Phishingで詐取したYahoo! IDを売った男が逮捕される 53
ストーリー by yoosee
裏市場があるんだろうか 部門より
裏市場があるんだろうか 部門より
あるAnonymous Coward 曰く、
朝日新聞の記事と読売新聞の記事によると、偽のYahoo!サイトを使って取得したIDとパスワード、約4000件を他人に提供した疑いで、福岡県のホームページ製作会社専務の男を不正アクセス禁止法違反の容疑で逮捕したと、茨城県警、熊本県警、岡山県警、福岡県警の合同捜査本部が発表したそうだ。 男はIDを売って計約1000万円を稼いでいたという。不正アクセス禁止法は第4条で、他人の識別符号(IDとパスワード等)をそれがどこで使えるものかわかる形で(その識別符号の利用権者以外に)提供する行為を禁止しており、罰則として「30万円以下の罰金」が定められている。
また、この事件との関係は定かでないが、別の読売新聞の記事によると、オークションサイトに1100件以上の架空出品をして約2億1000万円を騙し取っていた詐欺グループが、詐欺と不正アクセス禁止法違反の罪で起訴されたとのこと。
流出の実際 (スコア:5, 参考になる)
たいていはネットカフェやプロキシを通してYahooを連想させるアカウントを取得し、数日後ホットスポットなどからFTPでサイトをアップ。
さらに数日後、Yahooからの連絡を偽ったメールを多数配信し、そのサイトに誘導。
入力されたIDとパスワードをフリーメールに送信させる。
という手法でした。
犯人は一連のこの作業を、一切自分からアップしたサイトにアクセスせずにこなしていたので(メール送信のCGIが正常に動作するかのチェックすらしない)、かなり手馴れた感はありました。
今はswatchなどの監視からフィッシングサイトをアップした時点で発見、即座に利用停止に至ることが多いのですが、以前は気づかず何度か利用されてしまったことがありました。
フィッシングサイトにかかってしまったことに気づいた人は、まずYahooに連絡を入れますので、たいていはYahooからレンタルサーバーへ利用停止のお願いのメールが届くのですが、その際にYahooは、サーバーのログの開示や、流出したIDとパスワードが何件だったのかとか、こちらには求めてこないんですね。
フィッシングサイトがあるので停止してください、という主旨の簡単な連絡のみで。
おそらくそうした案件が多すぎて、いちいち情報開示請求してられないんだと思いますが、IDとパスワードが抜かれているのにホントにそんな対応だけでいいの? と疑問に思ってしまうことはありました。
いずれにしてもレンタルサーバー側としては、いたちごっこの頭の痛い問題だったので、犯人検挙は嬉しいニュースです。
Re:流出の実際 (スコア:0)
求めたら答えてくれるの?答えてくれるなら幾らでも求めるとは思うが、組織としては当然の対応だと思うよ。
とりあえずオレは、"あなたにはなんのメリットもありませんがタダ働きしてください"なんて言えない。
Re:流出の実際 (スコア:1, 参考になる)
電気通信事業者はどこもそうですが、サーバーのログを情報を第三者に開示するためには、プロバイダ責任法にのっとった形での情報開示請求手続きを行う必要があります。
Yahooはそれが面倒だったのではないでしょうか。
その点JASRACなどは、著作権を侵害しているMP3やFlashをみつけたら即座に情報開示請求書を郵送してきますからね。
行動力だけは飛びぬけています。
Re:流出の実際 (スコア:0)
Re:流出の実際 (スコア:0)
＃嘘が書いてあるのなら確認が必要かと思いますが・・・
Re:流出の実際 (スコア:0)
Re:流出の実際 (スコア:0)
仕様がわかってたらそもそもレンタルサーバ側で動作確認なんていらないですよね？
ＣＧＩの場合、動かす場所（cgi-binとか特定の場所でしか動かないとか）とファイルの置き場所（htmlとか画像とかをcgi-binとかに置いても読めないようにしてあったり）とか今回の場合はメール送信用ＰＧ（モジュール使用？）の場所とかある程度想定できたらローカルでそれなりに動いていたらサーバ側での動作確認はいらないのではないでしょうか？
Re:流出の実際 (スコア:0)
「できる」と「やる」は違う。
それを「確認もせず」に自信をもってこなし、実際に間違いなく動かせることを「手馴れた様子」という。
そしてそれを確実にこなせる奴は「動作確認なんていらない」なんてことを気軽に言ったりしない。
メールアドレス目当て？ (スコア:5, すばらしい洞察)
普通にyahooのフリーメールを利用している人もいるので、他のドメインと違って受信側が「ドメイン単位での受信拒否」をしづらいことを悪用しているのかもしれません。
＃最近は海外yahooやso-netも多い
Re:メールアドレス目当て？ (スコア:2, すばらしい洞察)
smtpは送信元を偽装できます。（というプロトコルだし）
そのため、適当に拾ったや生成したアドレスを返信先にして送りつけることが可能です。
スパムは返信されることよりも、その中のリンクを踏ませることのほうが重要なので、
返信可能なアドレスでなくても問題ありません。
単にspamフィルターを貫通したいがために、みながよく使うyahooのアドレスを利用しているのではないでしょうか？
＃業務メールをアドレス偽装して自宅から書いてたり……
Re:メールアドレス目当て？ (スコア:1)
Received: from 195.50.106.7 (HELO mx1.mail.ukl.yahoo.com)
by xxxxx.ne.jp with esmtp
From: "Estela J. Engle" <Estela@yahoo.co.uk>
To: "Ladonna W. Healy" <xxxxx@xxxxx.ne.jp>
Subject: Wanna larger penis? Now it's a snap with MegaDik!
ちなみに私は Ladonna でもありませんし、larger penis も欲しくはありません。
本当です。
Re:メールアドレス目当て？ (スコア:1, おもしろおかしい)
Re:メールアドレス目当て？ (スコア:0)
バシッ
Re:メールアドレス目当て？ (スコア:2, 参考になる)
御存じかとは思いますが、ヤフーにはログイン履歴参照機能があります。
これはパスワード破りが横行していることをヤフー側が認識ししていることを示しています。
私自身も過去に二回ほど何者かにパスワードを勝手に変更されてしまったことがあります。
リマインダーで取り返すのですが、ただパスワードを破るのが面白いのか、実際にその間に何に利用するのが目的なのかがわからず、とても気味が悪いですね。
ヤフーのサポートに問い合わせても彼らは問題意識を持とうとはしません。
なのでフリーメールサービスのセキュリティはその程度のものなんだと割り切って使っています。
ですから迷惑メール送信が目的で他人になり済ますのにわざわざフィッシングサイトを構築するまでもなさそうに思えます。
今回の場合、私はIDとパスワードに関連付けられた個人の評価などが目当てだったのだと思っています。
フィッシングサイトの内容は報道されていないようですがヤフーオークションとかネット詐欺などの表現からヤフオクがらみと思いました。
詐欺目的の勧誘メールやアダルト系ワンクリスパムの連絡先がヤフーのフリメであることが多かったのは事実ですが、そのアドレスは実在しなかったり詐欺師自身が取得したものがほとんどで、盗まれたメアドに遭遇したこと感じたことはありません。
なので本当に盗まれたメアドが迷惑メールによる詐欺に用いられていたのかは証拠も無いし私にはわかりません。
ただ、最近の無料ブログサービスを悪用したアダルト系ワンクリック詐欺やハウツー本詐欺の場合は、舞台となるブログに振込先の架空口座や連絡先のトバし携帯などの詐欺道具を扱うブローカーが存在するようです。
無料ブログに登録してIDとパスを売買するアルバイトがあるようでして、闇の職安どころかネットの表通りで堂々と楽して儲けられるネットのバイトとしてまともなアフリエイトと混同されやすい形で広告が出されているようです。
ですから悪用される生きたフリーメールアドレスは専門に製造?して販売するブローカーがいるのではないかと思われます。
最近のネット詐欺は、振込ませる口座、詐欺の舞台となるページ、被害者を追い込む携帯、にはそれぞれにブローカーがいて、全て別ルートで仕入れるため、口座番号や携帯からは直接、詐欺の実行犯にはたどりつけないようです。
アダルト系ワンクリック詐欺はスパムメールはISPがOP25B実施により激減し現在はトラックバックスパムやコメントスパムで詐欺サイトへの入口となるブログに誘導する手法が主流です。
しかも入口ブログから直接リンクせず一度別のブログを経由させたり中継サーバーを立ててリダイレクトさせるケースも多く、かなり手が込んでいます。
ややオフトピ気味に脱線しましたが、最近のネット詐欺の手口や実態を見ていると迷惑メールのためだけにリスクを冒してフィッシングはやらないだろうと言うのか実感です。
ちなみに、私自身はここ一か月だけで約1000件近い詐欺サイトへの入口となるブログを運営各社に通報しています。
アイドルタレントやアダルト系ブログ(エロゲを含む)を運営している人は少なからず詐欺師にトラバやコメント欄を荒らされた経験があると思います。
詐欺への入り口は迷惑メールやフィッシングサイトだけではないことを御理解下さい。
Re:メールアドレス目当て？ (スコア:1)
＞今回の場合、私はIDとパスワードに関連付けられた個人の評価などが目当てだったのだと思っています。
ヤフオクにて胡散臭い怪しげなのをうじゃうじゃ出している出品者の「評価」を見ると、最初の頃は普通に売買していていたのに、しばらく間があいて突然、胡散臭いのになっていることがあります。
そのIDの持ち主が突然心変わりしてダークサイドに墜ちたのかもしれませんが、IDを第三者に乗っ取られてたのかもしれません。
ヤフオクでの出品ではクレジットカードでの登録と郵送書類による住所確認が必要です。しかし、本来のIDの持ち主が利用料を払っているIDを短期間でも乗っ取ることができれば、オークションにて詐欺を行ってもそれらの情報からは実行犯に辿り着くことはできませんからねぇ。
YOMIURI ONLINE の記事によると約350点で1200万円とのことですから、逃げおおせることができるならそれなりに旨みのある詐欺なのかもしれません。逃げやすそうですし。
＃得られる利益 ＞ 捕まる確率×捕まった場合の損失 であるのかは、微妙だと思います。
＃…というか、そうであってくれと希望的観測
いきなり認証要求 (スコア:1)
オクやらショッピングやらで認証が必要なのはわかる。何でテレビ番組表で？Yahooに「＊＊と＊＊と＊＊のサービスには認証が必要です。」的リストを作って欲しいなぁ。
-- gonta --
"May Macintosh be with you"
Re:いきなり認証要求 (スコア:0)
さすがにこれはログインが必須だと直感的に分かりますが、
ユーザーの居住地や視聴環境に依存する階層が他にもあるのかもしれません。
#いきなりログインを求めるサイトもサイトなら、
#気持ち悪いといいながらパスを打ち込むユーザーもユーザーだと思うので AC
一方スラドのIDは (スコア:0, オフトピック)
妖精哲学の三信
「だらしねぇ」という戒めの心、「歪みねぇ」という賛美の心、「仕方ない」という許容の心
おめでとうございます (スコア:5, おもしろおかしい)
すぐにログインして詳細な情報を得て、チケットの送付先住所を入力してください。
Re:おめでとうございます (スコア:4, おもしろおかしい)
どんなスパムがきたら引っ掛かりそう?
* mhattaさんによる文書指導会
* nextさんによる漫才講座
...
* Oliverさんによるディナーショウ
* 編集子全員による一晩1000本タレコミブートキャンプ&精神注入合宿
* M-FalconSkyをボコにする権利
...コワ
M-FalconSky (暑いか寒い)
Re:おめでとうございます (スコア:3, おもしろおかしい)
こんなエサで釣られる奴が ID 持ってるとも思えんが
Re:おめでとうございます (スコア:2, おもしろおかしい)
ディナー付きですよね?
えっ?spamのフルコース?
一択で (スコア:1)
・・・冗談は置いといて（や、今目がマジだったろ？なんかフルボッコになってるし）
○早朝にfloat32氏と一日の幸せを祈る会
○dima氏の「誤読と日本語文化」講演会
には毎日通ってますが。
# 継続は力なり。至言だ。
Re:おめでとうございます (スコア:0)
Re:おめでとうございます (スコア:0)
Re:おめでとうございます (スコア:0)
あんたねー ととことん問い詰める
と誤読…。
Re:一方スラドのIDは (スコア:2, 興味深い)
自動販売サイトさえ作れば手間なしで大金持ちだぜ! という冗談はおいといて。
財物の取引をするサイトじゃないし誰でも取得できるIDに金銭的価値はないでしょう。
Mixiあたりだと、友達のいないさびしい人とかMixi内で詐欺したい人が
ちょっと値段をつけるようだけども。Mixiは登録に際して携帯電話番号必須と
なってから相場があがったんじゃないかな。
試しに今「Mixi ID 売買」でぐぐったら、いろいろと出てくるみたいで。
#とかマジレスしたらいかんかな!?
Re:一方スラドのIDは (スコア:1)
と、了解いただけると思ってIDと書きましたが。
パスも自動取得できるの？
妖精哲学の三信
「だらしねぇ」という戒めの心、「歪みねぇ」という賛美の心、「仕方ない」という許容の心
Re:一方スラドのIDは (スコア:2, すばらしい洞察)
ちょうどモデ権が来てるIDなら買う人は居るかもしれないような…
Re:一方スラドのIDは (スコア:1)
妖精哲学の三信
「だらしねぇ」という戒めの心、「歪みねぇ」という賛美の心、「仕方ない」という許容の心
Re:一方スラドのIDは (スコア:0)
ああいうフィッシングっぽいのはMixiに通報した方がいいんだろうか？
# っつか、タイトルの「エリカ さんからマイミク申請が届いています」でググったらぞろぞろ引っかかってきた。
Mixi使ってなくても (スコア:1)
Re:一方スラドのIDは (スコア:0)
Re:一方スラドのIDは (スコア:0)
Re:一方スラドのIDは (スコア:0)
一応モデ権があるので、(Windowsに対する)FUDを広めたかったり、(Appleの)信者を増やす事や、(Sonyの)宣伝をするとかしたい人には売れるのでは?
そうすれば、Windowsを叩いたり、iPodを褒めちぎったり、SONY新商品のストーリーを掲載したりできる……のは今でも(ry
Re:一方スラドのIDは (スコア:0)
あほには何言ったところで無駄だから、さっさと捕まるか、仲間うちで裏切られ闇に葬り去られるか、抜け出せなくなるか、そんなとこ?
罰則として「30万円以下の罰金」 (スコア:0)
罰則として「30万円以下の罰金」って、1件(ID)あたりの罰則なのだろうか？
4000件x30万で最大12億円の罰金。
1件あたりじゃなかったらぼろい商売だねぇ
Re:罰則として「30万円以下の罰金」 (スコア:2, 興味深い)
ごめんなさい。
Re:罰則として「30万円以下の罰金」 (スコア:2, おもしろおかしい)
Re:罰則として「30万円以下の罰金」 (スコア:2, 参考になる)
細かい話を無視して説明すると、犯罪一件あたり30万円以下。
得た利得が例えマイナスでも30万円以下です。
この事件、この先裁判所でどう判断されるか分かりませんが、
罰金とは別に、不正に得た利得は没収となることでしょう。
当然民事訴訟が起こされれば、賠償の対象となります。
あまりぼろい商売でもないかと。
Re:罰則として「30万円以下の罰金」 (スコア:0)
どういう仕組みで没収になるのでしょうか？
Re:罰則として「30万円以下の罰金」 (スコア:3, 参考になる)
・民法704条に基づき、悪意の受益者は受けた利益に利息を付して返還する義務が生じる
あたりですかね。
Re:罰則として「30万円以下の罰金」 (スコア:0)
ホリエモンとか偽欽ちゃんとか
まだ控訴中だから？
Re:罰則として「30万円以下の罰金」 (スコア:3, 参考になる)
刑事罰とは別に没収とかされてますよ。ただ(狭義の)刑法ではなく証券取引法に基づく
ものですが。
例えば良くあるインサイダー取引なんかでも、インサイダー取引によって得た財産は
有罪確定とともに没収・追徴の対象とされます。
#「得た財産」なので、インサイダー取引の対象が1000万円分株を買い、値上がり後1100
#万円で売却していたってことなら、没収・追徴の対象額は(100万円ではなく)1100万円
#となります。このため、かなり巨額になることがあります。
村上ファンドの巨額追徴金とか結構話題になったと思うんですが。
Re:罰則として「30万円以下の罰金」 (スコア:0)
Re:罰則として「30万円以下の罰金」 (スコア:1)
いったい、何人に売ったんだろう。
仮に、１００人に売りさばいていたとすれば、IDあたりの単価は25円って所か。
何をミスったんだろう (スコア:0)
この手の犯罪に手を染めてる奴は大勢いて、
そいつらは皆ずっと逃げおおせていて、
その中で何かミスした男のひとりを
今回やっとこさ逮捕できた、
てとこじゃないかと思うんだけど見当違いかな。
もしそうだとしたら、今回この男は何をミスって、
警察はどうやってこの男にたどり着いたんだろう。
もし俺の憶測が当たっていれば、だけど。
憶測とはいえ、これが氷山の一角に過ぎないのは間違いないと思うよ。
Re:何をミスったんだろう (スコア:0)
所轄の警察担当者への付け届けを忘れたんじゃない？
Re:何をミスったんだろう (スコア:0)
テキトーに選んだ書類がこいつの案件だっただけ。
Re:アサヒる (スコア:0, オフトピック)