パスワードを忘れた? アカウント作成
14300300 story
お金

ドコモ口座を悪用した不正引き落とし問題、ゆうちょやイオン銀行など大手銀でも被害 197

ストーリー by nagazou
10日午前段階の話です 部門より
ドコモ口座を悪用した不正引き落とし問題が大ごとになっている。当初は七十七銀行のみの問題とみられたが、全国の地方銀行でも同様の引き落としが発生していることが判明した。このため現在は35行すべてで連携が停止している。ドコモは再発防止策として本人確認を厳格化するとしている。(朝日新聞共同通信t)。

当初ドコモ側は一部銀行の銀行口座登録などを行うことで対処していたが、最終的にはすべての提携金融機関でのサービス申込受付が停止されたなど対応が二転三転した。ただ10日の午前段階では、すでに口座連携済みのドコモ口座に関してはまだチャージが可能とされ、口座の持ち主が気がついておらず、発覚していない場合は引き落としが可能。このため被害拡大が収まったとはとても言えない状況だ。

今回の件の大きな問題は、ドコモのキャリア契約をしていなくてもドコモ口座のアカウントは作りたい放題だったこと、ドコモ口座を利用していないどころか携帯やスマホを持っていなくても、ドコモ口座の提携銀行に口座を持っていれば誰でも被害に遭う可能性がある点にある。このほか、去年の5月にもりそな銀行から同様の不正引き出しが起きていたとも報じられている(NHK毎日新聞)。

当初の被害は地方銀行口座がほとんどだったが、今はゆうちょ銀行とイオン銀行などでも被害が報告されている(朝日新聞)。9日時点のITmediaによるドコモへの取材によると、被害にあった地方銀行に関してはいずれも『Web口振受付サービス』を使ってドコモ口座と連携していたそうだ。

このシステムの場合、ドコモ口座側から預金口座振替の新規登録が可能となっていた。つまりネットバンキング口座のないユーザーでも被害に遭う可能性がある。また、いずれも登録には口座番号と名義、4桁の暗証番号の3点を利用していたとも話しているとのこと。

これらの話や被害者などの発言などから、ネット上では4桁の暗証番号だけを固定して口座番号を総当たりするリバースブルートフォースとIPアドレスを変えて攻撃を気付かれにくくするパスワードスプレーが使われたのではないかという推測が出回っている模様。

また今回の被害について、ドコモに被害を通知しても無関係だと言われ、当初はドコモ側に信じてもらえない事例も複数発生していたようだ(NHK)。

ドコモは10日、被害者に全額補償する方向で銀行と協議を開始した模様(共同通信)。
  • すまん (スコア:5, すばらしい洞察)

    by tissues (42963) on 2020年09月10日 13時04分 (#3886233)

    前はドコモは悪くないんじゃね?とかいってたけど続報見てたらドコモもだめだったわ

    https://www.jiji.com/jc/article?k=2020091000315&g=eco [jiji.com]
    去年の5月時点で同様の被害が発生していたらしくりそなはそれで撤退していたようなので・・・。
    これなのにも関わらず対策取らずに拡大しようとしたドコモはダメ

    ただまぁ、やっぱ地銀とかその辺の銀行「が」だめだったのは変わらない
    ソニー銀行は手続きについてサイト内にかかれているので
    https://moneykit.net/visitor/payment/ [moneykit.net]
    見ると
    > 口座番号
    > 生年月日
    > キャッシュカードの暗証番号
    と、
    > ソニー銀行にご登録のメールアドレスでメールが確認できる環境
    > キャッシュカード(カード裏面の製造番号の入力が必要です)
    があるので、登録のメールアドレスがハックされていてもカードが取られてなければセーフ。
    カードが取られてもメールアドレスが取られてなければセーフで多要素認証として機能している。

    基本的に暗証番号はカード+暗証番号による2要素認証だったわけで
    口座番号と暗証番号では1要素認証になってしまっているのがダメなんだけど
    これを銀行側の担当者もドコモ側の人間も考えなかったのであれば決済サービスやる資格はない

    ここに返信
    • Re:すまん (スコア:5, すばらしい洞察)

      by Anonymous Coward on 2020年09月10日 13時22分 (#3886255)

      アカウント連携の廃止には住所氏名と通帳に届出印まで必要で銀行窓口に書面の提出が必要なのに、
      アカウント連携をするときはアプリの画面上で完結するってのは逆だろうと思う。

      自分の口座から他のサービスに金引っ張り出されるのには本人の確認せず、
      引き出されるの止めようとすると窓口開いてる平日でないと申請すらできないのはおかしい。
      口座の金に触れ始める連携時こそ、窓口開いてる平日に通帳やキャッシュカードと書面の提出を義務づけさせろと。

    • by Anonymous Coward on 2020年09月10日 13時30分 (#3886270)

      当初はドコモ口座のアカウントの作成はドコモユーザであることが必須だったのでそこで本人確認がされていた。
      それが後から捨てメアドでもドコモ口座アカウントを作り放題になったっていう経緯らしいです。
      とするとドコモ口座アカウント作り放題にする時点で銀行側にその旨伝えて銀行側での本人確認強化を依頼する、ということをしていなかったとしたら銀行は悪くないまで可能性があるのでは?

      • by Anonymous Coward on 2020年09月10日 13時48分 (#3886298)

        なんかセブンペイ事件を思い出すな。あれも、最初のアプリの認証としては別におかしな仕組みではなかったけど、そこにそのまま決済アプリを乗せようとしたバカが居てクラックされてしまったわけで。
        今回も最初に決めた人達はドコモユーザー登録で本人確認してるから大丈夫だろぐらいのつもりが、ドコモ口座の仕様を知らない人が、アカウント運用変えちゃったからみたいな話にみえる。

        昨今は何でも機能を持った多機能サービスが推されてるけど、全体仕様が把握できなく成るリスクとかを考えると危ないと思う。

      • Re:すまん (スコア:2, 興味深い)

        by Anonymous Coward on 2020年09月10日 14時20分 (#3886330)

        ドコモ口座のアカウントが作りたい放題だったことは特に問題ではない。
        いや、マネーロンダリングの観点からは問題なのだけれど、今回の不正引き落とし問題の本質ではない。
        仮に本人確認が必要だったとして、受け子を募集したり、SMS認証代行を使ったり、偽造書類を提出するなど、過去の事件でポピュラーだった手口で犯行用アカウントが作られるだけのこと。
        ひとつのアカウントで連携する口座をとっかえひっかえは難しいそうだから、大規模な犯行は抑止できたかもしれないが、そしたらこうして表沙汰になることもなく、被害者は泣き寝入りのままで、小規模な犯行が続いていただろうな。
        結局問題は口座連携時の認証が手薄だったということに尽きる。

    • by miishika (12648) on 2020年09月11日 18時15分 (#3887356) 日記
      ドコモ関連で36人いらっしゃる情報処理安全確保支援士の皆様が所属企業を中々隠さないと思っていたけど、
      登録事項の変更は書面で行うから何週間かかかることをすっかり忘れていた。
    • by Anonymous Coward

      > 生年月日

      SNS 見ていると、普通に公開していたり、この前も「m + 月日で検索した結果がアナタの武器です」みたいので意識せずに公表していたり
      割とカジュアルに使われているので、これが認証に入っていると少し心配になります
      とはいえ、口座から割れる名義よりはマシだし、書かれている通りメインはキャッシュカード自体なので、このケースでは安心ですが

    • ではあるけど、踏み台もガバだったから被害が拡大した感じだな。

    • by Anonymous Coward

      これは受け付ける銀行側が頭おかしい気がする。

      • by Anonymous Coward on 2020年09月10日 13時29分 (#3886269)

        銀行がダメなのはドコモを信用したことに尽きる

    • by Anonymous Coward

      銀行くらいはセキュリティにかなり厳しく審査入れてるだろうと思っていたのに全然そんなことなかったんだなって
      こんなん自衛しようもないじゃん

  • 高木浩光氏もツイートしてる [twitter.com]けど
    このツイートが的を射っているようですね。

    https://twitter.com/amichi0611/status/1303556061106847746 [twitter.com]

    地銀ネットワークサービス(株)の「Web口振受付サービス」を個人に使わせたdocomoが悪いわぁ
    地銀ネットワークサービス(株)もよく使わせたな

    本来はプロしか入れない場所に一般人が入れる裏口をdocomoが作っちゃったみたいな?

    --
    --------------------
    /* SHADOWFIRE */
    ここに返信
  • 残高が減ってることに気づいて銀行に問い合わせたり
    通帳を記帳したりして「ドコモコウザ」に気づいた被害者だけをカウントしてないか?

    すべての不審な「ドコモコウザ」の出金を確かめたのだろうか?

    ここに返信
  • 口座振替の申請が口座番号+4桁暗証でできる何か共通のシステムを借りている地銀を狙って、大量に作った架空名義のドコモ口座から総当たりで連携をかけたっぽいですね。口座番号は機関のID+支店ID+申請順連番だったりするので、下手すると探索空間は下4桁+暗証4桁程度だったりするかも。

    地銀側の落ち度は「ドコモ口座への振替」をちょっとした定期購読の申し込み程度に考えていて、電子マネーへの随時チャージの窓口とは理解していなかったことなんでしょうけど、NTTドコモというビッグネームがバリューを最大限に活かして安心感を演出していて、かつシステムの運用も詳しい大手他社に任せている、という状況でそれを落ち度と呼ぶのは酷な気もします。

    ここに返信
  • セブンペイ騒動 → セブンアプリ使ってなければ大丈夫
    ペイペイ騒動 → ペイペイ使ってなければ大丈夫
    今回 → 特定の銀行の口座持ってるだけでやられてる可能性あり

    ドコモ口座と提携してる銀行というだけでアウトとなると、対象範囲が広すぎる。

    実家の親がゆうちょ銀行使ってるから電話したけど
    「ドコモなんて使ってないから関係ないやろ?」って感じだし、
    対象の銀行名全て挙げて周知する必要があるだろうなあ。

    --
    --------------------
    /* SHADOWFIRE */
    ここに返信
  • by Anonymous Coward on 2020年09月10日 13時12分 (#3886241)

    ドコモに限らず今すぐ全停止して欲しい。
    口座番号は隠す情報じゃない(振り込み先として開示する情報)ので、秘密の情報は1万通りもない「暗証番号」だけ。
    パスワードスプレーで簡単に攻略出来ることくらい設計時点で本当に誰も気付かなかったとは思えないのだけど。

    4桁の暗証番号で安全なのは大量偽造は困難な物理カードでATM前で操作するって条件下だからだよ。
    オンラインでは前提条件がまったく違うので「本人確認」とかで頑張ったところで安全にしようがない。

    ここに返信
    • by Anonymous Coward

      銀行にクレカ並の不正使用検知能力があれば別だが
      まあほとんどの銀行はダメだろな

      • by Anonymous Coward on 2020年09月10日 13時32分 (#3886275)

        てか、ネットバンキングサービス使うときは専用のログインパス認証してるし、
        取引時にはさらに専用パスやら乱数表やらハードウェアトークンやらワンタイムパスワードやら要求されるのよな。
        つまり銀行はそれぐらいやらないと不正利用の対策はできないって分かってるのよ。

        こういう外部の決済サービスとの連携の場合、実際に決済するのは別のサービス上で、
        銀行自身が責任負わされることはないと思ってるからこんなザルみたいな対応を許してしまう。
        この件はドコモはもちろんとして、銀行のこともボロクソに叩かないと同じ事何度も繰り返すぞ。

    • by Anonymous Coward

      銀行で言うところの口座番号だけ知ってれば誰でも使えてしまうクレジットカードよりは安全だからねw

      #銀行もクレカも昭和時代を引きずりすぎてどうしようもなくなってる

      • by Anonymous Coward on 2020年09月10日 13時32分 (#3886274)

        クレカの場合、そのへんは運用でカバーしてるんじゃないの?
        普段と異なる利用が無いか、被害に遭ったときの保険とか、実際にお金が動くタイミングとか、

        • by Anonymous Coward on 2020年09月10日 20時48分 (#3886673)

          銀行系大手クレカは、海外で家族カードがスキミング(おそらく)にあって不正オンライン利用されたときは、数時間以内に主カード契約者の自分に連絡があったな。その取引は決裁せず、カードも一時停止。しかし使えないと利用者が海外で死ぬので、当該国での対面利用だけは有効にしてもらった。キャッシングは別なプリペイドでバックアップできたので無事帰ってこられたがカードは交換になった(当然)。利用者の便宜を考慮した細かい対応もできるのでそういう点ではしっかりしていると思う。

    • by Anonymous Coward

      本人確認が「甘い」のではなくて「してない」よねこれ
      確認してるのは情報を知ってるかどうかでしかない

    • by Anonymous Coward

      口座の番号も名義も簡単に引けるほぼ公開情報ですからね。
      ドコモIDのセキュリティを厳しくするのではなく、口座連携を厳しくしてもらわないと。

    • by Anonymous Coward

      インターネットバンクほとんどアウトじゃね?

      • by Anonymous Coward on 2020年09月10日 13時33分 (#3886276)

        それなりにちゃんとしたネットバンクなら、
        ・ワンタイムパスワード
        ・スマホの生体認証
        ・ネットバンク用カード記載の番号入力
        あたりでセキュリティ担保していますよ
        あと申し込み結果なんかも全部メールや SMS で飛んでくるので、不正利用にも気づけますし

        # 今回のはむしろネットバンク未開設でもネット口座振替申請出来てしまって、記帳まで気づけないのが問題拡大の一因かな

  • by tsukachan (26170) on 2020年09月10日 13時17分 (#3886247)

    このニュース"ドコモロ"座に見えてしまってから"ドコモロ"座にしか見えない。

    ここに返信
    • by Anonymous Coward

      実は前のスレでこっそりドコモロって書いたんだけど誰も気がつきませんでした。

  • もともとは携帯がないとドコモ口座開けなかったのを、後で本人確認無しで誰でも口座開けるように変えたらしい。
    銀行への攻撃手段を提供しちゃってるというのと、なかなか止めようとしなかった(既存口座はまだ止めてない)という点でドコモの責任もまぁまぁあると思う。

    ここに返信
  • 対象の銀行は、

     ・大垣共立銀行
     ・紀陽銀行
     ・滋賀銀行
     ・七十七銀行
     ・第三銀行
     ・東邦銀行
     ・鳥取銀行

    https://docomokouza.jp/maintenance/info_20200910.html [docomokouza.jp]

    この件を受けて、銀行によっては即時振替の新規申し込み自体を停止させる申請を受けるところがあるという話もある。
    正直、自分の知らないところで即時振替の申し込みが勝手にされて、それが何の確認もなく通るってのは迷惑でしかないので、停止できるならしてしまいたい。

    ここに返信
  • by Anonymous Coward on 2020年09月10日 13時20分 (#3886251)

    ゆうちょとイオンは恥ずかしいね。
    地銀のノリで銀行やってんじゃねぇよ…。

    ここに返信
  • by Anonymous Coward on 2020年09月10日 13時30分 (#3886271)

    10万円の定額給付金の事務支援とかしていれば、口座情報をもらい放題だったわけですね

    ここに返信
typodupeerror

「科学者は100%安全だと保証できないものは動かしてはならない」、科学者「えっ」、プログラマ「えっ」

読み込み中...