「マジカルストーン」のセキュリティ面がガバガバだった件について

モスクワ @moscow17

マジカルストーン、サービスオワる前に斎藤千和キャラ使って遊んでみるかー。RTM業者だからアカウントハックされないように捨てメアド作っていこうかな。フッフー！

モスクワ @moscow17

[注意]マジカルストーン、アカウント作成がSSL使われてないどころかGETなURL引数で非暗号のままパス送っててクソ笑った。RMT業者にID渡すってレベルじゃない。キャッシュだったりhostだったりで外部にダダ漏れする可能性あるぞ！ pic.twitter.com/e73k2OMLzp

拡大

モスクワ @moscow17

@moscow17 hostじゃなくてリファラ。素で間違えたけどまーダダ漏れするぞ！やったぜ！

モスクワ @moscow17

@moscow17 あ、パスワード隠したつもりだったけどリファラに思いっきり捨てパスワード乗ってたわw　おいこれを見てるやつ！ぼくのパスワードは1234567890だけど不正ログインするなよ！

モスクワ @moscow17

@moscow17 ちゃんとパス変えておいたからな！

ちゃめし★無課金生活34日目 @chapan_G

事実なら今どきなかなか見ないレベル twitter.com/moscow17/statu…

モスクワ @moscow17

ログの通り事実。2016年にもなってこのレベルは"YAVAY"。 twitter.com/chapan_G/statu…

モスクワ @moscow17

マジカルストーン、パスワードリマインダに存在しないメアド入れたら「存在しない」って表示される。つまりスパム業者がここに総当たり攻撃すれば「こういうゲームを遊ぶ人が今使ってるメアドを根こそぎゲットできる」わけだ。危ない！ pic.twitter.com/zsbIgsS1Yt

拡大

モスクワ @moscow17

マジカルストーン、パスワードは再設定できるけど、メアドは変更できないし、アカウントごと削除する機能もない。マジカルストーンを運営してるRMT業者に普段使ってるメアドを渡したら最後、一生奴らに保管されるぞ！　さっきの総当たり攻撃で他のスパム業者に広まる恐れもある。作り最低だぞこれ。

つきみや @tsukimiya

@moscow17 メールアドレス、パスワード以外に取得してる情報ってありました？

モスクワ @moscow17

@tsukimiya マイプロフィールでツイッターIDやニコニコIDなパラメータが空白で反ってきたので将来的に実装するんかなーってくらいですね

つきみや @tsukimiya

@moscow17 なるほど。個人情報に当たるものあったら削除要請に対応する義務発生するのですが、メルアドだけだと消させる事も無理そうで詰んでますねー。あと、セキュリティーホールよりはパスワード平文で保存してる可能性に震えてます。

モスクワ @moscow17

@tsukimiya ゲーム内のログインも当然SSL無しのパス非暗号でPOSTしてたので、その可能性は十二分にありえますね。恐ろしい！

つきみや @tsukimiya

@moscow17 パスワード忘れた方、というリンクがページにあったと思うんですが、パスワードそのまま送られてきたりしません…？さすがにそれはないかなぁ…（願望

モスクワ @moscow17

@tsukimiya あーそれはさすがに。トークン付きでURL発行されて新しいパスワード入れるだけですわ。色々面白かったのでぜひプレイしてみましょ！

つきみや @tsukimiya

@moscow17 （ただしゲームが面白いとは言っていない 入れてみますわーw

モスクワ @moscow17

ちょっと面白くなってきたからゲーム中の通信も見てみようかな。

モスクワ @moscow17

マジカルストーン、勝敗データをそのまま再送したらしっかりエラー吐いたので「不正行為が行われないようしっかり対策してる」のは分かったんだけど。この"戻"るっていう外字っぽいのは一体…… pic.twitter.com/K1AEpKfWWQ

拡大

モスクワ @moscow17

いやー、マジカルストーン面白かった。色んな意味で。アンインストールしとこ。