【ネットセキュリティ】eoショッピングモールは大丈夫?／『セッションハイジャック』って何者？

【お知らせ】8/9 11:17追記
10時頃、eoショッピングモールの運営局よりお問い合わせフォームの方の返信があり、HTTPへのアクセスは、HTTPSにリダイレクトするように仕様変更を行ったそうです。
ご対応いただきありがとうございました。

今後、ユーザー様が何らかの対応を行って頂く必要はありません。

--------------------

※これに気がついたとき、ヒヤッとして、すぐにアイデアファームの方に投稿しました。
また、eoショッピングモールのお問い合わせや、スタッフブログへのコメントも行っています。

【至急】eoショッピングモールの常時SSL化（セッションハイジャック対策）
https://king.mineo.jp/my/Tsukikoh/ideas/23012

こちらに記載しましたが、これの何が危険なのかを簡単に説明します。

とあるサイト（今回の場合は、eoショッピングモール）で、アカウントにログインすると、「セッションID」という、いわば「入場券」のようなものが発効されます。

この入場券は、有効期間内であれば、いちいちログインしなくても持ち主をアカウントの本人だと判断して、適切なページを表示しています。
（これのおかげで、頻繁にログインをしなくて良くなります。）

この入場券は、他人にバレてしまうと、持ち主のなりすましをして、買い物をしたり、住所などの登録情報や、注文履歴などを見られてしまいます。

これを、「セッションID」という「入場券」を乗っ取るということで「セッションハイジャック」と呼びます。

これをバレないようにするには、そうです。
私の記事にたまに登場する「暗号化」というものです。

仕組みはともかくとして、「暗号化」されていれば、赤の他人に「入場券」をコピーされる可能性はかなり低くなります。

しかし、今回「eoショッピングモール」では、暗号化していなくても「入場券」が使える状況ができあがってしまいました。

「セッションハイジャック」のお話は、セキュリティ技術者であれば、常識だと思っていたんですが、しっかりと対策がされていなかったのは残念です。

【参考】セッションハイジャックとは - IT用語辞典
https://tki.jp/izkp

----------
これは、過去のものです。現在は運営による対応が完了しています。
下記の作業は不要ですのでご安心ください。
----------
【ユーザーの皆さんができる対策】
eoショッピングモールにアクセスするときは、URLが「https:// 」から始まっているかをご確認ください。
もし、「http:// 」から始まっているURLにアクセスしていたら、すぐにその部分を「https:// 」に書き換えてください。