パスワードを忘れた? アカウント作成
16488 story

Phishingで詐取したYahoo! IDを売った男が逮捕される 53

ストーリー by yoosee
裏市場があるんだろうか 部門より

あるAnonymous Coward 曰く、

朝日新聞の記事読売新聞の記事によると、偽のYahoo!サイトを使って取得したIDとパスワード、約4000件を他人に提供した疑いで、福岡県のホームページ製作会社専務の男を不正アクセス禁止法違反の容疑で逮捕したと、茨城県警、熊本県警、岡山県警、福岡県警の合同捜査本部が発表したそうだ。 男はIDを売って計約1000万円を稼いでいたという。不正アクセス禁止法は第4条で、他人の識別符号(IDとパスワード等)をそれがどこで使えるものかわかる形で(その識別符号の利用権者以外に)提供する行為を禁止しており、罰則として「30万円以下の罰金」が定められている。

また、この事件との関係は定かでないが、別の読売新聞の記事によると、オークションサイトに1100件以上の架空出品をして約2億1000万円を騙し取っていた詐欺グループが、詐欺と不正アクセス禁止法違反の罪で起訴されたとのこと。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • 流出の実際 (スコア:5, 参考になる)

    by Anonymous Coward on 2007年10月17日 3時29分 (#1234908)
    レンタルサーバーを運営していますが、何度かYahooのフィッシングサイトを作られたことがあります。
    たいていはネットカフェやプロキシを通してYahooを連想させるアカウントを取得し、数日後ホットスポットなどからFTPでサイトをアップ。
    さらに数日後、Yahooからの連絡を偽ったメールを多数配信し、そのサイトに誘導。
    入力されたIDとパスワードをフリーメールに送信させる。
    という手法でした。
    犯人は一連のこの作業を、一切自分からアップしたサイトにアクセスせずにこなしていたので(メール送信のCGIが正常に動作するかのチェックすらしない)、かなり手馴れた感はありました。

    今はswatchなどの監視からフィッシングサイトをアップした時点で発見、即座に利用停止に至ることが多いのですが、以前は気づかず何度か利用されてしまったことがありました。

    フィッシングサイトにかかってしまったことに気づいた人は、まずYahooに連絡を入れますので、たいていはYahooからレンタルサーバーへ利用停止のお願いのメールが届くのですが、その際にYahooは、サーバーのログの開示や、流出したIDとパスワードが何件だったのかとか、こちらには求めてこないんですね。
    フィッシングサイトがあるので停止してください、という主旨の簡単な連絡のみで。
    おそらくそうした案件が多すぎて、いちいち情報開示請求してられないんだと思いますが、IDとパスワードが抜かれているのにホントにそんな対応だけでいいの? と疑問に思ってしまうことはありました。

    いずれにしてもレンタルサーバー側としては、いたちごっこの頭の痛い問題だったので、犯人検挙は嬉しいニュースです。
    • by Anonymous Coward
      その際にYahooは、サーバーのログの開示や、流出したIDとパスワードが何件だったのかとか、こちらには求めてこないんですね。

      求めたら答えてくれるの?答えてくれるなら幾らでも求めるとは思うが、組織としては当然の対応だと思うよ。

      とりあえずオレは、"あなたにはなんのメリットもありませんがタダ働きしてください"なんて言えない。

      • Re:流出の実際 (スコア:1, 参考になる)

        by Anonymous Coward on 2007年10月17日 10時35分 (#1234995)
        答えるためには諸手続きが必要になります。
        電気通信事業者はどこもそうですが、サーバーのログを情報を第三者に開示するためには、プロバイダ責任法にのっとった形での情報開示請求手続きを行う必要があります。
        Yahooはそれが面倒だったのではないでしょうか。

        その点JASRACなどは、著作権を侵害しているMP3やFlashをみつけたら即座に情報開示請求書を郵送してきますからね。
        行動力だけは飛びぬけています。
        親コメント
        • by Anonymous Coward
          まず第一に手続きを踏まなくても請求はできる。第二に全てが特定電気通信役務提供者ではない。
    • by Anonymous Coward
      レンタルサーバのサイトのQ&Aとかで仕様が細かく書いてあったら確認っていらないんじゃ・・・

      #嘘が書いてあるのなら確認が必要かと思いますが・・・
      • by Anonymous Coward
        まともなソフトを書いたことはもちろん、 cgi の一本も設置したことないだろ。
        • by Anonymous Coward
          誤解されていたらごめんなさい。
          仕様がわかってたらそもそもレンタルサーバ側で動作確認なんていらないですよね?
          CGIの場合、動かす場所(cgi-binとか特定の場所でしか動かないとか)とファイルの置き場所(htmlとか画像とかをcgi-binとかに置いても読めないようにしてあったり)とか今回の場合はメール送信用PG(モジュール使用?)の場所とかある程度想定できたらローカルでそれなりに動いていたらサーバ側での動作確認はいらないのではないでしょうか?
          • by Anonymous Coward
            >ローカルでそれなりに動いていたらサーバ側での動作確認はいらない

            「できる」と「やる」は違う。
            それを「確認もせず」に自信をもってこなし、実際に間違いなく動かせることを「手馴れた様子」という。
            そしてそれを確実にこなせる奴は「動作確認なんていらない」なんてことを気軽に言ったりしない。
  • by kabutch (30040) <kabutch@gmail.com> on 2007年10月17日 10時07分 (#1234986) 日記
    私のフリーメールのアドレスに、大量のyahooドメインからの迷惑メールが来ている(発信元詐称もあるでしょうが)ことから考えると、迷惑メール発信用という目的もあるのではないでしょうか?
    普通にyahooのフリーメールを利用している人もいるので、他のドメインと違って受信側が「ドメイン単位での受信拒否」をしづらいことを悪用しているのかもしれません。

    #最近は海外yahooやso-netも多い
    • by SNT (23129) on 2007年10月17日 13時05分 (#1235060)
      それは本当にyahooのサーバから?
      smtpは送信元を偽装できます。(というプロトコルだし)
      そのため、適当に拾ったや生成したアドレスを返信先にして送りつけることが可能です。
      スパムは返信されることよりも、その中のリンクを踏ませることのほうが重要なので、
      返信可能なアドレスでなくても問題ありません。
      単にspamフィルターを貫通したいがために、みながよく使うyahooのアドレスを利用しているのではないでしょうか?

      #業務メールをアドレス偽装して自宅から書いてたり……
      親コメント
    • by Anonymous Coward on 2007年10月18日 3時26分 (#1235403)
      今回の事件はオークション詐欺目的であることがはっきりとしているようです。

      御存じかとは思いますが、ヤフーにはログイン履歴参照機能があります。
      これはパスワード破りが横行していることをヤフー側が認識ししていることを示しています。
      私自身も過去に二回ほど何者かにパスワードを勝手に変更されてしまったことがあります。
      リマインダーで取り返すのですが、ただパスワードを破るのが面白いのか、実際にその間に何に利用するのが目的なのかがわからず、とても気味が悪いですね。
      ヤフーのサポートに問い合わせても彼らは問題意識を持とうとはしません。
      なのでフリーメールサービスのセキュリティはその程度のものなんだと割り切って使っています。
      ですから迷惑メール送信が目的で他人になり済ますのにわざわざフィッシングサイトを構築するまでもなさそうに思えます。

      今回の場合、私はIDとパスワードに関連付けられた個人の評価などが目当てだったのだと思っています。
      フィッシングサイトの内容は報道されていないようですがヤフーオークションとかネット詐欺などの表現からヤフオクがらみと思いました。

      詐欺目的の勧誘メールやアダルト系ワンクリスパムの連絡先がヤフーのフリメであることが多かったのは事実ですが、そのアドレスは実在しなかったり詐欺師自身が取得したものがほとんどで、盗まれたメアドに遭遇したこと感じたことはありません。
      なので本当に盗まれたメアドが迷惑メールによる詐欺に用いられていたのかは証拠も無いし私にはわかりません。

      ただ、最近の無料ブログサービスを悪用したアダルト系ワンクリック詐欺やハウツー本詐欺の場合は、舞台となるブログに振込先の架空口座や連絡先のトバし携帯などの詐欺道具を扱うブローカーが存在するようです。
      無料ブログに登録してIDとパスを売買するアルバイトがあるようでして、闇の職安どころかネットの表通りで堂々と楽して儲けられるネットのバイトとしてまともなアフリエイトと混同されやすい形で広告が出されているようです。
      ですから悪用される生きたフリーメールアドレスは専門に製造?して販売するブローカーがいるのではないかと思われます。
      最近のネット詐欺は、振込ませる口座、詐欺の舞台となるページ、被害者を追い込む携帯、にはそれぞれにブローカーがいて、全て別ルートで仕入れるため、口座番号や携帯からは直接、詐欺の実行犯にはたどりつけないようです。

      アダルト系ワンクリック詐欺はスパムメールはISPがOP25B実施により激減し現在はトラックバックスパムやコメントスパムで詐欺サイトへの入口となるブログに誘導する手法が主流です。
      しかも入口ブログから直接リンクせず一度別のブログを経由させたり中継サーバーを立ててリダイレクトさせるケースも多く、かなり手が込んでいます。

      ややオフトピ気味に脱線しましたが、最近のネット詐欺の手口や実態を見ていると迷惑メールのためだけにリスクを冒してフィッシングはやらないだろうと言うのか実感です。

      ちなみに、私自身はここ一か月だけで約1000件近い詐欺サイトへの入口となるブログを運営各社に通報しています。
      アイドルタレントやアダルト系ブログ(エロゲを含む)を運営している人は少なからず詐欺師にトラバやコメント欄を荒らされた経験があると思います。
      詐欺への入り口は迷惑メールやフィッシングサイトだけではないことを御理解下さい。
      親コメント
      • >今回の事件はオークション詐欺目的であることがはっきりとしているようです。
        >今回の場合、私はIDとパスワードに関連付けられた個人の評価などが目当てだったのだと思っています。

         ヤフオクにて胡散臭い怪しげなのをうじゃうじゃ出している出品者の「評価」を見ると、最初の頃は普通に売買していていたのに、しばらく間があいて突然、胡散臭いのになっていることがあります。
         そのIDの持ち主が突然心変わりしてダークサイドに墜ちたのかもしれませんが、IDを第三者に乗っ取られてたのかもしれません。

         ヤフオクでの出品ではクレジットカードでの登録と郵送書類による住所確認が必要です。しかし、本来のIDの持ち主が利用料を払っているIDを短期間でも乗っ取ることができれば、オークションにて詐欺を行ってもそれらの情報からは実行犯に辿り着くことはできませんからねぇ。
         YOMIURI ONLINE の記事によると約350点で1200万円とのことですから、逃げおおせることができるならそれなりに旨みのある詐欺なのかもしれません。逃げやすそうですし。

        #得られる利益 > 捕まる確率×捕まった場合の損失 であるのかは、微妙だと思います。
        #…というか、そうであってくれと希望的観測
        親コメント
  • by gonta (11642) on 2007年10月17日 12時16分 (#1235036) 日記
    テレビ番組表を見ようとして、tv.yahoo.co.jpの中のさらにもう1段階下に移ろうとしたら、認証要求された。打ち込んでみたけど、気持ちが悪いのでパスワード変えた。

    オクやらショッピングやらで認証が必要なのはわかる。何でテレビ番組表で?Yahooに「**と**と**のサービスには認証が必要です。」的リストを作って欲しいなぁ。
    --
    -- gonta --
    "May Macintosh be with you"
    • たとえば「My 番組表」は認証が求められますね。
      さすがにこれはログインが必須だと直感的に分かりますが、
      ユーザーの居住地や視聴環境に依存する階層が他にもあるのかもしれません。

      #いきなりログインを求めるサイトもサイトなら、
      #気持ち悪いといいながらパスを打ち込むユーザーもユーザーだと思うので AC
  • 一方スラドのIDは (スコア:0, オフトピック)

    by YOUsuke (6796) on 2007年10月17日 1時24分 (#1234877) ホームページ 日記
    ひとつも売れなかった
    --
    妖精哲学の三信
    「だらしねぇ」という戒めの心、「歪みねぇ」という賛美の心、「仕方ない」という許容の心
    • おめでとうございます (スコア:5, おもしろおかしい)

      by SNT (23129) on 2007年10月17日 5時00分 (#1234923)
      Oriverとディナーする権利があなたに当選しました。
      すぐにログインして詳細な情報を得て、チケットの送付先住所を入力してください。
      親コメント
    • by 127.0.0.1 (33105) on 2007年10月17日 9時13分 (#1234964) 日記
      スラドのIDが売れるんなら、仮に1件10円でも自動取得プログラムと
      自動販売サイトさえ作れば手間なしで大金持ちだぜ! という冗談はおいといて。

      財物の取引をするサイトじゃないし誰でも取得できるIDに金銭的価値はないでしょう。
      Mixiあたりだと、友達のいないさびしい人とかMixi内で詐欺したい人が
      ちょっと値段をつけるようだけども。Mixiは登録に際して携帯電話番号必須と
      なってから相場があがったんじゃないかな。
      試しに今「Mixi ID 売買」でぐぐったら、いろいろと出てくるみたいで。

      #とかマジレスしたらいかんかな!?
      親コメント
      • パスも込みじゃないと意味がないでしょう。
        と、了解いただけると思ってIDと書きましたが。

        パスも自動取得できるの?
        --
        妖精哲学の三信
        「だらしねぇ」という戒めの心、「歪みねぇ」という賛美の心、「仕方ない」という許容の心
        親コメント
      • by Anonymous Coward
        元の話とは関係ないんだが、「Mixi ID 売買」というと、おとといあたり「株式会社マイミクシィ」とか名乗ってるところから怪しいメールが来てたな。
        ああいうフィッシングっぽいのはMixiに通報した方がいいんだろうか?

        # っつか、タイトルの「エリカ さんからマイミク申請が届いています」でググったらぞろぞろ引っかかってきた。
      • by Anonymous Coward
        >財物の取引をするサイトじゃないし誰でも取得できるIDに金銭的価値はないでしょう。

         一応モデ権があるので、(Windowsに対する)FUDを広めたかったり、(Appleの)信者を増やす事や、(Sonyの)宣伝をするとかしたい人には売れるのでは?
         そうすれば、Windowsを叩いたり、iPodを褒めちぎったり、SONY新商品のストーリーを掲載したりできる……のは今でも(ry
    • by Anonymous Coward
      売れなくていいですが、そういうことしようとする奴らもここみてるんですかね。

      あほには何言ったところで無駄だから、さっさと捕まるか、仲間うちで裏切られ闇に葬り去られるか、抜け出せなくなるか、そんなとこ?
  • by Anonymous Coward on 2007年10月17日 1時54分 (#1234887)
    4000件で1千万円って事は1件(ID)2,500円か。

    罰則として「30万円以下の罰金」って、1件(ID)あたりの罰則なのだろうか?
    4000件x30万で最大12億円の罰金。

    1件あたりじゃなかったらぼろい商売だねぇ
  • by Anonymous Coward on 2007年10月17日 15時43分 (#1235127)
    憶測だけど、
    この手の犯罪に手を染めてる奴は大勢いて、
    そいつらは皆ずっと逃げおおせていて、
    その中で何かミスした男のひとりを
    今回やっとこさ逮捕できた、
    てとこじゃないかと思うんだけど見当違いかな。

    もしそうだとしたら、今回この男は何をミスって、
    警察はどうやってこの男にたどり着いたんだろう。
    もし俺の憶測が当たっていれば、だけど。

    憶測とはいえ、これが氷山の一角に過ぎないのは間違いないと思うよ。
typodupeerror

日々是ハック也 -- あるハードコアバイナリアン

読み込み中...