売られている楽天ID（８／３）
◆　楽天の不正アクセスは昔からである。楽天モバイルの不正契約事件でも、犯人は楽天のIDを購入しそれを使ったと言っている。楽天はパスワードを2つにしているから安全だ、乗っ取りはパスワードの使い回しによるもので、他のサイトから漏れたものだと言い張った。楽天は日本人従業員の離職率が多い事もあり積極的に外国人を雇用しているのだが、文化の違いなどもあってセキュリティ面では色々難しいそうだ。

◆　楽天の言い訳は珍しいことではなく、二重価格問題にしても出店者が勝手にやったことだと三木谷氏は言った。しかしその後楽天側から二重価格の指示があったことが分かり、謝罪会見に追い込まれた。それ以降怪しげな事はメールではなく電話で(出店者に)連絡するようにと三木谷氏から指令が届いたそうだ。

◆　楽天が何故二要素認証を嫌っていたのかは不明なのだが、今年の初め頃から二要素認証を行うようになった。これって行政側からの意見があったんだったかな。そんなわけで重い腰を上げたのだが、二要素認証は一斉にスタートしたわけではなく、設定可能なIDもあればそうでないものもあった。なお楽天カードのe-NAVIは二要素認証が使われていない。

◆　楽天のセキュリティの甘さに目を付けたのが悪徳系通販サイトの出店者で、楽天IDを購入して詐欺行為を働く。悪い奴らはAmazonや楽天市場に出店する。これは普通の出店者と同じなのだが、価格を微妙に安くする事で注文を集める。購入者Aから注文が入ると、盗んだ楽天IDを使って楽天市場で注文品を買う。その送り先を購入者Aにして、決済は不正に取得した楽天IDで行う。こうすると出店者の支出はゼロで購入者Aからの代金は全部手に入る。第三者のIDを使って決済するが、送り先は購入者Aなので足が付きにくい。

◆　楽天にしてみれば乗っ取られたかどうかなど分からないわけだし、楽天カードが楽天で使われるのだから本人が買ったのではないかと言える。基本的にIDが乗っ取られたらそれはID所有者の責任と言う事になるので、楽天側としては補償しない。楽天ポイントが使われる例も後を絶たないが、楽天はポイントの不正利用を(不正利用されたことが証明出来ないとして)保証しないので、楽天に実害はない。

◆　昨年だったか楽天証券事件もあったので、ポイントは溜めずに使うこと、クレジットカード情報は都度消すことが必要だ。楽天はクレジットカード情報を保存するのがデフォルトになっているので、注意しないと勝手に保存されてしまう。保存されたカード情報を消すのは面倒なので、楽天での買い物の時は注意した方が良い。

◆　楽天の二要素認証はメールで数字が送られてくるので、SMSよりはセキュリティが弱い。e-NAVIに不正ログイン出来れば楽天のIDとパスワードは判明した事になる。そこでメールアドレスの書き換えを行えば、二要素認証は乗っ取れる。

◆　先日は楽天クラウド事件もあったが、被害に関しては未だ楽天自身も認識出来ていないようだし、認識出来ていたとしても大事になるまでは公表しないか、楽天だし。

◆　共通IDの怖さは以前にも書いたのだが、様々なサービスが一斉に被害に遭う可能性がある。共通IDは便利ではあるが危険でもあるのだ。最近は少なくなったが、以前はSMSにYahooの認証番号がかなり送られてきていた。私はログインしようとしていないので、ログインアタックが頻繁に行われていたか、或いはSMSトラフィックポンピング的な通話料稼ぎ(事業者を儲けさせる)だ。