Tポイントの不正はワンタイムパスワードでは防げないらしい: 独房の中

YahooIDはワンタイムパスワードにしてあったのに、急にログイン再設定完了のメール通知が来て、ログイン履歴みたら知らないGmailアドレスでログインされた形跡があって、Tポイントがごっそりなくなってた…連絡先メールアドレスに謎のアドレス増えてたし、ワンタイムパスワードなのにどう破られたん？ — ほっそ (@AC12_GG9) 2018年11月12日 Tポイント不正利用について。 ヤフーからの回答によると、ワンタイムパスワード設定してあってもYahooIDとTカード番号が分かれば本人認証を通過してしまうらしい。これら二つを紐付けられたらアウトっぽいので皆さんも気を付けてください。 — ほっそ (@AC12_GG9) 2018年11月13日 他サイトとの連携をしていく上でセキュリティ上の設計に不備があったという事でしょうか。設計するときに全体を見渡して穴がないかをチェックし続けないと他のサイ

[mkusunok]

げ、確かにTポイント番号でアカウントリカバリーできるし、OTP設定しててもアカウントリカバリーで迂回できちゃうのはOTPリリースした直後に徳丸さんから指摘されたけど、まだ直してなかったか

[gazi4]

http://takagi-hiromitsu.jp/diary/20130330.html これだ／結局こうなった　"※Tカード番号はTカードの券面でのみご確認いただけます。ご本人様以外に知られることのないよう大切に保管ください" https://tsite.jp/cp/index.pl?xpg=PCIC0102&cp_id=17785

[NOV1975]

Yahooが不正利用について保障すれば良いだけの話。保障が嫌ならちゃんとしろー

[suginoy]

“ヤフーからの回答によると、ワンタイムパスワード設定してあってもYahooIDとTカード番号が分かれば本人認証を通過してしまうらしい。これら二つを紐付けられたらアウト”

[hiroomi]

“設計するときに全体を見渡して穴がないかをチェックし続けないと”たぶん、一時的に不備をかけても随時更新。

[nazoking]

これはひどい

[jgoamakf]

マイナンバーが秘密にするべき番号なのにも驚いたが、Tカード番号まで秘密にするべきだったとは。

[oqzl]

えー…

[securecat]

ほんとだ…。シークレットIDを設定していたとしても、真のIDとTカード番号がわかれば突破できてしまう

[Dai_Kamijo]

“Tポイントの不正はワンタイムパスワードでは防げないらしい: 独房の中” — 徳丸 浩 (@ockeghem) November 13, 2018 from Twitter https://twitter.com/Dai_Kamijo November 14, 2018 at 09:48AM via IFTTT

[ya--mada]

ナンダヨソレ ヤフーからの回答によると、ワンタイムパスワード設定してあってもYahooIDとTカード番号が分かれば本人認証を通過してしまうらしい。これら二つを紐付けられたらアウトっぽい

[IGA-OS]

色々と制約があるもんで

[FTTH]

「OTPとかそういう問題じゃなくて原理的にダメ」とどこかで読んだ記憶があるがどこだっけ