パスワードを忘れた? アカウント作成
5243 story

高島屋の平文無線POSは1週間で対処、そして顧客へ告知 44

ストーリー by Oliver
他人の失敗からも学ぶ 部門より

jbeef曰く、"日経バイトの記事によると、 先月話題になった「西武百貨店の危ない無線POS,クレジットカード情報が見えた」と同様の問題が高島屋にもあったという。 クレジットカード情報、購入商品の情報、購入金額などを含むXMLデータが平文のまま電波に載せられていたそうだ。同誌が2月21日に高島屋に事実を知らせたところ、2月27日に全店舗で暗号化の対策が完了されたという。
スラッシュドットの西武百貨店の件のストーリーでは、対策にかかる時間について議論があっただけに興味深い。ただ、今回は前例があるだけに早く対策できたのかもしれない。指摘を受ける前に高島屋が問題を知っていたかどうかについてはこの記事からは読み取れない。
また、3月13日から「お知らせ」を全店舗で掲示しているといい、その写真が同記事に掲載されている。この「お知らせ」を目にした非アレゲな一般消費者たちは、はたしてどんな印象を持つのだろうか。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • 傍受/盗聴 (スコア:3, すばらしい洞察)

    by L.Nizah (7804) on 2003年03月13日 22時24分 (#278230)
    お知らせ [nikkeibp.co.jp]中の、「傍受」になんとなく好感が持てます。

    都合の悪い事は全て「なんだかハッカーとか言うのが知識悪用して云々」と言う事にしてしまおうという姿勢が度々見受けられる中で、自らの非をきちんと認めているように感じられました。
    もちろん、正確な言葉を使用しているに過ぎないのですが(^^;

    # 深読みしすぎ?
  • by KAMUI (3084) on 2003年03月13日 21時22分 (#278197) 日記
    当然の対応なんだけど,何か「スゴい事」をしたかの様に
    思えてしまうのは,西武の対応の拙さゆえなのだろうなぁ(^_^;

    で,結局のトコ西武百貨店の方は対応済んでるの?

    #なんにせよクレジットカード持ってないので ID。
    • Re:顧客第一なら・・・ (スコア:2, すばらしい洞察)

      by Anonymous Coward on 2003年03月13日 22時08分 (#278220)
      >当然の対応なんだけど

      当然のことが出来ていない企業や人が多い中、こういったことを愚直に示すのも価値。
      ばれるかどうかはともかく、対策だけとって黙っているという選択肢もあった中、周知するというのは良い事。
      ソフトウェアでもシステムでも同じだと思うが、セキュリティ上の欠陥を指摘されても早急にそれに対応し、
      適切にアナウンスすれば信頼が高まるし、あの企業は「聞く耳を持っている」と思わせるのは大事。
      親コメント
    • by Anonymous Coward on 2003年03月14日 5時09分 (#278432)
      全然当然なんかじゃないです。
      西武と同じベンダ(NCR)のPOSを使っていて、あれだけ西武が(業界内で)騒がれていたにも関わらず、西武より対策が1ヵ月以上遅れてるんですよ。
      当然の対応というのなら、西武と同時期あるいはちょっと遅れたぐらいのタイミングで、日経なんかに指摘される前に対応するのが当然の対応でしょう。
      問題は日経に指摘されて初めて発生したのではなく、POS導入時から存在していたのですから。

      仮に日経に指摘されるまで知らなかったとしたら、NCRが他店で問題になっている事を顧客に知らせなかった and 高島屋の担当者は業界内の情報すら収集していなかったという事ですから、より問題は大きいですね。

      日経の論調に騙されちゃいけません。

      親コメント
      • そうだとしても、失敗を巧みに好印象に変えたわけだから、
        商売をする者としてうまく振る舞ったことには変わりない。

        西武百の場合はそれすらできなかったわけで、、。
        • 高島屋新宿店の場合、対応前にカードを使用した人に対して不安を与えてはいますが、対応完了した時点でアナウンスしたぶん、まだマシですよね。他の店だとお客を安心させるアナウンスが出てない。「西武/高島屋の問題は、うちのPOSは(無線LAN使ってないから)問題なし」とか「うちの無線POSは最初から暗号化してるから問題なし」って言える店だってあると思うんだけどなぁ。

          現状ではアナウンスの必要を感じていないだけなのかなぁ。
          --
          KyaTanaka
          親コメント
          • >現状ではアナウンスの必要を感じていないだけなのかなぁ。

            おっしゃる通り、あまり「広報」の地味な部分を有効活用する店は出てきませんね。
            「住民基本台帳ネット」などで、個人情報の扱いについて議論されている割には、
            身近な部分でおざなりと言うか、無関心というか...。
            この辺にアンテナの高い経営者は少ないのかな?

            --
            ----------------------
            情報の解釈は想像力次第
            情報の真偽は説得力次第
            親コメント
    • Re:顧客第一なら・・・ (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2003年03月13日 21時56分 (#278215)
      当然のしてしかるべき対応をとることが誠実だと言えると思います。
      親コメント
  • 妄想 (スコア:1, 興味深い)

    by Anonymous Coward on 2003年03月13日 21時28分 (#278202)
    実は同じベンダ/SIerの仕事で西武百貨店のノウハウがあったので早かった、とか妄想してみるテスト。

    # 何にせよ仕様書で誰も突っ込まなかったのだろうか。
  • by Anonymous Coward on 2003年03月13日 21時36分 (#278205)
    監督官庁は……経済産業省かなあ。
    歌舞伎町のビル火災の後は、消防庁がビルの再点検をさせたし、
    韓国で地下鉄火災があれば、国土交通省が調査をさせたわけだが、
    百貨店その他の一斉調査とかしないのかねえ。

    法的根拠がないからできないのかなあ。
    個人情報保護法が施行されると取り締まれるのかなあ。

    日本百貨店協会 [depart.or.jp] とかは調査しないのかね。
    • Re:監督官庁はどこ? (スコア:1, おもしろおかしい)

      by Anonymous Coward on 2003年03月14日 7時18分 (#278452)
      自分が役人に何か監督/規制/指導されるのはイヤがるのに、他人事だと「もっとちゃんと監督せぃ」というのはいかがなものかと。
      親コメント
    • by Anonymous Coward
      >>監督官庁は……経済産業省かなあ。
      一応そうなってますね。おそらく、こんな状況下においても
      「何もしない」というのが定番の対応でしょう。

      日本百貨店協会も大々的に報道されない限り動くとは思えません。
      基本的に「横並び」意識強いですから。
    • by Anonymous Coward
      >「何もしない」というのが定番の対応でしょう。
       オオゴトにならないと動かないのは国会も一般マスコミも同じなので、
      行政は大事になるのを待っているのかも。

       法的根拠がないと企業に報告させることさえ強要できないしね。
      • by tomatsu (2545) on 2003年03月14日 4時09分 (#278424)
        既に大事になっているのに、それを大事と気付けない/認識出来ない事が、問題です。

        #蛙をぬるま湯に入れてだんだん暖めると、気付かずにゆで上がってしまうって話、本当?
        親コメント
        • by Anonymous Coward
          パソコン雑誌やネット上で話題になっているのは知ってますが、
          新聞テレビでの報道を見る限り大事になっているとはおもえん。
          事態の深刻さがわかってないのでしょう。

          国会で質問でも出てニュースになれば話が進むと思うが、現状で行政
          が監督指導を強化しようとしても、反対の声が多いと思うな。
          最近は規制強化に過敏に反応する人多いし。
  • by druaga (13366) on 2003年03月13日 22時36分 (#278236) 日記
    通報から対策完了までの間どうなってたのかちょっと疑問。
    今まで通り垂れ流しだったんでしょうかね?
    • by Anonymous Coward
      > 通報から対策完了までの間どうなってたのかちょっと疑問。
      > 今まで通り垂れ流しだったんでしょうかね?

      そりゃぁ、垂れ流しだったんじゃないのかなぁ。

      それなりの規模の組織ならば、その通報の内容を理解する
      (理解できる部
  • by Anonymous Coward on 2003年03月13日 23時24分 (#278264)
    http://www.soumu.go.jp/joho_tsusin/policyreports/japanese/laws/denpa/dp-5-1.html

    (秘密の保護)
    第五十九条 何人も法律に別段の定めがある場合を除くほか、
    特定の相手方に対して行われる無線通信(電気通信事業法
    第四条第一項又は第九十条第二項 の通信たるものを除く。
    第百九条において同じ。)を傍受してその存在若しくは
    内容を漏らし、又はこれを窃用してはならない。

    -------------------------
    無線通信を勝手に傍受しちゃまずいんじゃ??
    店側に事前に許可貰ってからやったのかな??
    それともこういう例には当てはまらないのかな??
    • Re:電波法違反? (スコア:2, 参考になる)

      by Anonymous Coward on 2003年03月13日 23時33分 (#278272)
      傍受するだけなら違反じゃないですよー
      聞いた内容を第三者に話してはいけないだけ。
      コンサート会場の外でマイク音声を拾ってても違法じゃ
      ないんですから。
      親コメント
      • by sk1y2k (9240) on 2003年03月13日 23時40分 (#278278) ホームページ
        >傍受してその存在若しくは内容を漏らし

        とりあえず、こっちにつなげます。
        この法律だけ見て思ったんですけど
        雑誌で読者(第三者)に無線通信の存在を知らせるのはOKなんですかね??
        なんかグレーな気がするんですが・・・。
        --
        -------------------------- 探し物は見つかりましたか? sk1y2k
        親コメント
      • で、気になったから聞かせてもらいたいが、この場合、聞いた内容の中に通信フォーマットの書式を
        明らかにするのは内容を話した事になるの?
        XMLの中身を話した訳ではないから、OKな気もしないでもない。結構グレーな気が個人的にはする。
        --

        /* Kachou Utumi
        I'm Not Rich... */
        親コメント
        • by Shidho (5649) on 2003年03月14日 2時22分 (#278395) 日記
          それ(傍受した無線)を聞かなければフォーマットについても
          語ることができないのですから、この文脈での"内容"を話したことになると考えていいです。
          なにせ、電波法は「その存在を漏らす」ことも禁止していますから。

          無線LANの脆弱性を設置者に警告するのは、それ自体が電波法違反の可能性があるのですよ、一応。

          #でも、それをやったほうが良いという共通認識があると思われているから
          #警告する人も出てきてくれていたわけで。
          #そういや、こんな話が"CODE"に出てきたような。
          親コメント
      • by Anonymous Coward
        聞いた話だけど、その"第三者"って、 傍受している通信をしている本人を含んだ気がします。そのへんどうでしたっけ?>えらいひと
        • by naka64 (4590) on 2003年03月13日 23時54分 (#278283) 日記
          偉くはないんですが、そんな情報、当事者を脅迫するのに使ったら立派な「窃用」という気がしますが…。

          #茶々入れモード御免
          親コメント
          • by Anonymous Coward
            さらに茶々だけど

            > そんな情報、当事者を脅迫するのに使ったら立派な「窃用」と

            それ以前に脅迫自体が犯罪行為だYO!
            • by naka64 (4590) on 2003年03月14日 18時31分 (#278865) 日記
              電波法成立前後と違って、今時は「窃用」といえばほとんど別の法律で禁じられている事項でしょう:-)

              それに、漏らす相手を第三者に限るように解釈する意義は乏しそうだ、と申し上げたかったので、それが伝わればいいです。
              親コメント
    • Re:電波法違反? (スコア:1, 参考になる)

      by Anonymous Coward on 2003年03月13日 23時31分 (#278270)
      >その存在若しくは内容を漏らし、又はこれを窃用

       ということで、無線通信を聞くこと自体は違法ではないはずです。

      (電波法を勉強したのが昔なので、勘違いとか法改正があったりしそうで恐いですが)
      親コメント
  • by naruaki (2658) on 2003年03月14日 12時27分 (#278624) 日記
    あまりこだわらないんですね。
    • だから、非Windows環境で「?島屋」になってしまったり、とにかくちゃんと表示される保証がありません。

      高島屋のサイトが「タカシマヤ」「Takashimaya」表記をメインとし会社概要のページでハシゴ高を使った正式表記をGIF画像にしているのもそのためでしょう。
      親コメント
  • by Anonymous Coward on 2003年03月14日 0時06分 (#278295)
    ...そんなことはないとは、思うが
    • 「ばれた…(冷汗)」
      と、今頃思ってなければいいが
      あながち、ありえなくは無いけど、あれだけ時間もかけてた事を考えれば、それはないかと。
      でも、単純に前のデータをXORやNOTしただけだったりって…(をぃ)
      • でも、高島屋は、たった1週間で「すべてのPOS」を対応させたんですよね。
        • > たった1週間で「すべてのPOS」を対応させたんですよね

          指摘された時点で既に準備中だった可能性はある。
          • by Anonymous Coward on 2003年03月14日 9時48分 (#278512)
            「今POS使ってるけどさ、こないだ設定眺めてみたら、これ平文だったりしねえ?」
            「ああ、俺も一昨昨日気が付いてさ。変えたいんだけど全部一挙にやらんと遺憾から、今作業手順書いてるとこ」
            「悠長な事を....で、予算どうすんの?人動かすんでしょ?」
            「そこが考えどころなんだよなあ。まあともかく、出来る事からやっておくさ」

            ....

            「平分で流れてた件、指摘が来ました!」
            「げ、先手取られたか」
            「部長カンカンだったぞ、今すぐ対処しろって」
            「....って、言ったのか?」
            「ああ、一週間以内に何とかしろと怒鳴ってたよ。そりゃあもう凄い剣幕で」
            「....稟議取って来る。全事業所にこのマニュアルを配る準備してくれ。渡りに船だと思おう」

            # なんてね
            親コメント
            • 部長「客への報告書は出来たか」
              担当「こんなんでどうでしょう」

              部長「う~ん、分かりづらいな、ここ、こうにしてくれ」
              担当「はい」・・・・「これでは」
              部長「ここはこう言ったほうがいいんだよな」
              担当「はぁ」・・・・(今度こそ・・心の声)
              部長「いや、これじゃないんだよ」
              ・・・・・

              客先報告前夜のデスマーチの予感。
              親コメント
        • メーカーが同じなので、西武百貨店と同じ物だったという可能性が非常に高い。
          ということは高島屋の場合、西武百貨店の対応完了期間+一ヶ月だと思います。

          NCRのWWWで紹介されている導入顧客のところは、一通り誰かがチェックしてる
          可能性が高いですよね。
          それに、日経バイトの記者
typodupeerror

物事のやり方は一つではない -- Perlな人

読み込み中...