オークションの豆知識

< 新しい記事

新着記事一覧(全1031件)

過去の記事 >

2008.09.11

まだまだ続いているYahoo ID乗っ取り被害

(18)

テーマ：オークション(1438)

カテゴリ：カテゴリ未分類

まだまだ続いているYahoo ID乗っ取り被害

9/8日時点で集計されたYahoo ID乗っ取り被害者数は2147名でありその後も拡大を続けています。

事件の経緯と何処から情報が漏れたのかという可能性と経過についてアルファベットで分類してみました。

A.2004年　Yahoo！BBの個人情報（名前・住所・電話番号・メールアドレス・Yahoo！メールアドレス・Yahoo！ID）が451万7039名漏れた事件が起きた。パスワードは抜かれてない。
http://docs.yahoo.co.jp/info/notice12.html

B.2008年4月ごろ、Yahoo！JAPAN　カスタマーセンターを名乗るフィッシングメールがYahoo！メールに届く。
内容は「Yahoo!オークションを継続してご利用いただくためには、Yahoo! JAPAN ID ユーザーアカウント継続手続きが必要です。」というもの。

C.同時期～2008年9月、IDとパスワードを乗っ取り「シャネル」や「ロレックス」等の高級腕時計を大量に出品される被害が相次ぐ。

D.2008年9月　中国のとあるサイトで日本のYAHOO　IDが大量販売されていた事に気付く。

ログイン元のIPアドレスは中国が多いが
ヤフオクは中国からのログインに対して対策を取らなかった。そして乗っ取られた出品分のシステム手数料は被害にあった出品者に請求したため、ヤフオクと出品者との間でトラブルが発生。（Yahoo!オークションが被害を受けた出品者に請求したシステム利用料は数万円以上が多い）

このID乗っ取り事件がマスコミに報道されるとYahoo！オークションはオークションTOPページに下記の文章を発表した。内容はログイン履歴の調査だけで内部からの情報流出の
可能性を否定している。（内部スタッフの調査やAの可能性については言及無し）

Yahoo!JAPAN IDの不正利用に関する報道についてhttp://auctions.yahoo.co.jp/phtml/auc/jp/notice/20080906.html

被害に遭われたお客様につきましては弊社にて精査のうえ、返金なども含めて順次対応をさせていただきます。と書いて

その裏で出品者に返金する代わりに、インターネットへの投稿や第三者へ公開しないこと。今後第三者に利用された場合は各種利用料を支払うこと。インターネットへの投稿や第三者へ公開したら、今回の特別対応を無効とし、返金額の再請求に同意するように被害者に対して交渉していました。

数ヶ月もこのハッカーによるID乗っ取り被害をログインされる前にシステムで防ぐことすら未だにできてないのに、ユーザーに対してとんでもない要求です。被害に合った出品者を怒らせてるような対応に呆れます。

「つれづれJUNK」さんのところでこの同意書の全文が公開されています。
http://repair-junk.cocolog-nifty.com/blog/2008/09/post_d8c3.html

Yahoo！オークションはID乗っ取りの間に使われた利用料は基本的には被害者の出品者に請求する。

Yahoo！オークションは中国からIDを乗っ取ったハッカーをログインされる前に完全に防げなかった。そしてハッカーを捕まえる行動に移らなかった。乗っ取られたら被害を受けた出品者のIDを停止する程度。

カードでヤフオクの利用料を支払っている場合は、ID乗っ取りによる不正利用を某カード会社に訴えてもヤフオクの利用料の請求を取り下げてくれないケースの報告があった。

Yahoo！オークションは中国でYAHOO　IDが大量販売されているにも関わらず、販売広告の投稿が掲載されたサイトの管理者に対してちゃんと投稿の削除を促していたのだろうか？

乗っ取り後の出品パターンと出品アイテムのアイテム名はほぼ同じでメールアドレスも分かってる。振込先の口座も
判明していながら数ヶ月もこの同じ手口のハッカーに振り回されてるなんてセキュリティの能力的にどうなのか。

文句ばっかり言っても仕方ないので被害拡大を防ぐ方法を考案してみました。

案：Yahoo！オークションが高級腕時計等の被害続出アイテムは支払方法を「受取後決済」とオークションストアでしか出品できないようにシステムを変えて、個人出品でYahoo！ネットバンキングに登録している人からはYahoo！ネットバンキング利用登録解除させる＋セキュリティーキーがあれば登録できるJNB電子マネー口座も念のために解除してもらう。

出品者が「受取後決済」を利用するにはYahoo！ネットバンキングの利用登録が条件。

Yahoo！ネットバンキング利用登録は出品者がジャパンネットバンキングの口座を持っていてもYahoo!ウォレットのセキュリティーキー）とジャパンネット銀行のログインパスワードとログイン後にワンタイムパスワード（60秒間で別のパスワードに切り替わる使い捨てパスワード）が必要。
http://bank.yahoo.co.jp/guide/start/flow.html

ジャパンネットバンキングの口座を持ってない人がYahoo！ネットバンキングの利用登録するには本人確認資料の送付が必要。

課題：セキュリティーキーがあれば登録できるJNB電子マネー口座のみで「受取後決済」が可能なのかどうかがよく分からない。

JNB電子マネー口座のみで「受取後決済」が可能
であればこの案は解決策にならない。しかし、JNB電子マネー口座のみでは「受取後決済」の利用が不可の場合であればこの案は海外からのID乗っ取り被害に対して有効だ。ワンタイムパスワードの突破、本人確認資料を入手するのは
海外からだと難しいからね。現時点ではこの方法が最善手だと考えてます。

今、YAHOO！IDの乗っ取り被害に気をつけないといけない
4種類の人々。これらの人々はパスワードを直ちにもっと複雑に変更したほうがいい。

1.Yahoo!BBの利用者でYahoo!IDを持ってる人々（Aで個人情報が流出した人だけでなく）その理由はYahoo!BBユーザーは
配送本人確認しなくてもYahoo!オークションに出品できるから。
http://help.yahoo.co.jp/help/jp/auct/kakunin/kakunin-01.html

2．Bのフィッシングメール先の誘導サイトでパスワードどころかセキュリティキーも盗まれた人達。（この人たちが
一番危険。セキュリティーキーを盗まれてたらYahoo！オークション出品ID乗っ取り被害どころかYahoo！ウォレットが使えるサービスで悪用されるとアワワですよ）

3.弱いパスワードを設定している人やネットに公開している
プロフィールにパスワードの一部が混じってる人

4.自宅以外の他人のパソコンを使ってログインしたことのある人。

ネットユーザーの有志達が、乗っ取られたと疑いの濃い
出品物とIDを見つけたら、ヤフオクに次々と通報してくれています。過去ログになった分は「50モリタポ」で閲覧できます。（「モリタポ」の手に入れ方、1.アンケートに答えて少しずつ集める 2.スレッドを立てて親切な人に恵んでもらう
3.モリタポオークションで買う。）

▼▼詐欺現場実況中継！その５４！！▼▼
http://pc11.2ch.net/test/read.cgi/yahoo/1220751547/

▼▼詐欺現場実況中継！その５３！！▼▼
（過去ログ化してます）
http://pc11.2ch.net/test/read.cgi/yahoo/1219566357/

▼▼詐欺現場実況中継！その５２！！▼▼
（過去ログ化してます）
http://pc11.2ch.net/test/read.cgi/yahoo/1216635143/

YAHOO　ID乗っ取り被害者達の被害情報や被害者に対するYahoo！オークションの対応を読みたい
人の為の参考資料があつまっているBLOGを２件紹介いたします。（このブログ記事を書くに当たって参考にさせていただきました）

つれづれJUNK
http://repair-junk.cocolog-nifty.com/blog/

ID乗っ取り被害回復ネットワーク
http://blog.goo.ne.jp/yidnet

久しぶりに長文書いたので疲れました。この事件について言いたいことはこれで全部書き切りました。私はまだ被害に遭っていませんしパスワードも変えましたがいつ次の被害者になっても
おかしくない状況は続いています。犯人が捕まることとYahoo！オークションの被害者に対する対応やセキュリティ対策がもう少しましな物になるように願いつつキーボードから指を離します。

この超長文を最後まで読んでくれた人がいたらありがとう。

お気に入りの記事を「いいね！」で応援しよう

Last updated 2012.03.31 01:45:15
コメント(18) | コメントを書く

■コメント

Re:まだまだ続いているYahoo ID乗っ取り被害(09/11)

teku さん

初めまして。5月に被害にあった者です。
被害にあってなくても、しっかり考えて下さっている方がいらっしゃり、とても嬉しく思いました。ありがとうございます。
ところで、日本のYAHOO　IDが大量販売されているサイトに気づかれたとの事ですが、どうやって探すのだろうと思いました。やはり中国語で検索なのでしょうか。やった事がなかったので。 (2008.09.13 14:59:52)