TenForward🖖技術書典21 こ06

これ重大。共同通信シミズ記者「11月4日まで情報流出が発覚してからもサイトを継続していた。中断しなかった理由は？」社長「第1報の時点、止血処理がしやすい特定の部分が原因だった。単一の攻撃であろうとの想定で継続して営業は可能と判断した。今振り返ると反省はある。」とのことだが、会員IDの全部が漏えいすると、ユーザID・パスワードのみのログインサイトは、一割ほどのユーザに不正ログインが発生する。第4報でパスワードリスト型攻撃が起きたと発表しているが、他社から漏えいしたID・パスワードではなく、自社から漏えいしたIDについて弱いパスワードを当てられた可能性がある。その場合は、リスト型攻撃（パスワードリスト型攻撃）とは呼ばない。 今後同様のことが起きる可能性があるので、他社にも周知すべく、ここの事実を報道は明らかにするべき。

全然駄目。Web利用におけるフィッシング耐性（WebAuthnがもたらす）こそが本質なのに触れてない。ここの①②③の性質だけだと、偽サイトでログインができてしまい本物サイトに中継されて内容を改変されて意図しない送金や株取引が行われてしまう。偽サイトにログインすることがない性質を言わないと。