他人名義のSIMカードを不正に取得してアカウントを乗っ取る詐欺事件、米国で増加 13
ストーリー by hylom
そんなことができるのか 部門より
そんなことができるのか 部門より
米国でソーシャルエンジニアリング的な手口を使って他人名義のSIMカードを取得する事件が増えているという。昨今ではスマートフォンを使った2要素認証などを使うサービスも増えているが、この手口を使うことでこういった認証も突破できてしまうという（GIGAZINE、MOTHERBOARD）。
手口としては、ターゲットの個人情報を収集した上で、携帯電話事業者のサポートに「SIMカードを紛失した」として連絡し、攻撃者が所有する別のSIMカードに電話番号などを移転する手続きを依頼するというもの。日本ではSIMカードを紛失した場合には再発行が行われることが一般的だが、海外では別のSIMカードに電話番号などの登録情報を移行させることが可能で、これを悪用したもののようだ。
こういった攻撃は主にSNSアカウントの乗っ取ったうえで転売し利益を得ることを目的に行われているそうだ。
事後対処するしかなさそうね (スコア:1)
GIGAZINEの記事によると、
ってことらしいので、ここがセキュリティホールといえそう。
要するに、個人認証の方法がざるであるってことね。
もし本当に紛失していた場合、SIMは既に別の誰かに盗まれて使われているかもしれない。その場合、元の番号にかけても本人確認はできないし、そのまま放置すればそのSIMで勝手に買い物されたりするかもしれない。
だから、どうにかして電話口で本人確認をして、紛失したSIMは速やかに停止しないといけないのだろう。電話口で口頭でできる確認なんてやっぱたかが知れてるし、限界もあるのもわかる。
対処としては、乗っ取りにあったことが判明した場合に回復する手段を用意するしかないだろうなぁ。アカウントの売買が収入源であれば、そのアカウントを買ったやつをしょっ引くのが一番手っ取り早いかな。
盗んだ奴を直接捕まえるのは難しいだろうけど、現在アカウントを使ってる奴を特定するのはそこまで難しい話じゃないだろう。アカウントを他人から買うというような行為自体が犯罪を助長するわけで、未必の故意、とかあたりで捕まえてしまえばいいんじゃないかと思う。
そうやって末端を捕まえて取り調べを進めればばログなり自供なりで売人にたどり着けるだろうし、何より、アカウントを買おうという客が減るし、客が減れば収入がなくなるわけで狙おうって犯罪者も減るじゃないかな。
しもべは投稿を求める →スッポン放送局がくいつく →バンブラの新作が発売される
Re: (スコア:0)
これが現実的なリスクになっていくとすれば、再発行不可、にすればとりあえず被害はなくなりそう。
新規電話番号を割り振る形で。ただ本当に無くした場合も変更になってしまう。
認証の一部が電話番号に紐づくのって、解約した後しばらくすると電話番号再利用されるので、
ちゃんと番号変更などの手続きしておかないと、次の利用者に認証SMSが届いてしまう。
電話番号に紐づけるよりスマホ自身をU2Fデバイスにする方が安全そうな気もする。
別の端末でどうやってログインするか、という課題か。OTP？
SIMカードを紛失 (スコア:0)
nanoSIMが猫の肉球にくっついてどっかいってしまったことならあった。
#すべては猫のしわざ
Re: (スコア:0)
Re: (スコア:0)
あれって何で「ペタンハンド」から改名されたんでしょうね。ペタンは差別用語？
Re: (スコア:0)
どっちも乳サイズ差別だ!
Re: (スコア:0)
フランス方面から抗議が来た可能性を否定できない
これ真似るのは難しい (スコア:0)
SIMの再発行は個人情報（名前、住所、電話番号など）あればできるのかもしれないけど、その人のSNSアカウント情報（メールアドレス、アカウントIDなど）をどうやって取得すればいいのか・・・
＃犯人は知人です
Re: (スコア:0)
たぶん乗っ取りたいのは、匿名アカウントじゃないと思うよ……。
Re: (スコア:0)
パスワード使い回しとか多いし、別のとこで漏れたやつを利用してんのかも。
２段階認証あると、それだけじゃ無理だから、今回の手法が使われてると・・・
日本の場合再発行、とあるが、今後eSIMでリモートで書き換えが普通になっていきそうだし日本でも起きそうだ。
電話じゃ無理で店舗に来い、と言われそうだが。MVNOだとどうですかね。
再発行でも同じことでは？ (スコア:0)
>日本ではSIMカードを紛失した場合には再発行が行われることが一般的だが、海外では別のSIMカードに電話番号などの登録情報を移行させることが可能で、これを悪用したもののようだ。
届け先さえごまかせば再発行でも他人になりすましてSIMを受け取ることはできそうな気がする。
Re: (スコア:0)
再発行＝利用者住所へSIMを郵送
移行＝攻撃者の手元にあるSIMを登録＝郵送不要
Re: (スコア:0)
だから「届け先さえごまかせば」って書いてるじゃん。
引っ越したことにすればいいだけだぞ。