PayPayのフィッシングが簡単すぎた話｜j416dy

※この記事は以下記事を読んだ前提で書いてます。 ※あまりに被害が多かったのか、2025/6/19 夕方にPayPay連携機能は止まったようです。 この記事を読んで、QRコードを読み取るだけでお金抜かれるなんてことがあるのか？と思ったら、実際あまりに簡単に抜けるような構成であることがわかったので、検証結果を置いておきます。 WINTICKET連携はQRコード2連続読込方式正規のログイン・連携機能のUIを先に確認します。 PCブラウザでWINTICKETを操作、スマホでPayPayアプリを操作する場合の流れです。 競輪投票のWINTICKETでアカウント作成、ログイン後、 ポイント残高右側の「＋」ボタンでチャージ画面に遷移します。 遷移後、入金手段としてPayPayを選択します。 オレンジの＋ボタンでポイントをチャージする ※ポイント残高は出金できないが、投票結果の払戻金は出金できる仕様すると

[narukami]

検証してくれたのに垢BANされるのかわいそうすぎる

[fujihiro0]

チャージまで連携先に許す設計に消費者からいかに金を毟り取るかしか考えていない設計者の意図が読み取れる。

[korilog]

お金に直結するアカウント連携がQRのみで完了するでワンアウト。連携すると連携先でチャージできるのでツーアウト。iframeでの読み込みが可能なのでスリーアウト。お金に関するサービスとしてセキュリティ意識低すぎ。

[NOV1975]

名義不一致でも連携できるんであればドコモ口座事件を彷彿とさせるな。／すぐ足がつくと言っている人、そのとおりなんだけど、閉鎖させる前に出し子が出金できれば勝ちなんやで

[ka-ka_xyz]

元ポストについて「フィッシングメールに騙されたのが悪い」的なコメントが複数ついてたけど、お店でアルコールの入った状態でうまく誘導されるケースとかもあり得るんだよな、決済アプリなんで。設計がガバすぎる…

[uniR]

元記事で何が起きてるか分からなくて困惑していたが、すっきりした。と共に、PayPay側の認証がさすがにザルだと感じるので改善案件だな。PC側でも何か出てくれないとこれはキツい。

[go_kuma]

これ見つけたときの犯人めちゃくちゃ気分アガっただろうな……こないだオートチャージで銀行からPayPayに引落があったけどその設定した記憶がなくてビビった。便利だからって案内されるまま設定したんだろうな……

[yomichi47]

救いはPayPayは不正被害は保証すると言ってくれてる所

[uunfo]

WINTICKET連携か。なるほどねー。WINTICKETの本人確認は他人の銀行口座を買っていればスキップできる、と。公営競技のチャージ、結構簡単にできるようになっていて怖いんだよね

[rna]

端末移行じゃなくてアカウント連携で<del>オート</del>チャージ権限まで取れるのか… / 「オート」ではなかった。UI的には手動だけど連携先のサービスから認証なしでチャージかけられると。

[eriko315]

“この挙動から名義を確認していないであろうと思われ、詐欺の他、マネーロンダリング等にも利用されかねない”こえぇぇ

[ayakohiroe]

“ここで一度「WINTICKETへ連携しますか」と聞くだけでかなりの確率で止められたと思います。その意味でPayPayのUIがかなり悪いと思います。”

[akulog]

きっついなこれ…

[legnum]

QRコード読み込んだだけで犯人のWINTICKETアカウントにPayPay連携されて銀行口座チャージされまくるって事かザルすぎる。先に自身でアカウント持っててPayPay連携済だと防げるって予防接種みたいだな

[syamatsumi]

出し子も含めてまるっと捕まらんかな……

[amunku]

クレカもだが、被害にあった方が気づいて報告して申請しないといけないのがきつい。

[torish]

よくこんなの考え出すよな！闇のchatGPTで考えてもらってるのかな？

[linuxharu]

詐偽

[tettekete37564]

アカウント乗っ取りにしてはおかしいなと思ってたんだけどそういうことだったか

[delimiter]

割り勘の受け取り用にしかしてないから大丈夫なはず

[snare_micchan]

正規のメールにはリンクを一切書かないようにして「リンクがある時点で不審メールとして自動的にゴミ箱行き」という運用がなされない限りこの手の被害は抑えられなくなっているなあ。まあ金融庁お叱り事案だな

[netafull]

“今回の検証のためにWINTICKETアカウントを新しく作り、本人確認も通したうえで本記事を書いたのですが、記事を公開した直後、垢BANされてました。”

[kz78]

認証用の２個目のQRがこの記事から読めてしまうので、そこに複数の端末からアクセスがあったからアカウント停止したのでは。

[hatesas]

Gabba Gabba PayPay！

[ytRino]

すごいなー / "連携先でチャージできる" これすごい話に見えるけどよくあるんだろうか

[suzuki_torakichi]

ペイペイは100億円還元キャンペーンの時の、クレカ情報だけで金抜かれる脆弱性がヤバすぎて未だに使いたくない

[nanavix]

恐ろしい話。自分の自衛策としては連携口座の住信SBIネット銀行の、普通口座残高を基本0にしておき、必要な時に必要な額をハイブリッド預金から移して即決済。それとチャージの上限設定。この2本立てで行こうと思う

[namisk]

怖い。PayPayの支払い方法として銀行口座を「無効」にしておいたが、これで連携サービス側の画面ではチャージの選択肢に出なくなる？PayPayクレカを防げないが。上限利用額は設定した。

[degucho]

「記事を公開した直後、垢BANされてました」ええー

[dekaino]

自衛策にPayPayやめるって書けないところ何か事情があるのかしら? 最善策だよな? 多少の不便さより財布の安全の方が優先だよ。

[Baybridge]

「適当に固いレースに投票」したのが全部外れる呪いをかけました。

[noonworks]

P社のAPI docには普通のOAuthのフローしか載ってなくて、このQRコード2つ式の仕様は謎。大手提携先にだけ特別提供してたのかなぁ？

[bxmcr]

事前に本人確認してWINTICKETアカウントを作って銀行口座とセットで譲渡するバイトとか募集していないかな……首謀者まで捜査で辿り着けると良いですが

[spark7]

アカウント移行された云々のブコメに星つけてた人は何なん？サービス連携だろうなとは思ってたが。

[take-it]

生粋のプログラマー気質の人も、ブログに書けば炎上しなかったのかも。/しかし怖すぎんなこれ。

[b4takashi]

お手軽さは良いんだがセキュリティ危ういのはなあ…

[phoenixgirl]

paypay、口座登録できる銀行に自分の使ってる銀行が無くて面倒で登録してなかったから助かったけど、これされたら私絶対騙されるな〜。登録してなくて良かった……

[centersky]

つくづく詐欺する人って頭いいというか、色んなことに目を光らせてるというか

[kalmalogy]

使ってる口座は他人のやつだろうし出金できれば勝ちかー

[Kmusiclife]

いろいろひどい。