徳丸 浩氏に聞いた「ドコモ口座」問題 今起きていること、今できること

2020年9月7日から全国の地方銀行を中心に「ドコモ口座」からの不正な預金引き出し被害の報告が相次いでいる。ドコモユーザーでなくとも被害にあう可能性があり、被害規模も現時点では不明だ。セキュリティ専門家の徳丸 浩氏（EGセキュアソリューションズ 代表取締役）に、今起きていること、今できることを聞いた。 これは「金融テロ」か？ ドコモ口座で何が起きているのか ――まず、今問題になっている「ドコモ口座」事件、現時点で何が起きているのでしょうか 徳丸氏： 狙われたのは「ドコモ口座と連携できる地銀の口座を持つ、ドコモ口座を利用していないユーザー」です。現時点ではほとんどの銀行が連携を停止しているため、利用者ができることはあまり多くありません。口座の残高を確認して自分が被害に遭っていないかを確認する程度になるでしょう。 ――第一報では「地方銀行が狙われた」ことが注目を集めました。ゆうちょ銀行やメガバ

[ockeghem]

昨日インタビューを受けた内容が公開されました。今後の情報公開への期待や、ユーザーは過度に心配するとかえって詐欺にあう危険性などについてお話しました

[Panthera_uncia]

ITmediaメンバーのパスワードが最大12文字なんですが…

[domimimisoso]

今最も注意すべき被害者可能性ありの人は、ネットと縁遠い、通帳記入たまにしかやらない、担保定期預金を保有してる地方銀行の口座保有者。つまりイナカの老人。

[tattyu]

ドコモがガバガバのセキュリティホールを作りました。終わり。Twitterで、暗証番号のみで連携できる銀行だけじゃなくて提携銀行全部やべぇって言うデマツイートが広がってるのやばいな。

[hiroomi]

"ただ、オンラインバンキングシステムを利用していないユーザーにもWeb取引を可能にしている銀行がある"

[hatest]

SMSとかで「ドコモロ座です。あなたの口座が不正利用されているかもしれませんのでこのリンクからパスワードを変更してください」っていうフィッシングメール来るんだろな。

[uunfo]

「ドコモ口座を利用していないユーザー」を強調するのはどうかと思う。ドコモ口座を持っていても地銀口座を連携してなかったら被害者になりうる。／これを会員限定記事にするセンスも謎

[RySa]

暗証番号を入手した何らかの方法がまだ不明なのがモヤモヤポイント。

[abiruy]

"現時点ではほとんどの銀行が連携を停止している"って書いてあるけど他のソースでは新規開設停止しか見つけられないのでどこでそういう発表があったか知りたい…

[mkusunok]

おおむね同感だが口振の不正登録は他でも問題が起きていて、対策が進んでいた脆弱性に対して対処が進んでいなかった問題と捉えた方がいいよね

[pmakino]

「近年には「パスワードリスト攻撃を受けました、詳細はわかりません」で済ませてしまう例もありましたが」<どこのオニギリの話だろう

[ookitasaburou]

“――今最も注意すべきなのは、どんな人でしょうか？　該当する人は何を警戒するべきですか？”

[deep_one]

今まで聞いてきたことからすると、「現金を引き出せるようにした」時点でいろんなセキュリティー要件が変わってしまったことに気づかなかったという奴ではないのか。

[diveintounlimit]

提携銀行全部やべぇは現状においてさほど間違ってない対応だと思うがな。自分はすべての口座から引き落としが無いかを確認した。数十万円ロストする可能性を考えた時にその手間を惜しむ理由が無い。

[soyokazeZZ]

世界規模で気づかれないようにちょいちょい抜かれてる可能性もあるのよね

[daybeforeyesterday]

うーむ

[yutaro1985]

Pickしました

[indication]

ドコモロ座流星群（言いたかっただけ）

[zkq]

インシデントを隠すことが企業価値に繋がるような文化は避けていきたい

[tsutsumi154]

VISAのタッチ決済のクレジット機能なしで銀行と紐ついてないカード作ったときのほうがよほど本人確認してた 無記名Suicaと同じじゃんと思ってたけど補償のためには必要なのかな

[takehikom]

『口座番号と暗証番号、プラスアルファ（通帳に記帳した最終残高やメールアドレスの入力）などで認証を強化する施策は各行に独自性があり、それらの中で脆弱な情報が狙われた可能性はあります。』

[momizikeiko]

総なめ型も釣り上げ型も混在した集団の可能性もあるし、情報のはっきりしない段階でユーザが右往左往してもどうしようもない