このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 X： ＠shiropen2 米UCバークレーや米カーネギーメロン大学などに所属する研究者らが発表した論文「Pixnapping: Bringing Pixel Stealing out of the Stone Age」は、Androidデバイスにおける新たな脅威として、画面上のピクセル情報を盗み取る攻撃手法「Pixnapping」を提案した研究報告だ。 この攻撃は、Androidの基本的な機能を巧妙に悪用することで成り立っている。Androidでは、アプリ同士が「インテント」という仕組みを使って連携できる。攻撃者は、この正規の機能を使って標的となるアプリを起動し、その上に透明ま

This is open-source software written by hobbyists, maintained by a single volunteer, badly tested, written in a memory-unsafe language and full of security bugs. It is foolish to use this software to process untrusted data. As such, we treat security issues like any other bug. Each security report we receive will be made public immediately and won't be prioritized. これは趣味人たちによって開発され、たった一人のボランティアによっ

河川 @kasen728 えっ？私が買ったばかりの電話番号って、以前は誰かが使っていたんですか？どうしてそんなことがあるんでしょう？日本ではよくあることなんですか？ pic.x.com/KWLG9yaKEx 2025-08-27 14:22:30 河川 @kasen728 今日、イオンの会員登録をしようとしたところ、「この番号はすでに登録されています」というポップアップが表示されました。 それで、以前LINEを登録したときにも同じようなことがあったのを思い出しました。 おそらく私は、以前この番号を使っていた日本人の携帯番号を引き継いでしまったのでしょう。 もしかすると、その人はすでに亡くなっているのかもしれません。 そう考えると、私はその人の“存在の記憶”の一部を奪ってしまったような気がして、少し悲しくなりました。 2025-11-07 17:50:55

グーグルが、オンライン上の詐欺やサイバー犯罪について新たな警告を公開した。その中には、VPNアプリに関する警告も含まれている。「脅威アクターは、正規のVPNサービスを装った悪意のあるアプリケーションを配布しています」。悪意のあるVPNアプリの多くは、信頼されている企業向け・消費者向けのVPNブランドになりすますか、ソーシャルエンジニアリングの誘い文句を用いる。 欧米のポルノ規制の強化が、VPN利用者の急増を招く米欧の立法当局は、アダルトサイトの全面遮断、またはコンテンツにアクセスする利用者に対して本人確認・年齢確認を厳格化する流れにある。今や、数億人規模のスマートフォン利用者がポルノの禁止や制限の対象だ。 この動きは、インターネットがどのように機能しているのかという点において、根本的誤解に基づく措置といえる。またこれは、何百万人もの自由に対して深刻な影響を長期的に及ぼす。短期的にも重大な脅

世界最大級のポルノサイト「Pornhub」が、英国からの訪問者が7月と比較して77％減少したと主張している。英BBCが10月31日に報じた。英国の「オンライン安全法（Online Safety Act）」に基づいた厳格な年齢チェックを実施した影響という。Pornhubは、オンライン安全法を無視しているポルノサイトが恩恵を得ているとも指摘している。 ユーザーがVPNアプリを利用し、所在地を隠し始めたアダルトサイトの利用者であれば、状況は一変したと言ってよい。これまで好きな場所で、好きなデバイスでコンテンツを視聴できていた自由が、初めて制限されつつある。イギリスからの訪問者に関する新たなデータは、規制措置によってサイトのトラフィックが激減すると示している。 しかし、実際に起きていることは異なるようだ。どうやら事実は、何百万人もの人々が所在地を隠すためにVPNアプリを使い始めていることと、無料V

日本経済新聞社は4日、業務の一部で利用しているビジネスチャット「Slack（スラック）」が外部から不正にログインされ、社員や取引先などの情報が流出した疑いがあると発表した。社員の個人保有のパソコンがウイルス感染し、スラックの認証情報が流出。この情報をもとに社員のアカウントに不正にログインしたとみられる。日経は9月に被害を把握し、パスワードを変更するなど対策をとった。流出した可能性のある情報は

Hello there, ('ω')ノ 1. きっかけは“なんとなく”の調査 研究者は特に大がかりな準備をしていたわけではなく、Slackのサブドメイン（slackb.com）を確認中に「もしかして…」と気軽に試したのが始まりでした。 👉 ハッカー的思考ポイント 「大手サービスでも古い脆弱性は残っているかもしれない」という直感を持ち、深く掘らずともまずは試してみることが重要です。 2. CL.TE型リクエスト・スマグリングの実行 彼が投げたリクエストはシンプルでした： POST / HTTP/1.1 Host: slackb.com Content-Length: 13 Transfer-Encoding: chunked 0 GET /some/endpoint HTTP/1.1 X-Test: value Akamai（フロントのリバースプロキシ） → Content-Length

アサヒグループホールディングスのシステム障害は発生から1カ月を経ても受注や出荷、経理などで影響が続き、完全復旧のめどはいまだ立たない。同社はコンピューターウイルス「ランサムウエア」への感染が原因と説明している。専門家からは企業がデジタルトランスフォーメーション（DX）を進め、ITシステムを統合する潮流が、影響の広がりや復旧の難しさにつながっている可能性が指摘される。 アサヒは現在、システムによる受注や出荷ができないため、電話やファクスなどで取引先からの注文を受け付けている。出荷量は限られ、一部の飲食店や小売り各社との共同開発商品の供給などで支障をきたし、欠品や品薄が続く。 「外部の専門家とも協力し、一刻も早い事態の収束に向けた対応を行っている」と広報担当者は語るが、出口はみえていない。経理関連データにも障害が生じ、11月中旬予定の2025年1～9月期連結決算発表も延期となり、未定のままだ。

米X（旧Twitter）は10月27日（現地時間）、2要素認証（2FA）の方法としてセキュリティキーを使用しているすべてのアカウントに対し、11月10日までにセキュリティキーを再登録するよう、公式アカウントで求めた。 期日までに再登録されない場合、関連するアカウントは更新が完了するまでロックされる。 Xは「この変更はセキュリティ上の懸念とは関係なく、YubiKeyやパスキーにのみ影響し、他の2FAには影響しない。2FA方式として登録されたセキュリティキーは現在、twitter.comドメインに関連付けられている。セキュリティキーを再登録すると、x.comに関連付けられるようになり、Twitterドメインを廃止できるようになる」と説明した。

2025年8月にアメリカのラスベガスで開催された世界最大級のセキュリティイベント・DEF CON 33で、量子コンピューティングおよびサイバーセキュリティの第一人者として知られるコンスタンティノス・カラギアニス氏が、「ポスト量子パニック：暗号解読はいつ始まるのか、検知は可能か？」というプレゼンテーションを実施しました。 DEF CON 33 - Post Quantum Panic: When Will the Cracking Begin, & Can We Detect it? - K Karagiannis - YouTube 量子コンピューターがRSA暗号や楕円曲線暗号(ECC)を解読してしまう日は遠くありません。そのため、アメリカ国立標準技術研究所(NIST)は「2035年までにポスト量子暗号への移行完了」を推奨していますが、実際にはあと5年しか猶予はない可能性があります。 カラ

通販大手のアスクルは19日、コンピューターウイルス「ランサムウエア」の感染によるシステム障害が発生し、商品の受注や出荷を停止したと発表した。影響範囲を調査している。

NISTはパスワードポリシーに関するガイドラインSP800-63Bを更新した。従来のパスワード設定で“常識”とされていた大文字と小文字、数字、記号の混在を明確に禁止し、新たな基準を設けた。 米国国立標準技術研究所（NIST）は、パスワードポリシーに関するガイドライン「NIST Special Publication 800-63B」（以下、SP800-63B-4）を更新した。SP800-63B-4では認証方式やパスワード管理の在り方を実質的に改訂しており、ただ新しい要素を追加したのではなく、これまで「推奨（should）」とされていた事項を「必須（shall）」へと格上げし、旧来の慣行の一部を明確に禁止した。 従来のパスワードの常識は“崩壊”している　NISTが定める新要件とは？ SP800-63B-4は主に政府機関や認証サービス提供者（Credential Service Provide

［８日　ロイター］ - アサヒグループホールディングス(2502.T), opens new tabのシステム障害を引き起こしたサイバー攻撃を巡り、世界各国の主要企業などに侵入してきたランサムウエア（身代金要求型ウイルス）グループ「Qilin」が７日、犯行声明を出した。 Qilinはアサヒグループの内部文書とする２９枚の画像をウェブサイトに公開した。約２７ギガバイトのデータに相当する９３００以上のファイルを盗んだと主張している。

証券会社の顧客口座が乗っ取られた事件で、口座への不正アクセスに一般家庭のテレビ用受信機が悪用された疑いがあることが捜査関係者への取材で分かった。サイバー犯罪集団のアクセスを経由する「踏み台」となった可能性がある。警察当局は一部の受信機を回収し、実態解明を進める。証券口座が乗っ取られ株式が無断で売却・購入される被害は2025年に入り目立ち始め、1〜8月の不正売買は累計約6770億円に上る。顧客の

2025年に入ってから日本の証券口座を狙ったインターネット取引サービスに対する不正アクセスや不正取引が急増しているとして、金融庁や日本証券協会は利用者に注意を呼び掛けています。ここでは関連する情報をまとめます。 2024年末から被害急増 国内の複数の証券会社で不正取引の被害が相次いでいる。これは、何者かが証券会社のインターネット取引サービスに不正アクセスし、顧客の資産を勝手に売却したり株式を購入したりするもの。 2025年3月に入ると、SNS上で楽天証券の被害に関する投稿 *1が話題となり、同社も不審なメールへの注意を呼びかけたうえで、3月23日からリスクベース認証を導入した。*2 楽天証券は、この不正取引について2024年末からフィッシング詐欺の増加や被害が確認されていたことを明らかにしている。*3 SBI証券でも同年3月、中国株を利用した不正取引が確認されており、件数は楽天証券より少な

経済産業省は9月9日、報道におけるソフトウェアなどの脆弱性情報の取り扱いについて、改めて「情報セキュリティ早期警戒パートナーシップガイドライン」に即した対応を求める声明を出した。8月28日に共同通信が報じた「FeliCa」の事例が念頭にあるとみられる。 このガイドラインでは、発見された脆弱性情報は関係者の間のみで管理され、検証と対策実施が済んでから公表する手順になっている。脆弱性が悪用される可能性を低減させるための措置だ。 しかしFeliCaの件では、IPAやソニーが脆弱性に関する情報を公開していなかったにも関わらず、脆弱性の発見者に取材した報道機関が大々的に報じた。発見者は7月に脆弱性について報告していた。 経産省は、脆弱性の発見者はIPAへの届出を行い、正当な理由がない限り関連情報を第三者に開示しないこと、正当な理由により開示が必要な場合でも、事前にIPAに相談するように求めた。併せて