http://www.asahi.com/national/update/0129/TKY201001290230.html
http://www.asahi.com/national/update/0129/TKY201001290230_01.html
千葉県の女性によると、新しく設定したＩＤでｉＴＳに接続し、パスワードを入れたところ、何度か「違う」と接続を拒まれた。パスワードを再登録し、再接続してみると、個人情報の画面に北海道の女性の住所や電話番号、クレジットカード番号の一部、誕生日などが表示された。商品を買えば、代金の請求は北海道の女性のクレジットカードで決済される状態だったとみられる。
アップル社からは、かつて北海道の女性が同じＩＤを設定していて、その女性の個人情報がｉＴＳのコンピューターに残っていたために起きた可能性がある、と説明されたという。同社によると、一度登録されたＩＤやパスワードは、本人が申請しない限り消去しないという。
神奈川の男性がＩＤとパスワードを登録する際、同じ名字の愛知の男性のメールアドレスを自らのＩＤとして誤入力した。そのＩＤがメールのあて先となったため、登録完了通知などのメールが愛知の男性に送信された。
愛知の男性が受信メールを基にパスワードを変えると、神奈川の男性のクレジットカードで買い物ができる状態になった。ただ、愛知の男性が神奈川の男性に連絡をとり、ＩＤとパスワードを直した。
「千葉の女性」の事例は、ＩＤを誤入力して、誤入力したＩＤが既に登録されているもので、パスワードがＩＤから推測しやすいものであるといった事情から、ログインできてしまったという可能性が高いような印象を受けます。itunesのＩＤはメールアドレスになっていて、他人のメールアドレスは、いろいろな機会で知ることができますから、なりすまして不正ログインしようと考え、メールアドレスを入れ、そこから推測できるパスワードを入れてみてログインできてしまう、というケースはありそうです。
「神奈川の男性」のケースでは、ＩＤ取得のプロセスがよくわからないのですが、メール認証を行う前にクレジットカードの登録が行われていれば、そういったことが起き得るのかな、という気がします。登録のプロセスを見直す必要がありそうです。
記事を読んだ印象としては、一般的な、ＩＤとパスワードによるサービスでなりすましが起きてしまう危険性が顕在化しているのではないかということと、ＩＤ登録のプロセスに問題があるのではないかということを感じます。後者は早急に改善すべきは改善し、前者は、パスワードの設定を慎重に行うことを繰り返し呼びかけるとともに、ＩＤに含まれる文字列はパスワードに設定できない、といったシステム改善も（まだ行われていなければ）検討の必要があるでしょう。また、数回パスワードの入力に失敗すれば登録メールアドレス宛にパスワードの再設定を求めるメールが送られ別のパスワードが再設定されない限りログインできない、といったシステムを導入することも検討すべきではないかと思います。
