KINEZOは映画館の係員でもパスワードを覗ける - 35歳からの中二病エンジニア

KINEZOといえば、映画のチケット予約サービスだけれども、セキュリティー界隈では「数字4桁のログインパスワード」でお馴染みの有名所でもある。平成も終わりに差し掛かっているのにこれを貫いていることについては何と申せば良いのやら…。そんなKINEZOだが、今回は新宿バルト9で更なる深淵を覗いてしまったので、ここに書き記しておく。 暗証番号代わりのログインパスワード 昨日映画を観に行った所、生憎スマートフォンの調子が悪くてネットに繋がらなかったので、チケット発行用の予約番号は確認できたが、QRコードの確認ができなかった。そこで、予約番号からチケットを発券しようとした。 すると、求められたのはKINEZOのログインパスワード。 おいおい、ログインパスワードが暗証番号代わりかよ…。 と、その時点でセキュリティー的にアウトだろうとは思いつつも、仕方ないので入力する。が、どうにも通らない。暗証番号代わ

[aikawame]

落ち着いてから考えると、これって結構やばいやつでは…。

[Kil]

「クレジットカード支払い出来るサービス」で、「4桁数字パスワード」で、「本人以外、しかも映画館の係員クラスでも閲覧可能」って、これクレカの暗証番号と同じ数字をパスワードに設定している人がいたら……。

[sendai]

4桁数字パスワードなんて総当たりですぐ割れてしまうから怖いので、KINEZOは予約のみで決済は当日劇場でやるようにしていた。あとバルト９は新宿界隈でキャラメルポップコーンのソースが一番薄い。

[maricar9710]

キネゾーに限らず中規模映画館でよく使われてるコアシステムズでも4桁のパスワードは普通に従業員が閲覧可能。映画業界は早くからネット予約が進んでる分、システムが古いままのものが多い印象。

[NOGjp]

マジか！　せめて糞なのはUIとかスケジュール公開の遅さだけにしてほしい、、、。

[kaerucircus]

それ言ったら、テアトル系などのミニシアター系が使ってるシステムは、EC2+Windows2012R2の上でPHP 4.3を無理やり動かしてて、MTAもCDO for Windows 2000なので、やめて～、っていつも思う。誰か何とかしてやってよ

[neko2bo]

正直な話、このエントリを読んでも、何がマズイのか分からない人って、結構いる気がしなくも無くも無いかも…

[delphinus35]

不可逆暗号だとしても、4桁の数字と分かってれば数秒で復号できそう。

[dollarss]

類似のシステムに関わったことがある。年寄りも使うシステムで4桁以上、数字以外許容するとまず覚えられん！と係員は怒鳴られる。挙げ句PW忘れた、映画見られないふざけんな！金返せすぐ返せ！と暴れられる…

[emt0]

クレジットカード支払い出来るサービスでコレはちょっとな～決済面は全部切り離されて、せいぜい上映履歴と予約情報くらいなら問題はないけど。ティ・ジョイ系列はサービス悪いし、舞台挨拶と東映限定以外は行かない

[tafutech]

クレカ情報は保存出来なかったような？

[solidstatesociety]

ぞ〜

[djsouchou]

おっかねー！

[steel_ball_run]

拡散することで一日も早い改善につながればいいなぁ

[ya--mada]

登録すると映画の座席確保が出来る整理券が発行されるサイトってこと？デタラメアカウントを大量に作って座席確保だけできるシステムっていう理解ならこういう4桁の自転車のカギみたいなのでも良いのかもね。

[takaya1992]

今日、「ログインパスワード《数字4桁》を廃止し、 新たな《半角英数字混合の8～16文字》の設定をお願いいたします」ってメールが来た / 平文保存なのは把握してたけど、映画館の係員でも覗けるのか…

[Silfith]

経過報告2

[Louis]

「数字4桁のパスワード兼暗証番号については、数多くの問い合わせを受けている」「ウェブサービス用には英数記号のパスワードを、発券用には別の認証方法を採用する方向での改修を検討中である」

[pismo]

この運用が本当だとすると完全にアウトのパターン。4桁の暗証番号云々はさておいて、暗証番号が見えるという段階でアウト。本来ならばシステム的に一時利用の暗証番号を発行すべき。ダメダメすぎるなコレ。

[diveintounlimit]

経過報告2が色々あかん

[gallu]

こわや……こわや………

[jumbomonaka]

心配になって見たら会員登録されていて、普段まったく使わないパスワードだった。普段は東宝でほとんどKINEZO使っておらず、最後が2015年12月上映の電気グルーヴの映画でしんみりした。

[hdkINO33]

KINEZO昔からアレだけど一向に良くならないんだよなあ、もう解約してT-JOY系列の利用もやめるか……

[cinefuk]

ユナイテッドシネマの「会員カード（物理）」を持っていけばパスワード等求められることなく発券できるシステムの方が好み。KINEZO二次元バーコードは、ガラケー等の古いブラウザから表示できなくなったのは改悪と思う

[toshiwo]

4桁でも相当アレだと思ってたのにマジか

[igrep]

問い合わせ・ご報告お疲れ様です… 私も友人もみんな気にしておりました…🙇 ちなみにクレジットカードの番号は都度入力です。使い回してる場合以外で中の人が悪用するとしたら発券履歴とかの個人情報じゃないかな…

[hazy-moon]

パスワードの使い回し以前に、「別に4桁の数字でいいし、店員が見れても問題ないでしょ」みたいな運用を前提にしてて他に問題がない、という気がしない……

[reachout]

大阪のブルク7は梅田の映画館の中でもっとも空いているのでよく行く、KINEZOも良く使う。だがパスワードをスタッフが見られるのヤバすぎでは。

[umi1334]

シネコンでどうせ1万通りなのに何が問題なのか

[ayumun]

キネゾーは規模の割にはショボいのと、Tジョイ系列はポイント制とか会員割引皆無なのが。品プリの映画館は席が広くて良いんだけど残念。

[lainof]

クレジットカードの情報は毎回入力だし、登録する個人情報もログイン用のメアドぐらいなので、パスワードを使いまわしてなければ被害にあうことは無いのでは？

[wapa]

郵便局でキャッシュカードのパスワード忘れた時は、通帳と印鑑、本人確認書類を持っていき申請、後日簡易郵便で送られてくるとかだったな。店員が調べられるのは流石に。まあ他だと誕生日で認証とかもあったような。

[PrivateIntMain]

金が降りてこないことにはどうにもできないってニュアンスなのかな/トップにある「重要なお知らせ」ボタン開いたら真っ白だったので今重要にしてる最中かもね

[shiju_kago]

『PIN？とかいうのも数字4桁で色々なところで使われているらしいからうちのパスワードもそれで大丈夫でしょ？』くらいの極めて危険な思考で運用していてもおかしくない

[htnmiki]

うーんこの……

[gyu-tang]

ひぇーっ

[nabe1121sir]

キネゾウさんは4桁パスワードの時点で使うのやめた。

[metroq]

チケット購入のためのWebサービスにログインするためのパス(数字4桁)が、映画館にある機械？でのチケット発券時にも求められて、なおかつそのパスは映画館スタッフの人も見る事ができるという理解で合ってるだろうか。

[ohsawa0515]

不謹慎だがこういうサービスは宅ふぁいる便と同じ末路を辿って消え去ってほしい

[uunfo]

脆弱性報告していくしかなさそう