Peing脆弱性案件に見る初動のまずさ - orangeitems’s diary

https://peing.net/ 質問箱Peingに脆弱性が発見されメンテナンス中に 現在、下記ツイートに関連して、質問箱Peingのサービスがメンテナンス中となっています。 第三者が勝手にツイートできてしまう問題について対応中で、 明朝までに復旧見込みです。 本事象に関連して第三者がユーザ様のTwitterにログインをしたり、他サービスにTwitterログインされることはありません。 詳細は明日、会社よりお知らせ致します。 ご迷惑をおかけし大変申し訳ございません。 — Peing-質問箱-(公式) (@Peing_net) January 28, 2019 上記の通り、少なくともPeingを連携していたツイッターアカウントに対して、第三者が勝手にツイートできてしまう仕様だったことは間違いないようです。また、だからといってログインできたり、ツイッター連携している他のサービスにログインで

[public_key]

APIの権限ではハッシュ化されたパスワードは取得できないのでは。運営がトークンのことと勘違いしてるような気がする。

[ykhmfst2012]

ジラフを選んだ理由は「社長が格好いいから」。勿論ネタ発言だけど交渉が2日間だったこと含め技術･組織力等関係なしに売却した様子が伺える。事実これで炎上4度目。直接の責任はせせり氏にないが全く非がないとは。

[hackapellmanda]

あいえええ

[nmcli]

ちっちゃい運営会社なのかなと思ったらまあまあな規模だったので、なるほどこれは初動対応もっとうまくできたかもしれん

[te2u]

対応の流れは同意。ただ中間報告は運用の規模次第。原因がわかっている人たちが対応もしているはずで、少人数だと負担がさらに大きくなるから。

[katsyoshi]

まずい対応ではあるが、こういう対応運営者がなれていないのでは？

[suganoo]

障害対応で大事な教科書的な観点。