楽天のメルマガ個人情報流出問題の犯人を推理する (ラボブログ)

ラボ神部です。 今日、楽天市場のメルマガ登録確認画面から個人情報が流出しているらしいという話が話題になっていますが、流出経路が何とも不可解。そこで、可能性をいくつか挙げてみて、下手な推理をしてみようかと思います。 そもそもの原因は そもそもの原因は、Google のロボットのように、メルマガの本来のセッション所有者以外が、メルマガ登録の画面遷移の跡をたどっているところにあります。 URL で言うと https://emagazine.rakuten.co.jp/ns?act=chg_rmail_delete_conf&k= の act= のあとがコマンド、k= のあとの部分がセッション ID になっているのは明らかです。楽天がどのようなプラットフォームの上で動いているのかわかりませんが、PHP なら php.ini で session.use_trans_sid オプションを ON にする

[sohei]

良い分析。「しかし根本的なところを見直すとすれば、やはりメルマガ解除の仕組みのセッション管理についての扱いに配慮が必要だったかのではないでしょうか。」

[nilab]

楽天のメルマガ個人情報流出問題の犯人を推理する (ラボブログ)

[bwhr]

あとで

[blueribbon]

「ユーザが自分のセッション情報を残したまま（ソーシャル）ブックマークしたところに突破口が生まれてしまった」

[adsty]

「下手な推理」を前置きにした考察。

[fieldragon]

原因はまだ確定したないようだけど、ソーシャルブックマークなのか？またとにかく、この個人情報流出は相当まずいと思う

[R-STYLE]

セッションIDを毎回生成してないってこと？

[TAKESAKO]

【（追記５　犯人はソーシャルブックマーク？）】

[aspx]

https

[tokuhirom]

URLには、どのメルマガか、という情報だけを埋めておき、URLにアクセスした時点でログインさせるべき。でFAだとおもうのですが。

[zorio]

対策するべきなのは楽天だろうが、どうするべきなんだろ。Robots.txtも紳士協定だし、セッションIDの有効期間も程度問題だから、セッションIDをURLに含める方式を止めるしかないかもしれん。Cookie使えば済む話だし。

[ka-wara]

良い情報。全貌はまだ不明だが、現時点でソーシャルブックマークが原因では？、との事。／楽天メールマガジン情報漏洩。／メルマガ

[otsune]

仮にソーシャルブックマークされたとしても、そういう情報を表示するページはmetaヘッダーでNOINDEX,NOARCHIVEを出しとくもんじゃね

[mrmt]

ところどころ論理が変なとこが気になる

[amimotosan]

某っていうと「はてな」？かと思っちゃうよ

[fbis]

追記５まで読んだ。面白い。まさかYahooブックマーク！？

[masakanou]

読む

[Hamachiya2]

本来漏れないはずのurlがどんどこ収集されてるのはたぶんツールバーor先読みツール系な気がするけど、だれか検証してみないかな。(マイナーキーワード)の楽天(or Amazon)検索結果がよくindexされてることに鍵がありそう

[mackey13]

どうやら原因が特定できそうなところまでいってるもよう？

[roodevil]

楽天殺人事件の真相を名探偵が解き明かす！（ウソ）

[suVene]

楽天のメルマガ個人情報漏洩推測

[efcl]

楽天のメールマガジンからの個人情報がクロールされてた話。

[mi1kman]

犯人というよりは原因だろう

[keyboardmania]

素人目にはさっぱり分からないが自衛の為にブクマ

[pinball-1973]

原因判明前の推論。

[FTTH]

横から補足すると「session.use_trans_sidが1でクッキーが使えないブラウザの場合」（≒実際的には大半がケータイのはず）だが、細かいことゴタゴタ考えんとsession_use_only_cookiesを1にしろ禿という話。ケータイは去れ。

[ryuzi_kambe]

楽天のメルマガ登録・解除関連の情報流出問題のプロセスをいくつか検討してみました