■ネットバンクで悶絶した

普段ATMで現金の出し入れに使っている銀行口座からネットで振り込もうとしたら、ワンタイムパスワードが使えなくて悶絶した

経緯

1. 振込のページからワンタイムパスワードの入力を求められたので、アプリを起動して6桁の数字を入力（1度目）
2. パスワードが違いますエラーが出たので、数字を押し間違えたかと思い、別の番号に変更された6桁の数字を入力（2度目）
3. パスワードが違いますエラーが再び出て、しばらくしてから再びお試しくださいのメッセージとともに振込のページから先に進めなくなる

原因

• ソフトウェアトークンはスマホ本体のハードウェアIDとかでも見て生成しているのかもしれない
• そのため、旧機種から復元しただけでは異なるパスワードが生成されてしまってるのかも
• 機種変した場合はソフトウェアトークンのアプリの利用登録を、銀行のウェブサイトでもう一度しないといけないらしい

思ったこと

• "ワンタイム"パスワードなのに、input type="password" にしておく理由って何なの？ワンタイムパスワードを不可視にしなければいけない理由を考えて設定したの？ワンタイムパスが更新される10秒の間に、既に俺のログインIDとパスワードを不正入手して、振込ページを開いたスマホを手にして俺の背後に待機していた悪人が、背中越しにパスワード盗み読んで、不正な振込をされてしまうことを防ぐ対策までしてくれてるの？そんな透明人間だとか時間加速能力者の対策なんていらねえよ。そこまでされたって、そもそも、inputフォームの小さい文字が見えるなら、スマホのトークンアプリに表示されてる数字なんか、もっとでかくて丸見えになってるじゃねえか。ばっかじゃねえの？
• 「入力されたパスワードが違います」ってエラーが表示されて、「あれ？もしかしたらソフトウェアトークンのアプリがハードウェアIDで管理されているから、スマホの機種変したら利用登録をもう一度しないといけないのかな？やっぱりただ復元しただけじゃダメなんだねてへぺろ」なんて即座に考えるやついるか？普通は「パスワードは黒丸になってるから、入力間違いでもしたかな？」としか思わないだろ。
• 機種変の都度、再登録が必要なら、アプリのほうに表示出せよ。
• ご丁寧に、パスワードが違う入力がされましたってメールが来たけど、そこからロックを解除する手続きくらいさせろよ。「しばらく」ってどんだけ待たせるんだよ。時間くらい書けよ。
• ログインIDとパスワードが割られてるなら、メールアドレスが乗っ取れて、ソフトウェアトークンの再登録もできるし、最後の振込のところだけガッチガチにしたところで、何の意味もないじゃねえか。セキュリティの厳しさとゆるさのバランスおかしすぎるだろ。

Permalink | 記事への反応(1) | 13:30

ツイートシェア