View Comments (39)

• 更新ありがとうございます。

  まだ全貌が明らかになった訳ではありませんが、どうやら地銀が狙われたようですね、七十七銀行。

  「ドコモ口座」と連携する中国銀行、大垣共立銀行、東邦銀行、イオン銀行、ゆうちょ銀行等35行の銀行口座の新規登録を当面停止すると発表。

  この「ドコモ口座」の開設には本人確認も不要だと。犯罪者集団によって暗証番号4ケタだけでカネが盗まれるとは！ま、大金無い私には影響無いですが（失笑）。まさか、外国人？、、かな。

  • 会計士様、読者の皆様へ

    先程のコメントで訂正があります。

    「ゆうちょ銀行は取引停止とはしていません」です。
    ご迷惑をおかけしました。

• 現時点では2段階認証や残高情報を必要とする金融機関では被害確認がないようです。被害確認は、口座番号と暗証番号”等”で済ましている金融機関が目立ちますね。
  https://piyolog.hatenadiary.jp/entry/2020/09/08/054431

  セキュリティーの甘さ自体は問題だけど、それ以上にドコモ口座とかいう、反社会勢力だろうがテロリストだろうが口座まがいのものを作れて、資金調達からマネロンまでできちゃうような状況は到底容認できないですね。電子決済代行者登録を即時取り消してほしいものです。

  • 各銀行の本人確認などをまとめたものが欲しかったけど、上のリンクぐらいしか見つけられませんでした。匿名個人のブログ（？）が、マスコミよりも情報が整っているという状況もなかなかアレですね。

    • 例えばゆうちょだと、ダイレクトバンキングでの送金はログインパスワードでログインした後に、送金時にあらかじめ登録したメールアドレスにワンタイムパスワードを送ります。
      ただ今回のドコモ口座は送金でなくチャージの扱い（いわゆるデビッドカードの扱い）でおそらくダイレクトバンキングの扱いでない形になった所を突かれたと推測しています。

    • > 銀行は「ドコモから情報が漏れたんだろう」ドコモは「銀行から情報が漏れたんだろう」でまともに調べてくれず。

      いやはや、お気の毒な状況ですね。絵に描いたような責任回避。

      今後は、こういったキャッシュレス決済サービスは、ユーザーから口座開設料を徴収し、それによって本人確認の精度を高め、不正登録の心理的敷居を高めると共に、開設料の一部を保険金としてプールし、被害者を救済すると良いのではないでしょうか。

  • 口座を開くとき、銀行と同等のチェックをしていないことの方が驚きですね。

  • これ、口座って名前だから誤解されてますが、実態はプリペイドカードとかネトゲのアカウントとかと同じ代物っぽいんですよね。
    こういうたぐいのものって、このドコモ口座と同じような情報だけで取得できるものがものすごく多い。
    なので、今回はドコモがやらかしましたが、今後似たようなシステムのものが銀行口座からダイレクトにチャージする機能つけた場合、同じことが起こる可能性が高いです。

    そのあたりのことを踏まえるとドコモの責任も重いですが、根本的に口座番号と暗証番号だけでチャージできる仕様のままネットバンキングをやろうとしているとか、チャージは二段階認証不要とか、そういう舐めた考えで金のやり取りをやろうとしてる金融機関の問題が一番大きい案件です。
    そもそも、そこがきっちりしてればあっさり防げる案件なのは間違いない事実ですし。

    • 「実態はプリペイドカードとかネトゲのアカウントとかと同じ代物っぽい」のに、
      ドコモ口座”だけ”こうなってるんだからドコモ口座に致命的な欠陥があると見るべきでは？

      • ネトゲのアカウントとかプリペイドカードって、大半は現在PCで直接銀行口座からチャージできない（クレジットカードやWEBマネーなどの電子マネーでチャージする、スマホを経由するかチャージ機もしくは店頭で直接チャージする）システムです。
        また、大部分がドコモほどのネームバリューがないので銀行側が慎重に判断して、こういう取引を広げてこなかった、という点もあります。

        ドコモがやらかした原因はどっちかっていうと、ネームバリューのせいでお互いその辺を甘く見てセキュリティをちゃんと構築する前に取引を広げたという点にあるので、一定以上ネームバリューがある企業が発行している住所と名前程度で開設できる自社アカウント（これまたものすごく数がある）で銀行口座と直接やり取りを始めれば、まず間違いなく同じ事件が発生します。

        ドコモ側にもなにがしかの問題は絶対あるので、そのセキュリティホールはつぶす必要がありますが、そこをつぶしたところで金融機関がこの意識のままだったら別のところで同じことをやらかします。

        何度も言いますが、過失の比重は金融機関のITリテラシーの低さのほうが間違いなく重く、ドコモだけ潰せば終わりにはなりません。
        むしろドコモの問題にしてしまって、金融機関の甘い意識やセキュリティホールが残ったままになる方がまずい案件です。

        • 結局、PCで完結する上にメアドだけで口座作れるという
          他に類を見ないザルセキュリティが原因ですな。

        • ドコモ口座って名前がややこしいですが、単なる電子マネーサービスの一つなので、楽天のアカウントがあれば作れるEdyなどや、Yahooアカウントで作れるYahooウォレットなどと本質は変わりません。単なる電子決済のプラットフォームです。
          ドコモ契約外の人がドコモ口座を開設する際の本人確認が甘いのは事実ですが、フィンテックという意味では、Bitflyerなどの仮想通貨交換所やマネーフォワードなどの家計管理アプリなどもデジタルバンキングと連携しており、これらもドコモ口座と本質は変わりません。これからもデジタル上で銀行とつながるサービスはたくさん出てくるでしょう。
          そして、そういった各サービスと銀行が連携を拡大していくときに、まずは銀行口座を持っている顧客の保護が第一だろうし、その責務は口座を管理して保護する銀行にあるでしょう。
          今回もドコモ口座の役割は、ぶっちゃけ似たものならドコモ口座でなくてもいいし、今後ドコモ口座の開設時に本人確認がなされてるようになっても、ドコモ口座開設した後に、犯罪者がそれを買い取ればいいだけなので、根本的な解決にはならないと思う。
          4桁の暗証番号だけでオンラインバンキングが出来てしまう地銀のデジタルバンキングが一番の大問題だと思う。被害にあってない大手銀行は、4桁の暗証番号のほかに別の認証を重ねて多重認証にしているが、地銀にはそこまで自前で整備する力がないのだろう。4桁の暗証番号は、物理的なキャッシュカードとセットになることでATMで2重認証になっているのに、キャッシュカードを確認しないオンラインで、4桁の暗証番号だけでの認証というは、21世紀のセキュリティではないだろう。ざるすぎる。
          菅官房長官がどこかの記者会見で地銀の再編について話していたと思うが、こんなセキュリティで運用している地銀は再編でも何でもして、体力をつけないとだめだろう。当面は低金利政策で、銀行にとって厳しい時代が続くので再編は避けられないのでは？

        • 「金を抜き取られる地銀は危険」「地銀口座は解約しろ」という流れになりそうですね。

      • 名無しのPCパーツさんへ
        ＞ドコモ口座”だけ”こうなってるんだから

        本当？　本当にドコモ口座だけですか？

• しょうもないツッコミですが。
  > ただし、１億円の場合は重量が約10kgにも達するそうであり、窃盗団がこれを盗んで山分けをしようとしても、持ち運んで逃げること自体が大変な作業です。
  以前、金額を m (メートル)で表わす方がいました。1m=1億円。
  日銀が出典の写真は、10cm(1千万円)が10個。
  全部一万円札なら2人で山分けすれば、一列に積んでも一人当り50cm。二列にすれば25cm。重量は5kg。
  持ち運んで逃げることは、そんなに難しくなさそうです。

• この事件のマスコミ報道はゴミですね。
  わざわざ「○○銀行（□□市）」とかご丁寧に書いてるけど、銀行の本店所在地情報はどう考えても不要。同じ銀行名で本店の市町村だけ違うなんてないわけですし。
  電子決済詐欺事件なのだから、リアル店舗の住所なんか糞の役にも立たない情報なのに。

  新宿会計士さんの指摘どおりに、暗証番号を固定してそれに対応する口座番号を探ってく方法（リバースブルートフォースアタック）だったら、口座情報も個人情報も一切必要ないというのに、マスコミの殆どが「①何らかの方法で口座情報を不正入手、②...」みたいな解説がつくというお粗末さ。そもそも、これって単一犯罪者（集団）でなく、手口が犯罪者間で共有された結果、同時多発的にアタックされてる可能性もあるうえに、被害実態の把握が困難なんじゃないかと。銀行側からじゃ正規のドコモ口座からの引き落としかどうかわからないし（複数ドコモ口座から限度額下ろされてれば被害口座とみなせるでしょうけど）、ドコモ側はドコモ口座の個人情報を把握できてないし（今後もできない可能性もあり）、預金者側から覚えのない引き落としがあったといいださないとダメという状況の可能性が大ですよ。いずれにせよ、ドコモ口座の本人確認ができていないから被害なのか正規取引か判断しにくいのが全容解明のネックになるでしょうね。

  • ケロお様

    >口座番号を探ってく方法（リバースブルートフォースアタック）だったら、口座情報も個人情報も一切必要ない

    口座番号+4桁の暗証番号が、本人確認の用をなさないなんて、ネットバンキングが始まった頃から分かってた話じゃないのかな？

    クレジットカードなら、引き落とし日までに明細を確認するみたいな自衛手段もあるけど、銀行口座だと引き下ろされたら、それまで
    ですものね♪
    銀行とドコモの間での責任分担の話には時間がかかるだろうけど、せめて、利用者への補償をさっさとやって欲しいと思うのです♪

  • ＞（リバースブルートフォースアタック）
    これに必要なのは大量の口座なので（一つの口座で数千数万のアタックは難しい）
    メアドさえあれば口座をいくらでも作れるドコモ口座が使われたんだろうね。

  • 中国銀行（本店：岡山市）は、中國銀行（Bank of China）と混同する可能性はあります。

    広島県東部出身なので、大手町の中國銀行を見るたびに、本店岡山市の銀行な気分がします。
    ＃中国銀行（本店：岡山市）の東京支店は日本橋らしい。

    なお、元々は中国銀行（本店：岡山市）も、商号が『中國銀行』だったものを
    Bank of Chinaの日本進出の際に、商号とロゴを新字体に改めたようです。

• 自分が住んでいるところの地銀に口座を持っている人は多いと思うので、名前と住所だけでも総当たりで特定できるかもしれませんね。
  七十七銀行の場合、暗証番号は所定の回数間違えるとロックされ解除には窓口での手続きが必要になるようですが、口座番号は時間がたてば自動でロック解除されるようです。

• 開発チーム内では当然わかっていたことだと思いますよ。
  上役(自分のスマホのメール設定も出来ない)が、訳も分からず、必要ないと握り潰したのでしょう。

  • なれば、NTTドコモなる携帯電話通信会社とは、金融犯罪発生を誘引し得る脅威の存在を過小評価して、実害が発生することを許した「情弱企業」ということですね。社会的な信用は失われたのではないでしょうか。

    • 損害はNTTドコモがすべて賠償。ドコモ口座は既存分も含めて廃止。この分野のサービスはNTTドコモは永久に撤退ということになるのではと思います。

      • いや、銀行が勝手に預金者のお金を見知らぬ組織(ドコモ口座)に送金したんですよ。
        　銀行に損害賠償しろとの訴えは裁判所が門前払いしないだろうが、ドコモに損害賠償しろという訴えは門前払いされそうですね。

    • 副社長氏の発言がひどい。巨大企業というブランドに胡坐をかいた軽率な利益拡大策と指弾されても仕方ない状況と思います。彼にキャッシュレス経済を語る資格も才覚もなさそうです。社長をかばって身を投げた忠犬幹部社員として社内ではたいそう評価を高めたくらいのことは（大企業ですから）起きそうです。

• 個人的には過失割合は「銀行３ドコモ７」ぐらいかなぁ。
  ドコモ口座はpaypayやら他の銀行連携サービスと
  同じくらいのセキュリティは会って然るべきなのにそれを怠ったわけだし。

  • いやいや全面的に
    銀行
    の
    責任でしょ！
    ①ドコモ口座を持たない人が、
    ②何もしていないのに
    ③自分の銀行通帳から、知らないうちに他人にお金が引き出された(他人のドコモ口座に送金された)。
    　のだから！

• むしろ、D口座を使っている人の方が安全ってのが悪質です。
  同一口座は複数のアカウントには登録できないそうです。

  これ、被害確認は各自が通帳記帳して確認するしかないんですかね？
  記帳しての確認が、難しい人もいるでしょうし、
  （入院してるとか、遠方にいるとか）
  DOCOMOは被害は補償するといってますけど、
  そういう、被害確認の手間とかも請求できるんでしょうか？

• 給付金とかで役所に銀行口座の番号を登録する人はいっぱいいたはずだ。最近の役所は公務員試験を受けていないアルバイトみたいな公務員がいっぱいいる。役所によってはセキュリティは甘いだろう。銀行口座番号が閲覧し放題なんてとこもあるのでは。役所のコンピュータのエンジニアだったらそれこそ大量に持ち出せるしね。ということで、本人確認をしっかりしないとだめですね。
  役所から口座番号を抜き取った人は守秘義務違反だけど、それから流通していった先はなんの犯罪にもならない。法制度もどうするかだね。

• これってATMで出金とかする時に使うキャッシュカードの四桁の暗証番号がわかれば（インターネットバンキング関係なしに）電子マネーのチャージができてしまう金融機関がある所の問題と、フリーメールアドレスさえ量産できたらいくらでも口座が作れるドコモの問題とそれぞれ考えた方がいいかもしれませんね。