usagito 曰く、

ビジネスホテルチェーン「東横INN」の予約サイトのセキュリティが改善された(東横INNのお知らせ)。

従来は「名前+生年月日」または「生年月日+パスワード」でログインし、予約および予約の確認・変更・キャンセルを行うことができる仕様だった。2月18日に「メールアドレス+パスワード」の新ログイン方法が導入され、4月17日いっぱいで旧ログイン方法による認証が廃止された。

タレコミ人は昨夏、IPAにウェブアプリケーション脆弱性関連情報として届け出ている。ホテルの予約情報というのは、センシティブかつ具体的被害の危険があるのだから、もうちょっとまじめに構築しておいてほしかった。とりあえず改善されてよかった。

移行手続き期間は5月17日まで。それまでに移行手続きをしない場合、予約の際に新規アカウントの作成が必要になる。なお、移行手続きの際は姓・名・生年月日・電話番号での認証が行われるようだ。