一部銀行で起こっているドコモ口座を利用した不正引き出しの概要
9月10日にドコモより、ドコモ口座と提携する金融機関で発生している不正利用に関しての記者会見が行われました。
ドコモはドコモ口座開設時の本人確認の甘さが事件の一因になってしまったことを謝罪し、今回の被害に関して全額補償を行うことも発表されました。
10日正午までにドコモが把握している不正利用は以下の11銀行で66件、被害金額およそ1,800万円としています。
2020年9月14日までに不正利用が確認されている銀行
- 七十七銀行、中国銀行、大垣共立銀行、東邦銀行、滋賀銀行、鳥取銀行、みちのく銀行、紀陽銀行、イオン銀行、ゆうちょ銀行、第三銀行
今回の事件のやっかいなところは、いままでドコモ口座を利用したおぼえがない方も被害を受ける可能性がある点と、普段この種の決済サービスを利用していない方には概要（手口）がわかりにくい点です。
※2020/9/14 追記 14日午前0時の時点で確認されている不正利用の被害は、11銀行、120件、およそ2,542万円になっています。
関連記事
ドコモ口座は決済サービス
「ドコモ口座」はネットでの支払いや送金が行える決済サービスです。
名前に口座がついていますが通常の銀行口座ではなく、○○PAYなどと同様のサービスになります。
そのため作成した口座に通常の銀行口座を登録するか、コンビニなどで現金チャージを行うことによって、買い物などに利用できるようになる仕組みです。
このドコモ口座が第三者がメールアドレスだけで開設できる状態だったため（※銀行口座を登録前の状態）、いままでドコモ口座を利用した覚えがない方も被害にあうといった状況が発生しています。
全体の手口の流れ
銀行側の発表を待つ必要がありますが、ドコモの会見から推察される手口の概要は以下のようなものです。
- 第三者が銀行の口座情報（パスワードを含む）を何らかの方法で入手 ※入手方法は現時点で不明
- 口座情報の利用者になりすましドコモ口座を作成
- ドコモ口座へ銀行の口座情報（パスワードを含む）を登録
- 銀行口座からドコモ口座にチャージを行い不正利用
ドコモ口座が絡んで若干複雑になっていますが、第三者が銀行の口座情報を悪用した不正利用の事件です。
明らかになった問題点
銀行の口座情報（パスワードを含む）を第三者がどのように情報を手に入れたのか（漏洩なのか、総当たりなどの方法を利用したのか）は、現時点で不明なので今後の調査を待つ必要があります。
ただ今回の事件でセキュリティ上の不備として現れたのが、ドコモ口座側でしっかり本人確認が行われていなかった点と銀行側の本人確認が機能しなかった点です。
ドコモ口座の作成時に本人確認の不備があった点は前述のとおりで、ドコモは今後の対策として免許証など身分証明書画像アップ義務（eKYC）や、SMS認証の導入を発表しました。
もう一方で問題が明らかになったのが、銀行側の本人確認が機能しなかった点です。
ドコモ口座に銀行口座を登録する際には、銀行側のシステムで本人確認を行う仕組みになっており、本人確認の方法が金融機関によって異なります。
口座情報の入手方法とも関係してくるので今後の情報待ちですが、銀行側の本人確認をすり抜けられた原因の究明が急がれます。
利用者ができること
現在、ドコモ口座への銀行口座の登録、変更は全面停止で、一部銀行のチャージ機能も制限されており、これから新規の被害が広がる可能性は低くなっています。
ただ既に被害を受けている可能性は否定できないので、不正利用が確認されている銀行の口座をお持ちの方は、残高や取引履歴の確認だけは行っておいてください。
2020年9月14日までに不正利用が確認されている銀行
- 七十七銀行、中国銀行、大垣共立銀行、東邦銀行、滋賀銀行、鳥取銀行、みちのく銀行、紀陽銀行、イオン銀行、ゆうちょ銀行、第三銀行
現状では口座情報の入手方法が判明していないので、利用者（ユーザー側）ができる対策としては従来どおりの対策（パスワードの管理、口座利用時のメール連絡、ワンタイムパスワードの利用、1日の利用上限設定）くらいになります。
昨年からフィッシング詐欺（メール）なども増えており、今回の事件に乗じた新たな手口も予想されるので、特にパスワードの入力は慎重に行ってください。
関連記事
