前回ブログで引用した部分
ドコモ口座は、銀行口座を登録してチャージ（入金）することで送金や買い物がスマートフォンなどで行えるサービス。銀行の口座番号や暗証番号などの情報を不正に盗み出した第三者が、ドコモ口座を開設して預金を引き出したとみられる。
これって、複数行で漏洩事件なんか起こってたら、大事なので有り得ないと書いたが、これはドコモの見解で、要は、「口座紐付けがなされた場合、それが正当なのかは判断できないので、損害賠償しません」と約款に書いてあるので、「そうであって欲しい」というだけの話だな 🙂
最初の被害者には、「あんたが口座番号と暗証番号漏らしたんだろ？」みたいな対応で、全然取り合って貰えなかったと言ってたな。
実際は、銀行の認証がグダグダで、第三者に簡単に突破されるお粗末なシステムだったのと、ドコモ口座で銀行口座連携した時にそれが本人のものかどうかの確認無しで、資金移動を可能にした事で、「口座番号と暗証番号がどこからか漏洩した」などと主張するには無理がある。
で、銀行の認証としては、パスワード3回間違えたらロックするってのはやられているようで、今回行われたのは、リバースブルートフォースアタックと言われるものだそうだ。
これは、パスワードを固定して、口座番号を片っ端から変えて認証突破しようとする攻撃らしい。これだと、各口座番号につき、1回しか問い合わせをしないので、パスワード破りを検出されてロックされる事が無い。
例えば、「暗証番号マンドクセーから 1234 だ。」なんて口座が沢山あると想定して、暗証番号1234で、色々な口座番号を試したら、何個か破れるのはあるだろう。
たった4桁の暗証番号のみで、認証してしまおうというセキュリティの意識に乏しいシステムにしてしまったのが敗因ですな。