【緊急案件】共通ポイントカードのあり方

唐突なのですが

・・・はい。
8月頃に問題になったdポイント不正利用の件。9月に入ってそれがむしろ拡大しているとのことでとうとうドコモは被害拡大を食い止めるべくdポイントカード3万5000枚(dカード等のポイントカード部分含む)の緊急利用停止に踏み切りました。
私もその利用停止を受けた一人なのですが・・・。なんと登録していたdポイントカードとdカードプリペイドの2枚両方が利用停止を食らってしまい現在ピンチﾀﾞﾚｶﾀｽｹﾃ-。しかもタチの悪いことにdポイント利用を再開するためには新たにdポイントカードを登録する必要があるとのこと。しかもそれを行うまでdポイントの直接利用(Loppiお試し引換券等含む)だけではなく、バーコード決済であるd払いへのポイント充当、さらにはdカードプリペイドへのポイントチャージもできないとのことで正直詰んでます・・・。

そもそも不正利用って一体どうやったのか。8月以降、ドコモでは不正なログインを防ぐために「二段階認証」の登録を呼びかけております、私も登録していました。しかし、どうもこれはあまり意味をなさなかったようです。
これがdポイント不正利用・盗難被害の手口か？dポイントカード偽造方法の再現で驚きの事実が発覚！（JALマイルとANAマイルがいっぱいあったらいいのに… 18/9/8）
こちらの記事を読んでいただきたいのですが、どうやら不正利用の犯人はもっと単純な方法を使い、dポイント泥棒を働いていたようです。つまり、最近よくあるポイント集約アプリを使ったのではないかと。
物は試しということで実際に入れてみました。このように、様々なポイントを集約できます。その中には、渦中のdポイントも。Tカード、Pontaカード、そしてWAONPOINTカードを登録してみました。そしてこの不正利用最大のポイントがこの登録方法。共通ポイントのポイントカードには大抵十数桁のポイント番号が割り当てられているのですが、なんとその番号さえ入力してしまえばなんの認証もなくポイントカードを使えてしまうのです。恐らくこの特性を利用して犯人は不正利用を働いた、という見立てが既に一部では出ています。なにせポイントカードの現物はコンビニなどに山積みされてますからね。番号について何らかの法則性を掴んでいてもなんら違和感はありませんし何なら片っ端から番号を自動生成していけば使えるポイントカードを引き当てられる・・・なんだこのガバガバセキュリティは、たまげたなぁ。
実はこの数日前、ローソンの公式アプリの利用に必要な「ローソンID」へ不正アクセスを試みた痕跡が確認できた、として全ユーザーを対象にパスワードの一斉リセットがかかりました。ローソン公式アプリはdポイントカード及びPontaカードをスマホ画面で提示できる、いわばこれもポイント集約アプリの一つと言えるかもしれません。幸い、不正アクセスそのものは出来なかったようですし、Pontaカードの方の不正利用も特に表沙汰にはなっていません。しかし、上で試したアプリは会員登録すら必要なく、ポイントカードへアクセスが出来てしまいます。長くなりましたがこのようなアプリのリスクというものをポイント運営事業者、何より開発者は自覚するべきなのではないでしょうか。
以上今回は若干社会派でお送りしました。