Twitterくん、お前正気か？

検証用に作ってあったTwitterアカウントを削除したのだが ・セキュリティトークン（YubiKey）の二段階認証 ・アプリの時間式ワンタイムパスワードの二段階認証 を、設定してあった。 さて、このアカウントを削除すると [Twitterの2要素認証がオフになりました] ってメールが来る。 まさかなぁ・・・と思ってIDとパスワードでログインしたら「アカウント削除処理したけど復活させるか？」って出てくるのよ で、アカウント復活させるとDMとかツイートとか全部見えるの。 勿論「二段階認証は解除されてる」 いや、Twitterくんお前マジでなんでこういう実装した！？ ========================= 分かってくれてる人もいるけど、一応補足しておくと二段階認証を設定されているアカウントで、削除の操作を行った時点で二段階認証の設定が削除。 そのため、IDとパスワードでログインすれば

[wata300]

Twitterアカウントを削除しても、後からアカウントの復活が可能だけど、削除時に二要素認証解除されるので、復活はID/パスワードだけで可能（もしパスワードが漏洩してたら乗っ取れる）ってことか。ヤバ。

[kotaponx]

今のところのワークアラウンドとしては、パスワードに長いランダム文字列ぶっこんでから"削除処理"するしかないかな。

[madooka]

本家にレポートしていれば Bug Bounty で Reward もらえたのでは。最低 $140 、Account takeover として認められれば $7,700 らしい。良い子は公開せずにレポートしような

[kako-jun]

賢者のアイコンは、さすが説明が賢い…… ／ HAL 9000のコメントも、さすが賢い！

[c_shiika]

桃さん「だからアカウント消して転生するよりも、つぶやいた内容をすべて消してやり直すほうが得策なんだ。」

[UDONCHAN]

Facebookもそうだけれども、「削除」の操作で確実に削除されない問題は難しいよねぇ。誤削除に対する対策をしつつだと余計に

[kash06]

賢いなさすが賢者かしこい。次は忍者アイコンの人が乗っ取ったブコメを書いて「汚いなさすが忍者きたない」とナイトアイコンに……（なんだそれ

[psne]

追記無しで読めるお話／本人がアカウントを削除した場合、同様に本人が他要素の認証用データも削除する想定だとすれば、アカウント復旧の手順として整備されているやつ

[greenbow]

DMは手動で削除できるからアカウント削除する前に消しておいた方がよさそうね。

[honeybe]

まじか / 現時点では削除せずに鍵かけて保持し続けるのが正解になるのかな？

[prograti]

Quoraにも1年くらい前に同様の報告がされてるので元からの仕様なんでしょうね。多分。 https://www.quora.com/Will-deactivating-my-Twitter-account-disable-two-step-authentication/answer/Janet-L-Davis?comment_id=146442507&comment_type=2

[kuzumaji]

黒歴史クリーナーかけたあとに垢消ししろってことですねい

[wiz7]

んー、電話番号は個人情報に近いから法的に扱いが違うんじゃないかな？

[aox]

メールだと気づかないので電話かFaxで教えて欲しいです

[cinemaphile]

なるほど/「(サービス名)くん」ていう書き方なんかすげえイヤなんだけど、なんなの。

[imwks]

イーロン・マスクがどうにかしてくれるよ

[Koumei_S]

セキュリティトークンは使ったことがないので知らないが、アカウント削除後アプリの方の紐づけを消してしまった場合、ID/パスワードだけでログインできないと復活もできなくなるのでは？特に問題があるとは思えない

[otihateten3510]

わかりやすいセキュリティーホールだな

[dorje2009]

知らなかった。2段階認証のみ先に無効化するのはダメだよね

[yomo_w5_3]

予防的にブクマ/本アカと同一の電話番号で裏アカを作って自分含むフォロワーにお漏らしした知人がいたし、SNSのアカウントの取扱には慎重を期したいという気持ちを新たにした

[mr_mayama]

アカウントの削除は削除フラグ立てるだけだから明確にデータベースから消える訳じゃないんよ。

[July1st2017]

イケナイ事をして永久凍結させてから削除するとか？

[hetoheto]

要は「Twitterは削除後30日はアカウントが残るという仕様なのに、削除後にセキュリティが低下する。炎上後のアカ削除などはパスの総当たり攻撃に弱い」と言う話？分かりにくくて何度か読んで理解できた（気がする）

[kkkirikkk]

手順を複雑にしてでも完全削除を用意すべきじゃないのかなぁ

[blueeyedpenguin]

アカウント削除でセキュリティが下がるミラクル

[zyzy]

アカウント止めたい場合は、下手に消さずにフォロワー全ブロックして鍵かけた方がいいんかね？

[Falky]

普通に脆弱性なので、Twitter社やIPAへコンタクトも取らずにいきなり晒すお前の方こそ正気か？

[spark7]

30日の復活できる期間みたいなやつのためかね。その間に攻撃されなきゃ無事アカウント消えるのだろうけど。パスワードをめちゃ強力にしてアカウント削除しておけば大丈夫じゃね。

[cinefuk]

「二段階認証を設定されているアカウントで、削除の操作を行った時点で二段階認証の設定が削除。そのため、IDとパスワードでログインすれば乗っ取れるし二段階認証をかけて奪える。」

[sytkm]

はえー怖い。怖いけど他はどうなってるんだろう。

[Shinwiki]

やってるやつ共々、あまり正気ではないと思う

[tetsu23]

削除する直前にパスワード変更しときましょう、って話かな。完全に消えるまで30日か・・・長いな・・・。

[deep_one]

二段階認証部分が後付けなんだろうな。

[kaputte]

削除する前に、使い回しのない十分長くて複雑なパスワードに変更すれば済む話では。メールアドレス乗っ取られるかもしれんから、そっちも捨てアドに変えるかい？

[pptppc2]

異世界の神も前にチートスキル与えた転生者が飽きて現世に戻ったら、新しい転生者に似たような方法でチートスキルアカウント使いまわして与えてそう。

[jaguarsan]

Twitterのアカウントを「削除」してから実際に削除されるまでの30日間は乗っ取りに脆弱って事か。「削除」されたことを検知してアタックすればワンチャンDM読み放題って事だな