「高度なハッキング技術」を用いた米国史上最大のカード情報盗難事件、盗まれた情報は1億件以上

papa-pahoo 曰く、

ロイター、AFP通信、読売新聞の記事によると、米国で過去最大のカード情報盗難事件を起こしたハッカー・グループ3人が起訴されたとのこと。

起訴状によると、3人は2006年10月以降、米セブンイレブン社など計5社のコンピューターに侵入し、SQLインジェクションでクレジットカードやデビットカードの情報約1億3千万件を盗み、売ろうとしていたとされる。

主犯格とされるアルバート・ゴンザレス被告（28）は元々、米シークレットサービスの協力者としてクラッカー摘発を手伝っていたが、その後、自らクラッカーとなったようだ。まさに「ミイラ取りがミイラになる」である。

AFP通信によると、「非常に高度なハッキング技術を使っていたため、被害企業が導入していたウイルス対策ソフトにも検知されず、ネット上での侵入経路も追跡できない仕組みになっていた」とのこと。

無線LANから侵入

[Tsukitomo (22680)]

TBSのニュース [tbs.co.jp]によると、
> ゴンザレス被告らは、ワイヤレスネットワークを探知するソフトを使い、コンビニエンスストア「セブン・イレブン」などの
> クレジットカード決済用のネットワークに不正に侵入して、データを盗んでいたということです。
ということで、店舗周辺で無線LANを検知してそこから侵入あるいは盗聴したんでしょうか。

また、
> ゴンザレス被告は、以前もカード情報の不正取得で逮捕されていましたが、その後、当局への情報提供者となっていたということです。
ということですから、良い人（情報提供者）→悪い人（犯罪者）ではなく、
悪い人（犯罪者）→良い人（情報提供者）→悪い人（犯罪者）という経歴のようです。

--
Your 金銭的 potential. Our passion - Micro$oft

Tsukitomo（月友）

Re:無線LANから侵入

[127.0.0.1 (33105)]

> ということですから、良い人（情報提供者）→悪い人（犯罪者）ではなく、
> 悪い人（犯罪者）→良い人（情報提供者）→悪い人（犯罪者）という経歴のようです。

最初にやっていた犯罪行為の罪をある程度免責してもらえるって打算があって
協力していたんでしょうから、単純に「良い人」とは言えないと思う。

Re:無線LANから侵入

[nemui4 (20313)]

近所のコンビニの入り口横に無線LANのルータが壁に貼り付けてあったのを思い出した。
あれなら、こっそり有線ケーブル繋いで立ち読みするふりしながら進入もできそうだと思った。けど、やらない。

Re:

[Anonymous Coward]

型番調査→マニュアルダウンロード→デフォルト設定で接続を試みる
ってのが作法かと（ぉぃ

Re:無線LANから侵入

[nemui4 (20313)]

バッファローだったので、直接有線だとUSER/PASSはみんないっしょのはず。
百円ショップで巻き取り式のLANケーブル1mがあったのであれとLOOX/Uでも持って行けば・・・

Re:無線LANから侵入

[celtis (33470)]

どこのルータだったか忘れましたが、ユーザー名が決め打ちで変更できないのがありますね。
デフォルトの組み合わせから変更しようとして、パスワード記入欄しか出てこなくて驚いた
経験があります。

業務用のものだと初期ユーザーとパスワードでログオンした時に、異なる組み合わせに変更
するよう強制されるものがありますが、ああいうのを一般ユーザー向けにも導入して欲しい。

Re:

[Anonymous Coward]

昔、7-11に置いてあるATMは無線LANで繋がってるよ
って聞いてたけどこれとは違うのかなあ

「決済用」ならPOSレジってことですよね！

ミイラ取り？

[jud (15801)]

ミイラ取りがミイラになるのは用法違わない？

Re:

[Anonymous Coward]

じゃあ、「暗黒面に堕ちた」ってことで。

おっしゃる通り

[Anonymous Coward]

正しくは「ばかもーん、そいつがルパンだー」ですよね。

非常に高度なハッキング技術

[PEEK (27419)]

チョコバーと引き換えにパスワード取得 [srad.jp]

--
らじゃったのだ

曰く

[Anonymous Coward]

攻撃者最後のフロンティア、人間の脆弱性。
それは絶対に塞げないセキュリティホール。

# 開いた口も

ウイルス対策ソフト？

[sunnydaysundey (32697)]

「ウイルス対策ソフトにも検知されず」とあるけど、
SQLインジェクションってウイルス対策ソフトで検知できるものだっけ？？

もしかしてそういうウイルス対策ソフトもあるのかな？

Re:ウイルス対策ソフト？

[ghost-q (18023)]

アプリケーションファイヤウォールならある程度検知できるんでしょうが、ウィルス対策ソフトでSQLインジェクションを検知するのは原理的に無理ですね。

Re:

[Anonymous Coward]

たぶん、侵入検知システム（IDS）のことじゃないかな？
ウィルスソフトにも広義でのIDSが入っている場合があるし。

ウイルスソフト？

[Anonymous Coward]

> ウィルスソフトにも広義でのIDSが入っている場合があるし。

そうなんですか？
IDSもウイルスソフトに含まれるんですね。ショックです。

(1) ユーザからの電話「ウイルスソフトが更新できないんです！」
(2) セキュリティ責任者「PCには必ずウイルスソフト入れてください」
(3) PCショップの客「ウイルスソフト欲しいんですが、どれがおススメ？」

というのを最近たまに耳にしますね。
それに対して心の中で

(1)「それは良かったですね。」
(2)「放っておけば、そのうち勝手に入るんじゃないかな」
(3)「どういう効果を希望？spam送信bot？データ破壊？情報漏えい？
　　それによっておススメは違いますね」

とか答えてます。

Re:

[Anonymous Coward]

×ウイルスソフト
○アンチウイルスソフト

各ベンダーはアンチウイルスソフトは総合セキュリティソフトの簡易版として位置づけていることが多いので、(ライバルとの差別化の為に)簡易的なIDS機能を付属させていることがあります。

Re:

[Anonymous Coward]

たしか感染したら感染経路となったセキュリティホールにパッチを当てるウィルスもあったと思いますが、
バックドアを作ってそれ以外の攻撃を弾こうとするウィルスが居てもおかしくないと思うなぁ・・・

Re:

[Anonymous Coward]

ごめんなさい。
ウィルスソフトではなく、ウィルス対策ソフトです。ついうっかり書いちまった。そしてもう一度書き込むのに30分かかるし・・・。

クレジットカード番号って枯渇しないの？

[narunaru (30931)]

いや、この調子で番号漏洩、番号を変えて再発行と言う事をやっていったら、遠からず番号が枯渇しそうな気がして。

MACアドレスが枯渇しないように

[phenix (31258)]

1京通りありますから、杞憂だと思いますよ。
1桁がチェックサムだとしても、1000兆通り。
将来、カード人口が100億人になったとしても、1人10万枚持てます。
有効期限があるので、いざとなったら使い回せますし、
多少効率の悪い割り当て方しても問題にはならないと思います。

Re:MACアドレスが枯渇しないように

[Raquel (27652)]

クレカ番号は意味コードですからそんなにないですよ。IPアドレスが32ビットだからって約42億人にユニークなアドレスが割り振れるかと思ったら、アメリカの企業や大学がクラスAやクラスBをやまほど持っていて枯渇が危惧されるように。

三井住友VISAなら4980で始まるんでしたっけ。で、プラチナとかゴールドとかの情報もどっかの桁に入っていて、最後はチェックサムになっているらしい。クレジットカードに詳しい人は番号だけで「日本で発行されたAMEXのプラチナだね」とか言い当てられるらしい。

Re:MACアドレスが枯渇しないように

[brightlight (33350)]

携帯のように、三井住友VISAが溢れたら4981を、みたいにできるわけではないんでしょうか。 IPみたいに10000通り全部占有されてたりするのかな

Re:

[Anonymous Coward]

IPv6もそうなんですよね。下位64bitは、少なくともWindows Vista/7ではステートレスアドレス自動構成で自由に使えることを前提としているので、それ以上分割することができません。
よく「一人に一兆個割り当てても…」とか言ったりしますが、一人に一兆個どころか最小でもその一千万倍以上の空間を割り当ててるのに、詐欺みたいなものです。
それにステートレスアドレス自動構成はMacアドレスに大きく依存しているので、Macアドレスが枯渇したらIPv6にも響きます。

Re:

[Anonymous Coward]

そろそろIPv6に移行するんじゃないの？

まさか

[Anonymous Coward]

iPod使ったってオチじゃないでしょうね

Re:まさか

[kiralin7566 (36977)]

黒幕はポール・ベタニーですね。

--
はじける加齢の香り！orz

なんかデジャブ

[Anonymous Coward]

SQLインジェクションでクレジットカードやデビットカードの情報約1億3千万件を盗み

非常に高度なハッキング技術を使っていたため、被害企業が導入していたウイルス対策ソフトにも検知されず、ネット上での侵入経路も追跡できない仕組みになっていた

コレ [srad.jp]の時のコレ(注:pdfです) [soundhouse.co.jp]を思い出させるのは気のせいだろうか?

Re:

[Anonymous Coward]

　使われた手法は、日本では去年の夏から冬にかけて猛威を振るった、Cookieを使ったSQLインジェクションでした、というオチになりそうな…。
まぁ、IDSもIPSもメーカー出荷時の設定ではまったく使い物にならず、如何に良いパターンファイルを作れるかを評価基準にしないと、お金をどぶに捨てるようなものですが。

Re:

[Anonymous Coward]

まだ終わってないよ