UNIQLO LUCKY LINEがtwitterのユーザー名とパスワードをだだ漏れしてるかもしれない件について - Togetter
Twitterのつぶやきマッシュアップメディア!UNIQLO LUCKY LINEがtwitterのユーザー名とパスワードをだだ漏れしてるかもしれない件について
UNIQLOじゃないところにtwitterのユーザー名とパスワードを送信するUNIQLO LUCKY LINEについて、セキュリティに詳しい人たちが調査しています。そして、高木先生が電突したりしました。
by yousukezan71 fav 14835 view
まとめ
メニューを開く-
ユニクロのやつ "http://uniqlo-happy-line.s2factory.co.jp/" でぐぐると行列の一覧が見れますよ。あとpostするときパスワード平文で流してるから気になるひとはやめといたほうがいいかも？ -
いやべつにflashで見れる行列がテキストで見られるだけだから、それほどたいしたことじゃないと思うけど…
-
[メモ] まあFlashだとこういうのを読んでいることは想像に難くないですよね。 http://uniqlo-happy-line.s2factory.co.jp/system/data/heads400_tails400.txt -
Twitterのニックネームにタブとか混入できるのかしら……。いや、試しませんけど。
-
ユニクロのアレは POST 先を見れば http://www.s2factory.co.jp/ が関わっていることはほぼ自明だと思うのですけどね。
-
「ユニクロで個人情報とパスワードが流出だー」みたいなさわぎになってる
-
OAuthを使わなかった理由は十分に分かる。急にtwitterの変なページが表示させられるだけで敷居は少し高くなりリーチが減るのは目に見えてる。普通のユーザのリテラシー的になんだこれってなるでしょ。あのページはどうにかした方が良いね。広義の意味での”デザイン”がされてない。 -
今のところやるとしたら、OAuthに飛ばす前に、利用者側で、十分な説明をした上で承認画面に飛ばすしか無いね。
-
件のキャンペーンサイトは、本当にパスワードを取得してAPIを利用する必要があったのか？そこが疑問。無理矢理twitさせる為にログインする必要があった、っていうのだったら論外。
-
OAuthが嫌な理由のもう一つは、キャンペーンサイトは”手軽さ”ってのが重要だと思ってる。説明無しで、サクッと見れて、パッと体験できる、というような。ユーザが閲覧してる最中にちょっとでも他の事を考えさせては駄目なんじゃ無かろうか。間に訳の分からんページが入ってるだけで残念。
-
そう当選通知かな、とも思ったんだけどパスワード取らなくても十分他の手段があるよね。もし本人確認したいなら、その時に初めてOAuthを使ってログインを求めたら良いんじゃないかって思った RT @KojiroFutamura: @keita プレゼント当選通知にDM使いたかったとか。
-
よーしパパ、UNIQLOオンラインストアのパスワード入力求めるサイト作っちゃうぞー #uniqlo_line -
高木先生、楽しそうですね。RT @HiromitsuTakagi: よーしパパ、UNIQLOオンラインストアのパスワード入力求めるサイト作っちゃうぞー #uniqlo_line -
高木先生、とうとう「後で吊るす」から「今吊るす」に進化。 RT @HiromitsuTakagi:14744974063 よーしパパ、UNIQLOオンラインストアのパスワード入力求めるサイト作っちゃうぞー #uniqlo_line -
【警告】ユニクロの件について解析して、緊急記事書いたよ 『【臨時ブログ記事】危険？！UNIQLO のTwitter 連動イベント』 #uniqlo_line http://blog.livedoor.jp/blackwingcat/archives/1161581.html -
うちのブログに書いたけど、流出じゃなくて、非常にまずいFormの実装 QT @aya414: 困ったねぇ(；´Д｀)RT @eno63: RT @aya414: データ流出らしいねー。RT @yoichiro51: なに？ユニクロ、やらかしたの？？
-
そう、ブログに通信ログの内容を載せたから確認してみてね。平文でTwitter.comに送るんじゃなくて、uniqloに一旦送ってるのが問題。 QT @meganet00: これパスワードって完全に平文で送られちゃってるんですか？
-
「IDのリストが漏れた」と言われていますが、それはもともと公開されている情報のような気もしますね。一気にリストを取るUIが無いというだけで。
-
@fshin2000 ダミーのIDとPASSを入れてFirebugあたりで通信をトレースすれば分かりますが、HTTPでIDとパスワードをそのまんまサーバに送信しています。
-
@fshin2000 password=testpass&(中略)&username=bakera みたいなのが http://uniqlo-happy-line.s2factory.co.jp/system/stand_in_line.php にPOSTされますね。
-
Content from Twitter
コメント