タイムズカーシェアの情報流出について

パスワードの平文が流出しているのではないか、という心配が拭えない。 公式からハッシュ化されて保持していたというアナウンスがあったことは承知しているけど、それでも。 以前、タイムズからユーザーに対して、脆弱なパスワードから複雑なパスワードに変更してください、という依頼アナウンスがあった。 その際に「平文で保存されているのでは？」という疑念が生まれ、ネットでも言及してる人をちらほら見かけた。 理由は「パスワードの変更が必要なユーザーは、マイページに赤字で変更推奨の表示がされる」という制御が行われていたから。 仮にパスワードを入力してログインした直後に判定して、その場だけで表示制御してるなら、平文保存しなくてもこの挙動は実装可能だと思う。 けど、今回の騒動の中でシステムの古さとかが指摘されていたので、まさかな、という心配が拭えない。 今回の騒動で同じ心配をした人のポスト https://x.co

[megumin1]

マネーフォワード等は未だに顧客の（一部）金融機関のパスワードをスクレーピングのために平文保存しているよね。なぜあんな蛮行が社会的に許容されているのか全く意味不明。マネーフォワードこそ弾級されるべき会社

[Falky]

脆弱と判断するパスワードから生成されるハッシュ値の一覧を作るとか、いくつか平文不要な方法は思い付くな。これ単体だと疑う根拠としては非常に薄いけど、jquery 1.2.6がいま本番に入ってる事実などを勘案するとね…

[door-s-dev]

ハッシュ値でも漏れたらパスワード更新すべきなのでは

[NAPORIN]

こういう情報もチャッピーがあつめて攻撃側に正確にお届けしてるわけで、おそろしい世の中だね

[paradisemaker]

前身のサービス含めると、提供開始は2005年ごろ。当時の状況からするとパスワード平文保存は全然あり得るけど、パスワード複雑化対応の時にハッシュ化も入れた可能性はある。それでも2024年とかはあり得ないけど。

[cider_kondo]

『数年前』と言って2024年10月23日と29日のTweet張り付けるのはどうだろ。2年も経ってないぞ／ハッシュ化が2008年(Query 1.2.6時代)当時は『復元できない形式』だったんです!、とか復元は出来ないが桁数は推測できる(死)とか…?

[yamadadadada2]

三井のカーシェアはカード無しで使えるのでラクよ。セキュリティがどうかは知らんけど

[matsuedon]

7ｎ-、8年前だろうか、タイムズカーシェアって安くて使いやすそうでいいな、登録しようかなと思ったけど、だらだらと時間が過ぎ、必要なくなった思い出がある。いやぁ、登録せずによかったというか

[kazkaz03]

平文とハッシュ両方保持してんだんじゃない？

[Palantir]

クレカみたいに業界保護標準を作って欲しい

[nguyen-oi]

マイページで脆弱パス判定できる時点で怪しすぎるんだよなぁ…平文保存が事実ならエンジニア界隈阿鼻叫喚やで