第３者による不法アクセスについて

質問

最近自分の知らない不在時間に某オークションでプライベートＩＤとＰＡＳＳで第３者の不法アクセスにより３０数点の商品（偽者ブランドの高級時計？）が出品されました。
出品時間は午前０時過ぎで規約違反出品のアラームメールが届いたのが午前３時頃、利用停止措置が午前９時で被害は出品料などで大事には至りませんでした。
その間落札メール・質問メールが数件ありましたが利用停止措置で全てキャンセルされました。

早速プレミアム会員を脱退、ＰＡＳＳを【数字５桁＋英字３桁】から【数字１０桁＋英字３桁】に変更しました。
登録情報も確認しましたが書き換えられていませんでした。

そこでログイン履歴を調査しましたら「ドイツのＩＰアドレス」「中国のＩＰアドレス」で該当の時間を含む前後にアクセスされていました。
ＰＡＳＳを変更した後も海外のＩＰアドレスでアクセスされていましたがＰＡＳＳを変更したゆえ、ログインに失敗していました。

そこで経験者・専門家の方にお聞きします。
(1)このような無限大に近いＰＡＳＳを第３者が知る方法はありますでしょうか？
　因みに自分は自宅と会社でしかログインをしたことがありません。
(2)第３者は何の目的で出品したのでしょうか？
(3)某オークション会社にシステムの改善を求めるとしたらどのようなことがあるでしょうか？

回答No.3

musion · ベストアンサー

ここ数日に同様の被害に遭った者です。
高級時計の違法コピーを出品された点も同じです。
幸い１時間以内に気付いて落札される前に全て取り消しましたが、出品手数料は返却されそうにありません。

自分の場合は東南アジアのIPアドレスからのアクセスでしたが、プロクシを通せば何とでもなります。商品説明や落札通知の文章は日本語でしたが、明らかに日本人の文章ではありませんでした。振込口座は某ネットバンクの口座で、どうせ違法に入手したものでしょう。

(1)このような無限大に近いＰＡＳＳを第３者が知る方法はありますでしょうか？

可能性で言えばフィッシング、スパイウェア（キーロガー）、総当りなどですね。
もし他のサイトで同じようなパスワードを設定していれば、そちらから情報漏洩した可能性もあります。
またYahooの場合は、メールアドレスがわかればメルアド用のニックネームでもログインできてしまいます。自分の場合は本IDではなく、メルアドに使っているニックネームでログインされていました。sentakuyaさんのケースと違ってパスワードが変更されていて、かつログイン失敗の形跡がなかったので、パスワードを再発行された可能性もあります。新パスワードを画面に表示させれば、通知メールが送信されないので痕跡が残らないのです。
もちろん秘密の質問の答えは他人には類推困難なものにしていましたが、パスワードと違って変えられない（例外あり）ので、総当りで破れないとは言い切れません。
某社の情報漏洩も疑っていますが、まともな会社なら、顧客のパスワードは暗号化されて社員も見られないはずです（少なくともバイト～一般社員は）。せいぜいパスワードをリセットして別のパスワードに変更できるぐらいでしょう。sentakuyaさんの場合はパスワードは変更されていないので、パスワード自体が漏洩しているんですよね。とするとフィッシングの可能性の方が高いかもしれません。今回いろいろ調べましたが、想像以上にフィッシングでやられてるようです。

(2)第３者は何の目的で出品したのでしょうか？

振り込ませておいて商品は送らない詐欺でしょうね。
落札通知の内容は確認しましたか？自分の場合はすっかり書き換えられていました。
希望落札価格を設定し、落札通知に詐欺口座を書いておけば、すぐに振り込む落札者がいるかもしれません。
直接取引を誘う文章に引っかかるケースもありそうです。
本人確認も出品手数料の負担もなく罠を仕掛けられる訳です。
もし落札通知も変更されていなければ、作業の途中で停止になったのかもしれませんね。

(3)某オークション会社にシステムの改善を求めるとしたらどのようなことがあるでしょうか？

自分の経験では以下のような改善が必要と思いました。

１．パスワードを初めとする登録情報を変更した場合は、いかなる場合でも、その都度登録メールに通知する。特に、パスワード再発行で新パスワードを画面表示させた場合にも通知メールを送る。
２．本ID以外の各ニックネームについて、ログイン可否を設定できるようにする。
３．パスワードを定期的に強制的に変更させる（変更しないと先に進めない）。
４．パスワード再発行時の秘密の質問の答えを、本人以外は推測困難な情報にするよう厳重に注意を促す。
５．ログイン履歴をかなり過去にさかのぼって閲覧できるようにしておく。
６．ID不正利用の報告があったら、ログイン履歴の提供や分析などを行い、原因究明に協力する。

あと、以下の２つを採用すれば不正利用はかなり困難になると思います。
究極はネットバンク並みのログインシステムということですね。

７．ログイン可能なIPアドレスを限定できるようにする。
８．ＪＮＢのようなトークン・ワンタイムパスワードを採用する。

某社のログインシステムが各サービス共通であることの問題点には同意です。
でもそれが使いやすさにつながっていると言えるでしょう。

最後に、不正利用をできるだけ防ぎつつ某オクを使うために、個人的にできることとしては、

・メールは他社のを使う。
・必要時以外はプレミアムを停止しておく。
・ログイン時は常に、フィッシングでないか十分に確認する。

お礼

敢えて〆切をしませんでしたがここでお礼申し上げます。

ご存知でしょうが９月１８日（木）にメールが届き大きな展開がありました。

しかし現在利用停止の解除について申し入れをしています。
理由(1)当時直前に落札した方と音信不通であること。
理由(2)常連さんがあり信頼関係がなくなっています。

補足

回答ありがとうございます。

わたしの事例の場合は質問にも書かせていただきましたが深夜で気がついたのが当日の夕刻でした。
数百通の「出品」「違法」「質問」「落札」「利用停止」「出品取消」メールをプライベートアドレスで確認、システムが暴走したのではと疑いました。よって、実際の出品内容（ＨＴＭＬ）は見ていません。

今はメールだけを記念（？）に残しています。

「スパイウェア」「キーロガー」に関しても某オークション会社から聞きました。
ＩＴ化・情報化のくだらない副産物でこの副産物を生産している暇人を哀れみます。

また私の場合登録情報の変更作業前の利用停止措置で事無きを得たと推測します。

また、システム改善に関しては多くの案をありがとうございました。
相手にされないでしょうが某オークション会社にアレンジして申し入れします。許可願います。

回答No.2

cl37564

同じような被害に遭った者です
現在、いろいろと対応に奔走している最中ですが、よければ参考にしてください。

＞(1)このような無限大に近いＰＡＳＳを第３者が知る方法はありますでしょうか？

スパイウェアでパソコンに侵入し、パソコンに残っていた記録から手に入れた可能性が高いです
このようなスパイウェアは知らぬ間に侵入しますが、これの怖いところはサイトを巡回してる中でも知らぬ間に入るとともに、セキュリティソフトを入れていても侵入されることです。
私もソフトを２つ入れていましたが、更新前のわずかな状態でのスキをつかれて情報を抜かれたようです

＞(2)第３者は何の目的で出品したのでしょうか？

出品し、入金させ、トンズらするつもりだったのではないでしょうか？
yahooですと、責任はID利用者に全部押しつけられますので・・・（自己責任の名のもとで）

＞(3)某オークション会社にシステムの改善を求めるとしたらどのようなことがあるでしょうか？

私の場合は、大量出品をされたのが不正アクセスだったとオークション側は認めたのにもかかわらず、システム手数料をきっちり請求されています。
オークション側の対応策や、その他の回答を含めまして、このことには納得できないため、支払いを拒否するべく奔走しているわけです。

システム手数料といった部分について確認してはいかがでしょうか？

私の意見についても参考をいただけたら幸いです

お礼

敢えて〆切をしませんでしたがここでお礼申し上げます。

ご存知でしょうが９月１８日（木）にメールが届き大きな展開がありました。

しかし現在利用停止の解除について申し入れをしています。
理由(1)当時直前に落札した方と音信不通であること。
理由(2)常連さんがあり信頼関係がなくなっています。

補足

情報ありがとうございます。

まさに私も戦っている最中ですし、某オークション会社は検索でこのＵＲＬを注目しているかもわかりませんので控え目に書かして頂きます。

個人的には某オークション会社のシステムによって迅速な利用停止措置で最小限の被害になったことで感謝しているのも事実です。
と言うことで利用料金の支払いは致し方なしと割り切っています。

仰るようにスパイウェアならＰＡＳＳをいくら複雑にしても無理でしょう。
ならば、第２の暗証ＰＡＳＳをシステムに導入したらどうでしょうか？

第２の暗証ＰＡＳＳとはその都度システムから要求される１０桁以上の英数字で、この１０桁以上の英数字は然るべき要件を満たした者が某オークション会社から与えられるものです。

大体、このように金銭が絡むオークションのＰＡＳＳとＷＥＢメールなどのＰＡＳＳが同じレベルであることが一番の問題と考えますが皆様如何でしょうか？

ＰＳ：既に述べましたが第３者が登録情報を変更せずにお金を取り逃げすることは不可能と思っています。

回答No.1

tekcycle

決して詳しい者ではありません。

> そこでログイン履歴を調査しましたら「ドイツのＩＰアドレス」
> 「中国のＩＰアドレス」で該当の時間を含む前後にアクセスされていました。

では、この前は？
この前段は、全てあなたのアクセスか、それともログイン失敗がいくつもあるのか。

> (1)このような無限大に近いＰＡＳＳを第３者が知る方法はありますでしょうか？

情報漏れということは？
厳密にどういう呼び方がされているのか知りませんが、ウィルスやらスパイウェアやらで情報が漏れているという可能性は？
Winnyのようなファイル共有ソフトへのウィルスから漏れている可能性も。
自分のPCなら管理できる人は管理できるでしょうが、会社のPCは管理が甘ければ、バカがバカやっている可能性もあるでしょう。
あくまで一般論で、あなたの環境がどうか全く判りませんが。
一発ログインであるなら情報漏れの可能性が高くないでしょうか。
トライアンドエラーログインならその後段のようになりそうな物です。
あとは、簡単に推測できるようなパスワードを使っていたとか。

あなたのPCは、ちゃんとファイヤーウォールやウィルス対策ソフトが動いているでしょうか？
そしてウィルスのチェックはしているでしょうか？
会社のPCはどうでしょう。
管理体制に問題はないでしょうか？

> (2)第３者は何の目的で出品したのでしょうか？

何の目的って、偽ブランド品もアリでしょうが、金だけ取って逃げるという手もアリでしょう。
落札者に対する一次的な責任は全部あなた、という。
ヤフーなら出品者の所在確認を回避できるということにもなるでしょう。

まず原因が判らないと対処は見えてこないと思います。
オークション主催者の責任であるのならそれを立証しないと。
可能性は０ではありません。
バイトや社員がしでかしている可能性がありますから。
責任の有無ではなく、オークション主催者が対策を立てるにしても、やはり原因が判らないと。

コンピューターか、あればセキュリティーのカテで訊いた方が良いかも知れません。
あなたの知識レベルが今一判りませんので参考になったかどうか判りませんが。

お礼

敢えて〆切をしませんでしたがここでお礼申し上げます。

ご存知でしょうが９月１８日（木）にメールが届き大きな展開がありました。

しかし現在利用停止の解除について申し入れをしています。
理由(1)当時直前に落札した方と音信不通であること。
理由(2)常連さんがあり信頼関係がなくなっています。

補足

早々のアドバイスに感謝します。
自分のコンピュータに対する知識レベルは中の下ぐらいでしょうかね。
自宅も会社のＰＣにも「ウィルスバスター」をインストールして予約検索も週１回実施しています。
また「共有ソフト」など高度なものは存在していません。

では補足をします。
(1)第３者による出品の１週間前ぐらいに突然一発で海外サーバーからアクセス成功しています。
(2)第３者が登録情報を変更せずにお金を取り逃げすることは不可能と思っています。

某オークション会社は何を言ってもこちらが立証しなければのらりくらり逃げるのは目に見えています。
このようなことが稀なら某オークション会社では握り潰すでしょうし、他の方が同じ目を見ないような再発防止策をなんとか伝えたいと思いまして何でも教えていただければ幸いです。

わたしが某社に言いたいのは内部で情報漏洩していないかを調査して欲しいことです。