パスワードを忘れた? アカウント作成
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30
2020年6月11日のセキュリティ記事一覧(全4件)
14208337 story
バグ

雇用調整助成金のオンライン受付システムの不具合、「戻る」で他社の情報を閲覧できる状態に 25

ストーリー by hylom
網羅的なテストは大変だ 部門より

公開後すぐに不具合が発生したために停止され、その後再公開されるもまたすぐ不具合が確認されて再び停止していた厚生労働省の雇用調整助成金オンライン受付システムだが、再停止になった原因はWebブラウザで特定の画面を閲覧中に「戻る」操作を行うと特定の事業者の申請内容を表示するようになっていたためだという(ITmediaNHK日経xTECH)。

表示される情報には役員や従業員の氏名、生年月日、給与、法人の口座情報などが含まれていたとのこと。申請書類をダウンロードすることもできたようだ。厚生労働省はテストが不十分だったとしており、また不具合があるとして停止された最初のバージョンでもこの不具合が発生していた可能性が高い。

このシステムは富士通が約1億円で受注したもので、開発・保守・テストをそれぞれ3社に外注していた。

14208381 story
ゲーム

ニンテンドーネットワークIDへの不正アクセス、約30万件 4

ストーリー by hylom
不正アクセスしてもあまり旨味はなさそうではあるが 部門より

Anonymous Coward曰く、

ニンテンドー3DSやWii Uなどのネットワークサービスで利用されている「ニンテンドーネットワークID」に対し不正アクセスがあり、合計で約30万件のアカウントで情報漏洩の可能性があることが分かった(ITmediaニュースリリース)。

4月には約16万件のアカウントで情報漏洩の可能性があるとの発表がされていたが、今回調査の結果追加で約14万件のアカウントでも情報漏洩の可能性があることが分かったという。クレジットカード情報の漏洩はないものの、「全体の1%未満」のアカウントで不正な取引が行われた痕跡が見つかったという。

任天堂によると、任天堂以外のサービスから漏洩したIDとパスワードを使ってログインが試行されていたという。なお、任天堂の最新ゲーム機であるNintendo Switchやスマートフォン、PCから任天堂のネットワークサービスを利用する場合、ニンテンドーネットワークIDではなく「ニンテンドーアカウント」を利用するようになっている。以前はニンテンドーネットワークIDを使ったニンテンドーアカウントへのログインも可能だったが、この不正アクセス問題を受けてこの機能は停止されている。

14208390 story
音楽

ソニーの複数のBluetoothヘッドホンに脆弱性、第三者によって音量変更などの操作が行われる恐れ 23

ストーリー by hylom
耳への物理攻撃が可能に 部門より

ソニーのBluetooth接続ヘッドホンで、第三者がペアリングして外部からヘッドホンを操作できる脆弱性が見つかった。これにより、利用者が意図しない音量変更などの操作が行われる可能性があるという(INTERNET WatchJVN#67447798)。

すでに問題となっている製品向けにはセキュリティアップデートが提供されている

14208583 story
お金

Braveブラウザー、検索ボックスの入力補完候補にアフィリエイトコード入りURLを提示して批判される 25

ストーリー by hylom
マネタイズ圧力がかかってきているのだろうか 部門より

headless曰く、

Braveブラウザーの検索ボックスに特定のURLを入力すると、入力補完の候補にアフィリエイトコード入りのURLが提示されることが発覚した(Android PoliceThe VergeSoftpediaブレンダン・アイク氏のツイート)。

最初に問題化したのは暗号通貨取引サイトBinanceのURLを入力したときの動作だ。「bina」ぐらいまで入力するとアフィリエイトコード入りのURLが提示されるが、「binance.com」または「binance.us」まで入力するとアフィリエイトコード入りのURLが第1候補として選択された状態になる。そのため、別の候補を選択しない限り、Enterキーを押すとBraveのアフィリエイトコード入りURLに移動する。付加されるアフィリエイトコードはBinanceの紹介プログラムのもので、紹介者は紹介したユーザーの取引手数料の一部を受け取ることが可能になるという。

Braveは3月にBinanceとの提携を発表し、新規タブページから直接暗号通貨の取引を行える仕組みを導入している。入力候補へのアフィリエイトコード追加はその一環だったようだが、Brave Software CEOのブレンダン・アイク氏は誤った判断だったとして修正を約束している。アイク氏によればサーチエンジンと提携したブラウザーが検索クエリにアフィリエイトコードを含めることにヒントを得たとのことだが、入力したURLに何かを付加するべきではなかったとのこと。

なお、Binanceとは違って第1候補にはならないようだが、Ledgerなどの暗号通貨取引サイトのURLを入力した場合にもアフィリエイトコード入りのURLが提示される。ただし、アイク氏はLedgerの件は知らないと説明し、すべてのアフィリエイトコードを自動補完のデフォルトから削除すると述べている。

ちなみに、Braveの設定画面の「デザイン」(brave://settings/appearance)で「Show Brave suggested sites in autocomplete suggestions」をオフにすれば、未訪問のアフィリエイトコード入りURLは入力候補に表示されなくなる。

typodupeerror

アレゲはアレゲを呼ぶ -- ある傍観者

読み込み中...