JR東日本のセキュリティ意識はどうなっているんだと疑いたくなるような事件．
リンク: asahi.com：モバイルスイカで不正多発 ＪＲ東、事前入金を４万円に - 社会.
Web 上のニュースは消えてしまうことがあるので，全文引用しておきます．
モバイルスイカで不正多発 ＪＲ東、事前入金を４万円に
2007年11月28日20時55分
ＪＲ東日本の会員制サービス「モバイルＳｕｉｃａ（スイカ）」で、他人になりすまして電子マネーを使う不正が多発していることが分かり、同社は２９日か
ら、事前に入金できる金額を１日あたり４万円にすると発表した。不正使用で１０月中旬までに約９９０万円の被害が出ているといい、同社はこのうち３００万
円について警視庁に被害届を提出している。
このサービスでは、電子マネーとして携帯電話に蓄積できる金額は２万円が上限。だが、使うたびに携帯から入金作業を繰り返せばよく、金額に制限がなかった。
同社によると、会員になるにはクレジットカードの情報や個人情報など１４項目を必須項目として携帯から登録する。しかし、カードの暗証番号は登録しなくてもよく、さらにカード会社が登録情報の一部しかカード所有者本人との照合に利用していないという。
このためカード情報を手に入れた第三者がカードの持ち主になりすましてサービスを利用しているとみられる。同社は今後、会員登録方法の改善も検討していく方針だ。
被害は昨年１２月に最初の報告があってから、今年１０月中旬までにカード６５枚分の約９９０万円に上る。被害者は全員が会員ではない人で、被害はＪＲ東日本が肩代わりしているという。
(asahi.com より)
昨年の12月に最初の被害報告があったのに今まで放置しているということか．被害をJR東日本が肩代わりしているから良い，ということでは済まされない．その費用はめぐりめぐってJR東日本の利用者が肩代わりしていることになるのだから，他人事でも済まされない．
オレもモバイルSuicaを利用しているし，Viewカードを登録して入金に利用している．名前や生年月日，住所など簡単に入手できるし，カードの番号も見られたり，どこかの店で使ったものをそのまま利用されたら目も当てられない．
上限を4万円にするというのは根本的な対策ではない．テレホンカードやハイウェイカードの高額カードが使えなくなったのと同程度の対策でしかない．根本的には入金の際の暗証番号やクレジットカード会社への与信の際の本人確認などの仕組みを導入する必要がある．
「会員登録方法の改善」という記述があるが，それは当然やってもらうとして，他にも入金の際の手続きについてセキュリティを確保してもらいたいものである．つまり，登録時に本人確認と，正しい利用者情報が入力されたとしても，クレジットカードからモバイルへの入金の際に，利用者が本人であるかどうかは確認できないという事を再確認して欲しい．
このブログでは時事問題についてはほとんど取り上げていないが，これは非常に怖い問題なので，思わず一言添えたくなった．JR関連各社が同じような仕組みを使っているとすれば，JR東日本だけの問題ではない．
JRのSuicaに限らず，交通系や買い物系などの利用時に認証を必要としないモバイル電子マネーを提供している各社は，この問題を真摯に受け止め，今一度自社のシステムを見直していただきたい．こういう問題がひとつ発覚すると，実はうちもだったと名乗りをあげる会社も出てくるかもしれない．それはそれで構わないが，誠実・正直であるとともに，早急な対策を望む．
# 一年も放置しているとは，情報セキュリティ分野，IT分野の「偽装問題」とも云える．
最近のコメント