ドコモ以外も被害者「ドコモ口座」
- 吉田智司
- 2020年9月14日
- 読了時間: 3分
こんにちは。デジタルライフ・コンシェルジュの吉田智司です。
昨今問題になっている「ドコモ口座不正引き出し」についてまとめました。
「自分はドコモじゃないから大丈夫」
とはならないのでご注意ください。
「ドコモ口座不正引き出し事件」
2020年9月に発生した、NTTドコモがサービスを提供するドコモ口座をめぐる不正引き出し事件。被害者の銀行口座が第三者によって勝手にドコモ口座（d払いなどに利用される）に登録され不正に口座残高の引き出しが行われた。 （2020年ドコモ口座不正引き出し事件 - Wikipedia）
全体の流れはこうです。
犯人は盗んだ大量の銀行口座番号を入手
本人になりすましドコモ口座を開設
ドコモ口座と銀行口座を紐付け
d払いにチャージ（入金）→セブン銀行ATMにて換金
1.口座番号の入手
口座番号は電話番号の様に基本的に公開されている情報です。
（「お支払いは〇〇銀行〇〇支店（普）0000000へ」 の様に）
しかし大量に集める一つの方法に銀行の偽サイトへの誘導があります。
いわゆるフィッシング詐欺メール
銀行に似せて作ったサイトに誘導し生年月日と氏名、暗証番号、口座番号を入力させて情報を盗みます。
2.ドコモ口座の開設
最近のスマホアプリのネット銀行の口座開設はどれも比較的簡単にできます。
しかしドコモ口座の問題点はメールアドレスだけで開設できてしまうこと。
他のネット銀行の場合は携帯電話番号にSMSを送って確認するので大量に口座を作るのはかなり無理があります。
3.銀行口座を紐づけ
犯人のドコモ口座に入金するため、（被害者の）銀行口座を紐づける必要があります。
1.で入手した銀行口座情報を元に登録。
実際には被害にあった銀行と合わなかった銀行があります。
違いは利用登録（紐づけ）する際にワンタイムパスワードや生体認証を導入しているかどうか。暗証番号（数字４桁）だけで利用できてしまう銀行側にも問題があります。
また今回話題になっているのが
「リバースブルートフォース攻撃」
通常、暗証番号のような文字列の短いPINコードは回数制限をかけています。
実際銀行口座の暗証番号は3回間違えるとロックが掛かって銀行に連絡しないと解除できないようになっています。
しかし、リバースブルートフォース攻撃とはPINコード（暗証番号）を固定してアカウント（口座番号）を変えることで回数制限を回避。総当たり的にログインを試みる攻撃のことです。
また最後の砦となる暗証番号。
当然、犯人は効率の良い（使用者が多そうな）ものから試しているはずです。
このツイートの図はよく使われる4桁の暗証番号の分布図を解析したもの（2009年にアメリカSNS「RockYou」から流出したものなので、現状の日本とは違う部分もあります）。
見方は横軸が上2桁、縦軸が下2桁（左下が0000 右上が9999）
色の濃い部分がよく使われている暗証番号です。
左下から右上の対角線は「2525」や「7777」など同じ2桁数字の繰り返しが多い
横軸「20」が縦に濃いのは西暦4桁「1984」や「2008」。「生年」が試されやすい。 また「月日」も危険（左下が濃い）
他にも色の濃い点「1234」「4321」「2345」などシンプルなもの
自衛のため、暗証番号は推測されそうなものは避けましょう。
デジタルライフ・コンシェルジュ 吉田智司
パソコン塾三郷教室（埼玉）
Kommentare