知られざるmixiの脆弱性（12/7追記)
2006.12.06 [ Edit ]
【11月12日掲載】
mixi、利用の注意を更新。「mixiを安全に使うために」の項を新設
そんなことより mixi さん、聞いてくださいよ。
マイミクから僕の携帯にメールが届いたんです。内容とか覚えてないんですけど、そんなに重要な用件ではなくて、たぶん挨拶程度のメールだったと思うんです。僕はそのメールに1行程度の返事を打って送信しました。
そうしたら！
僕が送ったメールがマイミクの日記に表示されてしまったんです。
驚いたのですが、試しにもう一度やってみたら、同じことが起きました。マイミクに確認したところ、僕のメールを転載したわけでも、携帯メールを転送したわけでもないことがわかりました。
この不思議な事件の真相は以下のとおりです。
- マイミクは携帯から日記を投稿した。
- そのとき、同時に宛先を複数指定して、僕に日記と同じ内容のメールを送信した。
- 僕はそのことに気づかないまま返信した。（後から送信メールの宛先を確認したら、上のことがわかりました。）
ところが、この「日記投稿用メアド」って、本人の携帯からじゃなくても投稿できちゃうんですよ。
僕はマイミクの「日記投稿用メアド」を削除しましたが、これが第三者に知られると、誰でもその人の日記に投稿することが出来てしまうんです。しかも、「日記投稿用メアド」は後から変更することが出来ないみたいなんです。
みなさん、mixi の「日記投稿用メアド」が他の人に知られないようにご注意くださいね。
【11月13日追記】
上で述べた「日記投稿用のメールアドレスが書かれているメールが携帯に届くようになっています。」の箇所は、現在、以下のように仕様変更されています。
[mixi] ヘルプ
Q.携帯から閲覧・書き込みをしたい
A. mixiモバイルへのログイン方法と、写真付き日記の更新方法についてご案内いたします。
（中略）
■写真付き日記の更新方法
下記手順にておこなえます。
日記（写真付）の更新を携帯メールから行われたい場合は、mixiモバイルにアクセス後「日記を書く」の下にある「写真付き日記の更新はこちら」の順に進んでください。
次の画面下部で表示される「メールを送信」というリンクを選択していただきますとメール送信のフォームが立ち上がりますので、そちらのメールの宛先アドレスを登録してください。（d.mixi.jpでおわるものです）。
「そちらのメールの宛先アドレス」というのが、前述の「日記投稿用メアド」と同じもので、ユーザ側では後から変更することが出来ません。
そして、このアドレスを電話帳登録してしまえば、いつでも携帯メールから日記を投稿することができる、即ち、mixiにログインしなくても、また、自分の携帯以外のアドレスからでも日記の投稿が可能です。
もちろん、携帯じゃなくて、パソコンのメールソフトからも、日記の投稿は可能です。
【12月7日追記】
12月4日に、以下のとおり mixi の仕様が変更され、登録された携帯のメールアドレス以外からは、メールでの日記投稿が出来なくなりました。
[mixi] 新機能リリース・障害のご報告
■携帯電話からの新規ユーザー登録開始のお知らせ 2006.12.04
（中略）
なお、セキュリティ強化のため、携帯メールからの日記更新・プロフィール写真更新・フォトアルバム更新をおこなう際に、携帯メールアドレスの登録および同意が必要になります。この操作は一度おこなっていただければ完了いたしますので、お手数ですがご協力のほどよろしくお願いいたします。
ちなみに、未登録の携帯からメールで日記投稿を行おうとすると、以下のようなエラー・メッセージが返ってきて、投稿できません。
From: mixi@mixi.jp
Subject: [mixi]日記更新エラーのお知らせ
本文:
mixi運営事務局です。
ご利用の携帯メールアドレスが登録されていないため、日記更新に失敗しました。
携帯メールアドレスの登録がお済みでない場合は、下記をご覧ください。
■携帯メールアドレスを登録する
http://m.mixi.jp/mobile_diary.pl
※携帯メールアドレスの登録には同意が必要です。
※上記のURLにログインして、同意ボタンを押してください。
※登録されたメールアドレスはセキュリティ強化やお知らせメールの送信先として利用および保存されます。
―――――
mixi運営事務局
http://m.mixi.jp/
※本メールには返信できません。
上の手順に従って、携帯メールアドレスを登録すると、日記の投稿がメールで出来るようになります。
もっとも、投稿用の送信先メールアドレスは変更されないようですね。
スポンサーサイト
Comment
コメントの投稿
Track Back
