ツッコミ

おっしゃる通りで、基本的にIP制限してます。
IPのアクセス元の情報はキャリアが公開してるものを信用する前提だし、
そう問題は起きていない。時差があって問題になったのはいつぞやの
Softbankの更新くらいかな。そうとう突き上げ食らったのか２日後だっ
たかに更新されましたが。どのみちユーザーからクレームが上がるので
アクセスログから 403 探して…と。
セキュリティ考慮して固く作りたいけど、状態遷移の全てでそれを要求
するとユーザーが離れちゃう。そのあたりのバランスのとり方は難しい。
そういう意味でスマートフォンのIP体系も公開されてるから、外す方向
で対応してる。あれはもうPCサイトでしょ(クッキー等使用してログイン
認証させるとか)。携帯相手とは前提が違いすぎます。