「銀行から１万４０００件の情報流出」をシステム屋目線で妄想したい

http://anond.hatelabo.jp/20151201162600 上の増田を読んでて、SEやっている人間としては気になったので妄想してみる。 前提そもそも何が漏れたのさ？ WHAT出会い系サイトに銀行振り込みした人の電話番号・振込日時・金額。詳細は上記の増田参照。 誰の情報が流出したの？ WHOES出会い系サイト運営者らの口座の情報。 ここの口座の入出金明細の中に、出会い系サイト利用者から業者への振り込み履歴があり、そこに利用者の電話番号が記載されていた。 つまり、盗まれたのは出会い系サイトの顧客情報（出会い系サイト利用者の個人情報）で、 被害にあったのは出会い系サイト運営者の口座ということになる。 どこから漏れたのよ？ WHERE「残高照会ダイヤル」から。 これは、銀行の電話の自動応答システムの1つで、 口座番号とかを入力して、残高や入出金明細を音声で照会できるという、いわ

[PowerEdge]

そっか、出会い系以外の口座も、悪用されてないだけで、流出自体はありえたということか

[NOV1975]

テレバン関係は古くてかつ需要が少ない＝更改する動機がなくシステムがレガシーだから今の基準で考えるとありえないセキュリティーホールの存在はありうる

[pseudomeme]

そんな感じやろなぁ／しかし、ネットバンクのシステムができてだいぶ経つのに音声案内を使い続ける理由ってなんなんだろ

[yhys07]

玄関の鉢植えの下において忘れていた鍵が、実は他の人に使われてましたという話

[nowa_s]

特定の形態(照合表口)の口座、特定の銀行に限定されてるのは何故かという謎解きとして面白かった。目立たないドア(電話)に誰かがひっそり作ったマスターキー的なものの置き忘れがあったと。

[hide_o_55]

ありそう

[regularexception]

照合表口だけなのかな？普通口座も同じキーでわかる可能性あるのでは？(入出金明細だけ見てもあまり意味無いかもだけど)

[ikd9684]

“担当のSE達に合掌。他山の石とさせていただきます”

[hkdnet]

めっちゃそれっぽいなw

[honeybe]

「担当のSE達に合掌」南無

[natroun]

これも中々いい。よい補足と指摘になっている。面白かった。

[John_Kawanishi]

デバッグ用"無敵コマンド"が残ってたわけか…ってそれどこでバレて誰が悪用してたのやら

[naga_sawa]

さらに実装バグじゃなくて仕様バグなのかもしれない/金融系のバグだとSEが何人か本当に死んで責任とる感あるんですが実際の所どうなんですかね/ひとまず中央線にげてー

[legnum]

他もだろって俺も思ったけど当事者の人が書いてる「名前じゃなく電話番号」ってのが肝。銀行でデバッグモード閉じ忘れなんてあるかなーでもそれぽいよなー元開発者が「うはｗ今も通れるｗｗｗ」とかやり始めたんかな

[raitu]

三菱東京UFJの残高照会ダイヤルの脆弱性、2004/2～2015/10まであったってことは、通帳未発行な全口座は12年近く通帳情報ダダ漏れだったことになるが。しかも2015/10に改修するまで隠してたと見るべきだろうな。