ハッカー集団は、信用第一 身代金を要求するランサムウェア集団にとって、「払っても約束を守らない」という評判は売上に響く。被害者からすれば、払っても状況が変わらないなら、払う理由がなくなるからだ。 侵入は無断でも、入金後の対応には評判がつく。 ここでいくつか信用のあるハッカー集団を見てみよう。 ① GandCrab：不正アクセスの後に、アフターサポート Covewareの報告によると、GandCrabは交渉窓口を集約し、復号ツールの不具合対応や修正版の提供まで行っていた。2018年末の調査でも、支払い後に復号ツールを提供する仕組みが評価されている。 自分たちで読めなくしたファイルを、自分たちのサポートで読めるようにする。その対応実績が、次の身代金を得るための信用になる。 ② LockBit：ただし、信用調査の結果は厳しい 一方、2024年の捜査では、LockBitが削除を約束しながら、身代金を支払った被害者のデータを保持していたことが判明した。 2026年のCovewareの報告も、「将来の収益のために評判を守るはず」という判断の危うさを指摘している。経済合理性を考えれば約束を守るはず、という期待も、相手が実際に守った証拠にはならない。 復号は実演できる。しかし、盗んだデータのコピーを一つも残していないことは、被害者には確認できない。 復号の実績だけでは、データ削除や再侵入しないという約束まで信用できない。 ハッカーの世界に契約書は通用しないので、行動で信用を示すしかない。ここがハッカービジネスの難しいところだ。

ChatGPT SolとかAstraのUIデザイン、Opus 5.5に比べて微妙だと思っている人多いと思うけど、Image Genで作らせたら凄いんですよ！全然Opus 5.5いにも引けを取らない。 ちょっと面倒だけど、新規画面作る時はまずImage GenでUIイメージ作らせて、それを元に実装させるのが良い。

個人情報の漏洩で怖いのは、その情報を使ったフィッシングメール。名前や利用サービスまで合っていると、本物に見えてしまう。 そこでGmailが比較的心強いのは、メールの文章だけで判断していないから。 ・送信元のIPやドメインに、不審な送信履歴がないか ・SPF、DKIM、DMARCで、送信元の偽装が疑われないか ・リンク先が既知の危険なサイトではないか ・添付ファイルにマルウェアが含まれていないか ・大量のメールに共通する、不審なパターンがないか こうした情報を組み合わせ、さらに利用者の「迷惑メール」「迷惑メールではない」という報告から学習する。似た文字への置き換えや、見えない文字を混ぜるフィルター逃れにも対策している。 人間が一通のメールを読んでも分からない、送信元の素性や大量送信の傾向まで見られる。この規模の防御が標準で使えるのは大きい。 ただし、正規アカウントが乗っ取られて送られる詐欺などもある。「Gmailの受信箱に届いた＝安全」ではない。ログインや支払いは、メールのリンクではなく公式アプリから。

Astraで管理画面のUI作らせるとかなり微妙なのに、Image GenでUIデザイン作らせるとかなりいい感じになるのなんで。Image Genでできるなら普通にもできそうな気がするけど。

個人情報流出が騒がれているけど、個人情報"だけ"漏れて、他の情報（購買履歴やサービスの利用履歴など）は漏れていないということはある？発表見ていると大半は個人情報"だけ"漏れているような印象を受けるけど。

収益を目的としたサイトはむしろ二次情報、三次情報の信頼性の低いページか営業目的の根拠のない情報に溢れてそうなので、AIもすでにそういうサイトの情報はスクリーニングして無視している気がする。 正確な情報を届ける事を目的とした公共の情報、企業の情報などの価値は変わらないので、そういった情報がなくなる事はなさそう。 また、不足している情報がAIがコンテンツ作成をお補うようになる。 それ以外のゲーム攻略みたいなものは有料のNoteにしていけばいいんじゃないかな。

「個人情報が流出しました」という知らせで、自分が気になるのは、氏名やメールアドレスと一緒に、そのサービスで何をしていたかまで漏れていないか、ということ。 利用履歴、購入履歴、問い合わせ履歴。流出する範囲は事件ごとに違うけれど、これらが本人の情報と結びついたまま渡れば、攻撃者は「その人が信じやすい連絡」を組み立てる材料を手に入れる。 たとえば、実際に買った商品に関する返金案内、利用中のサービスに関する決済確認、先日問い合わせた内容への追加回答を装うメール。 これは想定例だけど、商品名や購入日、相談内容まで合っていたら、無関係な迷惑メールと同じ感覚で見抜けるだろうか。 しかも生成AIは、こうした情報をもとに、一人ひとりの事情に合わせた自然な文章を作る手間を減らす。個別に狙う手口は以前からあるけれど、それを大量に行う負担が下がることは軽く見られない。 「日本語が不自然だから気づける」「自分の取引を知っているから本物だ」という判断は危うくなる。 なお、個人と結びついた履歴も個人情報に含まれうるので、履歴には報告義務がないという話ではない。 だからこそ、サービスを作り、運営する側は、「個人情報流出」のひと言で済ませず、どの履歴まで対象なのか、何が確認できていて何が調査中なのか、どんな連絡に注意すべきかまで伝えてほしい。 受け取る側も、心当たりのある内容ほど、メール内のリンクではなく、公式アプリや保存済みのブックマークから確認する。 氏名や連絡先が漏れるだけでも重大だけど、そこに行動の履歴が重なると、詐欺は自分の日常の続きとして届きうる。その危険まで含めて、個人情報流出を考えたい。

会員登録する前に、そのページの情報漏洩リスク、結構精度高く判定できそう。 UIの雰囲気とか利用してそうな技術とか運営会社のコーポレートサイトとかそのあたり総合的に判断すれば情報漏洩リスク測れそうだけど、そんなことしたらほとんどのサイトで会員登録できなくなっちゃうか。

ペットショップで割引価格で購入するためには、アプリインストールと会員登録が必要と言わた。 そのアプリは長年オーバーホールされていないような古臭いUIで、一方でメールアドレス、名前、生年月日、住所、性別の入力が必要。 流石に今この会員登録はできないよ。

Webサービスがエージェントアクセスを拒否する流れがしばらく続きそうだけど、どこかのタイミングでエージェントアクセスを許可しないと売上が落ちて、許可せざると得ないんだろうなと思う。 ただ、今の人間向けのUI/UXはエージェントには過剰だしサービスのための計算資源も無駄に多いので、エージェント向けの単純なUI/UXが標準化されればなと思っている。 アクセス元が人間かエージェントか判断してUIを出し分けるということも普通になりそう。 航空券や新幹線のチケットなんかは、本来は人が自分でみたいサイトではないので、こういうのはすぐにエージェントに置き換わるんじゃないかな。 MCPは、エージェントに個別に登録しないといけないのがハードル高い。 例えば、エージェントに一番やすい航空券とって、とお願いすると事前にたくさんMCPを登録しないといけなくなるので不特定多数が使うようなサービスには向かないかな。もしかしたら今の会員登録のような仕組みが、そのサービス用のMCPを登録する、というのに置き換わるのかもしれない。

AWSのEnterprise Supportのように、担当者に直接相談できる体制は、手厚い支援を求める企業には強いんですね。 CloudflareにもVercelにも企業向けの支援はあるけど、自分が企業向けのWeb開発で採用を考えるなら、日本語で相談できるか、障害時に状況や対応方針を説明してもらえるかまで気になる。 Vercelが日本法人作って、日本語での相談や国内向けの支援をさらに強化したら、日本で化けるかも。

ちょっと、、これがサイバー攻撃に使われたら、狙われたらもうアウトなんじゃないの？

OpenCodeがハックされてるとか。やば。何ヶ月か前にザブスク切れた状態でクレカ登録してあるけど大丈夫かな

これはマルチDotくる流れやん。 今日中に来る？最高！