もにもにたdポイントが不正利用された体験記!その手口について考察&効果的な対策とはツイートシェアはてブLINEPocketdポイントを不正利用されました上記の画像をご覧ください。2016年9月6日の朝,「【dポイントカード】ご利用のお知らせ」というメールが飛んできて,なんだろうと思い,dアカウントにアクセスしてみると,「ローソン蕨駅東口店」で,123円と162円の2回,dポイントが利用された履歴が残っていました。私は関西在住ですし,その日は関東には行っていません。dアカウントのパスワードは独自ランダムに変えていた&2段階認証もしていましたまず真っ先に疑わないといけないのが,dアカウントへの不正アクセスです。Xの不正購入被害が報告されていたときに,パスワードはほかで使い回しをしていない独自の複雑で桁数が多いものに変更していました。同時に2段階認証も設定していました。今回の不正利用の前に2段階認証メールは来ませんでした。いうことは,リスト型攻撃(他サイトで流出したIDとPWの組み合わせによる攻撃)による不正アクセスではないのかな?と思い,dアカウントのログイン履歴を調べてみました。9月1日から9月6日までのログイン履歴は上記の通りです。IPアドレスは隠させていただきましたが,すべて自宅のIPアドレスで同一でした。海外からのアクセスもありません。いうことは,ログイン履歴の不正操作がなければという前提ではありますが,IDとパスワードによる不正アクセスではないと推察されます。昨今、お客さまのdポイントが悪意のある第三者によりdポイント加盟店にて不正に利用された事象が確認されております。(中略)なお、お客さまの身に覚えのないポイント利用が疑われる場合は、下記までご連絡ください。年中無休(中略)また、ドコモでは、dポイントクラブサイトへのアクセスに利用するdアカウントを不正に利用できないよう「2段階認証」をご用意しており、この認証機能を利用することで第三者による不正ログインを防止することができます。「2段階認証」をご利用いただきますよう、お願い申し上げます。(中略)なお、お客さまにおかれましても、パスワードの取り扱いに関して以下の点にご留意をいただきますよう、お願い申し上げます。組み合わせ設定するなど、第三者が容易に推測できるパスワードを使用しない。パスワードを適切に管理し、第三者に見られないようにする。弊社は今後もお客さまへの一層のサービス向上に取り組んでまいりますので、何卒ご理解を賜りますよう、よろしくお願い申し上げます。ドコモからのお知らせ|NTTドコモ上記は2018年8月30日付けで告知されている「ドコモからのお知らせ」です。他社とは違うパスワードの設定(パスワード変更)の2つの対策は,少なくとも今回の私のケースの不正利用では無力だったということになります。これはどうしてでしょうか。どのように対策すればよいのでしょうか。上記の画像はdポイントカードです。ローソンやマクドナルドにも置いてありますね。上記の画像の左下にある15ケタの数字,これがdポイントカード番号です。今回はこの番号が漏洩したことが不正利用の原因と考えています。dポイントカードの裏面です。dポイントカード番号とセキュリティコード,バーコードがあります。ローソンやマクドナルドなどのdポイント加盟店で使ったことのある人はご存じかと思いますが,実店舗で利用する場合,セキュリティコードの入力は必要なく,バーコードを提示するだけで利用可能です。実はこのバーコードは,15ケタのdポイントカード番号の情報が入っているだけです。試しにお手元にdポイントカードがあれば,バーコードをスマホのQRコードリーダーで読み取ってみて下さい。加盟店で確認できる内容。2018年9月8日そして読み取りをするまでもなく,dポイント加盟店ではPOS(レジ)にポイントカード番号が表示されます。レシートの番号は下4ケタ以外は隠されていますが,POSでは丸見えなのです。防犯カメラの画像から、使用したアプリ判明です。(スマホの画面を見た感じの予想)私もやってみたら、難しいことは何も無く、ポイント使用できました。2018年9月8日そして,dポイントカード番号さえわかれば,たとえば上記のTweetで紹介されているようなアプリを利用すると,バーコードへの復元は知識がなくても誰でも容易にできます。上記のTweetは防犯カメラからの推測ということで,現実味がありますね。どのようにして犯人グループはdポイントカード番号を得たのかdポイントカード番号の漏洩が原因である場合,dアカウントに不正アクセスの必要はありません。dカード番号をポイントカードをまとめるアプリに入力するだけで,スマホにバーコードを表示させることができるからです。以上のようなものが考えられます。最初の二つは自己責任と言われそうですが,下に行くに従って組織犯罪化していきます。最後の「法則性」については,dカードプリペイドが始まったときに,法則性に基づいて約10万件の「実際に使われている可能性の高い,架空のカード番号」があるブログで公開されたこともありました。プリペイドのカード番号に法則性が見つかる、最大10万件が漏洩かこの可能性も否定できません。あれば,2段階認証やパスワードの変更という対策は効果がありません。後日談:ローソンIDからの漏洩だったそうですくわしくは下記の記事をどうぞ。知り合いにもドコモのフィッシングSMS届いていたみたいです。生体認証ログインがなかったり見た目も異なるのですが、簡単に見分けるにはSSL証明書付きかどうかを見る方法があります。URLの左横に鍵マークがある方が正規のログイン画面です。怪しいと思ったらSSL証明書付きか確認してください。私が実際に遭ったのとは違う手口ですが,SMSによるフィッシングの可能性もあるそうです。見分けるためのポイントは「URLの左横に鍵マーク」です。「安全ではありません」はフィッシング(詐欺)SMS上記のようにURLの左に「安全ではありません」と出ていたら,どんなにドコモっぽいサイトでもきっとフィッシングです。上記のようにURLの左に「鍵マーク」があればひとまず安心のはずです。いえ,こういう情報を得た詐欺グループがさらなる偽装をおこなってくる可能性もゼロではありませんので,くれぐれもご注意を。電話をしてdアカウントとdポイントカード番号を切り離す手続きを(利用停止)もし,今回のdポイント不正利用がdポイントカード番号の漏洩によるものだとしたら,dアカウントとdポイントカード番号を切り離すのがもっとも効果的です。dデリバリーやdトラベル,その他のネットショッピングでdポイントを利用する場合,実はdポイントカードは必要ありません。dアカウントから直接決済することになります。実店舗でdポイントを利用する場合のみ,dアカウントからdポイントカードやdカードプリペイドの「dポイントカード番号」とひも付けて利用することになるわけです。今回,攻撃を受けているのは,dアカウントの不正アクセスではなく,dポイントカード番号と思われますので,dアカウントとdポイントカード番号のひも付けを解除する(利用停止する)のが効果的です。年中無休dポイントをお持ちの方で不安な方は,いますぐ上記に電話をしてdポイントカードの利用停止(dアカウントとdポイントカードのひも付け解除)を申し出ましょう。不正利用されていない方は,mydocomoで下記の手続きでも可能です。ローソンやマクドナルドなど,実店舗でdポイントを使いたい!という場合は,新たなdポイントカードをdアカウントにひも付ければOKです。様子を見ておいた方が無難かと思いますが...。ちなみに,dアカウントの不正アクセスに対しては,ドコモが言うように2段階認証や使い回しのないパスワードが効果的です。dポイントカードを利用停止してもdポイントを「貯める」ことはできるちなみに,dポイントカードを利用停止すると,dポイントを使うことが出来なくなりますが,dポイントを貯めることはできます。これに関してさらに後日談があります。9月6日朝に,dポイントカードカスタマーセンターに電話をして,dポイントカードの利用停止をしてもらました。これで安心...と思っていたら,9月6日昼過ぎに,またも「【dポイントカード】ご利用のお知らせ」のメールが来たのです。今度はローソン吉祥寺南店です。場所が離れて東京です。当然のことながら私ではありません。今回はなぜか「獲得」です。これは,9月6日午前中にローソン蕨駅東口で試しに使ってみたところ買い物ができたことを知った犯人(グループ?)が,番号を共有してまた使おうとしたところ「利用できません」と言われ,怪しまれるのを避けるため渋々現金で支払ったのではないでしょうか。この履歴を最後に不正利用の通知は来ていません。あきらめたのでしょうか。このことからわかることは,犯人グループの行動として,詐取したdポイントカード番号は使えるか使えないかわからないので少額で試している残高がいくらあるかなどはわからない対策されて無効になったdポイントカード番号は捨てて,次々にほかのものを試すおそらく単独犯ではなく,グループでおこなっているといったことが推測できます。昨今、お客様のdポイントが悪意のある第三者によりdポイント加盟店にて不正に利用された事象が確認されております。dポイントの不正な利用もしくはそれにつながる可能性のあるお客様のdポイントカードにつきましては、dポイントの利用(ポイントをつかう)を停止させていただいております。当該dポイントカードをお持ちのお客様におかれましては、新しいdポイントカードへの再登録を行っていただくなどのご対応が必要になりますので、停止されたdポイントカードをお持ちのお客様は、下記までご連絡ください。ご不便をおかけしますことをお詫び申し上げます。お客様の身に覚えのないポイント利用が疑われる場合につきましても、下記までご連絡下さい。dポイントカードの新たな追加登録につきましては、dポイントクラブサイトまたはドコモショップで行うことができます。dポイントクラブサイトhttps://www.nttdocomo.co.jp/info/notice/page/180830_00.htmlこれはまた強引な介入をしまましたね。NTTドコモが「dポイントの不正な利用もしくはそれにつながる可能性のあるお客様のdポイントカード」について強制停止の措置をしたとのことです。,「dポイントの不正な利用もしくはそれにつながる可能性のあるお客様のdポイントカード」の基準がわかりません。今回の不正利用騒ぎとは関係なく普通にdポイントカードを使っていた人も,この措置によって突然使えなくなっている可能性があります。その場合は下記のdポイントカスタマーセンターまでお問い合わせ下さい。年中無休まとめ少額ではありましたが,dポイントの不正利用に遭った体験から,その原因を考察してみました。ちなみに,不正利用されたdポイントの変換などについては,まだ検討中で返事待ちです。上記のようなことになるのではないでしょうか。ドコモが訴求する「2段階認証やパスワード変更」は,dアカウントへの不正アクセスには確かに効果的です。今回に限っては効果が薄いため,逆に「私は2段階認証をしているから大丈夫」というのが落とし穴になりかねません。今回,最も有効なのは,dポイントカードの利用停止(dアカウントとのひも付け解除)です。年中無休また,不正利用されていない方は,mydocomoで下記の手続きでも可能です。ローソンIDも攻撃を受けているようです。くわしくは下記の記事をどうぞ。ローソンIDにも複数の「パスワード再設定」メールが!これによりローソンID全会員パスワードリセット2018-09-09間接的な対策としては,所持しているdポイント(通常ポイントのみ対象)をdポイント投資にいったん入れてしまうという手もありますね。手元にdポイントがなければ不正利用されることもありませんので。dポイント投資の攻略法・投資法を解説!システムを理解して少しでも勝ちやすい方法を探る2020-05-19今回は少し残念なお知らせになりましたが,dポイントは効果的に使えば多大な節約になります。dポイントの貯め方・使い方については,下記の記事などでまとめていますので,ご一読ください。dポイントの貯め方・使い方を解説します!dポイントを貯めるためのカードやお得な活用方法のまとめ2020-01-07【注意喚起】dデリバリー6ヶ月連続注文で30,000ポイントプレゼントに後出し追加条件が2018-09-01dトラベル「dトラ秋祭り!9月10月連続宿泊で1万ポイント」全員プレゼントキャンペーン!2018-08-03ドコモをご利用の方は,dカードGOLDを使うのが節約にもっともおトクです。詳しくは下記の記事をどうぞ。20:03昨日、dアカウント(メアド)の乗っ取りに会いました。ドコモにすぐ連絡をとるもののドコモ回線ではなくドコモアカウントをつくりポイントを貯めたりd払い(クレカ紐付け)をしていましたが海外からのログインとアカウントの変更がされてこちらからはその後の利用履歴も残高も一切確認することができなくなりました。紐付けていたクレカはすぐに停止しドコモに連絡」したところ「なすすべがない」などといわれ被害の実態のヒアリングさえせず門前払いでした。回線契約がなくてもdカードからの勧誘をしているのに一流企業のする対応とは思えませんでした。回答ありがとうございました。13:25たろうさまコメントありがとうございます。モバイルのdポイントカードは、プラスチックのdポイントカードと同じ番号でバーコードを生成しています。したがって、dポイントカードの紐付けを解除すれば、モバイルのバーコードも表示はされるものの、実店補では使用不能になります。01:24興味深く拝見しました。dカードの裏面のバーコードが不正使用されると簡単に切り離せるのでしょうか。01:27なかさまコメントありがとうございます。裏側のバーコードは単にdカードポイント番号のテキストを代替しているだけです。したがって,不正利用されてもdアカウントとdポイントカード番号を切り離せば不正利用されることはありません。バーコード=dポイントカード番号なのです。返信ありがとうございます。dカードの裏面のポイントカード番号が不正利用されたらその番号が無効になって新たにポイントカードを持ち歩くことになるって意味で面倒とコメントいたしました。ゆう認識でよろしいでしょうか。07:39なかさまはい。コメントをキャンセルメールアドレスが公開されることはありません。*サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。上に表示された文字を入力してください。TV版Firefoxに対応でYouTubeも見られますRECOMMENDこちらの記事も人気です。GOLDの500万会員突破キャンペーン!500名に豪華賞品&1...【最重要】まずはここからTwitterなどのSNSで「もにもにた」のフォローをお願いします!某私立大学教授かつブロガーのもにもにたです。おトクな情報を更新していきます。B!HatebuTwitterFeedlyInstagramPocketContactサブブログ「もにもにたのネットで小遣い稼ぎ」サブブログ「もにもにたのネットで小遣い稼ぎ」もよろしくおねがいします!もにもにたのLINE@に登録していちはやく情報をGET!ブログをメールで自動配信(無料)メールアドレスを記入すれば、更新をメールで受信できます。