Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
クレジットカードを不正利用された話
Search
Tomohiko Morita
August 08, 2018
Technology
0
1.5k
クレジットカードを不正利用された話
総関西サイバーセキュリティLT大会(第10回)~総サイLT大会~
の発表資料です
#sosaisec
https://sec-kansai.connpass.com/
Tomohiko Morita
August 08, 2018
Tweet
Share
More Decks by Tomohiko Morita
See All by Tomohiko Morita
(会社ライフ)ハッカーになろう / Let's Become a Corporate-life-hacker
deka_morita
0
950
ガンダム × ネーミング
deka_morita
0
700
ガンダム勉強会@関西アンケート集計
deka_morita
0
790
ガンダム勉強会@サイド2開催にあたって
deka_morita
0
670
物理なポチポチ操作自動化
deka_morita
1
270
まじめな技術者のためのWEBフィルタリング回避術
deka_morita
1
990
Other Decks in Technology
See All in Technology
Devinを使ったモバイルアプリ開発 / Mobile app development with Devin
yanzm
0
190
マイクロモビリティシェアサービスを支える プラットフォームアーキテクチャ
grimoh
1
240
Postman MCP 関連機能アップデート / Postman MCP feature updates
yokawasa
1
160
モダンフロントエンド 開発研修
recruitengineers
PRO
4
1.1k
モダンな現場と従来型の組織——そこに生じる "不整合" を解消してこそチームがパフォーマンスを発揮できる / Team-oriented Organization Design 20250825
mtx2s
6
650
攻撃と防御で実践するプロダクトセキュリティ演習~導入パート~
recruitengineers
PRO
3
460
そのコンポーネント、サーバー?クライアント?App Router開発のモヤモヤを可視化する補助輪
makotot
4
640
人を動かすことについて考える
ichimichi
2
330
現場が抱える様々な問題は “組織設計上” の問題によって生じていることがある / Team-oriented Organization Design 20250827
mtx2s
6
1.5k
制約理論(ToC)入門
recruitengineers
PRO
5
1k
DuckDB-Wasmを使って ブラウザ上でRDBMSを動かす
hacusk
1
110
microCMS 最新リリース情報(microCMS Meetup 2025)
microcms
0
120
Featured
See All Featured
BBQ
matthewcrist
89
9.8k
How GitHub (no longer) Works
holman
315
140k
GraphQLとの向き合い方2022年版
quramy
49
14k
The Psychology of Web Performance [Beyond Tellerrand 2023]
tammyeverts
49
3k
実際に使うSQLの書き方 徹底解説 / pgcon21j-tutorial
soudai
PRO
185
54k
Designing Dashboards & Data Visualisations in Web Apps
destraynor
231
53k
Java REST API Framework Comparison - PWX 2021
mraible
33
8.8k
Sharpening the Axe: The Primacy of Toolmaking
bcantrill
44
2.5k
Site-Speed That Sticks
csswizardry
10
790
Exploring the Power of Turbo Streams & Action Cable | RailsConf2023
kevinliebholz
34
6k
10 Git Anti Patterns You Should be Aware of
lemiorhan
PRO
656
61k
Art, The Web, and Tiny UX
lynnandtonic
302
21k
Transcript
TOMOHIKO MORITA #sosaisec / /
背景 インターネット上のセキュリティ脅威 -クレジットカードの不正利用ー https://www.ipa.go.jp/security/vuln/10threats2018.html http://www.itmedia.co.jp/news/articles/1805/10/news062.html
不正利用のタイムライン 不正利用の履歴 どこで、どう漏れたか 事件からの教訓
タイムライン 年 月 カード情報流出? 年 月初 不正利用の発生
年 月中 カード会社から緊急電話 年 月 不正利用キャンセルや返金
None
不正請求 万円の内訳 AMAZON 件 円 AMAZON MKTPLACE(AMZN.COM/CH) 19595.00 JPY
など Google 件 円 GOOGLE *MIDAS(GOOGLE.COM/CH) 99JPY など FACEBK 件 円 FACEBK *X4AU75SBV2(WWW.FB.ME/CC) 2.00 USD など レンタル倉庫 円 PUBLIC STORAGE 25735(NORTHLASVEG) 178.00 USD 日間 件 明細 ページ
内訳 : Googleアプリの悪用? 同時期に複数の被害報告 Google Midas という謎の決済情報
1ドル×40連打 少額送金アプリや投げ銭?? https://productforums.google.com/forum/#!topic/webmasters/dUIyOppIv3c ちなみに関係あるかどうかは不明だが ミダス:触ったものをすべて黄金に変える能力を持つギリシャ神話の王さま
内訳 : Facebookって有料だっけ? 答えは、ゲーム課金
内訳 :レンタル倉庫で足が付く! PUBLIC STORAGE 25735(NORTHLASVEG) オンラインで申し込んでも、荷物は実在。出張先の近くだ
海外旅行では気を付けよう
スキミング被害? NO! もっと簡単
そもそも、決済に必要な要素って? クレジットカード本体(磁気/IC読み取り) クレジットカード番号 有効期限とセキュリティコード 署名・サイン 暗証番号 本人確認 多くのネットショッピングにおいて 必要なのは、たったこれだけ
攻撃シナリオの推定 レストランなどでカード利用をする ユーザが店員にカードを預ける 店員がバックヤードでカード決済をおこなう 店員がバックヤードでクレジットカードの表・裏を写メる 店員がユーザにカードを返却する ネット決済に 必要な情報 後日、不正利用
対策? 物理的な方法 セキュリティシール・開封防止シールを貼る セキュリティコードを隠す セキュリティコードは暗記する
まとめ 教訓 : ITセキュリティも大事だが、まずは物理セキュリティ クレジットカードの物理的な自衛が必要 教訓 : 内部犯行も考慮した、セキュリティ脅威分析は必須 日常にひそむ脅威を、日頃から妄想し、対策を打とう 悪い人もいる!怪しげなお店では現金がBetter
教訓 : 大手クレジットカード会社のサービスの信頼性 アラート報告、カードのロック、後日の返金、カード交換など素早い対応
参考 攻撃事例 : 分散型推測攻撃 総当たり攻撃対策、決済に 10~20回失敗するとそれ以 降STOP 多数のECサイトを使えば、ほ ぼ無制限に試行可能 クレジットカード番号と有効期
限が分かっている場合、数秒 でセキュリティコードを割り出す ことが可能 https://www.ncl.ac.uk/press/articles/archive/2016/12/cyberattack/ カード番号 〇 有効期限 〇 セキュリティコード ? セキュリティコード=XXX センター問合せ 多数のECサイト
参考 攻撃事例 : サーモグラフィで暗証番号推定 赤外線サーモグラフィで撮影 すると、どの数字を押したか は一目瞭然 盗難から身を守る方法は、 暗証番号入力時は他の キーに指を置いておく
https://gigazine.net/news/20140901-steal-atm-pin-codes/
参考 攻撃事例 : NFCの中継攻撃 10cm程度の至近距離で データ通信する無線通信で あるNFC 他人のカードのNFCを読み 取り、NFCプロキシツールを により遠隔で悪用
https://www.defcon.org/images/defcon-20/dc-20-presentations/Lee/DEFCON-20-Lee-NFC-Hacking.pdf
参考 攻撃事例 : QRコードすり替え 中国の市場で、モバイル決 済のためのQRコードが何者 かに貼り替えられる 店主ではなく泥棒の口座に 入金されてしまう http://www.chinanews.com/sh/2017/07-25/8287110.shtml
フォント http://www.fontna.com/blog/1706/ クレジットカードの番号のフォント http://force4u.cocolog-nifty.com/skywalker/2010/07/ocrfarrington7b.html