ＩＴコンサルのつぶやき

先日からニュースで大きな話題になっているドコモの口座問題！
口座番号と名義人は、銀行振込などを行うと相手側にわかってしまうのは、理解できる。しかし、暗証番号はなぜ？と調べてみた。

①本人が暗証番号を漏らした（どこかに記載しているのを見られた）
②偽サイトへ誘導されて、暗証番号を入力して、盗み取られた。
③個人情報を見られて、誕生日などの暗証番号を特定された。

ここまでは、理解できるが今回の可能性はきわめて低いと思われる。

今回の手口は、「リバースブルートフォース攻撃」ではないかと言われている。

方法は、
キャッシュカードの暗証番号は数回間違えると、ロックがかかってしまい取引ができなくなってしまう、これと同じで銀行サイトも数回でロックがかかる。
なので、犯人はロックがかかるまで暗証番号を入力する手続きを繰り返したのかといえばそうではないらしい。

「リバースブルートフォース攻撃」と言われる方法、ロボットを使って暗証番号の方を固定して、手続きに使う口座番号を変えながらしらみつぶしに探し、認証が通る口座番号を探した可能性が高いと思われる。この場合は１つの口座番号に対して試す暗証番号は１回だけなので、ロックがかかることはない。攻撃をされた口座保有者にばれる可能性も少なくなる。

これを回避するには、銀行側で本人確認などの２段階認証などをするしかない。
全ての金融機関が問題だとは思わないが、今回の被害にあったドコモも銀行側もいろいろな手数料ばかり取って、肝心な部分の対策が抜けているような気がする。