【ドコモ口座】専門家「リバースブルートフォース攻撃された可能性」　被害の銀行、登録に口座番号、名義、4桁暗証番号の3点利用 [雷★]

　NTTドコモが提供する電子決済サービス「ドコモ口座」を利用して、銀行から不正に現金を引き出す被害が相次いでいる。七十七銀行（宮城県仙台市）は9月7日、同行の顧客に被害があったとしてドコモ口座への新規登録を当面停止すると発表。中国銀行（岡山県岡山市）、大垣共立銀行（岐阜県大垣市）、東邦銀行（福島県福島市）も8日、同様の理由で新規登録の停止を発表した。

地銀ばかりで被害　なぜ？
　今回被害が発生しているのはいずれも地方銀行。NTTドコモはITmedia NEWSの取材に対し「被害のあった銀行はいずれも『Web口振受付サービス』を使ってドコモ口座と連携していた」と話す。
　Web口振受付サービスは、地銀ネットワークサービス（東京都中央区）が提供する、収納企業（決済サービス提供社）と地方銀行の連携サービス。ユーザーは収納企業のWebサイトを通じて預金口座振替の新規登録などの手続きを行える。

　ユーザーが自身のドコモ口座へ銀行口座から入金するには、ドコモ口座のWebサイトから銀行口座を登録する必要がある。ドコモは「銀行のWebサイト側での作業ではあるが、いずれの銀行も登録には『口座番号』『名義』『4桁の暗証番号』の3点を利用していた」と明かす。
　ドコモは、これらの情報が何らかの理由で第三者に漏れたことが不正利用の一因ではないかとしている。
　一方、最初に不正利用の被害を発表した七十七銀行は「自社のシステムから顧客の口座番号やキャッシュカードの暗証番号などの情報が漏えいした事実はない」という。
　不正利用の被害にあった人のネットへの書き込みなどから、ネット上では「リバースブルートフォース」や「パスワードスプレー」と呼ばれる攻撃があったのではないかという臆測が上がっている。

「リバースブルートフォース」とは？　原因について専門家の意見は
　Webセキュリティ専門家の徳丸浩さんは「リバースブルートフォースやパスワードスプレーが使われた可能性はある」としながらも、「ドコモ口座側の防御策に問題があった可能性もある」と話す。
　「リバースブルートフォースはパスワード（ここでは4桁の暗証番号）を固定してID（ここでは口座番号）を総当たりする攻撃のことで、パスワードスプレーは数千～数万のIPアドレスを使っていろいろなIPアドレスから少しずつ攻撃し、攻撃を気付かれにくくする手法。これらが使われたかどうかは臆測でしかいえないが、いずれにせよ今回は暗証番号が4桁という部分が狙われたと考えられる。しかし、4桁の暗証番号を決済アプリとの連携に使っていても被害を受けていないケースもある」（徳丸さん）
　「例えばゆうちょ銀行は、『LINE Pay』や『ゆうちょPay』などとの連携に4桁の暗証番号を使っている。しかしこれらで被害が発生していないのは、いずれもアプリがスマホ専用のものだからだと考えられる。『スマホを利用する』ということ自体が一種の認証であり、防御策になっている」
　一方、ドコモ口座はPCからでも利用できる。ログインに2段階認証は必要なものの、口座開設時に携帯回線をひも付けていなければ登録メールアドレスにセキュリティコードが送られてくるため、攻撃者自身がドコモ口座を開いた場合はPCのみで操作が完結する。
　徳丸さんは「こうした防御策の差で、今回は地方銀行とドコモ口座が狙われたのではないか」と分析している。
　銀行が取るべき対策としては「アプリとの連携に4桁の暗証番号を使うのをやめ、ネットバンキングと同等のセキュリティ対策を取れるようにするべきだ」と話した。

続きはソース
https://www.itmedia.co.jp/news/articles/2009/09/news048.html

>「例えばゆうちょ銀行は、『LINE Pay』や『ゆうちょPay』などとの連携に4桁の暗証番号を使っている。しかしこれらで被害が発生していないのは、いずれもアプリがスマホ専用のものだからだと考えられる。

これ意味ないでしょ
残高照会はPCからできるんでこの成功失敗で暗証番号盗めちゃう
それから改めて飛ばしスマホ使ってやればいい
安心できないよね

ドコモの料金支払いサービス
NTTファイナンスの【Webビリング】も
去年2019年7月3日に何の前触れも無く突然

「セキュリティ改修の為、
当分クレジットカード支払いを停止致します」

とアナウンスして突然の支払い停止から
１年以上も経つのに未だに復旧していない
ドコモはNECと富士通の下請け、孫請、
ひ孫請ばかりのバカの集まり

昨日までの新型ドコモウイルスの感染者は、
七十七銀行、中国銀行だけだったが、
今日新たに東邦銀行、大垣共立銀行の
２行が感染したw
そして現在は17行が感染重症者続出！！！

終わったなドコモwww

いま、メルカリがユーザーにdアカウント作れば
ポイント還元やってるからなあ
docomo使ってなくても誰でも作れますよと
書いて宣伝してるからなあ
こんなのやるのメルカリユーザーだろうなあ

これ、docomoのセキュリティ設定が甘すぎた。
損害賠償はdocomoがしないと。

そうじゃないって事は、何か…別の方法で暗証番号を引っこ抜いてるんでないかと
Dアカウントは踏み台にされてるだけで
銀行の暗証番号が抜かれてるのであれば、他のスマホ決済全般で同じ事が起きる可能性がある

口座に＞振り込む事は誰でも出来る
引き落としは誰でも出来ないように暗証番号が掛かってる

だから、>>1のやり方で一瞬だよ、と言ってるの分からない文盲。

という文脈を読み取れないのにマウントするガイジ。

マジで理解してないの？

イオン銀行のキャッシュカードが使える銀行の中から狙われたってことない？だってみんなイオンに関係してね？

認証ってドコモ口座側でやってるんじゃないの？地銀じゃなくて
内部の連携はあるだろうけどそこでは認証とかないんじゃないの？
全銀TCP/IPとかああいうのでデータ送ってるだけなんちゃうのと思うんだけど
物凄いニワカ知識だけど

ドコモのdアカウントはもちろんドコモで認証する。
その上で銀行口座紐付けをしようとしたら、トークン的なものを付与したURで銀行サイトに遷移させる。
そのトークン的なものや付加情報でで、銀行は「ドコモからの振替登録要求だ」と知る。
銀行は独自に口座番号その他で認証を行う。認証に成功したら、今度はおなじくトークンを付与して銀行からドコモのサイトにコールバックさせる。この最後のコールバックは成功しなくてもよいかもしれないが、これで紐付けが完了する。

銀行側で認証させて、その結果だけ受け取るので、認証そのものにはドコモは関与しないしできない。

でも、アクセス数の増加を検知するシステムまで銀行のシステムって入れてるの？
昔その手のシステムちょっとだけ作ったことがあるけど
移動平均から大きく乖離したら出す様にしといて
あとはアクセス数の増加を見て調整するくらいでまともなやつ見たことないんだけど

あと、その話の通りでも、いずれにしても100万件を検知できるのはドコモ側だけだよね？
地銀が仮に30行あったら、一銀行3万3000件確認すれば、ほぼ100万件の総当たりは実行できてしまうと

地銀Aに3万件、地銀Bに3万件、地銀Cに…とかそういうことですか？
3万件きてて認証失敗だらけなら分かるでしょうし、今回の地銀はCNSを経由して振替を受付しているから、そこでも100万件来てると気づくんじゃないですかね。

毎日1000人が一回だけ暗証番号を間違えるってそんな特殊かね？
だから>>1みたいなことになったんじゃないのと思うんだけど
まあ、銀行回りのシステムは全く知らないので勝手な妄想だけど

そんな特殊なことを考えるより「ああ、口座情報が漏れてたんですかね」で終わるでしょ。
ドコモ側にも怪しいアカウントをたくさん作らないといけないし、名義調査もいるんだぞ。

テクももちろんあるだろうけど、ディスプレイに貼ったパスワードの方が現実には問題になるんだよ。

まあ、単に漏れてた可能性が高いってのは分かるけどね
直で銀行にアクセスしたら質問の答えを書け！とか言われてログインできないだろうし

だからまず口座の名義を入手しなければならない。
最近だと入手できるところが増えてきたが、それも検知される可能性がある。
頑張って名義を取得した上で、dアカウントをその名義で作ることになるね。

てことで、>>1は可能性十分あると思うよやっぱり

それを検知しようとやる気がある銀行は、4桁暗証番号だけでオケ、なんてザルにしてない

一体何が何やらって感じだ

基本、銀行ではなく、docomoのシステムが悪い。

逆総当たり攻撃とか言っても通じないだろう

5963 1188 4649 2525 1919

これらもすぐに突破されるw

ペイパルのコピーと思ってたけど違うのかな？

これらから方法を選んで口座にアタックを掛けてたってことやろ
一応技術者として知識あるから何でも聞いてくれや

ドコモ口座はメアドだけで本人確認なしで無限に作れるので犯人は無限にチャレンジできる

1アカウントは月30万円が上限だが、
アカウントは無限に作れるので総被害額も無限になる

スタート
↓
本人認証が不要なドコモ口座を作る
↓
適当な銀行口座に適当な暗証番号を試す
↓
合わなければ、スタートに戻り、次の銀行口座を試す

これで暗証番号は知らなくていい

ヒットした銀行口座に振り込み手続きしようとすれば、名義はわかる ★

銀行口座は自分で作った口座から連番で探ればいい

暗証番号を探すんじゃなく、決めた暗証番号にあう銀行口座を探す

実際に自分の口座で何回もやって
ロックされたって結果がネットに上がってたぞ

ようは漏れたパスワードを適当に当てはめていくってやつや
アカウントに付き1回試行するにも
これが一番カンタンかつ確実に口座にログインできる
つかパスワード同じにするなよ・・・

銀行側もパソコンからの紐付け可能にするならワンタイムパスワード使わせれば防げた。

どっちもザル

うーん、、、だね。
結局今はドコモは何もせず、銀行側が登録を中止してる。

それくらいの大騒ぎになるな

何れにせよ、
ドコモとしては単純接続をするだけに終始してるからと逃れるって姿勢は気に入らない。

日本は、規制緩和の議論ばかりだからな。

・暗証番号固定して口座番号を次々切り替えていく
・試すたびにIPかえるから本人からのアクセスかログからはわからない
・一口座あたり一日一回試行だと、パスワード間違いのロックがかからない可能性あり(短時間で複数回の間違いではない為)
・ドコモ口座が捨てアドで何個でも作れるから、これらを何度も試し放題。銀行との窓口的役割がドコモ口座なので、他のサービスではできない。

問題は
ドコモ側
・捨てアドで登録可能
・本人認証なし
ゆえに口座凍結されても作り直し可能

銀行側
・暗証番号のみで紐付け可能
大手銀行はワンタイムパスワードでガード

こんなとこか。

システム的に変えるべき

長くて複雑なパスワード自体が盗まれたらお終い

暗証番号は暗号化されずにある特定のエリアに書き込んである。

ピッて通せばわかる

複製も楽

バッチャンが昔のキャッシュカードを持ってて作り替えたとき
皆がこんな柄のは珍しいと見てたくらい

そして次の日、おばあちゃんが持ってきた申し込み用紙にははっきりと
「ど・ん・ぐ・り」と書かれていた。前夜のおばあちゃんの苦悩の様子が
頭に浮かんで、笑いたくても笑えなかったそうです。

入り込まれるようなシステムを公然と使ってるのが大企業としてあるまじき姿勢

政治家やマスコミは、規制緩和ばかり議論するからなww

中国が なりふり構わず攻撃はじめた

まず、暗証番号変えた方がいい？

日本は、基本的に性悪説。
治安が良いのに、警備会社は非常に多い。

それはある意味時代の流れと犯罪や詐欺がリンクしているだけ

会社の経費精算システムからクレジットカードの中身見られたり
連携での「利便性」はむちゃくちゃあがった
利便性があがるということは「簡易」になっていってるし「データが知らない所で繋がってる」ということだからな

ある意味時代としては当然の事件ね

だから、パスワードは「間違ってます」と言わなきゃいいんだよ

間違ってると言うから、再度やろうとするんだ

「間違っていても、正解の時と同じように口座ページに飛ばしてやれば自動化はできない」

「口座のページは開かれるが、それはニセのもの」

となると、本当に成功したかどうか、コンピュータには判断できない

なんでこの程度の発想もできないやつがセキュリティの専門家ヅラしてんだか、さっぱりわからない

「わからんやつはネット使うな」の精神が求められる

よし、褒めて遣わすニダ

もしくは何らかのリストが漏れた

これなら番号を変えるのは意味ある

漏れたとすれば、マイナンバーのところから

海外のハッカー交流サイトでは、「マイナンバーはおいしい」って言う話になっていたからな

「セキュリティのセの字も知らんド素人が色気出して仕組みを作る、それはオイシイということ」

ってナメられてた

・ドコモ利用関係なく、銀行口座から不正送金される事案
・ドコモ口座対象銀行一覧
https://docomokouza.jp/detail/bank_list.html
対応してない三菱UFJ、りそなは安全

え、その二つだけ無関係…
え～、三井住友は。。

マズいじゃん。

本人認証で未然に防げるというのは同意

圧縮ファイルのパスワードクラックもそうだろ

「間違ってるよ」って言うから、あんなもんが通じる

間違ってても間違ってると言わなければ、何が正しいのか量子コンピュータでも分からん

「1234567890」っていうデータを暗号化したとするだろ

正しいパスワードを入れれば、そのパスワードでデコードして1234567890が出てくるが

間違ったパスワードもそのまま受け入れてデコードすれば「F3A555BB8」とか、変なデータになるわけだ

それを利用すんだよ

何が正しいのかを知ってるのは暗号化かけた本人だけ、

他人からは何が正しいんだ？ってなるから

名義必要なのか？
これだとフィッシングじゃね
登録には必要だけど使ってないとかない限りｗ

銀行側も見ていないとかもあるし
詳細は時間かかりそうだな
双方に発表できるところとしたくないところがあったりして

北朝鮮
中国
韓国

この3択だと思うけど

変わった楽器だなぁ

実現不可能な方法でしょう。
変な方式を頭をこねくり回してかんがより「口座番号、名義、暗証番号（候補）がバレていた」で説明がつく。

言ってること激しく矛盾してるのに気がつかない？

元の調査では340万件が母数だそうだぞ。

地銀統合　大手携帯料金減　デジタル庁

こんな偶然ある？

うーむ。。

…って事は、暗証番号自体は、既にほかの方法で入手済みで
Dアカウントを踏み台にしてる、って事なんじゃねーかなぁ

多分、「Dアカウント」内で「引き落とし指定口座」と「その口座の暗証番号」を
先に情報入力しておいて
その情報で、一般銀行からお金を引き落としに行くんだろうなぁ、と

多分そゆことだよね？違ったかな？ごめん

https://help.jibunbank.co.jp/faq_detail.html?id=17
携帯電話番号、自宅電話番号の連続する４つの数字
ご本人さまの生年月日の数字の組合わせ
同一数字４桁
前回、前々回に登録した暗証番号

スマホゲームのスタートガチャみたいなもんだ

前提:ドコモidは1人いくつでも作れる。ドコモ口座はドコモidがあれば1つ作れる。

ドコモIDを１つ新規作成しドコモ口座0000を作る
銀行aに対してドコモ口座0000のウォレットを使い暗証番号0000ですべての口座番号に攻撃をしかける
ドコモIDを１つ新規作成しドコモ口座0001を作る
銀行aに対してドコモ口座0001のウォレットを使い暗証番号0001ですべての口座番号に攻撃をしかける
↓
繰り返し
↓
ドコモIDを１つ新規作成しドコモ口座9999を作る
銀行aに対してドコモ口座9999のウォレットを使い暗証番号9999ですべての口座番号に攻撃をしかける

銀行bに対して以下同様
…

ブルートフォース攻撃では、同じIDで一定数以上パスワードを間違えるとロックをかけるという対策を施すことで対応が可能になるが、
リバースブルートフォース攻撃では、一つのユーザーIDにつき一回しか試さないので、その対策では意味をなさない。

お勉強になるな。

今回、小金持ちが特に焦っていそう。端た金しか持てない底辺のワシは動向を見守りやす。

ヒットした口座番号で振り込み確認で名義をゲットする

その名義でドコモ口座を作る

ドコモ口座と地銀口座を紐付ける

ドコモ口座へ送金する(上限があるはず月30万までなど)

ドコモ口座から海外口座へと送金して完了。

あとはドコモ口座にターゲット口座にチャージして海外口座に送金する

犯人は海外にいて全部Ｗｅｂ上で完結して足がつく事もまず無い

専門家から見たらドコモの手落ちか、終わったね

こんなもの、裁判ではまったく通用しないよ。
銀行口座同等物でありえない杜撰さだから。

そして、そういう仕様なのを銀行側は把握してたのかだね。
匿名で作れるって、ちゃんと説明してなかったんだろうね。

道義的には通用しなくても
裁判では通用するんじゃないか。
というか何を言っても悪いのは犯人だから。
その視点が皆抜けてるんだよな。

ドコモを落としたいポジションの人の声は大きいからね。
ソフトバンクとかLINEとかあっち系。

情弱乙

こういうの使ってる地元の人いそう

せっかくワンタイムパスワードを配っていたのに
ドコモ口座に登録するときは不要にしていたマヌケな銀行もあったと。

こういうことだね？

何となく３機で編隊組んで飛んできそうな

誰も反対しなかったのか本当に不思議だよな

社員「ドコモロ座が大人気です！今月のノルマ200%達成です！キャンペーンの効果ですかねー(ﾊﾅﾎｼﾞ)」

例えばkyashはつい最近から資金移動業者になったけど、独自に本人確認する。

仮に100万口座あって暗証番号0909で全口座にアタックしたら
1万分の1だから確率的には100口座は当たるってことだな
365日のカレンダー内の数字は多少利用率が高そうだからもっとヒットするかもと

まあ同じIPから連続アクセスとかなら気付かれるかもしれないけど
その辺りもたぶん攻撃側は対策してて串切り替えたりしてるだろうし

暗証番号を、ランダムにしたら何か変わるんです？

あとね、こんな酷い仕様でシステムを作る様な会社が
アクセス数の異様な増加を検知するシステムなんて導入してると思えないよ
あと毎日少しずつ一定数増加させたりすれば不自然な増加にならないし
攻撃側はそこまで考えてもいると思うよ

更に言えば、特に客から何も言われないなら
サーバーが重くなったり落ちたりしなきゃOKってのがインフラ屋の考え方だよ
システムだって作ってるのは人間なんだぞ
振り返ったら異様なアクセスはログから導き出せるかもしれないけど
それを検知するのって結構難しいよ実際のところ

ドコモは銀行口座登録のみをもって本人確認とした（法令的には正しい）けれど、それは甘かったというのはあるでしょう。
で、ドコモのサーバで認証するわけではないから、100万もリクエストがきたら異常だということはご理解いただけましたか？

そうでないと公式コメントでうちは悪くありませんとか、セキュリティに甘い顧客のせいとか出てこないでしょう

他のサービスも危ないのでは？
スマホの情報とかどうなってるんだろ？

実際、ログイン攻撃なんてよくあるんだよ。いろんなシステムで。
サービスをすべて停止するような事態になるか、あるいは特定の相手を排除するかは場合による。
例えば、同一セッションで大量試行ならセッションごとの試行回数を減らす。あるいは間違えるごとにどんどん長時間待たせる。
別セッションなら、IP制限とかがすぐにできるのではないか。
本質的に問題があるなら、そのセッションを作っている連携先（今回ならドコモ）との連携を遮断する。

セキュリティに人員もコストかけてないからそうなるんだろ？

この件がニュースになってからの
「ドコモの人間ですが今回の騒動の確認のために暗証番号教えてください」的な詐欺事件

みんなが不安だから余計にひっかかる老人が多くなる

俺は9999にしてるからすぐには見つからないわ

なるほど、Web口振受付サービスを使って無いメガバンクや郵貯が無事だったのはそういうカラクリね！

これで３割は行けそう

体力ないとセキュリティおかしくなるって、黒崎に検査させれば1発だろ。

組織がデカすぎてまともに回ってないんだろうなきっと
ドコモショップも営業攻勢が酷過ぎて全然行く気にならないし
もう解約しちゃったけど

この程度なら誰でも気付けそうなものだけど組織がデカ過ぎて責任の所在が曖昧で
社内社外に関わらず色んな所に丸投げして
気付いたらこうなってたんじゃないかと予想してる

もっと増やして競争させなきゃ

マイナンバー給付金の時、窓口六時間待ちだってよ。
200円程度でペイするわけないだろ。

こんなことがあるから紐づけなんてやりませーんｗｗｗｗ
お得以前に危険極まりねーわｗ

知らん番号から定期的にくるよね
光入れろ営業なんでしょ？

多重ロックや生体ロックじゃないと

操作、暗証番号等わからなくなったやつらで、コールセンターや窓口20時間待ちとかなる。

中の人に犯罪者とつながりがある人がいるの？

そのずさんなシステムを狙われて踏み台にされたかと

ﾜﾛﾀw
まあ用心に越したことはないわな
いちいちログインがありましたってメールが届くのはウザいけど安全ではあるw

だからフリアドでｄ垢収得を許可って部分が重要なんやで？

こういうインターフェースなのね

ＩＤか暗証番号が間違ってます

ってでるだろ

それで3回間違えたらロック

要するに対象地銀でFB登録があればやばいってこと。対象者めちゃ多いよ、これ。

正気なん？ドコモ？

まあ、世帯内ならオッケーとしそうだろ。

でCMすれば利用者増えたんじゃね？