GMOコインからのお知らせ　メールアドレスなどのアカウント情報が流出した可能性大

GMOコインからメールがやってきた

なにげなく、iPhoneでメールを確認していると、

Eメールアドレス及びパスワードの不正利用被害のおそれのあるお客さまへお送りしています

GMOコイン？

あっ暗号通貨（仮想通貨）の販売所か。

ずいぶん前につくって、入金等もせず放置したままだ。

ん、不正利用被害のおそれのあるお客さまへお送りしますってなんだろ。

物騒なことが書いてある。

とうとう僕も、サイバー犯罪に巻き込まれ元年が始まったということか。

でも、最近じゃまったく珍しくもなんともないほどサイバー犯罪は日常の光景になってしまった。

使っていないとはいえ、不正送金の踏み台に使われるのはたまったもんじゃない。

対応せねば。

JVCEAってなんだろ？

■目的

当協会は、資金決済法第２条第８項に規定する仮想通貨交換業者が行う同条第７項に規定する仮想通貨交換業の適正な実施を確保し、並びに仮想通貨交換業の健全な発展及び仮想通貨交換業の利用者の保護に資することを目的としています。

要は仮想通貨業者の業界団体。

仮想通貨の事件も地味にまとめてみた。

僕自身あまり詳しいわけではないが。

やっぱりMTGOX（マウントゴックス）インパクトは強い。

Binance（バイナンス）ってのも聞いたことある。

GMOコインから来たメールはフィッシング？

送信先のメールアドレスもなりすましではないようだ。

リンクはふまずにソースでリンク先を確認したところ、GMOコインのURLだった。

国内捜査機関？

警察庁とか、公安警察とかそういうことなのだろうか。

あえて遠回しな表現になっているが。

日本国内では、マネーロンダリングについては犯罪収益移転防止法という法律に基づいて目を光らせている。

決算手段のPaypalについても、日本で「寄付」機能を使うことができないのも

できないのもこの手の規制が絡んでいるからだろう。

決算手段のPaypalについても、日本が「寄付」機能を使うことができないのも

できないのもこの手の規制が絡んでいるからだろう。

仮想通貨は完全に匿名にはならないが、ロンダリングにいっちょ噛まされるケースが

増えている。

攻撃ツール？

別のサイトのサービスで使っているメールアドレスとパスワードの組み合わせを使って

組み合わせが有効かどうか、というようなことをありとあらゆるサイトでできるソフトウェアや暗黒サーバアプリがあると聞いたことがある。

ブルートフォースアタック、リバースブルートフォースアタックとか聞いたことないだろうか。あれを実現できるようだ。

フレームワークやデータベースの脆弱性をついて、情報を搾取されるのも多い。

日本の場合は脆弱性はこのあたりで情報公開される。

アカウントの流出元はどこなのだろう

セキュリティの甘いECサイトからの流出が多いと思う。

とはいえ、有名所のサービスからも流出している。

有名所のサービスであろうとなんだろうと、あなたの大切な情報漏れているかどうか、

それを知ることができるサイトを紹介しよう。

HaveIBeenPwnedの紹介

自分のつかっているメールアドレスから、あなたのアカウント情報が

悪い奴らに漏れている可能性があるかどうかを確かめることができるサイトである。

HaveIBeenPwnd(意訳：私はやられちゃったの？）だ。

どのサービスか漏れたかというのはわからない。

ちなみにCollection#1って名前の由来は、MEGAっていうアップローダのフォルダ名。

このアップローダ自体はまっクロということではないが悪用されることは多いらしい。

そのCollection#1って名前のフォルダに、ファイルサイズ８７GB超のデータが入っていた。

その後、＃２〜＃５までの続編つき。

トロイハントってマイクロソフトの人はCollection＃１について説明を加えている。

国内のセキュリティインシデントに詳しいpiyokango氏も記事にしている。

僕が暇があればチェックしているセキュリティジャーナリストBrianKrebs氏も記事として紹介している。

ブライアンクレブス氏は、悪い奴らから"SWATting"という嘘の凶悪犯罪（銃器で立てこもり、爆弾を仕掛けたとか）を警察へ通報するという、

超危険ないたずら（というか相手の生命を奪いかねないほどの行為）で実際、警察官に自宅訪問されている。

場合によっては、SWATの名のとおり重武装した警察官が突撃してくるのだ。

クレブス氏は、事前に地元の警察に相談していたので事なきをえたようだが。

パスワードを変更してみる

ログインしてパスワード変更するだけ。

定期的に変更するのは僕は意味がないと思っている。

二段階認証はどうするか

GMOコインの場合、二段階認証は

• アプリ（Google Authenticator)
• SMS
• 電話

Google　Authenticatorはアプリを間違えて消してしまうと、

面倒なことになるので僕はSMSを使うことにした。

これを機にパスワードの使いまわしのリスクを考える

パスワードマネージャーの導入

エクセルとかメモ帳とかに書いておけばいいじゃないかと僕もはじめは思っていた。

お察しの通りパスワードなんて覚えてられない状況になっていったのだった。

• ネットを使ったサービスが爆発的に増加
• ネットサービスでIDとパスワードが求められるようになってくる
• IDはメールアドレスであることが多く、面倒くさいのでパスワードを使いまわしてしまう
• サービスによっては、一定の期日が立つとパスワード変更を強制される。変更の際、またパスワードを考えなくてはならない
• 使いまわしをやめようとするも、パスワードをメモ帳やらエクセルでまとめていくと膨大な量になっていく
• しかもスマートフォンの発展で、スマートフォン対応のネットサービスも当然増える
• 先につくったパスワードメモどうしよう　スマホで使うとしても面倒だ　クラウドストレージで共有とか考えたけど、そのストレージが…本末転倒

トロイハント氏が紹介していた１PasswordとかLastPassとか、シマンテックとかのパスワードマネージャーとかいろいろある。

僕は、たまたまお得キャンペーンか何かをやっていたパスワード管理ツール

『Dashlane』を使っている。

以来、かれこれ２年ばかり使い続けている。

ダッシュレーンの特徴は

• 登録しているサイトのログインページにたどり着くと、自動でログインIDとパスワードを入力してくれる
• Dashlaneのアプリから、ログインページを呼び出してログインすることもできる
• 自動で新しくパスワードを生成することができる（文字数、使う記号なども好きなものを設定可）
• クレジットカード・銀行口座情報を支払い情報として保存できる
• セキュリティ危険なパスワードの変更を提案してくれる
• IDやパスワードがダークネットで流出しているとお知らせしてくれる
• パソコンとスマホ（iOS/Android）とパスワードの共有が可能なこと
• VPNがつかえる（公衆Wifiで便利）

『Dashlane』を利用する方法

パソコンは公式サイトで「Dashlaneを無料で取得」というボタンをクリックすればソフトウェアをダウンロードでき、インストールする。

スマホの場合は、アプリストアでDashlaneと検索窓に入力すれば、アプリをダウンロードできる。

アカウントを作成するのだが、メールアドレスの入力と

マスターパスワードというものを作成する。

マスターパスワードは鍵束箱の鍵の役割だ。

つまりマスターパスワードが漏れてしまうと…

いうまでもなく全部のIDパスワードが流出する。

とはいえないところがパスワードマネージャソフトのいいところ。

Dashlaneには２段階認証がついていたりする

マスターパスワードが漏れた場合であっても、

普段とは異なる環境でアクセスしようとした場合、二段階認証が発動するようだ。

自動入力・自動保存

先に書いてしまったが、自動入力はログイン対象のページにあるID欄パスワード欄に

自動的に登録している内容を転記して、ログインまで行ってくれるすぐれものだ。

パソコンの場合はブラウザの拡張機能をONにしておくとパスワード生成と自動保存機能が働く。

Dashlaneにはブラウザの拡張機能がある。

たまに、自動保存機能がうまくいかないことがある。

その場合はDashlaneのアプリケーションから新規登録を行わなければならない。

FaceIDに対応

iPhoneのDashlaneアプリはFaceIDに対応していたりする。

マスターパスワードを入力しなくていいのは便利ではあるが、

やっぱり使う側の好み次第。

『Dashlane（ダッシュレーン）』の料金体系

個人プランと法人（ビジネス）プランがある。

Dashlaneの個人プラン

無料とプレミアムプランの大きな違いとしては、保存できるパスワードと使用可能なデバイス数だ。

パスワード総数が多い場合は、プレミアムプラン（月額3.33ドル）一択だ。

『Dashlane（ダッシュレーン）』を使ってよかったこと

無料でも十分使える機能がある

LastPassもいいが、Dashlaneのいいところは無料でもそこそこ機能が充実している。

他のパスワード管理ツールは始めから機能が制限されすぎている。

Dashlaneの場合は無料の場合、パスワード保存数と使用デバイス数の制限ぐらいだ。

アラートで情報漏えいに事前に気付くことができる

ダークウェブ（Torでしか見れることができないネットのこと）などの

自分が知らないところでパスワードが侵害されている場合は

警告の通知があらわれる。

そして、すぐにパスワード変更をすることができる。

今回のGMOはお知らせなし。

『Dashlane（ダッシュレーン）』を使って不満な点

• 自動入力でログインIDとパスワードを入力すると、見当違いの欄にIDやパスワードが入る　
• IDが入らない　パスワードだけしか入らないサイトがある
• サイト登録が重複する場合がある（だいたい自分の操作間違い）

登録サイトのログインページでは、IDやパスワード欄にカーソル移動すると、

入力するパスワードがポップアップして現れる。

重複登録で困るのは、候補となるパスワードがどちらかわからなくなることだ。

Dashlaneに限ったことではないかもしれない。

まとめ　パスワードマネージャーと二段階認証で身を守ろう

パスワードの使いまわしをやめるだけでも違うが、

二段階認証だとさらに防御力アップは間違いない。