お水汲み当番(30A→20A)のブログ一覧

小学生でも、他人のdポイントやpontaポイントを簡単に盗めます。
そんな方法(＝セキュリティーホール)に気がつきました。

前の投稿に記したように、私のdポイントが抜き取られたことを契機として、いろいろ考えました。
ここで手口を書くとマネする奴が出て来るかも知れない……とも思ったのですが、
｢いやいや私ですら思いつくのだから、世の中の犯罪者は、とっくの昔に気がついている｣
はずです。

善良な市民が自己防衛するために、そして、ポイント業者が、ビジネスモデルの｢落とし穴｣を、ただちに解決することを促す材料として、公開します。

---

今回、dポイントを抜き取られたdポイントカードですが、バーコードを読み取るだけでポイントを店頭で使える形式になっています。

つまり、正規の番号さえ判明すれば、犯罪者はバーコードを偽造して、本物のdポイントカードの裏面に貼るだけで盗めるのです。
このカードをマツモトキヨシ等の店頭で提示して、換金性の高い商品、たとえば日本製の化粧品などを大量買いできるからです。

バーコード方式のポイントカードは、同様の犯罪手口に無力です。
pontaも同様。危険です。

以下、小学生でもできる手口について、解説します。

---

まず、正規の会員番号の収集方法です。
店頭に配布用として｢自由にお持ちください｣と、生カードの付いた申込書が置いてあるケースを見かけたことがある人も多いでしょう。

犯罪者は、その生カードの番号を写真orメモして帰ります。

1年ぐらい経ったら、他人が1年掛けて貯めたポイントを、収穫するのです。

正しい番号は分かっているし、そこに1年分のポイントが貯まっていることも分かっています。
あとは、ターゲットの会員番号をバーコード化するだけです。

バーコード印刷は、一部のパソコンは対応していますし、バーコード印刷のフリーソフトも出回っています。
(バーコードには規格が数種類ありますが、dポイントでは｢NW-7｣規格を使っています。
スタートキャラ/ストップキャラはともにD。
Dポイントだからでしょうか。
会員番号の頭と尻にDを付けてバーコード化するだけ。
暗号化すら、されていないのです。
このユルさ、NTTドコモのセキュリティ意識の欠落を示す傍証かも)

犯罪者が偽造するバーコードは、正しい番号をもとに作製されているので、店頭で怪しまれることはありません。

犯罪者は、頭も何も使う必要がないのです。
この手口なら、会員番号の解析をする必要すら、ないのですから。

番号をいくつか集めてチェックディジットを解析し、次々に会員番号を作製する……というのが高校生レベルの手口だとすると、今回書いたのは小学生でもできる手口ではないでしょうか。
(もっとも、私が被害に遭ったのは、この高校生レベルの手口のほうだと思いますが……)

---

つまり要するに、
(1) 店頭で生カードを配布するビジネスモデルそのものがアウト
なのだ、ということです。

(2) バーコードをレジで読む方式のカードは、ポイントを盗まれる、ということです。

バーコード方式のポイントカードに共通するセキュリティホールの存在を認識し、自己防衛するしかありません。

PONTAポイントは、｢会員ID｣の頭にB、尻にAを付け、バーコード化しただけです。
PONTAも同じ欠陥を抱えているのです。

また、楽天ポイントカードは、表側には会員番号の印刷はなく、ほんの少しだけセキュリティレベルは強いのですが、やはり裏面にはバーコードがあり、｢ポイントカード番号｣の頭と尻にAを付け、バーコード化したものを見せると買い物ができてしまいます。

ポイント業者は、火急的にバーコードでポイントを使える欠陥を凍結すべきだと思います。

しかし、バーコードだけでなく、磁気データであれ、手打ちで会員番号を入力するのであれ、とにかく会員番号だけでポイントを使えてしまう点こそが諸悪の根源です。

ここをなんとかしないと、問題の根本的な解決には至らないと思います。

以上の手口に対して、
利用者自身でできる対策は、ありません。

ポイントを貯めないことが、唯一の対策です。
こまめに使い尽くすこと。
それでも私のように被害に遭ったら、被害額が少額でも、ポイント業者に電話すること。
(このような電話が殺到することによってしか、システムの改善は計られないはずだからです)

最後に犯人へ告ぐ。
盗んだポイントを返してください。

PVレポートの数字と｢愛車ランキング｣に掲載されているPVの数字が、全然ちがうんですよね。

それぞれどういう意味なんでしょうか。
ナゾだ。

ｄポイントが消えた。

前回ログインした6日前まではタップリ貯まっていたのに。

1ポイントだけ残っているのは、今さっきｄポイントのサイトにログインしたサービスポイント、らしい。が、理由は不明。他の被害者も、1ポイントだけ残されていたらしいので、その手口の一環かも(20180914追記)

今日、山本一郎氏のブログで｢ｄポイントの不正｣について書かれていて、気になってログインしたら、このザマですよ。
ｄポイントは、致命的にセキュリティが甘く、ちょっと知識があれば誰でも自由に他人のポイントを盗めるらしい。

ポイントを盗むための｢ｄポイントカード番号｣を自動的に大量に生成できるのだというのだ。
記事を読んで、私も仕組みは完全に理解できた。アルゴリズムまで含めて完全に。

番号があれば、パスワード不要でポイントを抜ける。
これって完全にアウトでしょ。

道ばたに現金を置いておくレベルのセキュリティー水準だよ。



ドコモに電話して問い合わせたところ、
｢お調べして、調査できるかどうかを、数日後に回答する｣
のだそうな。
なぜ消えたのか、消えたのは何ポイントなのか、履歴すら、ドコモ側でも見えないそうな。

NTTドコモは、日本を代表するハイテク企業だと思っていたんだけど。


ｄポイントを貯めているみなさん。
ただちに使い切って、縁を切らないと、ヤバいよ。

ps.この件をきっかけに、dポイントを盗むメカニズムを研究してみました。
中学生でも盗める方法、こちらです。
【悪用禁止】dポイントを盗む方法。pontaポイントを盗む方法。楽天ポイントも。
https://minkara.carview.co.jp/userid/161350/blog/41959401/

ps2. Tポイントにも重大欠陥あり。【悪用禁止】Tポイントを盗む方法。
https://minkara.carview.co.jp/userid/161350/blog/42551450/

我が家はUPS(無停電電源)を備えていますが、
不意に長時間の停電に遭遇する可能性に備え、
生き残る方法を再確認しておくことにしました。



(前提)UPSの蓄電池の容量は大きくないので、停電時に
無駄に電気を消耗したくない。
調べたところ、私のUPSは100V 20Wなら90分間稼働する仕様です。

→パソコンを安全にシャットダウンしたら、
→最小限の電灯と電話、有線LANを使えるようにしたい。
→停電中はノートパソコンだけで通信する。

(1) UPS電源から光モデムと電話機1台へも配電する。
→家のブレーカーを切った上で実験したところ、問題なく
→電話を掛けられることを確認しました。
NTT光それ自体が止まったら、電話不能ですが、
こればかりは自分ではどうにもできない話です。

(2) パソコン本体はUPS電源を通していますが、ディスプレーは
一般回線に下ろすことにしました。(電気食うから)
→停電の際に、ディスプレーを見ずにパソコン本体を
→シャットダウンする手順の確認が必要。

そこで調べた結果、電源ボタンにシャットダウン機能を
設定することにしました。(こんな設定が可能なんですね)

わが家はWindows7機ですので、そのことを前提に、

コントロールパネル→
ハードウェアとサウンド→
電源オプション→
電源ボタンの定義→
電源ボタンを押したときの動作｢シャットダウン｣を選択→
→OK

これで、緊急時には電源ボタンを押すだけで、
本体は故障させずに安全にシャットダウンすることが
できるようになります。
パソコンで上書きしていないデータは消えますが、
それだけはやむを得ないものと考えることにしました。

あとは、電気スタンド系統もUPS回線に回しておけば
ひとまず情報系だけは数日の停電に耐えられるかな。


家の中にひとつだけでも明かりが確保できれば、それは
とても安心だと思うので、配線を変更しました。
と言っても、13Wの蛍光灯なので、付けっぱなしだと2時間強、持つ程度。

ないよりはマシかと思いますが……。

写真に写っているコンセントもUPS経由なので、
光モデムの動作と、携帯の充電ぐらいであれば、数日間の停電中は
充分に運用できるかな。

それと、日曜大工店で購入した｢セミパッチン｣という商品がありまして、
これは昔の工作なのですが、冷蔵庫にエポキシボンドで接着してあります。


地震が来ても扉が開かないようにするための準備です。

停電中、冷凍庫のフタが少しでも開いてしまうと、
中身はアッという間に全滅してしまうので、その対策です。

ps リスクを洗い出していて気づいたのですが、UPSが転げ回ると
悲惨なことになるので、きちんと固定することにしました。

思いたったが吉日なので、さっそく固定した写真です。

こいつ、けっこう重たいから、地震の時に走られてしまうと、
コードを引き抜かれたり、いろんな物にぶつかったりして、
悲惨なことになる可能性がありました。

そういうリスクの存在に気がついて、よかったです。

私の車のナビは外付け。5～6年ぐらい前に買った品です。

会社の車にも、まったく同じ外観、同じソフトが使われているナビを付けていて、こちらのほうが新しい商品なのですが、3年で壊れました。

両者の違いは、私のは充電池非内蔵、会社のは充電池内蔵って点だけです。
どちらも購入価格は約1万円でした。

会社のナビよりも前に買った私のナビ。
充電池が内蔵されていないので、買った当時は不満でした。
持ち運んで使うことができないからです。

しかしよくよく考えてみると、ナビを車から持ち出してアウトドアで使うことは事実上ありません。

逆に充電池が入っていないお蔭で、今でも何の問題もなく作動しています。

地図の更新も、メーカー側は更新対応は3年と謳っているものの、実は地図更新ファイルって、同社の全ナビ共通で1種類なので、事実上、無期限無制限に更新できています。

というわけで、充電式の家電品全般について、認識を一新しました。
充電池こそが故障要因の最大のものであり、いわゆる｢ソニータイマー｣の正体であるのだな、と。

長い目でコストを考えると、充電式の電気製品は、コード式のものには太刀打ちできないな、と。

以下、余談ですが、さきほど日立の充電シェーバーを分解して、ニッカド電池にDIYで入れ換え、延命してみました。この程度の｢非精密機器｣なら自分でなんとかできるけど、精密機械で電池が死んだら全体を捨てねばならないというのは、いかにも環境に対してやさしくないだろうと思うのでした。