iDeCoのページにログインできず、コールセンターに連絡したら「システム改定でパスワードを15桁までにしたので15桁まで削ってログインして」と言われた→「意味が分かるとめちゃ怖い話では？」のツッコミが相次ぐ

不手折家＠作家❀亡びの国＆竜亡き星❀連載中 @Fudeorca iDecoのページにログインしようと思ったら、どうしてもできなくて、意味不明すぎる・・・とコールセンターに連絡したら パスワードシステムの改定で以前使っていた自動生成の20桁のパスワードが長すぎ、15桁までカットしたので15桁まで削ってログインしてくださいって言われて ログインできちゃった こんなことあんのか😖 2026-07-01 12:28:24 不手折家＠作家❀亡びの国＆竜亡き星❀連載中 @Fudeorca まあiDecoなんて悪いやつが狙ったところで引き出すことはできないし （病気かなにかで障害になったとか、死んだとかの証明書が必要になるので偽造するのは糞めんどい） やれるとしたら嫌がらせで金融商品変えるくらいで ある意味一番どうでもいいパスワードではあるんだが。 2026-07-01 12:36:32

[ka-ka_xyz]

「平文保存ではない可能性もある」って、一方通行のハッシュ値ではなく復号可能な形で保存してたら根本的なヤバさは変わらん……

[umaemong]

残念ながら、パスワードが平文で保存されてるシステムなんてザラにあるのが現実。長さや文字に過剰な制限がある場合、恐らく平文保存されてる。自衛しましょう。

[sqrt]

途中のリプにもあるけど、元々先頭15字しか見てなかったんやろ。昔のハッシュ関数ライブラリは先頭n字しか使わなくて残りをサイレントに捨てる仕様のやつが良くあった。今は知らんけど

[canadie]

可能性として無理やり考えたところ、5文字ずつ4つのハッシュ（5x4=20）で突合してて、4つ目の検証をやめて、16文字以上の入力を一律エラーとしたんなら辻褄は合う。逆にいうとハッシュ化してた可能性はめちゃくちゃ低い

[cardmics]

iDecoのページにログイン…ってどこの証券会社？それがわからんと対策のしようがない。 / クレジットカードでいうところの「Visaで払った」くらい、責任の所在がよくわからないやつ。

[magi00]

15桁までのパスワード設定なのに16文字以上入力出来て入力できるけど無視されていたのだろう。で、6月にMFA対応などと合わせてパスワードの要件を6桁～15桁から10桁～64桁に見直している証券会社があるのでそこかなー

[ssuguru]

パスワードは記号とか数字を混ぜなくてもいいからとにかく長くすべしというのが今の考えじゃなかった？

[homarara]

透過的暗号化で流出対策している可能性もあるが、まあ、SQL打てる立場の人には見えてしまう状態であった事はほぼ間違いないか。

[cl-gaku]

内部で15文字でちょん切ってハッシュ化の可能性もゼロではないが…

[ko2inte8cu]

大丈夫、平文じゃなくて、シャーロックホームズに出てくる踊る人形だから、ダイジョブ

[baronhorse]

入力したつもりになってただけで元々15桁しか入力できなかったんじゃ

[yoshikogahaku]

マジか、2026年やで！

[kusomamma]

郵便貯金ホームサービス（ゆうちょダイレクトの前身）なんかパスワードが手書きで送られてきた

[sumomo-kun]

パスワードを可逆暗号で保持のblueboy先生を思い出しちゃった。でも、これは先頭15桁までしか使ってなかったんだろうな。

[houyhnhm]

まあもうちょっと説明した方がいいと思うよ。

[tetsutalow]

入札必須でシステム移行が発生しうる公共調達の場合、移行に備えパスワードを平文で持つことは有りうるんだけど、それを勝手に切り詰めるのが一番ダメ。そしてやっぱHashで持とうよ。どうせ1点モノだし。

[hatest]

もともと15文字分しかハッシュ化していなかったとしたらパスワードの先頭15文字だけあってれば間違ったパスワードでもログインできる不具合が存在していたということで、それはそれで怖くない？

[fcqpy455]

ひどい

[miruto]

パスワード平文保存説あって草

[nakakzs]

一定期間で、パスワードマネージャーの前パスワードチェックし直すのだけど、いまだに「ここ大丈夫なの？」ってとこ多い。そらパスも独自のものにするし、メアドもエイリアスかけないとまずいと思うわ。

[togetter]

本当のところはどうなんだろう…？

[mas-higa]

何のサービスだったか忘れたけど、パスワード変更で新旧のパスワード入れる画面で旧パスワードが合わず、パスワードを8桁で切り捨ててることに気づいた。ログイン時は切り捨てして、パスワード変更ではそれをやって

[beeeyond]

いずれにしろ嫌すぎる。

[stabucky]

私もJIS&Tで同じ話があった。初ログイン時に長いパスワードに変更して完了。次回、パスワード相違でログインできず。おそらく元のパスワードを勝手に短くして保存されたのだと思う。

[punychan]

id:cadadie のやり方は一瞬なるほどと思ったが、5文字のハッシュと分かっていれば一瞬で破れるので、それを何個か用意するのは平文保存と変わらないな。

[circled]

短いパスワード廃止された結果、パスワードリセットするまでログイン出来なくなってたアカウントが前にあったが、15文字までに短くするのは意味が分からない

[diffie]

昔のUNIXは8文字以上切り捨てだったっけ?

[dollarss]

ヤバすぎるだろ、2010年でさえ許されてなかったぞ…金融サイトで何やってんの公表しろよどこの業者だよ

[mike24]

先月SBIのiDeCoでパスワードを変えていないのに、「パスワードが違います」でログインできずに変更したけど

[paradisemaker]

そもそも新システム側でパスワードの桁数減らす理由がわからん

[hotmilkcocoa]

maxlength のせいです。しらんけど

[tokuniimihanai]

そもそもパスワードを15桁までに変える理由が分からなくて怖い。長くするなら分かるけど、短くするのは聞いたことない。

[charun]

投資なんか、破産者増やしただけっぽいからやらなきゃよかったね。

[kagerou_ts]

だがちょっとまってほしい。本当にまって/「もともと15文字に切り捨ててハッシュ作ってたバグかなんかを引っ込みつかなくなって仕様にした」あたりが一番穏当か…？

[inks]

「ハッシュ値で暗号化していれば、1文字でも削れば全く違うハッシュ値に...。」怖いな。コレ。個人年金なんだろ。今後も漏洩恐怖に晒されるのか。

[Adeptus]

ユーザーログインで人力されるパスワード文字列を使って別DBにハッシュを再構築する移行プラクティスは存在する。"cognito lambda段階的移行"で検索。

[everybodyelse]

そういや昔suicaのサイトでも同じことあったな。いや、あれは登録側が切ってただけか？

[BlueSkyDetector]

ブコメで挙げられている5文字ずつ細切れにハッシュ化する手法だったとしても、それだけ短いと簡単にレインボーテーブルが作れてしまうからどちらにしてもヤバい

[kirarapoo]

先頭15文字でハッシュしてたなら20文字入力してもログインてきるのでは