日本憲政史上最強の政策ブログを目指す!

反逆する武士

その他 情報技術(IT)

誰もが被害に遭う可能性がある。ドコモ口座経由で預金を不正引き出し

投稿日:

大変お世話になっております。
反逆する武士

uematu tubasaです。
初回投稿日時:2020年9月13日(令和2年9月13日)

本日は、いきなりお金が盗まれてしまうかもしれない件について注意喚起でございます。

ドコモ口座経由で、預金が不正に引き出される

NTTドコモの電子決済サービス「ドコモ口座」を使った預金の不正引き出し問題が混迷している。
なお十数行の銀行でドコモ口座を利用できるため、預金の不正引き出しが起きるリスクがある。
被害額は11日時点で約2000万円に拡大した。
ドコモはサービス継続の姿勢を崩していないが、預金者保護の観点から専門家などからは批判の声が強まっている。

(中略)
ドコモ口座で取引している地銀など35行について、新規登録は全行で停止し、新規のなりすましはひとまず防いだ。
しかし、うち15行(12日午前0時時点)は既存の登録者が引き続きドコモ口座を利用できるため、不正引き出しなどの被害にあう可能性がある。

引用元:ドコモ口座、15行なお稼働 被害額2000万円に拡大

悪意を持った個人が、全く赤の他人のドコモ口座を開設して、どのドコモ口座と地方銀行などの口座を連携させ、不正に預金を引き出すという悪質な事件が発生しております。

この問題は、docomoと契約していなくても、ドコモ口座を開設していなくても、被害に遭う可能性があります。

大手マスメディアはdocomoから広告費を貰っている関係上、大々的に報道できず、静かに被害が拡大しているようです。

大手マスメディアでは取り上げないことを積極的に取り上げたい拙ブログとしては、ブログ読者様のお金を守るためにも、注意喚起という意味でも、お知らせするための記事とさせていただきます。

便宜上、ドコモ口座事件と呼ばせていただきますが、どういったプロセスで預金が不正に引き出されるのでしょうか。

できるだけ平易に理解するためには、上記記事の通りかと思います。

1、犯人が消費者の銀行口座の情報を不正に入手
2、犯人が消費者本人になりすまして開設

3、ドコモ口座と消費者の保有する銀行口座を連携
4、預金を不正に引き出し

docomoが相談窓口を設置

この度は一部の銀行において、ドコモ口座を利用した不正利用が発生しており、お客様に大変ご迷惑をお掛けしましたことを、深くお詫び申し上げます。
本不正利用は、第三者が銀行口座番号やキャッシュカードの暗証番号等を不正に入手し、ドコモ口座に銀行口座を新規に登録することで発生しておりました。
お客さまにより安心・安全にご利用頂けるよう、本人確認をオンライン本人確認システム(eKYC)で確実に行う対策等、更なる対策強化に努めてまいります。
またお問い合わせ専用窓口を設置いたしましたのでお知らせいたします。
通帳の明細にて心当たりのない「ドコモコウザ」や「デイーバライ」からの引き落としがある場合はご連絡ください。
受付開始日時:2020年9月12日(土曜)午前9時
受付時間:午前9時~午後8時

専用フリーダイヤル:0120-885-360

引用元:ドコモ口座を利用した不正利用についてのお問い合わせ窓口設置について

docomoとしても、対策を講じ、相談窓口を設置した模様です。
上記の引用元のWebページを参照していただければと存じます。

リバースブルートフォースが行われたか

ユーザーが自身のドコモ口座へ銀行口座から入金するには、ドコモ口座のWebサイトから銀行口座を登録する必要がある。
ドコモは「銀行のWebサイト側での作業ではあるが、いずれの銀行も登録には『口座番号』『名義』『4桁の暗証番号』の3点を利用していた」と明かす。
(中略)
不正利用の被害にあった人のネットへの書き込みなどから、ネット上では「リバースブルートフォース」や「パスワードスプレー」と呼ばれる攻撃があったのではないかという臆測が上がっている。
Webセキュリティ専門家の徳丸浩さんは「リバースブルートフォースやパスワードスプレーが使われた可能性はある」としながらも、「ドコモ口座側の防御策に問題があった可能性もある」と話す。
「リバースブルートフォースはパスワード(ここでは4桁の暗証番号)を固定してID(ここでは口座番号)を総当たりする攻撃のことで、パスワードスプレーは数千~数万のIPアドレスを使っていろいろなIPアドレスから少しずつ攻撃し、攻撃を気付かれにくくする手法。これらが使われたかどうかは臆測でしかいえないが、いずれにせよ今回は暗証番号が4桁という部分が狙われたと考えられる。しかし、4桁の暗証番号を決済アプリとの連携に使っていても被害を受けていないケースもある」

引用元:「ドコモ口座」で相次ぐ不正出金、なぜ地銀だけが狙われた? 専門家の見解は

簡単に言うと、預金を不正に引き出すためには、他の銀行の預金をドコモ口座へ振り込む必要があるため、銀行口座を登録することが必須です。

そのような場合、数千から数万のIPアドレスを使用して、4桁の暗証番号を固定して口座番号を総当たりすることで、4桁の暗証番号と口座番号の紐づけを見つけたようです。

※これをリバースブルートフォースと言い、IT系の資格で良く出てくる手法です。
現実に行われて報道されるとは・・・震えが止まりません。

1つのIPアドレスでリバースブルートフォースをやってしまうと、犯人が特定されやすくなるため、多数のIPアドレスを使用して逮捕されにくくしている模様です。

docomoに責任はある

ドコモは「他人になりすましてドコモ口座を開設することが可能な状況だった」として、ドコモ口座にも不備があったことを認めた。
ドコモ口座の開設にはドコモの「dアカウント」が必要となるが、dアカウントはドコモの携帯電話などの契約は関係なく、任意のメールアドレスさえあれば作成できる。

ドコモ口座の開設はこのdアカウントでログインした上で利用規約に同意すれば完了してしまう。
名前や生年月日などを入力する欄もあるが、運転免許証など本人確認書類による確認ステップがないため、でたらめな情報や他人の情報でも登録できてしまう。

引用元:「ドコモ口座」で相次ぐ不正出金、なぜ地銀だけが狙われた? 専門家の見解は

そもそも、他人になりすましてドコモ口座を開設できること自体があり得ないと言わざるを得ません。

ドコモ口座を開設することがこの事件の発端なのでございますから、この件の一番の責任者はdocomoであることは間違いありません。

ドコモ口座はその他の金融機関の口座と同様のものとして、口座開設にはガチガチのハードルを設けるほかありません。

我々で実現可能な自衛策を考えてみた

僭越ながら、ポンコツITエンジニアである私なりに、この「ドコモ口座事件」に関して、自衛策を講じることはできないかなと考えてみました。

今回なのですが、地方銀行に口座を持っている方が被害に遭われたということで、まずは、不要な地方銀行口座を解約するところから着手するべきなのではないかと思いました。

また、リバースブルートフォースによって不正に口座情報を取得される可能性がございますので、銀行口座関係の暗証番号を頻繁に変更するということを推奨致します。

予防策ではなく、事後対応の話ではございますが、こまめに通帳記入するか、銀行アプリで残高を確認するなど、いつ被害に遭っても即座に気づくようにしていただくことも自衛策になるのではないかと。

少額の引き出しだと、気づくことに遅れ、被害に遭っていることすら認識できないということにもなりかねないですからね。

以上です。

――――――――――――――――――――――――――――――――――――――――
最後までお読みいただき、ありがとうございます。
★★★ブログTOP★★★
記事が参考になりましたら、ブログランキングで応援お願いします。

――――――――――――――――――――――――――――――――――――――――

-その他, 情報技術(IT)
-,

Copyright© 反逆する武士 , 2024 All Rights Reserved Powered by AFFINGER5.