スラッシュドット・ジャパン

http://emagazine.rakuten.co.jp/ns?act=chg_rmail&k=%25CIlD-u0Lwi [rakuten.co.jp]...​

URLにセッション追跡や認証のための情報を埋め込む手法については、ずっと前から「Refererから漏洩する」という危険性が指摘されてきました。逆に、「ユーザが自分で積極的にリンクする」なんてことはあまりないだろうと思っていましたが……ソーシャルブックマークの普及によって気軽にリンクができるようになり、ユーザが自分でリンクしてしまう可能性も増しているわけですね。

この「k=......」のパラメータ部分ですが、セッションIDではなく、当該ユーザのメールアドレスを何らかのアルゴリズムで暗号化しただけのものっぽいです。

Googleで5個ほどの事例を見てみたところ、この「k=......」パラメータの文字列長は、どれもその人のメールアドレスの文字列長 + 4 となっていました。

4文字は何でしょうね。鍵でしょうか。どうせろくでもない独自暗号ではないかと思われます。もし暗号アルゴリズムがバレていたら、どんなことになっていたか……

……メールアドレスからどのユーザの情報でも引き出せていたと考えられます。Googleにキャッシュされてないものも全部。

楽天はそういうことが起きてなかったか確認する義務があるんじゃないですかね。

検索エンジンのクロールによってだと思いますので、被リンクのあるページだけになると思います。

害についてですが「本名」と「メールアドレス」がセットでバレるのは人によっては結構いたいです。

第三条　何人も、不正アクセス行為をしてはならない。

２　前項に規定する不正アクセス行為とは、次の各号の一に該当する行為をいう。 　

一　アクセス制御機能を有する特定電子計算機に電気通信回線を通じて
当該アクセス制御機能に係る他人の識別符号を入力して当該特定電子計算機を作動させ、
当該アクセス制御機能により制限されている特定利用をし得る状態にさせる行為
（当該アクセス制御機能を付加したアクセス管理者がするもの及び
当該アクセス管理者又は当該識別符号に係る利用権者の承諾を得てするものを除く。） 　

二　アクセス制御機能を有する特定電子計算機に電気通信回線を通じて
当該アクセス制御機能による特定利用の制限を免れることができる情報
（識別符号であるものを除く。）又は指令を入力して当該特定電子計算機を作動させ、
その制限されている特定利用をし得る状態にさせる行為
（当該アクセス制御機能を付加したアクセス管理者がするもの及び
当該アクセス管理者の承諾を得てするものを除く。次号において同じ。）

三　電気通信回線を介して接続された他の特定電子計算機が有するアクセス制御機能により
その特定利用を制限されている特定電子計算機に電気通信回線を通じて
その制限を免れることができる情報又は指令を入力して当該特定電子計算機を作動させ、
その制限されている特定利用をし得る状態にさせる行為