サンシャイン牧場 情報「露出」問題のまとめ | 鳩丸よもやま話

「サンシャイン牧場」において、課金操作を行った人のメールアドレスと電話番号が「露出」していた件のまとめです。 はじめに「サンシャイン牧場」はmixiアプリとして提供されているゲームです。mixiアプリとしては最大の利用者数を誇り、2009年11月23日現在、利用者は300万人を突破しています。運営しているのはRekooという中国の会社です (が、最近、日本法人もできました)。 2009年10月21日、サンシャイン牧場に「Kコイン」の仕組みが導入されました。実際のお金を支払って「Kチャージ」を行うとKコインが増え、Kコインを消費することで、通常では購入できない作物や肥料などを手に入れられる仕組みです。リアルのお金を支払ってアイテムを購入するという、いわゆるアイテム課金の制度になります。支払い方法は、株式会社ゼロの決済代行サービスを利用したクレジットカード払いでした。 ところが、この課金に際し

[betelgeuse]

httpsでは無かった。セッションIDは使っていなかった。rekoo側は生id,mail,phoneをブラウザ経由でhttp送信しており、javascriptOFFでソースを見れた。zero側はURL上のidを変更すると課金操作が誰でもできた。ということらしい

[ys0000]

今更知った。大きいところでもセキュリティが屑かったりするのね。

[HeavyFeather]

設計がやばすぎる

[hashimoya]

サービスを利用する側にとっても、提供する側にとっても参考になる。

[koumiya]

mixiやってないんで、いまさらなんだが、これまじかよ…。せめてパラメータを暗号化するくらいできなかったのか。

[Lhankor_Mhy]

アマグラマの俺でも分かるような脆弱性なんだから、分かってて見過ごしたとしか思えない。/ といいたいところだけど、俺、もっとひどい脆弱性を見つけた事があるんだよね、ブログにも書いたけど。

[nununi]

作ったほうもスゴイけど、初歩的な脆弱性をスルーして世に出しちゃうmixi側もヤバイ。

[KANIBUCHI]

今回の場合、httpsを使ってない云々は関係ないでしょ。それ以前なんだから。つかSSLは聖域じゃないよと。技術力というか設計レベルの問題。

[nitoyon]

課金情報が見えてしまう問題、第三者の課金を勝手に行えてしまうかもしれなかった問題。

[mi1kman]

これは素晴しいまとめ

[adsty]

「サンシャイン牧場」の技術的な問題点を詳しく解説。

[kaya_purple]

webプログラミング関連の書籍でさえ「『?～』で直接渡すのはやめませう」って書いてあるのに(´･ω･`)

[kiyoshi1211]

問題だらけなのか

[K-Ono]

サマリが出た。これでWeb少額決済がもっとマトモな方向へ（ある程度のインフラ化）行ってくれればいいのだけど実際は「Webで金払うのこええ」感がさらに増えそうでイヤだなあ。

[vifam84]

SE10人に聞いたら20人が「いまどきこれはないわ」って答えるくらいひどい/作る側も作る側だけど、この仕様でGOサインだすmixiもmixi

[namarui]

アプリに金払うとかやっぱりいまだに理解できないわ。。。。てかアプリ内の日本語の文法もおかしかったんでしょ。そんなんに金払うなよ。日本人は平和すぎんだよ。

[rna]

一度決済したことのあるユーザの「前回のクレジットカードを使う」機能による決済を他人が実行できたという問題。Rekoo側の手落ちだけど、この機能がZERO側で閉じる仕組みになっていれば個人情報漏洩だけは防げたかも。

[renu]

素人で作ったっシステムっぽいね・・・

[minarai]

良いまとめなんだけど、読めば読むほどこれはひどいとか以前のお話だったんだなーと思ってしまう事例 / 課金した人、こりゃ怒るわな・・・

[tkouen]

@0@大変なことになっていたのね。＞課金しないからなぁ・・・

[stealthinu]

サンシャイン牧場の課金問題のまとめ。よくまとまっててわかりやすい。『「普段使われるURLに誰でもアクセスできるようになっていた」という話』これにつきる。

[at_yasu]

突貫で作ったような感じやねぇ。裏で「セッションは云々、hiddenは云々」と文句足れる人がいて下手に時間とられたんじゃないのと勘ぐってみる。

[tukumomomo]

仕様の時点でエターだったのだろうか…それ以前の問題か？

[irasya]

ネトゲーやアバターってこういう脆弱セキュリティが多い気がする、乗っ取りが蔓延してやっと対策し始めるイメージ

[taku-o]

よく作り切れたな感。この情報あふれる世の中で、この微妙なレベルのデベロッパー「だけ」を集めるのはとても大変。／ああ、そうか。1人で作ったんだろう。

[b0101]

「課金した程度で騒ぐなんてｗｗ」とか言ってた人たちはどうするんでしょうね

[MIchimura]

これはひどいｗｗ

[takeshiketa]

これはひどいとか言うレベルの実装じゃねーぞ

[harupu]

脆弱性があったとしても、「実際に2つのユーザーIDについて試してみたところ」はやっていいものなのか？

[jaguarsan]

良いまとめ。早速社内に情報共有しました。