知らないうちに注文されるiPhoneX 256GB
発覚し始めたのは
割賦販売の確認書類が届いた８月１１日が多いようですが
注文が行われたのは ８月６日ごろのようです。
–追記–
Twitterで検索できる範囲では8/2から不正アクセスが
8/4あたりから注文されはじめた書き込みあり
——–
８月１１日現在、ドコモオンラインショップでは
パスワードの確認・再発行等の注意喚起は行われていない。
dアカウントのログイン履歴の確認をすることをおすすめ
dアカウント – dアカウント利用履歴
被害にあった方によると
購入されたと思わしき日付に（日本）以外からのログイン成功があったようです。
https://twitter.com/pepoko_8pac/status/1024940065791721472
https://twitter.com/aykytymydkt/status/1027476896454328321
ドコモオンラインショップの不正ログインでiPhoneを注文される被害が発生中: 独房の中
最低限の対策「２段階認証」
他サイトとID/Passを流用しないことが最低条件ではありますが
該当サイトから漏れた場合でも１段階防御できます。
利用するにチェックボックスを変更した上で
「上記内容に変更する」を押すと登録番号にSMSで確認番号が送信され
認証することで設定完了。
次回よりログイン時はすべての場合で二段階認証を要求されます。
どこからの流失？
dアカウントは
SPモードで接続した場合に、パスワードが確認できる仕様となっており
セキュアな感じとはお世辞にも言いづらい。
しかし、一斉に漏れていればもっと被害が発覚してもいいようなものでなんとも判断がつけづらい
初めてDocomoに加入している場合dアカウントを電話番号にしている場合も考えられるが、
最近では数字だけでのdアカウントを作成することはできずその可能性も少ない。
dアカウントのログイン処理的に存在するアカウントの場合、数回ログイン試行に失敗すると
ロックされるが
存在しないアカウントの場合、ログイン試行にかなり失敗しても特にその文字列がロックされることはない。
その挙動の違いで存在するアカウントを予測される可能性はあったとしても
数回のログイン試行で正解を導き出すのは答えを知らない限り難易度が高い
ｰｰｰｰｰｰ8/13 追記ｰｰｰｰｰｰｰｰｰｰｰｰｰｰ
Docomoからの回答
WEB上で不正アクセスにより端末を割賦で購入された
という事案が出てきているようですが Docomo側で把握されていますか？
という趣旨の質問を問い合わせから送ってみていたものの回答がこちら
このたび、外部からの不正ログインにより、
一部のお客様のdアカウントが使用され
ドコモオンラインショップで購入手続きを
された可能性があることは把握しております。現在、事象などを含めて調査中ですので、
恐れ入りますが、詳細な回答は差し控えさせていただきます。
現在調査中で 明確な回答は控えさせていただく
とのこと、
さてはて、どこに着地しますか・・・
ｰｰｰｰｰｰｰｰ追記ここまでｰｰｰｰｰｰｰｰｰｰｰｰ