iPhoneやApple Watchを襲う「MFA爆弾」相次ぐ　パスワードリセット通知を大量送付、乗っ取りを狙う

2024/04/11 31 users iPhone MFA 洪水 Apple Watch 他人

iPhoneやApple Watchを襲う「MFA爆弾」相次ぐ　パスワードリセット通知を大量送付、乗っ取りを狙う：この頃、セキュリティ界隈で 他人のiPhoneやApple Watchを狙ってパスワードのリセット通知を大量に送り付けるフィッシング詐欺攻撃が相次いで報告されている。「MFA爆弾」「MFA疲労」（MFA：多要素認証）と呼ばれる洪水... 続きを読む

はてなへのログインがパスキーと多要素認証に対応しました。 - はてなブログ開発ブログ

2024/03/25 20 users ハスキー はてな 平素 フィッシング ログイン

平素より、はてなブログをご利用いただきありがとうございます。 はてなIDが「パスキー」「多要素認証」を利用した認証に対応しました。 ユーザー設定画面より本機能を有効としていただくことで、ログイン時における第三者からの不正ログインやフィッシング、なりすましなどのリスクの低減が期待できます。 是非ご利用下... 続きを読む

はてなへのログインがパスキーと多要素認証に対応し、よりセキュアになりました - はてなの告知

2024/03/25 129 users 平素 セキュア 認証 告知 ハスキー

2024/3/25 17:37 追記 Firefox と1Password の組み合わせを利用していた場合、パスキーの生成が失敗する不具合が発生しておりました。現在は修正済みです。ご不便おかけし申し訳ございませんでした。 本文 平素よりはてなをご利用いただきありがとうございます。 はてなIDが「パスキー」「多要素認証」を利用した認証に... 続きを読む

徳丸氏が探る“認証”の今――サイバー攻撃の認証突破テクニック、フィッシング、そして対抗策とは

2024/02/20 66 users フィッシング 徳丸氏 アイティメディア 対抗策 認証

徳丸氏が探る“認証”の今――サイバー攻撃の認証突破テクニック、フィッシング、そして対抗策とは：ITmedia Security Week 2023 冬 2023年11月28日、アイティメディアが主催するセミナー「ITmedia Security Week 2023 冬」の「多要素認証から始めるID管理・統制」ゾーンで、イー・ガーディアングループCISO（最高情報セキュ... 続きを読む

多要素認証を私物スマホでやっていいのか問題

2023/09/29 240 users 私物スマホ 問題 IDaaS アプリケーション なか

Hello,World! gonowayです。 弊社がご支援するお客様とお話しするなかで、多要素認証のためにIDaaSが提供しているアプリケーション（以降、認証アプリ）を私物モバイル端末にいれていいのか？という疑問に、わたしたちが普段お客様にご案内していることをざっくりまとめてみました。 3行まとめ 現代では外部の不正ログイ... 続きを読む

Cisco、多要素認証のないVPNを狙うランサムウェア「Akira」を報告

2023/09/11 11 users AKIRA MFA Cisco VPN ランサムウェア

Cisco、多要素認証のないVPNを狙うランサムウェア「Akira」を報告：攻撃方法の詳細は分析中 Cisco Systemsは2023年8月24日（米国時間）、多要素認証が設定されていないCisco VPNを標的にしたランサムウェア「Akira」の攻撃で、同社顧客のシステムが被害を受けたと発表した。 VPNの実装、利用において多要素認証（MFA）を... 続きを読む

多要素認証を回避する中間者攻撃フィッシングが急増

2023/03/15 15 users

続きを読む

MFA（多要素認証）でさえ突破されている～WebAuthnがおすすめな理由 #1～ | LAC WATCH

2023/03/09 10 users MFA WebAuthn LAC WATCH 理由

フィッシングに遭っても、パスワードが漏れても、比較的安全な方法があったとしたら気になりませんか？ この記事では、Webアプリケーションにおける認証について、特にB to Cに的を絞ってお届けしたいと思います。B to Cサービスを提供する方を読者として想定していますが、利用する側の方も知っておいて損はありません... 続きを読む

パスワード管理/MFA管理の戦略

2022/11/27 299 users 戦略 TOTP MFA パスワード管理 Yubikey

自分のパスワードやMFA(多要素認証)の管理方法についてまとめた記事です。 パスワード管理とTOTP(Time-based One-time Password)の管理として1Passwordを使い、MFA(多要素認証)の2要素目としてYubiKeyを2枚使っています。 パスワード管理とMFA管理を安全で使いやすくするのはかなり複雑で難しいため、完璧にやるのが難し... 続きを読む

多要素認証(MFA)を回避するサイバー攻撃が流行、Microsoftが警告

2022/11/25 10 users MFA theft Microsoft 警告 トークン

Microsoftはこのほど、「Token tactics: How to prevent, detect, and respond to cloud token theft - Microsoft Security Blog」において、認証に用いられるトークンの盗難が急増していると伝えた。組織が多要素認証(MFA: Multi-Factor Authentication)の適用範囲を拡大するにつれ、サイバー攻撃者は企業のリソースを... 続きを読む

二要素認証（TOTP）のトークンをどこに保存するか問題 - @kyanny's blog

2022/11/25 87 users 1Password TOTP トークン 二要素認証 問題

2 要素認証に 1Password を使うのはよく考えてから | はったりエンジニアの備忘録 AWSの多要素認証に1passwordが使えたけど使っちゃダメだと思った話 - Qiita TOTP のトークンを 1Password に保存するのはセキュリティ強度を弱めるので良くない、という話は知ってたので避けてたのだけど、ちょっとよくわからなくなって... 続きを読む

GTA新作リークに使われた“多要素認証疲れ”攻撃とは　1時間以上通知攻め、従業員の根負け狙う

2022/09/27 450 users セキュリティ界隈 不正侵入 各社 ネットワーク 根負け

GTA新作リークに使われた“多要素認証疲れ”攻撃とは　1時間以上通知攻め、従業員の根負け狙う：この頃、セキュリティ界隈で 米Uber Technologiesやゲームメーカーの米Rockstar Gamesのネットワークが不正侵入を受け、情報が流出する事件が相次いだ。各社とも多要素認証で従業員のアカウントを保護していたが、攻撃者はプ... 続きを読む

Microsoft Teamsの認証トークンが平文で保存されていることからアカウント乗っ取りの危険性があると研究者が警告

2022/09/15 10 users 認証トークン 警告 Microsoft Teams 平文 おん

オンラインビデオ会議ツール「Microsoft Teams」のデスクトップアプリで、認証トークンや多要素認証(MFA)をオンにしたユーザーアカウントに攻撃者がアクセスできる深刻なセキュリティ脆弱(ぜいじゃく)性があることが分かりました。 Undermining Microsoft Teams Security by Mining Tokens https://www.vectra.ai/blogpo... 続きを読む

MFA（多要素認証）を突破するフィッシング攻撃の調査 | セキュリティ研究センターブログ

2022/08/15 144 users MFA フィッシング攻撃 調査

はじめに 弊社では、最近BEC（ビジネスメール詐欺）のインシデント対応を行いました。この事案に対応する中で、マイクロソフト社（*1）やZscaler社（*2）が22年7月に相次いで報告したBECに繋がる大規模なフィッシングキャンペーンに該当していた可能性に気づきました。マイクロソフトによると標的は10,000 以上の組織で... 続きを読む

「多要素認証」を破る大規模フィッシング、1万社以上のMicrosoft 365利用企業を襲う

2022/07/27 14 users

米Microsoft（マイクロソフト）は2022年7月中旬、大規模なフィッシング攻撃（フィッシング詐欺）が展開されているとして注意を呼びかけた。対象はMicrosoft 365（旧称Office 365）を利用する企業や組織。2021年9月以降、1万を超える企業や組織に対して攻撃が行われているという。 この攻撃の特徴は、大規模なことに加え... 続きを読む

Office 365のアカウントを多要素認証すら回避して乗っ取るAiTMフィッシング攻撃が1万以上の組織を標的にしていたとMicrosoftが公表

2022/07/13 16 users 標的 Microsoft 公表 組織 アカウント

Microsoftのセキュリティ研究チームが、HTTPSプロキシ技術を使ってOffice 365アカウントを乗っ取る大規模なフィッシング攻撃キャンペーンである「Adversary-in-the-Middle(AiTM)」が確認できたと発表しました。この攻撃は多要素認証を回避することが可能で、2021年9月以来1万以上の組織が標的になっているとのことです。... 続きを読む

WebAuthnをエミュレートするWebアプリの開発 - SSTエンジニアブログ

2022/02/18 13 users WebAuthn Zap SSTエンジニアブログ SST 開発

こんにちは、SSTでWeb脆弱性診断用のツール(スキャンツール)開発をしている坂本(Twitter, GitHub)です。 最近 WebAuthn *1 を触る機会がありました。 WebAuthnを使うと、Webアプリのログインで指紋認証や顔認証など多要素認証を組み込むことが可能となります。 一方で脆弱性診断の観点から見ると、burpやzapなどのスキャ... 続きを読む

狙われるワンタイムパスワード、多要素認証を破る闇サービスが浮上

2021/11/04 212 users 浮上 セキュリティ界隈 攻撃 不正アクセス アカウント

狙われるワンタイムパスワード、多要素認証を破る闇サービスが浮上：この頃、セキュリティ界隈で（1/2 ページ） 不正アクセスを防ぐ対策の代表である、多要素認証。ワンタイムパスワードを実装する例が多いが、この仕組みを突破しようとする攻撃が増えつつあるという。 ネット上のアカウントに対する不正アクセスを防ぐ... 続きを読む

情報流出を招いた富士通「ProjectWEB」は多要素認証なし、難航する原因特定 | 日経クロステック（xTECH）

2021/08/19 11 users xTech ProjectWEB MFA 富士通 顧客

富士通が運営するプロジェクト情報共有ツール「ProjectWEB」が不正アクセスを受け顧客の情報が流出した問題で、同ツールに多要素認証（MFA）が実装されていなかったことが日経クロステックの取材で2021年8月20日までに分かった。 日経クロステックが入手したProjectWEBの「利用者操作手引き」によると、システム開発など... 続きを読む

「パスワード」を複雑にしても無意味、多要素認証とSSOが課題を解決 | 日経クロステック（xTECH）

2021/06/29 12 users SSO xTech 日経クロステック 課題 マイクロソフト

長らく利用者に負担を強いてきたパスワード。ついに「個々のサービスごとに推測されにくい文字列を覚えておく」といった負担から解放されそうだ。 米Microsoft（マイクロソフト）は2021年3月に開催されたIT管理者向け会議「Ignite 2021」で、「Azure Active Directory（AAD）」におけるパスワードレス認証の正式対応を発... 続きを読む

IDaaSベンダのOkta、月間1万5000アクティブユーザーまで無償の「Okta Starter Developer Edition」提供開始。多要素認証にも対応、開発者向け施策を拡大 － Publickey

2021/04/07 11 users Publickey OKTA 一環 無償 拡大

IDaaSベンダのOkta、月間1万5000アクティブユーザーまで無償の「Okta Starter Developer Edition」提供開始。多要素認証にも対応、開発者向け施策を拡大 代表的なIDaaSベンダの1つであるOktaは、開発者向け施策拡大の一環として無償利用の範囲を拡大した「Okta Starter Developer Edition」の提供開始を発表しました。 T... 続きを読む

ハッカーがたったの月額1700円で他人のSMSを乗っ取りWhatsAppなどのアカウントを侵害した方法とは？ - GIGAZINE

2021/03/16 16 users ハッキング ジャーナリスト GIGAZINE 友人 ハッカー

携帯電話やスマートフォンの電話番号を利用してテキストメッセージを送受信できるショートメッセージサービス(SMS)は、友人などと連絡する際に使うことができるだけでなく、ネットサービスやアプリの多要素認証にも使用されます。ところが、ハッキングやプライバシー問題を手がけるジャーナリストのJoseph Cox氏が、「た... 続きを読む

多要素認証でも防げないクラウド攻撃出現、「最高謝罪責任者」を用意するベンダーも | 日経クロステック（xTECH）

2021/01/26 23 users xTech ベンダー ＣＩＳＡ 日経クロステック クラウド

米国土安全保障省のサイバーセキュリティー・インフラストラクチャー・セキュリティー庁（CISA）は2021年1月中旬、クラウドサービスを狙ったサイバー攻撃が相次いでいるとして注意を呼びかけた。多要素認証を破られたケースもあったという。 セキュリティーの専門家は、「クラウドだから安全」と考えて適切な設定や運用... 続きを読む

ドコモ口座不正に全額補償求める　金融庁、銀行監督指針で（共同通信） - Yahoo!ニュース

2020/12/18 11 users 全額補償 ドコモ口座 預金 Yahoo 金融庁

NTTドコモの電子マネー決済サービス「ドコモ口座」などを悪用した預金の不正引き出し問題を受け、金融庁は17日、原則として被害を全額補償するよう銀行と資金移動事業者に求める方針を固めた。来年3月までに銀行監督指針を改正し、明記する。「多要素認証」と呼ばれる厳格な本人確認も義務付ける。 決済サービスを提供す... 続きを読む

金融庁「本人確認が不十分ならサービス停止を」　銀行と決済事業者へ要請　相次ぐ不正引き出し受け - ITmedia NEWS

2020/09/16 18 users 要請 プロセス 口座振替 口座 金融庁

金融庁は、銀行口座と決済事業者のアカウントを連携して口座振替を行う際、多要素認証を実施するなど本人確認のプロセスで脆弱性がないか確認するよう要請。脆弱性を確認した場合はワンタイムパスワードなどを導入し、取引時確認の体制を強化するよう求めた。本人確認に脆弱性がある間は、新規の口座連携や口座への入金... 続きを読む