2020年09月10日

ドコモ口座がやらかした話

■ドコモ口座が今やばい


方々で取り上げられていますが、ドコモ口座絡みで不正な引出しが
(名前とは裏腹に)ドコモのサービスを一切使っていなくても、被害にあうケースがあるということで
ちょっとした騒ぎになっています。

…いや、内容的にはちょっとどころじゃない騒ぎのレベルだと思いますが。


事件の経緯やどういう条件で被害が起こり得るのかなどは詳しく解説した記事が沢山ありますので割愛。



一報を受けた際に、なんでそんなガバガバなことが起きたんだろう?と疑問に思ったので整理。


■そもそも何が問題だったのか

大まかな流れとしては以下のような形。

1.何らかの方法で口座番号、名義などの情報を得た第三者が
2.リバースブルートフォース攻撃で暗証番号を通過した口座を対象に
3.ドコモ口座と紐づけ、銀行口座→ドコモ口座に不正出金

1,2についてはドコモが「我々が漏らしたものではない」と早々に発表しましたがそれはその通りだと思います。
1については不正に口座情報が取引されていることはよく報道される通りですし、2についてはそもそも漏れてすらいないので。
(暗証番号もセットで漏れてる人もいるでしょうが、それはそれで今回とは全く別の問題かと)

結局のところ、1・2は完全に防ぐのが難しいので3のところで何らかの方法で防ぐ必要がありますが
3における対策が一部銀行側で不十分だったのではないか?という疑念があります。
ドコモ側で、としていない理由は後述。
(表に出ていない部分で対策をしていた可能性はあり、その場合今後情報が出てくるでしょうが起きている状況からすると疑問符)

なお一部銀行としていますが、例としてみずほ銀行では機密性の高い第2暗証番号を要求するような
対策を取っているため、そのような銀行ではセキュリティが一定以上担保されていると考えられます。


■世の中そんなに馬鹿じゃない

上記の流れを踏まえ、「ドコモも銀行もそんなガバガバだったの!馬鹿だなー!」という意見を少なからず見かけるのですが
個人的には、皆もうちょっと真面目に仕事してるんじゃないかな、という印象というか希望的観測。

みんながみんなガバガバだったとするには、いささか被害が発生している銀行の数が多いのでしっくりこず。
銀行でお金のやり取りをする以上、本人確認をどうするかという議論が発生しないはずがないよね、と。

それを踏まえて2011年当時のドコモ口座の説明を読むと
「ドコモ口座の利用にあたってはi-mode(FOMA)の契約が前提」であることが分かります。
懐かしいですね、i-mode、FOMA。VHSみたいな扱いなんですかね。i-modeもFOMAも平成ですけど。


docomo.png





さておき、この時点でドコモ口座はそれなりに本人確認された、身元の怪しくない状態となる設計でした。
多分に想像ですが「口座情報」+「暗証番号」+「Docomo側の回線確認」でスキームとしては十分と考える
銀行があってもおかしくないかなと思います。
Docomo側の回線確認と関係なく「口座情報」+「暗証番号」だけで十分と思ってた銀号がいたらそっちのほうがやばいと思いますけれども。



しかしその後ドコモ口座の開設条件が改訂され、現在は
Docomo回線の有無に関わらず適当なメールアドレス/氏名/性別/生年月日だけで口座が開設できるようになっています。
docomo.png


こうなると銀行口座とドコモ口座を紐づけるために必要なのは事実上

1.何らかの方法で口座番号、名義などの情報を得た第三者が
2.リバースブルートフォース攻撃で暗証番号を通過した口座を対象に

このプロセスだけになるので攻撃を受けますよね、受けました、というありさま。


■責任の所在

一連の流れを考えた時に、明確かつ一番の問題は
「一部銀行は自分たちの預金者を守るための十分な仕組みを、自分たちの責任範疇で用意していなかった」
ということだと思います。
ドコモ側の回線確認を当てにしていたにせよそうでないにせよ、いずれであってもそれは外部に依存する話なので
外部に依存せず自社の顧客を守る手を打てていなかった銀行は被害にあった、という理解です。
(このあたり地銀にとって二段階認証を設けるのがどれくらい難しいのか肌感がないので気になります。
無茶言うなよ、という世界かもしれませんし。郵貯はさすがにできるでしょ、と思いますけど)

A銀行からB銀行にお金が振り込まれた際、A側の振り込み処理の正当性を主に確認すべきはAであることを考えると
Bであるドコモが「うちはちゃんとやってます」というプレスリリースになったのも理解できる範囲です。

一方でドコモもサービスを提供する側として
・当初のドコモ回線保持という前提条件を、全体のセキュリティの中に組み込んで提案していなかったか
・仮に組み込んでいたのであれば、前提変更に際し銀行側に十分なリスク説明が行われたか
は今後問われるのではないかと思います。


いずれにしても、こういう「当初の設計だとうまく行くけど、途中の仕様変更一つで大きな欠陥が起きる」というケースは
割とよくあるので十分自分も注意したいところ。

きちんと仕様が分かっていた人がいなくなり・・・
なぜそうなっているのかよくわかっていない人が軽い気持ちで変更した結果、大爆発、炎上・・・
よくある(´-ω-`)
posted by ポワロ at 05:36| Comment(0) | 日記 | このブログの読者になる | 更新情報をチェックする
この記事へのコメント
コメントを書く
お名前: [必須入力]

メールアドレス:

ホームページアドレス:

コメント: