誤ったパスワードの入力で他人のIDをロックさせチケットをゲットする技にファン衝撃【やじうまWatch】

[renu]

アカウント単位でロックするより、IPで一定時間ロックする方が良いのでは？いたずらする本人も自分のアカウントにアクセスできなくなるし。

[mon_sat]

アカウントをロックするのって日本にしかなくない？以前から効果のほどが疑問だった。毎回ログイン失敗時に15秒とかログイン試行できなくするだけで良いような？／Web上のサービスでの話。

[t_yamo]

とりあえずブコメのIPアドレスベース案はキャリアGWなど表に出るIPアドレスが集約された顧客への副作用が強い（「誰かのせいで別の人がロックされる」事態がさらに拡大して悪化する）のでいかんと思う。

[stp7]

総当たり攻撃に対してのセキュリティ対策。そもそも固定長n桁数字で変更不可の会員番号をIDに使っているのが間違いなのでは。

[nishik-t]

IPだと複数ユーザーが同IPの場合もあるし、IP＆IDでロックだとIPを切り替えて同じIDでアタックできるし、一定時間ロックにしても嫌がらせは可能、Cookieで特定するとしても受入拒否されたら意味ない。ID推測困難にするしか

[akulog]

おめぇ頭いいな！（CV:野沢雅子

[htbman]

電話予約最強や！

[mkusunok]

この手口は酷い。やってる輩をアノマリー検知で見つけてBFPでブロックしたい

[cateching]

同一送信元から複数のIDをロックしてるなら簡単に検知できると思うけど。

[ockeghem]

アカウントロックは日本にしかないのではというコメントがあるが、PCI DSSでも要求しているし、日本固有ということはないと思いますよ

[i_ko10mi]

会員番号と会報に同封されたパスワードを使って、ワンタイムのIDとパスワードを取得しないと申し込めないシステムって不便だと思ってたけどこのツイート知って推しに感謝した。

[pixmap]

この勢いなので告白するが、自分も誤った電話番号の入力で他人の電話を鳴らして、相手にもしもしと言わせたことがある。

[PrivateIntMain]

IPロックはコンビニのWi-Fi渡り歩けばいいので対策にならない？いかに割に合わないと思わせるかが大事な気がするが、そうなるとIDのバリエーション増やすのが一番手っ取り早い？端末と紐づけるのが強固だけど手間。

[yoiIT]

似たようなことやってるやつがいたけど、ロックマンというあだ名付けられてた。

[arisane]

eプラスのIDは確かに自動で払い出される数字のみのIDだったな/ ブコメに対してIP単位で規制すると巻き添えになるユーザーがたくさんいるって2chで学んだでしょ。DION軍とか。

[adsty]

ロックさせまくって競争率を低くするとはずる賢い。

[aike]

普通のセキュリティはアカウント乗っ取りや重要な情報を窃取したりの対策だけど、誰かの動きを数秒～数分間止めるだけで目的を達する悪意への対策ってそういえばあんまり考えられてないかも。

[sukekyo]

ああ、これ、最初にバズったのを読んだ時に「？」だったけど、なるほど、適当なひとのIDをロックしたおすのか。これは悪質。自分のファンがこんなだと思うと、アイドルとかファンと結婚なんて考えられなくなるな。

[madridNewyork]

先着ではなく抽選にしよう(システム負荷を分散したいだけ

[homarara]

欲しいチケットが自分と同じな上に、普通に申し込んだ時に先を越されるようなアカウントidなんて特定できるのはおかしい。当てずっぽうで当てられる確率でもない。会員情報流出してない？

[rti7743]

よく考えるなあ。

[ks1234_1234]

うまいコメントが思いつかない。

[gcyn]

IPはダメだよーー（コメントに）。

[interferobserver]

威力業務妨害でしょっぴくしかないかなー

[toaruR]

登録メアドにワンタイムログインURLを送信すれば良い

[apipix]

メアドがIDだったりするからなあ

[whkr]

システムで対応するより、やった奴を逮捕して見せしめにした方が早くない？（中世脳）

[nilab]

「パスワードを一定回数間違えるとロックされるという仕様を悪用し、他人のアカウントをロックさせてチケットなどの競争率を低くする手法がTwitterで紹介され、大きな波紋を呼んでいる」

[nekoluna]

昔からある攻撃方法のひとつ。知らない人結構いるのか・・

[amino_acid9]

ログインに会員番号等の推測可能な固定情報を用いてるから出来る技か。しかし、よう思いつくなこんなん

[Kil]

日本だけ……？ つい2日前にgithubのパスワードを何回か間違ってロックされたけど……。

[cl-gaku]

乗っ取りとかではない地道さが泣ける

[softstone]

この攻撃が猛威をふるうなら、ログインアカウント名は秘密情報として隠したほうが良いという意見が重要度を増しますね。サービス内容と実装次第では、ユーザー群のログインを困難にして利益を得る可能性はあるかも。

[GROOVY]

ロックしたとこで当選する可能性あがるの？ギリギリまで申し込んでなかったから間に合わなかったてのを狙うの？？？

[Kmusiclife]

宅ふぁいる便もそうだったが現場って結構遅れたことやってると思う。しがらみ？なに？まともなサービス提供するべき。一時的に問題のIP Dropしとけ。そんくらい簡単やろ。

[RIP-1202]

かなり大掛かりに人や物を動かしてる割に、昭和の興行師以上の仕事はしない事務所だからなんとも。期待するだけ無駄。

[ysync]

「将来的に大掛かりなシステムの見直しを迫られる可能性」将来とか言ってないですぐやれよｗ／同一端末からの複数のID入力の方をロックすべきじゃないんかね。IMEI等抜くと怒られるから、他にも考えないとだが。

[Atalante]

ほんと色々思いつくなぁ

[y-Aki]

怪しい場合に追加の何かをきいてからパスワード認証にするとか でも苦しいか