nilog: API経由の不正アクセス手口例。「管理対象から漏れているAPIが存在した」「URLや会員ID等のパラメータを書き換えることで、他ユーザーのデータにアクセス可能な状態だった」「レスポンスに不要な情報が含まれていたことや、会員ID等が連番となっていたことから、攻撃者によるAPIの仕様等の推測が容易だった」「大量アクセスを制御するためのアクセス回数制限(レートリミット)がなかった」国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみた - piyolog https://piyolog.hatenadiary.jp/entry/2026/10/11/004353 (2026-10-11)

← 前の日	2026-10-11	次の日 →
← 一年前		一年後 →

Misskey.io (2026-10-11)

API経由の不正アクセス手口例。

「管理対象から漏れているAPIが存在した」「URLや会員ID等のパラメータを書き換えることで、他ユーザーのデータにアクセス可能な状態だった」「レスポンスに不要な情報が含まれていたことや、会員ID等が連番となっていたことから、攻撃者によるAPIの仕様等の推測が容易だった」「大量アクセスを制御するためのアクセス回数制限(レートリミット)がなかった」

国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみた - piyolog https://piyolog.hatenadiary.jp/entry/2026/10/11/004353
[Misskey.io] 2026-10-11 21:02:25

関連するかも情報
(；´∀｀) うぉぁ手口「SQLインジェクションでログイン認証を回避できないか、情報を窃取できないかを探索」「回避できないと分かると、攻撃者が事前に作成していたとみられるアカウントでログイン」「ログイン後の機能で、改めてSQLインジェクションが可能かを探索」「ポイント制度のあるサイトでは、他の利用者のポイントを窃取できないかを探索」「一通り試し終えると執拗には攻撃せずに引き上げる。別の日に同じサイトを攻撃する動きは確認されていない」国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみた - piyolog https://piyolog.hatenadiary.jp/entry/2026/10/11/004353 [Misskey.io] 2026-10-11 21:01:00
API経由の不正アクセス手口例。「管理対象から漏れているAPIが存在した」「URLや会員ID等のパラメータを書き換えることで、他ユーザーのデータにアクセス可能な状態だった」「レスポンスに不要な情報が含まれていたことや、会員ID等が連番となっていたことから、攻撃者によるAPIの仕様等の推測が容易だった」「大量アクセスを制御するためのアクセス回数制限(レートリミット)がなかった」国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみた - piyolog https://piyolog.hatenadiary.jp/entry/2026/10/11/004353 [Misskey.io] 2026-10-11 21:02:25
「観測レポートは、観測した攻撃について、人手とは考えにくいアクセス量でありながらツール特有の機械的な規則性がなく、応答を見ながら手を変えていたことから、AIエージェントまたはそれに近い仕組みによる攻撃である可能性があるとしている」国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみた - piyolog https://piyolog.hatenadiary.jp/entry/2026/10/11/004353 [Misskey.io] 2026-10-11 21:03:41

2026年10年11日のnilogをすべて表示する