パスワードを忘れた? アカウント作成
1873280 story
プライバシ

高木先生、PASMO の「マイページ停止センター」に電凸 246

ストーリー by reo
担当者が失禁するレベル 部門より

ある Anonymous Coward 曰く、

ここ /.Jで もおなじみ、セキュリティ研究家の高木浩光氏が、PASMO の「マイページ停止センター」に問い合わせを行った際のやり取りを公開、 になっている。

PASMO の「マイページ」というのは、PASMO の使用履歴を Web ブラウザから照会できるサービス。問題となっているのは、PASMO のカード番号と PASMO の申込時に登録しておいた名前、生年月日、電話番号だけで登録ができてしまう点だ。つまり、これらの情報を知った第三者が簡単に (そのユーザーに知られずに) PASMO の使用履歴をトラッキングできてしまうことになる。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by Anonymous Coward on 2012年02月28日 11時01分 (#2107403)

    コールセンターって集中受付口として電話を受けて、FAQや定型業務にはそこで応えて、それ以上はエスカレートさせる(担当部署に持ち込む、上司にあげる、クレーム担当に投げるなど)のが常識的に考えてあるべき姿だと思うんだけど。

    これ、コールセンターが人間の壁として使われてて、適当にそこで済ませるように仕向ける状態になってるんじゃないか。担当者が問題をエスカレートさせる権限がないんじゃ。コールセンターから外に問題を出したら減点評価の対象になっている気がする。
    だから高木氏がリンチしてるみたいになっちゃってる。途中で変わった担当者も、いわゆる業務担当者じゃなくて、コールセンターの監督的人間なんじゃないか。

    エンドユーザが客じゃ無い企業(Pasmoはこの類)やら、独占企業にありがちなことだけど、コールセンターをコールセンター屋に丸投げして、適当な新人か、半ば左遷対象のようなやつを監督として付けて。受けた情報は適当な玉虫色した統計情報としてしかデータを上げない。(コールセンターの人間が個人情報保護方針を頭に入れてないばかりか、手元に置いてないとか無能を配置するにもほどがある)
    こう言う所だとおそらく高木氏並にやらないと上まで情報が上がらないまま、月次レポートの円グラフ「その他クレーム」あたりに紛れて終わりだよ。どうしょうもない。

    高木氏もそのあたりわかってて、辛辣な口調をそのまま日記に載せたんじゃ無いかと思うが。

  • なぜtwitter経由はてブ?

    • by parsley (5772) on 2012年02月28日 10時16分 (#2107370) 日記

      だよねぇ。直接貼れ。
      http://takagi-hiromitsu.jp/diary/20120226.html [takagi-hiromitsu.jp]

      --
      Copyright (c) 2001-2014 Parsley, All rights reserved.
      親コメント
    • by coara (22037) on 2012年02月28日 10時20分 (#2107372) 日記

      ですね、まず高木氏の日記 [takagi-hiromitsu.jp]のリンクを貼るべきじゃないのかと。
      見たところ言ってる事は正しいんですが、コールセンターいじめを楽しんでるように見えるのが残念です。まるで暇潰しのためにクレーム入れてるみたい。

      親コメント
      • 他人には暇潰しに見えるかもしれないですが、研究とはそういうものです。
        しかも問題が問題なだけに、この穴は潰してもらわないと利用者としても困ります。

        PASMO事業者の考慮不足を指摘していて、
        利用者にとって不利益になることはしていないと思うので適切にPASMO事業者も対応して欲しいです。

        第三者としてはコールセンターをいじめているように見えるかもしれないですが、
          * コールセンターの人が技術に詳しい訳では無い一次受付である、
          * コールセンター以外の連絡先が無い (セキュリティ問題エスカレーション専用の窓口が無い)、
        ということに起因するので当事者同士の場合は適切なやりとりだと思います。

        親コメント
        • by Anonymous Coward on 2012年02月28日 10時46分 (#2107393)

          理屈は分かりますが、実際に行ったやり取りとしてもアレな上、そのまま文字に起こして公表する意味がよく分かりませんね。
          本質的な問題点そっちのけで、センセの行動ばかりが非難されかねない。

          つづく、とありますが、あっと驚く大どんでん返しを期待して良いのでしょうか。

          親コメント
          • by Anonymous Coward on 2012年02月28日 11時33分 (#2107435)

            まあ良い方に解釈すれば、「問い合わせをしたけど放置された」ってのを
            回避するために、やり取りを全部さらけ出しちゃうってのは有効だと思いますよ
            こうやって騒ぎになれば、PASMO側も何かしらカ対応せざるを得ないでしょうし

            親コメント
      • 義憤を通り越して趣味的なものを感じますが、社会利益になっているのでありがたい存在に感じます。
        まっとうな企業がやってることならまぁ安心と思えるようなインターネット社会になるといいですね。
        漠然とネットは怖いというイメージばかり定着してしまうのは望ましくありません。
        サポートセンターの担当者さんはちょっと気の毒にも思えますが
        世間のサービス提供者には、これぐらい怒られる行為なのだと、
        また、利用者側に対しては、これぐらい怒るべき行為なのだと、
        広く理解させるのに、高木さんのエンターテイメント性が役だってるんじゃないですかね。

        なかなか直感的に悪用方法が理解しづらいですからね。
        ビッグデータって奴を使うといろんなことができちゃうよって事とか。

        親コメント
        • by Anonymous Coward on 2012年02月28日 11時10分 (#2107412)

          悪用方法なんて、ストーカーが真っ先に思いつきますがな。

          ストーカーなんて大抵が知人なんだから、氏名生年月日電話番号は知っている。
          PASMOの番号も、何かの拍子にチラ見してケータイで撮るとかできますよね。

          高木せんせの会話で相手担当が言ってますが、家族による監視なんてのもありますし、恋人の監視にも使えちゃう。
          他には会社が社員の行動を把握するのにも使えるんじゃないかな。定期代支給のためにPASMO番号見せろと言われたら疑いもしないでしょう。

          マジでこれはかなり危険な穴なので、全力で潰して欲しいです…。

          親コメント
      • by Anonymous Coward on 2012年02月28日 10時28分 (#2107375)
        基本、それで食ってるんだからいいでしょ。
        親コメント
  • 高木先生ももうちょっとかみ砕いて説明してやれば良いのに。
    そもそも、セキュリティの知識に関してレベルが違うのに、無理矢理答えを引き出そうとしても出てくるわけがない。
    (当然、担当者はセキュリティについても高いレベルの知識を持っていろ。って話はあるが)

    それにしても、こんな機能があるとはPASMO開始当初から使ってるが知らなかったわー

    • もっともかな~

      センセ曰く
      >私: 名前と生年月日と電話番号というのは公開情報ですよね?

      そうなの?って感じ。特に生年月日なんて正しい数字書かないよ・・・
      使用履歴と名前と生年月日と電話番号が結びつくのが問題と言うならわからなくもない。

      というより、個人的には、パスモ履歴程度で煩雑な認証を掛けるより
      利便性を優先する方が良いと思う。
      それを良しとしない人の為にわざわざ停止窓口まで設けているわけで、
      現状そんなに瑕疵があるとは思えないなあ。

      ##私もこの機能知らなかった。今後使おうと思うよ。

      親コメント
      • >そうなの?って感じ。特に生年月日なんて正しい数字書かないよ・・・ ネットに電話番号と生年月日を書く書かないが本質じゃないでしょ。 あなたは友人にも生年月日と電話番号教えますか? 極端な話、このシステムは友人なら誰でもあなたの行動と買い物を追跡できてしまうって事です。 そこが問題視されてるわけですが。
        親コメント
        • いやさ、本質論はわかるよ、
          普通、氏名、電話、生年月日からPASMOの履歴がわかってしまうということは誰も知らない。
          公開情報から予期せぬリスクを負ってしますと・・・

          >名前と生年月日と電話番号というのは公開情報ですよね?
          という発想に違和感を覚えるわけ。例えば名前は公開情報なのか?ということ、
          個人的には違うと思うわけですよ。名前教えるにしても相手によって
          教えるかどうか考えませんか?教えるかどうか考える余地があるってだけでもすでに“公開”ではないわけで。

          更に言ってしまえば、氏名・生年月日・電話番号をすべて教える場合、
          相応のリスクを担保できる相手だからこそ教えるという判断が働いているわけで、
          たとえPASMOの履歴が知られてしまうという事実を知らなかったとしても、
          それは相応のリスクの範囲に収まるのではないか?という理屈。

          確かに、氏名・生年月日・電話番号が公開情報であると考えれば、
          リスクはゼロという判断のもと情報をオープンにするわけで、
          そこから“PASMOの履歴”が見られるのはケシカランとなると思いますが、
          ここまでサポセンいじめるほどこれらの情報の公開は常識じゃないだろ!
          と思ったのが本当のところ。

          ##長文失礼、クレーム対応とかホント面倒くさいんだぜ-

          親コメント
        • typo修正
          あなたは友人にも生年月日と電話番号
          嘘教えますか?
          親コメント
      • まぁ、私も高木先生がサービス停止に持って行こうとしているところは、あまり同意できないですけど、
        デフォルトで公開ってのは突っ込まれてしかるべきポイントかなとは思います。

        使いたい人が使う分には問題ないですし便利なサービスですが、せめて申込書とかに
        「使いたい人はここにチェック」みたいな項目があって、デフォルトはOFF。とするべきだったんじゃないかなぁと思います。

        その上で、よく分からないけどチェックを付けたって人に対しては、自己責任と言い張っても良いとは思いますが。

        親コメント
        • by uron (39597) on 2012年02月28日 13時00分 (#2107511)

          センセの日記を読んでる限りでは、このサービス自体はデフォルトOFFのようです。
          問題はONにするときに公知の情報だけで出来てしまうと言うところ。

          日記から該当箇所を引用させてもらうと、

          PASMOのカード番号(IDi)と、氏名、生年月日、電話番号(電話番号は不要の場合もある)さえあれば、
          アカウントを作成でき、そのアカウントでそのPASMOの乗車閲覧を閲覧できてしまう。

          ということで、アカウント自体は作らないと出来ないんだけど、家族とかtimesとかストーカーあたりなら
          勝手にアカウント作れてしまうようなシステムで、アカウント作成時の本人確認の部分に問題があると言うことですね。

          # pasmo側はこれらの情報は秘匿情報であり、公開した場合は本人の責任であると主張してるんですな。
          # そして「んなわきゃない」と言うのがセンセの突っ込み。

          --
          スルースキル:Lv2
          Keep It Simple, Stupid!
          親コメント
    • 駅の券売機で出せる明細だけだと思ってました。
      親コメント
  • 株式会社パスモが運営しているんでしょうかね。
    外注だとするとセキュリティ云々の話は権限外で
    そんなところを突っついても埒が開かないわけで
    単なるパフォーマンスにしかなりません。
  • by oyajismel (32045) on 2012年02月28日 11時39分 (#2107440) 日記
    http://www.pasmo.co.jp/privacy/index.html [pasmo.co.jp] >第4条 当社は、法令等に基づく場合を除き、事前に本人の同意を得ることなく、個人情報を第三者に提供しません。 >第7条 当社は、当社で取り扱う個人情報を安全に管理するため、体制を構築し、個人情報に対する不正アクセス、個人情報の紛失、破壊、改竄及び漏洩などを防止する措置を講じます。 このサービス自体が違反してますな。 >第6条 当社では、お客さまからお預かりした個人情報を他の事業者と共同利用する場合には、あらかじめ共同で利用する事業者名及び目的をお客さまにお伝えします。 timesの件、pasmoから通知や広報されてませんが。 >第8条 当社の個人情報に対する開示・訂正・利用停止・その他お問い合わせなどをご希望されるお客さまには、法令に基づき合理的な範囲で速やかに対応いたします。 センセとのやりとり見る限り笑うしかないですな
    • http://www.pasmo.co.jp/security/index.html

      情報セキュリティ宣言

      株式会社パスモは、事業活動を行ううえで情報セキュリティの重要性を認識し、お客さまからお預かりする個人情報を含めた情報及び関連システム機器の全情報資産を、様々な脅威から保護するために情報セキュリティポリシーを定め、情報管理における品質と安全を維持することが社会的責務と考えています。
      これを実現するため、当事業活動に従事する関係者全員が参画し、情報セキュリティを確立していくことをここに宣言します。

      PASMOシステム情報セキュリティ統括責任者
      株式会社 パスモ
      代表取締役執行役員社長 松田 明行

      なんの冗談?www
      親コメント
    • 改行修正
      http://www.pasmo.co.jp/privacy/index.html [pasmo.co.jp]
      >第4条 当社は、法令等に基づく場合を除き、事前に本人の同意を得ることなく、個人情報を第三者に提供しません。
      >第7条 当社は、当社で取り扱う個人情報を安全に管理するため、体制を構築し、個人情報に対する不正アクセス、個人情報の紛失、破壊、改竄及び漏洩などを防止する措置を講じます。
      このサービス自体が違反してますな。

      >第6条 当社では、お客さまからお預かりした個人情報を他の事業者と共同利用する場合には、あらかじめ共同で利用する事業者名及び目的をお客さまにお伝えします。
      timesの件、pasmoから通知や広報されてませんが。

      >第8条 当社の個人情報に対する開示・訂正・利用停止・その他お問い合わせなどをご希望されるお客さまには、法令に基づき合理的な範囲で速やかに対応いたします。
      センセとのやりとり見る限り笑うしかないですな
      親コメント
  • ・・・って言いつつも紛失したら千円前後は損するリスクを負っておりますが。
    #電車はたまにしか乗らないので初乗り運賃下回ったら千円チャージしてる。

    たぶん、こんなおっさんの乗車履歴が狙われるリスクに比べると、無記名パスモの方がずっとリスキーだがな!

  • by Anonymous Coward on 2012年02月28日 10時38分 (#2107386)

    ある証券会社でネット取引の登録をすると取引手数料が無料になるとかなんとかいうので
    親に登録を頼まれたが、支店番号とカードの番号と名前しか入力する欄が無かった。
    パスワード登録もなしでそのままネット取引ができるようになってびっくり。
    あれが普通なのかな。

    • by kogd9 (45248) on 2012年02月28日 10時42分 (#2107391) 日記
      そ、それはぜひとも高木先生にちくるべきネタでは・・
      親コメント
    • by Anonymous Coward on 2012年02月28日 11時06分 (#2107409)

      似たようなケースで、メルアドと生年月日を入れると、その場でパスワード変更ができるシステムを見たことがありますね。
      パスワード変更するとログインした状態になるので、その場でメルアドを変えるとアカウント奪取完了という酷いシステムでした。

      元パスワードが表示されてないだけマシとも言えなくも無いですけど、目くそが鼻くそよりマシ程度の違いであり、そこら辺を考えている担当者がどうしてこんなクソシステムを作らされたのかと言う辺りを想像すると胃が痛くなります。

      親コメント
  • by Anonymous Coward on 2012年02月28日 11時03分 (#2107406)

    この人はいったいどういう立場で
    1.セキュリティの専門家(公的機関に勤めている)
    2.市中のちょっとセキュリティに詳しい一般人
    3.市中のちょっとセキュリティに詳しい暇人

    自分の時間を使ってこんな風に電凸やっているのなら3にしかならないわけだが。
    1なら文書で問い合わせる?べきかなと思う。
    しかも、こうやってやり取りを公開しているのは穴を公開しているに等しいし
    やっていること(市井のセキュリティホールに警鐘)は良いと思うが
    もっとやり方があるんじゃないかと思う。
    (足元を掬われないように)老婆じゃないけど心配してるよ。

typodupeerror

皆さんもソースを読むときに、行と行の間を読むような気持ちで見てほしい -- あるハッカー

読み込み中...