フィッシングメール:さくらのメールボックス

差出人は、さくらのメールボックス コントロールパネルですが真っ赤な偽物。
件名:重要なメッセージ
となっています。

必要な処置:

ウェブメールアカウントを確認してください。

あなたがする必要があるのは下のボタンをクリックすることだけです(それはほんの数秒かかります)。
あなたはあなたの個人情報の確認を求められることはありません。私たちはあなたのさくらウェブメールアカウントの所有権を確認しているだけです。

http://secured.webmail-sakura.co/ad.jp********

今後ともさくらインターネットをよろしくお願いいたします。

本文中のリンク先はもちろん偽物です。
それっぽい文字列ですが、セキュアであるべきなのにhttpsではなくて、httpとなっています。

このフィッシングメールについての注意喚起
さくらのサポート情報>カスタマーセンターからのお知らせ
2019/05/27 さくらメールボックスを騙る「なりすましメール」に注意ください。


WordPress:RSSフィードを投稿や固定ページに読み込むショートコード

ワードプレスのGutenbergエディタの編集単位――ブロック――にはたくさんの種類があります。埋め込みカテゴリーだと、使うかどうかは別として30種類以上のウェブサービスを埋め込むことができるようになっています。

RSSフィードを埋め込むには?

外部サイトの更新情報をRSSフィードを取り込んで表示するために、ワードプレスでは、RSSフィードを表示させるウィジェットが用意されています。
目的のサイトのRSSフィードのアドレスさえわかれば、簡単に更新情報を埋め込むことができます。

投稿や固定ページではフィードが埋め込めない

ところが、投稿や固定ページの中にRSSフィードを埋め込もうとすると、できそうでできません。外部のRSS/Atomフィードを埋め込むブロックが無いのでした。

ワードプレスにGutenbergエディタが導入される前のバージョンでもサイドバーなどのウィジェットにRSSフィードを埋め込むことはできましたから、簡単にブロックとして追加できるはずなのですが・・・・・
ようやくWordPress 5.2でRSSブロックが追加されるようです。

・・・・
いくつかの新しいブロックを追加しました。
RSSブロック

・・・・

WordPress 5.2 ベータ1

ショートコードでRSSフィードを埋め込もう

それまでのつなぎとして、RSSフィードをショートコードで埋め込めるようにしてみました。
functions.phpにコードを追加して、ショートコードを呼び出せるようにします。

/* RSSフィードショートコード */
function rss_func( $atts ) {
	include_once( ABSPATH . WPINC . '/feed.php' );

	$blog_rss = shortcode_atts( array(
		'url' => 'https://ja.wordpress.org/feed/',
		'num' => '5',
		'img' => 'https://s.w.org/style/images/wporg-logo.svg'),
	$atts );

	$feed_url = $blog_rss['url'];
	$feed_num = $blog_rss['num'];
	$img_url = $blog_rss['img'];
	$feed_content = '';
	$feed_contents = '';

	$rss = fetch_feed( $feed_url );
	if ( !is_wp_error( $rss ) ) :
		$maxitems = $rss->get_item_quantity( $feed_num );
		$rss_items = $rss->get_items( 0, $maxitems );

		foreach ( $rss_items as $item ) :
			$first_img = '';
			if ( preg_match( '/<img.+?src=[\'"]([^\'"]+?)[\'"].*?>/msi', $item->get_content(), $matches )) $first_img = $matches[1];
			if ( !empty( $first_img ) ) :
				$feed_img = esc_attr( $first_img );
			else:
				$feed_img = $img_url;
			endif;
			$feed_url = $item->get_permalink();
			$feed_title = $item->get_title();
			$feed_date = $item->get_date('Y.m.d');
			$feed_text = mb_substr(strip_tags($item->get_content()), 0, 160);
			
			$feed_content .= '<a rel="noopener" href="' . $feed_url . '" title="' . $feed_title . '" class="blogcard-wrap" target="_blank">';
			$feed_content .= '<div class="blogcard">';
			$feed_content .= '<figure class="blogcard-thumbnail">';
			$feed_content .= '<img src="' . $feed_img . '" class="blogcard-thumb-image" alt="">';
			$feed_content .= '</figure>';
			$feed_content .= '<div class="blogcard-content">';
			$feed_content .= '<div class="blogcard-title">' . $feed_title . '</div>';
			$feed_content .= '<div class="blogcard-abbreviation">' . $feed_text . '…</div>';
			$feed_content .= '</div>';
			$feed_content .= '<div class="blogcard-post-date">' . $feed_date . '</div>';
			$feed_content .= '</div>';
			$feed_content .= '</a>';
		endforeach;
	else:
		$feed_content = '<p>RSSフィードを取得できません</p>';
	endif;

	$feed_contents = '<div>' . $feed_content . '</div>';

return "{$feed_contents}";

}
add_shortcode( 'rss', 'rss_func' );

ショートコードは、RSSフィードのアドレス、フィードの取得数、デフォルト (フィードが画像を含んでいなかった時) の画像へのアドレスを引数として指定すると、RSSフィードを読み込んでブログカード形式で表示します。 引数を省略するとデフォルトで指定したアドレス、取得数、画像が使われます。
上記の例では
6 ’url’ => ‘https://ja.wordpress.org/feed/’,
7 ’num’ => ‘5’,
8 ’img’ => ‘https://s.w.org/style/images/wporg-logo.svg’
が使われます。
33 mb_substr(strip_tags($item->get_content()), 0, 160)
のところで本文の抜粋文字数(160文字)を指定しています。

ショートコードの呼び出し

呼び出しは、ショートコードブロックにショートコードを書き込みます。

多要素認証の設定を求める:松井証券になりすますフィッシング(詐欺)メール
実在する証券会社を装ったフィッシングメールは、巧妙化しており、2025年に被害が急増しています。偽のウェブサイト(フィッシングサイト)に誘導し顧客情報(ログインIDやパスワード等)を盗み出します。このフィッシングメールでは、ログイン時のセキュリティを強化するとして、多要素認証(MFA)の導入を求めています。また、導入し…
ドメインを無効化すると脅す:ムームードメインになりすますフィッシング(詐欺)メール
このところ目にする機会の多いフィッシング(詐欺)メールです。レンタルサーバーなどのインターネット関連サービスを行っているGMOペパボ株式会が運営するドメイン取得代行サービスのムームードメインを騙っています。有効期限が迫っていてドメインが無効化されて削除されると脅して、偽の更新手続きフィッシング(詐欺)サイトへ誘導する手…
またまたJCB:JCBカードになりすますフィッシング(詐欺)メール
このところよく届く「JCBカード」を騙るフィッシング(詐欺)メールです。以前に送られてきたメールの差出人はアドレスのドメインがcostcojapan.jp(コストコ?)でしたが、今回のドメインはnintendo.com(ニンテンドー?)。知名度のある企業っぽいドメインを使ったフィッシング(詐欺)メールがトレンドなのでし…

RSSフィード表示用スタイルシートの例

.blogcard-wrap {
    margin: 24px auto;
    padding: 0;
    width: 90%;
    background-color: #fff;
}
.blogcard {
    padding: 1.4% 2% 1.8%;
    border: 1px solid #ccc;
    border-radius: 4px;
    line-height: 1.3;
    position: relative;
}
.blogcard-thumbnail {
    float: left;
    margin-top: 3px;
    width: 160px;
}
.blogcard-thumbnail img {
    width: 100%;
}
.blogcard-content {
    margin-left: 170px;
    max-height: 140px;
    min-height: 100px;
    overflow: hidden;
}
.blogcard-title {
    font-weight: bold;
}
.blogcard-abbreviation {
    font-size: 0.8em;
}
.blogcard-post-date {
	text-align: right;
}

Amazonプライムになりすますフィッシングメール

いっこうに減らないフィッシングメール。
今回はAmazonプライムの更新解除を知らせるようなメールです。

件名:[緊急の通知] Amazoneプライムの自動更新設定を解除いたしました
タイトルに緊急の通知などと入れることで受信者を慌てさせようというのか・・・

送信者:”Amazon更新する 〇 〇 〇 〇 @b38.coreserver.jp
本物のAmazonとは全く関係ないアドレスからです。

フィッシングメールの本文

〇〇〇〇〇〇様
お客様のご希望により、Amazonプライムの自動更新設定を解除いたしました。
「Amazonプライム会員情報の管理」ページで、自動更新の設定状況や会員期間の終了日をご確認いただけます。
期間が終了したら、 お急ぎ便無料 や プライム・ビデオ見放題 などのプライム会員特典のご利用ができなくなります。(主なプライム会員特典を確認するには こちらをクリックしてください)
プライム会員資格の継続で、2019/03/21からお使いいただける予定であった400ポイントを獲得 。
継続してプライム会員特典をお楽しみいただきたい場合は、「Amazonプライム会員情報の管理」ページにて「会員資格を継続する」 をクリックしてください。
Amazonプライムをご利用いただき、ありがとうございました。
会員情報の管理ページで確認

フィッシングメール:[緊急の通知] Amazoneプライムの自動更新設定を解除いたしました!
[緊急の通知] Amazoneプライムの自動更新設定を解除いたしました:という件名のフィッシングメール本文
件名:[緊急の通知] Amazoneプライムの自動更新設定を解除いたしました :というフィッシングメールの本文

リンク先はフィッシングページ

本文中のリンク先は、amarzone-reg.comというドメインになっています。
もちろんこれもAmazonとは何の関係もないドメインで、WHOIS検索では所有者は日本?となっていますが、住所はデタラメですし全く信用できないドメインです。

リンク先は、偽装したAmazonへのログインページになっていてアカウント情報を入力させようとする典型的なフィッシングサイト。

万が一、偽装したログインページにアカウント情報を入力してしまったら!?

心当たりのないこんなメールのリンクはクリックしない。メールは即削除。というのがベストな対処法ですが、もし、万が一自分のアカウント情報入力してしまったらどうしたらいいのでしょうか?
直ちに本物のAmazonのサイトにログインしてアカウントサービスに入ります。

アカウント&リスト>アカウントサービス
アカウント&リスト>アカウントサービス

1 ログインとセキュリティからパスワードを変更しましょう。

アカウントサービス › ログインとセキュリティ › パスワードの変更
アカウントサービス › ログインとセキュリティ › パスワードの変更

2 クレジットカードを登録していたら、お支払方法からお支払いオプションを管理で登録しているクレジットカードを停止します。

アカウントサービス › お支払いオプションを管理 ご登録のクレジットカードを停止
アカウントサービス › お支払いオプションを管理 ご登録のクレジットカードを停止

怪しいメールが届いたらリンクはクリックせずに、即削除。

WordPress:Gutenbergのブロック

WordPressの新しいエディタ「Gutenberg」 では投稿や固定ページを作るのにブロック(Block)という単位が導入されています。ブロックは、見出し、段落や画像を単位とする概念で、WordPressには標準でもイロイロなブロックが存在しています。ま、あまり使わないだろう——個人的にはいらない——ブロックもあるのですが、とにかく使ってみました。

ブロックを呼び出す

投稿や固定ページにブロックを挿入/追加するには、作成画面に表示されるブロックの追加アイコン(丸にプラスマーク)をクリックします。

ブロックの追加アイコン(丸にプラスマーク)をクリックしてブロックを追加する
ブロックの追加アイコンをクリックしてブロックを追加する

ブロックの追加アイコンは作成画面のあちこちで登場しますが、どれも同じようにブロックを呼び出します。

標準ブロックの種類

呼び出すことのできるブロックは今のところ( バージョン 5.0.3 )標準でこれだけあります。ブロックの性質によってカテゴリーに分けられています。

  • インライン要素
    1. インライン画像
  • 一般ブロック
    1. 段落
    2. 見出し
    3. リスト
    4. 画像
    5. ギャラリー
    6. 引用
    7. 音声
    8. カバー
    9. ファイル
    10. 動画
  • フォーマット
    1. カスタムHTML
    2. ソースコード
    3. クラシック
    4. 整形済み
    5. プルクオート
    6. テーブル
  • レイアウト要素
    1. ボタン
    2. カラム
    3. メディアと文章
    4. 続きを読む
    5. 改ページ
    6. 区切り
    7. スペーサー
  • ウィジェット
    1. ショートコード
    2. アーカイブ
    3. カテゴリー
    4. 最新のコメント
    5. 最新の記事
  • 埋め込み
    1. 埋め込み
    2. Twitter
    3. YouTube
    4. Facebook
    5. Instagram
    6. WordPress
    7. SoundCloud
    8. Spotify
    9. Flickr
    10. Vimeo
    11. Animoto
    12. Cloudup
    13. CollegeHumor
    14. Dailymotion
    15. Funny or Die
    16. Hulu
    17. Imgur
    18. Issuu
    19. Kickstarter
    20. Meetup.com
    21. Mixcloud
    22. Photobucket
    23. Polldaddy
    24. Reddit
    25. ReverbNation
    26. Screencast
    27. Scribd
    28. SlideShare
    29. SmugMug
    30. Speaker Deck
    31. TED
    32. Tumblr
    33. VideoPress
    34. WordPress.tv
  • 再利用可能
    1. ユーザーが保存したブロック

よく使うものカテゴリー

数が多いので毎回リストから選択して呼び出すのが大変ですが、たびたび使うブロックは「よく使うもの」カテゴリーに配置されてリストの先頭に表示されるようになっています。

使う頻度の高いブロックはよく使うブロックとしてリストの先頭に配置される
よく使うものとしてリストの先頭に配置された使用頻度の高いブロック

特別な再利用可能カテゴリー

再利用可能カテゴリーはGutenbergを使い始めたときには表示されていないはずです。ユーザーが一度作成したオリジナルのブロックを再利用ブロックとして追加すると、追加したブロックが表示されるようになります。

作成したブロックの詳細設定から再利用ブロックに追加を行うと再利用可能ブロックとして保存される
ユーザーのブロックを再利用可能ブロックに追加して保存する

再利用ブロックに追加するオリジナルのブロックに名前を付けて保存します。

ユーザーが作成したブロックに名前を付けて保存すると再利用可能ブロックになる
ユーザーが作成したブロックに名前を付けて再利用可能ブロックとして保存する

呼び出すには他のブロックと同じように、ブロックの追加アイコンをクリックしてリストから選びます。

再利用可能カテゴリーから保存したオリジナルのブロックを呼び出す
再利用可能カテゴリーから保存したオリジナルのブロックを呼び出す

ユーザーからはあまりいい評判を聞かないWordPressの新しいエディタGutenberg、私自身も批判的なところが多いのですが、再利用可能ブロックは便利じゃないかと思いました。

WordPress:IE11だとGutenbergの再利用ブロックが使えない

WordPressの新しいエディタ「Gutenberg」の再利用ブロック――一度作成したカスタムHTMLなどのブロックを保存しておいて別の投稿に挿入できる――が、InternetExplorer 11だとうまく機能しません。
WordPressのバージョン 5.0.3でプラグインをすべて無効にし、一切カスタマイズしていない素の状態でもダメでした。

ブロックは削除されたか、利用できません。

「ブロックは削除されたか、利用できません。」と表示されてしまう
別のブラウザで保存していた「再利用ブロック(Reusable block)」がIE11では表示されません

あらかじめ作成していた投稿を、InternetExplorer 11を使って編集しようとしたら再利用ブロックが表示されませんでした。
他のブロックを編集して更新して投稿を表示すると、編集画面では表示されなかった再利用ブロックの部分も問題なく表示されました。どうやら、再利用ブロックが削除されたわけではなく編集できない状態になっているようです。

確認してみましたが、 InternetExplorer 11自体はWordPressのGutenbergに対応しているようです。


Gutenberg はどのブラウザーに対応しますか ?
Gutenberg はモダンブラウザーおよび Internet Explorer 11 で動作するようになります。
Make WordPress handbook に対応ブラウザーの一覧があります。私たちの言う「モダンブラウザー」とは、ほとんどの場合、各メジャーなブラウザーの最新および過去2バージョンのことを意味しています。

Gutenberg についてのよくある質問

Edgeなどのモダンブラウザは問題がない

Microsoft Edgeでは再利用ブロックがちゃんと表示される
Microsoft Edgeや他のモダンブラウザだと問題なく再利用ブロックが表示されます

念のためInternetExplorer 11 以外のブラウザ、Microsoft Edge、Mozilla Firefox やGoogle Chromeなどのモダンブラウザでも確認しましたが、編集画面で再利用ブロックが表示されない問題はありませんでした。

表示だけでなく再利用できない

InternetExplorer 11 ではブロックの追加リストに再利用ブロックが出てこない
InternetExplorer 11 ではブロックの追加リストに再利用ブロックが出てこない

再利用ブロックは表示されないだけでなく、ブロックの追加のリストに表示される一覧にも出てきません。
この現象も InternetExplorer 11だけで、ほかのモダンブラウザでは認められませんでした。

使うべきじゃない InternetExplorer 11

この再利用ブロックの問題はおそらくGutenbergのバグだと思われますが、バグが修正されるのを待つよりは「 InternetExplorer 11 は使わない」というのが結論です。

モダンブラウザでは追加リストにちゃんと表示されている再利用ブロック
モダンブラウザでは追加リストにちゃんと表示されている再利用ブロック

あまりいい評判を聞かないWordPressのGutenbergですが、今後のことを考えたら慣れていかないといけません。できるだけ使い込んでみます。

WordPress:Gutenbergの編集画面が日本語化されない不具合修正

WordPressの新しいエディタ「Gutenberg」 で、編集画面の日本語翻訳が一部だけになるという不具合がバージョン 5.0.1の時点では存在しましたが、 バージョン 5.0.2で修正されたようです。

特定の条件下での不具合

不具合が生じたのは、 WordPressをサブディレクトリにインストールし、ルートドメインからは
https://mediadesign.jp/sub-dir/
のような状態でWordPressのトップページが表示される場合でした。

日本語訳が不完全な編集画面

バージョン 5.0.2へアップデート

WordPress のシステムをバージョン 5.0.2へアップデートしたところ、サブディレクトリにインストールした場合でもちゃんと日本語に翻訳されるようになりました。

バージョン5.0.2では日本語訳されている

それでもまだ新しいエディタに馴染めません・・・・・

WordPress:Gutenbergの編集画面が日本語化されない

WordPress5シリーズのリリースに伴って追加された新しいエディタ「Gutenberg」は、投稿内容をブロック単位で管理するようになっていて、「見出しブロック」「段落ブロック」「ソースコードブロック」「カスタムHTMLブロック」「ショートコードブロック」「最新の記事ブロック」等々を単位として投稿に追加・編集するようになりました。
使い慣れるまでにちょっと時間がかかりそうですが、少しずつ慣れるしかありませんね。でも不具合がちょっと・・・・

翻訳が不完全

WordPressのバージョン 5.0.0にアップデートした時点で、編集画面の日本語翻訳が一部だけだったので、今後のアップデートで修正されるのかと思っていたら、バージョン 5.0.1になっても不完全なままです。

日本語訳が不完全な編集画面

ただでさえ大きく変わったGutenbergエディタですから、こういった不具合があるとちょっとこれは使いにくいな、使うのやめようか、と思わざるをえません。

ちゃんと翻訳されてるサイトもある

ところが、別のWordPressサイトで投稿の新規追加を行うと、編集画面はちゃんと日本語訳されています。

日本語訳されている編集画面

違いは何だろう?

どちらのサイトもWordPressのバージョンは同じ 5.0.1です。
もちろん使っているテーマやプラグインは違っていますが、翻訳が一部だけのサイトの方がカスタマイズされていないWordPressなので、翻訳が不完全になる原因はテーマファイルやプラグインの不具合によるものではなさそうです。

原因は?

翻訳されているサイトと、されないサイトを比較してみると次のようなことがわかりました。

日本語訳が不完全なサイトはWordPressをサブディレクトリにインストールしていました。インストールしたディレクトリがサブディレクトリで、ルートドメインからは
https://mediadesign.jp/sub-dir/
のような状態でWordPressのトップページが表示されるようになっているとダメなようです。

一方で、日本語訳が表示されるのはルートドメインあるいはサブドメインのトップでトップページが表示されているサイトでした。
https://mediadesign.jp/ ルートドメインのトップ(日本語訳OK)
https://sub-dom.mediadesign.jp/ サブドメインのトップ(日本語訳OK)

また、サブディレクトリにインストールしている場合でも、プラグインの「
Gutenberg」を有効にしていると日本語訳が表示されるようになりました。どうも翻訳ファイルの読み込みがうまくできていないのが原因のようです。



Apple サポートになりすますフィッシングメール

昨年あたりから出回っている、Apple サポートをかたったフィッシングメールがまた最近届いています。
このフィッシングメールの特徴は

1 メール本文中に外部へのリンクがない
2 添付ファイルがPDF
3 添付ファイル自体にウィルスなどは仕込まれていない
4 添付PDFの中にあるリンク先がフィッシングサイト

というように、セキュリティの網をくぐり抜けるための工夫がされていることです。
 
そんな工夫も、差出人のアドレスが怪しくて、本文の日本語がおかしいので、すぐに気がつくレベルです。
そして、よくよく見れば添付ファイルや最後の署名にある「Apple サポート」
Applel(小文字のエル)が
AppIe(大文字のアイ)になってるし。
※ 追記
  AppleAρρlepがギリシャ文字のローρ)になっているパターンのフィッシングメールもあるようです。
 


※ 追記2
 そういえば、しばらく前にこんな記事がありました。
 GoogleのようでGoogleではない謎のサイト「ɢoogle.com」が出現(https://gigazine.net/news/20161122-google-is-not-google/)
 Unicode で書かれた文字を変換して、DNS(ドメイン名)で使うことができる文字コードにするPunycode(ピュニコード)の技術を悪用したものですが、今回のフィッシングメールはその一つ前の段階のURL偽装の一種みたいにも思えます。
 さらに、Pnycodeを悪用したhomograph attack(ホモグラフ攻撃)にはこんな例もありました。
 人間の目で見抜けないURL偽装がフィッシング詐欺に悪用される可能性、Firefoxでの対策はコレ(https://gigazine.net/news/20170418-fake-domain-homograph-attack/)
 Punycode対策したFirefoxや、最新版のMicrosoft Edge、Google Chromeではリンクにマウスポインタを載せた時に表示されるアドレスは偽装前のものになり、注意して見ればリンク先が偽装かどうか判別することは可能です。
homograph-attack
 とはいえスマートフォンやタブレットなどマウスホバーアクションのないブラウザでは、リンクを長押ししないとリンク先URLを確認することができません。要注意!


 
また、宛先が「undisclosed-recipients」になっているのは、BCCでアドレスを指定しているためだと思われます。普通は宛先ひとつなのにBCCで送る事なんてないですよね。
こんなメールは即座に削除。
 
フィッシングメールAppIeサポート

差出人 Apple サポート
件名 Re:[疑わしい活動] 2018年9月04日、最新のログインアクティビティ
宛先 undisclosed-recipients
添付ファイル AppIe サポート.pdf
内容
アカウントの最新のアクティビティを検出します
あなたのアカウントは別のブラウザで検出され、ロックされています
24時間以内にアカウント情報を更新しないとIDを更新すると、アカウントは完全にロックされます。

以下の添付ファイルをお送りします。
添付したファイルを読んだりダウンロードしたり、アカウントを更新してください。

ありがとうございました
AppIe サポート。