Humble Bundleのウェブサイト更新により2要素認証とセキュリティ確認が削除される

Humble Bundleの新しいウェブサイトでは、2要素認証（2FA）が廃止されたと報じられており、ユーザーアカウントはパスワードのみで保護される状態になっています。この変化は、アカウント情報の更新時に以前のパスワードの入力を求めたり、二重入力を行ったりする標準的なセキュリティプロトコルの削除と同時に発生しました。

多段階確認の削除

更新されたHumble Bundleのサイトでは、ユーザーは古いパスワードを確認したり、新しいパスワードを二重に入力したりすることなくパスワードを変更できるようになりました。さらに、システムは登録されている現在のメールアドレスに確認コードを送信することなく、メールアドレスの変更を許可しています。

一部のユーザーは「何かが変更されました」という通知を受け取ったと報告していますが、これらのアラートにはサポートに連絡するための直接的なリンクが含まれていないこともあります。場合によっては、通知はHumble Bundleの内部サポートチームではなく、外部のAIベースのセキュリティプロバイダーにユーザーを誘導します。

「Humblebundleは今日、ブランド新しいウェブサイトを公開しましたが、彼らは基本的にセキュリティ設定のすべてを物置の裏に放り出して、鉛で埋めてしまったようなものです。」

— Humble Bundle just completely killed most of their security through vibecoding

AI支援開発の役割

セキュリティの後退は、「vibecoding」に起因するとされています。これは、大規模言語モデル（LLM）を活用してコードを急速に生成する開発スタイルです。このアプローチでは、ビジネス要件やセキュリティリスクの微妙な評価よりも、サイトをゼロから再構築するスピードが優先される可能性があります。

この手法の批判者は、AIは機能的なコードを迅速に生成できる一方で、セキュリティの脆弱性を特定するために必要な「常識」的な基準を欠いていると主張しています。その結果、ソフトウェアは機能的には完成しているものの、構造的に安全ではない「ショットガン」プロジェクト（あちこちを撃ち抜くような、無秩序なプロジェクト）になる可能性があります。

ユーザーへの影響とリスク

2FAや確認ステップの欠如は、アカウントの乗っ取りに対する障壁を大幅に低下させます。パスワードが漏洩した場合、攻撃者は二次的な障害を引き起こすことなく、関連するメールアドレスとパスワードを変更することで、即座にアカウントの制御を奪取することができます。

さらに、新しいサイトではワンクリック決済が有効になっている可能性があるとの報告もあります。この機能は、アカウント保護の欠如と組み合わさることで、支払い方法を保存しているユーザーやリンクされたゲームアカウントを持つユーザーにとって、高リスクな環境を作り出します。