水無月ばけらのえび日記

楽天Webディレクション&デザイン2009: 常に改善、常に前進　変わり続ける楽天市場トップページ！

公開: 2009年12月12日23時30分頃

メールマガジンの話の後は、「常に改善、常に前進　変わり続ける楽天市場トップページ！」。楽天市場のトップページを改善してきたお話。

ABテストで結果を出してきたというお話ですね。興味深いのはジャンル一覧の改善が失敗したという話。実際には画面キャプチャつきで説明されていたのですが、ビジュアルつきで分類されたもののほうが明らかに良さそうなのに、それが負けたというのは驚きました。負けっぷりの詳細が分からないので何とも言えませんが、そもそもジャンルはメインで使われていないので目立たせても仕方ない、ということなのかもしれないですね。

• 「楽天Webディレクション&デザイン2009: 常に改善、常に前進　変わり続ける楽天市場トップページ！」にコメントを書く

関連する話題: Web / RWDD2009

楽天Webディレクション&デザイン2009: 1,000万人のメルマガ購読者を飽きさせない仕掛け

公開: 2009年12月12日12時45分頃

楽天ブックスの話の次は、「1,000万人のメルマガ購読者を飽きさせない仕掛け」。メールマガジン「楽天市場ニュース」のお話。

しょっぱなのトークセッションで駄目出しされてしまったメールマガジンですが、いろいろ工夫しているのだというお話。

発行部数が1,000万を超えているというのは正直驚きますね。もっとも、そのうちの何人が自分の意思で購読しているのかは良く分かりませんが……。

つづきます: 常に改善、常に前進　変わり続ける楽天市場トップページ！

• 「楽天Webディレクション&デザイン2009: 1,000万人のメルマガ購読者を飽きさせない仕掛け」にコメントを書く

関連する話題: Web / RWDD2009

楽天Webディレクション&デザイン2009: 「楽天ブックス」ユーザー中心設計アプローチの実践と商品検索UIの改善

公開: 2009年12月11日18時40分頃

楽天トラベルの話に続き、「『楽天ブックス』ユーザー中心設計アプローチの実践と商品検索UIの改善」。UCD (user-centered design, ユーザー中心設計) とユーザーテストのお話ですね。

楽天とUCDというのもなかなかしっくり来ない組み合わせだ、と思われる方もいらっしゃるかも知れません。最初のトークセッションでも「メールマガジンのチェックボックスが……」という話が出ていましたが、楽天グループはユーザビリティにはあまり熱心でないように見えがちです。

しかし実際には、ユーザビリティを高めたいと思っている現場の方はずっと前から大勢いらっしゃいました。前後のセッションにもありますが、今年になってアクセス解析やABテストの環境が整った、というタイミングです。これは、ユーザビリティ改善の結果を数値化しやすい環境になったということでもあります。

こういった背景から、あるいは今年は楽天のユーザビリティ元年として位置づけられるのではないかなと、そんなふうに思いました。

つづきます: 1,000万人のメルマガ購読者を飽きさせない仕掛け

• 「楽天Webディレクション&デザイン2009: 「楽天ブックス」ユーザー中心設計アプローチの実践と商品検索UIの改善」にコメントを書く

関連する話題: Web / RWDD2009

楽天Webディレクション&デザイン2009: 日本最大級の総合旅行サイト「楽天トラベル」の改善プロセス

公開: 2009年12月11日1時20分頃

アクセス解析の話の後は、「日本最大級の総合旅行サイト「楽天トラベル」の改善プロセス」。

いわゆる「PDCAサイクル」を実際に回していて、そのプロセスが確立されているというお話ですね。

印象に残ったのは、現状分析、目標設定、検証といった全てのプロセスで数値の裏付けがあるということ。特に、リニューアル実施前にABテストで数値を出すという点について、実施しているサイトはそう多くないのではないでしょうか。

前後の話にも出てきますが、楽天トラベルに限らず、楽天グループ全体として、行動の根拠として数値の裏付けが求められているようです。

※ECサイトでは売上げの数値がはっきり出るから、ということもあるでしょうけれど、前の話に出ていたように、インフォシークのようなサービスでは「送客率」を測定していて、やはり数値ベースの評価になるようです。

つづきます: 「楽天ブックス」ユーザー中心設計アプローチの実践と商品検索UIの改善

• 「楽天Webディレクション&デザイン2009: 日本最大級の総合旅行サイト「楽天トラベル」の改善プロセス」にコメントを書く

関連する話題: Web / RWDD2009

楽天Webディレクション&デザイン2009: 月間50億PV、社内ユーザー1000人のアクセス解析で分かったこと

公開: 2009年12月10日1時40分頃

RIAの話に引き続き、「月間50億PV、社内ユーザー1000人のアクセス解析で分かったこと」。

ちなみに、タイトルの「社内ユーザー1000人」というのは、アクセス解析の結果を利用するサイト運営者が1000人いるという意味です。

楽天グループはアクセス解析をガンガンやっていると思っていましたが、昔からやっていたのは市場やトラベルといった主要サイトだけで、グループ全体に行き渡ったのは今年に入ってからなのですね。

グループ全体で運営手法を統一していく、というのは巨大グループ企業に共通した課題だと思いますが、楽天の場合はサービス買収でグループを大きくしてきた経緯もあるので、運営側のツールを統一するだけでもかなり大変なようです。

つづきます : 日本最大級の総合旅行サイト「楽天トラベル」の改善プロセス

• 「楽天Webディレクション&デザイン2009: 月間50億PV、社内ユーザー1000人のアクセス解析で分かったこと」にコメントを書く

関連する話題: Web / RWDD2009

楽天Webディレクション&デザイン2009: 楽天グループ、RIA表現への取り組み

公開: 2009年12月9日14時25分頃

twitterの話に引き続き、「楽天グループ、RIA表現への取り組み」。スピーカーの竹部さんは普段はIA(情報設計)の話をされることが多いそうですが、今日はRIA推進の立場でのお話でした。

時間が押していたためか話のペースがかなり速く、手元のメモもだいぶ歯抜けです。

全体的には、これからという印象。そもそも楽天とRIAとが結びつくイメージがあまりないかもしれませんが、実は楽天もRIAC (www.ria-jp.org)の会員企業 (www.ria-jp.org)なのですよね。

楽天グループでは数値が重視される傾向にあるようですが、RIAの導入でどれだけ数字(売上)が出るのか定量的に予測することはなかなか難しいようで、その点が大きな課題となっているようです。

つづきます: 月間50億PV、社内ユーザー1000人のアクセス解析で分かったこと

• 「楽天Webディレクション&デザイン2009: 楽天グループ、RIA表現への取り組み」にコメントを書く

関連する話題: Web / RWDD2009

楽天Webディレクション&デザイン2009: 「楽天トラベル」つぶやきながら見えてきたTwitter活用3つのポイント

公開: 2009年12月8日13時50分頃

トークセッションの後は会場AとBに分かれて、それぞれで異なる話が聞けるという形になっていました。つまり、二者択一でどちらかを選ぶ必要があります。

私が選んだのは、「『楽天トラベル』つぶやきながら見えてきたTwitter活用3つのポイント」。楽天トラベルの林さんのお話です。プログラムを見ると30分の話のように見えますが、実は30分で2話入っているので、実質15分。ほとんどライトニングトークですね。

メモだけだと分かりにくいですね……。実際は写真やグラフなども交えてのプレゼンテーションだったのですが。

replyやフォロー返しもしている、というのがポイントでしょうか。企業の公式アカウントでのフォロー返しには賛否両論ありそうですが、目標が明確にされているので、迷わずにこの方針で行けているのでしょう。

後で出てくるのですが、楽天トラベルでは就業時間のうち10%を好きな研究に宛てることができるそうで、twitterの活用はその中から出てきたものだそうです。そういう経緯だからこそ、具体的な売上げ目標がなく、自由にできているのかもしれません。

つづきます: 楽天グループ、RIA表現への取り組み

• 「楽天Webディレクション&デザイン2009: 「楽天トラベル」つぶやきながら見えてきたTwitter活用3つのポイント」にコメントを書く

関連する話題: Web / RWDD2009

楽天Webディレクション&デザイン2009: トークセッション

公開: 2009年12月8日0時50分頃

「楽天Webディレクション&デザイン2009 (corp.rakuten.co.jp)」(RWDD2009)というイベントがあったので参加してみました。

楽天のテクノロジー系カンファレンスは何度も開かれているのですが、今回のRWDDは編成部の方が開催されたものです。システム開発の部門ではなく、実際に普段サイトの運用を行っている現場の方たちのお話が中心です。

最初はトークセッション。三木谷氏、iモードの立ち上げに携わった夏野剛氏、元スクウェア社長の鈴木尚(ひさし)氏、の3名による楽天についてのトークです。

以下、気になったところを断片的にメモ。話がつながっていないように見えるのはメモの品質が低いせいです。その他、不正確な部分もあるかもしれません。

以下、私の感想。

「メールのチェックボックスを毎回外す」という話が印象に残りました。楽天市場で買い物をする際、確認画面にメールマガジンを受け取るかどうかのチェックボックスがあるのですが、それがデフォルトでオン (受け取る) になっているという話ですね。楽天の話をすると必ずと言って良いほど出てくる話ですが、こんな楽天のオフィシャルなイベントで出てくるとは。

もっとも、今日の話の大きな流れは「楽天のユーザビリティを改善して行く」という話であるので、流れとしてはきわめて妥当な話ではあります。後のセッションでは、そのメールマガジンの話も出てきます。

つづきます: 「楽天トラベル」つぶやきながら見えてきたTwitter活用3つのポイント

• 「楽天Webディレクション&デザイン2009: トークセッション」にコメントを書く

関連する話題: Web / RWDD2009

ぱにぽに13

公開: 2009年11月29日13時10分頃

出ていたので。

• ぱにぽに13 (www.amazon.co.jp)
• ぱにぽに13 初回限定特装版 (www.amazon.co.jp)

って、よく見ると背表紙が微妙に「ぱにぽに」じゃないぞっ!?

12巻ラストで「ベッキーって誰?」となっていた続き。普段からなんだか良く分からない世界ですが、今回は輪をかけて分からないです。

初回限定は謎のゲームブックでした。

• 「ぱにぽに13」にコメントを書く

関連する話題: マンガ / 買い物 / ぱにぽに

よつばと! 9

公開: 2009年11月28日1時0分頃

出たっ!

• よつばと! 9 (www.amazon.co.jp)

ジュラルミン登場。よつばこのお父さんスイッチがガンガンにカスタマイズされているとか、積み木を完成させた風香が……とか、あさぎのヘリポクターとか、細かいところがいちいち面白いです。

一番可笑しかった&可愛かったのは、よつばが風香にコーヒーを持って行こうとして……という話ですかね。父ちゃんが事前に「たぶん多少こぼれると思うけど」と予想していたのがまたなんとも。

※どうでも良いのですが、60話の扉の看板が「ググるな あぶない」に見えて仕方ないです。

• 「よつばと! 9」にコメントを書く

関連する話題: マンガ / 買い物 / よつばと! / あずまきよひこ

文字列を数値に変換する際もカルチャに注意

公開: 2009年11月28日0時35分頃

こんなお話が: 「伊郵政金融、小数点処理のバグにより大混乱 (slashdot.jp)」。

イタリアでは位取りではなく小数点にカンマが使われるので、こういうコードを実行してみると……。

string s = "1,234";

Decimal invDecimal = Convert.ToDecimal(s, CultureInfo.InvariantCulture);
Console.WriteLine(invDecimal);

CultureInfo jp = CultureInfo.CreateSpecificCulture("ja-JP");
Decimal jpDecimal = Convert.ToDecimal(s, jp);
Console.WriteLine("{0}: {1}", jp, jpDecimal);

CultureInfo it = CultureInfo.CreateSpecificCulture("it-IT");
Decimal itDecimal = Convert.ToDecimal(s, it);
Console.WriteLine("{0}: {1}", it, itDecimal);

結果はこうなると。

文字列比較の時、カルチャに気をつけないと予想外の文字が同一視されて大変なことになるという話はよくありますが、文字列を数値に変換する際も要注意ということですね。

• 「文字列を数値に変換する際もカルチャに注意」にコメントを書く

関連する話題: プログラミング / C#

大阪万博はある意味すごい

公開: 2009年11月27日14時45分頃

• 大阪万博 (www.amazon.co.jp)

ある意味、すごかった。後半のアンソロジー系4コマがすごい……というかここまで来ると恐ろしいです。たぶんわざとやっているのだろうと思いますが、これあずまんが大王じゃないですから。

特に驚異的なのは「苺ましまろ」で、ともと神楽の見分けがつかないです。よみはメガネで分かりますが、他のキャラはかなり難易度が高いです。

しかしまあ、ネタとしては面白いですね。特に「苺ましまろ」と「日常」は元の作風そのまんまで読めるので、ファンにはお勧めかもです。

• 「大阪万博はある意味すごい」にコメントを書く

関連する話題: マンガ / あずまんが大王 / あずまきよひこ / 苺ましまろ / 日常

docomoのJSケータイ、DNS Rebindingで「かんたんログイン」を突破される

公開: 2009年11月26日22時0分頃

「iモードIDを用いた「かんたんログイン」のDNS Rebinding脆弱性 (www.hash-c.co.jp)」。docomoのJS対応端末では、DNS Rebindingでsame originポリシーを突破されてしまうことがあるというお話ですね。タイトルは「かんたんログインのDNS Rebinding脆弱性」となっていますが、DNS Rebindingで攻撃されるのは端末……というか、docomo側のゲートウェイの問題かと思います。

基本的には端末、もしくはdocomo側が対応する必要があるのだろうと思いますが、サイト側で可能な対策として、Host: が違っている場合にアクセスを拒否することが挙げられています。つまり、名前ベースのバーチャルホストを使っている場合は影響を受けないということで、影響を受けないサイトも多いのではないでしょうか。とりあえず、ケータイサイトにIPアドレスでアクセスしてみて、アクセスできなければ大丈夫と考えて良さそうです。

ユーザー側では、端末側のJSを無効という対策が挙げられています。

が、これで完全に対策できるのかどうかは、私には良く分かりません。ここではXmlHttpRequestを使った攻撃が想定されていますが、same originポリシーが突破されるとまずいことは他にもありそうです。たとえばiframeであるとか、Flashであるとか、そういったものを利用した攻撃というのも考えられそうですが……。実際にケータイでそれらがどこまで動くのか、ちょっと分からないので何とも言えないですね。

※JSまるごと無効ならiframeは大丈夫そうな気もしますが、Flashはどうなのかなぁ。

• 「docomoのJSケータイ、DNS Rebindingで「かんたんログイン」を突破される」へのコメント (1件)

関連する話題: セキュリティ

サンシャイン牧場の件、まとめ

公開: 2024年5月8日20時0分頃

サンシャイン牧場の件、ひとまずまとめたので暫定的に公開。

• サンシャイン牧場 情報「露出」問題のまとめ

技術的に興味深い話は特になくて、基本的には「ガッカリ」という感じだろうと思いますが。

疑問点などがありましたら、できる範囲で補足しようと思いますので、コメントいただければと思います。

• 「サンシャイン牧場の件、まとめ」へのコメント (4件)

関連する話題: ゲーム / サンシャイン牧場 / セキュリティ / 情報セキュリティ早期警戒パートナーシップ

論理少女3

公開: 2009年11月23日19時30分頃

3巻が出ていたので。

• 論理少女3 (www.amazon.co.jp)

うーむ。今回は、自分で解いてみようと思えるような問題がほとんどないですね。「問題がつまらない」というのが問題のヒントになっていたりもするので、そういうものなのかもしれませんけれど。

※どちらかというと、3巻はいつきとミーナの私服&浴衣を満喫すべしという主旨なのかも。:-)

• 「論理少女3」にコメントを書く

関連する話題: マンガ / 買い物 / 論理少女 / 論理

どうぶつの森 1周年

公開: 2009年11月21日10時35分頃

街へいこうよ どうぶつの森 (www.amazon.co.jp)。開始から1年経ちました。

村長さんから手紙が。

便箋の模様が亀なんですね。プレゼントが添付されていて、開けてみたら「やくばのもけい」でした。

あと、ニンテンドーからもアニバーサリーケーキが配信されていますね。

• 「どうぶつの森 1周年」へのコメント (2件)

関連する話題: ゲーム / Wii / 任天堂 / どうぶつの森 / 街へいこうよ どうぶつの森

どうぶつの森 きのこ家具

公開: 2009年11月21日10時10分頃

街へいこうよ どうぶつの森 (www.amazon.co.jp)。始めたのが去年の11月20日ですから、明日でちょうど一年になります。

そんなタイミングで、きのこ家具がコンプリート。

あと、カブ価がなかなか良い感じになっていました。

でも、こういうときに限って白カブを持っていないという。

• 「どうぶつの森 きのこ家具」へのコメント (2件)

関連する話題: ゲーム / Wii / 任天堂 / どうぶつの森 / 街へいこうよ どうぶつの森

MT:アーカイブテンプレートを消したらMTArchiveListで出していたものが消滅

公開: 2024年5月8日12時25分頃

Movable TypeのテンプレートタグにMTArchiveList (www.movabletype.jp)というものがあります。これはエントリを年別・月別に表示できるので便利です。これをインデックステンプレートで使って、過去のエントリを年別・月別に一覧表示したりすることもできます。が、これはあくまでアーカイブの一覧であってエントリの一覧ではないということのようで、アーカイブテンプレートが無いと、MTArchiveListは何も出力しません。

MTをブログとしてではなく、コンテンツ管理のために使用するケースは結構あると思います。1ページに全てのエントリを出せば良く、個々のアーカイブページは必要ない、という状況もあります。そんなとき……。

• インデックステンプレートでMTArchiveListを使用し、過去の全てのエントリを表示するようにした。
• 再構築して表示確認したらうまく行っていた。
• 個々のアーカイブページは必要ないので、アーカイブテンプレートを全て削除した。

……なんてことをやると、次に再構築した瞬間、エントリが全く出なくなって大変なことになります。

アーカイブテンプレートを追加してやると回復しますが、そもそも、アーカイブページを用意しない場合にはMTArchiveListは使うべきではないようですね。

• 「MT:アーカイブテンプレートを消したらMTArchiveListで出していたものが消滅」にコメントを書く

関連する話題: Movable Type / 失敗談

サンシャイン牧場の件、取扱終了

公開: 2024年5月8日13時10分頃

サンシャイン牧場の件ですが、IPAの方から取扱終了のご連絡をいただきました。本件に関わられたすべての皆様にお礼申し上げます。

というわけで一段落しましたので、暇を見て、技術的な面を含めて少しまとめようかなと思っております。私の持っている情報もそんなに多いわけではないのですが、「ここが知りたい」といった要望がもしありましたら、お寄せいただければと。

• 「サンシャイン牧場の件、取扱終了」へのコメント (1件)

関連する話題: ゲーム / サンシャイン牧場 / セキュリティ / 情報セキュリティ早期警戒パートナーシップ

サンシャイン牧場のRekoo日本法人設立で、情報漏洩の件の話

公開: 2009年11月17日14時0分頃

サンシャイン牧場の件。先日、サンシャイン牧場のRekooが日本法人を設立したというニュースが出ていましたが、その会見の中で情報漏洩の件についても触れられていたようで。

同じ話のはずなのですが、ITproとInternet Watchとでだいぶニュアンスが違うのが面白いですね。

ITpro側には「他人のIDをたまたま知ることができた場合に」とありますが、Internet Watchの方を読むと、このIDが「ユーザーのID」であることが分かります (セッションIDではない)。これを「たまたま知る」のがどのくらい難しいのか、という点が一つのポイントではないかと思います。

たとえば、Rekoo自身がmixiのアカウントを持っているわけですが、そのRekooさんのページは以下のようなURLで見られます (要mixiログイン)。

この末尾の"24428176"がRekooさんのユーザーIDです。

つまり、そのユーザーのページに到達できれば、それだけでIDを知ることが可能です。なお、mixiのコミュニティにはメンバー一覧を表示する機能があり、サンシャイン牧場の公式コミュニティも例外ではありません。他人のIDを知りたいという明確な意図を持って「たまたま知る」のは、さほど難しくないことであるように思います。

※ついでにいうと、IDは単なる数字の連番ですから総当たりも可能です。もっとも、そんな派手なアクセスがあったらログからすぐに分かるでしょうが。

「他人のIDをたまたま知ることができた場合に」……などと表現されると、それだけでなんとなく「IDを知る手段が限られていた」というような印象を受けますね。ITproの記事は、スピンとしてはなかなかうまい感じになったのではないでしょうか。

• 「サンシャイン牧場のRekoo日本法人設立で、情報漏洩の件の話」にコメントを書く

関連する話題: ゲーム / サンシャイン牧場 / セキュリティ / 情報セキュリティ早期警戒パートナーシップ / スピンドクター

きみといると 2

公開: 2009年11月17日13時30分頃

出ていたので購入。

• きみといると 2 (www.amazon.co.jp)

最初から最後まで顔を赤らめている感じ? 春がアレな想像をして悶えてしまうあたりがなんとも……。

• 「きみといると 2」にコメントを書く

関連する話題: マンガ / 買い物 / きみといると

古レール

公開: 2024年5月8日16時0分頃

またしてもこんなマニアックな本が。線路マニアの世界は深いですね。

• 古レールの駅デザイン図鑑 (www.amazon.co.jp)

古レールで構築された駅舎建築の写真と、その分類・分析。地域ごとに「好み」があったりとか……。

• 「古レール」にコメントを書く

関連する話題: 本 / 線路マニア

MS09-065(KB969947)でDELL OPTIPLEX 740が死亡

更新: 2009年11月13日13時40分頃

本日のWindows Updateに登場しているMS09-065 (KB969947) (www.microsoft.com)ですが、これをDELL OPTIPLEX 740に適用したところ、フリーズが発生。ログオン完了後にデスクトップ画面が表示されてしばらくすると、画面の一部が赤くなってフリーズし、キーボード入力も何も受け付けず、電源を強制的に切るしかなくなります。別の同機種でも再現する模様。

どうもビデオドライバ周りで死んでいるようですが、MS09-065は「Windows カーネル モード ドライバーの脆弱性により、リモートでコードが実行される」という問題を修正するものですね。おそらく、OPTIPLEX 740のドライバとの相性が悪いのでしょうね……。

※以下、2009-11-12追記

他のDELLマシンでも発生しているようですね。

症状が発生した場合ですが、とりあえずセーフモードでは起動できますので、KB969947を削除することができます。参考までに、以下、Windows XPの場合の手順です。

• フリーズしている場合、とりあえず強制的に電源を切る(たいていの場合、電源ボタン長押し)
• 電源投入。起動時にF8を連打するといくつかの選択肢が出るので、「セーフモード」を選択して起動する
• セーフモードで起動に成功したら、コントロールパネルから「プログラムの追加と削除」を選択、「更新プログラムの表示」にチェック
• 一覧に「Windows XP セキュリティ更新(KB969947)」があるはずなので、それを削除

あとは再起動すると復活します。ただ、自動更新を設定している場合はシャットダウン時に勝手に適用されてしまったりするので、「更新の通知を受け取らない」ように設定した方が良いかもしれません。

ただし、この状態では深刻な脆弱性が残ったままになりますので、いつまでもこのままにしておくべきではありません。おそらくDELLかMSから何らかの対応策が出ると思いますので、それを見てしかるべき対応をする必要があります。

※2009-11-12さらに追記

どうもATIの古いドライバがだめだったらしく、ドライバを最新にしてからKB969947を適用すれば良いようです (適用して30分ほど経ちますが、今のところ大丈夫)。

※2009-11-13追記

マイクロソフト側でも問題を認識されたようで、以下のような話が出ています。

• Microsoft Updateの後にWindows XPが起動しない？？ (blogs.technet.com)

英語版のKBに"Known issues with this security update"という項が追加されています。

• 「MS09-065(KB969947)でDELL OPTIPLEX 740が死亡」へのコメント (9件)

関連する話題: Microsoft / Windows / セキュリティ / 失敗談

スピンドクターと脆弱性関連情報

公開: 2009年11月10日22時5分頃

読み終わったので。

• スピンドクター “モミ消しのプロ”が駆使する「情報操作」の技術 (www.amazon.co.jp)

スピン = 情報操作のお話。さまざまな操作の例が紹介されているのですが、興味深いと思ったのは、先に情報を出してニュースとしての価値を低下させてしまうという手法。「しんぶん赤旗」にスクープさせると、他紙が後追い取材をしなくなるとか……。民主党偽メール事件の話も非常に興味深かったですね。

※個人的に期待していたネット情報操作の話は、最後にちょこっと出ていただけで、ほぼ既知の話でした。そこは少し残念でしたが、他の部分は読み応えがあったかと。

しかし考えてみれば、脆弱性関連の報道やリリースなんてのは「スピン」の典型例でしょうね。

私が発見・報告して報道された事例としては、最近ではサンシャイン牧場、古くはニフティのXSS、JVNアンケート、ACCSのXSS脆弱性などがあります。あとは、ソフトウェアの脆弱性もそれなりに。が、思い起こすと、JVNアンケートの件はともかく、他は……。報道された内容に違和感を覚えなかった例の方が少ないですね。

そもそも、脆弱性の話は全く表に出ないケースも多いです。基本的には以下のようなメソッドが標準になっていると思います。

• できるかぎりスルーし、事実を表に出さない
• スルーしきれなかった場合は控えめにアナウンスし、実害がないor少ないことを強調する。外部からの指摘だったことは極力隠し、運営者が自ら発見したかのような印象を与えるように努める
• 被害の発生を認めざるを得ない場合は正直に報告するが、自分も被害者であるということを強調する。通常の手段では防げない高度な攻撃であったという印象を与え、被害を受けても仕方なかったという印象を与えるように努める

つくづくスピンだと思いますね。ウェブに限らず、ソフトウェアの脆弱性についてもこういう傾向はあると思います。マイクロソフトなんかはちゃんとアナウンスしているわけで、できないことはないと思うのですけどね。

※サンシャイン牧場の話などを見ていると、どうも、「脆弱性を通知された運営者は即座に対応し、速やかに情報を公開するものだ」と思っている方が結構いらっしゃるようで。まあ、そういう運営者も全くいないわけではないのですけれど、そういう期待は裏切られる確率の方が高いです。

• 「スピンドクターと脆弱性関連情報」にコメントを書く

関連する話題: 本 / 買い物 / セキュリティ / スピンドクター

ゼロのプレスリリース

公開: 2024年5月8日15時25分頃

サンシャイン牧場の件ですが、ゼロからこんなリリースが出ています。

• クレジットカード決済代行のゼロ - ニュースリリース 一部報道について (www.zeroweb.co.jp)

Rekooのアナウンスに追記されている通りですね。ゼロ側に問題があったという主旨の報道は出ていないように思いますが、読売などは「導入した課金システムに不具合があった」と表現していますので、このあたりが誤解を招いているという話なのでしょう。

• 「ゼロのプレスリリース」にコメントを書く

関連する話題: bakera.jp / hatomaru.dll

bakera.jpナビまわりのプチリニューアル

公開: 2024年5月8日15時20分頃

ナビまわりを少しリニューアルしました。

右側(?)に「人気のページ」「最近の日記」を追加してみました。この日記を普段からチェックしている方やセキュリティホールmemoから来られる方は良いのですが、そうでない方には全体の雰囲気が分かりにくいようなので、少しでも分かりやすくなれば良いかなと。

実は単にリンクが増えただけではなく、内部的にもいろいろ変わっています。例によってバグっているかも知れませんが、何か変でしたらお知らせください。

• 「bakera.jpナビまわりのプチリニューアル」にコメントを書く

関連する話題: bakera.jp / hatomaru.dll

サンシャイン牧場・Rekooからのアナウンスに追記

公開: 2009年11月5日14時10分頃

サンシャイン牧場の件、mixiからのお知らせに追記があり、既に出ているRekooからのアナウンスに追記がある旨書かれています。Rekooのアナウンスに追記された内容は以下のとおりです。

各紙報道では「本人と偽ってプログラムを操作」、「プログラマーなど特殊な知識を持った人」とパワーアップしてきていて、これはきっとRekoo側がそう言っているのだろうと想像していました。Rekoo自身の説明では、「課金サービスの脆弱性をついて、第三者のIDを許可なく利用して能動的に不正アクセス」となりましたね。

「誰でも取得できたわけではなかった」と印象づけて利用者を安心させたいという気持ちは分からないでもないのですが、あんまり意味がないと思うのですよね。利用者の関心事は、あくまで「漏れたかどうか」でしょう。たとえ情報の取得が簡単であっても、「ログを調査した結果、漏れていないことが判明」と言われればひとまず安心でしょうし、その逆もしかりです。情報の取得が難しかったかどうか、専門知識が必要だったかどうか、などということをいくら印象づけても、利用者の不安の解消にはつながらないと思うのですね。

とはいえ今回の場合、ログを調査して漏洩の有無を確認することも困難でしょう。派手に大量アクセスして舐めていった人がいれば分かりますが、そうでない場合、ログを見ても漏洩の有無を判断できない可能性が高いと思います。なかなか難しいところですね。

• 「サンシャイン牧場・Rekooからのアナウンスに追記」にコメントを書く

関連する話題: ゲーム / サンシャイン牧場 / セキュリティ / 情報セキュリティ早期警戒パートナーシップ

サンシャイン牧場・決済代行会社のサポートからの情報

公開: 2009年11月5日10時11分頃

サンシャイン牧場の件ですが、決済代行会社であるゼロのサポートから回答を得たという方が、公式コミュニティにその内容を書き込まれています。

以前のアナウンスに追記されたとおり、今回の話はRekoo側の問題です。が、ゼロ側でもかなり詳細な情報を把握されていて、問い合わせに対してはかなり細かいところまで回答されているようですね。興味深い内容が含まれていますので、一部引用しておきます。

当初、サンシャイン牧場のKコインチャージ画面では、「新たなクレジットカードを使う」「前回のクレジットカードを使う」のいずれかを選択するようになっていました。

初回の購入前は、Rekoo側のサーバにはメールアドレスも電話番号も登録されていません。この時はそのままゼロ側のサーバにリダイレクトされ、そこでカード番号やメールアドレス、電話番号などを入力します。この課金が完了すると、メールアドレスと電話番号の情報がRekoo側に(おそらく自動的に)送られて、サーバに格納されます。そして「前回のクレジットカードを使う」を選択した場合には、メールアドレスと電話番号の情報を一度「ページに持たせ」てから、その情報をゼロ側に引き渡すという構造になっていた……。

……と、こんな感じであったらしいことが読み取れます。

さらに、別の方がこんな情報を書き込まれています。

「現時点では技術的な面での詳細は発表されていない状況」「詳細についてはサンシャイン牧場の運営者またはmixi側の公式発表をお待ちいただければ」ということは、技術的な詳細を発表する予定があるということなのでしょうかね。被害については、「サンシャイン牧場の運営者やmixi側でわかるかどうかも断定できかねる状況」だそうで。

• 「サンシャイン牧場・決済代行会社のサポートからの情報」へのコメント (2件)

関連する話題: ゲーム / サンシャイン牧場 / セキュリティ / 情報セキュリティ早期警戒パートナーシップ

特殊な知識を持った人 (サンシャイン牧場の件・朝日新聞版)

公開: 2024年5月8日14時35分頃

サンシャイン牧場の件、朝日新聞はこんな感じです : 「ミクシィ利用者の個人情報丸見え　４２００人分、３日間 (www.asahi.com)」。

昨日の毎日新聞では「本人と偽ってプログラムを操作」でしたが、朝日新聞は「プログラマーなど特殊な知識を持った人が操作」だそうで、なんだかどんどん難しそうな感じになっていますね。

※たぶん、マークアップエンジニアも「など」に含まれるのでしょう。しかしこの伝で行くと、この前のW2Cでの話で紹介したFF13の話なんかも「特殊な知識」が必要ということになりそうな感じがしますね。

• 「特殊な知識を持った人 (サンシャイン牧場の件・朝日新聞版)」にコメントを書く

関連する話題: ゲーム / サンシャイン牧場 / セキュリティ / 情報セキュリティ早期警戒パートナーシップ

本人と偽ってプログラムを操作 (サンシャイン牧場の件・毎日新聞版)

公開: 2024年5月8日22時35分頃

サンシャイン牧場の件、毎日新聞にも出たようですね : 「ミクシィ：ゲーム利用者の情報閲覧一時可能に (mainichi.jp)」。読売新聞の記事とは微妙に異なるのが興味深いです。

これは実は重要な情報で、あくまで「1件ずつ閲覧」できる状態だったということですね。中には「リストが見えるようになっていた」と誤解している方もいらっしゃるようですが、そうではないということです。

1件ずつしか取得できないと言っても、繰り返せば大量の情報を取得することが可能ではあります。が、そんな派手なことをしたらRekooのサーバのログにあからさまな痕跡が残るはずで、調査ですぐに判明します。悪用された可能性は低いと発表されていますから、おそらく、このような大量取得の形跡は認められなかったのでしょう。

※まさかログがないなんて事はないですよね……。

これはたいへん興味深いですね。本人と偽ってプログラムを操作ですか。良く分かりませんが、なんだかとっても難しいことをする必要があったという印象を受けますね。

※「本人と偽ってプログラムを操作」という言葉が面白くて、笑いのツボにはまってしまいました……。取扱終了はまだかなぁ。

• 「本人と偽ってプログラムを操作 (サンシャイン牧場の件・毎日新聞版)」にコメントを書く

関連する話題: ゲーム / サンシャイン牧場 / セキュリティ / 情報セキュリティ早期警戒パートナーシップ

女番社長レナWiiはあのジョルダンのゲーム

公開: 2024年5月8日19時45分頃

「女番(スケバン)社長レナWii (www.amazon.co.jp)」というゲームが話題になっています。話題といっても、「発売初週売上げが100本」という悲しい話題ではありますが……。

※参考: 「『女番社長レナWii』、初週100本で大コケ、賞金総額40万円のコンテストも開催中で数少ない売り上げも水の泡 (blog.livedoor.jp)」

このゲーム、メーカーは「ジョルダン」となっていますね。ジョルダンといえば乗り換え案内で有名な会社がありますが、同名のゲームメーカーなのでしょうね……と思いつつ、何気なく「乗換案内 ジョルダン (www.jorudan.co.jp)」のサイトを見たら、トップページに「女番社長レナWii (rena-wii.jp)」へのリンクがあるではありませんか!

あの乗り換え案内のジョルダンがゲームを作っていたのですね。知りませんでした……。

• 「女番社長レナWiiはあのジョルダンのゲーム」にコメントを書く

関連する話題: ゲーム

サンシャイン牧場のアナウンス・追記

公開: 2024年5月8日18時55分頃

「サンシャイン牧場・課金システムの問題についてのアナウンス」ですが、Rekooからの報告の中の「原因の究明及び対策の実施」の部分に、新たに文章が追加されていることに気付きました。いつ追加されたのかは良く分かりませんが……。

新しい文章は以下の通り。

「なお」以降が追加された部分です。決済代行会社側の問題ではなく、Rekoo側の問題であることが明記されています。

※「決済代行会社に問題がなければ漏洩するはずがない」という主旨の事を書かれている方もいらっしゃるようですが、それは、決済代行会社が用意した仕組みを正しく使っていればの話でして。根本的に使い方が間違っているような場合には、今回のようなことも起こり得るでしょう。

• 「サンシャイン牧場のアナウンス・追記」にコメントを書く

関連する話題: ゲーム / サンシャイン牧場 / セキュリティ / 情報セキュリティ早期警戒パートナーシップ

サンシャイン牧場の件が全国ニュースに

更新: 2024年5月8日15時30分頃

サンシャイン牧場の件ですが、読売新聞に出たようですね: ミクシィ、４２００人の情報が３日間「露出」 (www.yomiuri.co.jp)。

最大約4200人というのは、修正前にクレジットカードを利用した人の総数でしょうね。

80人で38万円購入というと平均5000円近いわけで、ずいぶん単価が高いように見えますが、その80人はおそらく、「前回のクレジットカードを使う」を選択して2回目の課金を行った人たちでしょう。もともと購入意欲の高い層だった上に、「Kコインが増えないので課金操作を繰り返した」という方もいらっしゃるようなので、単価が高く出ているのだろうと思います。

「一般のユーザーが偶然に見た可能性はほぼない」というのは、単に「現時点で悪用の報告がない」からそう判断しているのか、それともログを確認した上で言っているのか、どちらなのでしょうね。前者っぽい気もしますが。

いずれにしても、停止の判断や修正作業が素早かったために被害の拡大を防ぐことができた、と考えて良いのでしょうか。カカクコム事件では停止の判断の遅れが問題になりましたが、今回はそこはきちんと対応されたのではないかと思います。

ただ、対応後の告知は分かりにくかったようで。30日の夜に出た公式コミュニティのアナウンスには、10月31日までに49のコメントがついて止まっていましたが、今日になってコメントが100を超えています。mixiの「重要なお知らせ」にも出ていたのに、「コミュニティ内部でしか報告されていないのはおかしい」という旨のコメントが複数ついていますし、告知に気付いていない方も多かったようですね。

※追記: テレビのニュースでもやっていたようで : FNNニュース: 「mixi」上のゲームで利用者約4,200人分の個人情報が3日間にわたり閲覧可能な状態に (www.fnn-news.com)

• 「サンシャイン牧場の件が全国ニュースに」にコメントを書く

関連する話題: ゲーム / サンシャイン牧場 / セキュリティ / 情報セキュリティ早期警戒パートナーシップ