スターバックスカードでコーヒーを無限に注文できるバグが発見される

By FaceMePLS

スターバックスカードを購入して使用していたセキュリティコンサルタントのEgor Homakovさんは、カードとシステムの脆弱性を利用して無限にコーヒーを注文する方法を発見。のちにこの件をスターバックスに連絡したところ、思わぬ騒動に発展したようです。

Hacking Starbucks for unlimited coffee
http://sakurity.com/blog/2015/05/21/starbucks.html

Researcher who exploits bug in Starbucks gift cards gets rebuke, not love | Ars Technica
http://arstechnica.com/security/2015/05/researcher-who-exploits-bug-in-starbucks-gift-cards-gets-rebuke-not-love/

スターバックスカードは、スターバックスの店舗で使えるプリペイドカードで、「5000円の入金ごとにドリンクチケットプレゼント」のような特典がついてくるサービスです。ウェブサイトから残高照会やお金のチャージ、カード間での金銭の移動などが可能で、店舗で手軽にチャージすることもできます。

そんなスターバックスカードの残高を確認したり送金したりすることが可能なウェブサイトには、「競合状態(race condition)」と呼ばれる脆弱性があるそうです。これはオンライン上で金銭を取り扱うサイトなどでよくみられるバグ、とのこと。

競合状態にあるシステムでは、コンピューター上で平行して行われる処理のタイミングの違いによって最終的な結果が変化してしまうという大きな問題が起こります。Egorさんはこの現象をもとにスターバックスカードの処理経路をハックすることで、無限にコーヒーを注文できてしまう状態を作り出すことに成功しています。

競合状態を引き起こすため、Egorさんはまずスターバックスカードを3枚購入し、2つの異なるブラウザで同一のスターバックスアカウントにアクセスしながら、カード間で送金を繰り返しました。残高が5ドル(約600円)だったカードAから残高10ドル(約1200円)のカードBに5ドルを移動させ、上記のハッキング方法についての概念実証を実施。実験の結果、カードAには5ドルが残ったまま、カードBの残高を15ドル(約1800円)に増やすことに成功しています。

By J. Money

さらに、実店舗でもカードの処理を失敗させることができるのか実験するため、サンフランシスコにあるスターバックスで2枚のカード、合計20ドル(約2400円)分を使って16.70ドル(約2000円)を支払う実験を行い、ここでも同様に処理をハックすることに成功しています。

以下のレシート画像では、カード残高(SBUX Card x6075 New Balance)が「5.70ドル(約700円)」となっていますが、20ドルから16.70ドルを引いた残高は3.30ドルであるはずなので、処理時に残高を不正に増やすことに成功しているのは明らか。なお、バグを使って少額しか残高を増やさなかったことについてEgorさんは「アメリカの法律的に刑務所に入れられない範囲を狙ってのこと」としています。

Egorさんがこの問題をスターバックスに報告したところ、当初はバグ発見の功績として1000ドル(約12万円)の報奨金を支払うと言われたそうですが、のちに実際の担当者からはお礼を言われるどころか「悪意のある行為だ」と、実店舗での検証行為をとがめる電話がかかってきたとのこと。これに対してEgorさんと彼を支持する一部のTwitterユーザーはスターバックスを猛烈に批判していますが、スターバックスの幹部は「スターバックスの店舗では常に不正行為が行われていないかモニターしています。Egor氏からスターバックスでの不正行為を報告された後、これを防ぐための安全装置を設置した」という声明を出しています。