電子決済サービス「ドコモ口座」から預金不正に引き出し

[2701. 匿名]

---今来た人用---

Q.何があったの？
A.特定の銀行口座からドコモ口座を通じて他者が預金を引き出せる事が判明しました。

Q.私はドコモ使ってないしドコモ口座も持ってないから安心だね
A.誰でも被害者になりえます。

Q.口座番号と名義って誰にも教えてないよ？
A.無作為に番号を入力して振り込み直前までいけば誰でも口座番号と名義は手に入ります。

Q.ATMの暗証番号なんて分かんないじゃん？間違えたらすぐロック掛かるだろうし…
A.リバースブルートフォースアタックという方法を使います。
簡単に言えば鍵は変えずに合う鍵穴を探す手法です。

Q.他口座に振り込むにはトークンとか乱数表のカードとかいるでしょ？
A.ドコモ口座と紐付ければ必要なくなります。

Q.ドコモ口座って簡単に作れちゃうの？
A.はい、他人がフリーメールで何万個も好きな名義で作れます。
海外送金もできる便利な口座です。

Q.銀行口座とドコモ口座って紐付けるのが大変なんじゃないの？
A.前述の口座番号、名義、暗証番号で紐付けられます。

Q.じゃあドコモ口座と提携してる銀行に口座持ってる人は危ないんじゃないの？
A.だから大騒ぎしてます。

[2707. 匿名]

>>2701
優しい！ありがとう！

[2712. 匿名]

>>2701
なにこれ
こわすぎる

[2736. 匿名]

>>2701
優しいし易しい！！よく理解できなかったんだけどわかった！！ありがたや

[2766. 匿名]

>>2701
ついでに乗っかって、「リバースブルートフォースアタック」攻撃について書いた。

ーーーーーーーーーーーーーーー
Q.ATMの暗証番号なんて分かんないじゃん？間違えたらすぐロック掛かるだろうし…
A.リバースブルートフォースアタックという方法を使います。
簡単に言えば鍵は変えずに合う鍵穴を探す手法です。
ーーーーーーーーーーーーーーー

リバースブルートフォースアタックは要は「総当たり」攻撃でハマる番号や文字羅列などをツールなどを使い当たりが分かるまで試す方法。
パスワードを固定にしておいてIDの組み合わせをツール（←ツールは要は文字の組み合わせを自動で作り自動入力してくれるアプリみたいなもんです）を使い特定のパスワードを使ってるIDを探し出す。

不正者が不正に作ったドコモ口座のアプリかWEBブラウザの連携画面の入力からリバースブルートフォースアタックを行なったのでは？と予想されてる。

これ読んで「あれ？暗証番号って何回も試せなくね？何回か間違うとロックかかるよね？」と過った方もいると思うけど…
今回のは暗証番号は固定にしておいて〝口座番号〟の方を総当たりしたんじゃないかって言われてます。
つまり、何回か間違うとロックがかかる方を試すんじゃなく、間違えてもロックがかからない口座番号の方を試したのだろうかと。

またIT系の記事にはパスワードスプレーという数千〜数万のIPアドレスを使っていろいろなIPアドレスから少しずつ攻撃する攻撃元を分かりにくくする方法も合わせて使われたんじゃないか？って指摘もあった。

※ 前にサイバー攻撃について解説したら不正したことないとそんな事知らなくない？と犯罪者扱いされた経験あるので記しておきますが…WEB制作の仕事もしてるので防御のために知識として知ってます。
またIT業界では↑に書いた攻撃は目新しい珍しいものじゃないので業界の人は知ってるんじゃないかと思うよ。

[2771. 匿名]

>>2762
連携銀行口座1つに対して2つのドコモ口座IDが紐付けできたという報告がネット上には上がってきてますし、
今回の騒動はドコモ口座を持っていようがいまいが関係ない。

>>2701さんのまとめ読んでみな。分かりやすい思うよ。

自分の使ってる銀行がドコモ口座という電子マネー決済サービスと提携しているか？どうか？です。
ドコモ口座と提携してない銀行はそもそも送金も紐付けもできないので、
安全圏にいるのは「ドコモ口座と提携してない銀行を使ってる人」です。

ドコモ口座と提携してる銀行は以下↓の公式ページから調べてください

ドコモ口座

「ドコモ口座」は、ケータイを使って安心・カンタンにお買い物や送金ができるドコモの電子マネーサービスです。お申込み不要、基本使用料も無料で、誰でもお使いいただけます。

[2781. 匿名]

>>2701
分かりやすいありがとう
バカな私にも理解出来た

[2852. 匿名]

>>2701
>>2701
あ