「ドコモ口座」で相次ぐ不正出金、なぜ地銀だけが狙われた？ 専門家の見解は

NTTドコモが提供する電子決済サービス「ドコモ口座」を利用して、銀行から不正に現金を引き出す被害が相次いでいる。顧客に被害があったのはいずれも地方銀行。今回の不正出金はなぜ起きたのか、専門家に見解を聞いた。 NTTドコモが提供する電子決済サービス「ドコモ口座」を利用して、銀行から不正に現金を引き出す被害が相次いでいる。七十七銀行（宮城県仙台市）は9月7日、同行の顧客に被害があったとしてドコモ口座への新規登録を当面停止すると発表。中国銀行（岡山県岡山市）、大垣共立銀行（岐阜県大垣市）、東邦銀行（福島県福島市）も8日、同様の理由で新規登録の停止を発表した。 地銀ばかりで被害 なぜ？ 今回被害が発生しているのはいずれも地方銀行。NTTドコモはITmedia NEWSの取材に対し「被害のあった銀行はいずれも『Web口振受付サービス』を使ってドコモ口座と連携していた」と話す。 Web口振受付サービス

[ockeghem]

ITMediaの取材を受けた記事が公開されました。『ドコモは「他人になりすましてドコモ口座を開設することが可能な状況だった」として、ドコモ口座にも不備があったことを認めた』

[orangehalf]

銀行「ドコモが本人認証しているはずだから4桁の暗証番号でヨシ」、ドコモ「銀行が口座連携時に確認しているはずだから口座登録されていたら本人とみなしてヨシ」の現場猫な状況になってた感じかな

[tuun]

"ドコモは「他人になりすましてドコモ口座を開設することが可能な状況だった」として、ドコモ口座にも不備があったことを認めた" 先日全ツッパな発表されてましたよね.. https://www.nttdocomo.co.jp/info/notice/page/200908_02_m.html

[dazed]

物理カード無しのオンラインで“『口座番号』『名義』『4桁の暗証番号』の3点を利用”だけで口座連携できちゃうのはまずいよな。

[momizikeiko]

（今回の場合、危険でない暗証番号なんてないです）

[raimon49]

送金・決済サービスなのに「ドコモ口座」という名前がそもそもどうなのって印象もある。

[deep_one]

「いずれの銀行も登録には『口座番号』『名義』『4桁の暗証番号』」このうち前二つは半公開情報。4桁の数字でしか守られてない。／ドコモ口座の扱いを公共料金引き落としと同じレベルにしてしまっているのでは。

[sugimo2]

“口座開設時に携帯回線をひも付けていなければ登録メールアドレスにセキュリティコードが送られてくるため、攻撃者自身がドコモ口座を開いた場合はPCのみで操作が完結する”

[wapa]

本人確認書類なしでアカウント作れるサービスと、4桁暗証番号で登録できるサービス、脆弱性が組み合わされることで穴が大きくなる、と。これ、ドコモ口座以外の他社も緊急見直し必要になってきそう。

[triggerhappysundaymorning]

"本人確認が必要としているが、本人確認の方法は「銀行口座の登録」である"←ここが特にポンコツみあるな.

[cc000777]

77銀行が原因だと思ってた。すいません。

[netafull]

“ドコモは「他人になりすましてドコモ口座を開設することが可能な状況だった」として、ドコモ口座にも不備があったことを認めた。 ”

[quick_past]

ひょっとして口座番号と契約者名の名簿を売り払ってる私企業があるってことか？(;´Д`)

[kyuma-morita]

👀

[ttanimichi]

“リバースブルートフォースはパスワード（ここでは4桁の暗証番号）を固定してID（ここでは口座番号）を総当たりする攻撃のことで、パスワードスプレーは数千～数万のIPアドレスを使っていろいろなIPアドレスから少し

[Galaxy42]

不正使用が不正だとわかるように設計していただいて、不正が発生したら全額保証の運用になっちゃうよなー。知らんけど。

[Midas]

(承前)よって「地銀だけが狙われた」のではなく(あれだけ「新自由主義だ！」と『すでに』評判悪かった)菅義偉「地銀はもうシステムとして存続不能だから思いきって整理」、「やっぱりな…」という感じだし

[tamtam3]

こういうのを見ると休眠口座ほったらかしはヤバいと思った

[ryunosinfx]

ようちょも落ちたから、口座と名義人は銀行振込機能から漏れる https://twitter.com/HiromitsuTakagi/status/1303479462906920960 完全に4桁数字へパスワードスプレーじゃないですかね。

[adsty]

被害のあった銀行はいずれも「Web口振受付サービス」を使ってドコモ口座と連携していた。

[spark7]

提携外の銀行使ってた俺に死角はなかった。 しかしこの騒ぎでもサービス止めてないのは度胸あるな...

[clclcl]

ゆうちょもアウトなのですがそれは https://www.asahi.com/articles/ASN993TF9N99ULFA006.html

[John_Kawanishi]

｢例えばゆうちょ銀行は『LINE Pay』や『ゆうちょPay』等との連携に4桁の暗証番号を使っている｡然しこれらで被害が発生していないのは何れもアプリがスマホ専用のものだからだと考えられる

[memoryalpha]

被害に遭ってるけど気づいてない人に連絡は行くんだろうか。そこが心配。

[i196]

携帯キャリアと地銀って管さんが狙い撃ちしようとしてる業界で、なんかタイミング良すぎて笑えてくる

[Shalie]

"〔ドコモ口座間の送金や銀行口座への出金には〕本人確認が必要としているが、本人確認の方法は「銀行口座の登録」であるため、今回のように第三者が銀行口座を登録できてしまった場合の防壁としては機能しない"

[luege_traum]

こういう時の「情報流出じゃないから俺らの問題じゃねぇ」的な謎の雰囲気出すのは何なんだろう。簡単に総当たりで突破できちゃうシステム作る方がよっぽど悪質だと思うんだけど。

[clairvy]

セキュリテイって授業料高いなあ

[ya_yohei]

何百万回と試行されてそう

[pandafire]

とりあえずドコモ口座の新規連携全部止めればいいのに、一部しか止めてないのなんでえ？提携銀行民だけど連携止まってないし、銀行の問い合わせは終わってるし、サイトには何もかいてないし不安でしかたない

[Hamukoro]

これは先に前に自分でアカウントを作って口座と紐付けてしまうのはありかな？それともまさか複数のIDと紐付けられるとかあったりするのかな。

[longroof]

"ドコモは「他人になりすましてドコモ口座を開設することが可能な状況だった」として、ドコモ口座にも不備があったことを認めた"せやな(´；ω；｀)…

[chambersan]

これ、地銀使ってる田舎の親の口座とかヤバすぎる奴じゃねーか

[bloominfeeling]

わかりやすい記事だった

[knosa]

なんでもよいけどとりあえずドコモの資金移動業者は取り下げようか

[sigxx]

人の金動かす仕事のくせに、しくじり中も未だキャンペーン出してるのはどうかと思うわ。 さっさと全部取引止めて被害状況調べるのがスジやろ

[yamadar]

ドコモが認めた。

[kenchan3]

昔のdアカウントはドコモ携帯の契約者だけだったからね。当時はドコモ携帯契約する時にいらないdアカウント半強制で作らされ。MNPした後はdアカウントログインにドコモ回線からしか変更できない項目があって困ったな

[songe]

ゆうちょもやられた

[ebibibi]

これは仕様が…。攻撃者はきちんと調査してますねぇ。。。