「JR東日本の“えきねっと”で勝手に新幹線の切符が買われた」被害が頻発？ 約3万円引き落とされた記者がJR東に対応を取材した

東日本旅客鉄道（JR東日本）が提供する「えきねっと」で、切符が勝手に予約され、クレジットカードから数万円が引き落とされしまった、という不正アクセスの被害報告がTwitter上で波紋を広げています。えきねっとは、JR東日本による新幹線・JR特急の空席案内や申し込みができるインターネットサイトです（※）。 ※JR東日本グループの「JR東日本ネットステーション」が運営しています 実は、筆者も10月初旬ごろにえきねっとで同様の被害に遭い、クレジットカードの停止・再発行などを余儀なくされました。この記事では投稿者と筆者の被害について振り返った後、JR東日本への問い合わせで得た回答を記載します。 画像はえきねっとより 投稿者のケース：クレジットカードから数万円が引き落とされしまった えきねっと上での不正アクセスによる被害を受けた投稿者は、12月2日にTwitter上で被害を報告。同様の被害が多発してい

[TakamoriTarou]

フィッシング詐欺だからら本質的にはJR東も被害者だが、ここまで公共性が高く、犯罪者が現金化しやすいシステムで対策ショボく、多要素認証すらないとかどうかと思う。せめてSMS/電話認証ぐらいやってほしい。

[punychan]

えきねっとフィッシングはこの2月ごろから週1以上のペースで来てる。それにひっかかったか使い回しでリスト攻撃されたか簡単なやつだったか。

[kuippa]

おっかねぇな。ログインしてみたけど確認するのにメアドにワンタイムパスワードとか必要でかなりしっかりしているようにも見える。ああ、Googleトップがフィッシング詐欺サイトだったあの件か。

[verda]

フィッシングでID PASSが盗られて ユーザ情報に記録されてるクレカ情報から購入されてしまったということかな？Amazonとかも特に購入毎にセキュリティコード求められないし同じような仕組みになってるってことかな

[kenchan3]

あまり使わないメアドを確認したら、えきネットとAmazonプライムフィッシングが毎週きてるな。物によっては微妙に騙されそうになるのがムカつく。

[tsutsumi154]

飛行機とかは予約だけど鉄道のきっぷは当日でなくても決済まで行ってしまうからな

[hiby]

＞「えきねっとにクレジットカードの登録はしないほうがいい」　フィッシング詐欺に勝手に引っかかって責任をサイト側に押し付けてる感じか。スマホ利用の時もクソデカSSL証明書を表示するUIにするのが先では。

[dazed]

えきねっと、わりと利用するので気になる話。物理チケット受け取り時にクレカのセキュリティコードが入力必須でないので「おや？」と思ったけど、これを必須にすれば防げそうな。

[deep_one]

利便性を上げて危険性も上がったのにシステムが甘いままの感じ。

[aceraceae]

フィッシング詐欺に引っかかった系なんだろうか。それならそれでもう少し深堀りしてもらわないと消化不良な感じの記事だし。

[SATTON]

記者自身もフィッシングに引っかかったことを書きたくなくて、こんな書き方なのかな？

[catan_coton]

記事の書き方が悪いな…根本的な原因はフィッシング詐欺だってことを一番最初にわかりやすく書けよ

[karkwind]

まじかよ

[zkq]

今のフィッシングは巧妙になってきているし、JRも被害者づらしてないで多要素認証なり導入しろよ。

[zorio]

えきねっとはパズル認証とかじゃなくて2FAを導入してくれないかな。

[nakakzs]

えきねっとのフィッシングスパムメール、Amazon期限切れとクレカの不正利用フィッシングの次くらいに多い。GMailではすでに正規のも迷惑メールに割り振られることが多い。

[kenjou]

OTPを導入しているサービスでもフィッシングに引っかかってアカウント乗っ取られる人がいるからね。ユーザーの側が気をつけないとサイトの側だけでは防ぎきれない。

[korilog]

えきねっとで購入ってことは、発券やスイカへの紐づけで実際に駅で利用されるはずなので、防犯カメラを見れば逮捕できるのでは。出し子だとしてもちまちま捕まえるのが大事。

[mochitabesugi]

今やえきねっとはフィッシング詐欺の代表格。時々利用するがクレジットカード会社の与信が厳しくてすこぶる使い勝手が悪い

[junetan]

フィッシング詐欺なんだから不正利用された奴がアレなんじゃないか。

[asimino]

フィッシングにつられてないならパスワード使いまわしてて他サイトから漏れたのとかでしょうか。ググってでできた偽サイトにパスワード入力しかとかでしょうか。

[magi00]

えきねっとはフィッシング詐欺メール山のように来る。

[ykhmfst2012]

そもそもネットサービスにクレジットカード登録すること自体、油断しすぎではある。使うにしても毎回入力するくらいの自衛は必要。

[hiroomi]

”同様の被害に遭い、クレジットカードの停止・再発行などを余儀なくされました。”時間と手間は、無料。idp外に頼るとか、mfaだろうか。

[Falky]

ねとらぼ記者のケースはともかく、取り上げられてる一般人のケースは見るからにリテラシーが低いので、フィッシングかなにかで本人が知らないうちにやられてるんだろうな。たぶん。

[cogen]

クレジットカードで購入した切符の払い戻しは現金にはできないのだけど犯人側はどういう意図で切符購入してるんだろうな？？愉快犯かな。

[Enterprise65]

これは半年利用がないと勝手に解約させる仕様変更のせい。この仕様も漏洩隠蔽のせいでは？

[augsUK]

数万円の換金可能なものを売買するのに、セキュリティが多要素認証ですらないJR東の責任も大きいと思うがな。

[Mash]

なんかえきねっと関係なくてパスワード使い回しとかそっち系／磨ける他山の石

[pmakino]

「不正ログインだけで購入できてしまうシステムの改善を希望」をバカにする声を見かけたが、そうかね? 要するに初回アクセスクライアントでMFA必須にするとか、ID/PW窃取されても被害に至らない仕組みって話では。

[b-wind]

えきねっと自体には大きな問題は無いけれど、フィッシングに引っかからないようにしようってだけに読める。

[REV]

よくわからないけど、無視していたら、「退会しますた」というメールが入ってた。モノホンかな…

[mohno]

あの大量にやってくる迷惑メールに引っかかってしまった、ということか。/カードがなくても発券できるようになったんだ。/とりあえずカード情報は削除した。あんまり使ってないし。

[lbtmplz]

“すでに発券されてしまったものはこちらはどうしようもない。 何もしない。 クレジットカード会社にそう言われたと伝えてください」と言われた、と主張”

[anhelo]

JR東えきねっとにクレカ登録すると、勝手に使われる事象多発。危ないらしい

[aa_R_waiwai]

自分のアカウントはどうだったかなと思ってメールを見てみてら、数年前のリニューアルで、「数年間アクセスがないから」でアカウントが削除されてた。