ワンタイムパスワードを盗む巧妙な手口と対処法

仮想通貨でワンタイムパスワードなどの2段階認証でログインしていたのに、アカウントが乗っ取られて盗難に遭ったという事件が発生しました。仮想通貨は匿名性が高いため、取引所の口座を乗っ取って自分の口座へ通貨を移せば追跡は困難。ワンタイムパスワードをハッキングする手口と対処法を見ていきます。

安全性を高めるワンタイムパスワード

ログインの安全性を高める手段として使われる2段階認証には、SMSで端末にコードが送られてくるものや、ワンタイムパスワードで確認するものがあります。「Google Authenticator」といったアプリに代表されるワンタイムパスワード自体はクラックされてないのに、なぜこのような乗っ取りができたのでしょうか。

ポイントは、仮想通貨を始めたばかりの人はブックマークからではなく、検索で仮想通貨の取引所名を入力した検索結果からログインするケースが多いことにあります。検索結果からのログインが危険なのです。

偽サイトの多くは、アフィリエイト付きの解説ページや初心者向けの解説ページに偽装し、リンク先を偽ログイン画面にしていたりします。この偽ログイン画面は自動化されていることがミソです。

ワンタイムパスワードのハッキング

ワンタイムパスワードは30秒ごとに6ケタのコードが自動変更されます。偽ログイン画面で入手したIDやパスワードを、手入力して当該サイトにアクセスしていては間に合いません。偽サイトに埋め込んだスクリプトにより自動的に「ID・パスワード入手→ログイン→登録情報変更」を行ってアカウントを乗っ取っているのです。

この偽ログイン画面はIDとパスワードの組み合わせが何であっても、次の画面に遷移する仕組み。アカウントの持ち主は全く気づかないまま、悪意のある偽サイトの管理者へ情報送信してしまうのですから厄介です。

ワンタイムパスワードのハッキングを防止するには、ブックマークに正しいURLを登録して必ずそこからログインすることです。

また、外出先の野良Wi-Fiやネットカフェではローカル側のDNSを書き換えて、正しいURLであるにもかかわらず偽サイトへ誘導するという手口もあります。外出先の場合は、LTEで接続するなどして対策を怠らないようにしなければなりません。