サンシャイン牧場の脆弱性とソーシャルアプリの責任の所在(updateあり）

岡田有花/Web記者 @yukatan

しかし「セッションIDを偽装すれば他人の個人情報が見られた」って脆弱性がまずNGなのに、脆弱性を利用したアクセスを不正アクセスと言い切り自分が悪くないかのような態度であり続けるサンシャイン牧場ってどうよ、と怒りがぶり返したなう

岡田有花/Web記者 @yukatan

さきほどのつぶやきに事実誤認等あればおしえていたただきたいなう。問題山積なサンシャイン牧場をアワード1位にしたのもびびった

岡田有花/Web記者 @yukatan

そしてここ数日、サンシャイン牧場では、「ハッキング」（Rekoo談）による、「マイミク以外の人から自分の牧場にアクセスされてしまう」問題が騒ぎになってたようだ。悪いのは脆弱性じゃないよ！「ハッキング」した人だよ！ということらしい

岡田有花/Web記者 @yukatan

Rekoo談（一部略、mixiサポートコミュより）『「サンシャイン牧場」でハッキング行為があることを発見しました。以下のような措置をさせて頂きます。　1．レベルを下げます。2．アイテムとコインを没収します。』・・・えー、 脆弱性の修正は？

岡田有花/Web記者 @yukatan

マイミク以外にもアクセスされてしまう、という脆弱性の修正がなされたかどうかは不明。調べねば・・・

岡田有花/Web記者 @yukatan

RT @tarumi @yukatan 不正アクセス禁止法の定義ではこれは典型的な不正アクセスなので不正アクセスと言うことは極めて正しいです。しかし同時に同法第五条に防御措置に対する努力義務規定がありますから、こっちで突っ込むところですね。

岡田有花/Web記者 @yukatan

RT @yasuo777 すくなくとも昨日の時点ではアクセスできちゃいましたよ。 RT @yukatan: マイミク以外にもアクセスされてしまう、という脆弱性の修正がなされたかどうかは不明。調べねば・・・

岡田有花/Web記者 @yukatan

RT @yasuo777 あ、修正されてる。(^^;A RT @yukatan: RT @yasuo777 すくなくとも昨日の時点ではアクセスできちゃいましたよ。

岡田有花/Web記者 @yukatan

というわけで見知らぬ企業のmixiアプリを使うときにはいろんな警戒が必要だよ、という話。ミクシィは「あくまで外部企業が作ってるアプリ」という立場で、責任取ってくれないっぽいので。

岡田有花/Web記者 @yukatan

RT　@garuneko @yukatan こんなチートツールあるから、まだバグあるかもしれない悪寒 http://j.mp/3zV6Su

岡田有花/Web記者 @yukatan

ソーシャルアプリが日本でももっと広がれば「責任はプラットフォームじゃなくてアプリ提供企業にある」ということが明確になるんだけど現状ではまだまだ「mixiアプリの1ゲーム」だからなぁ。

岡田有花/Web記者 @yukatan

今回はサンシャイン牧場のようなゲームアプリだったからまだいいかも。個人情報を取って運用するような実用アプリが流行し、その情報が外部から見えてしまうというようなでっかい穴が見つかってそれが放置されたら恐いな。

岡田有花/Web記者 @yukatan

サンシャイン牧場話を連投していたらフォロワーが減ったなう＞＜。。。

岡田有花/Web記者 @yukatan

RT@tarumi 不正アクセスは故意犯、脆弱性は業務上の重大責任があるとは言え過失。故意犯を棚に上げて過失ばかりを責めたてる風潮には疑問を持っています。まず故意犯の悪質性を強く指摘してから過失責任の話に入らないと、脆弱性は攻撃してよいというメッセージになりかねない。

岡田有花/Web記者 @yukatan

ちなみにRekooは、個人情報が見える状態になっていたことについての謝罪は行っています。「セッションIDを偽装すれば～」のツイートがRTされまくってるのでフォローしておく。