「ドコモ口座」で不正出金の問題点と被害防止対策

ドコモ口座による不正出金、ドコモ口座利用者でなくドコモ口座未利用者が被害に遭うという何とも不安が募るばかりの事件になっています。

被害に遭うのは、ドコモ口座を利用している人でなく、利用してない人

今、大問題になっているドコモ口座の不正出金の被害に遭ってしまう可能性がある人は、ドコモ口座を既に利用している人でなく、ドコモ口座を利用してない人なのです。

連日の報道で「ドコモ口座」という言葉を初めて聞いた、何度も聞いたけど、私には関係ないと思っている方が多いことでしょう。

・ドコモ口座使っていない、持ってないから関係ない。
・携帯がドコモじゃないから関係ない。
・インターネットネットバンキング使ってないから大丈夫。
・銀行がドコモ口座登録を止めたと言ってるから、もう安心。
・被害があれば、ドコモや銀行から連絡があるのではないか?連絡無いし、大丈夫。
・被害が発生している銀行でないから安心。

と思っている方も多いでしょう。しかし、これらは全て大きな誤解で、実は、そんな方こそ、既に知らない間に被害に遭っているかもしれないという恐ろしい状態なのです。

※あなたが被害に遭う可能性のある対象の銀行口座の一覧や、対象口座を持っていた場合の対処方法は、当記事、一番最後に、まとめてあります。

不正出金の被害に遭ってしまう過程について簡単に説明すると、

  1. あなたの偽者が、勝手にあなたの名前でドコモ口座を開設(本人確認なしで開設可能)。
  2. あなたの偽者は、開設したドコモ口座とあなたの持っている実在の銀行口座と接続・連携。
    あなたの偽者によって勝手に作られてしまったドコモ口座とあなたの実在の銀行口座と接続・連携が完了しても、銀行からあなたに対して通知等の連絡は一切無し。
  3. あなたの偽者は、あなたの実在の口座からドコモ口座にお金を引き出す。
  4. あなたは、通帳記帳等して、「ドコモコウザ」「デイーバライ」という身に覚えのない引き落としに気づいて、初めて、不正にお金を引き出されたことに気づきます

※対象の銀行(当記事の最後に一覧あり)の利用者でご自分自身で既にドコモ口座・d払いと銀行口座の接続・連携済みの方は、同じ銀行口座に対して1つのドコモ口座・d払いとの銀行口座の接続・連携しかできないので安心して下さい。

あなたの偽者のドコモ口座と銀行口座の接続・連携の手口については、以下説明していきます。

ドコモ口座の匿名開設可能が問題??

ドコモ口座は、プリペイドの電子マネー、あるいはユーザー同士の送金に利用できるサービスです。本人確認なしで使える「ドコモ口座(プリペイド)」と、本人確認が必要な「ドコモ口座」の2種類があります。

プリペイドでは送金できないが、本人確認が求められる「ドコモ口座」は資金移動業としてのサービスになり、送金機能を使えるようになります。

dアカウントだけで使う場合は、本人確認なしで「ドコモ口座(プリペイド)」を開設できます。しかし、銀行口座を「ドコモ口座(プリペイド)」へ登録すれば、本人確認とみなし、通常の「ドコモ口座」に切り替わり、送金機能を使えるようになります。

ドコモ口座と接続・連携可能な銀行の利用者でご自分自身で既にドコモ口座・d払いと銀行口座の接続・連携済みの方は、同じ銀行口座に対して1つのドコモ口座・d払いとの銀行口座の接続・連携しかできないので安心して下さい。ドコモ口座と接続・連携をしてない方が、要注意です!!

 

2020/9/9 18:30追記

NTTドコモは、再発を防ぐため、ドコモ口座を開く際の本人確認を強化する方針を固めました。

具体的には、これまでのメールアドレスによる本人確認を取りやめ、必ず携帯電話の番号を入力してもらい、その携帯電話にショートメールで届いた暗証番号を入力してもらう仕組みに改める方針です。

NTTドコモの強化策、全く無意味、今回の事件の原因を理解してないと思ってしまうのは、筆者だけでしょうか??
ドコモ口座を、本人でない第三者が開設できてしまうのが問題の原点であり、メールアドレス確認がショートメールでの確認に代わっても、本人でない悪意を持つ第三者が他人名義のドコモ口座を開設できてしまうと思うのは筆者だけ??ショートメールを送った携帯電話の番号とドコモ口座と接続・連携する銀行口座に登録されている携帯電話の番号が一致の必要があるくらいにしないと、今回のような被害は防げないと考えるのは、筆者だけでしょうか??

2020/9/10 追記

NTTドコモの強化策が追加されました。

銀行口座登録時のeKYCの実施

対策として9月末には、本人確認をオンライン本人確認システム(eKYC)を行なう仕組みを導入。さらにSMS認証についても可及的速やかに導入する予定。1~2カ月でこれらの対策を完了し、その後新規の口座登録を再開予定とのこと。
本人確認として、オンライン本人確認システム(eKYC)導入で、やっとまともな本人確認の仕組みが実施されるようになったかと思うばかりです。

実は、銀行口座登録で本人確認とみなすサービスは、他にもあり!!

「ドコモ口座」同様に、銀行口座を登録すれば本人確認とみなすというサービスは、色々とあります。筆者が確認できただけでも、PayPayやPringやLINE Payなども同様の本人確認のシステムを採用しています。あなたの偽者によって、PayPayやPringやLINE Payなども不正利用されてしまうと、ドコモ口座同様に不正出金を可能にしてしまいます。

以下、PayPayの銀行座を利用しての本人確認の方法

■銀行口座の認証を利用する

チャージ用の銀行口座を登録している場合、その情報を利用して本人確認ができます。

  1. PayPayアプリのホーム画面右下の[アカウント]をタップ
  2. [アカウント情報]または右上の[詳細]をタップ
  3. [本人確認]をタップ
  4. [銀行口座で確認]をタップ
  5. お客様ご自身の情報(氏名や住所)、利用目的を入力
  6. 入力した情報の確認がとれれば完了

以下、pringの銀行座を利用しての本人確認の方法

本人確認が必要です。本人確認には、銀行口座の登録、もしくは、郵送での手続きが必要になります。
※郵送での本人確認の場合、3〜5営業日かかります。
※銀行口座のご登録時に「※審査に3営業日程必要です」と表示されますが、迅速に対応させていただきます。
以下、LINE Payの銀行座を利用しての本人確認の方法
■LINE Payでは2つの本人確認方法をご利用いただけます!
LINE > ウォレット >LINE Payメインメニュー > 設定 > 本人確認 と進みます。
1)銀行口座で本人確認
銀行口座を登録すると本人確認が完了します!チャージや出金をもっと便利に!
※銀行口座が必要です。(銀行口座の認証情報はLINE Payで保持せず銀行側で管理しています。)詳しい銀行口座の登録方法はこちら2)スマホでかんたん本人確認
「スマホでかんたん本人確認」では下記の3つを行うことで本人確認の申請が完了します。
上記のように、ドコモ口座だけでなく、他の有名事業者も、銀行口座登録によって本人確認とみなすというシステムを採用しているのが実態です。このような問題になりそうな本人確認が、業界全体で多く採用されていることが問題です。
現に、詳細は不明ですが、PayPayは、過去に、今回のドコモ口座同様の不正があったことを認めています(「ドコモ口座」以外で金融機関からの不正引き出しは? PayPayはあり、au PAYはなし ケータイWatch)。
ということは、他社サービスでも、今回のドコモ口座の同様の犯罪が十分起こりうる可能性があるということです。

被害に遭った銀行のセキュリティが甘いのが原因??

今回被害が発生しているのはいずれも地方銀行ばかりとなっています。地方銀行だから、セキュリティが甘いのではと考えがちですが、被害に遭った銀行のWebサイトを見てみると、今のセキュリティの主流のワンタイムパスワードなどを採用している銀行がほとんどでした。
今回、セキュリティが甘かったのは、ドコモ口座と各地方銀行との接続・連携を行う地銀ネットワークサービスの「Web口振受付サービス」にセキュリティの甘さがありました。
ドコモは、ITmedia NEWSの取材に対し「被害のあった銀行はいずれも『Web口振受付サービス』を使ってドコモ口座と連携していた」と話しています。
「Web口振受付サービス」は、地銀ネットワークサービス(東京都中央区)が提供する、収納企業(決済サービス提供社)と地方銀行の連携サービス。利用者は収納企業のWebサイトを通じて預金口座振替の新規登録などの手続きを行えます。
利用者が自身のドコモ口座へ銀行口座から入金するには、ドコモ口座のWebサイトから銀行口座を登録する必要があり、その登録には、ドコモは「銀行のWebサイト側での作業ではあるが、いずれの銀行も登録には『口座番号』『名義』『4桁の暗証番号』の3点を利用していた」と明かしています。各銀行が、ワンタイムパスワードなどのセキュリティを構築していても、それを不要にして、「口座番号」「名義」「4桁の暗証番号」の3点だけで登録可能にしていたのが、地銀ネットワークサービスの「Web口振受付サービス」です。PayPayやPringの銀行の登録方法で、被害に遭った銀行の登録方法を見ると、ドコモ口座と同様に「口座番号」「名義」「4桁の暗証番号」の3点だけで登録可能になっています。
犯人が使ったと考えられる不正ログインを可能にした手口は、これらの口座情報が何らかの理由で悪意を持つ第三者に漏れたことが不正利用の一因ではないかという考えと、パスワード(当事件の場合は、4桁の暗証番号)を固定し、口座番号やユーザーIDをツールなどを使って片端から試していくリバースブルートフォース攻撃が行われたのではとも考えられています。暗証番号ではなく、口座番号や口座名義をそもそも変えてしまえば、それぞれに対するログインは1回ずつになります。そのため、口座が凍結されることもなく、利用者が不正ログインに気づきにくい手法と言えます。
また、ドコモ口座は、スマートフォンやタブレットからだけでなくPCからも操作可能であり、PCからも操作可能ということが、リバースブルートフォース攻撃等を行うための不正プログラムの稼働を可能にしてしまったとも考えられます。
ドコモ口座対応の地方銀行の中で、京都銀行や広島銀行だけは、「口座番号」「名義」「4桁の暗証番号」以外に、「銀行に登録されたお電話(登録手続き中に、銀行より電話番号にお電話があります)」と登録のためのセキュリティが高くなっています。
以下は、PayPayへの京都銀行の口座の登録案内
銀行や銀行の関連が取るべき対策として、アプリとの連携に4桁の暗証番号を使うのをやめる、または、それに加えネットバンキングと同等のワンタイムパスワード等のセキュリティ対策の整備が緊急の課題と言えるでしょう。
ただし、各銀行をまとめていた地銀ネットワークサービスが、各銀行の異なる規格のセキュリティシステムをまとめることは容易ではないでしょう。だからと言って、整備が遅れ、利用者自身が危険に晒されることが許されるわけではありません。銀行独自のセキュリティ整備が必要となってきますが、それには銀行の資金力も関係するようになり、銀行の生き残りをかけた、合併等の銀行再編のきっけとなる課題になっていくかもしれません。

ドコモ口座と連携可能な銀行全35行の対応状況

2020年9月15日現在のドコモ口座と接続・連携可能な銀行全35行の対応状況です。
新規登録を可能としている銀行もありますが、ドコモは、ドコモ口座に対して、2020年9月10日から全35行からの口座の新規登録を当面停止すると発表しています。
銀行別対応状況(○:可能、×:停止)
銀行名新規登録チャージ不正被害
みずほ銀行×未確認
三井住友銀行×未確認
ゆうちょ銀行××報告あり
イオン銀行××報告あり
伊予銀行××未確認
池田泉州銀行××未確認
愛媛銀行××未確認
大分銀行××言及なし
大垣共立銀行××報告あり
紀陽銀行××報告あり
京都銀行×未確認
滋賀銀行××報告あり
静岡銀行××未確認
七十七銀行××報告あり
十六銀行××言及なし
スルガ銀行×言及なし
仙台銀行××未確認
ソニー銀行×言及なし
但馬銀行××未確認
第三銀行××報告あり
千葉銀行××未確認
千葉興業銀行××未確認
中国銀行××報告あり
東邦銀行××報告あり
鳥取銀行××報告あり
南都銀行×未確認
西日本シティ銀行×未確認
八十二銀行×未確認
肥後銀行×未確認
百十四銀行×未確認
広島銀行××未確認
福岡銀行×未確認
北洋銀行××未確認
みちのく銀行××報告あり
琉球銀行××未確認

対策 ドコモ口座連携可能な銀行利用者は、確認必須!

以下の銀行の利用者でご自分自身で既にドコモ口座・d払いと銀行口座の接続・連携済みの方は、同じ銀行口座に対して1つのドコモ口座・d払いとの銀行口座の接続・連携しかできないので安心して下さい。

確認必須対象銀行(ドコモ口座と『口座番号』『名義』『4桁の暗証番号』だけで接続・連携可能な銀行)

以下の銀行の利用者でドコモ口座・d払いと銀行口座の接続・連携をしてない方は、次のことを今すぐにでも必ず確認・実施して下さい。

  • 七十七銀行(被害報告あり)
  • 中国銀行(被害報告あり)
  • 大垣共立銀行(被害報告あり)
  • イオン銀行(被害報告あり)
  • 池田泉州銀行
  • 大分銀行
  • 紀陽銀行(被害報告あり)
  • 滋賀銀行(被害報告あり)
  • 仙台銀行
  • 第三銀行(被害報告あり)
  • 但馬銀行
  • 鳥取銀行(被害報告あり)
  • 北洋銀行
  • みちのく銀行(被害報告あり)
  • 伊予銀行
  • 東邦銀行(被害報告あり)
  • 琉球銀行
  • ゆうちょ銀行(被害報告あり)

不正出金の被害に遭わないために確認・実施すべきこと

  1. 通帳記入、入出金記録を確認し、「ドコモコウザ」「デイーバライ」という身に覚えがない出金がないか確認
  2. キャッシュカードの暗証番号の変更(ドコモ口座で被害は受けなかったけれど、他のサービスで被害を受ける可能性があり。ドコモ口座と同様に「口座番号」「名義」「4桁の暗証番号」の3点だけで、あなたの実在の口座と接続・連携できてしまうサービスは、他にもあり!ドコモ口座を利用して「口座番号」「名義」「4桁の暗証番号」が有効であることが確認できた口座に対して、今回の事件が沈静化された頃に他のサービスを使って接続・連携され不正出金の被害を受ける危険性があり!詳細はこちら「ドコモ口座不正出金の類似事件の可能性と巻き込まれないように簡単にできること」
  3. 自分の上記の口座が、ドコモ口座・d払いとの接続・連携がされてないかの銀行に対して確認(何者かに勝手にドコモ口座・d払いとの接続・連携がされてしまっていた場合、今までは被害に遭って無くても、今後、被害に遭う可能性が十分にあります。接続・連携の記録は、本人に通知されていなくても、銀行には記録が残っており、身に覚えのない手続きの記録も知ることができます。)
  4. 自分の口座が何者かに勝手にドコモ口座・d払いとの接続・連携がされてしまっていた場合、至急、全額(定期預金も含む)を口座から引き出し及び自動貸付の停止を行って下さい(普通預金が残高0円でも、定期預金残高や自動貸付ローン機能がある場合、定期預金や自動貸付から自動的に借りる形で普通預金から引き落としがされます。その場合、普通預金には、-○○○円で表示)。そして、銀行へ、至急連絡し、ドコモ口座・d払いとの接続・連携を解除してもらって下さい。

※2020年9月9日より、NTTドコモは、ドコモ口座対応全銀行の35行の口座とドコモ口座との新規の接続・連携の受付停止措置を実施しました。
よって、2020年9月9日現在、被害に遭ってない方や上記口座とドコモ口座・d払いとの未接続・未連携が確認できた方は安心して下さい

あわせて読みたい

2020年9月10日に、ドコモがドコモ口座の不正出金についての会見を行い、被害者への補償や今後の対策などについても発表しました。果たして、これだけで十分なのか?問題が解決されたのか?と筆者は、疑問に思っています。「ドコモ口座」不[…]

広告