パスワードを忘れた? アカウント作成
9778 story

東横インとりそなカード、情報流出の後始末 75

ストーリー by yoosee
起きてはいけないことが起きてしまったら 部門より

saitoh 曰く、 "すでに goo ニュース(読売) の記事 河北新報の記事 などで報道されているように、 ビジネスホテルチェーン 東横イン のメンバーズカード(りそなカードのクレジットカードになっている)の顧客情報が流出し、実際に不正使用が起こった。 ほとんどは不正使用検知システムで未遂に終わったらしい。 りそなカードのWebサイト トップページ にも お詫びのアナウンスが掲載されている。

東横インとりそなカードは、すべてのカードを番号を変更して再発行することに決めた模様。僕のところにも、3月5日に1000円の宿泊券とともに新しいカードが送られてきた。電話料金やETCなどのカード払い契約に関しては、国内に関しては、おおむね顧客がなにもしなくても自動的に新番号に切り替わるとのこと。もちろん、暗証番号やポイントも引き継がれる。 同封の案内文には「万一、不正使用が発生した場合には、お客様に迷惑をおかけしないように誠意をもって対応させていただきます」と書いてあった。

1月に被害が発覚し、2月25日にマスコミ発表、3月当初にカード再発行という流れだが、スラドの皆様は、この対処法と対応速度をどう評価されるだろうか。余談ながら、このクレジットカードは顔写真つき。再発行されて分かったが、発行会社は顔写真データを保持しているようだ。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by akiraani (24305) on 2005年03月08日 13時27分 (#705674) 日記
     そもそもなんでもかんでもクレジットカードをつけようとするのが、諸悪の根源なのではなかろうか。
     決済がカードになって楽っても、どこかしこもやられるとクレジットカードの枚数がぼこぼこ増えて管理がめんどくさいったら……。

    #社員証にクレジットカードつけてつけてなんに使うんだ~

    --
    しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される
    • by PoketMont (15188) on 2005年03月08日 14時02分 (#705699)
      >#社員証にクレジットカードつけてつけてなんに使うんだ~

      聞いた話だと、会員証・社員証の類にクレジットカードをつ
      けると、普通に作ったら自社負担になる発行費用をクレジッ
      トカード会社持ちにできるとか。
      親コメント
    • >#社員証にクレジットカードつけてつけてなんに使うんだ~

      会社が、カード発行会社からのリベートとか貰いたいんじゃないの?
      --

      /* Kachou Utumi
      I'm Not Rich... */
      親コメント
      • カード会社にしてみれば取りっぱぐれが無いってのもありそう。

        #臆病な臆病者
        • とはいえ (スコア:1, 興味深い)

          by Anonymous Coward on 2005年03月08日 18時31分 (#705821)
          ブラックリストに載ってる人は、クレジットカード付きの社員証を作ってもらえないらしいですよ。
          会社が給料を担保にして保証してやればいいのに・・・・

          しかし、そういう場合はいったいどうするんでしょうね。
          クレジットカードなしの社員証があったとしても、その社員証を使うということはブラックリスト掲載中を公言するようなもんだし。
          親コメント
          • Re:とはいえ (スコア:2, 興味深い)

            by Anonymous Coward on 2005年03月08日 20時15分 (#705868)
            社員証を使ったセキュリティシステムのプレゼンを受けたとき、質問してみたことがあります。 そういう人のためのクレジット機能なしのカードを用意するのだと言ってました。 ひぇ…
            親コメント
          • 東京スター銀行 [xrea.com]で口座開いて、マスターデビットカード [xrea.com]作るとか。
            マスターデビットなら、ブラックでも殆ど問題なく発行されますから。

            もっとも、この場合は、会社とカード発行会社との関係がでてくるけどね。

            #勤務先が給与を担保にして保証しようが、カード発行会社がOK出さないとどうしようもないしね。

            社員がブラック属性でカードが発行できないのであれば、会社側が法人カードを発行して、社員に持たせてやる
            という手段もあるけどね。特に、経費決済用に持たせておけば、事務の手間も楽になるかと。

            そう言えば、一般会員用のカードと法人カードが一体化したカードがあれば、結構便利になるんじゃないかと、
            思っている人もいると思う。
            --

            /* Kachou Utumi
            I'm Not Rich... */
            親コメント
    • by Anonymous Coward on 2005年03月08日 13時57分 (#705694)
      >社員証にクレジットカードつけてつけてなんに使うんだ~

      紛失防止かも。ただの社員証だと管理に緊張感がもてないが、クレジットカードを付けると失くせば社員自身も損をする可能性があるのできちんと管理するとか。
      親コメント
    • >社員証にクレジットカード

      カード会社に管理業務を委託することにより省力化を図る目的だと思います。
      言ってしまえばアウトソーシングのはしり?
      # 基本的にカード会社の情報機密性は高い「はず」なので
      --
      ---- 何ぃ!ザシャー
      親コメント
    • by Anonymous Coward on 2005年03月08日 16時59分 (#705783)
      学生証にクレジットカード付けようとしてる所もあるようですね。

      #自分の大学なのでAC
      親コメント
    • 社員証にクレジットカード機能がついていると、決済システムを作りやすくなります。

          しかし、社員証にクレジット番号が書いてあるのは、まずいはずなんだ。
          社内の要所を通過するためには、社員証が必要だ。だから、胸に社員証をぶら下げている人が、結構いる。そのクレジット番号を控えれば、Amazonで買い物ができるな……と。

          社員証は身分証で、見せて回る必要がある。クレジットカード番号は、決済の時以外はできるだけ見せない方がよい。この2つを一緒にしようというのは、センスの悪い思いつきなんだろう。

          ああ、ホテルのカードなら、あまり問題ないはず。ホテルのカードを使う時って、よくホテル代金を払うから。
      親コメント
    • >#社員証にクレジットカードつけてつけてなんに使うんだ~

      (借金などの)履歴を調べるためだと聞いたことが
      ありますが本当なんでしょうか。

      ※カードの審査がはじかれる → 異動情報持ち
    • 熊○組は、社員証がゴールドカードです。(新入社員から)
      仕事に必要なものは、電話・メール等で上司の許可を得るだけで、このカードを使って買うことができます。
      もちろんその分の請求は会社にきます。
      スピーディーでよいのですが、プライベートの買い物もゴールドカード分使えてしまうので、破産するひとがいそうです。。
  • 怖いなぁ (スコア:2, 興味深い)

    by alan (23827) on 2005年03月08日 13時12分 (#705661)
    クレジットカードの場合はわざわざ偽造カード作らなくても、インターネット決済がカードに書いてある情報(番号と期限と名前)だけで使えちゃうからなぁ。
    パスワードすら無いし…。

    そういえば、VISAかどっかがインターネット決済のセキュリティ対策やってたような気がするけど、どんなのだっけ…?
    • Re:怖いなぁ (スコア:3, 参考になる)

      by samayoi (16974) on 2005年03月08日 13時29分 (#705677) ホームページ 日記
      VISAかどっかがインターネット決済のセキュリティ対策やってたような気がするけど、どんなのだっけ…?
      VISAの場合ですと、VISA認証サービス [visa.co.jp]というのがありますね。私は利用していないのですが、事前に登録しておいたフレーズを表示して確認させ、さらにパスワード認証を行わせるもののようです。
      同様のサービスとしてJCBのJ/Secure [jcb.co.jp]というのもあります。
      親コメント
      • by ruto (17678) on 2005年03月08日 14時56分 (#705730) 日記
        認証サービスに対応したサイト以外ではカードを使えないように設定できるといいのに。
        親コメント
      • by Anonymous Coward
        > VISA認証サービス [visa.co.jp]というのがありますね。

        そこ、phishingサイトにしか見えないんですが、
        なぜにそう思えてしまうんですかねえ。何かが変。
    • Re:怖いなぁ (スコア:3, 参考になる)

      by paina (16677) <{paina} {at} {paina.jp}> on 2005年03月08日 14時58分 (#705731) ホームページ

      私のカードはNICOSなのですが,
      SkypeOutと某パソコンショップでの決済の時,
      NICOSのWebのサービス [nicos.co.jp]に用いるIDとパスワードも聞かれました.
      どうやらNICOSカードで,かつNICOSのWebのサービスに申し込んでいるときは,
      そのアカウントでも認証しないと決済しないようです.

      VISAじゃないけどNICOSもそれっぽいことやってるぞということで.

      # 最近はセキュリティーコード [sonystyle.com]を使わないと決済できない場合も少しずつでてきましたが,
      # それもカード自体の盗難には無意味ですね….

      親コメント
      • by hottad (7130) on 2005年03月08日 16時40分 (#705778) 日記
        >SkypeOutと某パソコンショップでの決済の時,
        >NICOSのWebのサービスに用いるIDとパスワードも聞かれました.

        店員さんに聞かれてそれを教えてしまうなんてよくないぞ。と思ってしまった。(^_^;;

        ということではなくて、
        「Web上で決済しようとした時に、上記のIDとパスワードの入力を求められた」
        という事なんですよね。

        #ところで、
        #件の「NICOSのWebのサービス」のログインに関してですが、ID、パスワードのFORMがSSLでないページ上にあります。
        #「ログイン時のセキュリティについて」で
        ログインをするページはSSL対応ページではありませんが、ログインボタンを押下するとSSL128ビット暗号化通信の接続を確立したのちに暗号化したデータで処理を行っておりますので、安心してご利用下さい。


        #なんて書いてありますが、安心できません。ログインページの正当性、安全性は誰が保障してくれるのでしょうか。
        #決済時にも使用するID,パスワードなんだから、ぜひ入力フォーム自体もSSLで暗号化されたページにしてください。

        #その甘さが原因でID,パスワードが情報流出しないことを祈ります。(と、まとめてみる)
        親コメント
        • by sakuya-m (14007) on 2005年03月08日 17時27分 (#705791) 日記
          >#なんて書いてありますが、安心できません。ログインページの正当性、安全性は誰が保障してくれるのでしょうか。

          一瞬、技術的にもんだいねぇーと突っ込みかけましたが、よく考えると、
          ログインページもSSL => SSL証明書である程度鯖は正当っぽい => その鯖のFORMは大丈夫そうだ => ウマー
          という意味なのですね・・・orz
          --
          ---にょろ~ん
          親コメント
      • by fx (21145) on 2005年03月08日 19時20分 (#705847) ホームページ 日記
        UC MasterでSkypeOutを買ったときにも、MasterカードのSecure Codeを
        確認させられました。突如日本語が出てきてびっくりした記憶が。
        親コメント
    • by azazaz (24181) on 2005年03月08日 14時30分 (#705715)
      たしかに番号だけで使えてしまうのは怖いですね

      以前変な請求が来たのでカード会社に電話したことがあります
      すぐにカードを停止して番号を変えて再発行してくれました
      調査に一ヶ月ほどかかりましたが、無事に返金されたので大きな問題にはなりませんでした
      #海外のウェブサイトで電化製品を買われたようでした

      クレジットカードだとカード会社ががんばってくれるので、よかったです
      引き落としの内訳をしっかり確認しておけばあまり大きな問題にはならないと思います
      #もちろん自分でも情報を漏らさないように気をつける方向で
      親コメント
    • by Anonymous Coward on 2005年03月08日 14時39分 (#705721)
      カードどころか控えの伝票に書いてある情報だけでもOKですからね。
      そんなわけで最近は家でもシュレッダーを使ってます。

      #ダイソーの200円のやつだけど
      親コメント
      • by soy_milk (26202) on 2005年03月09日 1時24分 (#705987) 日記

        そもそも控え伝票にそんなに仔細に情報を表示する必要はないでしょ、という話がありますね。

        金融機関がこうした問題に敏感でないというのは論外ですが、一般商店の店員や消費者もけっこう感覚が鈍いのかもしれません。

        以前、漫画喫茶に入ろうとしたら「会員制です。登録には身分証明省が必要です」と言われ、「今日は身分証明書を持ってません」と言って帰ろうとしたところ、「クレジットカードでもけっこうですよ。ただ、こちらでコピーを取らせていただくことになるんですが」と言われて驚いたことがあります。なにが悲しくて漫画読むだけのために、そんな危険なことをせにゃならんのか。

        まあ、実際には、その他の身分証でも、コピーを取られる以上はあまり安全とは言えないような気がしますが……

        親コメント
  • 05/02/22 00:15:12 (スコア:2, 参考になる)

    by u1p (2709) on 2005年03月08日 13時28分 (#705676) 日記
    http://life7.2ch.net/test/read.cgi/credit/1108887444/77

    不正利用された本人が一週間ほど経って掲示板に質問した模様。
    ネットの上での報告はこれが初出でしょうか。
    やっぱり遅いですかね?>対応
  • by Anonymous Coward on 2005年03月08日 13時10分 (#705660)
    日経のとあるセミナーで某保険会社が「事件発覚後72時間が発表の限界」と出していました。 それに基づくと、1月の発覚後の2/25発表は遅すぎますし、3月のカード再発行も遅すぎる様な気がします。 もっとすばやく対応すべきだったのではないでしょうか。 あと、宿泊利用権1000円というのはありなんですか?
    • by Anonymous Coward on 2005年03月08日 20時00分 (#705861)
      Y!BBは漏洩数は多かったものの、その情報を悪用される被害はなかった。
      (それを用いてソフトバンクを強請ったことはされたが)
      漏洩した情報も、住所氏名メアド程度。

      それに対し、今回の漏洩事件では、流出した情報はクレジットカード情報など
      かなり重要なものであり、さらに悪用された。

      前者は500円の商品券で、後者は1000円の宿泊割引券。
      金額には差があるように思えるが、後者はいらないモノ。
      なぜならこういう被害を受けたなら、二度と利用しないというのが
      正しい選択肢だから。

      客観的に見て、今回の被害は酷いものだし、詫びも詫びになっていない。
      発覚後の対応も遅すぎるし、もっと批判を受けていいものだと思う。
      親コメント
      • by Anonymous Coward on 2005年03月09日 1時46分 (#705995)
        >なぜならこういう被害を受けたなら、二度と利用しないというのが
        >正しい選択肢だから。

        どこが正しいんだか・・・
        そういうサドゥンデスの消費行動を取ると、結果的に隠蔽体質の所に消費者が集まるだけですよ。

        無論事故を起こした事は反省しなきゃいけないし、改善もしなきゃいけないのは間違い無い。
        しかし、事故を起こしていない所というのは

        1. きちんとした情報の取り扱いをしていて、情報漏洩リスクを最小限にしている(結果運良くまだ事故に遭遇していない)
        2. 情報の取り扱いはザルだが偶然運良く事故に遭遇していない
        3. カンペキな隠蔽処理によって事故が表に出ていない
        と3通りあって、1以外を選ぶのは一度事故を起こした所を選ぶのと何ら違いは無い。
        1であっても事故は起こり得るし。

        発覚後の対応が遅いと言うけど、既に被害者のカード交換とかしてる訳で、それが終わってから発表したから発表が遅くなってるだけでしょ。
        漏洩が発覚してから、漏洩範囲を特定して、カードを再発行してという手順を踏んでいたら1ヶ月ぐらいかかるのは当然です。
        実際被害に遭った会員にしてみれば、自分に何も連絡が無いうちに、いきなり報道で「漏れたらしい」と知らされるよりは、まずは直接知らされて、対応が終わった後で公表される方が良いだろうし。
        公表する事によって被害が減る場合であれば別だけど、今回の場合は会員でも何でもない人に公表するのは一番最後でいいでしょう。

        親コメント
        • 公表の仕方等については十分背景を知らないため触れませんが,巨視的には,ある程度会員数/シェアが減少する,といったペナルティはあったほうがいいような気がしますね。古典的なしっぺ返し戦略じゃないですが,"裏切り"に対しては反応しないと,裏切りを許容することになってしまうおそれがあります。

          # その結果が500円という相場形成ですな。

          というわけで,考え方の存在はそれなりに必要なのでは,と。
          まー当たり前ですが,謝ればチャラになるってのは甘いですな。
          親コメント
    • それは、対象者が1名の場合ですか? それとも今回のように多数の場合ですか?
    • 宿泊しない人には無価値ですよね。
      金券屋にはいくらで売れるんだろう。
  • 時間が少なくとも一月あったのをどう見るかですねぇ
    混乱を招く可能性があったとしてもとりあえずの段階で情報を出してしまうのか
    一通り情報を整えるまで発表を控えるのか。

    個人的には、クレジットは保険がしっかりしてるので
    問題ないレベルだと思いますし、
    その後の対応は結構すばやいと思います。
    --
    LAN内LAN稼働中
  • by Anonymous Coward on 2005年03月08日 14時42分 (#705722)
    東横イン [toyoko-inn.com]
    は、何回見ても、つい東急イン [tokyuhotels.co.jp]だと思ってしまう。
  • by Anonymous Coward on 2005年03月08日 15時11分 (#705739)
    立派じゃない、...って違うか。
typodupeerror

私はプログラマです。1040 formに私の職業としてそう書いています -- Ken Thompson

読み込み中...