Paper's Program Note

自分が管理しているサービスに、よくわからない登録が数件続きました。
適当な名前で、本当にあるようなメールアドレスでの登録がたまにあります。
名前はただのランダムな文字列です。
メール認証しているので、本人ではないと登録できないので、よく理由が分からなったのですが。

同じ現象は、以前働いていた会社のWEBサービスでもよくありました。
その時も、理由がわからずで、「気持ち悪いからIP拒否しようか」位の処理です。

理由は、おそらくですが、実在の他人のメールアドレスを使って、その人(実際はシステムやボットてす)がサービスに仮登録します。
メール認証が、そのメールアドレスの人に届き、万が一、その人が認証URLをクリックしてしまったら、本登録されます。

不正なことをしている人は、パスワードなども登録していますので、しばらくしてから
ログインを試みて、サービスにログインできることになります。
　
そこから、サイトを乗っ取ろうとするわけですね。
ワードプレスなどでもよくあるケースです。

対処方法)
・まずは仮登録状態になっているデータは早めに削除する。
・IPが固定であれば、IPで拒否する
・パターンを見つけ出すことができれば、それを検知して、仮登録させないようにする。

仮登録のメールアドレスの承認メールを送信する前に止める必要があります。

まずは、仮登録している人のデータをサーバー管理者は、たまに確認する必要がありますね。