LAWSON Wi-Fi security issues

コンビニエンスストア「ローソン (LAWSON)」が2012年4月6日より開始した、Ponta 会員限定 Android スマートフォン向け無料 Wi-Fi 接続サービスにセキュリティーとプライバシーの問題が指摘される。

2012年4月6日よりスタートした、ローソンの Ponta 会員限定 Android スマートフォン向け無料公衆無線LANサービスですが、セキュリティーやプライバシー上の問題が確認され注意が必要と思われます。利用規約に誕生月日と電話番号の入手を禁止する項目が盛り込まれています。

LAWSON Wi-Fi
http://www.lawson.co.jp/ponta/static/wifi/

■ サービス内容、利用条件

• 「LAWSON Wi-Fi」は Ponta 会員限定の無料公衆無線LANサービス
• ローソン店内でインターネット接続できるだけでなく映像・音楽・電子書籍等の限定コンテンツ利用可能
• 対応端末はスマートフォン Android 端末(OSバージョン2.1以上）のみ
• iPhone 端末は2012年5月以降サービス開始予定
• 毎週火曜日と木曜日の午前1:00～午前5:00は、メンテナンスのため、接続不可。

上記マークのあるローソン店内で利用可能。

高木浩光氏のブログ「高木浩光@自宅日記」に掲載された情報と、Twitter つぶやきまとめサイト「Togetter」の「ローソンWi-Fiが誕生日と電話番号を誰かに伝えることを禁止！」の情報です。順を追って要点だけご紹介いたします。

■ Ponta サービス利用のログイン画面
まずはサービス利用に必要な Ponta サービスログインに必要な情報が「Ponta ID」「電話番号」「誕生月日」となっており、これは不正アクセス禁止法で、セキュリティー上の観点からIDと電話番号や誕生日の組み合わせで入らせるものは、アクセス制御機能に該当しないとされています。

■ ローソンアプリの利用規約
LAWSON Wi-Fi を利用するのに必要なアプリ「ローソンアプリ」ですが利用規約の禁止事項10条に「手段のいかんを問わず他人からIDや電話番号・誕生月日を入手したり、他人にIDや電話番号・誕生月日を開示したり提供したりする行為。」と書かれています。つまり利用者はもちろん、関係のない友達や第三者に自分の電話番号や誕生日を教えていけないのはもちろん、友達から電話番号や誕生日を聞いてはいけないという禁止事項です。むちゃくちゃすぎる！ (><

■ ローソンレシートに Ponta ID が記載
電話番号や、誕生日が判明したとしても Ponta ID さえばれなければ大丈夫だろうと思いの方もいると思われますが、ローソンのレシートには Ponta ID が伏せられることもなく印刷されるそうです。

■ ローソンアプリ端末番号と契約者識別番号を取得
LAWSON Wi-Fi 利用に必要なローソンアプリの利用規約に、ローソンアプリがサーバーへ自動的に「アクセス日、IPアドレス、位置情報、クッキー情報、Ponta ID、IMEI（携帯電話固体識別番号）、IMSI（SIM認識番号）」等のログを記録するとなっています。明らかに必要のない情報まで取得します。（記載されてる情報以外に Android ID と SIM シリアル番号も送信されているそうです。）

■ 管理される情報
「LAWSON Wi-Fi」のインターネット接続サービスを提供しているのは、株式会社ワイヤ・アンド・ワイヤレスというところですが、同社のプライバシーポリシー個人情報保護の適用範囲には「ID、パスワード、メールアドレス、通信履歴（位置情報含む）、クレジットカード情報、その他の課金情報、信用情報」を管理するとしています。

■ 情報の利用目的
取得した情報の利用目的として「情報提供サービス事業者に対して、当社アクセスポイントの設置情報にもとづいた端末の接続地域情報の提供」や「情報提供サービス事業者に対して、ご登録頂いた情報にもとづいた年齢、性別の情報、及び過去の行動履歴情報の提供」が含まれます。高木氏が指摘するには、ここがカナリ問題で「情報提供サービス事業者」と書かれていますが広告会社へ提供しているものと考えられ、「誰が通話しているか知らないままであっても電話を盗聴（電話会社の回線で）したら犯罪である」としています。

紹介した内容は一部で、その他にもセキュリティーやプライバシーに関する問題が多数あります。専門的な説明や、問題の利用規約、ログイン、端末情報送信画面等は「高木浩光＠自宅の日記」もしくは Togetter 「ローソンWi-Fiが誕生日と電話番号を誰かに伝えることを禁止！」で確認することが可能です。

Android 端末を利用する方々は無線LAN Wi-Fi サービス等のネット接続サービスを利用する場面は多いと思われます。今まで使ったことのないサービスや、既に利用中のサービスも含め、利用規約はよく確認しましょう！ (><

■ 追加情報 2012年4月10日
ローソン、問題指摘を受け、”スマートフォン用の無線LANサービス「LAWSON Wi-Fi」に関するお知らせ” を発表。ログイン方法や規約内容変更を決定。変更時期に関しては改めてご案内するとの事。

■ 変更される内容
1) ローソンアプリのログイン方法に、パスワードへの変更機能を追加
任意の番号を用いたパスワード機能を追加。

2) レシートに印字されるPonta会員ID番号の一部マスキング
ローソン店舗でのお買上げ時に発行されるレシートに印字されている Ponta 会員 ID の一部をマスキング（文字の置き換え）。

3) ローソンアプリ利用規約の記載内容の変更
利用者に心配をかけないよう、禁止事項や利用記録の保存についての内容を変更。

以上、3項目となっております。「情報取得内容」と「情報利用目的」に関しての文言はありませんね…

ローソンと付き合うには友達を捨てる覚悟が必要 – 高木浩光＠自宅の日記
http://takagi-hiromitsu.jp/diary/20120408.html

ローソンWi-Fiが誕生日と電話番号を誰かに伝えることを禁止！ – Togetter
http://togetter.com/li/285635