|
先日のａｍｅｂａの不正ログイン、不正アクセスの件。
こむりん先生がＹａｈｏｏ！ブログに記事投稿したら、サイバーエージェントを名のる人物から電話きて、ああいう記事やめてくれないか、内輪のブログだけにしてほしい〜とか懇願されたらしい。それで所属部署を尋ねた途端ガチャっと切れたそうな。どうなってんのよ。なにやってんの？
あれね、公式には５万、２２９万回と報道発表されてるけどね、それで全部ではないからね。まだ未発表の内容もあるんだからね。
いうまでもないけど、のっとられた被害者数。桁違い。警察が捜査中ということだから具体的な内容は控えていますよ。
記事リンクしておきます。
これでも控えめな内容ですけどね。
|
アメーバピグ相談室
[ リスト | 詳細 ]
こちらに、アメーバピグについての相談室を試験的に設けておきます。基本として�．團娃稗津霪馮鏗押↓�運営に年齢規制された・・この２点について、お困お悩みの方、ご自由に意見を寄せてください。
よろしければ情報提供・報告・相談内容などコメント欄に書き込みください。
コメント（0）
|
サイバーエージェント（東京都渋谷区）は１１日、ブログなどのインターネットサービス「Ａｍｅｂａ（アメーバ）」で、５万９０５件の利用者アカウントが不正にログインされたと発表した。同社は１１日までに警視庁渋谷署に被害届を出したほか、利用者にパスワードの変更を求めている。
同社によると、不正ログインが確認されたのは４月２９日〜５月７日で、不正アクセスは約２２０万回に上った。利用者のメールアドレスや生年月日などの情報が閲覧された可能性があるが、改ざんなど悪用された形跡はない。
２０１０年９月からアメーバ歴５年８か月の私案
こんなふうに、プリペイド番号を参考にしてみるといいかもよ。
ｄｊ5ｙ3ｖF92uQｗ26ｆｚｙ（仮例その１）
6gy29yK4sx141u8Lp（仮例その２）
これを定期的に大幅変更するくらいの用心を。
【要領】 推測不能なものにすること
（１）英文字は大文字・小文字を混ぜること、数字も混ぜる。
（２）辞書にない文字列にする。
（３）氏名、愛称、住所、生年月日、車番、趣味に関するものなどは論外。
【注文】Ａｍｅｂａの場合
桁が短すぎる。これを最低１６桁以上に設定するようにシステム改正を。
amebaは、こんなトンデモ大失態やらかしている
４か月も放置！不正アクセス２４万件
信頼する友人だからとパスワードを共有するのは最悪。
Ｙａｈｏｏ！、Ｇｏｏｇｌｅ、ameba、Twitter、Facebookなど幾つものＳＮＳのパスワードの使いまわしは論外中の論外。１つ１つ別のものにしておけば、そのうち１つ不正ログインされても他のＳＮＳまで及ばないように、そのくらいの用心は最低の線。
そんなに幾つも管理しきれないというなら安易に拡げないこと。
|
|
ＳＮＳの不正アクセス、アカウント盗難事件、
いわゆるアカウントのっとり被害があとを絶たないのです。
アメーバピグでも相変わらずです。
これを完全に防ぐのは難しい。なぜ難しいかといえば、ユーザー各位のセキュリティ意識の問題（危険性の再確認）でもあるからです。
アカウント管理責任において「横着」したいユーザーが多いほど、犯罪者は“やりたい放題”ということになる。
秘密の合言葉なんて設定したところで、そんなもの忘れちゃうしねえ。指紋認証は、お風呂あがりなど指紋がふやけてると認証されないからログインできません。そこでログインしたままお風呂に・・・なんて次善の策をとることに・・・
マイクロソフトＯｆｆｉｃｅのプロダクトキーなんて、少なからぬユーザーが紛失（しまい忘れ、ゴミとして家族に捨てられちゃってることに気付くことも）するもんね。
【アカウント盗難事件】
不正アクセス禁止法は国内法なので、海外犯だと捜査の手が及ばない怖れが出てくる。アラビア語圏の不正アクセス犯罪が多いのは現地まで日本の警察の捜査の手が及ばないからです。いろいろ有効策はあれど完全に防ぐのは難しい。ユーザー各位のセキュリティ意識は必要（危険性の再認識と自衛策）。 ＳＮＳ運営各社・法務省・警察庁・外務省ともに有効な対策の研究が必要。アラブ系であっても犯人が国内にいる場合は、居場所を突き止めれば検挙できるが、自国にいる場合は相手国の外務省や警察の協力がないと難しいらしい。
国際犯罪（国際法）だとインターポール（国際刑事警察機構）があるけれど、国内法の場合は法の及ぶ範囲が日本国内に限定される。
被害届を受理した警察→警察庁→日本の外務省→対象国の外務省→現地の警察・・・身柄の引き渡しなど幾つもの関門を突破しないとできないらしい。 |
- >
- コンピュータとインターネット
- >
- インターネット
- >
- ネットサービス
|
やはり想像していた範囲の規模でした。 こちらhttp://bit.ly/16c5pJzをどうぞ。 不正ログインがあった事実を認めて警視庁渋谷署に刑事告発し、 全ユーザーにパスワードの変更を呼びかけるに止まっているのは、なんとも理解に苦しむところです。 残念ながら１００点満点で評価するなら、２５点かな〜、といったところです。 どういうことかというと、このままではログインできない、という時にどうします？ 「パスワードを忘れた」として再発行を求めるじゃないですか。 アメーバでは、新しいパスワードを２つ入力して「保存」をポンと押すだけで再発行です。 たったそれだけで一発設定できてしまうんですよ。 じつはね、この時にメールアドレスまで変更できるから困るんです。
なんで困るか。たとえ不正ログインされたとしても「パスワードを忘れた」として再発行からパスワードだけ変更されてＩＤを乗っ取られても、同じようにパスワード再発行でＩＤを取り返せますけど、メールアドレスまで変更されてしまうと、ＩＤを取り戻せないのです。困ったことに通報しても問い合わせても運営は認めません。 わざわざユーザー本人が警察に出向いて、そこからサイバー犯罪対策室の担当者から直接電話してもらっても、それでもサイバーエージェントは、「こちらからはＩＤ削除できないので自主退会の手続きを」という強硬な構えで、ユーザー本人にＩＤを返すことを頑なに拒否する。マイナス２５点。 このように、①パスだけでなくメアドまで変更されて簡単にＩＤを盗まれやすい。②いったんＩＤを盗まれると、よっぽど「自己責任」にこだわるのか、事情聴取した警察でさえ（さっさと返してやればいいじゃない？）と同情するくらい、運営はＩＤ返還を異常まほど頑なに拒否する。 はじめに新規登録した時のＰＣのメールアドレスに宛てて、ユーザー本人がパスワードの変更をしたかどうか確認のメールを送付する、それで返信を待ち、本人に相違なければ新パスワードは有効になる、その返事があるまでは有効にならない・・・というのが水際で阻止できていいかな〜と思うのです。 ここが盗難を阻止する最期の砦として機能するよう改善すれば５０点。だからマイナス５０点。 要するに不正ログインが桁違いの規模になっているため、ひとつ、ひとつに対応できず、収拾がつかない状況に陥ってるのだとしか思えない。それならそのようにと誠実に伝えればいいものを、盗まれたピグを取り戻すよう求める被害者の要請に「自主退会せよ」と、傲慢な回答をしているらしいことが相次いで告発されている。 アラビア文字の集団とみられる不正ログインで、いま、やりたい放題であることも認めていない。 ７月２３日午後に不正ログインされて、直後に通報したにもかかわらず、運営は動かず、８月１４日現在に至るまで犯人は自由自在に出没（一日数回以上ログイン観測）しているのです。
|
|
やはり不誠実な対応を続ける運営会社に最大の責任か
ユーザーＩＤの管理は自己責任であり、いったん盗難に遭えばユーザー自身の落ち度とする建前であり、たとえＩＤ盗難の通報があろうと警察沙汰になろうと一切返還には応じない、諦めて旧ＩＤは退会手続を、ご面倒でも新規要録してＩＤ取得してお楽しみください…という態度であり、これが社会通念上おかしいと悪評なんです。 新規登録となればゼロから新たに始めるわけだから、それだけ課金が期待できるという商業主義の皮算用なんでしょうが、そうは問屋が卸さないのです。 一連のピグＩＤ盗難事件を追跡してきて、とても気になる情報を入手しました。どうやらａｍｅｂａhack＝アメーバハックというPW解析ツールがあるらしい。 もともとこれは、盗まれたPWを奪い返すために開発されたものらしいのですが、それが悪用されているとのこと。それも公開されていて誰でもDLもできてしまうとか。 それについて素朴な疑問が残る。 先ず、（アメーバ運営の不誠実な対応に泣かされるユーザーの、背に腹を変えられず解析ツールに救いを求めたくなる気持ちも理解できないでもない）ということです。 但し、どのような大義名分があろうとも、ａｍｅｂａで公式に認められていない不正ツールであり、それを使えば１００％アウトだという冷徹な事実です。 ましてや悪戯目的に悪用する（どこの分野にも必ず一定数存在する愉快犯）など以ての外だと思います。ここの認識が曖昧な未熟なユーザーが（赤信号みんなで渉れば怖くない）と、誘惑に負けて被害が拡大しているのでは…とも危惧しております。 そう考えますと「PWを奪い返すために開発された」という名目を与えているのは、やはり、これまで不誠実な対応を決め込んできたａｍｅｂａの落ち度であり、刑事裁判的にいえば、背に腹を変えられず、不正ツールの誘惑に負けたユーザーに、盗人にも三分の理の諺の通り、多少の情状酌量の余地は認められ、むしろ誘惑の根本原因となっているａｍｅｂａ運営のアバウト過ぎる体質こそ責任重大である、ということです。 不正に手を染める口実を与えないことも運営の努め きちんと誠実な対応をしているなら、ユーザーは「PWを奪い返す」必要もありませんから、ツール開発者に名目を与えることもなかった、ということになる。 「誠実な対応」とは、いうまでもなく、のっとり被害に遭ったユーザーに登録ＩＤを返してやり「安心」させることです。それでこそ「信頼」が醸成されるのです。 さらに堅実なＰＷ盗難対策を伝授すれば完璧ですね。 ここが致命的に欠損していること、ネットユーザーに対するサービス精神の希薄さ、モラル意識の低さ、企業コンプライアンスの再構築が問われているといえます。 オンラインサービスを運営するサイバーエージェント社として、自浄作用が期待できないのであれば、有識者による第三者委員会に委託されては如何だろうか？ |
