サウンドハウス - 個人情報の流出について
すべての音楽をやる人たちの心強い味方、サウンドハウスのオンラインショップで個人情報流出事件があった。
以前、ヤフーで同様の大規模情報流出事件があったけど、今回のサウンドハウスの方がダメージとしては大きい。
漏れた情報の内容がまたアツい。
お名前
フリガナ
性別
生年月日
ログイン用メールアドレス
ログイン用パスワード
クレジットカード情報 (ご名義 /カード番号 /有効期限)
全部がかなり重要な情報ばかり。メールアドレスとパスワードの組み合わせはAmazonなどでも使われているので、共有のIDでいる人も多いだろう。もちろん、カード番号も。
最近は3Dセキュア認証とかセキュリティコード認証がだいぶ一般的になってきたとはいえ、まだまだ普及し切れていなくて、古いシステムで運用しているショッピングサイトなどではカード番号と名前と有効期限ぐらいであれば与信が通ってしまうこともある(実際はたくさんの情報を必須項目とすることで、見かけの信用を上げているけど、サーバーとやりとりされている情報はごく一部だったりするのが実情)。
さて、今回の件で注目すべきはどんなところか、自分なりにまとめてみた。
前提として「他サイトと共通のIDとか使ってて、それが使われたらどうしよう。」みたいなユーザー側の都合はナシとして、サービス提供者側のみについて考えてみる。
1:SSLとかそういうのは全く意味がない。
うちは128bitSSLだからとか256bitだからとか512bitだからとか1024bitだからとか、そんなのはもはや意味を持たない。顧客を安心させるための材料に過ぎない。
なぜなら、サウンドハウスの場合、データベースにログインパスワードを平文で保存してあったからだ。
サーバーまではいくら強固な暗号化を施したところで、データベースがクラックされたら元も子もない。
2:システム側の信頼性をユーザー側が推し量ることはできない
ベリサインやハッカーセーフやなんたらトラストとかそういったバッジをつけていたところで、そのサイトが信頼できるに足るサイトであるかを、ユーザーが推し量ることはできない。
バックエンドがどういった設計になっていて、セキュリティ対策がどのように施されているか、ユーザーはそれを知るすべがない。仮にそれをアウトプットしたとしても、ITに相当の知識がなければ、何を言っているのかわからないだろう。
今回の情報流出の原因は、SQLインジェクションと呼ばれるクラックの方法で、今となっては割とメジャーな手法であることがわかっている。
古いフレームワークとかを使い回していると、SQLインジェクションでいとも簡単にデータベースの中身を盗み見ることができたりすることもあるわけだけど、システムを作る人は最低限その辺のチェックをすべきだったのではないか。
このあたりは完全にシステムを作った側の落ち度である。
こんなところか。
今回、情報流出があったのは2007年1月1日以降に新規会員登録をした人が対象とあるが、サウンドハウスにログインしても、自分がいつアカウントを作ったのかを調べる方法がなかった。
電話するほかなく、ユーザーにとってはちょっと手間がかかってしまうあたりは何とかしてもらいたい。
これから僕も電話して情報流出があったのかどうかを調べてもらうつもりだけど、果たしてどうなるか…
--追記--
対象外でした。
でも念のためカード関係はクリアにした方がよさそげ。
--追記の追記--
HACKER SAFEサイトへのリンクを追加。
最高水準の安全性が証明されているサイトでSQLインジェクションですか。涙出てきます。