ANAマイレージクラブのログインを少しでも安全にする運用を考えてみたが見つからない

既に「ANAの不正ログイン事件について徳丸さんに聞いてみた」で書いたように、ANAマイレージクラブ(AMC)のWebサイトに不正アクセスがあり、利用者 9人、計112万マイルがiTunesギフトコードに不正交換されました。ITproの記事を引用します。 ANAに申告があった9人分、計112万マイルについて、3月7～9日の間にiTunesギフトコードへ交換されていたことを確認したという。【中略】同社は10日18時30分以降、iTunesギフトコードへの交換サービスを停止した。不正ログインの手段など攻撃の詳細や、他にも不正ログインがあったかについては調査中という。 ニュース - ANAマイレージクラブへの不正ログインで112万マイルが詐取、住所なども閲覧可能に：ITproより引用 攻撃があってから一週間たちますが、まだANAに申告があった利用者の被害しか発表されていません。上記9名以外にも、マ

[lets_skeptic]

お金と個人情報を４ケタのナンバーロック錠で保護するか？と考えたら回避方法がないのはだいぶ酷い。

[info55]

カウンターでのPW入力コストも重要だけど、不正ログインのリスクヘッジの方が大事だよね。WebはOpenID認証のみに出来る設定カモン。

[tukanana]

やっぱり現行のAMCの認証はゴミレベル、ということでFA? #ana

[maruomanga]

唯一の対策が「マイルが貯まったら直ちに交換する」か。1000マイルじゃ欲しいものなくて、参るなぁ。

[moomindani]

どの対策も実際やるの無理ぽい。

[deep_one]

私は「サイトの管理とか特に信用しない」というスタンスなのでパスワードの定期変更は有用という立場。ついに徳丸氏と意見が一致する時が来たと言える（笑）

[fmht7]

アカウントロック中も連携認証でログインできるんだ。

[moronbee]

今どきパスワード4桁固定なのがおかしいよね。

[mas-higa]

マイルを頻繁に確認して不正交換があれば直ちに申告するのが正しい運用……なのか?

[rryu]

ログアウトしたらアカウントロックされてログイン時にパスワードリセットするというモデルは、たまにしかログインして使わないサービスでは良いのかもしれない。

[klim0824]

"不正ログインから時間をおいてマイルを窃取する攻撃に対してはパスワードの定期的変更が一定の効果があるが、もっと良い方法はマイルが貯まったら直ちに交換すること"

[yamaimo_san]

これ、何のゲーム攻略なんですか？