蟹のヨコヨコ日記

■ 知られざるmixiの脆弱性 22:55

mixi、利用の注意を更新。「mixiを安全に使うために」の項を新設

そんなことより mixi さん、聞いてくださいよ。

マイミクから僕の携帯にメールが届いたんです。内容とか覚えてないんですけど、そんなに重要な用件ではなくて、たぶん挨拶程度のメールだったと思うんです。僕はそのメールに1行程度の返事を打って送信しました。

そうしたら！

僕が送ったメールがマイミクの日記に表示されてしまったんです。

驚いたのですが、試しにもう一度やってみたら、同じことが起きました。マイミクに確認したところ、僕のメールを転載したわけでも、携帯メールを転送したわけでもないことがわかりました。

この不思議な事件の真相は以下のとおりです。

1. マイミクは携帯から日記を投稿した。
2. そのとき、同時に宛先を複数指定して、僕に日記と同じ内容のメールを送信した。
3. 僕はそのことに気づかないまま返信した。（後から送信メールの宛先を確認したら、上のことがわかりました。）

mixi で携帯から日記の投稿を行うためには、所定のページから自分の携帯メールアドレスをフォームに記入して、送信ボタンをクリックします。すると、日記投稿用のメールアドレスが書かれているメールが携帯に届くようになっています。

ところが、この「日記投稿用メアド」って、本人の携帯からじゃなくても投稿できちゃうんですよ。

僕はマイミクの「日記投稿用メアド」を削除しましたが、これが第三者に知られると、誰でもその人の日記に投稿することが出来てしまうんです。しかも、「日記投稿用メアド」は後から変更することが出来ないみたいなんです。

みなさん、mixi の「日記投稿用メアド」が他の人に知られないようにご注意くださいね。

【11月13日追記】

上で述べた「日記投稿用のメールアドレスが書かれているメールが携帯に届くようになっています。」の箇所は、現在、以下のように仕様変更されています。

[mixi] ヘルプ

Q.携帯から閲覧・書き込みをしたい

A. mixiモバイルへのログイン方法と、写真付き日記の更新方法についてご案内いたします。

（中略）

■写真付き日記の更新方法

下記手順にておこなえます。

日記（写真付）の更新を携帯メールから行われたい場合は、mixiモバイルにアクセス後「日記を書く」の下にある「写真付き日記の更新はこちら」の順に進んでください。

次の画面下部で表示される「メールを送信」というリンクを選択していただきますとメール送信のフォームが立ち上がりますので、そちらのメールの宛先アドレスを登録してください。（d.mixi.jpでおわるものです）。

この「そちらのメールの宛先アドレス」が、前述の「日記投稿用メアド」と同じもので、ユーザ側では後から変更することが出来ません。

そして、このアドレスを電話帳登録してしまえば、いつでも携帯メールから日記を投稿することができる、即ち、mixiにログインしなくても、また、自分の携帯以外のアドレスからでも日記の投稿が可能です。

もちろん、携帯じゃなくて、パソコンのメールソフトからも、日記の投稿は可能です。