サンシャイン牧場 情報「露出」問題のまとめ | 鳩丸よもやま話
「サンシャイン牧場」において、課金操作を行った人のメールアドレスと電話番号が「露出」していた件のまとめです。 はじめに「サンシャイン牧場」はmixiアプリとして提供されているゲームです。mixiアプリとしては最大の利用者数を誇り、2009年11月23日現在、利用者は300万人を突破しています。運営しているのはRekooという中国の会社です (が、最近、日本法人もできました)。 2009年10月21日、サンシャイン牧場に「Kコイン」の仕組みが導入されました。実際のお金を支払って「Kチャージ」を行うとKコインが増え、Kコインを消費することで、通常では購入できない作物や肥料などを手に入れられる仕組みです。リアルのお金を支払ってアイテムを購入するという、いわゆるアイテム課金の制度になります。支払い方法は、株式会社ゼロの決済代行サービスを利用したクレジットカード払いでした。 ところが、この課金に際し
mixiは一刻も早くサンシャイン牧場のクレジットカード脆弱性についての危険性を発表すべき - やまもといちろうBLOG（ブログ）
一部対策されているようだけれど、まだできちゃうようなので…。 セッションIDからぶっこ抜ける状況は続いておるようにも見えるのと、対策がちと杜撰で穴が塞がってないようなので、老婆心ながら再度通報と本件エントリーをば。 悪用も考えられるので、方法は書かない。でもマジに危険すぎる。早期にきちんと対策されることを祈ります。
高密度小池 ／ サン牧の本質的な問題
サン牧の本質的な問題 サン牧には問題がいくつかあって、表面的なことを言えば、 OpenSocial にちゃんと従っていないという点と、外部課金回りに重篤な不具合があるという二点です。 OpenSocial に従っていないという点は、 mixi がわがしっかりした作りになっているので、これはさほど問題になりませんが、外部課金のお粗末さはかなりのものと言えます。 ここでサン牧運営の Rekoo の技術力やモラルの問題を糾弾するのは簡単で面白いことですが、これもあまり本質的ではないと思います。 結論から言うと、本質的な問題は mixi が mixi アプリの提供を急ぎすぎたことであると僕は思っています。 mixi アプリは、資金を集めるために始められたサービスであると理解するのが、やはり正当かと思いますが、 mixi にマネーなり話題なりを集めるサービスを mixi アプリ上で展開して
サンシャイン牧場と株式会社ゼロについて＜追記＞ - umeten's blog
＜追記：代行会社云々以前にシステムが問題だよという指摘＝即ち怪文書＞ mixiは一刻も早くサンシャイン牧場のクレジットカード脆弱性についての危険性を発表すべき: 切込隊長BLOG（ブログ） Lead‐off man's Blog http://kirik.tea-nifty.com/diary/2009/10/mixi-dfda.html 一部対策されているようだけれど、まだできちゃうようなので…。 セッションIDからぶっこ抜ける状況は続いておるようにも見えるのと、対策がちと杜撰で穴が塞がってないようなので、老婆心ながら再度通報と本件エントリーをば。 悪用も考えられるので、方法は書かない。でもマジに危険すぎる。早期にきちんと対策されることを祈ります。 Shirobeya memo - サンシャイン牧場のクレジットカード脆弱性について@ssig33 http://wakkk.tumblr.c
サンシャイン牧場のクレジットカード脆弱性について@ssig33
ssig33: サン牧で他人のクレカ情報取るの、セッション ID を偽装して Get するだけで、セッション ID はマイミクリスト経由で取れますよ [http://twitter.com/ssig33/statuses/5111706038] ssig33: 一応運営に連絡済、もう直ってると信じたい [http://twitter.com/ssig33/statuses/5111712163] ssig33: あとちょこちょこ SQL インジェクションが残ってたりスウィフファイルが逆コンパイル対策されてなかったり、中国人にセキュリティ対策を求めるのが酷なんじゃないかと思えるレベル [http://twitter.com/ssig33/statuses/5111734931] ssig33: 基本的なこととして、中国人がやってるサービスに個人情報を預けるべきではない、というのはこれはあると
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ssig33 on Twitter: "セッション ID が永続化されてる問題も管理腐ってる問題も直ってたぞ"
ssig33 on Twitter: "マイミクリストの機能経由で他人の ID 拾えるのは直ってないっぽいけど、他直ってるから問題ないと思う"
http://twitter.com/ssig33/statuses/5111706038
http://twitter.com/kurage/status/5071447637
http://twitter.com/kurage/status/5141159634
http://twitter.com/kurage/status/5092462614
Twitter / QURAGE: @nitoyon ですね･･･実質owner_id ...
http://twitter.com/kurage/status/5071646710