ゆうちょ銀行：デビットカード「mijica」の会員サイトに不正ログイン、1,422人の情報を見られたおそれ、うち54人から約332万円の不正送金

1. 2020-07-28

   この日から30日、8月1日から4日、14日から20日、9月9日から13日の各期間に、会員サイトへのログインの失敗がふだんより多かった。 [2]

2. 2020-08-08

   会員サイトから4人分の不正な送金指示があった。 [1]

3. 2020-09-06

   7人分の不正な送金があった。 [1]

4. 2020-09-11

   送金額と回数の上限を下げた。 [1]

5. 2020-09-15

   43人分の不正な送金があった。 [1]

6. 2020-09-16 20:30

   このころ、カードの送金機能を止めた。 [1]

7. 2020-10-02

   深夜、9月25日に置いたセキュリティ点検のタスクフォースがアクセスログを調べ、ログインの失敗が多い期間に気づいた。 [2]

8. 2020-10-04

   期間中のログインのうち、会員1,422人分が機械的で画面の移り方が異常に速く、第三者による不正ログインのおそれがあると公表した。 [2] [3]

9. 2020-10-05

   不正送金の被害にあった54人は全員、この1,422人に含まれていたと明らかにした。 [3]

10. 2020-11-09

    9月24日から10月31日に行ったセキュリティの総点検の結果を公表した。mijicaは22項目のうち14項目に不備があり、会員サイトへの不正ログインを見つける仕組みや、送金のときの本人確認が足りなかった。 [5] [6]

54人のカードから、不正なカード利用者3人のカードへ計332万2,000円が送られた。身に覚えのないメールアドレスの変更通知や取引の申し出で発覚し、送金の翌日にそのつど送金先のカードを止めた。全額を補償するとした。 [1]

送金には会員サイトのIDとパスワードに加え、カード裏面のカードIDが要る。手口は調査中とした。 [1]

不正にログインされた会員は、氏名、生年月日、カード番号の下4桁、有効期限を見られたおそれがある。会員サイトのパスワードは何度か間違えるとロックされるが、送金に要るカードIDの下5桁は、ログイン後に何度でも試せるしくみだった。 [2] [3]

7月1日から10月3日の申し込みを調べたところ、届くはずの日より前に使われたカードが見つかった。口座の持ち主以外が作ったおそれがあるとして、3枚の利用を止めた。 [4]

銀行は、現在の機能を続けることを前提に今後の方針を考えるとし、mijicaの名前を使わずに機能だけを別のサービスへ移す案も視野に入れると説明した。送金機能と会員サイトは止めたままで、ATMでの入出金とデビットカードとしての利用は続けた。 [5]