認証方法は「IDとパスワードのみ」が7割超 ネットサービス事業者の甘さ露呈

7payの不正利用が発覚する直前のタイミングで、フィッシング対策協議会が「インターネットサービス提供事業者に対する『認証方法』に関するアンケート調査結果報告書」を出した。 サービス開始早々に不正ログインが相次いだモバイル決済サービス「7pay」。7月11日の時点で少なくとも1574人のユーザーが被害に遭い、被害総額は約3240万円に上ったと報じられています。発覚から約3週間がたった今も、運営元のセブンペイは不正利用の原因調査を進めており、7月中をめどに脆弱性への対応策をまとめ、公表する方針です。 情報が錯綜していたり、不足していたりする中ではありますが、既にさまざまな記事で原因が推測されています。パスワードリスト攻撃の可能性に始まり、サービス側の実装の不備、具体的にはパスワードリセット機能の不備や二段階認証の欠如、さらには外部サービスと連携する際のOpenID Connectというプロトコ

[ton-boo]

MFAとかのこともあるけどパスワード最大12文字とか滅びてくれないかなあ。それは最低ラインだ

[cinefuk]

webサービスの多くで「ID/passに使えない文字列」を設定している企業があるのに不満

[daybeforeyesterday]

うーむ