Apple、日本に緊急警告。「価格は下がらず利益86%が中国企業等へ」欧州DMAの皮肉な結末 手数料10%減でも91%が据え置きか値上げ。「競争促進と値下げ」を約束したDMAが招いた最悪のシナリオ Appleは、欧州のデジタル市場法(DMA)が当初の約束を大きく下回り、「消費者を危険にさらし、製品や機能を制限する結果を招いている」と警告した。来月12月18日に全面施行される日本のスマホ新法について、公正取引委員会との協議を続けているという。 欧州でDMAが施行されてから約1年。Appleの新たな調査によると、開発者手数料が平均10ポイント引き下げられたにもかかわらず、90%以上の開発者が価格を据え置くか、むしろ値上げしている。その利益の86%以上がEU域外の企業に流出している。さらにiPhoneミラーリングやApple Intelligenceなどの新機能がEUでは提供できなかったり、遅延

楽天証券は10月10日、新たなリアルタイムフィッシング詐欺の発生を確認したとして、利用者に注意喚起した。ユーザーが入力した認証情報をリアルタイムで窃取し、正規サイトへ即座に不正アクセスすることで、多要素認証を突破する手口だった。 今回のケースは、楽天証券を装ったメールやSMSでユーザーを偽サイトへ誘導し、ログインIDやパスワードを入力させ、そこで窃取した情報を用いて攻撃者がリアルタイムで楽天証券の正規サイトにログイン。要求された追加認証（絵文字）の情報も窃取し、偽サイトに表示してユーザーに入力させる。攻撃者はその情報を用いて正規サイトにログインしたという。 楽天証券は、偽サイトは「正規サイトと見た目では判断がつきづらい」ため、ブラウザ上に表示されるURLが「https://www.rakuten-sec.co.jp/」で始まっているかを確認することを呼び掛けている。 また偽サイトではユーザ

事故増加で7月から飛行機内でのルールも変更に現在急速に増えているのは、主にモバイルバッテリーを中心とした事故だ。7月20日夕方に山手線で発生した火災も、モバイルバッテリーからスマホの充電中に、モバイルバッテリー側が発火したものだ。 東京消防庁によれば、令和6年（2024年）には、住宅火災におけるリチウムイオン充電池火災件数が106件（速報値）となり、急速な拡大が顕著だ。 東京消防庁による、リチウムイオン充電池が関わる火災事故の件数推移。増加傾向にある。画像：東京消防庁のデータを元に、Tech Insiderで作成。航空会社各社も対策に乗り出した。7月8日からは、飛行機内でのバッテリー利用ルールが変わる。 従来はカバンなどに入れ、座席上の収納棚に入れる場合もあったが、今後は認められなくなった。 国土交通省の告知資料より。飛行機内では座席上の収納棚にはモバイルバッテリーを入れられなくなった。出

多くの皆様のお祈りを頂いた教皇選挙が終わりました。前記事でも所感を記しましたが、これまで１２年間にわたり導いてくださった教皇フランシスコに別れを告げ、その直後に今度は新しい牧者としてレオ１４世を選出した枢機卿団の一員として関わらせて頂いたのは、多分、生涯に一度のことであろうと思います。このような場に立ち会うことを許してくださった、いのちの与え主である神様に、感謝しかありません。また教皇フランシスコの永遠の安息のため、そして新しい教皇の誕生のため、世界の多くの方が祈りを捧げてくださいました。教皇選挙に参加した１３３名の枢機卿は、皆、その祈りの力を感じながら、一連の行事に臨みました。皆様に感謝いたします。 さて、教皇選挙の具体的な内容については、書き記すことはできません。システィーナ聖堂（礼拝堂）に枢機卿団が選挙のために入堂する映像が、バチカン放送がそこまでは撮影しましたので、それがいろいろな

トップページ 情報セキュリティ 重要なセキュリティ情報 2025年度 「Active! mail」におけるスタックベースのバッファオーバーフローの脆弱性について（JVN#22348866） 注釈：最新情報は、JVN(JVN#22348866)をご覧ください。 概要 株式会社クオリティアが提供する「Active! mail」は、ウェブメールシステムです。 「Active! mail」には、スタックベースのバッファオーバーフローの脆弱性（CVE-2025-42599）が存在します。 本脆弱性を悪用された場合、遠隔の第三者によって細工されたリクエストを送信され、任意のコードを実行されたり、サービス運用妨害（DoS）状態を引き起こされたりする可能性があります。 同脆弱性を悪用する攻撃がすでに確認されているため、できるだけ早急に、製品開発者が提供する情報をもとに、最新版にアップデートしてください。

はじめに Dockerをよく使う方なら避けては通れない道、Dockerコンテナのセキュリティについてまとめると同時に、Dockerfileのベストプラクティスに焦点を当てていこうと思います！ Dockerのセキュリティとは Dockerのセキュリティとは、Dockerコンテナのビルド、ランタイム、オーケストレーションに関する側面を指します。 これには、Dockerベースイメージのセキュリティ対策、ユーザー権限の管理、Dockerデーモンの設定、コンテナのCPU制御など、ランタイムにおけるセキュリティ対策が含まれます。 さらに、大規模なDockerコンテナのオーケストレーションに関する課題にも対応する必要があります。 では実際にどのように対応していくのか、10項目のベストプラクティスを通して、具体的な対策を学んでいきましょう！ Dockerのセキュリティに関する10項目のベストプラクティス

クレジットカードの利用時における本人確認方法として一般的だった「手書きサイン」が2025年3月末で廃止される。以降はPIN（暗証番号）の入力が原則となる。 この方針は、日本クレジット協会（JCCA）が公表した「クレジットカード・セキュリティガイドライン」に基づくもので、クレジットカード業界全体でのセキュリティ強化を目的としている。 具体的には、カード決済時に店頭での端末操作などで暗証番号の入力をスキップし、サインで本人確認する「PINバイパス」は、2025年3月末をもって原則廃止となる。以降は暗証番号を入力をせず、サインで本人確認する方法は利用できない。 クレジットカードに暗証番号を設定していない場合、3月までに設定を済ませる必要がある。そのため各カード会社は、設定を済ませていないユーザーに対して、暗証番号の設定を呼びかけている。 今回の仕様変更で影響が出る例の1つが、高級レストランなどで

2022年2月にロシアがウクライナへの全面侵攻を開始したその日、アントン氏（仮名）が配備されていた核兵器基地では、完全な戦闘警戒態勢が敷かれた。 「それ以前は、訓練しかしていなかった。でも戦争が始まったその日から、核兵器は完全に、実際に使える状態で用意された」。こう話すアントン氏はかつて、ロシアの戦略的核抑止部隊の将校だった。

本記事のテーマはGitHub Actionsです。個人的に「もっと早く知りたかった！」と考えているグッドプラクティスを、厳選してお届けします。想定読者は次のとおりです。 普段GitHub Actionsを雰囲気で運用している人 GitHub Actionsをコピペや生成AIで乗り切っている人 他者が書いたコードの意味をより深く理解したい人 本記事でGitHub Actionsの基本は説明しません。グッドプラクティスを含めて基礎から学びたい人は、拙著『GitHub CI/CD実践ガイド』を読んでみてください。GitHub Actionsの基本構文から運用のコツまで、網羅的に解説しています。さて書籍紹介はこれぐらいにして、さっそく本題へ進みます。 GitHub Actionsの設計指針 GitHub ActionsはCI/CDや各種自動化で役立つ、汎用的なワークフローエンジンです。一般的に長期

YAPC::Hakodate 2024での発表内容です。 https://yapcjapan.org/2024hakodate/

海上自衛隊の護衛艦隊の10隻以上の艦艇で、安全保障に関わる機密情報「特定秘密」を、資格がない隊員に扱わせるなど違法な状態が続いていたことがわかった。10年近く常態化していた恐れもあり、海自トップの酒…

デジタルペンテスト部の山崎です。 4月から「セキュリティ診断」の部署が「ペネトレーションテスト（ペンテスト）」の部署に吸収合併されまして、ペンテストのペの字も知らない私も晴れてペンテスターと名乗れる日がやってまいりました！（そんな日は来ていない😇） そんなわけで、新しい部署が開設しているブログのネタを探す日々を送っていたのですが、最近、Googleフォームの設定ミスによる情報漏えい事故が増えてきているようです。 どのような設定が問題となっているのでしょうか？ 同じような事故を起こさないよう、設定項目について見ていきたいと思います。 情報漏えいの原因となりうるGoogleフォームの設定について Googleフォームから情報漏えいとなっている事例を見てみると、大きく分けて以下の２パターンのいずれかが原因となっているようです。 １．表示設定で「結果の概要を表示する」が有効に設定されている ある

Intro CSRF という古の攻撃がある。この攻撃を「古(いにしえ)」のものにすることができたプラットフォームの進化の背景を、「Cookie が SameSite Lax by Default になったからだ」という解説を見ることがある。 確かに、現実的にそれによって攻撃の成立は難しくなり、救われているサービスもある。しかし、それはプラットフォームが用意した対策の本質から言うと、解釈が少しずれていると言えるだろう。 今回は、「CSRF がどうして成立していたのか」を振り返ることで、本当にプラットフォームに足りていなかったものと、それを補っていった経緯、本当にすべき対策は何であるかを解説していく。 結果として見えてくるのは、今サービスを実装する上での「ベース」(not ベスト)となるプラクティスだと筆者は考えている。 CSRF 成立の条件 例えば、攻撃者が用意した attack.examp

「行政指導でここまで踏み込んだ文書は、あまり見たことがない。次こそは許しませんよ、というメッセージだろう」 総務省は3月5日、SNS「LINE」や検索サービス「Yahoo! JAPAN」などを運営するLINEヤフーに行政指導を行った。その指導内容を記した文書を見た通信業界関係者は、驚きの声を上げた。 LINEヤフーは2023年9～10月、LINEの利用者や取引先の情報など約51万9000件を外部に漏洩させていた。総務省はこのうち2万件以上が電気通信事業法上の「通信の秘密」の漏洩に当たると判断した。 具体的な指導項目として、LINEヤフーの親会社に50％出資する韓国のIT大手、NAVERとのシステムの切り離しや、グループ全体のセキュリティガバナンス体制の強化などを要請。その取り組み方針などを4月1日までにとりまとめたうえで、今後少なくとも1年間は、四半期ごとに総務省に対応状況を報告することを

なぜ今、ロードスターがアップデート？　そして990Sが消失したワケ：池田直渡「週刊モータージャーナル」（1/5 ページ） 2015年のデビューなのでほぼ9年が経過したマツダ・ロードスターが大幅なアップデートを受けた。と聞いたら、普通はいくつか疑問が出るだろう。 なんで9年も経ってからビッグマイナーチェンジをするの？ ということは次期ロードスターはいったい、いつ出るの？ 何がどう変わったの？ といったあたりだろうか。実は、主たる理由は味も素っ気もない。端的に法適合アップデートである。サイバーセキュリティ法とソフトウェアアップデート法が施行され、継続販売中の車種への移行措置期間が終了。ついに、それらの法に準ずる仕様に変更しないとクルマが販売できなくなった。 余談だが過去、排ガス規制や衝突安全規制、通過騒音規制など数々の規制が少量生産車を殺してきた。台数が少ないと法適合させるコストが見合わない。

freee株式会社 PSIRT マネージャーのただただし氏ただただし氏：freee株式会社のただただしと申します。 今日は、「GitHub Copilot 導入時に考えたセキュリティのあれこれ」ということで、Copilotのセキュリティリスクについて語るわけですが、考えてみたら、GitHubの中の人を前にこんなことをしゃべるのは相当大胆な話だと思います。最後にいいことで締めるのでちょっと我慢してください。 自己紹介をいたします。ただただしと申します。PSIRTという組織でマネージャーをやっています。PSIRTというのは、プロダクト専門のセキュリティチームです。 そこでプロダクトの安全を守る仕事をしているわけですが、いろいろなことをやりつつ、この1、2年ちょいちょい話題に上がっていますが、freeeの大規模な全社障害訓練の仕掛け人なんかをしたり。 あとは、freeeは先日OSSポリシーを公開

Hello,World! gonowayです。 弊社がご支援するお客様とお話するなかで、多要素認証のためにIDaaSが提供しているアプリケーション（以降、認証アプリ）を私物モバイル端末にいれていいのか？という疑問に、わたしたちが普段お客様にご案内していることをざっくりまとめてみました。 3行まとめ 現代では外部の不正ログインから守るために多要素認証が必須になってきている。 多要素認証の実現のため、会社モバイル端末であれ私物モバイル端末であれ認証アプリはインストールしてほしい。 私物モバイル端末にインストールしてもらう場合、エンドユーザーへの説明を行うことが必要。また、ガラケーしか持っていないような例外措置への対処を考えることも必要。 前提 認証要素について 認証要素は下記の3種類です。NIST SP800-63を参考にしています。 記憶によるもの：記憶(Something you know

CVSS（Common Vulnerability Scoring System）は、脆弱性管理における基本的な仕組みとして広く利用されており、業界全体のデファクトスタンダードになっています。CVSSはFIRST（Forum of Incident Respones and Security Teams）内に設置されたCVSS-SIG（Special Interest Group）1によって策定され、2023年7月現在の最新バージョンは3.1となっています。2023年6月に次バージョンである4.0のパブリックプレビュー版2が公開されており、寄せられたコメントをレビュー・反映した後、2023年10月を目途にバージョン4.0の公開が予定されています。本稿ではパブリックプレビュー版に基づいて、現行のバージョン3.1との変更点を解説します。また、SSVC（Stakeholder-Specific