おむらいす@ブランド屋経営してる人／ベンチプレス30kg

ブランド品の販売買取の会社を経営してる、【おむらいす】です サイトもサーバーも自分で管理してるので、セキュリティのニュースは他人事じゃなく追ってます 煽りすぎの投稿やフェイクが多いXで、「おむらいすを見ればちゃんとした情報がある」と言ってもらえるアカウントを目指します 過剰に不安を煽ってインプ稼ぎしてるポストを見たら一次情報まで遡って裏取りして、本当か違うかと、「どう対策すればいいか」までポストします 間違えたら消さずに訂正します 営業・煽り・コンサルや「○○で稼ぐ方法」の類はやりません 正直に言うと、Xのコンテンツ収益も目的の一つです 皆様からではなく、Xからもらう仕組みなので、役に立ったらいいねとリポストで広めてもらえると助かります 本業があるので、リプは全部には返せません 質問が重なったら、まとめて回答ポストを出します 何卒、応援の程よろしくお願いします

【Windowsにも深刻度9.8の乗っ取りバグがありました】 先日のLinuxの件を調べていて、Windows側も見ていたら出てきました 「Windowsだけの人は関係ないの？」と思った人向けに書いておきます 先に答えを言うと、Windows Updateを普通に当てている人は何もしなくていいです 8月の更新で直っているので 更新を止めている人だけそのままです こっちは肩の力を抜いて読んでください 1本目は、乗っ取られる方（CVE-2026-62815） Windowsに入っている「MsQuic」という、QUIC（HTTP/3などで使う新しい通信方式）の部品のバグです 細工したパケットを送られるだけで、ログイン無しに遠隔でコードを実行される、つまり乗っ取られるタイプ Microsoftの評価は10点満点の9.8で「緊急」 2026年8月11日の月例更新で修正済みで、悪用された報告はありません Anthropicの発表とは別件で、私も今回調べていて気付きました 2本目は、止められる方（CVE-2026-33096） こっちがAnthropicの10月27日の発表（Claudeの未公開モデルが見つけた穴）に入っていたWindowsの1本です Windowsの中でWebの通信をさばいている「HTTP.sys」のバグで、HTTP/3で数パケット送りつけるだけでサーバーが落ちます（クラッシュして強制再起動がかかる状態） 繰り返されると落ち続けるので、そのサーバーを使う人全員が使えなくなります 乗っ取りではないので評価は7.5 2026年4月14日の月例更新で修正済みです 発表が今になったのは、Anthropicが修正から日数を置いてから詳細を出す方針だからで、新しく見つかった話ではありません 対象範囲 どちらもWindows 11（23H2以降）と、Windows Server 2022 / 2025 Windows 10やServer 2019以前は対象の一覧にありません MacやiPhone、Androidは関係ありません（Windowsの部品の話です） 2本目はHTTP/3で応答しているサーバーが条件で、WindowsのHTTP/3はレジストリ（EnableHttp3）で有効にしないと動かないので、普通のPCや設定をいじっていないサーバーは待ち受けていません 1本目は、私が見た範囲ではMicrosoftの説明に条件の記載が無いので、「更新が当たっているか」で見るのが確実です あとMsQuicはオープンソースで、.NETのHTTP/3はLinux上でも同じ部品（libmsquic）を使います Windows向けのCVEとして出ていますが、Linuxで.NETのHTTP/3を有効にしている人は、libmsquicの更新が出ていないかも見ておいた方が安全です（私はそこまでは確認できていません） やること 普通のPCの人は、設定 → Windows Updateで「最新の状態です」になっていれば2本とも終わりです Windows Serverの人は、2026年8月の月例更新以降が当たっているか確認してください winverのビルド番号の目安は Windows 11 24H2なら26100.9168以上 25H2なら26200.9168以上 Server 2022なら20348.5499以上です 更新を止めている、検証待ちで後回しにしている場合は、少なくとも外に向いているサーバーだけでも先に当ててください 2本目だけなら、HKLM\SYSTEM\CurrentControlSet\Services\HTTP\Parameters のEnableHttp3を0にして再起動するか、UDPの443番を閉じれば理屈上は塞がります HTTP/3を止めてもブラウザはHTTP/2に戻るだけなので、サイトは普通に見られます 1本目はこの手が効くか分からないので、更新一択です どちらも悪用された報告は今のところ見当たりません Linuxの方と違って修正はもう出ているので、こちらは「更新を当てているか」だけの話です 正直、ほとんどの人はもう終わっていると思います

【Linuxカーネルに深刻度9.8（最大級）の脆弱性。WSL2とDockerの人はapt upgradeじゃ直りません】 脆弱性の対応、日々お疲れ様です Chromeに続いて、さらに来ました。今度はLinuxです ただ今回は「全員今すぐ」の話ではないので、先に落ち着いて読んでください 少し長いですが詳しくまとめたので、自分の環境の見出しだけでも読んでもらえると嬉しいです 何の話か CVE-2026-98432というLinuxカーネルのバグです（10月15日公開） 先日書いたChromeの大量修正にも関わっている、Anthropicの10月27日の発表（Claudeの未公開モデルが見つけた穴） その中のLinuxの1本です 2015年から入っていたバグなので、現役のLinuxはほぼ全部該当します CVEの記録上のスコアは10点満点の9.8です 中身 外から細工した接続要求を送りつけられるだけで、ログインも要らずに起きます 接続要求の処理が別のCPUで同時に走った時に、消したはずのメモリを読みに行くバグで、起きた時に一番ありそうなのはサーバーごと落ちる（クラッシュ）です IPv4の話で、IPv6は今回のバグの対象外です 条件が揃えば外からrootでコマンドを実行できるところまでAnthropicは実証したと発表しています ただ報道によるとその条件は「Multipath TCPで待ち受けているサーバー」で、これは複数回線を束ねる拡張で、アプリ側で明示的に使う設定が要るものです 普通の設定のWebサーバーがそのまま当てはまるかは、まだ分かりません 対象は、外に向けて待ち受けているサービスがある機械です Webだけでなく、SSHの22番を開けているだけで該当するので、開発用のVPSもほぼ全部です 逆に、外に向けて何も待ち受けていない機械には刺さる場所がありません AndroidやNAS、ルーター、ラズパイも中身はLinuxですが、考え方は同じで、外に待ち受けを開けていなければ急ぎではなく、修正はメーカー待ちです 温度感は配布元で割れています UbuntuはHigh Red Hatは現実的な被害は落ちるまでという見方でModerate、修正は今後の更新に回しています 悪用された報告は今のところ見当たりません なので「全員今すぐ」ではなく、自分がどのケースか見て、出た修正を当てる、で十分かなと思います クラウドやVPSで公開サーバーを動かしている人 配布元の修正が出たら当てて、再起動（カーネルは再起動して初めて効きます） Debianはもう出ています（12は6.1.190、13は6.12.113） Ubuntuは10月30日時点でも22.04、24.04とも作業中で、今apt upgradeしても当たるものはまだありません 出た時の番号は24.04が6.8.0-149、22.04が5.15.0-203の予定なので、uname -rがそれ以上になれば修正済みです 20.04以前は通常サポートが終わっているので、修正が来るとしてもUbuntu Pro（個人なら5台まで無料）に入っている人だけです Amazon Linux 2023は6.12系と6.18系のカーネルは修正済み、標準の6.1系とAmazon Linux 2はまだです Red Hat系（RHEL、AlmaLinux、Rocky）は配布元の判断で修正が後になるので、下のつなぎで待つ形です 修正が来るまでのつなぎ 公式の回避策は、UbuntuもRed HatもSUSEも出していません その上で、仕組みから言えることが2つあります 1つ目は露出を減らすこと SSHや管理画面は接続元を自分のIPに絞る CloudflareやALBのような前段を挟む場合は、本体側で前段のIP以外を遮断して初めて意味があります（NLBのようにL4で素通しするタイプは別） 2つ目はIPオプションを落とすこと バグが触るのは接続要求に付いていたIPオプションのメモリなので、IPオプション付きのTCPパケットを手前で落とせば、理屈上はこの経路に入りません（nftablesならip hdrlength > 5を条件にdrop） TCPだけに絞るのは、他のプロトコルには正規で付くことがあるからです ufwのような簡易ツールでは書けないので、nftablesかiptablesを直接触れる人向けで、自分の環境で試してからにしてください 有償のライブパッチ（KernelCareなど）はDebian 13向けが先に出ています Ubuntu ProのLivepatchは確認できていません WSL2の人 カーネルはUbuntuの中ではなく、Microsoftが配っています ここがややこしいのですが、Ubuntuの中でapt upgradeしても、カーネルは1ミリも変わりません 更新はPowerShellでwsl --update（かWindows Update） そのあとwsl --shutdownで一度止めると、次の起動から新しいカーネルになります Microsoftは修正入りのカーネル（6.18.58.1）をここ数日で公開していますが、wsl --updateで降ってくる版に入ったかはまだ確認できていません WSLの中でuname -rを打って、6.18.56以上なら修正済み、今配られている6.18.33系や、古いままの6.6系・5.15系なら未修正です （WSL1はLinuxカーネルを使っていないので関係ありません） Dockerの人 コンテナはホストのカーネルをそのまま使うので、コンテナの中で更新しても意味がありません LinuxのサーバーならホストのOSを更新 WindowsのDocker Desktopは標準のWSL2バックエンドならWSL2のカーネルで動いているので、上と同じwsl --update MacのDocker Desktopは自前のカーネルなので、Docker Desktop本体の更新です（修正入りの版が出たかは未確認） OrbStackやColima、Rancher Desktopも同じで、VMのカーネルを配っているのが誰かで決まります Hyper-VやVirtualBox、VMwareの仮想マシンの人 これだけはゲストの中でapt upgradeで合っています（配布元の修正が出てから） 自分のカーネルの番号はuname -rで出ます 修正済みは5.10.272、5.15.223、6.1.190、6.6.159、6.12.113、6.18.56、7.2.10以上です ただしこれは、WSL2やArch、Amazon Linuxのように上流の番号をそのまま使っている環境向けの目安です Ubuntu、Debian、Red Hat系は番号の付け方が違って上の番号とは比べられないので、配布元の案内（Ubuntuは上に書いた予定の番号）で見てください 自宅のWSL2や仮想マシンは、外から直接つながる構成（ブリッジ接続やポート開放）にしていなければ急ぎではありません ただ「apt upgradeしたから安心」は間違いなので、そこだけ覚えておいてください

【Googleアカウントのセキュリティ設定について】 アカウントのセキュリティ対策をする方が先という声もあったので、整理しました まだ設定していない人は必見 これから追加で設定する人も、設定はしたけどちゃんとできてるか正直自信がない人も、このポストに書いてる9個を順番にやってください（もしくはできてるかチェック） 前の投稿で「同期を切るより、Googleアカウントのセキュリティを頑丈にする方が先」と書いたので、その具体的な設定方法です 設定は全部「セキュリティとログイン」の中にあります （GmailアプリかGoogleアプリの右上の自分のアイコン → 「Googleアカウントを管理」→ 上の「セキュリティとログイン」タブ） 画面の名前や場所は機種や更新で多少変わるので、もし違っていたら近い名前を探してください 先に理由だけ Gmailは他のサービスの「パスワードを忘れた」を押した時の再設定用メールが全部届く場所です Google認証システムを同期している人は、2段階認証のコードもここです なのでGoogleアカウントを乗っ取られると、他のサービスも芋づる式に乗っ取られます ということで、設定の話に入ります まずは全員この4つから設定してください （10分～20分くらいでできる） 1. パスキーを作る セキュリティとログイン → パスキーとセキュリティキー → パスキーを作成 これをやると、ログインがFace IDか指紋認証になって、パスワードを打つ場面がほぼ無くなります 普段パスワードを打たなくなるので、偽サイトでいきなりパスワードを聞かれた時点で「おかしい」と気付けます iPhoneの人は、パスキーの保存先になるiCloudキーチェーンをオンにしておいてください 2. 2段階認証プロセスをオンにする 方法は「パスキー」「Googleプロンプト（スマホに出る『はい』のやつ）」「認証アプリ」のどれか SMS（ショートメッセージで届くやつ）は一番弱いので、上のどれかを登録してからSMSを外してください 先にSMSを外すとログイン手段が減るだけです ここで外すのは2段階認証の方法としてのSMSで、3で入れる再設定用の電話番号とは別の設定です 3. 再設定用の電話番号とメールアドレスを入れる 締め出された時と、乗っ取られた時に取り戻すための連絡先（電話番号と予備のメールアドレス）です 再設定用のメールは、別のアドレスにしてください アカウントと同じGmailを入れても意味がありません （自分の緊急連絡先に自分の携帯番号書くのと同じ） 4. セキュリティ診断を一回実行する 同じ画面の上の方に出る「アカウントを保護」から 出ていなければ、管理画面の一番上の検索欄に「セキュリティ診断」と入れると出ます 今ログインしている端末、Gmailを読める外部アプリ、保存したパスワード、最近のログイン、Gmailの設定が一覧で出てきます 知らない端末があればログアウト、使っていないアプリは解除 設定済みの人も、ここを一回実行すると「やったつもりでもやってなかった」という部分が大体出てきます 余裕があれば追加でこの4つ 5. 2段階認証のバックアップコードを出して、紙に書いておく（またはプリンターで印刷） スマホを失くしても入れる最後の鍵です 10個出てきて、1個の番号につき1回使えて、使った番号はもう使えなくなります 減ってきたら再作成（多分10個も使うこと無いけど） 6. Gmailの「転送」と「フィルタ」を見る PCのブラウザ版Gmailで（スマホならブラウザで開く） 設定 → すべての設定を表示 → 「メール転送とPOP/IMAP」と「フィルタとブロック中のアドレス」 乗っ取った人が最初に仕込むのがここです 知らない転送先が入っていたら消してください 7. パスワードマネージャーの「オンデバイス暗号化」をオンにする Chromeの設定 → 自動入力とパスワード → Googleパスワードマネージャー → 設定 → オンデバイス暗号化 Chromeに保存したパスワードを、Googleにも読めない形にします ただし一回オンにすると戻せません 鍵はGoogleアカウントのパスワード（もしくは対応端末の画面ロック）で、これを忘れて復旧でリセットすると、保存したパスワードが消えることがあります 3の再設定用の連絡先を入れて、PCなど2台目にもパスワードを同期してからやってください パスワードに自信がない人は後回しでいいです 8. 使っていないサードパーティアプリの連携を切る セキュリティとログイン → サードパーティ製のアプリとサービス 昔入れた診断アプリやゲームが、今もGmailを読める権限を持ったままだったりします 本気でアカウントを守りたい人は最後の9個目をすべし 9. 高度な保護機能プログラムに入る 同じセキュリティとログインの画面の一番下「高度な保護機能プログラム」から Googleが用意している中で一番厳しい設定です パスキー（もしくはセキュリティキー）でしかログインできなくなって、Gmailやドライブを読める外部アプリもかなり制限されます その代わり、自分がアカウントを取り戻す時も数日かかります 2024年7月からは物理のセキュリティキーが無くても、スマホのパスキーだけで登録できるようになってます 締め出されないように、2つ目のパスキーか予備のセキュリティキーは必ず登録しておいてください 経営者の人、発信している人、口座にそれなりに資産がある人は、入っておいて損はないかなと思います あと一つだけ パスキーの鍵は、結局はスマホのロック（Face IDとパスコード）です ロック番号は、電車や店で打つ所を見られれば分かってしまいます その番号を知った人にスマホが渡ると、パスキーもそのまま使われます ロック番号は4桁ではなく6桁以上にして、人前ではできるだけ打たないようにしてください なので、iPhoneは「盗難デバイスの保護」、Androidは「盗難防止」を一緒にオンにしておいてください ここまでやっておけば、引用元の「同期を切るか」の話は、切らなくても大丈夫な状態にはなります

気温見たら限界突破してた

今のGrokって、これで自分のBotに指示を送れるんや 結構便利やな

【安心してください】 「MissAVを見ると勝手にインカメで撮られて拡散される」みたいなポストが出回ってたりするけど、今のところ根拠のない話です エンタメ枠ぐらいです 実際に起きているのは別のことで、そっちの方が重大です 対策は下部に書いています まず出回っている話に対してですが、サイトがブラウザの許可なしにカメラを使うことはできませんし、撮られて拡散された実例の報告もありません（私が見つけられていないだけかもしれませんが） これは5chの書き込みが元で、裏付けは出ていません 実際にどのような原因で起きるのか Androidの遠隔操作マルウェア「SpyNote」が犯人です MissAVを名乗る偽サイトや偽の広告で「動画を見るには専用アプリが必要」「プレイヤーを更新してください」などと出して、偽アプリを入れさせ、「ユーザー補助」を許可させます それがスマホに入ると、カメラとマイクの遠隔起動、画面の監視、SMSと2段階認証コードの読み取り、連絡先の抜き取りまでできます SpyNoteを偽のインストールページで配る手口自体は、2025年4月にセキュリティ会社（DomainToolsなど）が報告しています MissAVを名乗る偽サイトや広告でそれを配っている、という部分は、Xのコミュニティノートで指摘されている段階で裏付けは取れていません つまり「見ただけ」では起きませんが、「言われるままアプリを入れた人」は本当に撮られる可能性があります iPhoneでは同じような内容の感染報告はありません ただ、iPhoneでも「プロファイルをインストール」などを求められたら拒否してください ※そもそもMissAVは海賊版サイトです 2025年1月に米国の連邦地裁が、日本のメーカーの訴えで運営側に450万ドルの賠償を命じ、missav[.]comなどのドメインを差し押さえています 運営は別のドメインで違法に続けているだけです 日本の法律では、ストリーミングで見るだけは違法ダウンロードに当たりませんが、違法と知りながらダウンロードすることは2021年から違法で、繰り返せば刑事罰の対象です というか、Xでも度々炎上の種にもなったりしているので、その時間を別のことに使う方が建設的だと思います ちなみに無料で見られる理由は広告収入で、その広告枠に偽アプリの誘導が入っている場合があります（純粋な広告の場合もあり） 運営は収入のために広告を載せているだけで、中身の責任は取りません 何かあっても個人では運営に責任を取らせる手段が無いので、確実に泣き寝入りです 対策としては 「カメラの使用を許可しますか」が出たら即拒否 押した覚えがある人は、ブラウザの設定でそのサイトのカメラの権限を取り消してください 「通知を許可しますか」も絶対に押さないでください 許可すると、偽の警告がスマホの通知で届き続けます 警告地獄です ちなみに iPhoneはカメラが動いていると画面上部に緑の点、マイクならオレンジの点が出ます（iOS 14以降の仕様） Android 12以降も同じような表示が出ます（ステータスバーに緑のアイコン） 見ている最中にそれが出たら、その場ですぐ閉じてくださいね（夢中で気付いたころには撮られてる可能性もありますが） もし言われるままアプリを入れてしまった人は 設定→アプリで見覚えのないアプリと、ユーザー補助の許可を確認してください Google Playプロテクトでスキャンもかけてください アプリを消せない・勝手に画面が動く・電池が異常に減るなど違和感がある動きをするなら初期化するしかありません あと、銀行と2段階認証のパスワードは必ず変える 「バレたら恥ずかしい」って気持ちも分かりますが、「全部盗られる（撮られる）」ほうが怖いと思います どうしても見たい人はおとなしくFANZAで買うかTSUTAYAでレンタルしてくださいね

ちょいちょいAIの設定で「学習オフ」にしてる？ みたいなポストを見るけど、「学習オフだから大丈夫」は個人情報の取り扱い上、通用しません パナソニックは学習オフでも漏えいになりました AIに投げる内容は、XやSNSに投稿するのと同じだと思ってください SNSに個人情報が入ったファイルや機密情報は入れないでしょ？ パナソニックのグループ会社の件は、担当者が会社で禁止されている外部の生成AIに、人事システムの個人情報を貼り付けました 従業員・元従業員・その家族で約33万4千人分 住所・電話番号・メールアドレス、家族は氏名までも入っています AI側の「学習に使う」設定はオフだった、削除後の保持期間30日も10/25で切れた、外部への流出や悪用は確認されていない と会社は説明しています それでも個人情報保護委員会への報告と公表が必要な「漏えい」として扱われています これは新しい話ではなく、2023年にサムスンでも同じことが起きています 社員にChatGPTの利用を許可して3週間で、バグ修正のためにソースコードを貼る、機密のコードを貼る、会議の音声を入れて議事録を作らせる、の3件をやっています サムスンは入力内容を1,024バイトまでに制限したあと、翌月にはChatGPTなど生成AIの利用自体を禁止しました 理由は「入れたデータが他社のサーバーに保存されて、取り出すことも消すことも難しいから」です ここが大事で、学習に使われるかどうかは関係ありません 貼った瞬間に、その情報は会社の外のサーバーに渡っています AIのチャット欄は自分のメモ帳ではなく、他社に送る送信フォームです XやSNSに投稿しても困らない内容かを一回考えてください 個人用のAIには、他人の個人情報・顧客リスト・契約書・パスワード・社内の数字などの機密情報は絶対に貼らない 仕事で使うなら、会社が契約して許可されている社内AIだけ 便利なものほど手軽なので使いたくなりますが、その分使う側にも相応のリテラシーが必要になってきます AIは道具なので、使う人の指示次第で利器にも凶器にもなります

こういうのって本当に気を付けないと、いつぞやの間違いでもこの人や！とか晒す人がいる そうすると後は一瞬で拡散 SNSとかメディアって盲目的に攻撃したりするしね

10年ぶりぐらいに電車乗った 切符買うのにQUICPayもPayPayも楽天Payも使えないんだね…

これ系メッチャ多くて、中にはベゼルに小傷有りとか打痕ありとかガラスフチ欠けとか言ってくる人もいて、この類は6割せどらーみたいな人とか個人業者みたいな人だと妄想してます

Google Chromeに52件のセキュリティ修正が来ていた Criticalが4件ある ですが、やることはChromeを1回再起動するだけ 詳細 10/27にChrome 156の更新が出て、セキュリティ修正が52件、うちCritical（最も重い）が4件 一番重いものは、細工したページを開くだけでサンドボックスの外でコードを実行される可能性がある種類です 先週出た156本体の更新(353件)に続く、1週間で2回目の修正です 実際の攻撃で使われた報告は今のところありません ただ修正の中身が公開された以上、ここから未更新のChromeを狙う攻撃が出てくる可能性は高いので、今週中、できれば今日中に入れてください Xのトレンドには「政府が至急更新を呼びかけ」と出ていますが、元になっているのは国家サイバー統括室の注意・警戒情報アカウントの「配信されましたら忘れずにアップデートしてください」という投稿です この投稿はChromeの更新のたびに出ている定型のもので、「至急」とは書かれていません やり方 PC：右上の⋮ → ヘルプ → Google Chromeについて → 「再起動」 自動で更新は入っていても、再起動するまで新しいバージョンになりません 更新後は「Google Chromeについて」の画面で 156.0.8078.73 以上になっていればOKです Android：Google Playで更新（数日かけて順次配信） Chrome以外のブラウザ Edge：中身がChromeと同じChromiumで、Microsoftは10/27時点で「修正を準備中」 数日以内に来る更新を入れる 右上の… → ヘルプとフィードバック → Microsoft Edgeについて Brave・Vivaldi・Operaも同じChromium系 Chromeと同じ手順でそれぞれの「○○について」の画面から更新 Safari：中身が別（WebKit）なので今回の52件とは無関係。iPhoneやMacの本体の更新で塞がります Firefox：中身が別（Gecko）なので無関係ですが更新があればしておいてください Chromebook：設定 → ChromeOSについて → アップデートを確認 → 再起動 iPhoneのChromeは中身がSafariと同じWebKitなので、今回の52件とは別の話です iPhoneの方はiOS本体を最新にしてください

Google認証システムの「同期を切らないと乗っ取られる」 という話が回っていますが、切る前にやることが3つあります まず「Googleアカウントを乗っ取られたら、全サービスのコードも一緒に取られる」ということ自体は本当です Google認証システムはコードをGoogleアカウントに同期していて、暗号化はされていますが鍵はGoogleが持っています エンドツーエンド暗号化は2023年に予告されたまま、まだ入っていません なのでGoogleアカウントを乗っ取られると、犯人はそのアカウントで認証システムにログインするだけで、全サービスの2段階認証コードを手に入れることになります Chromeに保存したパスワードも同じアカウントに入っているので、一緒に見られます（パスワードマネージャーの「オンデバイス暗号化」をオンにしている人は別） 「Driveに保存したパスワード」ではなく、Chromeやスマホで保存したパスワード（Googleパスワードマネージャー）の話です ※そもそもパスワードはDriveに保存しないでください ただ、同期を切るとコードはそのスマホ1台だけになりますので、そのスマホを失くした時点で、認証システムを登録している全サービスから締め出されます 切るなら順番は下記です 1. 各サービスのバックアップコードを保管する バックアップコードは、認証アプリが使えなくなった時のための使い捨ての鍵で、2段階認証を設定しているサービスの「セキュリティ」や「2段階認証」の設定画面から出せます（Googleアカウントなら セキュリティ→2段階認証プロセス→バックアップコードが10個出ます） 使ったコードは無効になるので、残りが減ってきたら作り直す 保管は紙に書いてスマホと別の場所か、パスワード管理アプリ スマホの写真やメモに入れると、スマホと一緒に失くします スマホの写真で保管の場合はクラウド（iCloudやGoogleフォト）に自動でバックアップされたりして危険 サービスによってはバックアップコードが無いので、その場合はパスキーやSMSなど別のログイン方法を先に設定しておく （SMSは最後の手段。安全な順はパスキー＞認証アプリ＞SMS） 2. 予備のスマホにコードを移す 今のスマホの認証システムで、左上の ≡ → コードを移行 → コードをエクスポート → 移すアカウントを選んで「次へ」でQRコードが出ます（数が多いとQRが複数枚になります） 予備のスマホに認証システムを入れて、最初の画面で「アカウントなしで使用」を選び、≡ → コードを移行 → コードをインポート → QRコードをスキャン で読み取る このQRにはコードの元になる秘密の値が全部入っているので、スクショを撮らない、人に送らない、読み取ったら画面を閉じる エクスポートしても今のスマホからコードは消えないので、両方で同じコードが出れば成功です（これは機種変更した時も同じように移行できます） 3. 最後に同期を切る 右上のプロフィール → 「アカウントなしで認証システムを使用する」→ 続行 これでGoogleアカウント側に保存されていたコードは全部削除されて、今のスマホの中だけに残ります 右上の雲のアイコンに斜線が入れば、切れています 以降は機種変更のたびに2の手順で自分で移す必要があるので、予備のスマホが無い人は、切らずにGoogleアカウントのセキュリティをパスキーかセキュリティキーで頑丈にする選択もあります それと、エンドツーエンド暗号化で同期できる別の認証アプリに移す手もあります iPhoneなら標準の「パスワード」アプリの確認コードはiCloudキーチェーンで同期されて、こちらはエンドツーエンド暗号化です ただそれは別の話なので、この投稿はGoogle認証システムを使い続ける人向けです

【緊急】11月4日からLINEが使えなくなる というのは古いスマホの人だけの話です LINE公式の予定で、11月4日に 【iPhone　14.6.3未満】 【Android　14.4.6未満】 のサポートが終わる予定だと発表がありました 困るのは、【iOS 15】か【Android 8.0】に上げられないスマホ 【iPhoneなら6以前】 それ以外の人は、OSとLINEを更新すれば今までどおり使えます 確認は iPhone：設定→一般→情報 Android：設定→デバイス情報 更新はApp StoreかGoogle Playからだけにしてください 「LINEサポート終了のお知らせ」を装ったメールやSMSのリンクからは絶対に！絶対に！入れないでください

「NHKが無断で勝手に住民票（除票）を取った」というポストが話題になっていましたが、法律上は普通の手続きです 理由があれば、あなたの住民票も他人が取れます 実際に弊社も、とある事件で被害を受けた時に顧問弁護士経由で内容証明を送る際に、本当に被疑者の住所がそこにあるのか確認のために取得してもらった事があります（もちろん刑事事件になってます） 住民基本台帳法12条の3で、本人以外が住民票を取れるのは3つ 1. 自分の権利や義務のために必要な人（お金を貸した相手の居場所を確認する債権者など） 2. 国や役所に出す必要がある人 3. その他の正当な理由がある人 会社でも個人でも、役所に理由と証拠（契約書の写しなど）を出して、認められれば取れます 本題のNHKについては、総務省が「NHKの職員が法令による事務のために関係者の住民票を取る場合」を、取れる例として昔から市町村に示しています（2020年2月の政府答弁書） 受信契約がある人（放送法で、テレビなどの受信設備を設置した人に契約義務がある）の転居先の確認は、この制度で行われています それに弁護士・司法書士・行政書士など8つの士業は、依頼者のために「職務上請求」という専用の用紙で請求できます 誰かに取られたか知りたい人は「本人通知制度」を利用して役所に事前登録しておくと、第三者や士業に住民票を出した時に通知が来ます ただし通知に出るのは「第三者(個人)」「第三者(法人)」のような区分までで、名前までは分かりません 制度がない自治体もあるので、お住まいの役所のサイトで確認してください

これ系のたらい回しあるあるで困る

なんやろ なんでこういう人って言い切れるんやろ 自称某プロ鑑定士もやけど 左ピンボケしてるし、光の加減も違うし、なんなら撮影した器具も違うやろうし 右と見比べても似たような感じには見えるけどな あと、プロ鑑定士w（この業界にそんな資格とかはない）なら間違いなく断定はしないよ あと、鑑定士を名乗るならプロやし、プロと鑑定士は意味被ってるからな アマチュア鑑定士とかおるなら出会ってみたい 飛び火ごめん

捜査始まったばっかりやのに犯人だいたい分かったとか…中身はコナン！？

LINE乗っ取りの話を最近よく見るので調べました Xでも大げさに不安を煽るだけのポストも多いので、私が調べた限り正しい内容と対策をお伝えできればと思います そもそもアカウントを守るのは設定とかではなく、認証番号です 今のよくある手口は、乗っ取られた友だちから「投票して」などとリンクが来て、リンク先の偽ログイン画面に電話番号・パスワード・届いた認証番号を入れさせるものです 入れた時点で別のスマホでログインされて、自分のLINEには「アカウントからログアウトされました」が出て締め出されます そのあと友だちに「PayPayで送金して」などが送られます 「ログイン許可」や「パスワードでログイン」をオフにする対策をよく見ますが、あれはPC版やiPad版からのログインを制限する設定です やって損はないですが、この手口はスマホ側から入られるので、その設定では守れません LINEは 「引き継ぎやメールアドレス・電話番号の変更以外で認証番号を使わないこと。認証番号を電話番号・メールアドレス・パスワードと組み合わせて聞き出す行為はすべて詐欺」 と注意喚起しています 文面は「投票して」が主流ですが、「この写真あなたじゃない？」みたいなのもあるので、文面で覚えずに「認証番号を聞かれたら終わり」で覚えてください もし「アカウントからログアウトされました」が出たら「削除」ではなく「再ログイン」 「削除して入れ直して」と言われても従わない 削除すると端末内のLINEのデータが全部消えます