ID:0qa6qjzw9.netスターバックスでクレジットカード不正利用:二要素認証なしとカード追加が弱点にスターバックスでクレジットカードの不正利用事件が起きました。会員サイトに不正ログインされ、登録されていたクレジットカードからお金をチャージされ店頭でコーヒー豆などを買われた被害です。事実関係と不正利用の原因をまとめます。Starbucks」に不正ログインがあり、登録されていたクレジットカードが不正利用されたことが10月24日に発表されました。スターバックスジャパン広報への電話取材を元に、事実関係をまとめておきます。・5アカウントが5店舗で不正利用された・購入されたものはコーヒー豆・タンブラー・マグカップなど。閲覧された可能性はある。マスクなしで表示されていることを確認しました。見られる状態にあったわけです。犯人に知られた可能性があります。犯人の手口は「パスワードリスト型攻撃」か被害としては小規模ですが、クレジットカードからの不正チャージが行われたのは深刻な問題と言えるでしょう。手口は「パスワードリスト型攻撃」だと思われます。過去に他で漏れているメールアドレス・パスワードがリストとして出回っており、犯人はそれを入手してスターバックス会員サイトで試し偶然あたったものを不正利用するという流れです。オンラインゲーム・SNSなどで繰り返し被害が出ています。セブンイレブンの7Pay不正利用事件でも、会社側はパスワードリスト型攻撃ではないかと発表しています(参考:7payクレジットカード不正利用:第三者乗っ取りがあり得る致命的な2つの弱点)。パスワードリスト型攻撃の原因は、ユーザーの「パスワード使い回し」です。パスワードを覚えられないからと同じパスワードを複数の場所で使い回してしまう結果、このような不正ログインの被害に遭ってしまうのです。私たちはパスワードを一つ一つ別のものにしなくてはなりません。これだけパスワードリスト型攻撃が多発すると、企業側の防衛策も必要です。スターバックスの会員サイトの状況をまとめておきます。二要素認証がなかったスターバックス会員サイトとスターバックスカードのしくみをまとめたのが下の図です。