【流通】第三者にポイントを不正使用された「ビックカメラ.com」が本日再開へ［10/11/24］

ソースはギガジン
http://gigazine.net/index.php?/news/comments/20101124_biccamera_com/

第三者によってユーザーのIDおよびパスワードが不正使用され、顧客情報が流出した可能性がある
として11月13日24時から閉鎖されていたビックカメラの公式サイト「ビックカメラ.com」が
本日から再開することが明らかになりました。

サイトの安全性が確認されたとしていますが、暫定措置として一部の機能が制限されています。

詳細は以下から。
【ビックカメラ.com】会員の皆様へ重要なお知らせ
http://www.biccamera.com/

ビックカメラの公式サイト「ビックカメラ.com」によると、第三者機関による
セキュリティ診断によって、同サイトの安全性が確認されましたため、11月24日の午後2時をもって
サイトを再開する予定であるそうです。

そして再開にあたっては安全性確保の為、ユーザーが使用しているパスワード全て変更した
としており、新しいパスワードは現在メールまたはDM（ダイレクトメール）で順次発送している
とのこと。

なお、安全確保のための暫定措置として「ビックカメラ.com」でのポイント使用や会員登録の変更が
停止され、再開後の状況を確認しながら、順次解除する予定となっているほか、一層の安全面を
考慮してクレジットカード情報の事前登録のサービスは停止するとされています。

ちなみにサイトが閉鎖されていたことによる影響を考慮して、ビックカメラは2010年11月12日から
2010年12月31日までにポイント有効期限を迎える会員に対して、ポイント有効期限を
「2011年1月31日」までに延長することを告知しています。

-以上です-
関連スレは
【流通】ビックカメラ、顧客情報流出か　会員ポイント無断使用［10/11/15］
http://toki.2ch.net/test/read.cgi/bizplus/1289794065/l50

不正アクセスによりユーザー情報が流出、そのためサイトを一時閉鎖していた通販サイトビックカメラ.comが、サービスを再開した。
しかし、アカウントを登録していたユーザーに対しては安全性確保のためパスワードのリセットが行われ、新パスワードがメールで
送られてきたのだが、そのパスワードでログインした後にパスワードの変更が行えないという、常識では考えられない運用になっている。

会員メニューによると、

下記の個人情報表示に制限を設けています。
段階的に、制限の解除を行っていく予定になっております。（現時点では未定です）
ご不便をおかけしますが、ご了承くださいませ。
万一、情報の変更が必要の場合、当社サポートセンターにご相談をよろしくお願いします。

[制限事項]
「登録内容の変更」：ご利用いただけません。
「パスワードの変更」：ご利用いただけません。
「住所録」：ニックネームのみの表示／変更・削除不可（追加登録のみ可能）。
「メールマガジンの変更」：登録メールアドレスの表示不可。（********@********で表示）
「ご購入履歴」：お届け先住所・氏名情報の表示不可。

とのことで、メールでパスワードを送ってきたにもかかわらず、それが変更できないというまさに「これはひどい」状態。

以上、スラドの転載。

非暗号化メールでパスワード知らせてくるって怖すぎるわ、
フィッシングかと思うし、怖くて入力できんわ

プラズマクラスター空気清浄機、インフルエンザに効果なし
http://twitter.com/saramura6/statuses/6688087715352576


　　

いやなら利用しなくてもいいんじゃぞ？
なんで文句言いながら買い物するの？マゾなの？死ぬの？

信用ガタ落ち。

しかも、現在ログイン後のパスワード変更不可

メールで平文でパスワードを送ってきて、変更不可とか。
怖すぎるんだが

普通これは仮パスワードです。ログイン後直ちにパスワード変更してくださいっていうもんじゃないの？

一目見てなんつー幼稚なフィッシングと思って削除したんだがこれマジだったのか・・・
どんな第三者機関が安全確認したかと思うとかえって恐ろしいわ

>>9
まったくもってその通り、実際どうなんだ？怖くて入力できんわ。

>>7
うわぁぁ(AA略)

>>5
amazonが当日配達があるからビックカメラ・ネットショップなんて相手にしていない

関連会社のソフマップとか大丈夫なのかな(^^;
なんかヤバそうで使う気しなくなった

これ、今気づいたんだが、

11/23のサイト再開＆パスワード通知メール
11/24のサイト再開＆パスワード通知メール
（二つの送信時間は28時間開いてるから、2つID持ってるとは考えにくいし、作ったことない）

文面は一緒なのに、パスワード「だけ」変わってるってどういうことだ？

ぽまえらのところはどうだ？
パスワードどうなってる？

結局ビックから漏洩したわけじゃなかったでおｋ？

で、結局どこから漏洩したのよ？　原因も突き止めたり公開せず、また使えって言われても、信用できへんわ

ここのITシステムってどこが開発したんだろうね？
以前に実店舗のポイントとネットのポイントを統合したんだけど、その時も要来店でID確認やら申請書提出やらで2時間ぐらいかかった。
まぁそれは"必要な手続き"なんだろうからいいんだけど…
問題はネットのログインパスワード。
忘れちゃった場合(ログイン前)の"再発行"が不可能。
シナプスをフル回転で思い出す。もしくは一度統合したが最後、今までの(店舗利用分の)ポイントも全て諦めて会員アカウント自体を新規作成するしか無いと言われた。
それ以来、ネット(ﾋﾞｯｸｶﾒﾗ.com)での購入は辞めて店舗利用のみにしたよ。

ビクッカメラですね、わかります

ヨドバシの方がポイント率高いし
ポイントを割引と考えるとネット最安値以下のことある
ただし、実店舗限定

>>16
キノトロープ

確か、２年位前にキノトロープが開発したシステムでリニューアルオープンした際には、
オープン初日から重くて全然、動かなくなってその後、まともに動くまでには１ヶ月くらいかかっていた。
キノトロープはデザイン系の制作会社で、こういったトランザクション系の開発は始めてだったんだろうね。

多分、これが最初で最後のシステム開発案件。

ウィルコムストアが制作実績に入ってるけど
ページ部分だけで裏の仕組みは別かな。

新パスワード平文で送っておいて、パスワード変更不可とか、
いったいどうなってんだ。

俺もパスワードが変更できないと知って愕然としたｗ情報セキュリティ担当者おらんのかな

で、使った奴はどうなった？
現金支払してないのにポイント増えて且つ使った奴が犯人だろ？

ほんとだ・・・本当にできないのか。
んなもん、トランザクション開始してupdateすればいいんじゃないかと
無知な俺が考える以上に、とてつもないシステムなのか。

>>19
よく商品選択して注文確定しようとすると「混み合っていて利用できません」とか表示が出てたな

これは多分、キノトが作ったシステムの中に、潜在的なセキュリティーホールがあって、それが
たまたま、今までは顕在化しなかったか、不正利用の申告がなくて気づかなかっただけではない
かと思う。

普通、こういったところのシステム開発は、メーカー系とかのＳＩベンダーが入って、開発を行うが
ビックカメラのリニューアルは、業界的には初めて制作会社がディープな開発にまで進出したこ
とで話題に上ったが、箱を開けてみると、やはりボロボロ。

内情はわからんが、おそらく、大手ＳＩベンダーの見積もりより、キノトの見積もりの方が安かった
ことが、キノトが選ばれた理由かと思う。

今回、セキュリティーホールが見つかったわけだが、この手の問題が見つかった場合、クレジット
カード会社がラックとか、特定のセキュリティーコンサル会社を指定して、システム監査を行うこと
を半ば強制してくる。ラックとかは人月単価３００万くらいで１０人くらい投入して仕事をやるのだが、
この部分の費用がキノトが負担するようなことになれば、おそらく、開発でもうけた利益は全部
吹き飛んで、相当な赤字になってるはず。

厳しいね

>>5
うん、二度と使わないよ。
ただ俺の場合、今PCが手元にないから帰宅するまで退会手続き出来ないんだ。
それまでの間ってどういう状態か理解できてる？
ログインIDはおそらく漏れてないから安全なんだろうけど、それを誰が保証してくれるの？
パスワードを平気で送るような企業が信用できるとでも？

使わなければいいとかそう言う次元の話で片付けちゃダメなんだよ。

>>26
そういうことなんだろうね。内情は知らないけど。

でも今問題なのは平文パスワードや変更不可というトンデモな事後対応。
消しちゃったからうろ覚えだけど、改行ボロボロで発信部署名すら無い子供の作文みたいな文面だったよね。
当時の開発会社の選択も含めて、担当が相当アレなんだろうな

なんだか見切り発車だなあ
通販サイト再開急ぎすぎなんじゃね

大丈夫なのか？

>>19
それヨドバシじゃない？

ビックに対して、ヨドのオンラインサイトは、

オープニング当時、しばらく商品個別等、画面の表示が　「な に か お か し い」　感じだったよな。
あれはなんだったんだろう。

セキュリティの甘さを反省したビックカメラから、電子メールが届きました。
新しいパスワードが書かれていました。
暗号化も電子署名もない平文で。

>>33
あのメール見た瞬間、リアクションに困ったよな。

メール本文中のURLが怖すぎて、googleから行ったわ。
でも、なんだかすべてにおいて不信感に包まれて、そっとブラウザ閉じた。

>>27
ポイントは貯まってないだろうな？
退会すると全てボッシュートだぞ。

今回の騒ぎ、退会者が増えることを考えるとビック的には箪笥ポイントを一掃するのに大変都合のいいことになったな…
例えポイントを使いきってから退会されたとして、端数がチャラになるだけでもビック大儲け。

>>35
ポイントカードとネットのポイントの共通化手続きをしてるか次第だな

　 　　　 　　 　＿＿＿_
　　　　　　 ／ ＼　　／＼　ｷﾘｯ
.　　　　　／　（ー） 　（ー）＼　　　　＜「私が、メールでパスワードを通知するよう、指示しました」
　　　　／　　 ⌒（__人__）⌒ ＼
　　　　|　　 　　　|r┬-|　　　　|
　　　　 ＼　　　　 `ー’´　　 ／
　　　　ノ　　　　　　　　　　 　＼
　 ／´　　　　　　　　　　　　 　　ヽ
　|　　　　ｌ　　　　　　　　　　　　　　＼
　ヽ　　　 -一””””~~｀`’ー ､　　　-一”””’ー-､.
　　ヽ ＿＿＿＿(⌒)(⌒)⌒)　)　　(⌒＿(⌒)⌒)⌒))

　　　　　　 株式会社ビックカメラ
　　　　　　取締役経営企画部長
　　　　　　　　　安部　徹

>>37
メールを受信すればすぐにでも使えるパスワードを用意し、
第三者からパスワードを変更できないようにすることによって、
この上ない利便性とセキュリティ向上を実現しますた。

という文章が抜けてるぞ。

>>26
あー、とロープの案件だったか。

平文パスワードの送信元のアドレスがアレというオマケ付きで業界の話題に。

ここのメルマガ、送られてきても毎回開かずゴミ箱入れてたけどさ、
案の定、パスワード書いてあるメールも23日に来てたけど読まずにゴミ箱入れてたの今気づいたわ・・・
あっぶねぇなぁ・・・

なんで全員のパスワードをリセットするのだろうか
そっちのほうが危険じゃないか

>>41
漏れた、または推測可能だった可能性があるIDが絞り込めなかったんじゃないかな。

つまり、

�@第三者がどのユーザーのパスワードでもメールＩＤさえ判れば判ってしまうようなセキュリティーホールかがあった。
�A悪意の第三者は、かたっぱしから他人のＩＤでログインしてポイント残高が多い利用者のポイントを不正利用。
�Bポイントを不正利用された利用者もポイント残高まであまり気を付けてこなかったので、これまで気づかなかった。

対策

�@サイトを一時利用停止にし、セキュリティーホールを洗い出して、バグフィックス
�Aしかし、パスワードはすでに外部に流出してしまった可能性があるため、全パスワードをリセットしてメール送付

予想される次の展開

�@メールの情報が外部流出
�A実はクレジットカード情報も流出していた
�B読売新聞がスクープ記事として報道して大騒ぎになる
�C楽天の三木谷がＴＶインタビューに応じて「楽天ではそんな不具合は起こらない、他社の対応には呆れる」と身の程知らずの答えをする

パスワードをハッシュ化して保管しててもIDとセットで漏れたらアウトなのか

さようならビックカメラ。。。。

さよーならー

http://neta.ywcafe.net/001143.html
個々の記事が詳しい
ビックカメラから漏れたとは限らない

そもそもビックってサイト重くなかったか？
しかしパスワードを平文で送って来たときに、
「あれっ、これって安全だっけ？」って思ったのは俺だけじゃなかったのか

またまたそれを誤配信してたら笑えるけどな

>>44
つ 塩とMD5

>>43
＞�C・・・
　　　　　　　ヽ|/
　　　　 ／￣￣￣｀ヽ、
　　　 /　　 　　　　　　ヽ
　　　/　 ＼,, ,,／ 　　　|
　　　|　（●） （●）|||　 |
　　　| 　/￣⌒￣ヽ　U.| 　　・・・・・･･･ｺﾞｸﾘ。
　　　|　 | .ｌ~￣~ヽ |　　 |
　　　|U ヽ ￣~￣ ﾉ　　 |
　　　|　　 ￣￣￣　　　 |

>>48
パス管理はSalted MD5 | SHA が基本（というか常識？）だよね…

>>4
コピペをマルチポストして、他人まで巻き込み規制させる
アホの北海道はピンポイント永久規制されればいい。
　　　　　

>>50
>kwsk
俺プラズマクラスター4台持ってるし、22日発売でもう一台買いたいんだけど、
このコピペよく見るよね、何がしたいかよくわからん。

プラズマクラスターに関しては車用買ったけど、

消臭力はガチ。
除菌関係は分からん。こんなもんだろ。

あと、咳は治まりやすい。

>>52
>>除菌関係は分からん。こんなもんだろ。

いや、残念だが、数年履き古した靴を送風口に逆さに向けたら、
臭いがなくなるのだけは、わかってくれ。

ハンガー干しの汗ばんだシャツとか、ジャケットとか本当に臭いが消える。

このままだと我が家の9部屋、全部プラズマクラスター置きそうな勢いだわ(今4個なので進捗率44.5％）
加湿空気清浄なので、ホコリは取るわ加湿でのどが潤うわ、うまい製品だよな。


ところでメール配信は
http://www.siella.jp/02products/01siella_engine/index.html

こんな杜撰な再開は今日の対策だろ？

パスワードをメールで送っておいて変更不可というのはアホとしかいいようがないが、
それに対して暗号化や電子署名してないのは問題だって文句言ってるやつは
電子署名の仕組みや用途を全く理解してないのがまるわかりだね。
生半可な知識しかないんだったら、余計なこと言わなきゃいいのに。。

まぁ、事前に公開鍵とかは入れておかないとね・・・

>>56
てゆうか今回のケースでは、パスワードを安全に伝えるためにメールを
暗号化すればいいじゃんという発想自体がおかしいよね。
ちょっと考えれば非現実的だって気づくはずなんだけど。。

電子署名に関しては、確かにフィッシング防止にはなるかもしれないが、
そもそもパスワードを平文で送信していること自体が問題なのに、それ
に関しては何の解決策にもならないよね。

しかし、ビックはもうちょっとうまいやり方があったと思うんだけど、
だれも止めるやつはいなかったのかねぇ。
今回の対応でビックの信用は地に落ちたね。もう二度と利用しないと思う。

ネットポイントとかはどうでもいいけど
クレジットカード流出してたら嫌だな

すでにポイントを使い切ったので
よかったが、ビックで使うの躊躇してしまう

しかし、今回1週間程度
閉鎖してたけど、相当商機逃してるよな

安易に安い開発すると馬鹿みるんだね

パスワードを暗号化もなしで送ってきたことを指摘したら以下のとおり
返事がきました。・・・・あほか。

---
●回答
この程は当ネットショップより、お送りしたメールの件で、ご心配をお掛けし誠に申し訳ございません。

電子認証、暗号化に関しましては、誠に恐れ入りますが今後の検討課題とさせていただきます。

テキストでのパスワード配信に関しましては、お客様環境を考慮させて頂いた結果、
暗号化などセキュリティを行った場合に、ご確認いただけない問題がございます。
このため、従前通り自動応答でのパスワード発行に倣い、テキストでの送信とさせていただきました。

ご指摘いただきました内容は、今後の検討課題として、より安全なサイト運営を目指し努力させていただきます。
本事情、何卒、ご高察賜りまして、ご容赦賜れば幸甚でございます。

----------回答内容ここまで

>>40
> ここのメルマガ、送られてきても毎回開かずゴミ箱入れてたけどさ、
> 案の定、パスワード書いてあるメールも23日に来てたけど読まずにゴミ箱入れてたの今気づいたわ・・・
> あっぶねぇなぁ・・・

ふつう、スパムと重要情報は、別のメール アドレスで送りますけどね。
常識のある会社なら。

>>60
言いたい事は分かるんだが、パスワード変更出来ない状態で平文で送りつけてくる神経を疑う

メールの暗号化は不特定多数相手だとやっかいだからまあいいとして
時限の仮パスワードですぐにログインさせてパスワード変更させるべきでしょ
今結構この手の話しにうるさい人多いからかなりイメージダウンだと思う

塩とかMD5とか得意げに書いてるヤツがいるが、新規にシステム組むなら
SHA-256以上にしとけ。もちろん塩はたっぷり擦り込んで。理由は↓
http://www.atmarkit.co.jp/fsecurity/rensai/crypt01/crypt02.html

後平文のパスワードをメールで送付するのを危険視してるやつ、
ゆとりや情弱な客相手に他に現実的なやり方があるか？

もちろんそんなパスワードは期限付きで一度のみ有効にしないといけないけどな。
今回は強制して無いどころか、否定してるシステムになってるってのが問題。

そもそも今回トラブル発生前ビックカメラの過失はあんまり無さそうな状況。
よその流出の巻き添えっぽい。パスワード変更不可以外はあんまりいじめず
ほめて伸ばしてやって欲しいというのが正直なところ。

つか、こういう対応を見ていると、起こるべくして起こったインシデントだったって感じだね。
情報セキュリティについて、全く分かっていない。

20件で終息するはずの不正利用が、爆発的に増える予感。

ビックカメラは、碌に管理出来ないなら、ポイントシステムを廃止したほうがいい。

もし俺が実装するとしたら、以下のようにするかな。

1. パスワード変更専用のページをSSL証明書付きで用意する。
2. 1のURLとID個別の専用パスワードをメール(平文)で送りつける。
3. 専用ページには、ID＋旧パスワード＋専用パスワードでログインさせる。
4. ログイン後、一定のルールの下パスワードを変更させる。
5. パスワード変更が完了したIDから順次本サイトにログイン可能とする。

これなら、パスワードを平文で送っても問題無いよね。
メールに電子署名がなくても専用ページの証明書を確認できるし、
メールを盗聴されてIDを推測されることがあっても旧パスワードは知り得ないし、
IDと旧パスワードを握られてても専用パスワードは入手出来ないだろうしね。

こんなアイデアどうですか？

ビックに教えてやれよ

パスワード変更できるようになったよ。今スグなうで変更してこい。>ALL

>>67
ちょっとだけ安全性増すね。旧パスワードのみ知っているのと
旧パスワード＆平文メールパスワードの両方を知っている、の差の評価分だけ
IDは公知情報として考える。原則変更できないので。

サポート上の問題として○○パスワードってのが
2つあるのはゆとり相手に厳しい。キーコードとか別名で呼んでやるのも配慮
最終的にはサポートと安全性のトレードオフからびみょーと判断されるかもね。

あと、平文メールで送ったパスワードは期限を設けることが必要。
漏れるのは経路より保存場所から。パスワード変更せずに後から使えないって
文句言う情弱には仮パスワードを変更したメールを再送でどうかな？

>>68
> ビックに教えてやれよ

ビックカメラ社員「そんなもの、金と時間があれば誰でも できるでしょう。」

　 　　　 　　 　＿＿＿_
　　　　　　 ／ ＼　　／＼　ｷﾘｯ
.　　　　　／　（ー） 　（ー）＼　　　　＜「そんなもの、金と時間があれば誰でも できるでしょう。」
　　　　／　　 ⌒（__人__）⌒ ＼
　　　　|　　 　　　|r┬-|　　　　|
　　　　 ＼　　　　 `ー’´　　 ／
　　　　ノ　　　　　　　　　　 　＼
　 ／´　　　　　　　　　　　　 　　ヽ
　|　　　　ｌ　　　　　　　　　　　　　　＼
　ヽ　　　 -一””””~~｀`’ー ､　　　-一”””’ー-､.
　　ヽ ＿＿＿＿(⌒)(⌒)⌒)　)　　(⌒＿(⌒)⌒)⌒))

　　　　　　 株式会社ビックカメラ
　　　　　　取締役経営企画部長
　　　　　　　　　安部　徹

「善意の第三者」で無いことは確かだ

ガチで中国からの不正アクセスのにおいがするよな。
ビックカメラは明らかにしてないけど、絶対中国だろこれ。

最近、中国からの買い物が多いせいかどうかしらないけど。
中国は中国のやつで専用サイト作って別でやれよ。

日本サイトは一切アクセスできないようにするくらいしてほしい。

【企業】 「シャープのパラゴラス、問い合わせ殺到。私もパラゴラスを触ったが使い易い」…ガラパゴス予約イベント
1 ：☆ばぐた☆ ◆JSGFLSFOXQ ＠☆ばぐ太☆φ ★：2010/12/03(金) 14:53:28 ID:???0
・シャープは3日、メディアタブレット「GALAPAGOS(ガラパゴス)」の予約販売を開始した。
　これに先だって、ヨドバシカメラ マルチメディアAkibaおよびビックカメラ有楽町店で、
　予約開始イベントを開催した。

　GALAPAGOSは、通常の販売方式をとらず、店頭およびインターネットで購入申し込みを
　行ない、シャープが直接販売する。そのため、一般店頭での取り扱いの大きさが注目
　されていたが、大手量販店がイベントを共同開催したことで、店頭でも一定の存在感を
　持って販売されることが期待される。

　岡田氏は、2つのイベントの両方で、GALAPAGOSの特徴を3つにまとめて解説した。1つ目は
　新聞/雑誌などのコンテンツの定期配信で、いつでもどこでも読めること。2つ目は日本の
　文章が持つ豊かな表現ができ、本を読むにふさわしい使いやすい端末であること。
　3つ目は進化で、その一端として、2011年春に映像/音楽/ゲームの配信を開始することを語った。

　9時40分から行なわれた、ビック有楽町のイベントでは、ビックカメラ常務取締役営業本部長の
　塚本智明氏が挨拶し、「この“パラゴラス”の発表以来、連日連夜、お客様からのお問い合わせを
　いただいている。私も“パラゴラス”をさわってみたが、本当に使いやすい。ぜひ、店頭で
　試してほしい」と語った。
　このパラゴラスの連呼には、シャープの岡田本部長も苦笑し、「さすが塚本本部長。つかみは
　バッチリです。これで、みなさんに“ガラパゴス”の名前を覚えていただけることは間違い
　ありません」とフォローした。（抜粋）
　http://pc.watch.impress.co.jp/docs/news/20101203_411401.html

※画像：塚本常務取締役営業本部長の“パラゴラス”連呼に、シャープ岡田本部長が苦笑して下向く
　http://pc.watch.impress.co.jp/img/pcw/docs/411/401/690.jpg

test