記事を購入するときに会員登録不要ですぐにクレジットカード入力ができてしまうため「不正入手されたクレジットカードの有効性確認」にnoteが悪用されているらしい

あかんやつマン🥦 @kabuakan 不正入手されたクレジットカードの有効性確認にnoteが悪用されているらしく、理由調べてみたけど納得だわ。 記事を購入するときに会員登録不要で、すぐクレジットカード入力→有効性チェックができるからそりゃ悪用されるわって感じ。 pic.twitter.com/2Ramtgvk1C 2021-05-05 22:00:51

[mitsuok-33]

めちゃくちゃ参考になるダメなケース

[hirata_yasuyuki]

カード有効性チェックに利用されるのは結構前Googleもやらかしているんだよなあ / id:synopses カード利用お知らせメールの特許は楽天が持ってる。 http://tmt-law.jp/2014/03/25/7476

[fashi]

noteが利用されているらしいっていう話の情報元は何なのだろう

[hatest]

最近のいい感じのクレカはスマホアプリがあって、使わないときはカードロックできるから、使いたいときだけロック外せば怖くないよ

[synopses]

楽天カードならメールで通知がくるから、これはすぐに認知できそう。他社も採用してほしい… 特許でもあるのかな？／(追記)やっぱ事情があるんだ。あれ便利だもんね…勉強になりました＞id:hirata_yasuyuki

[qwertasd]

noteでクレカチェックしていた件はこれだろう https://twitter.com/cheenanet/status/1389291261094514693

[anklelab]

クレカってそういうもんだと諦めるしかない。その代わり、大抵の不正被害は補償されるはず。利用履歴のチェックさえ怠らなければ。

[lifeisadog]

正直こんなサービスいっぱいあるよね。noteだけじゃなく

[mats3003]

なるほど、そういう使い方があるのか。対策するなら1回限りの購入でも住所氏名登録させるとか？

[yukitan_i]

IPアドレス漏洩騒ぎのときといい、noteは技術的な問題が起きたときに真剣に向き合わずに論点ずらしとポエムで誤魔化す不誠実な企業、というイメージがついたよね。

[lovely]

ゲスト購入をなくすと課金する人が減りそうなので登録必須にしたくないんだろうな。試行回数制限はあるみたいなので、ゲストの場合は3D Secure必須にすれば現実的？

[karkwind]

まぁこれは、どのサイトでもやろうと思えばできるよな。よく考えたもんだ

[interferobserver]

本来クレカ会社側が責任を持つ話では。サービス提供者側で何とかできるならそりゃそうした方がいいけど、クレカ会社から提示される仕様に則してるならサービス提供側に責任を負わす話じゃないような。

[hidea]

確かにと思いつつ、会員登録せずにカード使えるサービスなんて山ほどあるよなとも。通販だって与信時点で住所確認なんていていないだろうし。

[momizikeiko]

こんな仕様はしないだろうと自分が思うようなものを提案する人がたまにいて、こういうミスをまさにやりそうで困る

[tettekete37564]

別にエンジニアは大変じゃないだろ。クレカ会社との契約条件等の問題だし、その仕様の落とし込んでOKとした奴の責任だし

[sippo_des]

UIUXデザイナーにセキュリティ知識がなくて良きユーザしか見ないジャーニーマップマン。でもどこまでが職位の責任範囲か、って難しーけど。PMなのかセキュリティのプロはいないかとか、インシデント対策のスピードとか

[ryouchi]

同じIPアドレスから複数（例えば10回以上とか）のカードを登録しようとすると該当IPからのアクセスは遮断するとかってのは難しいんかな？

[aktkro]

会員登録必要なサービスでもやろうと思えば出来ちゃうよねこれ

[zorio]

ああ、会員登録をしないと決済できないようにすると、効率を下げられるのか。スロットルもかけられるようになるしな。

[hiby]

オーソリって金掛かるからな。

[travel_jarna]

“IPアドレス漏洩騒ぎのときといい、noteは技術的な問題が起きたときに真剣に向き合わずに論点ずらしとポエムで誤魔化す不誠実な企業、というイメージがついたよね。” 甘いです😅　初出から情報商材で肥え太った悪玉

[John_Kawanishi]

第三者が実害にある踏み台にされる系セキュリティホールかぁ

[daishi_n]

カード情報を保存するサイトは最小限にしてるな。楽天やApple IDもカード情報は登録していない

[ryu39]

なるほどなぁ。ただ、ユーザー登録必須にしたところで、適当な情報入力されて終わり。ちゃんと身元確認するためには、最低でもSMS認証ぐらいかけないとダメなのかな。

[Falky]

ちょっとよくわからない。会員登録が不要ってだけで便利にはならんだろ。適当なサイトで適当なアカウント作ってから試すのと、ほとんど手間変わらないじゃない//あー、非ログインだと回数制限実装できないってことか

[diveintounlimit]

いくらnoteがクソとは言え元情報は1年くらい前らしいし事実かどうかも不明という状況では何とも。

[uza_momo]

よく分からないので、カード情報は削除しておきました

[fu_kak]

なーる

[nowandzen]

お騒がせ企業

[chunchu-n]

エポスもカードのお知らせくるよ。海外旅行で使うと日本円換算した金額も記載してくれて助かる（そして反省する）

[kawabata100]

そういう使い方があるのか。

[surume000]

悪人はいろいろ知っているなあ

[deztecjp]

note 側の見解は「調査の結果、直近で大規模なカード確認数・エラー数の変動、海外からの高頻度アクセス等は確認されませんでした」とのこと。→https://twitter.com/note_PR/status/1390184658608873477

[Dai44]

ゲスト購入できるショッピングカートとは何が違うんだろう。めんどくささか。(商品を選んでカートに入れて住所とか入れるのより楽)

[ykhmfst2012]

CXO（企業活動における業務や機能の責任者）さんのコメントが待たれるところですね。スルー、ベンチャーだからごにょごにょ、大手もやってるから悪くないもん、クレカ側が悪い、ポエム。さてどれかな。

[sgo2]

ネットでの不正利用は3Dセキュア等の仕組みで弾けると思うけど。https://www.cardservice.co.jp/service/creditcard/3d.html

[otihateten3510]

気をつけよう