えふしん

個人情報漏洩の影響なのか、楽天カードで不正利用されたわけだが、メール・SMS等でまったく利用通知が届かなかった理由判明。 その理由は「0円オーソリ」(Zero Amount Authorization)を悪用したもので、クレジットカードが有効かどうかを確認するため Amazon等ネットサービスにカード登録する不正利用だったから。無事に登録できれば有効とみなし、その後に買い物をして悪用するというもの。 0円オーソリは0円決済なので、実行されても通知が届かない(私の場合は届かなかった)。よって、不正利用されても気がつかない。カード会社から不正利用の疑いで電話連絡があって、初めて0円決済での不正利用が実行されていたことに気がつく。さらに利用通知が数日から数週間遅れるケースもあり、不正にリアルタイムで気がつかない。 0円オーソリは犯人にとって嬉しいシステム。なので500円とか1000円でもいいから返金前提でオーソリやってほしい。通知が届くから不正利用されたらすぐに気がつける(楽天カードは500円以上が通知対象らしいので)。そもそも0円オーソリでもカード会社には照会が届いているのだから、その段階で利用者にも通知してほしいのだが……。 余談だが Amazon とかで不正利用と自分利用を間違えてカード会社に「これ不正利用です！」と申告してしまうと、Amazonアカウントが止まることがあるので注意。……とカード会社の中の人に教えてくれた。チマチマと、ひとつひとつ、利用履歴と不正利用の照合ッ！ 面倒くさすぎぃぃぃぃぃぃ！ とりあえず不正利用されたクレカをもの凄い勢いで握ってバキボキ折ります。バキボキバキボキバキボキ折ります。バキボキバキボキバキボキバキボキとッ!!!!!!!

これは影響が大きい。 バイナンスはPHPを使わないシステムで、セキュリティにも相当力を入れていたと聞いていたので驚きだ。 現在把握している情報としては、 ①日本顧客への影響はなし ②コールドウォレットは安全 ③バイナンスグローバルの責任準備金で全額カバー とのことだが、暗号資産取引の最大手だけに衝撃が大きい。 口座開設時に求められる個人情報が流出していないのか気になるところ。 approach.yahoo.co.jp/r/SwgTL…

🚨 今度はCloudflareにもXSS脆弱性の報告！ 10月28日、セキュリティ研究者がCloudflareの画像配信機能に関する問題を公開しました。 今回報告されたのは、複数の欠陥を組み合わせることで、CSPというJavaScriptの不正実行を防ぐ仕組みを回避し、悪意あるコードを実行できるというもの。 これ、以前から私が言っていたことなんですよね。 「WordPressは危険だからCloudflareに移行すれば安全」 そんな単純な話じゃないんですよ（笑） もちろん、Cloudflareのセキュリティ基盤が優れていることは理解しています。 ただ、どんなサービスにも脆弱性が見つかる可能性はあります。 重要なのは、どの技術を使うかだけではなく、認証・認可、インフラ設計、脆弱性への対応、そして継続的な保守運用です。 今回の件も、Cloudflareを利用しているすべてのサイトが危険という話ではありませんし、修正状況や影響範囲は引き続き確認が必要です。 ただ、今回改めて思うのが、特定のサービスを使えばセキュリティ問題が解決するという考え方の危うさ。 ツールを変えれば安全になるなら、セキュリティエンジニアなんて苦労しませんよ（笑） AI時代だからこそ、技術の好き嫌いではなく、システム全体の安全性を考えるべきだと思っています。 参考記事👇 cybersecuritynews.com/cloudf…