パスワードを忘れた? アカウント作成
9778 story

東横インとりそなカード、情報流出の後始末 75

ストーリー by yoosee
起きてはいけないことが起きてしまったら 部門より

saitoh 曰く、 "すでに goo ニュース(読売) の記事 河北新報の記事 などで報道されているように、 ビジネスホテルチェーン 東横イン のメンバーズカード(りそなカードのクレジットカードになっている)の顧客情報が流出し、実際に不正使用が起こった。 ほとんどは不正使用検知システムで未遂に終わったらしい。 りそなカードのWebサイト トップページ にも お詫びのアナウンスが掲載されている。

東横インとりそなカードは、すべてのカードを番号を変更して再発行することに決めた模様。僕のところにも、3月5日に1000円の宿泊券とともに新しいカードが送られてきた。電話料金やETCなどのカード払い契約に関しては、国内に関しては、おおむね顧客がなにもしなくても自動的に新番号に切り替わるとのこと。もちろん、暗証番号やポイントも引き継がれる。 同封の案内文には「万一、不正使用が発生した場合には、お客様に迷惑をおかけしないように誠意をもって対応させていただきます」と書いてあった。

1月に被害が発覚し、2月25日にマスコミ発表、3月当初にカード再発行という流れだが、スラドの皆様は、この対処法と対応速度をどう評価されるだろうか。余談ながら、このクレジットカードは顔写真つき。再発行されて分かったが、発行会社は顔写真データを保持しているようだ。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by Anonymous Coward on 2005年03月08日 13時10分 (#705660)
    日経のとあるセミナーで某保険会社が「事件発覚後72時間が発表の限界」と出していました。 それに基づくと、1月の発覚後の2/25発表は遅すぎますし、3月のカード再発行も遅すぎる様な気がします。 もっとすばやく対応すべきだったのではないでしょうか。 あと、宿泊利用権1000円というのはありなんですか?
    • それは、対象者が1名の場合ですか? それとも今回のように多数の場合ですか?
    • 宿泊しない人には無価値ですよね。
      金券屋にはいくらで売れるんだろう。
    • by Anonymous Coward on 2005年03月08日 20時00分 (#705861)
      Y!BBは漏洩数は多かったものの、その情報を悪用される被害はなかった。
      (それを用いてソフトバンクを強請ったことはされたが)
      漏洩した情報も、住所氏名メアド程度。

      それに対し、今回の漏洩事件では、流出した情報はクレジットカード情報など
      かなり重要なものであり、さらに悪用された。

      前者は500円の商品券で、後者は1000円の宿泊割引券。
      金額には差があるように思えるが、後者はいらないモノ。
      なぜならこういう被害を受けたなら、二度と利用しないというのが
      正しい選択肢だから。

      客観的に見て、今回の被害は酷いものだし、詫びも詫びになっていない。
      発覚後の対応も遅すぎるし、もっと批判を受けていいものだと思う。
      • by Anonymous Coward on 2005年03月09日 1時46分 (#705995)
        >なぜならこういう被害を受けたなら、二度と利用しないというのが
        >正しい選択肢だから。

        どこが正しいんだか・・・
        そういうサドゥンデスの消費行動を取ると、結果的に隠蔽体質の所に消費者が集まるだけですよ。

        無論事故を起こした事は反省しなきゃいけないし、改善もしなきゃいけないのは間違い無い。
        しかし、事故を起こしていない所というのは

        1. きちんとした情報の取り扱いをしていて、情報漏洩リスクを最小限にしている(結果運良くまだ事故に遭遇していない)
        2. 情報の取り扱いはザルだが偶然運良く事故に遭遇していない
        3. カンペキな隠蔽処理によって事故が表に出ていない
        と3通りあって、1以外を選ぶのは一度事故を起こした所を選ぶのと何ら違いは無い。
        1であっても事故は起こり得るし。

        発覚後の対応が遅いと言うけど、既に被害者のカード交換とかしてる訳で、それが終わってから発表したから発表が遅くなってるだけでしょ。
        漏洩が発覚してから、漏洩範囲を特定して、カードを再発行してという手順を踏んでいたら1ヶ月ぐらいかかるのは当然です。
        実際被害に遭った会員にしてみれば、自分に何も連絡が無いうちに、いきなり報道で「漏れたらしい」と知らされるよりは、まずは直接知らされて、対応が終わった後で公表される方が良いだろうし。
        公表する事によって被害が減る場合であれば別だけど、今回の場合は会員でも何でもない人に公表するのは一番最後でいいでしょう。

        • 公表の仕方等については十分背景を知らないため触れませんが,巨視的には,ある程度会員数/シェアが減少する,といったペナルティはあったほうがいいような気がしますね。古典的なしっぺ返し戦略じゃないですが,"裏切り"に対しては反応しないと,裏切りを許容することになってしまうおそれがあります。

          # その結果が500円という相場形成ですな。

          というわけで,考え方の存在はそれなりに必要なのでは,と。
          まー当たり前ですが,謝ればチャラになるってのは甘いですな。
  • 怖いなぁ (スコア:2, 興味深い)

    by alan (23827) on 2005年03月08日 13時12分 (#705661)
    クレジットカードの場合はわざわざ偽造カード作らなくても、インターネット決済がカードに書いてある情報(番号と期限と名前)だけで使えちゃうからなぁ。
    パスワードすら無いし…。

    そういえば、VISAかどっかがインターネット決済のセキュリティ対策やってたような気がするけど、どんなのだっけ…?
    • Re:怖いなぁ (スコア:3, 参考になる)

      by samayoi (16974) on 2005年03月08日 13時29分 (#705677) ホームページ 日記
      VISAかどっかがインターネット決済のセキュリティ対策やってたような気がするけど、どんなのだっけ…?
      VISAの場合ですと、VISA認証サービス [visa.co.jp]というのがありますね。私は利用していないのですが、事前に登録しておいたフレーズを表示して確認させ、さらにパスワード認証を行わせるもののようです。
      同様のサービスとしてJCBのJ/Secure [jcb.co.jp]というのもあります。
      • by Anonymous Coward
        > VISA認証サービス [visa.co.jp]というのがありますね。

        そこ、phishingサイトにしか見えないんですが、
        なぜにそう思えてしまうんですかねえ。何かが変。
      • by ruto (17678) on 2005年03月08日 14時56分 (#705730) 日記
        認証サービスに対応したサイト以外ではカードを使えないように設定できるといいのに。
    • by azazaz (24181) on 2005年03月08日 14時30分 (#705715)
      たしかに番号だけで使えてしまうのは怖いですね

      以前変な請求が来たのでカード会社に電話したことがあります
      すぐにカードを停止して番号を変えて再発行してくれました
      調査に一ヶ月ほどかかりましたが、無事に返金されたので大きな問題にはなりませんでした
      #海外のウェブサイトで電化製品を買われたようでした

      クレジットカードだとカード会社ががんばってくれるので、よかったです
      引き落としの内訳をしっかり確認しておけばあまり大きな問題にはならないと思います
      #もちろん自分でも情報を漏らさないように気をつける方向で
    • by Anonymous Coward on 2005年03月08日 14時39分 (#705721)
      カードどころか控えの伝票に書いてある情報だけでもOKですからね。
      そんなわけで最近は家でもシュレッダーを使ってます。

      #ダイソーの200円のやつだけど
      • by soy_milk (26202) on 2005年03月09日 1時24分 (#705987) 日記

        そもそも控え伝票にそんなに仔細に情報を表示する必要はないでしょ、という話がありますね。

        金融機関がこうした問題に敏感でないというのは論外ですが、一般商店の店員や消費者もけっこう感覚が鈍いのかもしれません。

        以前、漫画喫茶に入ろうとしたら「会員制です。登録には身分証明省が必要です」と言われ、「今日は身分証明書を持ってません」と言って帰ろうとしたところ、「クレジットカードでもけっこうですよ。ただ、こちらでコピーを取らせていただくことになるんですが」と言われて驚いたことがあります。なにが悲しくて漫画読むだけのために、そんな危険なことをせにゃならんのか。

        まあ、実際には、その他の身分証でも、コピーを取られる以上はあまり安全とは言えないような気がしますが……

    • Re:怖いなぁ (スコア:3, 参考になる)

      by paina (16677) <painaNO@SPAMpaina.jp> on 2005年03月08日 14時58分 (#705731) ホームページ

      私のカードはNICOSなのですが,
      SkypeOutと某パソコンショップでの決済の時,
      NICOSのWebのサービス [nicos.co.jp]に用いるIDとパスワードも聞かれました.
      どうやらNICOSカードで,かつNICOSのWebのサービスに申し込んでいるときは,
      そのアカウントでも認証しないと決済しないようです.

      VISAじゃないけどNICOSもそれっぽいことやってるぞということで.

      # 最近はセキュリティーコード [sonystyle.com]を使わないと決済できない場合も少しずつでてきましたが,
      # それもカード自体の盗難には無意味ですね….

      • by hottad (7130) on 2005年03月08日 16時40分 (#705778) 日記
        >SkypeOutと某パソコンショップでの決済の時,
        >NICOSのWebのサービスに用いるIDとパスワードも聞かれました.

        店員さんに聞かれてそれを教えてしまうなんてよくないぞ。と思ってしまった。(^_^;;

        ということではなくて、
        「Web上で決済しようとした時に、上記のIDとパスワードの入力を求められた」
        という事なんですよね。

        #ところで、
        #件の「NICOSのWebのサービス」のログインに関してですが、ID、パスワードのFORMがSSLでないページ上にあります。
        #「ログイン時のセキュリティについて」で
        ログインをするページはSSL対応ページではありませんが、ログインボタンを押下するとSSL128ビット暗号化通信の接続を確立したのちに暗号化したデータで処理を行っておりますので、安心してご利用下さい。


        #なんて書いてありますが、安心できません。ログインページの正当性、安全性は誰が保障してくれるのでしょうか。
        #決済時にも使用するID,パスワードなんだから、ぜひ入力フォーム自体もSSLで暗号化されたページにしてください。

        #その甘さが原因でID,パスワードが情報流出しないことを祈ります。(と、まとめてみる)
        • by sakuya-m (14007) on 2005年03月08日 17時27分 (#705791) 日記
          >#なんて書いてありますが、安心できません。ログインページの正当性、安全性は誰が保障してくれるのでしょうか。

          一瞬、技術的にもんだいねぇーと突っ込みかけましたが、よく考えると、
          ログインページもSSL => SSL証明書である程度鯖は正当っぽい => その鯖のFORMは大丈夫そうだ => ウマー
          という意味なのですね・・・orz
          --
          ---にょろ~ん
      • by fx (21145) on 2005年03月08日 19時20分 (#705847) ホームページ 日記
        UC MasterでSkypeOutを買ったときにも、MasterカードのSecure Codeを
        確認させられました。突如日本語が出てきてびっくりした記憶が。
  • 時間が少なくとも一月あったのをどう見るかですねぇ
    混乱を招く可能性があったとしてもとりあえずの段階で情報を出してしまうのか
    一通り情報を整えるまで発表を控えるのか。

    個人的には、クレジットは保険がしっかりしてるので
    問題ないレベルだと思いますし、
    その後の対応は結構すばやいと思います。
    --
    LAN内LAN稼働中
  • by akiraani (24305) on 2005年03月08日 13時27分 (#705674) 日記
     そもそもなんでもかんでもクレジットカードをつけようとするのが、諸悪の根源なのではなかろうか。
     決済がカードになって楽っても、どこかしこもやられるとクレジットカードの枚数がぼこぼこ増えて管理がめんどくさいったら……。

    #社員証にクレジットカードつけてつけてなんに使うんだ~

    --

    //ソリッドファイター完全版 [fukkan.com]復刊賛同者募集中/

  • 05/02/22 00:15:12 (スコア:2, 参考になる)

    by u1p (2709) on 2005年03月08日 13時28分 (#705676) 日記
    http://life7.2ch.net/test/read.cgi/credit/1108887444/77

    不正利用された本人が一週間ほど経って掲示板に質問した模様。
    ネットの上での報告はこれが初出でしょうか。
    やっぱり遅いですかね?>対応
  • by Anonymous Coward on 2005年03月08日 14時42分 (#705722)
    東横イン [toyoko-inn.com]
    は、何回見ても、つい東急イン [tokyuhotels.co.jp]だと思ってしまう。
  • by Anonymous Coward on 2005年03月08日 15時11分 (#705739)
    立派じゃない、...って違うか。
typodupeerror

アレゲはアレゲを呼ぶ -- ある傍観者

読み込み中...