This is open-source software written by hobbyists, maintained by a single volunteer, badly tested, written in a memory-unsafe language and full of security bugs. It is foolish to use this software to process untrusted data. As such, we treat security issues like any other bug. Each security report we receive will be made public immediately and won't be prioritized. これは趣味人たちによって開発され、たった一人のボランティアによっ

ITライター・スマホ安全アドバイザー。スマホ、SNS、Webサービスなど、身近なITに関する記事を執筆している。初心者がつまずきやすいポイントをやさしく解説することに定評がある。中高生のスマホ事情にも詳しく、二人の娘を持つ母親でもある。 ...続きを読む 近頃、利用しているWebサービスやアプリから「パスキーを設定しましょう」と案内される機会が増えてきているのではないでしょうか。しかし「パスキーは本当に必要？」「パスワードより本当に安全なの？」と疑問を抱く人も多いはず。そこで、本記事ではパスキーの仕組みや登録方法を解説します。 パスワードのままだと危ない？ パスワードは、誕生日や「1111」といった単純で推測しやすいものや、同じものを使いまわしている場合、不正ログインされるリスクが高まります。また、自身が十分に注意していても、企業がハッキングされてパスワードが漏えいするケースもあります。

パスワードに代わる安全な認証手段として注目を集めているパスキー。普及が期待されているこの技術は本当に素晴らしいものですが、そこにはあるリスクが存在します。「X」が発表した“要請”からそれをひもときましょう。 脆弱（ぜいじゃく）性の放置や設定ミス、ネットワーク機器からの侵入など、組織におけるセキュリティの勘所はたくさんあります。この辺りに関しては多くの読者が「セキュリティの人の仕事」と認識しているかもしれません。では、普通の人の（セキュリティの）仕事は？　今のところはフィッシング対策だと思っています。 フィッシングは電子メールやSMS、偽広告など、入り口となるところがたくさんあります。それらを使って偽のWebサイトに誘導し、偽のフォームにID／パスワードを入れさせます。二要素認証も「リアルタイムフィッシング」を使い、巧みにワンタイムパスワードを盗み、正規のWebサイトにログインします。絶対に

資産運用サービスを提供するウェルスナビは2025年9月25日、資産運用サービス利用者のセキュリティ意識に関する調査結果を公表した。対象は全国の20～50代の利用者1052人で、フィッシングを契機とした証券口座の不正アクセス被害が拡大する中、利用者の意識や対策の実態を把握することを目的としている。 証券口座の乗っ取り被害の増加で対策を講じるユーザーは増加 調査によると、証券口座の乗っ取り被害の増加を受けてセキュリティを重視する度合いが「少し高くなった」と答えた人は41.9％、「とても高くなった」と答えた人は24.7％に上り、合わせて66.6％が意識の変化を示した。資産を守るために「セキュリティの知識を深めたい」と回答した人は74.5％に達し、利用者の関心の高まりが浮き彫りになった。 新たな対策を講じた人の中では、「多要素認証を設定した」が43.9％で最多となり、「メール内のリンクやファイルを

Googleは2025年10月2日（現地時間、以下同）、「Gmail」におけるクライアントサイド暗号化（Client-side encryption：CSE）機能の拡張を発表した。「Google Workspace」のCSEを利用するユーザーは、エンド・ツー・エンド暗号化（E2EE）メールを、他のメールサービスを利用している相手に送信できるようになった。これまで同機能は、主にGoogle Workspace内でのやりとりに限定されていたが、今回の変更で通信範囲が広がり、より柔軟な暗号化通信が可能となった。 Gmail、外部サービス宛てE2EE送信に対応 E2EEで送信されるメールは、受信者がGmail以外のアドレスを使用している場合でも、安全に閲覧できる。受信者には通知が送信され、案内に従って「ゲストアカウント」として制限付きのGmail環境にアクセスすることで、暗号化されているメッセージ

グーグルは、2つの異なる脆弱性が実際に悪用されている兆候を認め、すべてのAndroidユーザーに対して重大な警告を発した。今月のセキュリティアップデートは深刻なものであり、グーグルは対象となるすべてのPixelデバイスに迅速な修正を適用する予定である。 悪用が確認された2つの深刻度の高い脆弱性（CVE-2025-38352およびCVE-2025-48543）は、それぞれAndroidカーネルとAndroidランタイムに影響する。例によって、グーグルはこの初期段階で具体的な技術詳細を公表していない。 このほかにも、4つの緊急性の高い修正（CVE-2025-48539、CVE-2025-21450、CVE-2025-21483、CVE-2025-27034）がある。最初の脆弱性はAndroidシステムの問題で、残る3つはクアルコム製チップセットと、それに対するメーカーからの修正リリースに関連す

組織を標的にしたサイバー攻撃といえば「ランサムウェア」が最大の脅威のように思えますが、最近注目を集める（集まってほしい）のが、「インフォスティーラー」と呼ばれるマルウェアです。立て続けに報道されたオンライン証券会社の不正取引の一部がこのインフォスティーラーによる被害ではないかと見られており、個人／法人を問わず、攻撃が実行されている……のかもしれません。 金融庁が発表している「インターネット取引サービスへの不正アクセス・不正取引による被害が急増しています」という注意喚起が、2025年8月7日に更新されました。これを見ると、2025年7月の不正アクセス件数、不正取引件数は確かに減少しています。 これは証券各社が二要素認証を必須としたことが功を奏したと考えたいところですが、それでも年初の件数からは激増と言えるレベルの数をキープしています。まだ、何かが足りないようです。今回は、SBテクノロジーの辻

英国メディアの「Daily Star」は2025年8月29日（現地時間）、英国立サイバーセキュリティセンター（NCSC）が公表したガイダンスを基に、AppleおよびMicrosoftのPC利用者に対し、セキュリティ機能の有効化を促す注意を伝えた。 PCおよびノートPCの個人情報や金融データが、対策を怠ることで不正ソフトウェアによって危険にさらされる可能性があると警告している。 今すぐ標準アンチウイルス機能を必須化せよ　NCSCが強く推奨 NCSCはマルウェアが、デバイスやその内部データに損害を与える仕組みを説明し、これを防ぐ手段としてアンチウイルスソフトの導入と更新を推奨している。 NCSCのガイダンスで、多くのアンチウイルス製品はマルウェアを検出し、隔離もしくは削除することで被害を防ぐ仕組みを持ち、最新の脅威に対応するため自動的に更新される設計になっていると説明する。「Windows」お

グーグル脅威インテリジェンスグループ（Google Threat Intelligence Group、GTIG）が、同社のデータベースの1つがハッキング攻撃を受け、その結果ユーザーデータが盗まれたことを正式に認めた。現時点で判明していることは以下のとおりだ。 グーグル本体にハッキング被害──ユーザーデータが侵害されたこれは、ウェブブラウザグーグルChromeに緊急のセキュリティ更新が必要だという警告でも、グーグルアカウント保護のためにパスワードからパスキーへ切り替えるべきだという話でもない。表題のとおり、グーグルがハッキングされたという事実である。 情報源は？ グーグル自身だ。 米国時間8月5日のGTIGの投稿は、グーグルのデータベースの1つが、ランサムウェア集団ShinyHunters（シャイニーハンターズ）に関係していると見られるハッカーにより影響を受けたことを認めた。この集団は正式

Scattered Spider（スキャタード・スパイダー、「散らばった蜘蛛」）とは、今日の様々な組織が直面している最も危険な脅威の1つに与えられた、やや柔らかい響きの名前だ。小売業や航空業界などを標的とした壊滅的な攻撃の背後にいるとみられるランサムウェア攻撃者で、その活動は衰えを見せていない。ただし最近になって、多数の攻撃については同グループが実行犯ではない可能性が報じられている。 この点については後で説明するが、連邦捜査局（FBI）と米国サイバーセキュリティ・インフラセキュリティ庁（CISA）が共同で発行したサイバーセキュリティ勧告を更新し、重要な新警告を出した──「パスワードをリセットしてはならない」。以下では、FBIの最新警告と進行中のScattered Spiderの脅威、そしてその他の危険なランサムウェア集団がもたらす脅威について、知っておくべきポイントを示す。 FBIの「パス

iPhoneなどのApple製品を利用するにはApple Accountの登録が必要となり、これを運用している人も多いでしょう。Appleは比較的早い段階で「2ファクタ認証」と呼ぶ、いわゆる二要素認証を必須に近い形で設定させていたので、それなりにフィッシングには強いのではないかと思っていました。しかし、最近では「リアルタイムフィッシング」と呼ばれる、攻撃者が偽のWebサイトに入力させた二要素認証のワンタイムパスワードなどを中継して破る手法が広がっています。そのため、残念ながら多くのサービスでセキュリティを強化するための二要素認証が突破可能になってしまっています。 問題はスマートフォンのOSと密接に関わるApple Accountや「Google アカウント」「Microsoft アカウント」を奪われてしまうと、OSに保存したパスワード類も不正に“同期”ができてしまうことでしょう。加えて、メ

おなじみのサインイン画面が現れ、ドキュメントを開いたりメールにアクセスしたりするためにパスワードの入力を求められる――あまりに日常化しているため、私たちは無意識に操作を続けてしまう。だがグーグルは、こうした習慣は危険であり、放置すればアカウントを失いかねないと警告する。 グーグルによれば、Gmail ユーザーの大多数は依然としてパスワードや二要素認証（2FA）といった旧来のサインイン方式に頼っている。一方、FBIは「昨年のオンライン詐欺被害額は過去最高の166億ドルに達し、わずか1年で33％増加、しかも手口は一段と巧妙化している」と警告する。つまり攻撃に気づく頃には手遅れになりがちだ。 筆者がこの憂慮すべき統計を最初に報じた際、グーグルは「アップグレードの警告は正しいが、さらに踏み込む必要がある」と語った。問題はGmailにとどまらず、グーグルのサインインでアクセスできるすべてのアカウント

携帯電話を乗っ取られ、口座から約１千万円もの出金被害を受けた会社経営の男性。「被害に遭わないための教訓にしてほしい」と話す＝神戸市中央区 見知らぬ誰かが自分のスマートフォンを勝手に解約していた。７月下旬、神戸市の会社経営の男性（６０）は何者かに携帯電話を乗っ取られた上、銀行の預金口座から現金１千万円を引き出された。携帯電話会社や銀行に問い合わせると、自分の運転免許証が勝手に偽造され、誰にも教えていないはずの暗証番号が解読されていた。男性は悲嘆に暮れる。「いったい何が起こったのか」（竜門和諒、井沢泰斗） ■アンテナが立っていない！？ 昼過ぎまで、携帯電話は普通に使えていた。午後３時４５分ごろだった。ポケットからスマホを取り出し、電話をかけようとした。だが、通話音がしない。画面を見ると、アンテナマークが１本も立っていなかった。 契約しているＫＤＤＩ（ａｕ）は７月上旬に大規模な通信障害を起こして

プラットフォーマーによるスマートフォンのアプリストアの寡占に関する問題がかねて取り沙汰されている。日本政府も公正競争重視の姿勢から、アプリストア外からアプリをインストールする「サイドローディング」の義務化を検討している。だがサイドローディングはスマートフォンのセキュリティーを弱めるという別の大きな問題を引き起こすだけに懸念も少なくない。 日本でも容認に向け議論が始まったサイドローディング スマートフォンが多くの人の生活に深く浸透したこともあり、モバイルOSを有するプラットフォーマーによるサービスの寡占と、それによる公正競争上の問題が指摘されるようになって久しい。とりわけ注目を集めているのは「App Store」や「Google Play」などアプリストアでの公正競争に関する問題で、その決済手数料を巡る動向については本連載でも幾度か取り上げてきている。 だが2022年に入り、決済手数料より一