2段階認証ワンタイムパスワードを盗む手口とは
仮想通貨でワンタイムパスワードなどの2段階認証でログインしていたのに、アカウントが乗っ取られて盗難に遭ったという事件が発生しました。Bitcoinなどの仮想通貨は匿名性が高いため、取引所の口座を乗っ取って自分の口座へ通貨を移せば追跡は困難です。2段階認証のワンタイムパスワードを盗む手口を見ていきます。
毎回検索で見つけたサイトでログイン
日本の場合は取引所が金融庁の登録制になったことで、悪意のある口座や犯罪が行われた口座の開示要求が可能になりました。しかし、海外の取引所では法整備が無いところも多く、その口座へ送金されてしまったらお手上げです。
安全性を高める手段として使われる2段階認証には、SMSで端末にコードが送られてくるものや、ワンタイムパスワードで確認するものがあります。「Google Authenticator」といったアプリに代表されるワンタイムパスワードは、現在でもクラックされてないのにどうしてこのような犯罪が起きたのでしょうか。
仮想通貨を始めたばかりの人は取引所へアクセスするときにブックマークからではなく、検索で仮想通貨の取引所名を毎回入力。検索で見つけたリンクからログインするケースが多いというのが実状。ここに危険が潜んでいるのです。
偽サイト（フィッシングサイト）の多くは初心者向けの解説ページに偽装し、リンク先を偽ログイン画面にしていたりします。そして、こうした偽サイトは自動化されていることがポイントです。
ワンタイムパスワードを自動的に入力
ワンタイムパスワードは30秒ごとにパスワード（6ケタのコード）が自動変更される仕組み。偽サイトで入手したIDやパスワードを、サイトにアクセスして手入力していてはワンタイムパスワードの有効期限に間に合いません。
そこで、偽サイトに埋め込んだスクリプトにより自動的に「情報入手→ログイン→登録情報変更」を行っているというわけ。これでアカウントの乗っ取り完了です。
こういった偽サイトはIDとパスワードの組み合わせが何であっても、次の画面に遷移します。アカウントの持ち主には全く気づかれないまま、悪意のある偽サイトの管理者へ情報送信してしまうのですから厄介です。
ワンタイムパスワードのハッキングを防止するには、ブックマークやショートカットで正しいURLを登録し、必ずそこからログインすること。また、外出先の野良Wi-Fiやネットカフェではローカル側のDNSを書き換えて、正しいURLであるにもかかわらず偽サイトへ誘導するという手口もあります。
外出先の場合は、LTEで接続するなどして対策を怠らないようにすることが肝心です。自分の財産を守るために「多少の手間でも安全性を最優先して下さい」と言うのは簡単。しかし、こうした手口の恐ろしさを知れば、自ずと手間を惜しまなくなるでしょう。（文／石川英治）
