｢狙われた地銀｣ドコモ口座の不正送金、犯人“抜き取り”の手口…情報漏洩はどこから？

1: ペンシクロビル(長野県) [DK] 2020/09/09(水) 07:06:11.57 ID:NiJ+vY/10● BE:323057825-PLT(13000)

sssp://img.5ch.net/ico/asopasomaso.gif

（略）

ドコモ口座は、銀行口座などと連携して残高をチャージし、発行したVisaプリペイドカードやコード決済サービス｢d払い｣の支払いに使ったり、ユーザー同士で送金したりできる決済サービスだ。ドコモの携帯契約があるユーザー以外でも、誰でもdアカウントを作成してドコモ口座を開設できる。

このドコモ口座にオンラインチャージできる銀行は複数あるが、今回その中で一部の地方銀行が狙われた模様だ。

ちょうど、次のような構図になっていたと思われる。

ドコモ口座を使った不正出金の仕組み。チャージしてしまえば｢d払い｣として加盟店で利用できるため、現金化しやすいものを購入するなどして｢出金｣することができる。

犯人はdアカウントとドコモ口座を作成した上で、不正に取得した銀行口座の情報を使って振替設定を行い、ドコモ口座に送金（チャージ）した。ドコモ口座の銀行チャージは1回最大10万円、1カ月最大30万円のため、1口座あたり、最大30万円の被害が発生した可能性がある。

これまで、ドコモは不正アクセスに対する｢2段階認証｣や｢アカウントロック｣｢ドコモ口座の監視｣などのセキュリティ対策を講じていた（ドコモ発表）。しかし、今回は｢銀行側の認証｣を通った口座からのチャージだったため、不正を検知できなかった。

地銀が狙われた、連携の｢弱点｣

ドコモ口座と地銀の連携には、地銀ネットワークサービスが提供する｢Web口振受付サービス｣が利用されている。しかし、認証方式に関してはそれぞれの銀行が個別に判断しているのが実情だ。

今回、被害にあった地銀は、いずれも口座番号、キャッシュカードの暗証番号といった一部の口座情報だけで確認を実施していたとみられる。

銀行によっては、口座に登録した電話番号へのSMSや、メールによる認証を加えるなどの方法でセキュリティを強化しているが、狙われた銀行はそうした設定をしていなかった。

例えばソニー銀行をドコモ口座に登録しようとすると、キャッシュカードの暗証番号入力に加え、カード製造番号の2ケタを記入するメールが登録メールアドレスに送られる。セキュリティレベルとしては高めだ。

本来、キャッシュカードのパスワードが4ケタの番号で成り立つのは、物理的なキャッシュカードを持っていて、さらにATMなどで確認できるからだ。いわゆる、｢カード｣と｢暗証番号｣の2要素認証が成立する。

しかし、今回はオンラインでキャッシュカードの所持が確認できない状態のため、多要素認証になっていない。そうした｢セキュリティの穴｣を突かれた形だ。

dアカウントやドコモ口座は誰でも作成できるサービスであり、本人確認もメールアドレス程度と比較的ゆるい。

他の決済サービスでは、口座名義や住所、生年月日、使用目的などの本人確認がある。ドコモ口座の場合は口座振替ということで、そうした確認がないことが犯人に狙われた理由なのかもしれない。

ただ、口座連携に関しては、銀行側のサイトで登録し、｢本人確認は銀行が実施する｣形なので、ドコモ側では銀行口座と紐づける際の、各行のセキュリティの水準までは関知していなかった。

今回の事件を受け、ドコモは各銀行に対して周知を図っており、銀行側からの要望があれば口座振替の登録などを停止する。

どこから口座情報が｢漏洩｣したのか？

不正利用の発端になった｢情報漏洩｣がどこから起こったのか、だ。
現状では、どういった経路で情報が漏洩したのか判明しておらず、原因は不明だ。各地銀とも｢自社システムから情報が漏洩したという事実は確認されてない｣としている。一方、ドコモ広報も｢ドコモからの情報漏洩もない｣と強調する。

そもそもドコモでは、携帯料金の支払いで口座振替を使うなど、｢銀行口座を登録した人以外の口座情報｣は保有していない。また、ドコモ口座の仕組みは、口座登録時に各銀行のサイトで認証するため、口座情報はドコモに知らされない。ドコモでは、銀行の被害口座が把握できないため、どのドコモ口座へのチャージが｢不正送金｣か分からず、銀行側からの情報提供を待っている状態だ。そのため、ドコモ口座に不正送金された残高がどうなったか現時点で分からないという。

いずれにしても、何らかの手段で、どこかから漏洩した口座番号、キャッシュカードの暗証番号といった一部の情報が悪用され、不正出金が行われた。なお、被害者はドコモユーザーである必要はなく、dアカウントやドコモ口座を所有していなくても、｢犯人が勝手にドコモ口座を作成して口座連携できてしまう｣ため、潜在的には多くの人が被害者になる可能性はまだ残っている。

銀行側では、ドコモ口座以外を含めて口座連携の設定を見直し、必要であれば早急なサービス停止や改善をすべきだろう。利用者側の自衛は難しいが、不審な取り引きがないか、定期的に口座の動きをチェックする方が良さそうだ。

｢狙われた地銀｣ドコモ口座の不正送金、犯人“抜き取り”の手口…情報漏洩はどこから？

全文：
https://www.businessinsider.jp/post-219874

＊関連

ゆうちょ銀もドコモ口座の登録停止　連携銀の過半停止に

エラー

news.livedoor.com

　NTTドコモの電子決済サービス「ドコモ口座」を使った預金の不正引き出しが相次いでいる問題で、ゆうちょ銀行は9日、同行の口座とドコモ口座との新たな連携を中断したと発表した。

　同行は「身に覚えのない取引があった場合は、連絡を」と呼びかけている。

（略）

＊当サイト内関連

【地銀】ドコモ口座への不正アクセスはなし　フィッシング詐欺で暗証番号や口座番号が漏洩、または金融機関からの漏洩の可能性

　NTTドコモは、一部銀行で発生しているドコモ口座の不正利用について、同社のシステムへの不正アクセスではないと発表した。 　原因は、不正に取得された銀行口座番号やキャッシュカードの暗証番号などが悪用されたものという。被害に関する調査や対策については、銀行と連携して対応していくとしている。

incident-wo.com

2020.09.09

【銀行預金】複数の地銀とイオン銀行で不正な預金引き出しが発生　預金者に無断で開設された #ドコモ口座 と紐付けし出金か★１３

ＮＴＴドコモの電子決済サービス「ドコモ口座」を通じて銀行の預金が不正に引き出された問題でＮＴＴドコモは、被害が拡大しているとして、9日からさらに鳥取市の鳥取銀行など14行の口座について新たな登録を停止しました。 ドコモ口座は銀行口座を登録して入金すれ

incident-wo.com

2020.09.09

『SASUKE』が近代五種の新種目「オブスタクル」と協力 →2028年ロス五輪で正式導入へ

【動画】ソウルで高架道路が崩落して3人死亡、3人重軽傷。

【速報】パキスタン「我々も日本反対を表明する」、日本vs中露に参戦！！

某国系の投機対象にされていたウイスキー界隈、某国のバブルが完全に弾けてしまった結果……

「大仏の頭上で…」SNSで炎上した衝撃映像。

【物議】在日外国人｢生活満足｣9割

日本「辺野古転覆事件」女子生徒遺族「実名報道は控えてほしい(切実」マスコミ「実名報道くり返す！」平和丸船長「共産党関係者です」マスコミ「実名報道拒否」→

【海外の反応】 村上宗隆＆西田陸浮が2夜連続の19号弾＆レーザー捕殺「こんな2人の才能をどうやって獲得した？」

【戦慄】コロンビアの28歳プロボクサー、試合翌日にバラバラ遺体で発見…川に流される　前日には判定負け他

「大仏の頭上で…」SNSで炎上した衝撃映像。

【物議】在日外国人｢生活満足｣9割

【悲報】中国のIKEAがとんでもない事に…

【は？】日本で暮らす高齢外国人｢生活困窮｣

ネットの声

朝日新聞「文科省の違法認定は腑に落ちない。平和教育に踏み込むのは行きすぎ」

【ニュース】韓国、アメリカにスワップ更新拒否され完全に詰む・・・

【戦慄】コロンビアの28歳プロボクサー、試合翌日にバラバラ遺体で発見…川に流される　前日には判定負け他

阿部監督の逮捕の件、「この子は間違いなく唯一の被害者だ」と監督一家の家族構成が話題になっている模様

海外「こんな国が今でも存在するのか…」 自由を満喫する日本の子どもたちの姿に家族系YouTuberが衝撃

「大仏の頭上で…」SNSで炎上した衝撃映像。

【物議】在日外国人｢生活満足｣9割

|●|【長野県】少年らが鉄パイプで警察署襲撃、署員2人が拳銃構えて逮捕「2人が従わずにガラスを割りながら迫ってきたため、拳銃を構え警告した」

【動画】ソウルで高架道路が崩落して3人死亡、3人重軽傷。

引用元: https://hayabusa9.5ch.net/test/read.cgi/news/1599602771/