東横インWeb予約の脆弱性が修正された…が

東横インのWeb予約は2008年11月にシステム変更が行われ(www.toyoko-inn.com)、事前に登録手続きが必要な方式になっています。これは、あらかじめ名前や電話番号、メールアドレスなどの個人情報を登録しておくことで、実際の予約時に入力する項目を極力減らすもので、携帯電話など文字入力が億劫な端末から予約する際や、頻繁に宿泊する常連者にとってはありがたいシステムと言えるでしょう。

具体的には、

• 氏名アルファベットと生年月日
• パスワード（のみ）

のいずれかを入力する方式となっていました。…これ、言うまでもなく危険ですね。

ウェブに限らず「ログイン」を行うシステムでは「ユーザー名とパスワード」のように、2つ以上の項目を入力するものが大半ですが、東横インのシステムではパスワードのみでログインが可能だったため、

• うろ覚えのパスワードを入力してみたら、自分のではなくたまたま他人のパスワードに合致し、そのアカウントでログインできてしまう。
• 姓名や生年月日など、あり得そうなパスワードを試して他人のアカウントでログインする。

といった事態が想像できました。（実際に、私は意図せず前者の状態になったことがあります。）

とくに、後者は悪意のある者によって「電話番号が取得される」「勝手に宿泊予約が行われる」といったことが可能です。東横インの場合、当日16時以降はキャンセル料が掛かるとのことで、金銭トラブルに発展する可能性も考えられます。

というわけで、XSSやSQLインジェクションなどとは性格が異なりますが、これもウェブ脆弱性の一種と判断しました。

昨年11月9日付で、次のようなリリースがなされています。

• お知らせ・ご案内 -【東横インWeb予約】ログイン方法変更のお知らせ- 東横イン(www.toyoko-inn.com)

というわけで、パスワードのみでログインできる危険な状況は修正されました。が、…

私はこれで安心とは思っていません。現段階では詳しいことは書けませんが。