情報セキュリティブログ ホーム > 大江戸セキュリティ戯画 > 第三幕 第一話 八九団参上！
第三幕 第一話 『八九団登場！』
「くっくっくっ･･･これで良しと。
あとはえどった～でつぶやきまくれば･･･っと。」
「うふふ･･･さあ、どれだけ釣れるか見ものだわね･･･」
「キーッ！キーッ！」
「え？ そんなものがあるのか。じゃ、俺も登録しとくかな～。」
「これで、よし！」
「くっくっくっ... 姐さん、かなり釣れましたぜ？」
「見事な手並みだったねぇ。 で、これからどうするんだい？」
「くっくっくっ... 例えばこの使用者名を使えば...」
「どうなるんだい？？」
「この通り、えどった～から電網手紙の宛先を入手できるんでさぁ」
「ウキーウキー！（これはすごいキー！）」
「あんた、さすがだねぇ...」
「くっくっく...この電網手紙の中から、過去に買い物をした電網店舗を探して...と」
「この電網店舗の認証画面に、使用者名と鍵文字を入力すると...」
「んふふ...お買い物の時間だねぇ」
「ウキーウキー！」
「お！ 今日の運勢は大吉か～。
旦那様に褒められてお小遣いもらえたりして（笑）」
「コタロウくん、仕事中に携帯をいじるのはほどほどにしろとあれほど...
もうすこし、まじめに仕事していただかないと。
お店も忙しいんですから...」
「（あ～、もうまた怒られた...）はい、すみません...」
「早く、仕事に戻ってくださいよ」
「はい。わかりました」
「...あれ？ なんだ？ この請求は？」
「...新作の歌舞伎動画？ そんなもの買ってないよ！！」
「え？ 今度はTKD（東海道）53の新曲！？
買ってない買ってない！！」
「こんにちは～」
「おや、スケハチさん。今日はどんな御用で?」
「いえ、ちょっと近くを通ったもので...」
「スケハチさん！ 何とかしてください！！」
「コタロウ、あなたはあれだけ言ったのにまだ携帯をいじって...」
「スケハチさん、突然、身に覚えのない請求書が電網手紙で届き始めたんです！」
「え？ なんですって？ とりあえず、落ち着いて。
詳しく話を聞かせてください」
「詳しくも何も、さっきからこんな電網手紙が何通も...」
「コタロウさんは何も買ってないんですね？」
「確かに以前この電網店舗で数回買い物をしましたが...
最近は使ってません！ それに、こんなの興味無いし！」
「落ち着いて...。
とりあえず、ここに書いてあるお店の連絡先に連絡して、注文を取り消しましょう」
「は、はい！」
「...しかし、あの電網店舗のセキュリティはしっかりしていたはず...
他の所から情報が漏れたと考えるべきか...」
「注文取消しの電網手紙はもう送りました？」
「はい。送りました」
「あの電網店舗は信頼できるところです。
別のところからコタロウさんの情報が漏れた可能性が高いんですが...」
「あ～あ。大吉だったのに、とんだ災難にあっちまったなぁ...」
「大吉？」
「ああ、えどった～占いですよ」
「あれ...なんだ？ このつぶやき...こんなの知らないぞ？？」
「ちょっと見せてください」
「えどった～占いって、これですか？」
「ええ。この間登録したんですけどね。
でも、こんなつぶやきしてないですよ。
しかもほら、ついさっきつぶやかれてるし...」
「なるほど...コタロウさん、ちょっと携帯を貸してください」
「コタロウさん、ここで登録するときに入力した使用者名と鍵文字って、
えどった～で使っているのと同じ鍵文字じゃないですか？」
「ええ、そうですよ。えどった～の機能使うみたいですし...」
「やっぱり。ということは、ここで入力した情報を使えば、
コタロウさんのえどった～の登録情報が見れるわけですよね?」
「あ...っ！」
「えどった～の登録情報の中から、コタロウさんの電網手紙の宛先を入手したとして...
...コタロウさん、電網手紙の鍵文字、えどった～と同じものを使っているんじゃないですか？」
「はい。同じです...」
「ということは、ここで入手したコタロウさんの電網手紙の宛先と、
えどった～占いで入手した鍵文字で、コタロウさんが過去にやり取りした電網手紙が
全て見れるようになりますね」
「う...」
「過去の電網手紙から、電網店舗から送られてきたものを探し出して、内容を見ると、
その店舗でのコタロウさんの使用者名が書いてありますよね？」
「この電網店舗に登録した鍵文字が、他の電網頁と同じ鍵文字だったとしたら、
その鍵文字とこの使用者名だけで、電網店舗で買い物ができてしまいますよ」
「ああぁぁ...全部同じ鍵文字を使ってましたぁ...」
twitter（ついったー）の情報を利用してサービスを提供しているtogetter（とぅげったー）の様なサービス連携サイトを利用する場合は、
OAuth（おーおーす）という仕組みでの認証を利用しているサイトかどうか確認しましょう。
OAuthというのは、信頼のあるサービス間でユーザーの同意のもとにユーザー権限を受け渡しする仕組みです。
OAuthは、次のような仕組みで、ユーザーの個人情報が漏洩する危険を防ぎます。
１．WebサービスＡと連携する、WebサービスＢがあり、WebサービスＢはWebサービスＡにある個人情報を利用するサービスです。
２．ユーザーがWebサービスＢを使用する場合、WebサービスＢは、WebサービスＡから、未認可の「情報の使用許可証（リクエストトークン）」を受け取ります。
３．WebサービスＢは、発行された使用許可書（リクエストトークン）に認可をもらうために、ユーザーをWebサービスＡに誘導します。
４．WebサービスＡは、誘導されてきたユーザーが、WebサービスＢがユーザー情報にアクセスすることを許可するかどうか確認します。
WebサービスＢがユーザー情報にアクセスすることを許可した場合、WebサービスＡは、認可された「情報の使用許可書（リクエストトークン）」とともに、ユーザーをWebサービスＢに誘導します。
５．認可された情報の使用許可書（リクエストトークン）をもらったWebサービスＢは、使用許可書（リクエストトークン）を利用して、特定の情報にアクセスします。
この方法を利用すると、サービスＢ上でユーザーIDやパスワードの入力を行わないため、個人情報が漏洩する危険が少なくなります。
twitter、SNSやWebメールなどのIDやパスワードを他のサイトで聞かれても、入力しないよう心がけましょう。
今回のように、いろいろなサイトで、同じユーザーIDやパスワードをしようしていた場合、どこか1つでも情報が漏洩しただけで、全てのサイトから連鎖的に情報が漏洩する可能性があります。
全てのサイトで別のID、パスワードを使用していれば、このようなりすくを回避することができます。
現在登録しているサイトやサービスで、同じID、パスワードを利用していないか、もう一度確認してみましょう。
「わかりましたか？」
「はい。勉強になりました」
「とりあえず、勝手に購入された品物に関しては、すぐにお店に連絡しましたから、
あとは電網手紙の鍵文字やえどった～の鍵文字、他の電網頁の鍵文字も変更しておきましょう」
「はい。急いでやります...」
「しかし、こんな悪事をする輩が出てくるとは...」
「さてと、他に買っておきたいものはありやすか？」
「そうねぇ...あとは、浪士組の新曲だろぉ？ それと...」
「ウキーウキー！（腹減った！ バナナ食べたいキー！）」
「くっくっく...残念ながら、この電網店舗じゃバナナは売ってねぇよ。
足がつく物を買うわけにもいかねぇし、我慢しな」
「ちっ！ どうやら、この鍵文字は、盗んだのがばれて変えられちまったみたいですな。
でも大丈夫。他にも使用者名と鍵文字は大量にありやすから、それを使えば...」
「うきーっ！ うきーっ！（映像や音楽じゃ、おいらのおなかは満たせないキー！）
」
「うるさいなぁ...ちょっと待てって...」
「くぅ～っ...なぜだ...」
「□△※○＊％☆...」
「ん？ どうしたんだい？ 浪士組の新曲はまだかい？」
「...なんだい？ こりゃ...」
「きぃぃぃ！！あたしら、八九団を甘く見るんじゃないよぉ！
覚えておいで～！！！」
