皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、今日はメジャーバージョンアップ版の『WordPress 5.4 “アダレイ”』がリリースされましたので、それについてお伝えします。

WordPress 5.4 “アダレイ”について

今回リリースされた『WordPress 5.4 “アダレイ”』では、ブロックエディターの改善、体感スピードの向上がメインになっているようです。

＜新しいブロックとブロックの改善＞

・2つの新ブロック「ソーシャルアイコン」と「(複数追加可能な) ボタン」を使って、早く、簡単に、インタラクティブな機能を追加できます。

・色の新しい使い方。ボタンブロックとカバーブロックのグラデーション、リッチテキストブロックで初の色設定へのツールバーアクセス、グループおよびカラムブロックでの色設定。

・分かりづらい操作が減りました。バージョン5.4では、マルチメディアの配置や置換のプロセス全体を各ブロックで効率化。ほぼすべてのブロックで同じように動作します。

・「メディア」と「テキスト」ブロック内の画像を何か他のもの (例えばパンフレットの画像) にリンクして、そのパンフレットをドキュメントとしてダウンロードできたらいいのに、と思ったことはありませんか？ これができるようになりました。

＜クリーンなUIと明快なナビゲーション＞

・ブロックパンくずリストによる明快なブロックナビゲーション。そして一度いた場所へ簡単に戻れます。

・キーボード操作が必要な場合のタブ移動とフォーカスを改善。加えて、ほぼすべてのブロックでのタブキーを使ったサイドバーへの移動。

・エディターの読み込みが14％、入力にかかる時間が51％速くなりました！

・「ヒント」はなくなりました。代わりに、必要に応じて「ウェルカムガイド」を表示できます。必要な場合のみに、何度でもです。

・ブロックの「編集」モードにいるのか「移動」モードにいるのかが一瞬でわかります。視覚的に難しい場合も、スクリーンリーダーがモードを知らせます。

ブロックエディターの最新のツールや機能を使用したければ Gutenberg プラグインをインストールしてください。まだ誰も使っていない新しくエキサイティングな機能を試すことができます。

＜プライバシー＞

5.4 は世界中のさまざまなプライバシー問題の解決を支援します。ユーザーや関係者がコンプライアンス遵守を求めてきたり、チームでのユーザーデータの取り扱いに悩む場合も、より簡単に正しい答えを導きます。

・個人データのエクスポートに、ユーザーセッション情報と、コミュニティイベントウィジェットからのユーザーの位置データが含まれるようになりました。また、目次も追加しました。

・プライバシーツールを使用してエクスポートおよび消去のリクエストを処理する際の進捗を確認してください。

・さらに、プライバシーツール全体に細かな拡張を加えて見た感じをかなりスッキリさせました。

＜開発者向け＞

（メニュー項目へのカスタムフィールド追加をネイティブサポート）

新しい2つのアクションにより、メニュー項目にカスタムフィールドを追加できます—プラグインもカスタムウォーカーを書く必要もありません。

メニュー管理画面では、メニューエディターのナビゲーションメニュー項目移動ボタンの直前で wp_nav_menu_item_custom_fields が発生します。

カスタマイザー内では、メニュー項目フォームフィールドテンプレートの最後で wp_nav_menu_item_custom_fields_customize_template が起動します。

コードを確認し、この新しいアクションで置換できるカスタムコードを見つけてください。重複が嫌なら WordPress のバージョンチェックを追加してください。

（よりシンプルなスタイル、新しい API と埋め込み）

・ブロックのスタイリングが徹底的に簡単になりました。マイナス値のマージンやデフォルトのパディングはなくなりました。必要に応じて、ブロックに自由にスタイルを当てられます。さらにリファクタリングにより、4段階の冗長なラッパー div を取り除きました。

・プラグインを作成すると、カテゴリーの名前空間ごとにブロックのコレクションを登録できるようになりました。これにより、ブランドの認知度を高めることができます。

・ブロックバリエーションとグラデーションの2つの新しい API を使用して、ユーザーがさらに多くのことを行えるようにしましょう。

・埋め込みでは、ブロックエディターが TikTok をサポートするようになり、CollegeHumor はなくなりました。

以上の内容となります。

ご参考までに。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、今日はiPhoneであっても注意した方が良いという話です。

ここ最近、IPAにこんな相談が寄せられているようです。

カレンダーに身に覚えのないイベント

まず、この問題の結論から書きます。

今回の問題は、iCloudカレンダーの『共有機能』や『出席依頼機能』が悪用され、自身のiCloudメールアドレスが何らかの方法で知られてしまい、そのアドレスが共有先として設定されると、不審なカレンダーやイベントが自身のiPhoneに登録される可能性があるとされています。

この具体的な手口は以下のようになります。

＜１．iPhoneのカレンダーに身に覚えのないイベントがある＞

・iPhoneに身に覚えのないカレンダーの通知が表示される。

・iPhoneのカレンダーに身に覚えのないカレンダーやイベントが登録されている。

・イベントのタイトルには「ウイルスに感染している可能性があります」、「あなたのiPhoneは保護されていません！」などと記載されている。

・イベントにはURLが記載されている。

＜２．イベント内のURLから不審なサイトへ誘導される＞

・イベントに記載されているURLをタップして、不審なサイトにアクセスする。

＜３．アクセスした不審なサイト経由で被害にあう＞

・アクセスしたサイト経由で、不審なセキュリティ対策アプリ等のインストールへ誘導される可能性がある。

・アクセスしたサイトで、メールアドレス、電話番号、クレジットカード情報などの個人情報を入力すると、情報を詐取される可能性がある。

そして、アクセス先のサイト経由でアプリをインストールしたり、サイトに個人情報等を入力すると被害が発生する可能性があるとされています。

このような事象への対処法は以下の通りで紹介されています。

・身に覚えのない共有カレンダーの参加依頼が届いた場合は、参加依頼のスパム報告をする

・身に覚えのない共有カレンダーがある場合は、共有カレンダーを削除する

・身に覚えのないイベントの参加依頼が届いた場合は、不審な参加依頼のスパム報告をする

これらの対策法としては、

・手口を知る

・不審なカレンダーやイベントの参加依頼は削除する

・URLを安易にタップしない

・アプリのインストールは慎重に

・パスワードや認証コード等を安易に入力しない

ということになります。

念のため、IPAが掲載している『安心相談窓口だより（PDF版）』のURLを記載しておきますので参考にしてください。

『iPhone に突然表示される不審なカレンダー通知に注意！（PDF）』

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、今日はメジャーバージョンアップ版の『WordPress 5.3 “カーク”』がリリースされましたので、それについてお伝えします。

WordPress 5.3 “カーク”について

今回リリースされた『WordPress 5.3 “カーク”』では、ブロックエディターの拡張、改良によるデザイン設計を中心に改良が加えられているようです。

＜ブロックエディターの改善＞

この機能強化に焦点を当てた更新プログラムは、スマートフォンやその他の高品質カメラから撮影された最適化されていない高解像度の写真をアップロードするための改善された大画像サポートを含む、150以上の新機能と使いやすさの改善をもたらします。より大きなデフォルトの画像サイズと組み合わせると、写真は常に最高に見えます。

アクセシビリティの改善には、管理インターフェイスでのブロックエディタースタイルの統合が含まれます。これらの改善されたスタイルは、多くのアクセシビリティの問題を修正します：フォームフィールドとボタンの色のコントラスト、エディターと管理インターフェース間の一貫性、新しいスナックバーの通知、デフォルトのWordPressカラースキームへの標準化、ブロックとのやり取りを迅速かつ自然に感じるMotionの導入。

キーボードを使用してダッシュボードをナビゲートするユーザー向けに、ブロックエディターにナビゲーションモードが追加されました。これにより、ブロックコントロールのすべての部分をタブで移動することなく、ブロックからブロックにジャンプできます。

＜拡張された設計の柔軟性＞

WordPress 5.3は、すばらしいデザインを作成するためのさらに堅牢なツールを追加します。

・新しいグループブロックを使用すると、ページを簡単にカラフルなセクションに分割できます。

・Columnsブロックは、固定列幅をサポートするようになりました。

・新しい定義済みレイアウトにより、コンテンツを高度なデザインに簡単に配置できます。

・見出しブロックは、テキストと背景色のコントロールを提供するようになりました。

・追加のスタイルオプションを使用すると、この機能をサポートするブロックに好みのスタイルを設定できます。

＜皆のための改善＞

（自動画像回転）
埋め込まれた方向データに従って、アップロード時に画像が正しく回転します。この機能は9年前に最初に提案され、多くの献身的な貢献者の忍耐により実現されました。

（サイトヘルスチェックの改善）
5.3で導入された改善により、問題の特定がさらに容易になりました。拡張された推奨事項では、サイトのトラブルシューティングが必要な可能性のある領域が[ヘルスチェック]画面から強調表示されます。

（管理者のメール確認）
管理者としてログインすると、管理者のメールアドレスが最新であることを定期的に確認するように求められます。これにより、メールアドレスを変更した場合にサイトからロックアウトされる可能性が低くなります。

＜開発者向け＞

（日付/時刻コンポーネントの修正）

開発者は、より信頼性の高い方法で日付とタイムゾーンを操作できるようになりました。日付と時刻の機能は、統一されたタイムゾーンの取得とPHPの相互運用性のための多くの新しいAPI関数と、多くのバグ修正を受け取りました。

（PHP 7.4の互換性）
WordPress 5.3は、PHP 7.4を完全にサポートすることを目指しています。このリリースには、非推奨の機能を削除して互換性を確保するための複数の変更が含まれています。 WordPressは、すべてのユーザーに最新かつ最高のバージョンのPHPを実行することを引き続き奨励しています。

以上の内容となります。

ご参考までに。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

ここ最近、『○○Pay』という『モバイル決済サービス』があちらこちらから登場してきていますが、そのモバイル決済サービスの1つである『7pay』においてアカウントが乗っ取られ、クレジットカードが『不正利用』されてしまう被害が出ています。

7payで不正利用が起きた理由

どうやら『7pay』には致命的な弱点があるようです。

『パスワードを忘れた場合』、生年月日、電話番号、メールアドレスがわかれば変更できてしまうようです。

しかも『二段階認証（二要素認証）』がない。

もう1つあります。

登録したメールアドレスとは別のメールアドレスに『パスワードリセットメール』を送信できてしまうようなのです。

つまり、『生年月日』と『電話番号』がわかればパスワードを変更できてしまうという仕様になっています。

ここまで読んで『？？？』の方は非常に危険な方です。

この仕様、あり得ない仕様になっています。

普通に考えると、登録したメールアドレス以外には『パスワードリセットメール』を送信できないですし、昨今においてクレジットカードなどの金銭が絡むものに『二段階認証（二要素認証）』が存在しないというのは『論外なシステム』と言わざるを得ないです。

『セブンｰイレブン』ともあろう大手企業が何故これほどまでにお粗末なミステイクを犯してしまったのかは謎ですが、他の『モバイル決済サービス』を含め、このような脆弱なシステムであるならば利用しない方が良いとも言えます。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、皆さんの会社にも『info@example.com』といった会社の代表用メールアドレスが設けられていると思いますが、それは有益なものとなっていますか？

それとも、百害あって一利なしなものとなっていますか？

infoアカウントなどはスパムの対象

『フィッシングメール』、『ウイルスメール』、迷惑な『営業・宣伝メール』などの多くは『info@example.com』などの会社の代表用メールアドレスに送られてくることが多くあります。

理由は簡単で、個人用のメールアドレスと違って『info@example.com』といったメールアドレスはどこの会社でも設けていることが多いからです。

しかし、この『info@example.com』といった会社の代表用メールアドレスに送られてくるものは『スパムメール』が大半を占めていませんか？

これ、そういった状態であっても設けていること自体は正しいとも言えます。

RFC（Request for Comments）というインターネット技術の標準的な仕様を記した文書において記述されているものでもあるからです。

インターネット上で電子メールの交換を行う組織は”少なくとも”組織内に存在する各機能に関しては対応するメールボックスを利用できるようにすることがとても望ましい。

（JPNIC / 一般社団法人日本ネットワークインフォメーションセンター訳）

このようにです。

ただし、あくまでも『とても望ましい』とされているに過ぎません。

従って、『スパムメール』の受け皿にしかなっていないのであれば無くしてしまうことも一つと言えます。

残すという選択をされるのであれば、少し運用方法を再考してみると良いかもしれません。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、昨日に引き続き少々ラフ目になりそうですが、今回の『WWDC2019』で発表された『iOS 13』の新機能の中に『Sign in with Apple』というものがあります。

今日はこれについてお伝えします。

Sign in with Appleで秘匿される

この秋にリリースされる『iOS 13』の機能『Sign in with Apple』は、ログイン認証でよく見かける『Sign in with Google』や『Sign in with Facebook』と見た目は同じログイン認証用の機能です。

ただし、GoogleやFacebookとは少々考え方が違います。

『Sign in with Google』や『Sign in with Facebook』も一応『匿名』ではありますが、彼らの場合は『広告表示』のために個々の利用情報を取得して使っています。

しかしAppleは違います。

Appleはユーザーのプライバシーを取得しようとはしません。

今回発表された『Sign in with Apple』はユーザーの本来のメールアドレスを渡しません。

ランダムに生成されるメールアドレス『xxxxxxxxxx@privaterelay.appleid.com』といったメールアドレスが渡されます。

このランダム生成されるメールアドレスはそのローカルユーザーのみと紐づけされる仕組みになっているため、本来のメールアドレスを渡さなくて良いのです。

そして、パスワードは『iCloudキーチェーン』が管理してくれます。

ブラウザに『Safari』を使っていれば強固なパスワードが提案され、そのパスワードも管理してくれますので何も考える必要がありません。

今回感じるのは、やはりAppleはGoogleやFacebookとは違うということを改めて認識させてもらったような気がします。

それは単なる他人事ではありません。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

このブログにおいても『アカウントの情報漏えいを確認』という記事にてご紹介したことがありますが、先日、各メディアでも取り上げられた『約7億7300万件のメールアドレス流出』以外にも、『約2122万件のパスワード流出』があったとされています。

これらの流出情報は闇ルートで流通し、拡散されています。

闇で流通するアカウントやパスワード

今回情報が公開されている『Have I Been Pwned（HIBP）』を運営しているのはセキュリティ研究者で、このセキュリティ研究者も自身のメールアカウントやパスワードが流出していたことを確認しています。

私も以前の『情報漏えいから派生するスパム』という記事を投稿した時点でメールアドレスを確認した際、メールアドレスやパスワードなどが流出していることが判明し、即座に見直しを行った記憶があります。

そして、新たに追加で公開されているものとして『Pwned Passwords』というものがあり、ここでは使用している（使用していた）パスワードが流出していたかが確認できます。

ただし、メールアドレスのチェックもパスワードのチェックも、過去に使用していた変更済みのものも含まれています。

これらの流出した情報は闇ルートで流通しているため、そのままにしておくことでさまざまな被害に遭うことを意味しています。

それを防ぐための警鐘とも言えます。

普段使用しているメールアドレスを変更してしまうことは取引先などとの関係もあり難しい場合もありますが、パスワードに関しては流出しているのであれば変更しなくてはいけません。

願わくば『パスワード生成ツール』などを使って解読されにくいパスワードを作成・使用し、パスワードの使い回しをしないことが重要です。

もちろん複雑なパスワードがいくつもあれば覚えておくことは難しいでしょうから、パスワード管理ツールなどを使って安全に管理しておくことも必要と言えるでしょう。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

迷惑メールは、事業者、個人を問わず無差別に送られてきますが、通常は普通のメールアドレス宛に送られてきます。

しかし、場合によってはこんなところからも送られてきたりします。

メールフォームからの迷惑メール

そうです。

タイトルの通り、お問い合わせ向けなどに用いられているメールフォームから迷惑行為を行ってくる場合もあったりします。

この場合は少々厄介です。

お問い合わせなどに使われるメールフォームの場合、メールの差出人は自社が管理しているメールアドレスから送られてくるようにすることが多いと思いますが、これは迷惑メールが送られてきたからといってブロックしてしまうわけにもいきません。

そこが厄介なところです。

では、どのように対処するか？

設置されているメールフォームをカスタマイズすることが可能であれば、ブロックリストをメールフォーム側に作ってしまうことです。

例えば、迷惑行為を行った側のIPアドレスを取得し、それをリスト化してブロックしてしまえば、自社側にて解除しない限りそのIPアドレスから迷惑行為を行うことをできないようにすることが可能です。

この方法の場合、お問い合わせの受付メールが送られてくる前にストップをかけられます。

つまり、送信ボタンを押した時点でIPアドレスのチェックが入り、実際にはメールが送られないようになるということです。

また、この迷惑行為が自社のターゲットではない国からのものである場合、単純にその国からのアクセスすべてをブロックしてしまうということでも良いでしょう。

しかし、それは連鎖を避けただけで、単独では情報漏えいは起きています。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

オンラインサービスから情報漏えいが起きた場合、そこに登録されているメールアドレスやユーザーID、パスワードなどの情報が流出することになります。

しかし、それは知らない間に起きていることも多く、パスワードの使い回しなどを行っている場合は他のサービスでもリスクを抱えることにもなります。

そのため、自身の情報がどこで漏えいしているかは把握しておく必要があるとも言えます。

アカウントの情報漏えいを確認する

あるサイトにおいて、不正侵入などによるアカウントの侵害があったサービスがあるかどうかを調べることができます。

『have i been pwned』というサイトです。

このサイトでは、メールアドレスを入力するだけで、どこのサービスで、いつ、何が原因で、どのデータが侵害されたが確認できるようになっています。

例えば、以下のように表示されます。

Dropbox: In mid-2012, Dropbox suffered a data breach which exposed the stored credentials of tens of millions of their customers. In August 2016, they forced password resets for customers they believed may be at risk. A large volume of data totalling over 68 million records was subsequently traded online and included email addresses and salted hashes of passwords (half of them SHA1, half of them bcrypt).
（Dropbox：2012年中頃、Dropboxは数千万の顧客の保存された資格情報を公開するデータ違反を被った。 2016年8月には、危険にさらされていると思われる顧客のパスワードリセットを強制しました。合計6800万件を超える大量のデータがオンラインで取引され、電子メールアドレスとパスワードの塩漬けハッシュ（SHA1の半分、bcryptの半分）が含まれていました。）

Compromised data: Email addresses, Passwords
（侵害されたデータ：電子メールアドレス、パスワード）

このようなものが見つかった場合、そのサービスに登録されている情報の見直し（場合によっては退会）、他のサービスでも使いまわしているパスワードがあれば他のサービスに登録されている情報の変更など、相応に措置を施しておく必要があります。

また、ここ最近では『have i been pwned』が提供しているデータを使い、Mozillaが公開しているチェックサイトも登場しています。

『Firefox Monitor』というサイトです。

どちらでも構いませんので、一度チェックしてみると良いでしょう。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

先日IPA（独立行政法人情報処理推進機構）が行った『偽口座への送金を促す「日本語」のビジネスメール詐欺（BEC）事例』に関するプレス発表は、今後、企業規模や業態を問わず国内のあらゆる企業・組織が標的になる可能性があるとしているものです。

今日はそれに関してお伝えします。

IPAがプレス発表したBECの注意喚起

IPA（独立行政法人情報処理推進機構、理事長：富田 達夫）は、標的型攻撃メールの情報共有の枠組み、J-CSIP（サイバー情報共有イニシアティブ）の参加企業から、2018年7月に日本語によるビジネスメール詐欺（以後、BEC）の情報提供を受けました。国内の企業・組織は、その規模、業態を問わず、標的として捉えられている可能性があると考えられます。
そこで、改めて“ビジネスメール詐欺”について注意喚起を行うと共に、新たな事例と手口を詳細に解説するレポートを公開しました。
※　BEC（Business E-mail Compromise）

今回発表されている事例では、メールの差出人に当該企業の実際のCEOの名前とメールアドレスが用いられ、詐称されてたことと、本文中に『金融庁の取り決めにより』や『弁護士にもカーボンコピーで送信』などの表現を用い、依頼に従わせるための巧妙な内容であったとされています。

情報提供者がこのメールに返信したところ、『国際送金の必要がある』と記載されており、内容はすべて日本語によるものであったようです。

この情報提供を受けIPAは、

BECは手口が悪質・巧妙なだけでなく、金銭被害が多額になる特徴があります。一方、システムやセキュリティソフトによる機械的防御、偽メールの排除が難しく、被害抑止が困難です。よって被害の防止には、決済処理を行う経理部門等がこの手口を認識することが重要です。また、決済のチェック体制の再確認と整備、および以下の対策の徹底が求められます。

としています。

このようなものへの対策として、以下の記載があります。

＜対策＞
１．普段と異なるメールに注意
・不審なメールは社内で相談・連絡し、情報共有する

２．電信送金に関する社内規程の整備（チェック体制の整備）
・急な振込先や決済手段の変更等が発生した場合、取引先へメール以外の方法で確認する

３．ウイルス・不正アクセス対策
・セキュリティソフトを導入し、最新の状態にする
・メールアカウントに推測されにくい複雑なパスワードを設定し、他のサービスとの使い回しをしない
・メールシステムでの多要素認証、アクセス制限の導入を検討する

詳細に関しては、以下のレポート3章に記載の『ビジネスメール詐欺への対策』で確認できます。

ビジネスメール詐欺「BEC」に関する事例と注意喚起（続報）

皆さん、情報共有しながら注意しましょう！