パスワードを忘れた? アカウント作成
276376 story
セキュリティ

ビックカメラ.com、ユーザーのパスワードをリセットしてサービス再開。しかしパスワードの変更は不可 77

ストーリー by hylom
まさかこうなるとは 部門より

あるAnonymous Coward 曰く、

不正アクセスによりユーザー情報が流出、そのためサイトを一時閉鎖していた通販サイトビックカメラ.comが、サービスを再開した。しかし、アカウントを登録していたユーザーに対しては安全性確保のためパスワードのリセットが行われ、新パスワードがメールで送られてきたのだが、そのパスワードでログインした後にパスワードの変更が行えないという、常識では考えられない運用になっている。

会員メニューによると、

下記の個人情報表示に制限を設けています。
段階的に、制限の解除を行っていく予定になっております。(現時点では未定です)
ご不便をおかけしますが、ご了承くださいませ。
万一、情報の変更が必要の場合、当社サポートセンターにご相談をよろしくお願いします。

[制限事項]
「登録内容の変更」:ご利用いただけません。
「パスワードの変更」:ご利用いただけません。
「住所録」:ニックネームのみの表示/変更・削除不可(追加登録のみ可能)。
「メールマガジンの変更」:登録メールアドレスの表示不可。(********@********で表示)
「ご購入履歴」:お届け先住所・氏名情報の表示不可。

とのことで、メールでパスワードを送ってきたにもかかわらず、それが変更できないというまさに「これはひどい」状態。さっそく各所で話題になっているようだ。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • ヘッダ (スコア:4, 興味深い)

    by Anonymous Coward on 2010年11月24日 17時26分 (#1863423)

    送られてきているメールのヘッダ情報を確認したら、
    送信元サーバがシエラ株式会社になっていて、
    メールが本物なのか判断する材料がありません。
    本当に恐ろしいことです。

    • Re:ヘッダ (スコア:3, 参考になる)

      by taka2 (14791) on 2010年11月24日 19時40分 (#1863503) ホームページ 日記

      ビックカメラから届いたメールの送信元は support@cc.biccamra.com になっていて、送信元IPアドレスは s3806.siella.jp [59.106.105.182]
      一方、Sender-ID/SPFでは、

      % dig TXT cc.biccamera.com | grep v=spf
      cc.biccamera.com. 38346 IN TXT "v=spf1 ip4:221.186.88.115 ip4:219.109.2.2 ip4:219.109.2.20 ip4:219.109.1.2 ip4:219.109.1.3 ip4:124.146.170.8 ip4:124.146.170.9 include:spf2.siella.jp ~all"
      % dig TXT spf2.siella.jp | grep v=spf
      spf2.siella.jp. 86384 IN TXT "v=spf1 +ip4:216.255.232.128/26+ip4:216.255.232.192/26 +ip4:216.255.238.0/23 +ip4:59.106.105.128/25 +ip4:59.106.125.128/25 +ip4:59.106.142.0/25 +ip4:210.168.25.128/25 ~all"

      と、パスしています。

      とりあえず biccamera.com からのメールとして、なりすましではないと判断できるかと思います。
      #MITM的に改竄されてないって保証はありませんけど…

      親コメント
    • Re:ヘッダ (スコア:2, 参考になる)

      by Anonymous Coward on 2010年11月24日 19時26分 (#1863495)

      普段は「Received: from bsmtpホゲホゲ.biccamera.com」から送ってくるのに今回は「Received: from sホゲホゲ.siella.jp」だし、パスワードだけっつーのがねぇ。

      登録している名前とパスワードで送ってくる、あるいは「今回のメールだけsiella.jpから送信します」とアナウンスしているならともかく、これじゃ信用ならないですね。

      親コメント
    • 電子署名付きのメールでパスワード以外の諸連絡もすべて署名付き。
      一昔前のフィッシング詐欺の経験からでしょうが・・・

      個人的にはIDやPWといった重要なデータを平文で送信しているのも気になりますねぇ。
      親コメント
  • 作りかけ (スコア:4, すばらしい洞察)

    by fcp (32783) on 2010年11月24日 21時53分 (#1863572) ホームページ 日記

    [制限事項]
    「登録内容の変更」:ご利用いただけません。
    「パスワードの変更」:ご利用いただけません。
    「住所録」:ニックネームのみの表示/変更・削除不可(追加登録のみ可能)。
    「メールマガジンの変更」:登録メールアドレスの表示不可。(********@********で表示)
    「ご購入履歴」:お届け先住所・氏名情報の表示不可。

    安全性強化のため [biccamera.co.jp]」などと戯言を言っていますが、どう見ても開発途中です。本当にありがとうございました。

    (それとも、利用者に不便を強いることをセキュリティーと勘違いしているのでしょうか。そういう人、たまにいますけれど……。)

    パスワードが変更できないのは問題ですけれど (ビックカメラのパスワードを間違えて別のサイトで入力してしまったら、即座にパスワードを変えたいのに、このシステムではそれができません)、それより根本的に、作りかけのシステムでサービス再開ってのは嫌ですね。

    • by Anonymous Coward on 2010年11月25日 15時54分 (#1864067)
      必死で株主総会の前に再開させたんでしょうね。 きっと荒れてるんじゃないだろうか。
      親コメント
      • 必死で株主総会の前に再開させたんでしょうね。

        なんと、そういうことですか。確かにそれはありそうです。

        ビックカメラの株主総会の様子 [webry.info]を詳しくブログに書いてくれている人がいました。どの程度正確に書かれているかは知る由もありませんが、本件に関しては、

        Q ID不正使用について
        A 詳細は事件が捜査中なのでコメントできないが、外部機関からもう安全との評価を貰った。安心して使って欲しい。

        とあるだけでした。この程度で株主総会が荒れたりはしないみたいですね。

        親コメント
  • パスワードをメールで送付していたのは知ってた [srad.jp]けど、まさかそのPWが変更不可だったとは知らなかった。

    通勤の乗換え駅にビックのリアル店舗があるから、ちょくちょく消耗品の購入で利用し、そのつどポイントは全額使用するからネットショップの運営が杜撰でもオイラにたいした実害はないからいいけど…

    • ちなみに、当初サイトトップ [biccamera.com]で「メールもしくはDM(ダイレクトメール)にて順次送付」 [gigazine.net]だったのが今は単に「順次パスワードを送付」と変更され、送付方法に関しては言及されてませんね。

      さすがに、メールでパスワード送付する危険性を認識したのでしょうか?

      親コメント
      • メールに平文でパスワードが書かれているのは盗聴へのリスクがあるのは判りますが個人的には
        リスク評価し利便性と天秤にかけたら受容かなと。

        正直、何で通知されることを期待されていますかね。
        ざっと考えても
        1. httpsで渡す。渡す前の本人確認に完全性がない.
              (すでにID/Passが漏れているから)
        2. Mail + PGP を使う
            メールアドレスにひもづくPGPのキーが手に入れば良いソリューションでしょう。
            PGPの利用者がしれているので網羅性に欠ける。
        3. 郵便やクロネコ便などで送付。
            時間がかかるので利便性に欠ける。
            電子メールの経路を盗聴されるのと、配達中に盗まれる、または悪意のある
            郵便屋の中の人が覗き見る可能性のどちらがリスクがあるのか評価が必要。
            ただし、圧縮葉書(というのかな)などは盗み見られたことを検知あすることは
            電子メールよりアドバンテージがあると思われる。
        4. Mail で平文
            経路途中で盗聴される可能性がある。
        5.電話で伝える
            電話の発信元認証ができない(発信番号は偽造可能)。
            口頭ではパスワードを聞き間違える可能性がある。
            電話でも途中経路で盗聴される可能性はある。
        6. 1-5を選択できるようにする。
            選択させるときの本人認証が困難。

        どうでしょうか。これならメールで平文もありかと考えています。
        もっと良い方法があれば教えてほしいです。

        なおパスワード変更できないと言う点はあり得ないと考えています。
        親コメント
    • by Anonymous Coward on 2010年11月24日 16時19分 (#1863370)
      他人ごとながら「えー、メールで送るのー? でもメールが着いたら速攻でパスワードを変更すればまあギリギリ…」とか思ってたところにこのニュースですよ。開いた口がふさがりません。
      親コメント
    • by Anonymous Coward on 2010年11月24日 16時45分 (#1863387)
      逆にですよ。
      『弊社が全ての責任を負います!全額保障します!』宣言だと解釈すれば・・・・・・・
      親コメント
      • >『弊社が全ての責任を負います!全額保障します!』宣言だと解釈すれば・・・・・・・

        固定パスワードなのだから、破られたらその設定を行った側に責がある..というのは、ちょっと無理だろうね。
        安易なパスワードって、どこまでが安易?とか、そういった説明があのサイトにはなかったと記憶している。

        親コメント
    • by Anonymous Coward

      とはいえ安易に「危険なパスワード」に変更しちゃうユーザーの存在を考えるとどうするのが良いんだろうね。

      #危険なパスワードに変更したユーザーの自己責任?それで商売になれば苦労はしない

      • とはいえ安易に「危険なパスワード」に変更しちゃうユーザーの存在を考えるとどうするのが良いんだろうね。

        「危険なパスワード」リストを作って、それと一致したら駄目にするとか?

        ビックカメラのパスワード変更は「今のところ出来ない」だけのような気がするけど、違うのかな。

        親コメント
        • by Anonymous Coward on 2010年11月24日 23時22分 (#1863626)
          >>とはいえ安易に「危険なパスワード」に変更しちゃうユーザーの存在を考えるとどうするのが良いんだろうね。 >「危険なパスワード」リストを作って、それと一致したら駄目にするとか? パスワード流出が起きた某ネトゲの経験から言えば、「元のパスワードに戻す」奴が結構居ましてな・・・。 「いやそれ流出してるからダメでしょwww」と突っ込むと、「パスワードが変わるとログインできない;」という返事が。 今回のパス変更禁止が、そこまで考えての処置かどうかはわからないですが、 こんな恐ろしい事もあるということで。 スラドの住人からすりゃ信じられないっしょ? 実話だよこれ。
          親コメント
        • by Anonymous Coward

          >「今のところ出来ない」
          そんな状態でサービス再開するな。変更できない間にメールから盗まれたパスワードで被害が発生したらまた弁償すればいいだけとでも思ってるのか?

      • では初めから全員危険なパスワードにリセット [togetter.com]しましょう。そうすればみんな平等です。
        # 「パスワードを平文で保存するなんて頭おかしい(キリッ」とか言われて、システム移行時のパスワード引き継ぎのこととか何も考えないで「対策」に走るとこうなります。
        # 何かをすればしないより常に無条件でマシなんてうまい話はそうそう転がっていません。

      • by Anonymous Coward

        ・○文字以上必須
        ・数字を含む
        ・記号を含む
        ・大文字小文字の双方を含む

        というパスワード以外には変更できないように設定する。

        そしてユーザーから膨大な苦情と「パスワードわからなくなった」メールが……

      • by Anonymous Coward
        今回不正に使われたパスワードをcracklib [sourceforge.net]の辞書に登録しておくんだ!・・・ちゃんと辞書チェックしてるならね。
        それにしても再開案内を見ててっきり、メール=ハガキで新しいパスワード送ったのかと思ってたらEメールかよ。
        第三者機関という名のセキュリティ企業はそれでいいと思ったのか?
      • by Anonymous Coward

        >とはいえ安易に「危険なパスワード」に変更しちゃうユーザーの存在を考えるとどうするのが良いんだろうね。

        ・メールアドレスと同じ語句を含むパスワードは設定できません
        ・パスワードは5文字以上、20字以内でお願いします。必ず数字を入れてください。

        みたいなこといわれるけどこのアカウントはさして重要でもないしカネもからんでないし最悪ハックされても文句言わないしそれよりそんな数字入れたりメアドと違えたりすると絶対忘れるんだけどなあ…ってことは時々あります。

        五歳児を見守るママじゃないんだからユーザーの勝手に任せてくれてもいいと思うのだ。

        • by Anonymous Coward

          > 五歳児を見守るママじゃないんだからユーザーの勝手に任せてくれてもいいと思うのだ。

          あ・ま・い・!

  • ビックカメラ.comが勝手にパスワード変更してメールを送りつけてきた! [zapanet.info]というブログを読むと,

    事件後、メールが届いたのも今日が初めてで、知らない人には何を言っているのかわからないと思います。メール本文にユーザーの名前も書かれていないので、このメールを「なりすまし」によるフィッシングメールだと思っている人も多いみたいです。

    とあります.

    本文に誰宛か書かれていないようですが,パスワードまで同じ文章が登録ユーザー全員に送られていたりして?

    さすがに,そんなことは無いですよね.

    --
    kero
    • by adeu (2937) on 2010年11月24日 17時13分 (#1863413)
      じゃあそれを確かめるために、みんなでここにさらそうか。 :-)

      私は実店舗でしか買い物をしたことがないので、いつの間にか作ったらしいログインIDも思い出せないわけですが、
      ただ送られてきたパスワードに bic が含まれていたので嫌な気分でした。
      親コメント
    • by Anonymous Coward on 2010年11月24日 19時07分 (#1863488)
      cc付きで同じパスワードを全員に送ってたら完璧だった。
      親コメント
    • by Anonymous Coward

      まだパソコン通信が黎明期だった頃、ascii netではデフォルトパスワードが8種類しかなかったそうな。
      料金未納でアカウントを止められた人がそれを知っていたため、デフォルトパスワードのままの人のアカウントでログイン(成功確率1/8)し、
      アカウントファイルを書き換え(一般ユーザでそれができたらしい)て、自分のアカウントを復活させたとかなんとか。

      25年近く前とはいえ、こういうこともあったらしいので安心してはなりません。

      # 真偽のほどは不明。

  • by Anonymous Coward on 2010年11月25日 0時28分 (#1863660)

    退会できました。

    通知されたパスワードでログイン→会員メニューから退会→何度か確認されるが退会を選ぶ→ログアウト&再ログイン不可となりました。

  • ビックカメラだけにビックりな対応だ。
  • by Anonymous Coward on 2010年11月24日 15時57分 (#1863355)

    特定一か所しか例示していないが
    (ここではそれで十分だが)

    • by Anonymous Coward

      ”ビックカメラ パスワード 変更” [google.co.jp]でググッたら約 102,000 件ヒットするので母集団としては十分でしょう。

      • Re: (スコア:0, おもしろおかしい)

        by Anonymous Coward

        それがすべて/.jだったらどうしようかと恐る恐るリンクをクリック...

typodupeerror

にわかな奴ほど語りたがる -- あるハッカー

読み込み中...