Javaアプレットによる犯行がBitcoinの口座から大金を盗む–Mt.Goxをフィッシング

自由は絶え間ない警戒によってのみ確保される、という。Bitcoin Forumsのbitbullyと名乗るユーザが、あるチャットサービスを訪れたら自分のBitcoinを34失った、と述べている。そのサービスは、多くの人が利用しているBitcoin交換サイトMt.Goxに接続している。そのサイトは、ユーザがサービスを訪れるとすぐに、Javaアプレットを使って彼/彼女のコンピュータに送金命令を送るらしい。そしてそのトランザクションは取り消しできないし、フィッシングの犯人は匿名なので、被害者は泣き寝入りとなる。

この被害者は、自分の口座の半分を一瞬にして失った。Mt.Goxには、二要素認証がある。それは不正なログインを防ぐ良い方法だ。このユーザはそれをonにしてなかった。この詐欺事件を取りあげているRedditのスレッドもある。

そのフィッシングサイトは、今ダウンしているらしい。

フィッシングのメッセージは、こんなやつだ: “Mtgoxが4〜5時間以内に入金を要求している。Mtgox上のライブチャットでは全員がLTCで支払わなければならない。送金先はhxxp://bit.ly/xxxだ”。このbit.lyリンクが、フィッシングサイトだ。

被害者は自分がやった調査をこう説明している:

ぼくも技術者なので、調べてみた。このサイトが合衆国国内でホストされていることが分かった。ぼくはmtgoxにペンシルヴェニアからアクセスしていたのに、その引き出し指示はロサンゼルスのIPから送られていた。そしてそのサイトはTeleport Proで取ってきたbitcoincharts.comで、mtgoxのロゴもあった。それは、5日前にもまだNamecheapに登録されていた! ドメインネームが、そのIPへ解決(リゾルブ)されるのだ。

Bitcoinのフィッシングは前からあるが、人気が増すにつれて、より大きな問題になるだろう。TwitterのノベルティアカウントBitcoin.txtが言ってるように、この市場は一種のバブルのようで、初心者がとても多い。想像上のデジタル通貨は、本当に未来の経済の一部になるのか? それとも、bit.lyのリンクをクリックする者に破滅をもたらすのか?

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))


Evernoteが全ユーザにパスワード変更を要請: 大規模ハッキング行為で個人情報が漏出

evernote

人気のパーソナルノートサービスEvernoteが、その5000万近いユーザに、パスワードの変更を要請している。同社は一両日前に、最近大きく報道されている大規模なハッキング行為の、最新の犠牲者になった。これまでの数週間で、TwitterFacebookなどなども、同種の被害に遭っている。

EvernoteのファウンダでCEOのPhil Libinによると、サイトは全体的に順調に稼働しているが、現状ではユーザに対し、パスワードの変更を求めるフォームが表示される。“この異常事態のため、サーバが混雑し、アクセスが不調になることもある。しかし問題はそれだけであり、知りうるかぎり、ユーザデータへの脅威は存在しない”。

同社のブログ記事によると、“犯人たちはEvernoteのユーザ情報へのアクセスを取得した。それらの情報は、Evernoteのアカウントに結びついているユーザ名とメールアドレスと暗号化されたパスワードであり”、支払決済関連の情報はアクセスされていない。

Libinによると、“ユーザの支払決済情報はサーバ上に保存していないから、被害に遭うことはない”。この前Zendeskを襲い、そのほかのサイトにも被害が及んだ犯行との関連については、現状では何も分かっていない。“Zendeskの件については詳細を知らないので、コメントを申し上げる段階ではない”。

同社広報によると、異状に最初に気づいたのは、(米国時間3/2から)二日前の米国時間2月28日だ:

2月28日に、Evernoteの運用とセキュリティを担当する部門が、異常でしかも悪意あると思われる活動がEvernoteのサービスの上で行われていることに気づき、調査を開始した。その結果判明したのは、一人または複数の個人が、ユーザのユーザ名とメールアドレスと暗号化されたパスワードへのアクセスを取得したことだ。現在行っている分析によれば、ユーザアカウントのそのほかの内容や、Evernote PremiumおよびEvernote Businessの顧客の決済情報への、不法アクセスは生じていない、と判明した。

同社はブログ記事以外に、ユーザへのメールとソーシャルメディアへの投稿で通知を行っている。

“質問や心配事のある方はEvernoteのサポートまで直接申し出ていただきたい”、とその広報担当は言った。

パスワードの変更は、Evernote Food、Evernote Business、Evernote Helloなどなど、そのユーザが使う可能性のあるすべてのEvernoteアプリケーションで行う必要がある。

データ侵犯のニュースが、このところ毎週のようにある。ネガティブなニュースの頻発が、これらのサイトに対するユーザの信頼をどれぐらい損なっているか、そこが問題だ。ユーザは、慣れて不感症になっているのか、それとも、もっと安全そうなサイトへ引っ越そうと考えているのか。大規模ハッキング行為の日常的な横行は、ネットワーク社会をめぐるさまざまな楽観論や理想論に、水を差すことにもなりかねない。

evernote password change

この記事は、引き続きアップデートしていきたい。

[原文へ]
(翻訳:iwatani(a.k.a. hiwa))