【炎上】「Suicaで自販機でジュース無限に買える裏技見つけた」「通信内容を偽ることで買えてしまう」→犯罪では？と炎上中 当人は機関に報告予定
【炎上】「Suicaで自販機でジュース無限に買える裏技見つけた」「通信内容を偽ることで買えてしまう」→犯罪では？と炎上中
更新日:
ringoさん
VIEW
【炎上】「Suicaで自販機でジュース無限に買える裏技見つけた」「通信内容を偽ることで買えてしまう」→犯罪では？と炎上中
ｱﾟ（残高200円のSuicaで残高表示を300円にできた音） https://t.co/QCwKD9Lzg7
具体的な手順は提出期限が今日までのレポート課題が終わってからまとめますが、このSuicaの残高が300円だったときの通信を記録しリプレイすることによって実現しています
**多分決済もできます**
結局残高より多くの決済ができてしまいました
こういうときってどこに報告するべきなんでしょうね
Sony？JR東日本？
自販機はオフライン処理なのでこういうのも起きなくもない(翌朝にサーバー側で整合を取る)が、これができちゃうということは Apple Pay への移行は iPhone 側は即時反映しつつ、物理カードはネガリストに登録し事後反映なのかな？
にしてもこういうのドヤ顔でSNSにあげちゃうリテラシーね。 t.co/HKoWPdNv40
@2ern_key @OLIET_lab JPCERTで良いと思いますが、felicaのは決済システムはSONYだと思うのでそちらにも投げたほうが良いかと思います。
(仕様上不正利用は想定されてる気もするけど)
ただ実際の動いている自販機でやるべき内容/動画ではありません...。
@OLIET_lab 脅威の実現性を示したのはとても重要な事ですが、実サービスを対象に攻撃できること、その手順を責任ある情報開示のプロセスを経ずに公開してしまう事は問題です（悪用されるリスク）
決済が絡んでいることもあり、訴訟リスクもありますので、至急JPCERT/CC、関係各社に相談することをおすすめします
@OLIET_lab 通帳記載後にキャッシュカードで引き出すと、通帳記載残高と銀行口座的残高はズレる。それと同じ。自販機はSuica記載残高を見て決裁。後で電話回線で利用額をセンターに送り、そこで口座残高から減らす。マイナスになったカード番号をブラックリストとして毎晩配布。自販機内に携帯アンテナあるよ。
@OLIET_lab カードに記録されてる残高より多くの金額を決済できたということで合ってますかね？
サーバー上の残高は正しくて、カードの残高は間違ってるから、カードの記録以上の額の決済ができたということ？
コメントを投稿する