Transcription
はい、こんばんは、こんにちは。待機です。今、結構ひどいことになっています。と言いますのも、少し前に楽天証券で不正アクセスの事件があったの覚えてますか？勝手に口座が乗っ取られて保有株を全部売られて、あげく、謎の中国株を大量に買われてしまい、数百万円の損失を出したという人が続出しました。その事件が今、とんでもないことになっているんですよ。
金融庁が4月の18日に発表した内容によりますと、今は楽天証券だけにとどまらず、SBI証券、マネックス証券、野村証券、SMBC、日光証券、松井証券と大手6つの証券会社で不正アクセスが爆発的に増加。被害件数はたった2ヶ月で20倍以上に膨れ上がり、なんと不正操作された金額は3ヶ月間で500億円近くになっているんですね。これ、やばすぎでしょ。で、ここからがポイントなんですが、以前楽天証券がターゲットになった時は、フィッシング詐欺によるものだろうと、そういう空気になり、実際にたくさんの報道機関がそのように発表しましたので、「なるほど。フィッシング詐欺に気をつければいいんだな。自分はそんな変なメールには引っかからないから大丈夫。」このように軽く受け止めてしまった方も多いと思います。しかし、本当にそうなんでしょうか？僕はそうは思いません。ま、つまり何が言いたいかと言いますとね、今回の手口は、普段からしっかり対策している人でも十分被害に合う可能性があるということです。ということで、今回の動画では今一体何が起こっているのか、犯人はどんな手口を使っているのか、何をどう対策すべきなのか緊急で解説していきます。是非最後までご覧になってください[音楽]。
では、今の状況を把握するために金融庁が4月18日に出した驚きの発表を見てください。これは証券会社への不正アクセスの詳細なんですが、今年の初め2月には2件の証券会社に対し不正アクセスの件数はたった43件、うち33件で不正な取引が確認されました。しかし翌月の3月、これ楽天証券が話題になった月ですよね。ここではなんと不正アクセスは1422件、2月と比べるとなんと33倍も増えています。その中の半分近い685件で不正操作が行われ、131億円分の株が売られてしまい、そしてそのほとんどのお金で謎の中国株が買われたんですよ。金額で言うと前月の131倍。そしてここからがすごいんですが、この4月、ここの数値を見てください。これ16日までの集計ですからね。ま、つまり約半月の間で3月の被害件数を上回っているんですよ。金額で言うと不正に売買された株は374億円。半月で倍以上になっていますよね。もう尋常じゃないほど増えています。このまま行けば今後どこまで伸びるのか。ですから今、証券会社は大パニックで、犯人は何をやっているのかと言うと、不正アクセスした口座から直接お金を抜き取っているわけではありません。ま、そもそもね、証券口座というのは登録された本人名義以外の口座には出金できない仕組みになっているんですよ。じゃあ犯人は何をやっているのかと言うと、パンプ＆ダンプ。これはですね、犯人はあらかじめ発行株式数が少ない無名な中国株を買っておいて、そこから皆さんの口座に対し一斉に不正アクセス。持ってる株を全て売却した後でそのお金を使って謎の中国株を買うわけですよ。そうするとこの株価は跳ね上がるじゃないですか。そのタイミングで犯人は株を売却し、利益を確定させ、さらに追い打ちをかけるように空売りを仕掛ける。そうすると株価はもちろん大暴落。犯人だけが大儲けをし、不正操作された口座にはがっつりと含み損だけがが残る。こういった事件が今、急増しているわけなんですね。
え、そしてもし皆さんこの被害に会ってしまった場合、そのお金ってどうなると思います？例えば、これが証券会社じゃなくてクレジットカードであれば不正利用というものは全額保障されますよね。「条件講座だって不正アクセスなんだから保証してくれるんじゃないの？」って思いませんか？ま、それがですね、今まで保証されていたことが多かったんですよ。実際には2020年に起こった不正アクセスにより約9000万円が流出したという事件があったんですが、それも証券会社により保障されました。ま、しかし今回はなんとですね、あまりにも被害件数が多いということで、なんと対応を変えちゃったんですよ。楽天証券を見てみましょう。事件後の3月22日に約款、ま、つまり規約を変更しました。「当社は次に掲げる事由により生じたお客様の損害、または費用についてはその責を負いません。」で、追加されたのがこの部分、「お客様自身が入力したか否かに関わらず」。そう、ここ大事ですよね。ま、つまり皆さんじゃない誰かが不正ログインをしたとしても、お客様の認証コード、ワンタイムパスワード、追加認証コード、お問い合わせ番号、これらの一致により当社が本人確認を行い、取引の申し込みを受け付け、当社が受託した上で取引が行われた場合、これがここにかかっているわけですね。「その責を負いません。」これが追加されたんですよ。そう、つまり不正利用されたって、うちは知らんでという内容に変えてきたんですね。
え、「マジで？」って言いたいところではあるんですが、ま、気持ちは分からないこともないですよね。証券会社としましては、「え、うちは問題なく普通に営業してるだけやのに、うちとは全く関係のないところで勝手にフィッシング詐欺にあって、そこで被害に合うわけやから、それをなんでこっちが保証せなあかんのや。危機管理ができていないユーザーが悪いんじゃないか。」ま、言ってることはこういうことですよね。ま、それはごもっともと言えばごもっとも。ただ、これを規約に乗せちゃうと離れちゃうユーザーも出てくるかもしれませんね。はい。SBI証券も同様に規約を変えました。ま、ほぼ同じではあるんですが、「お客様のユーザーネーム、パスワード、取引情報が漏洩し、投機的不正利用されたことで生じた損害かつ当社に過失がない場合は知らんよ。」そのように書いてますよね。ま、ですから我々は身を引き締めてこれらの詐欺に合わないように対策を取らなければいけないんです。
じゃあですね、何に気をつければいいのか、どうすべきなのかというのをここからお話ししていきたいんですが、そもそもどうやってこの犯人は皆さんの口座にアクセスしているのかと言うと、証券会社の言明としましては、会社からの情報漏洩は確認していないのでフィッシング詐欺によるものだろうと発表しております。ま、確かにね、フィッシング詐欺によるものの可能性は高いんですが、しかしそれだけを考えるとかなり疑問が残るんですよ。と言いますのも、フィッシング詐欺って詐欺師が皆さんに偽のメールを送り付けてきますよね。実際に今、こんなメールが大量に出回っています。先ほど紹介した約款の改定。この内容を確認してくださいねとか。「あなたの口座で不正なアクセスを確認しました。こちらからログインして確認してください。」とか、ま、こんな感じで不安を煽って偽URLに誘導し、そのURLの先には本物そっくりの偽サイトが用意されている。そこに情報を入力してしまうことで初めて情報が流出するわけじゃないですか。でもね、証券口座ってログイン情報がバレたとしても株は動かせないんですよ。もちろんアクセスできるので、資産状況であったりどんな株を持っているのかそういうところまでは見ることができるんですが、実際に株を売買しようとするとログイン情報とは別の取引パスワード、こういうものが必要になるんですね。そう、これって株の売買をする時以外入力することがないパスワードですから、フィッシング詐欺で取ろうとするのはかなり難しいんですよ。相当巧妙な偽サイト。ま、チャートとかも見れるようにしておかないと難しいと思います。ま、もちろんね、ログイン時に取引パスワードも入力させるようにカスタマイズをしている可能性というものも十分あるっちゃあるんですが、しかしですね、テレビ朝日が楽天証券で被害に合われた方、5人の方に対し取材をしたところ、その5人ともフィッシング詐欺に対する知識があったようで、「変なメールはいっぱい来るけれども、さすがにメールからリンクを踏んで暗証番号を入れるようなことは絶対にない」と全員が強く否定しているんですね。でもフィッシング詐欺に合っていないのに不正操作されてしまったというポストが多く見られます。ですから、今回の事件、フィッシング詐欺が犯人なんだと思ってしまってですね、そこだけに注意しておけば安全と思ってしまうのは危険なんですよ。僕は最近大量に出回り出した詐欺メールの半分ぐらいは模倣によるものなんじゃないかと思っています。
じゃあですよ、フィッシング詐欺以外に考えられる原因は何なのか、これを大きく分けると3つあると思います。まずは会社側の不備、そしてマルウェア感染、最後はセッションの乗っ取り。さあ、ここからはですね、これら3つを説明し、それらの対策方法を紹介していきます。まず1つ目、会社側の不備の可能性。もちろん証券会社自体から情報が漏れ出ているという可能性も0ではありませんよね。大企業は情報漏洩しませんというのは夢物語。ニュースにこそはあまりなりませんが、そこら中で漏洩しています。今年に入ってからも、1月、フロンティア約729万件の情報漏洩、2月、キティちゃんで有名なサンリオ約200万件の情報漏洩、3月、リクルート北海道じゃらん約10万4000件の情報漏洩、そして4月はIIJ最大470万件の情報漏洩。このように毎月様々な大企業が次々と情報漏洩しているんですね。時、楽天証券だけがターゲットになった時はこれを疑ったんですが、楽天証券は情報漏洩していないと発表していますし、ま、今はですね、証券会社も6社まで拡大しておりますので、今回は証券会社本体からの漏洩という可能性は極めて少ないと思います。ただ、ここで注意して欲しいのが、証券会社と他のアプリを連携した場合、そこから情報が漏れるということはよくあるんですね。例えばですが、複数の証券会社を使っている時に1つのアプリで全てを管理したい。そういう理由で別の会社が運営するポートフォリオ管理アプリとか資産管理アプリ、これらと証券会社を連携させることをAPI連携というのですが、このアプリにマルウェアが感染したり、その運営会社から情報が漏れるということも考えられます。ですからこれらに対し我々ができる対策としてはですね、使っておらず放置しているような連携アプリがあれば全て解除していきましょう。注意点としましては、アンインストールしても解約したことにはなりませんからね。連携解除というのはアプリやサイトによって方法が変わりますので、そのアプリのQ＆Aから調べてみてください。
そして最も注意すべきなのがマルウェア感染ですね。このような情報を盗むことに最適化されたマルウェア。これらを総称してインフォスティラーと呼ぶんですが、例えばEmotet、これはですね、何を入力したのかというのを、逐一ログを取られて送信されてしまうので、ログイン情報や取引パスワードがバレてしまう。え、そしてその他にはですね、皆さんパスワードってブラウザに保存していませんか？その保存されたログイン情報やクッキーを丸ごと抜いていくというマルウェアも存在しますし、パソコン内部に保存されているウォレットの秘密鍵であったり、Google認証アプリの行動を覗き見るといったマルウェアもあるんですよ。どうですか？これやられたら証券口座だけじゃなくて全てが終わりますよね。え、そして最近では画面キャプチャー機能を使って2段階認証のコード、あれをそのまま盗んでいくようなマルウェアも出回っています。めっちゃ怖いですよね。え、そしてこれらにどうして感染してしまうのか。その多くはですね、パソコンの場合、危険なソフトをインストールした際一緒にインストールされてしまう。え、その他には無料ゲームであったりチートツール、MODを入れた時にもよく入ってきます。え、さらに意外と多いのがブラウザの拡張機能。Chromeに便利そうな機能を追加したつもりがあ実は裏でパスワードが全部抜かれている。こういった事例もあるんです。そしてもちろん典型的な例としましては、メールに添付されたZIPファイル。これを開いてしまって感染する。このようなケースも未だにあります。はい。ということで、これらに対する対策方法としましては、1、まずは怪しいアプリは入れないこと。そして2、Chromeの拡張機能も出所がはっきりしないものは入れないこと。そして3、パスワードはChromeなどのブラウザに保存しないこと。4、怪しいメールには十分注意すること。そして5、パソコンのセキュリティを最大限上げておくこと。これが大切なんですね。え、そして最後のこの5番なんですが、実はパソコンというものは初期状態ではセキュリティが弱めに設定されてしまっているんですよ。その上げ方としましては、ちょうど1つ前の動画、「パソコンを守る最強設定」という動画を出しておりまして、そちらで詳細な設定を紹介しております。もちろん設定だけですですので無料でできますし、この動画の内容は全Windowsユーザーが絶対やるべき設定ですので、必ず見てください。この動画の最後まで見たところのここをクリックすることで飛べるようにもしておきますし、コメント欄や概要欄からも飛べるようにしておきますからね。
そして今のはパソコンの話でしたが、スマホも例外ではありません。iPhoneでは今のところ感染事例は確認しておりませんが、Androidでは正規ストア以外からインストールした偽のセキュリティアプリであったり、電池節約系アプリ、QR読み取りアプリなんか にインフォスティラーがこっそり紛り込んでいるパターンがあるんです。ストア以外からのダウンロードですから、注意すべきはですね、例えば便利アプリの紹介サイトなんかを見ていて、「あ、これ便利そうだな」と思って詳細ボタンを押すと直接ダウンロードページに飛ばされる。これは危険です。そこからダウンロードするのではなく、必ずGoogle Storeからアプリをインストールすることを心がけてください。
はい、ということでここまで紹介してきたものは皆さんの情報を盗む話でしたが、最後はもっとやばい手口がありまして、皆さんのパスワードを盗むんじゃなく、皆さん自身になりすますというとんでもない手法があるんですね。その名前がセッションハイジャック。例えば皆さんが証券会社のサイトにログインしました。メールアドレスとパスワードを入れて2段階認証も済ませた。実はこのログイン済みの状態って、ブラウザの中にセッションIDという通行書が保存されているから成立しているんですね。つまりこのセッションIDはちゃんと本人確認しましたよという証明書みたいなものなんですよ。ですからこれが盗まれてしまうとパスワードも2段階認証も全部すっ飛ばしてログイン後の状態そのものを乗っ取られてしまう。そういうやばい状態になるんですね。被害にあった人はフィッシング詐欺にも引っかかっていないし、2段階認証しているのに不正ログインされてしまった。このようなわけの分からないことになるんですよ。実際にXでは2段階認証突破されてしまったセッションハイジャックの被害報告が多数上がっております。じゃあどうやってこのセッションIDが盗まれてしまうのかというのは2つのパターンがあって、マルウェア感染により盗まれてしまうパターンと、もう1つは本物のサイトと連動式の偽サイト、そこにアクセスしてしまうことで取られてしまうケース。この2つに分かれるんですね。で、このマルウェア感染に対する対策は先ほど紹介したこちらの動画。これを見てもらえればオッケーなんですが、こちらの偽サイトに対する対策としましてはですね、もちろん詐欺メールのリンクを踏まないようにするというのは当然として、最も怖いのがフリーWi-Fiなんですよ。と、皆さんもフリーWi-Fiに接続することが多いと思うんですが、もしそれが悪意のある電波でDNSという設定を変更されていた場合、例え正しい正規のサイトにアクセスしていたとしても、強制的に偽サイトに飛ばされてしまう。そういうことが可能になるんですよ。ま、例えばですよ、お気に入りに入れているショートカット。いつもは正規のサイトに飛ばしてくれるはずのこのショートカットなんですが、フリーWi-Fi下では偽サイトに飛ばされてしまう。そういうことができちゃうんですね。そこにログインをすると、なんと裏で本物のサイトにもログインされてしまい、そしてそのセッションIDが取られてしまう。この状態になると2段階認証まで無視されますので、もう好き放題やられちゃうんですよ。ですからフリーWi-Fiで大切なサイトにログインするという行為は絶対にしないでください。ま、ただしですね、このセッションハイジャックというものは相対的に見るとまだまだ少ない手口ですから、やはり1番大切な防衛策としては必ず2段階認証の設定を行う。これをやることでほとんど被害は減らすことができます。やり方としましては、楽天証券の場合ではログイン後に右上のマイメニュー、ここから少し下に下がったところのセキュリティ設定に入りましょう。そうすると設定画面になります。このログイン追加認証。これがその設定になりますので、必ずオンにしてください。そして出金に対する2段階認証もやっておいた方がいいかもしれません。次はSBI証券です。この口座管理のプルダウンからお客様設定に入りましょう。そしてこの各種サービス、デバイス認証サービスに入りましょう。はい、この画面です。ここが2段階認証の設定になりますので、必ずオンにしてください。そして最後にこのログインパスワード。これの強化を強くお勧めします。と言いますのも、実は今のハッカーが使うクラック技術を用いると6桁の数字パスワードぐらいであれば1秒もかからず解析できてしまうんですね。8桁だったとしても26秒程度ですから、解読不能な強力なパスワードを作成してください。え、そしてですね、意外だと思われるかもしれませんが、パスワードはコロコロ変更しないでくださいね。定期的な変更は逆に危険になるんです。なぜ危険になるのか、どういったパスワードなら安全なのか、そういった知識はこちらの動画を見ていただければ全部分かるようになっております。目から鱗のような話ばかりですので、是非こちらもご覧になってください。
ということで、今週は今急増している証券会社への不正アクセスについて詳しく解説してきました。もしね、今回の動画が役に立ったぞと思ってくださる方はいいねボタンもよろしくお願いします。え、そしてこちらの関連動画も見ていただいて、パソコンのセキュリティを高めてください。ということで今週は以上となっております。ご視聴最後までありがとうございました。それではまた次回の動画でお会いしましょう。バイバイ。[音楽]