阪急阪神グループのポイントカードサイトで、アカウントハッキングが見つかったためにウェブサイトを休止したとメールで連絡が来た。ウェブサイトにも書いてある。PDFで公開されている被害状況説明によると、総当たり攻撃で1094件の不正ログインがあったらしい。制限無く何度でもログインを試せる仕様だったのだろう。ポイント交換が試されたのは44件で、そのうち43件は交換処理の完了前に止められたらしい。どうやって気付いたのだろう？ 「ポイント交換を受け付けました」的なメールを送る仕様だったのかな。で、ユーザから「そんな操作してない」と苦情が複数上がったので気がついた、ということだろうか。