RAGTAG Onlineの不正アクセス被害考察（４）〜「そんな周知で大丈夫か？」「大丈夫だ，問題ない」とは（ｒｙ

ということで，周知の内容にも触れておこう．

このような事態を起こし、情報が流出してしまった会員の皆様には、多大なご迷惑、ご心配をおかけいたしますことを、深くお詫び申し上げますとともに、メールアドレスとパスワードが悪用されてしまう可能性を考え、当社サイトおよび他社で登録されているパスワードの変更をお願い申し上げます。

実はこの周知を見て不思議に思ったことが，上記で赤字にした部分だ．まとめると以下のような感じだ．

• IDはユーザが任意に設定できるため，この部分が漏れている場合，IDとパスワードの組も悪用される可能性がある
• 悪用される可能性を認識しているならば，運営側でなぜパスワードの無効化などを行わないのか

前者については，確かにリスト型アカウントハッキング攻撃に使われることが多いのは，メールアドレスとパスワードの組だが，別にメールアドレスでなくともIDとパスワードの組でもトライは可能だ．

後者については，悪用されている可能性を認識しているならば，その前にやるべきことはパスワードの無効化と再設定のお願いを送信することのはずだが，上記周知を見て「なんでそうしないのか」と疑問に感じていたのだが，少し触ってみてその疑問は「もしやそれができないのではないか」という疑念にかわった．

さらに言うならばこのサイト，実際に登録してみてわかったことがあるが，それはちょっと伏せておく…．

あと，以下のような可能性を列挙しているが，これもまた…という風である．

≪悪用されてしまう可能性について≫
・悪意のあるフィッシングサイトへ誘導するメールや、ウイルスに感染したメール、出会い系などの迷惑メールが届いてしまう可能性があります。
・メールアドレスとパスワードでログインできる別のサイト（FacebookやTwitter、他社様のオンラインショップなど）に、同じメールアドレスやパスワードを登録している場合、なりすまし投稿・なりすまし注文のほか、そのサイトに登録している他の個人情報（お名前・ご住所・電話番号など）を盗まれてしまう可能性があります。

この中で，「メールアドレスとパスワードでログインできる別のサイト」とあるが，そもそも「IDが漏れている人の場合は自サイトも対象になる」という可能性を述べていない（忘れただけかもしれないが）．

ちなみにカード情報については，このサイトに保存するのが怖いので，自分では確認できていない…．