なりすまし口座に約1億円が流出したSBI証券の不正ログインについてまとめたみた - piyolog

SBI証券は顧客アカウントへの不正ログインにより9,864万円の顧客口座の資産が外部へ流出したと発表しました。資産流出には不正に開設された銀行口座も悪用されました。ここでは関連する情報をまとめます。 SBI証券の発表 悪意のある第三者による不正アクセスに関するお知らせ なりすまし口座を使った犯行 不正利用の手口（SBI証券発表情報よりpiyokango作成）SBI証券からの流出は以下の手口で送金まで行われてしまった。 SBI証券の顧客アカウントに不正ログイン。 偽造した本人確認書類を用いて銀行でSBI証券と同名義の口座を開設。 顧客アカウントが保有する有価証券を売却。出金先銀行口座を不正口座に設定変更。 売却した資金を不正口座に送金。送金された金を引き出し。 約1億円が流出 SBI証券が2020年9月16日時点で把握している被害は顧客数6人、総額9,864万円。1件当たり数百～3,000万

[indication]

金融取引口座作るのにマイナンバー必須にしないのかな。

[zkq]

不正検知なのだが、口座に動きがあったときにメールを送るようにしたら、大抵のは防げると思うんだよね。

[tourism55]

偽造の本人確認書類で口座開設は、不正ログインがどうこうとは別の金融犯罪だよね。振り込め詐欺とか口座売買とか…

[aroechan]

電子的なセキュリティだけじゃなくて、本人確認書類とかの書類上のセキュリティも突破されてるとなると、どうしようもない気がする

[domimimisoso]

銀行口座にマイナンバーが紐づいてないって、犯罪者にとっては素晴らしい仕組みだよね。脱税だって楽々だし。はてなでは蛇蝎のごとく嫌われてるけど。

[ho4416]

恐らくネットバンクではもはや古典的なフィッシングをネット証券に応用しただけ。銀行になりすまし口座をつくったとこがひと手間込んでいる。

[yutaro1985]

SBI証券のパスワードは半角英数字10文字までで2段階認証なしだったんですが、ようやく見直されますかね。

[razokulover]

ゆうちょはまぁという感じだけど三菱UFJ銀行レベルでもなりすまし口座普通に作れるのか。解説時点では利用用途まではわからんしなぁ

[tettekete37564]

争点は 1. SBI ログインID・PW + 実行 PW をどう入手したか。2. 銀行側はなぜ不正な口座の作成を許してしまったか。

[pre21]

ドコモの件といい、結局銀行が甘いんじゃない？

[brimley3]

額が凄いなぁ（滝汗）。

[diveintounlimit]

再発防止策がやれてる感

[baca-aho-doji]

うーん、これ銀行ちゃんと本人チェックできてるのかがすごいザルなのでは？と思ってしまう。もちろんマイナンバーだったりも照合する必要あるんだろうけど。

[snare_micchan]

所属が証明出来かつ銀行側が検証可能な書類（社員証、学生証など）を本人確認に使うくらいしか防御策ないねこれ…でもそうすると主婦/主夫やフリーランスは口座を作りづらくなる。どちらを取るか

[diet55]

「何らかの手段により犯人が取得した『ユーザーネーム』『ログインパスワード』『取引パスワード』が悪用」 「銀行側に提出された本人確認書類が偽造されたものだった可能性がある。窓口で普通の手順で作成された」

[stella_nf]

“偽造した本人確認書類を用いて銀行でSBI証券と同名義の口座を開設”ここクリアされたってかなり重大

[s_nagano]

口座名義がわかってないとダメなら、内部的な犯行じゃないのかな？

[dorje2009]

金融系のサービスが2要素か2段階認証を必須にしていないことが許される時代はとうに終わったと思う。

[umamichang]

ゆうちょ銀行がとにかくヤバ過ぎる気がする。

[jinkaishitsu]

預け金流出も怖いけど、勝手に信用取引とかで訳わからん巨額の売買されたりしないかも怖い。 そこらの小規模暗号通貨取引サイトよりも脆弱な設計で泣けてくる

[khtokage]

他所でも書いたけど、住信SBIは事前に許可→30秒間だけログイン可能とか色々よく出来てるのに、SBI証券はなんでこんなに雑なのかといつも思う。ただ同一名義じゃないと出金出来ないのにそこ突かれてるのは同情する。

[fugafigs]

SBIネットバンクの方は、2段階認証でスマート認証とかセキュリティも利便性もちゃんとしているのに、証券の方は雑だなと思っていた。

[and_hyphen]

設定変更したらメールで通知とかこないのかな。ログイン通知とか...

[manotch]

‘’銀行側に提出された本人確認書類が偽造されたものだった可能性がある。窓口で普通の手順で作成されたとみられる‘’ ←数年前の偽口座事件の記事を見て、オンラインで突破し易いのかなと思ったけど、窓口か…。

[tohima]

ログイン通知だけでもある程度は防げそう。ログインされた後は通知設定変更されてしまうから本人は気づかないよなあ。他対策で防ぐしか。

[shozzy]

二要素認証必須の時代だな。。。

[onesplat]

いまだに多要素認証やってないとこなんなん。しかもお前ら金融サービスでしょ。必須にしろや

[stealthinu]

一件あたり単価が高ければリアルでの行動が必要なものでもやる意義あるもんね。そりゃ書類偽造してなりすまし口座作るくらいやるだろうなあ…

[Cujo]

なりすましこうざのさくせいじきがどのくらいまえだったのかそれともちょくぜんだったのかしりたいかも。。。。。。。

[camellow]

リスト攻撃だとしたらもう銀行ではなくユーザの責任だよね（もちろん悪いのはアタッカーだが）

[eagleyama]

再発防止策でなぜ他行の口座開設からのアクセスが防げるのか、解説がほしいレベル

[tecotex]

つまり自分が偽物に成りすませば流出した資金ゲット？

[sunny-spot-sketch]

特定個人情報のマイナンバー連携をしようと思ったら、セキュリティ確保がすごく大変だと思う

[ryu39]

SBI証券はそこまで落ち度がない気がするけど、これ全額補償しないといけないならセキュリティの強化は必須かな。2種類のパスワード、口座名義の一致だけではもうダメな時代。他の証券会社でも同じこと簡単にできそう

[tana005]

運転免許証の真贋判定は、透かし模様(交)やチェックデジットで可能。偽造、行使とも有罪。作っても有罪、もちろん使ったら有罪。

[Muucho]

保険金詐欺みたいなのは見抜けるのかな。仲間内で協力して不正ログインに見せかけて預金を引き出して補償を求めるの

[mogami74]

こういうのの引き出しで足がつかないのって現金なのかな。 すべての入出金が機械化され、全紙幣の記号番号が記録される未来を幻視した。それまで現金取引が残っていたらの話だが…。