ITプロ歴20年越えちゃった。オープンソース系サーバサイド全般がテリトリー。AWS全般、Java好き、PHP嫌い、Python少し、Node.js少し、MySQL Love。UIはゴミレベル。
Joined February 2025
- Tweets895
- Following3.1K
- Followers258
- Likes96.9K
てる retweeted
SK Hynix just dropped their latest earnings, and one detail stands out.
All of their HBM and DRAM production is completely booked until 2029.
Any new orders placed right now will only be delivered in 2030.
This basically means zero price drops for RAM and everyday consumer devices until 2030.
Hardware is as cheap today as it is going to get.
てる retweeted
【緊張高まる】北朝鮮が韓国側に向け自走砲少なくとも3台を配備、兵士らしき人物が赤い旗を振り砲口が動く様子を捉える
news.livedoor.com/article/de…
北朝鮮が韓国との境界付近で要塞化を進める中、FNNのカメラが韓国側に向けて配備された自走砲や、北朝鮮側で相次いで爆発が起きる様子を捉えたという。
てる retweeted
So it turns out that Ukraine's issues with Starlink were caused by Ukraine.
Starlink terminals disconnected at speeds above 160 KPH, as determined by the Starlink terminals internal GPS.
To get around this, Ukraine hacked the Starlink terminals to think they were stationary regardless of speed.
SpaceX figured this out, and updated the system software to detect excessive speed by seeing how rapidly the terminal switched from on satellite to another. This broke Ukraine's hack, and Starlink would no longer work at high speeds.
Ukraine was using Starlink in a way that violated the terms of service.
Starlink figured it out and stopped it.
言われてるよりやばい状況やんけ
⚠️急ぎ認識&対応必須⚠️
お名前.com VPSのFXサービスの顧客は今すぐPCをネットから外し電源を落とすべき
> 被害は「VPSの中（MT4やFX口座）」だけだと思われていましたが、犯人は「顧客が普段使っている自宅や会社の中身を盗み、遠隔操作用のウイルスを仕込んだ」
GMOの顧客のPCがランサムウェアの人質になる💣
<詳細>
この投稿は、攻撃者が「これまで隠されていた侵入の全手口（GMO側の技術的落ち度）」を暴露し、さらに「脅迫の標的をGMOから『顧客の自宅PC・個人の私生活』へ切り替える」と宣言した、極めて危険なエスカレーション（脅迫の激化）を意味しています。
書かれている内容を技術的な背景と合わせて噛み砕くと、主に以下の4つの重大な事実とメッセージが浮かび上がります。
1. 侵入の手口：なぜ全VPSが一網打尽にされたのか
犯人は、GMOのシステム構造に「インフラ設計として致命的な初歩的ミス」があったと主張しています。
VPSなのに「Active Directory（社内網の仕組み）」を使っていた
通常、VPS（仮想サーバー）は契約者ごとに完全に隔離（独立）されていなければなりません。
しかし、GMOは社内のパソコンを一括管理するような「Active Directory」という仕組みで全VPSをひとまとめに繋いでいました。
例えるなら: 本来は頑丈な壁で仕切られるべき賃貸マンションなのに、「壁に隣の部屋へ行けるドアがついており、全室共通のマスターキーが存在した」ような状態です。
サポートエンジニアのアカウントからマスターキーを奪取
GMOのサポート担当者がユーザーのサーバーに入って作業した際、その担当者が使った「全サーバー共通の管理者パスワード」の痕跡がサーバー内に残っていました。
攻撃者はそれを拾い上げ、2万7千台すべてのVPSの支配権をいとも簡単に手に入れた（水平移動した）と主張しています。
2. 最大の衝撃：「VPSから自宅PCへの逆流侵入」
これまで被害は「VPSの中（MT4やFX口座）」だけだと思われていましたが、犯人は「顧客が普段使っている自宅や会社のパソコン本体までハッキングした」と明かしています。
原因は配布されていた「RDPファイル」の設定ミス
お名前.comでサーバーに接続する際、公式からダウンロードする接続用アイコン（.rdp ファイル）を使います。
このファイルの設定で、「ローカルPCのドライブ共有（リダイレクト）」が最初からONになっていました。
何が起きたのか？
ユーザーが自宅PCからVPSに接続した瞬間、自宅PCのCドライブやデスクトップが、VPS側に丸見えの状態で自動接続されていました。
攻撃者はすでにVPS側を乗っ取っていたため、その接続トンネルを逆走して「自宅PCの中身を盗み、遠隔操作用のウイルス（バックドア）を仕込んだ」と主張しています。
3. 解約したサーバーが「放置」されていた理由
「解約したのに狙われた理由」の種明かしです。
通常、クラウドサービスは解約されると即座にデータが完全消去（初期化）されます。
しかしGMOはコスト削減や再利用の手間を省くため、解約手続き後も次の契約者が現れるまで何ヶ月もサーバーを稼働させたまま放置していたとされています。
そのため、何ヶ月も前に解約して安心していたユーザーのデータがサーバー内に生きたまま残っており、犯人に一括で回収されてしまったということです。
4. 次の行動：脅迫の矛先が「個人への身代金・ばら撒き」へ
ここが最も恐ろしい部分です。GMOが要求に応じないため、犯人は「GMOを困らせるために、顧客個人を直接攻撃する」と方針転換しました。
自宅PCのランサムウェア暗号化: 自宅PCを操作不能にし、「GMOが身代金を払わないせいだ」と書いた脅迫状を画面に出す。
極めて悪質な個人情報のばら撒き（ドキシング）:身代金を払わなければ、盗み出した「ブラウザの閲覧履歴（秘密の趣味や検索内容）」「個人データ」を、本人の家族・友人・会社の同僚へ名指しで一斉送信すると予告しています。
送信件名まで指定しており（「○○様がGMOを利用 — セキュリティ不備が招いた恥ずべき事態」）、社会的な尊厳を徹底的に破壊する手法です。
この主張の信憑性と注意点
この犯人の主張（Active Directoryの悪用、RDPドライブ共有によるクライアント逆侵入）は、セキュリティの技術論として「極めて理にかなっており、実際に起こり得る手口」です。単なるハッタリではなく、システムの構造を完全に把握した上での告発・脅迫である可能性が極めて高いと考えられます。
もし過去にお名前.com デスクトップクラウドを利用したことがある場合：
自宅PCの完全スキャン: 配布されたRDPファイル経由で不審なプログラムを埋め込まれていないか、信頼できるセキュリティソフトで自宅PCをフルスキャンする（可能であれば重要データを退避して初期化を検討する）。
ブラウザに保存したパスワードの変更: 自宅PCのブラウザ（Chrome等）に保存されていたクレジットカード、SNS、メール、銀行などのパスワードを別端末（スマホ等）から変更する。
脅迫メールへの無視: 今後、個人宛に「身代金を払え」「家族に閲覧履歴を晒す」といった脅迫メールが届いても、絶対に個人で犯人に連絡・送金せず、警察（サイバー犯罪相談窓口）に相談する。
犯人は現在、「顧客個人を人質にして阿鼻叫喚の地獄絵図を作り、GMOに社会的責任と巨額の支払いを強制させる」という最も凶悪なフェーズに突入しています。
てる retweeted
怖すぎる。。もうAIによってこんな時代になったということ。。今までの常識は、もしかしたら、もうあてにならないかもしれない。。
====
Claude Codeが、僕のホテル部屋のドアロックを90秒でリバースエンジニアリングした。
暗号化は2014年のもの。同じプロトコルが右上の煙感知器も制御していて、あの赤い光は電池残量の表示じゃない。スキャンを走らせたときに2回点滅した。
今、1泊85ドルのホテル部屋で横になっている。Claude Codeを開いてこう入力した：
「範囲内のBluetoothとワイヤレス機器を全部スキャンして、何が何と通信しているか見せて」
19個のワイヤレス機器が見つかった。18個は普通のもの。
19番目：2014年の未パッチファームウェアで動くBLEコントローラー。電子ドアロック、煙感知器、サーモスタット、部屋の金庫の4つを全部管理している。1つのコントローラー、1つのプロトコル。10年間アップデートなし。
プロトコルを分析するように頼んだら、90秒で終わった。
ロックは4バイトのローリングキーを使っていて、セッショントークンはない。Claude Codeが3回目の試行で有効なマスターキーを生成した。ベッドからドアのカチッという音が聞こえた。
その後、煙感知器が同じバス上にあることもわかった。写真の赤い光？それがコントローラーのステータスLEDだ。煙を監視しているんじゃなくて、ロックシステムとのBLEハンドシェイクを8秒ごとに確認している。
つまり、Bluetoothの範囲内（廊下、隣の部屋、駐車場）にいる誰でも、1つのプロンプトと90秒で以下が可能：
1ドアを開ける
2部屋のアラームを無効化する
3金庫を開ける
4煙感知器がその接続を赤い点滅で確認する
確認は2分でできる：
ステップ1 → Claude Codeを開く → 最初のコメントのプロンプトを貼る
ステップ2 → 範囲内のBLE機器を全部スキャンして未パッチファームウェアをフラグする
ステップ3 → 見つかったら → 部屋変更を依頼する → 物理的なデッドボルト付きの部屋を頼む → それを使う
2018年以前のASSA ABLOYやOnityのロックを使っているホテルチェーンは全部これ。世界のホテルの約30%。
今月3軒のホテルをテストした。全部脆弱だった。
写真を見て。右上。8秒ごとに点滅する赤い点。それがハンドシェイクだ。
プロンプトを保存しておけ。次にホテルにチェックインしたら、荷物を解く前に走らせろ。
claude code just reverse-engineered my hotel room's door lock in 90 seconds. the encryption is from 2014. the same protocol controls the smoke detector in the top right corner - that red light isn't a battery indicator. it blinked twice when i ran the scan.
i'm lying in a $85/night hotel room right now. opened claude code and typed: "scan every bluetooth and wireless device in range. show me what's talking to what."
it found 19 wireless devices. 18 were normal.
device 19: a BLE controller running an unpatched firmware from 2014. it manages the electronic door lock, the smoke detector, the thermostat, and the room safe. all four on one controller. one protocol. zero updates in 10 years.
i asked claude code to analyze the protocol. it took 90 seconds.
the lock uses a 4-byte rolling key with no session tokens. claude code generated a valid master key on the third attempt. i heard my door click from the bed.
then it found the smoke detector is on the same bus. the red light in the photo? that's the controller's status LED. it's not monitoring smoke. it's confirming the BLE handshake with the lock system every 8 seconds.
that means anyone within bluetooth range - the hallway, the room next door, the parking lot - with one prompt and 90 seconds can:
1. unlock your door
2. disable the room alarm
3. open your safe
4. and the smoke detector confirms the connection with that little red blink
the check takes 2 minutes:
step 1 → open claude code → paste the prompt from the first comment
step 2 → it scans every BLE device in range and flags unpatched firmware
step 3 → if it finds one → request a room change → ask for a room with a physical deadbolt → and use it
every hotel chain running ASSA ABLOY or Onity locks from before 2018 has this. that's roughly 30% of hotels worldwide.
i tested 3 hotels this month. all 3 vulnerable.
look at the photo. top right. that red dot blinking every 8 seconds. that's the handshake.
save the prompt. next hotel you check into → run it before you unpack.
Readers added context they thought people might want to know
The post claims an AI reverse-engineered a hotel door lock's 2014 BLE protocol also controlling the smoke detector, but documented vulnerabilities required physical port access and smoke detectors are independent.
arstechnica.com/security/2012/…
github.com/lolptdr/onity-…
digitaltrends.com/computing/how-…
x.com/0xGoldTooth/st…
てる retweeted
PHP でかなりヤバそうなセキュリティリリースの予告が出ています⚠️
CVSS v4.0で「9.2」という重大な脆弱性が、なんと2件も修正されるとのこと。
わざわざ事前予告するあたり、かなり警戒が必要な内容なのかなと…🧐
日本時間では本日23時頃にリリース予定。
共用レンタルサーバーの場合、PHP の修正は基本的にサーバー会社任せになるので、各社がどれだけ早く対応してくれるのか気になりますね👀
php.net/archive/2026.php#202…
〜〜〜〜〜
祈るばかり。。ガクガクブルブル((((；ﾟДﾟ))))
#php #WordPress
うっわ
ロシアでは、年初から金融問題により3万社以上の建設会社が清算されました。
В России с начала года ликвидировали более 30 тысяч строительных компаний из-за финансовых проблем
ift.tt/i2HA34y
てる retweeted
これは今日カナダで起きた軍の訓練中の事故の話だな。
嘘でしょ……。肩打ち式のHE弾が迷走して、訓練場内のガス井に引火、300名の兵士が詰めていた市街地訓練用建物を巻き込んで大爆発したんだと……。
Accounts from someone on the firing line was it was a shoulder fired HE round that "Dolphined" after it left the tube and went astray. NOT artillery.
This round hit a gas well which exploded and flattened the 3 Kill Houses that were full of troops which happened to be in close proximity of the well. Approx 300 troops inside and many waiting outside them. There is nothing but splinters left of them.
This also started a major fire that was fed by high winds that swept through the main Bivouac site housing the majority of troops in the field.
The amount of injured is staggering and the fatality count IS going to climb as they recover more victims.
In my 20+ years in the Army, I have only heard of a dolphining round happening once from a shoulder fired rocket. Not sure what would cause this other than possibly a faulty propellent.
てる retweeted
こちらのドコモ宛てに届いた「楽天カード」を名乗るフィッシングメールのヘッダを分析しました。
SPF・DKIM・DMARCはすべてpass、BIMIのロゴ表示まで付いています。
偽装ではなく、楽天カードの正規の署名付きメールを再送する「DKIMリプレイ攻撃」に、「SPF Bypass」を組み合わせた手口です。
■経路
①10/14 21:19、楽天カードが利用しているOKWeb3（okweb3.jp、現在の提供会社はPKSHA Communication社）の送信基盤（楽天カードのSPFで許可済みのIP）から、攻撃者のアドレス宛てに正規メールが送信
②約18時間後、無関係なサーバーからドコモ宛てに再送
元の宛先と、実際に届いた宛先が違います。
■なぜDMARCがpassするのか
DKIM署名は、本文と署名対象のヘッダが改変されていなければ、誰が再送しても有効です。
署名ドメインはFromと同じmail.rakuten-card.co.jpなので、DMARCもpassします。
p=rejectでも、リプレイは防げません。
SPFもpassしていますが、これはエンベロープ送信者を空にし、HELOに使った攻撃者自身のドメインで判定させたものです（いわゆるSPF Bypass）。
Fromとはアラインしないため、p=rejectのドメインならこれだけでは届きません。
DMARCを通したのはDKIMリプレイです。
■被害を広げた原因：署名対象がFromだけ
DKIM-Signatureは h=From:From でした。
署名されているのはFromだけで、Subject・To・Content-Typeは署名対象外です。
攻撃者は件名を「楽天カード登録情報の更新について」に差し替え、MIME境界（boundary）も書き換えています。
RFC 6376 Section 5.4はFromの署名をMUSTとしていますが、それ以外は必須ではないため、仕様違反ではありません。
しかし、Fromだけの署名では、再送時に改変できる範囲が最大になります。
このDKIM署名は、楽天カードの鍵を使ってOKWeb3の送信基盤で付与されています。
署名範囲を決めているのは送信基盤側なので、まず送信基盤側で是正すべき問題です。
■もう一つの根本原因
任意の外部アドレス宛てに、正規の署名付きメールが届く経路があったことです。
フォームの自動返信などを本番の送信ドメインで送ると、攻撃者にリプレイの素材を渡すことになります。
■現状
現在、このDKIMセレクタはDNSに存在しません（全権威サーバーでNXDOMAIN）。
鍵を消せば以後の再送は止まりますが、すでに配送されたメールは、ロゴ付きのまま受信箱に残ります。
■再発防止策（送信側）
1. DKIMの署名範囲を広げる（送信基盤側の対応）
From以外に、Subject・To・Cc・Date・Message-ID・Reply-To・Content-Type・MIME-Versionも署名します。
さらに、存在しないヘッダも含めてオーバーサインし、ヘッダの追加・差し替えを防ぎます。
これは署名を行う送信基盤側、今回はOKWeb3が実装すべき対策です。
送信を外部に委託しているドメイン所有者も、委託先が何に署名しているかを確認する必要があります。
2. 未確認の宛先に送るメールを、本番の送信ドメインから分離する
フォームの自動返信や登録確認メールは、本番の通知とは別のサブドメインから送ります。
そのサブドメインにはBIMIを設定しません。
利用者の入力内容を本文にエコーせず、送信数も制限します。
3. DKIM鍵を3か月ごとにローテーションし、リプレイを検知したら即座に失効させる
定期的なローテーションで、古い署名を再送できる期間を最長3か月に抑えます。
M3AAWGのDKIM鍵ローテーションの指針は「少なくとも6か月ごと」なので、3か月ごとはそれより厳しい運用です。
あわせてDMARC集計レポートを監視します。
「DKIMはpassしているのに、自社のSPFに含まれないIPから大量に送信されている」という記録は、リプレイの兆候です。
検知したら、定期の周期を待たずに鍵を失効させて再送を止めます。
4. SPFの許可範囲を最小化し、隠蔽化する
クラウドなどの共有基盤を広く許可すると、その基盤の他の利用者からのメールもSPF passになり得ます（BreakSPF）。
許可するのは必要なIPだけにします。
さらにSPFを隠蔽化し、どの送信基盤を使っているかを分かりにくくすることで、利用しているメール配信基盤の脆弱性を探すことを困難にできます。
■DMARCは実装して終わりではない
DMARCは、実装して終わりではありません。
p=rejectにして、BIMIを設定しても、それで終わりではありません。
今回のように、利用しているサービス自体が脆弱であれば、突破されます。
委託先の送信基盤も含めて、DMARCレポートを継続的に監視し、異常を早期に検知して対処し続けることが必要です。
てる retweeted
アメリカ、ESP32は事実上輸入できないことになったとか。すんげえ面倒なことになっているみたい。
reddit.com/r/esp32/comments/…
生パスワードといい、何もかもダメなシステムや。作ったの学生かな？
ソースネクスト「会員情報取得APIを不正に利用し、当社にご登録いただいているお客様の情報を取得したことが判明」ってことなので、これはIDを一つずつずらしてAPIを延々と叩いた可能性がある
sourcenext.com/support/i/202…