LINEが中国人に乗っ取られた!その時したこと・その後の対策
福田です。つい先日、私のアカウントが乗っ取られてまんまと僕になりすました詐欺を働かされそうになりました。なぜ乗っ取られるのか、またその時の写真・要求する電子マネーの主な種類・金額・そして乗っ取られたと発覚してからのしたこととその流れ、最後に対策と前兆などをご紹介します。
長い記事なので、大見出しで目次を作りました。
なぜ乗っ取られるのか
乗っ取られるとどうなるのか
どんなメッセージが来るのか(そして、いったいいくら要求されるのか)
騙し取られたプリペイドカードはどうなるのか
乗っ取られた後はどうすべきか
乗っ取られる前兆は
対策はどうすればいいのか
まとめと対策
なぜ乗っ取られるのか?
なぜ乗っ取られるのか。それは単純で、次のふた通りが主な要因となります。
- 単純なパスワードにしていた
- パスワードを使い回していた
- パスワードを教えた(レアケース)
まず、1つめの例を挙げると「qwerty」「1234」やあなたの誕生日、その他短いパスワードなど、明らかに推測されやすいパスワードを用いている場合に挙げられます。これであれば、総当たりでログインを試せばそんなに時間もかからずに乗っ取ることができてしまいます。
また、パスワードを使い回していると、当然ですがどこかから流出した場合に、他のサービスにも芋づる式にログインができてしまいます。その一つとしてLINEなどにログインができてしまうわけです。特に、引き継ぎやPCログイン時に使うためのメールアドレスとパスワードが流出元と全く一緒であれば一瞬です。
もう一つ、レアパターンとして考えられるのがパスワードを教えたケース。これは、いわゆるフィッシング詐欺です。フィッシング詐欺というのは、パスワードなどをLINEの運営になりすましたメール・友達になりすましたトークなどを送り、あなたからパスワード・電話番号などを騙し取るというものです。これ自体はちょっと知識があればできてしまいます。さらに、2段階認証のコードまで教えたらもう終わりです。乗っ取られます。注意しましょう。
これを悪用すれば恨みがある人のアカウントを乗っ取ることもできてしまいますが、ダメですよ。「不正アクセス禁止法」違反で牢屋にぶち込まれます。
いずれにせよ、不注意・セキュリティ意識の甘さが乗っ取りを招くことは100%間違いないです。ちなみに僕は2つめのパターンでおそらくやられました。かつてTumblrでメールアドレスとパスワードが流出したことがあり、そこから多分使われたものとみられます。かなり昔でもセキュリティ意識があまりないと変えないものです(苦笑)
乗っ取られるとどうなるのか?
乗っ取られると、まずスマホから乗っ取られれば、最初に自分のデバイスのLINEがログアウトされます。PCから乗っ取られればそのまま使えます。ですが、Twitterや他サイトを見た限りでは、ほとんどのケースでスマホから乗っ取られる場合が多いようです。PCの方は認証番号がSMSとLINEトークで送られるので乗っ取りが難しいこともあるでしょう。
そのあと、電話番号を変更され、Facebook連携を外された上で(この辺りはケースバイケースです)、ほぼ無差別的に(LINE@)を含めて後に書くような詐欺メッセージが届きます。グループには届かないようです。
そして一通り詐欺のメッセージを送られた後、様子見に詐欺師はでます。
しばらくやりとりして何人かから金銭をだまし取るか、あまり騙せなかったら、アカウントを消されるか放置されます。ちなみに僕は放置されました。
乗っ取られてからここまで(放置)の犯行時間は240名ほど友達がいても、たったの20分。爆速ですね。機械でやっているんじゃないの?って思うほど早いです。
どんなメッセージが来るの?
僕の場合は乗っ取られてから、最初に「今忙しい?」と送ってきました。それに対して「ん、何かあった?」と返信すると、「近くのコンビニでBitCashカードを何枚か買ってきてほしいんだけどいいかな?」と送ってきます。それに勘付いた人が「乗っ取り?」と返信すると既読がつかなくなりました。また別の人に来た方は、やっぱり最初に「今忙しい?」と送って来ました。そして「どうかしましたか?」と返信すると、やっぱり同じ返信。そしてやっぱり勘付いた人が「天安門事件」と返信すると既読がつかなくなりました。都合の悪い話には既読をつけないものの、ある程度普通の話にはつけることもあるようです。ちなみにほとんどの場合において速攻で既読がつきます。やっぱり乗っ取り犯は機械説。
ちなみに僕は海外にいたのでみんな日本の電子マネーを要求するわけがないことに気がついていたので騙される人はいませんでした。
一例のスクショを下に挙げておきます(僕以外の個人名の部分は伏せてあります)。
一体、いくらくらい要求されるの?
僕のアカウントを乗っ取ってきた人は、上の写真の通り、5万円を要求してきました。Twitterなどで見た限りは、他の人で2~4万円程度が相場なようです。ちなみに要求するプリペイドカードはWebMoneyではなく(だいぶ知られてしまったからでしょう)、BitCashまたはiTunesカードでした。iTunesカードの場合は1万円のものを5枚、BitCashでは5万円のものを1枚要求していました。どれにしても、相当高額なカードを選んでいる傾向があります(BitCashは一番高いものを要求、iTunesも金額指定券の中では一番高いものを要求)。
騙し取られたプリペイドの使い道
ここは推測ですが、今までの傾向からして、騙し取られたプリペイドカードは転売されるか、あるいはゲームで使われるものとみられます。なぜなら、WebMoneyもBitCashも、主にゲームサイトがメインの加盟店になっているためです(どちらも強くプッシュしているのはゲーム系加盟店)。さらに、AppStoreでもゲームをかなり売っていることがその根拠になります。
転売されるとしたら、賢い詐欺師などであればヤミ市場に流しているでしょう。なぜなら、メルカリやAmazonであれば銀行口座などから足がつく可能性が高いですし(架空口座を使っている可能性もあるので可能性的にはあり得ます)、中国国内で転売するとしたら買う人側でも面倒がかかるからです。そしてこちらも足がつく可能性あります。
乗っ取られた後はどうすればいいの?
乗っ取られた後は、とりあえずまず最初に落ち着いてすぐに再ログインを試みてみましょう。乗っ取られた瞬間に気付ければ、運がいいと取り返せます。乗っ取られた後で、しかも時間が数分以上経っている(僕の場合、日本時間17時に乗っ取られましたが、その頃アメリカ東部標準時では午前3時。寝ていました)場合は、手遅れです。アカウントを削除されるか、今回のように散々暴れまわられた上で放置されます。一応、過去に使っていたメールアドレスとパスワードの組み合わせでログインを試してみたり、Facebook連携していればFacebookログインを、電話番号を登録していれば電話番号認証を試みてみましょう。電話番号が変えられてしまっていて、なおかつ連携解除されていればお手上げです。その場合は、次のリンクからLINEのサポートに連絡してアカウント削除を依頼してください。存続させるのはセキュリティの問題、そしてパスワードをLINE側ではカスタマーサポート経由で変更できない(暗号化されている上、セキュリティ上の問題がここにももう一つある)のでできません。ちなみに旧アカウントを残したまま、同じメールアドレスと電話番号で再度作り直しても、その旨をきちんと説明しておけば大丈夫です。念のため、名前や自己紹介欄に「新アカウント」の旨いれておくといいでしょう。そうすれば新規アカウントの方も巻き添えで消されることはありません。
有料スタンプやコインは?
僕は有料課金を一切していなかったので幸いでしたが(LINE Payは面倒な住所確認までやったのにやり直しなので嘆き悲しみましたが)、多くのユーザーさんが気になるのは有料スタンプやコイン。こちらは1回に限り引き継ぐことが可能です。LINEサポートからアカウントを削除した旨のメールを受け取ってから、新しく作り直したアカウントで再度サポートリクエストを出してください。手順は次の通りです。
ちなみにLINE Payなども場合によって復元可能なようです。
- メニューの「その他」をタップ
- 「設定」(歯車アイコン)をタップ
- 一番下に行って、「ヘルプ」をタップ
- 検索欄(虫眼鏡のところ)に「コイン」といれてEnterする
- 「消えたアイテム(コイン・スタンプなど)の復元はできますか?」をタップ
- 最後にある「アイテム移行申請」をタップ
- 返信用アドレス・登録電話番号とメアド、理由、その他復元してほしいものなどを入力して送信
前兆は?
僕が経験した前兆は、何度かありました。それはシンプルで、「LINEにログインできませんでした」という通知が来ることです。僕は普段LINEウェブストアなどは使わないのですが、時折「LINE STOREにログインできませんでした。」という通知とともに海外のIPから攻撃を受けていました。アカウントを消されてしまったため、IPはのせられませんが、あった時に調べてみたところ、上海と出ました。出た~っ、中国w
これが2回ほど1ヶ月ほど間を空けてありました。ちなみにきちんと「心当たりのない場合はアカウント情報を変更してください。」と言われますが僕は「どうせよくある不正攻撃だろ、サーバでも数秒に一回受けてるしいっか」とスルーしてしまいました。
皆さんは他人事と思わずきちんと従いましょう。
なお、心当たりのない「ログインしました」というメッセージが来た場合には今すぐ、そう、今すぐパスワードを変更してください。なぜならもうすでに乗っ取られています。すでに知られているのです。スマホからログインできなくなるのも時間の問題です。今すぐ!
対策はどうすればいい?
対策は、メールアドレスログイン時のパスワードを強化すること。そして、Facebook連携を強化しているのであればFacebookの方もパスワードを強化し、できれば2段階認証を設定すること。これが一番です。
パスワードは、次のコツを守って設定しましょう。
- 使いまわさない
- 英数字記号(英字は大文字小文字両方)を入れて20文字で設定する
- 意味のある単語を使わない。電話番号・誕生日や辞書にある単語など
パスワードは基本的な法則として、長ければ長いほど、複雑であればあるほど良いです。もちろん、意味のある単語や推測されやすい単語・使い回しのパスワードを使えば乗っ取られる確率が抜群に上がるため意味がなくなります。
ちなみに、この推奨する組み合わせで設定すれば、4420澗243溝4千穣通りという超天文学的な組み合わせになりますし、またそれを解析するのに891𥝱1008垓9千7百京年というとんでもない時間が現在の一般的なコンピューターでもかかります。スパコンを使っても2百22垓7752京2千4百兆年はかかりますから、現在のところほぼ大丈夫と言えるでしょう。これから性能が向上したり、進化したとしても、数兆年代に達するのですら相当先になるでしょう。
パスワードをいちいち考えたり、そんな英大文字小文字数字記号の意味なし・推測されにくい単語20文字なんて覚えられない?でも乗っ取りは嫌だ?そんな方にはパスワード管理ソフトをお勧めします。僕やその周りのみんなで使っているのが多いソフトは「1Password」。使いやすくスッキリしたデザインでありながら、多機能・クラウド同期があるため、非常にお勧めです。
iPhone、Androidの方は以下からダウンロード可能です。
Macの方は以下から。
そしてWindowsの方はAgliebits公式サイトからダウンロード可能です。
また、GMailのエイリアスを使うのも良いでしょう。やり方はシンプルで、登録の際に(普段のアドレス)@gmail.comから(普段のアドレス)+(適当な文字列)@gmail.comにすればいいだけです。届くアカウントは一緒です。あるいは普段のアドレスの間にドット記号(.)を入れてみてもいいでしょう。これも届くアカウントは一緒です。
ちなみに、PINコード認証は2016年にすでに廃止されているため、その機能は使えません。また、「ログイン許可」を無効にしたとしても、前述の通りほとんどのケースがスマホからの乗っ取りなため、ほとんど意味がありません。利便性も下がりますし、それを天秤にかけると僕はお勧めできません。スキルの低いハッカー・クラッカーから身を守るためには有効かもしれませんが…
まとめ。注意するべき特徴はこれだ!
以上のことからまとめると、次の特徴に該当するトークには注意した方が良いと言えるでしょう。もし当てはまるメッセージが来たら別の手段で確認を取るべきです。
- 日本語がちょっと変、あるいは普段の送ってきた人との口調が違う
- 普段連絡を取らない人がいきなり話しかけて来て次のようなことに当てはまる場合
- 金銭を要求する。とみに高額券を要求する場合
- LINE電話をかけても電話に出ようとしない・あるいは電話にでても何も言わない
- 「天安門事件」や「乗っ取り?」と返信すると既読がつかなくなる
- 上に関連して、普段の人が日本人であった場合、中国語で何度か返信してみて変な返答が返って来る
- 本人であれば知っているようなことを知らない・はぐらかす・合ってない答えを返す
- 論理的に考えておかしい
乗っ取られないようにするためには次の対策を徹底してください。
- 英(大文字小文字両方)数字記号を入れた20文字のパスワード
- 推測されにくく、意味のない文字の羅列で作られたパスワード
- 認証番号は何が何でも、何を言われてもパスワードと同じように教えない
- ログイン関係の通知で見覚えのないアクティビティがあった場合、すぐにパスワード変更
- (事後対策として)乗っ取られた瞬間に遭遇したらすぐに再ログインを試し、ログインできたらすぐにパスワード変更
以上です。
最近は日本語も自然になって来たので、なかなか見分けがつかないところもありますが、粗探しをしていれば必ずボロは出ます。
ほか、質問があったらコメントいただければキャパを超えない範囲で対応します。
ちなみにセキュリティについてさらに詳しく述べているムックも読んでおくことをお勧めいたします。しかもここには書いていない裏技も書いてあります。割と新しい書籍なので有効なテクニックも書いてあると思います。
この記事は最終編集から一年以上経過しております。この記事に書かれた内容をご利用・実践される際は十分ご注意ください。