「Amazonを不正利用された」──SNS上で報告相次ぐ 「二段階認証を突破された」などの声も

「Amazon.co.jpを不正利用された」──X（元Twitter）では9月上旬からそんな投稿が相次いでいる。「Amazonギフトカードを大量購入された」「二段階認証を設定していたのに、それを突破された」などの報告が上がっている。 Xでは「（アカウントに）二段階認証を設定していたにもかかわらず不正アクセスされ、Amazonギフトカードを大量に購入された」と被害を訴える声が多く見られる。特に話題になっているユーザーの投稿によると「注文履歴を非表示にされ、不正利用に気が付かないままクレジットカードの請求が来た」と語っている。 このユーザーがAmazonのサポートに問い合わせしたところ「同様の案件が多発している」「現状では手口が分からないのでどうやって侵入してるのか調査中」などと返事があったという。その後、被害額は全て返金してもらったとしている。 Amazonではサイバーセキュリティ対策の一環

[teppeis]

メール、電話、SMS、TOTP認証アプリなどによる二段階認証にはフィッシング耐性がない、という事実はもう少し広まった方が良さそう

[dorje2009]

2段階認証がSMSであれ認証アプリであれ被害者がフィッシングサイトにアクセスしてたなら突破されうる https://time-space.kddi.com/it-technology/20191021/2761 ただ報告数が多いのが謎。同時期にそんなに多くの人が引っかかるもの？

[canadie]

リプ読むとやられた側がフィッシングは踏んでないって言ってるのに棘で「踏んだはず」って叩かれててビビる。釣られた可能性は残るが、被害者を殴っちゃ ダメ。何が起きてるのかは注視/問題になってるのはSMS認証のみ

[diet55]

「9月14日午後3時時点でこの件でのAmazonからの公式声明や注意喚起などは確認できていない。」／あくまで1例：「Amazonで二段階認証突破された人はこれ踏んでるだろ多分」 https://x.com/Ting2012/status/1702264244165898541

[miron_mikan]

フィッシングもそうだけど、chrome拡張とかの可能性や、結構前に取られたログインセッション使われてる可能性もあるし現時点ではなんともだよなあ

[Lat]

SMS認証が突破されたから二要素認証を止めるのは悪手では？ Googleや MicrosoftのAuthenticatorを悪用された情報とかは今のところ聞かないから、とりあえず二要素認証をAuthenticatorに変えたら良いと思う。

[JULY]

普通に考えれば偽サイトを踏ん出る可能性が高い。まぁ、マルウェア等で認証トークンやセッション情報を盗む、というのもあるけど、パスキーなら、DNS まで細工しない限り、偽サイトで認証する事は避けられる。

[hayashin10]

認証アプリってGoogleかMS社のやつでしょ。もしそっちが突破されたならもっと話題になってると思うので突破されてるのではなくフィッシングURLクリックしたとかじゃないのかな

[OKP]

フィッシングでなく認証アプリを使っていて… ってありえるの？

[HyugaMizki]

フィッシングメールが来まくるアドレスを持ってるけど、ここ数日、来るのがAmazonばかりになった上にリンクにカーソルを当てた時に表示されるURLまで正しい内容に偽装されている。ソース見るしか確認手段が無さそう…

[SATTON]

「アマゾンジャパンに問い合わせを行っている。返信があり次第、追記する。」追記されないなぁ。

[georgew]

phishing説出回ってるがやり口詳細は不明。それだけに不安。

[AmaiSaeta]

"Amazonでは商品ごとの注文を最大500件まで非表示にできる機能がある。" そもそもコレ何を意図した機能なの。廃止した方が良くない？

[tsubasanano]

“Amazonではサイバーセキュリティ対策の一環として二段階認証機能を用意している。(中略)何らかの手段を使って二段階認証を突破されるケースが相次いでいるようだ”

[chanbara]

フィッシング詐欺のリンク踏んだんでしょ、と見えてしまうのだけれど複数の被害者のかたがフィッシングは断じて踏んでない、と証言していて、何が起きているのかが謎。

[arajin]

“また、不正利用分の購入履歴が非表示になっているのも共通している。”

[hatake]

何もしてないのに壊れました( ・∇・)

[civicpg]

数ヶ月前にフィッシングを大規模に完了させておいて最近まではevil proxyとして振る舞い続けてフィッシングの痕跡を目ただなくしてから、一気に収穫したとか？ TOTPの秘密鍵作り直すべき？

[honma200]

たまに、でも定期的にこの話出るよね。セキュリティのためかこの後どうなったかはよく分かんないんだよね。一度被害者をウォッチしてみようかなぁ

[snjx]

2段階認証を突破したって、それがわからんのだよな

[defiant]

この記事をおすすめしました

[asuka0801]

"何らかの手段を使って二段階認証を突破されるケースが相次いでいる" うーん、念の為パスワード変えといた方が良いかもね

[zkq]

パスワードマネージャーが誤認するフィッシングサイトってマ？

[Sinraptor]

Amazonからごっそりデータ漏洩している可能性はないの？

[fai_fx]

ログイン済のパソコンが遠隔操作されてるだけでは…

[blueeyedpenguin]

二段階認証もうあかんのですか

[solidstatesociety]

クリップボード狙ったのかな

[anguilla]

気になる話

[estragon]

“ITmedia NEWSではこの件について、アマゾンジャパンに問い合わせを行っている。返信があり次第、追記する”

[ET777]

ムムITmediaまで。こわいンゴ

[Muucho]

海外ではどうなっているんだろう？Amazonが抜かれたなら世界中で大騒ぎだし。日本だけで増えてるならやはりフィッシングかな。ブラウザから全部抜かれてログイン済みの端末に偽装されるやつでも世界中で大騒ぎになるし

[felick]

よほど精巧なフィッシングがばら撒かれたのかamazonの認証に脆弱性があるのか…何もないのにMFAが突破されてるならかなりの大事なんだよね。フィッシングにMFAの数字を入れた可能性が一番高いけどわからんね

[yogasa]

MFA突破されてたらかなり大事だからな。フィッシングにでもあってるだろ

[repunit]

使えるサイトではAuthenticatorを使ってる。

[nikoli]

もうクライアント証明書を発行してくれ

[greenbow]

これほんとなんなんでしょうね。