JPCERT/CC よりメールアカウント不正使用に関する情報提供のお願い

ある Anonymous Coward 曰く、

JPCERT/CC, Telecom-ISAC Japan によると、手法不明なメールアカウント情報の窃取が複数 ISP で確認されている模様 (JPCERT/CC からのお知らせ、昨年 12 月の Telecom-ISAC Japan のニュースリリースより) 。

両者によると、2011 年 8 月以降、ボットネットと思われる海外ノードから有効な SMTP 認証による ISP のメールサーバを経由した大量の SPAM 送信が急増しており、その際のアカウント情報の入手方法が不明であるため、広く情報提供を呼びかけたもののようだ。これまでもマルウェア、フィッシング、ブルートフォースアタックなどによりアカウント情報を窃取されたり、それによる被害などはあったわけだが、今回の急増に関しては入手経路が特定できていないらしい。そこで、

• 大量のエラーメールを受信するようになった。
• メールをそれほど利用していないのに、「メールサーバの送信通数上限を超過した」とのメッセージを受信した。
• プロバイダから「迷惑メールの送信元になっている」との通知を受けた。

といった項目に身に覚えのある方は速やかな対策と共に JPCERT/CC への情報提供を、とのこと。

LinkedIn の一件ではないが (/.J 記事) 、アカウント情報流出、ID=メールアドレス、パスワード同じ、見たいなのもありえるかなとか思いつつ、皆さんのまわりではこういった話などありましたか？

スマホ+無線LAN

[Anonymous Coward]

自分の使っているISPだと、POP3+SSLが利用可能なことがサポートページの片隅にこっそり書かれているものの、
あまり積極的に広報されているとはいえず、危ういなぁと常々思っています。
また、SMTP認証とPOP3認証のID/パスワードは共有です。
(APOPは以前は分かりにくいウェブサイトの奥底で設定しないと使えなかったのですが、一度メールシステムをリニューアルして以降どうだったかな…)

特に最近はキャリア主導で無線LANへのオフロードが積極的に推進されてもいますし、
オープンなAP(Wi2系であったはず)で傍受したり、SSIDとPSKを一致させた偽APを作ればモリモリ集めることが可能なのでは。

POP3への辞書攻撃で蒐集しているのかも

[reininn (35924)]

最近、私の管理してる POP3サーバーへの辞書攻撃が頻繁に行われています。
もしかすると、世界中のPOP3サーバーへの辞書攻撃で ID パスワードを蒐集して、
それをSMTP 認証に使って 迷惑メールを送信するという、闇のシステムを開発したやつがいるのでは？

Re:

[Anonymous Coward]

そんな昔から普通に行われていることを言われても・・・
＃本文を読んでいない？？？

Re:

[Anonymous Coward]

ヒントっていうか解答: reininn

忘れ物ですよー

[Anonymous Coward]

id:stealthinu氏による
「サブミッションスパム」による5/15～16のメール障害の解説と対策 [hatena.ne.jp]
もお忘れなく。

発信元は同時に複数

[Anonymous Coward]

ISPの中の人です。
実際にIDとパスワードが割れている例が月に数件出てきます。
しかも、同時に複数の地域から同一IDでSMTP認証を通してくることが多いので
SMTP認証を無効化するほかに止める有効な手段がありません。
おそらくbotとかで抜かれたIDとパスワードのデータベースが
裏で出回っているのではないかと思います。

ISPの意識も低い

[Anonymous Coward]

周知するのが面倒、突然つながらなくなったという苦情を処理するのが面倒という理由で古い認証方法を切り捨てられないISPにも問題がると思います。
いまだに平文パスワードでも認証が通るPOPサーバーが多すぎですよ、SMTP認証と同一のパスワードになっていることが多いですし。
一時的にでもDNSが汚染されれば偽のPOPサーバーもどきにパスワードが知られてしまうんじゃないでしょうか。

Re:ISPの意識も低い

[hoihoi-p (5571)]

いまだに平文パスワードでも認証が通るPOPサーバーが多すぎですよ、

確かに。　ISP次第では、SSLの使用は別料金だったりしますし。（gmail ですら SSL OK なのに）

--
hoihoi-p　　得意淡然、失意泰然。

Re:

[Anonymous Coward]

平文以外のパスワード認証は、サーバ側に平文パスワードが無いと認証できません。
一度ユーザがパスワード変更してくれれば平文パスワードの保存可能ですが、おそらく１０年来パスワード変えてないユーザが五万と居るのでしょう。

Re:

[Anonymous Coward]

> １０年来パスワード変えてないユーザ

呼んだ？

＃俺が変えたら残り49,999だ（違

Re:

[Anonymous Coward]

overSSLが有料オプションって@niftyとかですか？
古参のISPなのにボッたくっているなぁと思ってしまいますねぇ。

Re:ISPの意識も低い

[hoihoi-p (5571)]

overSSLが有料オプションって@niftyとかですか？

そう、@nifty。　「セカンドメールＰＲＯ　月額 1260円(税込)」。
何がPROだ・・・。

--
hoihoi-p　　得意淡然、失意泰然。

エラーメール送信先

[Anonymous Coward]

Fromを詐称されるだけでエラーメールはこっちに飛んでくるんじゃないの?

Re:エラーメール送信先

[Anonymous Coward]

若干オフトピですが、それを利用して、メールアドレスの有効性チェックは行われているようです。
(メールアドレスが無効なら、相手にエラーメールが返る仕組みを応用)

以下、実例(スパム送信元晒しとも言う)

Return-Path: <return-(任意の数字)@oritnagua.net>
Delivered-To: ひ・み・つ♪
Received: (qmail 17513 invoked by uid 89); 26 May 2012 23:16:35 +0900
Received: from am-k513.mail-bam.net (202.231.253.141)
    by メール鯖 with SMTP; 26 May 2012 23:16:35 +0900
Received-SPF: pass (メール鯖: SPF record at spf01.mail-b.net designates 202.231.253.141 as permitted sender)
Received: by am-k513.mail-bam.net (Postfix, from userid 1002)
        id 8BE61E9E9C; Sat, 26 May 2012 23:15:14 +0900 (JST)
Received: from rfr001.mail-bam.net (rfr001.mail-bam.net [202.231.254.68])
        by am-k513.mail-bam.net (Postfix) with ESMTP id 4F118E801C
        for <ひ・み・つ♪>; Sat, 26 May 2012 23:13:38 +0900 (JST)
Received: by rfr001.mail-bam.net (Postfix, from userid 1002)
        id 091B6B8E43; Sat, 26 May 2012 23:11:37 +0900 (JST)
Received: from dc28 (unknown [10.140.108.55])
        by rfr001.mail-bam.net (Postfix) with ESMTP id 8A46EB8536
        for <ひ・み・つ♪>; Sat, 26 May 2012 23:09:45 +0900 (JST)
Received: from dc28 (unknown [10.222.36.187])
        by rfr001.mail-bam.net (Postfix) with ESMTP id 8A46EB8536
        for <ひ・み・つ♪>; Sat, 26 May 2012 23:09:45 +0900 (JST)
Received: from dc28 (unknown [103.3.18.200])
        by rfr001.mail-bam.net (Postfix) with ESMTP id 8A46EB8536
        for <ひ・み・つ♪>; Sat, 26 May 2012 23:09:45 +0900 (JST)
Date: Sat, 26 May 2012 23:09:45 +0900 (JST)
From: [e-mail]
To: ひ・み・つ♪
Message-ID: <[e-mail]>
Subject: failure notice
MIME-Version: 1.0
Status: U
Content-Type: text/plain; charset=Shift_JIS
Content-Transfer-Encoding: 7bit

Remote host said: 550 : User unknown

このメールを受信してからは、mail-bam.netを経由したスパムがたくさん…orz

頻繁に送信元が変わるので、対策はReceivedにmail-bam.netかReceived-SPFにmail-b.netがあったらゴミ箱行きにしてます。

プレイステーションネットワーク個人情報流出事件が元じゃないの?

[Anonymous Coward]

あのあと、うちにもえらくSPAMが来るようになったし、クレジットカードに変な請求もあってカード変える羽目になったし。
単に流失した情報を買った輩が居るんじゃないかと。

Re:

[Anonymous Coward]

別にSPAM対策したいわけじゃない。
未知の攻撃方法とか脆弱性の調査をしてんの。