ドコモ謝罪会見が(技術的な見地からみて)酷かった件について - Windows 2000 Blog

3rdに引っ越しました。 2010/12/31 以前＆2023/1/1 以降の記事を開くと５秒後にリダイレクトされます。 普段の日記は あっち[http://thyrving.livedoor.biz/] こちらには技術関係のちょっとマニアックな記事やニュースを載せます。 Windows2000ネタ中心に毎日更新。 ドコモ謝罪 本人確認が不十分 - Yahoo!ニュース 【ドコモ口座 不正引き出し問題】NTTドコモ記者会見 生中継 - 2020/09/10(木) 16:30開始 - ニコニコ生放送 記者会見の概要 ・被害総額1800万円、11行が被害。 ・口座番号・氏名・暗証番号の３つと＋銀行によっては生年月日という情報が合致すれば口座を乗っ取れるというもの。 ・今後は本人確認にSMS認証と、eKYC を導入する。 という説明でした 酷かったのが、被害にあわないための防衛手段についての説明

[a1682]

あの副社長、CISOなのに、「悪意ある利用者を排除する視点が抜けてた」とか悪気なく会見で言ってて( ﾟдﾟ)ﾎﾟｶｰﾝだった

[yas-mal]

ドコモの発言もおかしいけど、「振り込みシステムとリバースブルートフォースが使われた」というのも仮説でしかない。生年月日を組み合わせていた銀行でも被害があったので、それだけではなかったと考えるのが妥当。

[addwisteria]

逆総当たり法の可能性を言及すると地銀CNSに直撃する(逆総当たり法でログインできる認証作ってるのは彼らなので)ので、言及しなかった説に一票。フィッシング説も流れてるし。ただこの認証残しちゃうのはまずい。

[kuzumimizuku]

「情報流出はない」のリリースを出した理由を「ネットで流出を疑う声があったから」と言うくらいなので「リバースブルートフォースの可能性は知ってるけど口振の顔を立てて言及しなかった可能性」も考えている。

[ryunosinfx]

これで株価が一桁減るぐらいの衝撃が投資家に走らない時点で本邦お察し感。多分惨状は今日時点の発表よりももっとひどそうなので、もっと火が誰にも分かるぐらいじゃないとダメなのかもしれない。

[Amigomr]

あの副社長は前で謝るだけの人だから。裏に戻ったら部下を怒鳴り、部下が持ってきた報告を適当に加工して説明することしかできない。そんな人に期待するだけ無駄ってもんよ。まあ17日の金融庁報告に期待ですねｗ

[virgospica]

「暗証番号を固定した、口座番号の逆引きブルートフォース攻撃が使われたこと」コレ確定情報なんだっけ？

[tsutsumi154]

理解してないというより理解してないということにしておきたいだろうけどこんな仕様を是とする人たちなので区別はつかない

[pre21]

ドコモが悪いという方向で報道することになったみたいだけど、口座番号から口座名義が逆引きできるのも、暗証番号が数字4桁しかないのも、結果逆引き総当たり攻撃ができるのもドコモのせいじゃないでしょうに。

[accent_32]

この件って、被害者側からすると「勝手にドコモから口座の金盗まれた」事案なのにドコモが側被害者ですよーって態度が最高に気分悪かった。全額補償どころから慰謝料案件だろうに。

[misafusa]

レトロな雰囲気のブログに「DoCoMo」ってこれまたレトロな表記がよく似合っている。ところで、日付がどうなってるのかよくわからんね。なんなんだろ。

[John_Kawanishi]

※ この記事は9月10日に書かれたものです

[bokukanochat]

トップがレベル低いからダメなんだなーとしみじみ思うわ。社員がかわいそう

[aa_R_waiwai]

id:ryunosinfx 航空機が何度も墜落して数百人が犠牲となっても、株価が下がるところか、むしろ上がり続け、運行停止になってようやく株価が僅かに下がったボーイングという会社がアメリカにあるけどね。

[stp7]

リバースブルートフォース攻撃が行われたかどうかはまだ確定していない。

[ayakohiroe]

このニューステレビでもちゃんと解説して注意喚起してほしい。気づいてないひともいるのでは。ドコモ口座持ってないから関係ないと思ってる人まだ多い。

[hetoheto]

SMS認証も実は偽装できると言う記事最近無かったっけ？一番確実なのは本人確認書類と電話確認だと思うんだけど。多少マンパワーかかるけどなぜやらないんだろう。

[fukken]

まぁ「カネのためなら仕方ない、多少被害が出ても賠償して余りある利益が出る試算だったが目論見が甘かった」とは言えんわな。

[hrmk4]

知り合いだけが来る裏口へ、誰でも来れるようにしたのがドコモ、簡単に開けられる鍵のまま変えなかったのが地銀って認識。

[ultimate-ez]

いやー、本当にブコメにあるように株価が1桁減らねーかなー。大量買いするのに笑

[toratorarabiluna273momomtan]

「要するに、口座番号や、暗証番号を公言していなくても、運が悪ければ、DoCoMo携帯を持っていなくても、乗っ取られて上限額の30万円を引き出されてしまう。という点なのだが、それを経営陣が理解してないという事だ」

[well-doing]

“口座番号や、暗証番号を公言していなくても、運が悪ければ、DoCoMo携帯を持っていなくても、乗っ取られて上限額の30万円を引き出されてしまう。という点なのだが、それを経営陣が理解してない”

[neo2184]

"暗証番号を固定した、口座番号の逆引きブルートフォース攻撃"

[k3akinori]

もうさ、経営者が基本的なセキュリティの資格を持っていない会社はWebサービス運営してはいけないって法律作った方がいいんじゃない？

[sin20xx]

因みに同一個人の同一口座が特定アカウントにしか紐づけできないだけで、同一個人の別口座は別アカウントに紐づけできる事から、万が一発覚が遅れれば、一人複数口座の被害で口座数×60万円となる恐ろしい話なんだよ。

[takuver4]

“ブルートフォース攻撃が使われたこと”って確定情報なの？いや可能性が高そうなのは分かるけど、実は他にも脆弱性が存在していて、そちらを突かれた可能性って本当にないの？

[triceratoppo]

こういうのログイン総当たりの入力ログとか残ってないの？あと引き出し金額の入力ログ。残高分かってないから、10万→10万→エラー→9万→エラー、、、みたいなログのアカウント停止出来ないのかな？

[rizenback000]

僕は聞いてて、一人だけ明確に理解しているけど「アホのフリしてるな」と感じた。俺もよくやっった。

[hiroyuki1983]

天下のドコモですらこのざまだからな。そこらのフィンテック系ベンチャーとか実態はボロクソなんだろうな

[hiby]

邪推だけど201905に分かってたんだから1日1回でも試せば生年月日および簡単なパスワードはほぼ網羅できたんじゃないかなあ。雁首揃えて技術もなんもわかってない無能プロパー顔だったのか印象に強く残った。

[at_yasu]

りそなは怒ってたのか。ほー…

[hizakabu]

生年月日の確認が必要だった銀行もやられたみたいだけど、暗証番号が誕生日にしてたらそりゃ簡単にやられるよね。

[higgsino]

こういう犯罪って現金を手にする出口の部分が重要だよね。ATMで簡単に出金出来る口座がこんなにザルでは駄目でしょ

[mashori]

7pay事件から何も学んでいない、全部他人事として放置してましたってのがドコモ経営陣のスタンスだったってことだよねこれ。理解できない人間が上位にいるのは社会にとってマイナスなので経営陣の入れ替えが必須では

[natu3kan]

合わせ技一本だよな。ドコモからしてみれば銀行のセキュリティが固いと思ってたし、銀行からしたら公共料金と同じでドコモが固い企業だと思ってた訳で。

[urtz]

不確定批判あるが、公開情報から合理的に推察すると、ってことでしょ。非公開の経路が無いと仮定した場合の。暗証番号は回数制限あるしブルートフォースできない

[laranjeiras]

そうそう、これ。今回のドコモ口座問題は口座番号や暗証番号が漏れてなくても引き出されるのが一番の問題点。技術者ならやり方は考えつく。

[timetrain]

やはりこの手の上役ってまったく技術への理解が無しに就任してるのか。

[Ayrtonism]

今回の事件、あまり興味なくて追ってなかったのだけど、こんな簡潔な記事で何が起きたのか理解させてくれて感謝しかない。