文字を浮かび上がらせることなどができる。

イスラエルにあるBen-Gurion University of the Negevの研究者は、インターネットに接続されていない「エアギャップ・ネットワーク」内のコンピュータから機密データを盗む攻撃を説明した研究報告を発表した。

東海大学に所属する研究者らは、QRコードへのレーザー照射により、任意のタイミングで悪性サイトへ誘導可能な偽装QRコードを生成する方法を提案した研究報告を発表した。

スマートフォンに内蔵されたマイクで録音したMacBook Proのキーボードの音から、95％もの精度で入力内容を盗み出すことができたと、イギリスの研究チームが発表しました。ビデオ会議を録音した内容からでも93％の割合でデータを再現できたことから、機械学習の進歩により音を使ってパスワードや重要なデータを盗む技術「音響サイドチャネル攻撃(Acoustic Side Channel Attack)」が、従来より格段に危険性を増していることが指摘されています。

イスラエルのネゲヴ・ベン・グリオン大学に所属する研究者らは、スマートフォンと接続する周辺機器などの電源LED（電源ランプ）をカメラで撮影し、その映像を解析することでその機器から暗号化キーを盗む攻撃を提案した研究報告を発表した。

香港大学や清華大学に所属する研究者らは、ミリ波（mmWave）信号から音声を認識するストリーミング自動音声認識（ASR）システムを提案した研究報告を発表した。

中国の湖南大学、シンガポールの南洋理工大学などに所属する研究者らは、Wi-Fiハードウェアをハッキングすることなく、Wi-Fi経由でスマートフォンのキーストロークからパスワードを特定する攻撃を提案した研究報告を発表した。

　カリフォルニア大学サンタバーバラ校(UC Santa Barbara)の研究チームは11日(米国時間)、Wi-Fiの信号を使って物体の形を推測する技術を考案した。壁越しでの読み取りも可能だという。

SlashNextはこのほど、生成AIがサイバー攻撃者によって、高度で真偽判断の難しい詐欺に悪用されている実態を報告した。攻撃者は「WormGPT」というChatGPTに似たシステムのセーフティ機能を回避して犯罪に悪用しているという。

米カリフォルニア大学サンタバーバラ校に所属する研究者らは、Wi-Fi信号のみを使用して壁越しの静止物体の高品質なイメージングを可能にするシステムを提案する研究報告を発表した。

アメリカのガソリンスタンドではワイヤレスで給油操作を行っていますが、そこに目を付けた悪知恵の働く誰かさんが、Bluetoothで無線をハッキングする手法を編み出してしまいました。

米ワシントン大学と米Microsoftに所属する研究者らは、部屋内で話す人々の位置を特定し、その音声を分離するための小型の移動式音響ロボット群を提案した研究報告を発表した。

強力な「Dropbox詐欺」が現れた。これまでのビジネスメール詐欺と比べると検出が難しく、よりだまされやすくなっている。どのように対応すればよいのだろうか。

SNSのプロフィール欄などにメールアドレスをそのまま載せると、スクレイピングにより収集されて迷惑メールを送られるなどの被害に遭ってしまうため、「abc123☆mail.com(☆をアットマークに置き換えてください)」というような難読化がよく使われています。しかし、このテクニックはChatGPTで簡単に回避できてしまうと、AIツールの開発者が指摘しました。

　東京大学大学院 情報理科工学系研究科の坂田康亮特任研究員と高木剛教授は、量子コンピュータも解読できないほどのポスト量子暗号において、暗号解読のためのアルゴリズムを考案し、次世代暗号解読コンテストである「MQチャレンジ」において「これまでに解かれたことがない次元の暗号解読」の世界記録を達成したという。

　米連邦捜査局（FBI）のインターネット犯罪苦情センター（IC3）は9月29日、「ファントムハッカー詐欺」について注意喚起を行いました。手口としてはサポート詐欺を進化させたもので、存在しないハッカーをでっち上げて詐欺を仕掛けることから、ファントム（幻の）ハッカー詐欺と呼ばれています。

東海大学に所属する研究者らは、最大100m離れた場所からQRコードに不可視光レーザーを照射し、偽装QRコードに変更する手法を提案する研究報告を発表した。ユーザーが攻撃中のQRコードをスキャンすると、悪性サイトへ誘導されるリスクがある。

Apple、Intel、AMD、NVIDIA、Qualcomm、Armといった主要なサプライヤー6社のGPUを対象とした攻撃「GPU.zip」を発見したと、テキサス大学オースティン校の研究者らが発表しました。この攻撃によって、他のウェブサイトで表示されるユーザー名やパスワードなど個人情報のビジュアルデータを悪意のあるウェブサイトが読み取れるようになるとのことです。

<small>2022年10月6日の記事を編集して再掲載しています。</small> 待って! その画像には脅威が潜んでいるかも。ウイルス、フィッシング詐欺、安全でないWi-fiの利用、怪しいUSBメモリなど、デバイスとデータの安全を脅かす危険はたくさんあります。今回は、あまり知られていない脅威の1つ、マルウェア埋め込み画像についてご紹介します。一見、何の変哲もないデジタル写真にもマルウェア

SSHは暗号や認証技術を利用して安全にリモートコンピュータと通信するためのプロトコルですが、その通信の開始時に行うRSA署名の際に計算エラーが発生するとSSH秘密鍵が解析されてしまうことが実証されました。

　シンガポールのセキュリティー企業は2024年2月中旬、ユーザーの「顔情報」を盗むモバイルマルウエアを報告した。盗んだ顔情報を使ったディープフェイクで、他人の銀行口座から金銭を盗むという。どんなマルウエアなのだろうか。

開発者がアプリを実験的にリリースするための仕組み「TestFlight」等を悪用して端末に侵入する史上初のiOS版トロイの木馬が発見されました。報告によると、「GoldPickaxe」と名付けられた当該マルウェアは、被害者の銀行口座から資金を引き出すために利用されるそうです。

ウェブサイトにログインしたり問い合わせフォームを送信したりすると、「私はロボットではありません」といった文言のボット排除システム「CAPTCHA」に遭遇しがちです。CAPTCHAでは「バスを含む画像をクリック」などの問題が出題されますが、「バスの画像を正しく選択しているはずなのに人間と認めてもらえない！」という事態が頻繁に発生します。無料のブラウザ拡張機能「Buster」を使えば、ワンクリックでCAPTCHAを突破できるとのことなので、実際に使ってみました。

最近見つけた現象で既に論じられているかと思ったがちょっと解説が見つからなかったのでまとめておく。手短にX(旧Twitter)クライアントで表示されるTwitterカードについてカードに表示される…

いなげややオートバックスセブンの2次元バーコード読み取りで発生した事件には、実は根深い問題が隠れていると筆者は考えます。企業はこれにどう対処すればいいのでしょうか。

<small>2023年1月17日の記事を編集して再掲載しています。</small> FBIは、頑なにその方法について口を割らないんです。｢Tor｣は｢The Onion Router｣の略で、匿名化されたブラウザのこと。これを使うと、通信経路を匿名化してIPアドレス（ネット上の自分の住所のようなもの）を知られることなくサイトの閲覧ができます。闇サイトの閲覧などに使われることがあります。そんな

カードキーシステムに存在する脆弱(ぜいじゃく)性を悪用してロックを解除する攻撃手法「Unsaflok」が発表されました。Unsaflokの攻撃対象となるカードキーシステムは日本を含む世界中のホテルで使われており、300万枚以上のドアが攻撃の影響を受けるとされています。

この記事の概要ユーザーから嫌われている広告の1つに「スワイプ広告」というものがある。誤タップをしやすいことが理由だが、あまりにもこの広告だけ誤タップするため調べたところ実は誤タップしたように見…

いわゆる振り込め詐欺の手口は、いつの時代にも手を替え品を替え新しい手法が開発され続けてきているが、今年3月にはこれまで聞いたことがない手口の詐欺事件が発覚した。女性のマイナンバーカードの情報を元にネットバンキング口座を無断で作り、そこに本人に現金1400万円を振り込ませたという。

2024年3月29日、Linux向け圧縮ユーティリティとして広く利用されているXZ Utilsに深刻な脆弱性 CVE-2024-3094 が確認されたとして、研究者やベンダがセキュリティ情報を公開しました。この脆弱性は特定の条件下においてバックドアとして悪用される恐れがあるものとみられており、当該ソフトウエアのメンテナのアカウントにより実装されたソフトウエアサプライチェーン攻撃の可能性が指摘されています。ここでは関連する情報をまとめます。 脆弱性の概要 xzとは主要なLinuxディストリビューションに含まれる汎用的なデータ圧縮形式で、今回問題が確認されたのはその圧縮・解凍ユーティリティであるl…

2023年7月にTwitterがXに改名してからも「twitter.com」というURLがそのまま使われてきましたが、iOS版アプリにおいて、投稿内にある「twitter.com」が「x.com」に自動的に置き換えられる施策が始まりました。しかし、自動的に変換しているだけなので、この変換機能を悪用したフィッシングの試行があり、機能はわずか2日ほどで停止となっています。

歯ブラシの中にはBluetoothや無線LANでネットワークに接続して「歯をどれだけ磨けたのか」といった情報を記録するものがあります。こうしたスマート歯ブラシに悪意のある人物がマルウェアを仕込む可能性があるとして、セキュリティ企業Fortinetのステファン・ズーガー氏が警告しました。

中国の華中科技大学などに所属する研究者らは、スマートフォンによる指紋認証時の摩擦音を録音し解析することで、その指紋を復元する自動指紋識別システム（AFIS）へのサイドチャネル攻撃を提案した研究報告を発表した。

LINEは日本を中心に使われているメッセージングアプリであり、運営企業のLINEヤフーの親会社であるAホールディングスは、日本のソフトバンクと韓国のNAVERが半分ずつ株式を保有しています。歴史的経緯から外交的緊張が走りやすい日韓関係において、LINEを取り巻く状況は日韓の協力体制の象徴的意味合いを持っていますが、近年は再びLINEの所有権を巡る緊張が走っているとアメリカの日刊紙であるニューヨーク・タイムズが報じました。

AmazonのクラウドサービスであるAmazon Web Services(AWS)とオーストラリア政府が2024年7月4日に、20億オーストラリアドル(約2170億円)の契約を締結し、国家安全保障および防衛向けの「最高機密(TS)クラウド」を構築する計画を明らかにしました。

DATA INSIGHTは、最前線で活躍する「人」や、最先端の「テクノロジー」動向の発信を通じ、あなたが今必要としている情報を届け、共に未来のイノベーションを起こすための源となるプラットフォームです。

2018 年 7 月 12 日に、ESLint 開発チームが管理する npm パッケージに悪意あるコードが挿入されるセキュリティ インシデントがありました。ESLint からのアナウンス: htt…

KADOKAWAグループのニコニコ動画などがランサムウェア攻撃を受けた事件について、NewsPicksが交渉内容を暴露する記事を出した。交渉中のタイミングで報じることは、企業の判断や行動を制限しかねない。対策にめどが立った段階まで待つべきではないだろうか。

ゆうちょ銀行は、Xで掲載していた広告に他金融機関の貯金通帳の画像が含まれていたと発表した。

　「404 Not Found」ページを悪用したサイバー攻撃が確認されたという。

Malwarebytesは9月27日(米国時間)、起亜(KIA)が2013年以降に製造したほぼすべての自動車に脆弱性が存在したと報じた。この脆弱性を悪用されると、ナンバープレートさえわかれば、自動車の主要な機能を遠隔操作が行える可能性がある。脆弱性は自動車ではなく、ディーラー専用サイトに存在した。

各サービスで電話番号宛のSMS認証が当然となった現代、携帯電話回線は非常に高い価値を持っています。そんな電話回線をSIMカードごと奪う「SIMハイジャック（SIMスワップ）」という犯罪手法が海外で報告されていますが、最近は日本でも被害報告をチラホラと聞くようになっています。そんな...

米国立標準技術研究所（NIST）が、組織はユーザーに定期的なパスワード変更を要求してはならないという内容を含めた新しいガイダンスを発表した。

<small>2022年12月16日の記事を編集して再掲載しています。</small> みなさんは広告ブロッカー、使ってますか？凶悪犯罪の捜査で忙しいはずの米連邦捜査局（FBI）が、公式サイトで広告ブロッカーを使用するように呼びかけました。広告ブロッカーはネット詐欺防止に効果的GoogleやBingなどの検索結果にブランドや企業の広告が表示されるじゃないですか。インターネット犯罪苦情センターに

私たちが毎日無意識に行っている呼吸。この一見何の変哲もない日常の動作が、実は最先端の科学技術のキーポイントになると言ったら、驚くでしょうか？ 吐き出される空気は個々人の気管や喉といったや物理的情報なを内包しており、これが新世代の個人認証技術に利用できるというのです。 インド工科大学（IITS）の研究チームは、人々の呼吸パターンを高精度センサーで測定し、そのデータを用いて人工知能（AI）を訓練することで、新しいタイプの個人認証システムを開発しました。 息を吹きかけるだけで自分を証明する日が来るのでしょうか？ 研究内容の詳細は2024年1月2日にプレプリントサーバーである『arXiv』にて公開さ…

Googleが提供するウェブブラウザの「Google Chrome」には、ブラウジングを便利にするさまざまな拡張機能を追加できる「Chromeウェブストア」が存在します。スタンフォード大学のセキュリティ専門家チームが、Chromeウェブストアから入手した拡張機能が原因で、数億人ものユーザーがマルウェアに感染していることを報告しています。

インターネット上の意見に政府の圧力がかかるのは70カ国中53カ国、監視干渉行為をしない国は日本を含めてたった4カ国。ネット上の自由に迫る「影」は着々と広がり続けている。

FIDO認証のセキュリティキーとして人気のYubiKeyに脆弱(ぜいじゃく)性があることが判明したと、セキュリティ企業のNinjaLabが発表しました。脆弱性を突いた攻撃には高度な知識と高価な設備が必要ですが、YubiKeyはファームウェアの更新ができないため、バージョン5.7より前の製品はすべて永久に脆弱なままとなります。

ReversingLabsは1月23日(米国時間)、JavaScriptのパッケージ管理システム「npm」から悪意のある2つのパッケージを発見したとして、注意を喚起した。これらパッケージが悪用されると、開発者のSSH秘密鍵が窃取される危険性がある。

米マサチューセッツ大学アマースト校などに所属する研究者らは、他人のクレジットカードを用いてデジタルウォレットを介して商品を購入する攻撃を示した研究報告を発表した。

　「やじうまの杜」では、ニュース・レビューにこだわらない幅広い話題をお伝えします。

中国船舶科学研究センターとその傘下の深海有人潜水艇国家重点実験室が、水深4000メートルまで対応した深海ケーブル切断装置を開発しました。鋼鉄、ゴム、ポリマーの被覆で覆われた装甲ケーブルを切断可能で、海底採掘やサルベージ作業などに利用できる民生用の機器であるとのことです。