焼肉サブスクの脆弱性 - Qiita

※規約違反として限定公開にされました。Qiita運営からのメールに「Qiitaだけじゃなくて他サービスの規約違反もあかんのやで」という文言があったので、そのへんに気をつけて修正しました。 本記事はすべてフィクションです。実在する企業とは一切関係ありません 焼肉サブスクに２２日通った。 その中で、色々な脆弱性が見受けられたため、詳しく書く。 ※この記事で紹介する脆弱性を実際に突いてサービスを不正利用すると、詐欺罪に問われる可能性があるので、絶対にやらないこと。また、この記事は啓蒙を目的としており、システムの悪用を推奨していない。 焼肉サブスクのシステム サブスクプラットフォームに登録し、クレカでサブスクパスに課金する。 店でパスの画面を見せる。画面には１日１回だけ押せるボタンがあり、ボタンを店員の目の前で押すことで、サービス権を行使する。食べ放題が無料になる 最後にレジで会計するが、食べ放題

[Ayrtonism]

いやいや、どの会員がいつどこで利用したのかを把握するのって、この手のサービスのキモじゃないのかなあ。

[all_insanity]

擁護するワケではないが、みんな泥臭い部分では結構そんなもんだからなぁ。すべてのことを考慮していたらお金がいくらあっても足りないので、ロスをある程度認めるのも戦略ではある

[yas-mal]

もしかして：通いすぎて顔パス。＞“「サブスクで」と言うだけで、スマホの画面を見ることもなく通されるパターンもあった”

[swdrsker]

Qiitaでやる内容じゃないでしょ

[sato-gc]

実験的な実施でユーザーも少なかったから運用が適当になった、とかはありそう

[houyhnhm]

このあたりは、システム構築及び運用費用と、業務負荷との兼ね合いで、監視カメラとサブスク申し込みで証拠押さえられているなら、よほどの事があれば後付で追いかけた方が早いからなあ。

[kenzy_n]

一つ確かなのは提供側が同じシステムではもうやりたく無いとの点かと思う。

[SWIMATH2]

おもろい/Qiita で書くなみたいなコメントあるけど、現場での運用を想定した要件定義ができてないという話なんだから良くないか？実装だけが技術じゃないよ

[zuzu_sion]

魚拓。https://megalodon.jp/2020-0214-0149-21/https://qiita.com:443/kituneponyo/items/efa81963d667994fc504

[srng]

認証（しないことに対する指摘）絡みの話は普通にITエンジニアリングの範疇なのでは

[shidho]

消えると思ったからなのか、魚拓の数の多いこと多いこと。

[xbozu]

串カツ田中含め、favyのサブスクもQRコード表示してる事例は殆どないんちゃうかな。要は連携コストとPOS周辺に端末を置きたくない店舗側の理由。しかし、favyのシステムはセキュリティ以前に決済でよく落ちる。。。草

[tettekete37564]

ユーザーIDとかをQRコード表示してピッぐらいで防げそう。サーバー側でソルト加えてハッシュ化→QR→サーバ認証→DB記録検証→OK/NG

[northlight]

牛角に就職したら？

[otchy210]

まあ焼肉サブスクはどうやってもペイしないと牛角側が気づいたろうし、再実装されることはなさそう。

[rizenback000]

Qiitaでさくらを見る会を開いたときは営業妨害で非公開になったんですが、これはきちんと脆弱性の解説なので非公開になることはないですね！

[nobodyplace]

作ったヤツがアホでFA

[kamenashi1982]

月額2500円で毎日1杯高級ビールか 悪くないな

[ya--mada]

肉を転売できるなら価値ある脆弱性だけど、これはその場で食わないといけないから影響度は小さいのだ。つか、サブスクって言っときゃ良いってすごいな。

[ryunosinfx]

ほんとマジシステム考えた奴が馬鹿なんじゃないかと勘ぐるが、バイトにQRコード読み取れよまでは要求できないという経営判断があったのかもしれない。実験店舗で実験したら運用失敗したとか普通にありそう。

[mohri]

Qiitaでこのネタありなのか……！！？？？

[GiveMeChocolate]

半額の情報助かる

[nhayato]

脆弱性の定義

[north_god]

クラフトビールサブスクいいよね

[yuno001]

こういうサービスやっててユーザデータ取らずに当面の売り上げだけ目標にするのもったいないし意味わからない。分析して新サービスの基盤にするもんじゃないの？

[catbears]

機械機構の動作について想定規格にそぐわない仕様は脆弱性だけど、人間の隙をつくのはどんな形であれ詐欺なのであの店員、店舗や時間帯に限り効果ありと言うのはなんとか教唆になるかと思います。

[the108simulacra]

ユーザーデータ取ってないのが意味不明。何のためにやってんの？？

[hateshinaiz]

消される気がする

[delphinus35]

面白かったが、こう言うのは話題作りでの客寄せも込みなので一概に悪ともいえない。幸いにも、大規模に悪用されることもなかったようなので、企業も店舗も株主も客も全方位ヨシ！だろう。

[karukaru7]

牛角さん…。

[chinpokomon_master]

そうだな無人販売所にも脆弱性あるよな。 でもって「たったこれだけの実装」で防げるよな。

[fortrand]

無賃乗車できる定期と同じ。こういうのはずさんすぎる事例として記憶されるべき。利益だけ見てこういうレベルに妥協していたら、第2のセブンペイが生まれかねない。

[theta]

“サブスクから解き放たれた牛角が半額セールで闘牛” いいね😊👍

[securecat]

目視だとしても見るだけでタップとかもしないみたくなると、スクショ画像でもいけてまうからなあ

[jbtbg]

確かにレジでバーコード読み込みくらいはやってほしい

[at_yasu]

「クラフトビールサブスクのプラットフォームであるfavyでは」

[yojik]

「客がQR提示 → 店側アプリで読み取って来店を記録」or 「店側がQR提示→客アプリで読み込んで来店を記録」だけで済みそうな話なのに、なぜちょっとしたIT化を渋るんだろ。(ユーザトラッキングする気無いのか。。。)

[hdampty7]

セキュリティはコスト青天井ってことを知らないモグリだなさては。セキュリティ強度の要求値が不明な時はアナログで運用というのはよくあること。セキュリティ強すぎてサービスに辿りつけないというのはよくある罠。

[mutinomuti]

僕が考えた最強のサブスク(´･_･`)

[altar]

上位ブコメの魚拓と追記とで差分がある。「これは脆弱性ではないのか？」以降の考え方はこの手の話の前提が共有されてない人にこそ読まれてほしい。