ドコモ口座を悪用した不正送金についてまとめてみた - piyolog

NTTドコモのドコモ口座を悪用し、不正に盗み出した口座番号、キャッシュカード暗証番号等の情報を使用した口座の不正利用が発生したと報じられました。ここでは関連する情報をまとめます。 勝手に作成したドコモ口座に送金 不正送金の手口 犯人が何らかの方法で口座番号、名義、キャッシュカード暗証番号等を入手。 銀行預金者の名義でドコモ口座を開設。 入手した銀行の口座番号、キャッシュカードの暗証番号を使って「Web口振受付サービス」を利用 サービスを通じて口座預金をドコモ口座にチャージ。 Web口振受付サービスは銀行提携先のWebサイトを通じて口座振替の申し込み手続きができるサービス。 ドコモ口座不正利用の発表相次ぐ 当初被害報告が上がった銀行は七十七銀行だが、その後も複数の地銀で不正利用に関する案内が相次ぎ公開された。 ドコモ口座登録等の受付停止を行った銀行 35行、全ての銀行 不正利用(疑い含む)発

[toubanjanny]

「まぁpiyologあたりがまとめてくれるだろう」と思ってたらすぐ出てきた。ほんと助かる。

[do-do]

七十七だけでなく広島の中国銀行でも発生してる。地方銀行の脆弱なところ狙われてるのかな。ドコモの口座確認ザルすぎないかこれ

[Galaxy42]

ドコモロは本人確認しないと銀行口座からの入金可能な「口座」にならないはずなんだけど、この「本人確認」が機能してない？

[Sakana_Sakana]

そうか、誕生日が暗証番号の場合１万ではなく３６６通りに激減するな、そりゃぁヒットするよな

[koinobori]

中国銀行は岡山だ。確かに広島市の中心部に大きな支店は持っているし、広島県下に60店舗もあるけど…　中国と付いたらなんでも広島県だと思ってくれるな、岡山も大きな都市なんだ

[maninthemiddle]

口座番号は半公開情報だし、暗証番号多くても1万パタンしかないので数てば当たりそう

[Gelsy]

ギリシャの英雄ドコモロは、ゼウスの怒りを買って星座に変えられてしまった。

[fusionstar]

https://docomokouza.jp/campaign/careerfree.html#howtouse 口座登録できたイコール本人確認完了と読めるので、不正でもなんでも口座登録しちゃえばお金を引き出せるということかな?

[lastline]

大量の口座番号を用いて、暗証番号は誕生日か確率の高い番号でアタックしたんじゃないかなぁと予測してる（暗証番号数字4桁なのが狙われてたと思われる

[typex2]

“銀行の口座番号、キャッシュカードの暗証番号を使って「Web口振受付サービス」を利用” → 突破の難易度が低そう。クレカのように3Dセキュアのようなパスワード認証、二段階認証が必須を痛感する。続報待ち。

[richard_raw]

地元の銀行が二段階認証を採用してたので取り敢えず安心した。

[lbtmplz]

さよならキャッシュレスへの夢、人類は衰退した

[samu_i]

地方都市の感覚がわからなくなる東京にいった人たち。

[umakoya]

ドコモ口座の事案について問題点がよくわからない。ドコモ口座は電子マネーサービスで、そこに銀行から入金する仕組み。簡単に連携できる銀行側の問題では？だとするとpaypayとか他サービスで起きないのは、なぜ？

[futeneeman]

概要が分かるのはありがたい

[dgwingtong]

あ

[cinefuk]

犯人からは残高照会が出来ないから、引き落とせる額を小刻みに試していくわけか https://twitter.com/tokkuri_tktk/status/1302547126635753472

[alpinix]

ドコモロに空目したのが自分だけじゃないことに安心してる。

[takeshi]

簡単に入手できる or 総当り可能な数字の組み合わせ（しかも桁数固定）だとこういうことが起こる理屈は理解できるんだけど、今回のはリスクのある対象者が多すぎる。7payがマシに見えるとかどういうことやねん。

[taro-r]

口座番号と暗証番号が漏れた時点でアウトだろと思うが，通常だと，カードや第二暗証番号とか他にもいるのが，今回は無しでいけちゃうのか。

[naoto_moroboshi]

ドコモ口座っていうか銀行口座じゃないから別にそこの認証はしょうがない（っていっていいのかわからんけど）ウェブマネーレベルじゃね

[t-wada]

NTTドコモのドコモ口座を悪用し、不正に盗み出した口座番号、キャッシュカード暗証番号等の情報を使用した口座の不正利用が発生した件、 piyokango さんによる安定のまとめ

[spiral]

ドコモのKYCがいいかげんなせいじゃね？

[kazumi_wakatsu]

これ暗証番号を誕生日に設定してる人ヤバそうだけど、さっき誕生日に一文字足して検索すると云々みたいなハッシュタグがTwitterでトレンドに入ってたのもしかして…？

[moruritawa]

ドコモ口座の開設仕様も、地銀とのIF間認証レベルの低さも、両方設計段階で懸念事項になりそうなもんだけどな・・・進言する人いなかったんだろうか

[dekasasaki]

"ドコモ口座の開設はメールアドレスで確認が行われるのみ" ここが一番ダメだわこれ。

[cethyan]

他人事でない。どこで情報が漏れたのか。暗証番号は、複雑にするのが良いと思ったけど、４桁でもたまに忘れるから忘れる人続出しそうな気もするし。

[shinjukukumin]

これは本人確認なしにWeb口振受付サービスを開放したドコモが悪いのでは。地銀もなぜそれを許可したのだろう。

[adwhing]

これってまだ被害にあってないユーザーはどう対処すればいいの？銀行変えればいい？

[shin2rou1971]

こんな脆弱性が高い仕組みを構築したドコモの責任は重い。社内的に誰に責任を取らせるかの暗闘中なんだろうけど(もしくは責任ある奴が勝利して開き直ろうとしている？)、早く抜本対応してくれ。

[ookitasaburou]

“銀行預金者の名義でドコモ口座を開設。 入手した銀行の口座番号、キャッシュカードの暗証番号を使って「Web口振受付サービス」を利用 サービスを通じて口座預金をドコモ口座にチャージ。”

[hi-zakky]

ドコモロ 座？って一瞬思ったｗ

[MoneyReport]

_φ(･_･

[wiz7]

本人確認せずにメアドで口座作れるわけないじゃん。こんなの口座じゃない、ロザってサービスなんだ

[kenchan3]

全ての地方銀行はSBIに買われる運命は避けられない

[ryunosinfx]

4桁JAL穴はまだまだ現役だった！？愉快な銀行Web認証列伝今ここに！（これで同一IPからブルートフォースを検知出来てませんでしただと熱い。ドコモがproxyに成ってたんじゃ？説も有るけど多分どっからかお漏らしが濃厚）

[adsty]

複数の銀行が絡む大きなセキュリティ事件に発展した。

[maketexlsr]

そういえば某銀行の某Webシステム利用開始時に、既設定のWebパスワード等じゃなくて４桁暗証番号を問われたことがあった。「えー、これおかしくない？ヤバくない？」と思ったが…やっぱりなぁ

[mogu_mogu3]

すごくわかりやすい。ありがとうございます。

[fa11enprince]

毎度ここはすごい