既に対抗する話がでてましたか。
>原文は 7/23 ですが、26日には攻撃は不可能ではないという記事も出ているのがあったり、色んな人が反応しているようです。
先に書いた通り、ヒューマンエラー対策には、u2f(ユビキー)のような機械に頼るのも間違いではないんですよね。
ただ実際としてヒューマンとわかれば、自分自身の問題ということになるので・・・。
そして、おっしゃる通り、機会は少なからず破られる可能性があるということです。
まーあまり言ってると、みんなで石器時代になるしかなくなる（笑
Topic: [セキュリティ] 事例、情報まとめスレッド - page 5. (Read 23851 times)
有用そうなGoogleのフィッシング対策の記事が見つかったので投稿しますよ 
。
Google社員のフィッシングを0にした物理キー。
Google社員はもう1年以上、被害ゼロ。秘密はセキュリティキーにあり
https://www.gizmodo.jp/2018/08/google-employees-secret-to-never-getting-phished-is-using-physical-security-keys.html
。Google社員のフィッシングを0にした物理キー。
Google社員はもう1年以上、被害ゼロ。秘密はセキュリティキーにあり
https://www.gizmodo.jp/2018/08/google-employees-secret-to-never-getting-phished-is-using-physical-security-keys.html
投稿ありがとうございます。Krebs の記事を翻訳したものが記事になっていたようですね。
原文は 7/23 ですが、26日には攻撃は不可能ではないという記事も出ているのがあったり、色んな人が反応しているようです。
https://blog.knowbe4.com/yes-googles-security-key-is-hackable
私自身も u2f(ユビキー)使ってますが、nannaさんが仰るように最後は個人に行き着きますし、普及すればするほど u2f も攻撃の対象になってくると思うので、常に新しいものを追いかけ続ける必要があると考えています。
FIDO U2Fですか？最後は結局物に頼らないといけないところなのですが、
フィッシングの始まりは自分自身なんですよね。警戒を最大にしても巧なものには気が付かないという。
相手も、あの手この手ですし、どんどん巧妙になるわけですし。
しかし、逆にゼロになる前に、どんだけでどんな被害があったのかが知りたいものです。
Googleですからね、気になりいますよね。
フィッシングの始まりは自分自身なんですよね。警戒を最大にしても巧なものには気が付かないという。
相手も、あの手この手ですし、どんどん巧妙になるわけですし。
しかし、逆にゼロになる前に、どんだけでどんな被害があったのかが知りたいものです。
Googleですからね、気になりいますよね。
有用そうなGoogleのフィッシング対策の記事が見つかったので投稿しますよ 。
Google社員のフィッシングを0にした物理キー。
Google社員はもう1年以上、被害ゼロ。秘密はセキュリティキーにあり
https://www.gizmodo.jp/2018/08/google-employees-secret-to-never-getting-phished-is-using-physical-security-keys.html
。Google社員のフィッシングを0にした物理キー。
Google社員はもう1年以上、被害ゼロ。秘密はセキュリティキーにあり
https://www.gizmodo.jp/2018/08/google-employees-secret-to-never-getting-phished-is-using-physical-security-keys.html
スレッドも立てられていましたが、Bancor が1350万ドルの盗難被害に遭い、大きなニュースになっています。
スレッド: https://bitcointalksearch.org/topic/bancor-25-2018-07-09-4634308
CNBC: https://www.cnbc.com/2018/07/10/bancor-security-breach-13point5-million-worth-of-cryptocurrency-stolen.html
スレッド: https://bitcointalksearch.org/topic/bancor-25-2018-07-09-4634308
CNBC: https://www.cnbc.com/2018/07/10/bancor-security-breach-13point5-million-worth-of-cryptocurrency-stolen.html
Coinrailに続き、韓国大手のBithumbがやられてしまったようですね。被害額は3100万ドルほどと見込まれています。
https://www.bloomberg.co.jp/news/articles/2018-06-20/PALNLM6TTDS301
https://www.coindesk.com/bithumb-exchanges-31-million-hack-know-dont-know/
https://www.bloomberg.co.jp/news/articles/2018-06-20/PALNLM6TTDS301
https://www.coindesk.com/bithumb-exchanges-31-million-hack-know-dont-know/
しばらく休暇でしたので、２週間分振り返りを書きます。
まず、Bithumb のインシデントは 45% を回復できたという記事が出ていましたね。その後追いかけきれていませんが、どこかに詳報がありましたらぜひお寄せください。
http://digitalmoneytimes.com/bithumb-hack-update-cryptocurrency-exchange-recovers-45-of-stolen-coins/
それから、フィッシング系の記事が幾つか出ていたと思います。
英語で攻撃されていたものがローカライズされただけかもしれませんが、引っかからないようにご注意を。
https://www.artemis-jp.com/wp/is_news_20180703/
http://www.itmedia.co.jp/news/articles/1807/05/news059.html
macOS 向けのマルウェアも出てきています > 「間抜けな」MacOSマルウェア：仮想通貨について議論するSlackやDiscordのユーザーを攻撃
https://jp.cointelegraph.com/news/dumb-macos-malware-attacks-slack-discord-users-discussing-crypto
また、日本の洪水被害に寄付を表明したバイナンスも、定期的に攻撃を受けているようです。氷山の一角とは思いますが。
https://japan.cnet.com/article/35121982/
ウィンドウズのクリップボード内容を改ざんするようなマルウェアが流行っているようです。
ウィンドウズのクリップボードを「ハイジャック」、ビットコインアドレスを狙うマルウェア
記事ではビットコインアドレスとなっていますが、各通貨に応用可能なので、送信先のアドレスは常に確認するようにしましょう。
特に取引所等の操作に慣れている玄人も注意が必要です。
ウィンドウズのクリップボードを「ハイジャック」、ビットコインアドレスを狙うマルウェア
記事ではビットコインアドレスとなっていますが、各通貨に応用可能なので、送信先のアドレスは常に確認するようにしましょう。
特に取引所等の操作に慣れている玄人も注意が必要です。
よく使用する通貨アドレスは辞書登録しておくと簡単に呼び出せるからおすすめです。
あと1Passwordなどのパスワードソフトを使ってウォレットを管理すると間違いがないと思います。
ウィンドウズのクリップボード内容を改ざんするようなマルウェアが流行っているようです。
ウィンドウズのクリップボードを「ハイジャック」、ビットコインアドレスを狙うマルウェア
記事ではビットコインアドレスとなっていますが、各通貨に応用可能なので、送信先のアドレスは常に確認するようにしましょう。
特に取引所等の操作に慣れている玄人も注意が必要です。
ウィンドウズのクリップボードを「ハイジャック」、ビットコインアドレスを狙うマルウェア
記事ではビットコインアドレスとなっていますが、各通貨に応用可能なので、送信先のアドレスは常に確認するようにしましょう。
特に取引所等の操作に慣れている玄人も注意が必要です。
Coinrailに続き、韓国大手のBithumbがやられてしまったようですね。被害額は3100万ドルほどと見込まれています。
https://www.bloomberg.co.jp/news/articles/2018-06-20/PALNLM6TTDS301
https://www.coindesk.com/bithumb-exchanges-31-million-hack-know-dont-know/
https://www.bloomberg.co.jp/news/articles/2018-06-20/PALNLM6TTDS301
https://www.coindesk.com/bithumb-exchanges-31-million-hack-know-dont-know/
直近で興味深いセキュリティインシデントなどは少なかったです。一件だけ紹介しておきます。
https://www.coindesk.com/internet-cafes-hacked-to-mine-800000-in-siacoin-cryptocurrency/
中国でインターネットカフェのマシンを悪用し、Siacoinのマイニングを行うマルウェアを仕込んだ、というものです。
マシンが多い環境はリターンもそれなりに期待できるため、今後も悪用の対象になりそうですね。
https://www.coindesk.com/internet-cafes-hacked-to-mine-800000-in-siacoin-cryptocurrency/
中国でインターネットカフェのマシンを悪用し、Siacoinのマイニングを行うマルウェアを仕込んだ、というものです。
マシンが多い環境はリターンもそれなりに期待できるため、今後も悪用の対象になりそうですね。
設定が雑な場合、マイニングリグからも Ethereum が盗難されるという報告があるようです。
https://www.bleepingcomputer.com/news/security/hackers-stole-over-20-million-from-misconfigured-ethereum-clients/
https://www.bleepingcomputer.com/news/security/hackers-stole-over-20-million-from-misconfigured-ethereum-clients/
Memberへの昇進おめでとうございます 
hakkaさん、温かいお言葉ありがとうございます。
意外とセキュリティに関して日本語の事例、情報が少ないと感じているので、多少なりともお役に立てればと思っております。
先週から今週にかけて一番大きかった出来事は coinhive の裁判でしょう。
警察のやり方が極めてずさんで見せしめ的なものだと思いますので、ぜひ応援したいと思っています。
https://doocts.com/3403
ツイッターで「ether無料であげます」系のキャンペーンが行われているそうです。主に英語だと思いますが、美味しい話にはご注意ください。
https://bitcoinexchangeguide.com/ethereum-giveaway-scams-totaling-5-million-worth-of-eth-stolen-via-fake-twitter-accounts/
SIMハック（キャリアのサポートに電話して対象のSIMを無効化し、乗っ取る技法）での攻撃も報告されています。
この手法は直近だと３文字のインスタグラムアカウントを乗っ取り際に用いられたりしていて、日本の居住者は今のところ事例は無いと思いますが、存在自体は知っておいて損無いと思います。
https://ethereumworldnews.com/this-binance-users-account-with-50k-in-crypto-was-hacked-through-a-sim-swap/
当たり前ですが SMS 認証は、あまり強くありません。MFA についても考えて行動するのが良いと思います。
EOS(block.one) が問い合わせ窓口の zendesk 経由でハッキングされ、投資家が数百万ドルを失ったそうです。
手口は古典的な手法を用いており、「https[:]//xn--es-8bb.com」という文字列を URL として送り（これはシステム的に見た目上eos[.]comのように表示される）、秘密鍵の入力を求めたというものです。
https://ambcrypto.com/millions-worth-eos-token-stolen-from-investors-block-one-becomes-online-scam-victim/
手口は古典的な手法を用いており、「https[:]//xn--es-8bb.com」という文字列を URL として送り（これはシステム的に見た目上eos[.]comのように表示される）、秘密鍵の入力を求めたというものです。
https://ambcrypto.com/millions-worth-eos-token-stolen-from-investors-block-one-becomes-online-scam-victim/
EOSの事例に続き、別の ICO ですが公式のメールアドレスが攻撃を受けた模様です。先ほど怪しいメールが来ました。
このように、公式からのメールであっても信用ならないので、注意しましょう。こんな分かりやすいものばかりじゃありませんので。
韓国の取引所Coinrailがハッキング被害を受け、被害は４０００万ドルに達する見込みだそうです。この影響を受けて昨日から、かなり値下がりしています。
手口など詳細は公開されておらず、１か月は調査に要するとの見解が出ていますが、"cyber intrusion"と報告されているので、コインチェックと似たような話かもしれません。
https://techcrunch.com/2018/06/10/korean-crypto-exchange-coinrail-loses-over-40m-in-tokens-following-a-hack/?guccounter=1
それから、地味ですがセキュリティ絡みのネタとして、ロシアの政府系サイトがマイニング目的でハッキングされたりしています。
https://www.coindesk.com/russian-countys-website-hacked-mine-cryptocurrency/
手口など詳細は公開されておらず、１か月は調査に要するとの見解が出ていますが、"cyber intrusion"と報告されているので、コインチェックと似たような話かもしれません。
https://techcrunch.com/2018/06/10/korean-crypto-exchange-coinrail-loses-over-40m-in-tokens-following-a-hack/?guccounter=1
それから、地味ですがセキュリティ絡みのネタとして、ロシアの政府系サイトがマイニング目的でハッキングされたりしています。
https://www.coindesk.com/russian-countys-website-hacked-mine-cryptocurrency/
Litecoin Cashも51%攻撃を受けたようですね。
対策は施したため被害はなかったのこと（取引所連絡後、承認数を100に変更することで対応）。
http://www.livebitcoinnews.com/litecoin-cash-51-attack-highlights-insecurity-of-smaller-pow-coins/
今後も同様の攻撃は起こる可能性は高いでしょうが、
攻撃側も更に手を変えてくることも考えられるため、
気は抜けない状況が続きそうです。
対策は施したため被害はなかったのこと（取引所連絡後、承認数を100に変更することで対応）。
http://www.livebitcoinnews.com/litecoin-cash-51-attack-highlights-insecurity-of-smaller-pow-coins/
今後も同様の攻撃は起こる可能性は高いでしょうが、
攻撃側も更に手を変えてくることも考えられるため、
気は抜けない状況が続きそうです。
日本のシンジケートが shopin の TGE 絡みで集めた資金が盗まれたそうですね。
https://www.hackread.com/syndicate-wallet-hacked-10-million-dollars-stolen/
https://www.hackread.com/syndicate-wallet-hacked-10-million-dollars-stolen/
EOS(block.one) が問い合わせ窓口の zendesk 経由でハッキングされ、投資家が数百万ドルを失ったそうです。
手口は古典的な手法を用いており、「https[:]//xn--es-8bb.com」という文字列を URL として送り（これはシステム的に見た目上eos[.]comのように表示される）、秘密鍵の入力を求めたというものです。
https://ambcrypto.com/millions-worth-eos-token-stolen-from-investors-block-one-becomes-online-scam-victim/
それから、ZenCash が 51% 攻撃を受けたそうです。
（恥ずかしながら把握していなかったのですが）verge の事例に続いた事例になってしまいました。
攻撃者は今回１時間にわたって３万ドルを費やして攻撃を行ったとのことです。
https://coinspectator.com/news/494498/zencash-suffered-a-51-attack19600-zen-were-stolen
51%攻撃のコストをまとめたサイトも作られています。
https://www.crypto51.app
手口は古典的な手法を用いており、「https[:]//xn--es-8bb.com」という文字列を URL として送り（これはシステム的に見た目上eos[.]comのように表示される）、秘密鍵の入力を求めたというものです。
https://ambcrypto.com/millions-worth-eos-token-stolen-from-investors-block-one-becomes-online-scam-victim/
それから、ZenCash が 51% 攻撃を受けたそうです。
（恥ずかしながら把握していなかったのですが）verge の事例に続いた事例になってしまいました。
攻撃者は今回１時間にわたって３万ドルを費やして攻撃を行ったとのことです。
https://coinspectator.com/news/494498/zencash-suffered-a-51-attack19600-zen-were-stolen
51%攻撃のコストをまとめたサイトも作られています。
https://www.crypto51.app
先週は Taylor のハッキングが騒がれたぐらいで、目新しいものはありませんでした。
https://japan.zdnet.com/article/35119962/
個人的には、EOS関連のフィッシングメールが多かったように感じました。
送信元やリンク先を注意深く確認するのはもちろん、秘密鍵を保持したパソコンで作業をしない等、対策は怠らないようにしましょう。
ちなみに51%攻撃に関する記事はbloombergにも載りました。中身はあまりありませんが。
https://www.bloomberg.co.jp/news/articles/2018-05-30/P9IRYR6K50XS01
https://japan.zdnet.com/article/35119962/
個人的には、EOS関連のフィッシングメールが多かったように感じました。
送信元やリンク先を注意深く確認するのはもちろん、秘密鍵を保持したパソコンで作業をしない等、対策は怠らないようにしましょう。
ちなみに51%攻撃に関する記事はbloombergにも載りました。中身はあまりありませんが。
https://www.bloomberg.co.jp/news/articles/2018-05-30/P9IRYR6K50XS01
MEW公式を装ったメールでsupport@myethervvallet～～～のアドレスから
「プライバシーポリシーがアップデートされ新しいアドレスが生成されたので
そちらに資金を移動してください。」というメールが来るフィッシング詐欺案件があるようですね。ご注意を。
https://twitter.com/myetherwallet/status/1001540981978644480
先ほどzaifからも取引所の名前を騙ったフィッシング詐欺が流行している旨の注意喚起のメールが届きましたし
この界隈毎日何かしらの詐欺案件が横行しているような。。。
「プライバシーポリシーがアップデートされ新しいアドレスが生成されたので
そちらに資金を移動してください。」というメールが来るフィッシング詐欺案件があるようですね。ご注意を。
https://twitter.com/myetherwallet/status/1001540981978644480
先ほどzaifからも取引所の名前を騙ったフィッシング詐欺が流行している旨の注意喚起のメールが届きましたし
この界隈毎日何かしらの詐欺案件が横行しているような。。。
Jump to: