Shiro Kawai on Twitter: "これはかなりすごいソーシャルハック。 「怪しいカードの利用がありました。マイアミで使いましたか?」 (いいえ) 「わかりました。このトランザクションはブロックします。本人確認のためメンバー番号を」 (メンバー番号自体は特に秘密でな… https://t.co/NHMlzcqkEj"

これはかなりすごいソーシャルハック。 「怪しいカードの利用がありました。マイアミで使いましたか?」 (いいえ) 「わかりました。このトランザクションはブロックします。本人確認のためメンバー番号を」 (メンバー番号自体は特に秘密でな… https://t.co/NHMlzcqkEj

[shields-pikes]

電話のみでの重要な手続きの場合は、必ずこちらから代表やカスタマー窓口などの公開番号に掛け直すという段階を踏むことを習慣にしている。どちらが本人確認の証明をすべき立場なのかを常に明確にしておこう。

[yamaidare]

ソーシャル・ハックは読み物としてとても面白いし、大好きなネタだけど、聞いたことのない手法で自分に仕掛けられたら、途中で気づく自信はないな。

[pure_flat]

あとから冷静に考えれば確認コードを電話口で伝えるのはおかしいんだけど、流れの中で実際に銀行から確認コードが送られているのが実によく効いている。

[yoiIT]

巧妙。パスワードを聞くフローはあり得ないという事をちゃんと普段から意識してる人でないと詐欺だと気づきにくい。

[Falky]

2FAのOTPは絶対に他人に教えない、という原則さえ徹底できていれば…とはいえ相手を安全なシステム・人間だと思い込んでしまっていればやむなしというのはあるなあ。

[OkadaHiroshi]

向こうからかかってきた電話は一切信用しないという単純なルールを社会全体で共用すべき。

[ene0kcal]

誰かと思ったらshiro氏だった。みなさんご存知のGaucheの作者です。

[Palantir]

電話かけ直しでだいたい解決するので、カードの裏の番号にかけ直すと多分いいんではないかと思う。 PKIってやつだ！(違います)

[vlxst1224]

実際は声色とか話術の力で違和感のない流れになってただろうし、これは初見で見破れる自信ないわ。騙されない自信＝知ってるトラップには引っかからない自信、だから未知のトラップには生兵法のせいで逆効果なのよね

[ssids]

「かかってきた電話、向こうから送って来たメッセージ・メールはすべて信用しない」が基本。カードの裏に書いてある電話番号だけ信じろ

[kusukusunoki]

元ツイートと少し違うが今後応用がききそう。詐欺師が標的の口座にアクセスしながら電話でやりとり、「暗証番号を変更しました」と伝えるタイミングでパスワードリセット。「今送った暗証番号を読み上げて」のように

[LawNeet]

2要素認証のSMSに「この番号を他人に伝えないでください」の注意書きがされていることがあって、当たり前だろう何だこの過剰注意書き社会（）と思っていたが、やはり必要な一文であった。

[kou-qana]

ある程度わかってる人の方が危ないのかな？私は電話が来た段階で怖くなって「すみませんよくわからないので」って切っちゃいそう（本物の銀行からでも切っちゃってカード不正使用されまくるかも）

[fu_kak]

きちんと対処できる自信がない

[UhoNiceGuy]

理解できない。やっぱクレカをインターネットで使うのは無理だわ

[quick_past]

認知レベルが下がってるときだと引っかかりそうだなあ・・・

[FeZn]

（ブクマコメント欄が参考になった。人間の思考的な意味で）

[tattyu]

いわゆる一般的なソーシャルハックだと思う。これがLINE上でのやり取りだったら最初にコード入れさせる時点でやばいってすぐわかるよね？。

[megumin1]

2FAをトリガーできるのは「本人とサイト側の管理者だけ」という誤った思い込みがこのハックの肝であり、引っかかる人多そうですね。実際は「1段階目の認証を突破した人（犯人含む）」なら誰でも2FAをトリガーできます

[panoramaafro]

こういう被害があると、面倒で忘れがちなリスクベース認証もやはり必要なんだなと。

[HanaGe]

一旦切って、落ち着いてカード会社（カードに記載されてる番号。相手が言った番号でなく）にかけ直す、という冷静さがあればいいけど実際はテンパると思う。

[lastline]

何回か不正利用されたけど、カード番号とかお客様番号を確認された覚えないなぁ。名前と住所と生年月日かな。基本的に、仕様の確認を経て、止めます、新しいの送りますってフロー

[hokuryuno]

最近は本物の銀行からのメールさえも一度は疑っている。詐欺に遭わないためには必要だとしても面倒だよね。

[tetsuya_m]

ソーシャルハックはいきなりやって来るから、いつも正しい対応が取れるとは限らない。くわばらくわばら

[u-li]

“パスワードリセットの保護に導入された2FAをこの会話で破ってログインできた(3)だが送金には別に暗証番号(PIN)が必要で、その詐取には失敗”

[brusky]

自分で解決できなさそうな問題に対して手を差し伸べてくれる（ように見える）人を信じがち問題

[t-murachi]

なにそれこわい(´・ω・`) 向こうからかかってくる電話の話者は基本信用しちゃだめだ罠(´・ω・`)

[north_god]

うはー、これはやりとりの最中から思考停止してしまいそう…

[fukken]

なるほど、上手い。二要素認証で送られるSMSって文面が極端にシンプルな事が多いので、何をトリガーに送られたかなんて文面からわからないしな。

[ardarim]

これは怖い。でも、パスワード親兄弟だろうとシステム管理者だろうと絶対に誰にも教えるなって単純明快な一事だけを朴訥に守れば最後までは引っかからずに済む

[underd]

あとでよむ

[mionosuke]

親じゃなくてもひっかかりそう。意味が分かんないカタカナ多いし。知らない番号には出ずに、気になる電話だけ折り返すようにしてる。

[sadn]

暗証番号を尋ねられるまで、気付かないかもしれんなぁ

[Windfola]

「電話口で暗証番号ありえない」ところが我が国の一般人がよく利用するサービスにね、”ネットワーク”暗証番号とやらを電話口で答えさせる奴が普通にあってね。それに慣れちゃうとね……。

[lifefucker]

電話番号とクレカの組み合わせは漏れてたの？

[Gaju]

なかなか凄いschemeですね

[go_kuma]

こっわ

[whirl]

とはいえ前提として何かしらかがすでに漏れているからなあというか

[sds-page]

フットインザドア案件

[satomi_hanten]

二段階認証のコード教えたら二段階認証じゃなくなる