古い携帯電話番号を新しい番号に引き継ぐことは、一見無害に思えるかもしれません。しかし、Lyftの顧客にとっては、アカウントが全く知らない人に公開される可能性があります。
カリフォルニア在住のメディアリレーションズ専門家、ララ・ミラーさんにまさにそれが起こった。今月初め、彼女は400マイル以上離れたラスベガスで2件のクレジットカード請求があったことを発見した。
「これは私のデビットカードに対する本物の詐欺だと思った」とミラー氏は語った。
しかし実際には、別の女性が誤って彼女の古いLyftアカウントを乗っ取っていたのです。これは、ミラー氏が4月に解約した携帯電話番号を電話会社が再利用していたことが原因で、ハッキングの糸口が開かれたのです。
問題はLyftのログインプロセスにあります。この配車アプリはユーザー名とパスワードの煩わしさをなくし、代わりにスマートフォンの携帯電話番号で顧客を登録します。
しかし、その電話番号は、たとえ加入者が変わってもアカウントに紐付けられたままになる可能性がある。ミラーは最終的にこれに気づき、以前の携帯電話番号の所有者であるエリシアさんに電話をかけた。
エリシアさんは名字の公表を拒否した。しかし彼女も、自分のものだと思っていたLyftのアカウントに何か問題があることに気づいた。
マーティン・ウィリアムズ「新しい電話番号をもらったのは7月4日頃だったんです」とエリシアは言った。「だからもう、昔の友達から彼女（ミラー）宛てのテキストメッセージが山ほど届いていたんです。Airbnbからも」
エリシアさんがLyftに登録した際、既存の決済カードがアカウントに保存されていることに気づきました。「アプリでプロフィールを変更できませんでした」と彼女は言います。「新しいアカウントを作る方法もありませんでした。そこに選択肢がなかったんです。」
エリシアさんは自分のクレジットカードで代用しようとしたが、ラスベガス滞在中にLyftで2回乗車した際に、どちらの場合もミラーさんのクレジットカードで請求が行われた。
ミラーさんとエリシアさんは、この事件全体が不安を掻き立てると語った。「今は、誰かが私の古い電話番号から古いLyftアカウントを使っていないことを願っています」とエリシアさんは言った。
しかし、Lyftはこのような問題はまれだと述べている。同社は、第三者の情報源、Lyftアカウント、デバイスなど、「さまざまなシグナル」を利用してユーザーの本人確認を行っている。
「ユーザーが同一人物ではない可能性がある場合、本人確認または新規アカウントの作成をお願いしています」とLyftは述べている。「稀にこのプロセスが意図した通りに機能しないケースもありますが、その知見を今後のアルゴリズムの改善に活かしていきます。」
しかしながら、他の出版物もこの問題を報じており、Hacker Newsのユーザーからも苦情が寄せられています。
「サンフランシスコで私のアカウントを使ってLyftに乗っている不気味な男がいるんだ」と、あるユーザーが1年以上前に書いた。「一番困ったのは、もうその電話番号がないので、そのアカウントからクレジットカードを削除できないこと」
しかしLyftは、ユーザーはカスタマーサポートに連絡してアカウントをキャンセルできると述べている。
この問題を防ぐには、企業は顧客の身元確認に電話番号だけに頼るのではなく、より強力な二要素認証を提供する必要がある、とAT&Tの元最高セキュリティ責任者でセキュリティコンサルタント会社TAG CyberのCEO、エドワード・アモロソ氏は述べた。
「しかし残念ながら、ユーザーがこの種のリスクをもう受け入れないと決断しない限り、業界はおそらく改善された検証方法に移行することはないだろう」と彼は述べた。
ミラーさんは、配車アプリがこの問題の解決に十分な対策を講じていないのではないかと懸念している。Lyftは謝罪し、先週彼女の銀行口座から請求額を返金したと主張している。ミラーさんは、火曜日にようやく返金を受けたという。
「ただただ腹が立つ。もっと多くの人にこのことを知ってほしい」と彼女は言った。「これは彼らのセキュリティにかなり大きな欠陥があると思う」
リフト社はミラー氏の古いアカウントを停止したが、そのためエリシア氏は配車サービスにアクセスできなくなっている。
「今ではLyftにログインすることすらできません」とエリシアさんは言う。
編集者注: 最後から3番目の段落は、ミラー氏が払い戻しを受け取ったことを反映するように更新されました。
