>>428
盗聴者がセッション開始することもできるからそれでは防げないかと

盗聴者：盗聴対象メールアドレスを入力、パスワード再設定セッション開始
盗聴者：パスワード再設定メールを盗聴、ワンタイムパスワード取得
盗聴者：ワンタイムパスワードを入力、パスワード再設定
盗聴者：パスワード再設定セッション終了

〜〜〜〜
正規ユーザー：身に覚えのないパスワード再設定メールを受信（この時点で手遅れ）



メールだとパスワード再設定が脆弱すぎる
パスワード再設定はメールじゃなく電話、SMSを必須にしたほうがいいのかも