──
「ドコモ口座」を利用した不正な預金引き出しが問題となっている。ここでは、本人確認をしないで利用を認めたドコモに重大な失敗があるのだが、それとは別に、銀行の側にも重大な失敗がある。
４桁の暗証番号
銀行の側の重大な失敗とは何か？ それは、４桁の暗証番号を使うことだ。
そもそも、４桁の暗証番号を使うというのは、暗号強度が著しく低い。それでも、今まで使われてきたのは、この暗証番号がキャッシュカードとの併用を前提としているからだ。キャッシュカードの保有が前提となっていて、それで安全措置が執れるから、あとは４桁の暗証番号でも足りるわけだ。
（ ※ 本人のキャッシュカードを、他人が使うことはできないから、安全措置となる。）
一方、ネット接続の場合には、キャッシュカードを併用しない。この場合には、４桁の暗証番号は暗号強度が著しく低い。だから、これをもってネットの暗証番号としてはいけないのだ。ネットの暗証番号を使うのなら、４桁よりもはるかに強力な暗証番号を使う必要がある。（最低でも８桁の英数混用だ。）
なのに、今回の地銀は、そうしなかった。４桁の暗証番号だけで認証できるようにした。ここには、とんでもない失敗があったと言える。
リバースブルートフォース
暗号強度が著しく低いと、何が問題か？ 「リバースブルートフォース」という方法が使えてしまうことだ。
普通ならば、一つの口座に対して、暗証番号を次々と変えて試行錯誤する。しかし、この方法に対しては、「２度以上失敗すると、接続を切る」という方法で対処されてしまって、無効になりやすい。
そこで、「リバースブルートフォース」という方法が出る。先に暗証番号を適当に決めてから、その暗証番号に合致するような口座を求めて、次々と口座に接続するのだ。こうすれば、「下手な鉄砲も数打ちゃ当たる」というわけで、たまにはうまくパスワードが合致する口座に行き当たる。
この方法が可能となるのは、暗号強度が著しく低いからだ。たとえば、４桁ならば、9999個の口座に接続すれば、そのうちの一つぐらいはパスワードが合致する。このぐらいの頻度ならば、かなり容易に試行錯誤ができる。
さらに、銀行の暗証番号だと、誕生日をパスワードにしている人が多い。自分ではなくとも、家族の誕生日をパスワードにしている人が多い。その番号が、自分であろうと家族であろうと、誕生日である限りは、366通りしかありえない。とすれば、9999通りどころか、366通りを考えればいいわけで、パスワードが合致する確率は非常に高くなる。
さらに、１月〜９月は、４桁の冒頭が０になるので、パスワードに使う心理的障壁が高くなる。一方、10月〜12月ならば、４桁の冒頭が１になるので、パスワードに使う心理的障壁が低くなる。そこで、冒頭の２桁を 10 か 11 か 12 にするといい。さらに、末尾の２桁は、31を避けて、11〜30 までのいずれかにするといい。（３桁目が０になるのは避ける。）
すると、次のような３つの例が生じる。
1023 1125 1217
このような数は、パスワードに使いやすい。こういう数字を選んでから、さまざまな口座に次々と接続していけば、かなりの高確率でパスワードが合致するだろう。その確率は、9999分の１ではなく、400分の１ぐらいになりそうだ。つまり、 400個の口座に接続すれば、そのうちの１個ぐらいはパスワードが合致するわけだ。これは非常に頻度が高い。
──
では、今回の犯人は、この方法を使ったか？
「たぶん使ったはずだ」と推定できる。なぜなら、被害総額が 2000万円程度であって、かなり低いからだ。これは、やたらと試行錯誤をしていたせいで、次々とすべての口座から金を引き落とすことができなかったからだ、と推定できる。
銀行の側は、「どうやって暗証番号がバレたのが不思議だ」なんて言っているが、暗証番号がバレる必要はないのだ。上のように「リバースブルートフォース」という方法を取れば、暗証番号なしでもパスワードが合致するからだ。
特に、今回は、「暗証番号はバレなかった」と推定できる。なぜなら、仮に暗証番号がバレていたら、次々とすべての口座でパスワードが合致するので、次々と金を引き出せるので、被害総額はこんな小額で済むはずがないからだ。何十万人もの顧客の金が次々と引き出されてしまうだろうから、その場合の被害総額は数百億円にも及んだだろう。
逆に言えば、そうならなかったことゆえに、「暗証番号はバレていなかった」と推定できるのだ。換言すれば、「暗証番号がバレたのではなく、リバースブルートフォースで突破されたのだ」と推定できるのだ。
ドコモ以外の被害
今回はドコモがすぐに「新規サービス停止」の措置を取ったので、問題が大きくひろがることはないようだ。
では、それで解決するか？ 換言すれば、どこも以外では問題は生じないか？
ここで軽々しく予想することは慎むが、「原理的には、同じような問題が発生する危険はある」と言える。なぜなら、銀行の側が４桁の暗証番号を使っている限りは、ドコモを経由しないで、直接的に銀行の口座にリバースブルートフォースをかける可能性があるからだ。
それで突破できるかどうかは不明だが、「４桁の暗証番号」なんていう暗号強度の低い方式を使っている限りは、突破される危険性は常にある。
この問題を解決するには、銀行の側が「４桁の暗証番号」という方式を捨てる必要がある。もっと暗号強度の高い方式に全面変更する必要がある。
今回の問題を「ドコモの側だけが悪い」なんて考えていると、そのうちもっと大変な事態になるかもしれない。
今回の犯人は、どうやら技術が低いらしくて、パスワードスプレー（数千〜数万のIPアドレスを使っていろいろなIPアドレスから少しずつ攻撃すること）という手法は採らなかったようだ。しかし、パスワードスプレーという方式を使えば、銀行の口座から短期間に数百億円を引き落とすことも可能だろう。
たとえば、1023 という暗証番号で通る口座を次々と見つけて、そこのある預金の全額を、別の口座に振り込んでしまう。振り込む先は、ケイマン諸島の口座なので、もはや追跡は不可能だ……となる。
これは、ただの犯罪予想ではない。もうすでに犯罪を計画中のクラッカーがいるかもしれない。「ただ今、突破のプログラムをの作成中」というわけだ。
そして、その間、「ユーザーは４桁のパスワードが盗まれないように努力してください」なんてことを、日本の銀行は言っているわけだ。てんで見当違いなのだが。
※ ダメ銀行のなかには、ゆうちょ銀行が含まれる。
［ 付記 ］
文中の「9999分の１」は、数字に「0000」も含めるなら「１万分の１」となる。
＞ たとえば、1023 という暗証番号で通る口座を次々と見つけて、そこのある預金の全額を、別の口座に振り込んでしまう。
⇒ 今回問題となったドコモ口座については、一か月間にチャージできる（送金できる）金額が30万円なので、「預金全額を不正送金」、「銀行単位なら短期間に数百億円を搾取」というのは中々難しいかもしれません。
ちなみに、ニュース報道によると、当初の上限額は100万円だったそうですが、昨年５月にりそな銀行と埼玉りそな銀行の口座で同じ手口の被害があり、それで30万円に引き下げた経緯のようですね。
https://www.jiji.com/jc/article?k=2020091000315&g=eco
逆に言うと、16か月もの準備？期間があったのに、たった2,000万円の被害額（すなわち、破られた口座の数は70以下？）なのですから、筆者の主張とおり犯人側に技術がない（機械的な総当たりはしていない）⇒よって、今回はアナログ的に口座情報や暗証番号が漏洩したものだ、とドコモや銀行側は甘く見ているのかもしれません。それで、利用者には、「口座情報を他人に教えないで、暗証番号は推定されにくいものを使って」などと旧態依然のアナウンスをしてお茶を濁しているのでしょうか。
＞ パスワードスプレーの話は、ドコモ以外の被害の話です。
⇒ はい。今回のドコモ口座事件の犯人は、技術力が低かったので、IPアドレスを次々と変えて攻撃するような「より効率の良い総当たり方式」は使っていない。けれども、今後それを活用できる犯人が、インターネットバンキングか何かの脆弱なシステムに目を付けて、銀行預金などを直接不正に引き出すかもしれない、という話ですよね。
それで私のコメントは、「今後」の犯罪のターゲット、またその対策などを考察するにあたって、本稿では言及されていない、ドコモ口座の「30万円のチャージ上限」にどれほどの効果があったのだろうか、という問いかけです。
犯人は、低い上限額が設定されている場合、より高い技術力を駆使して広い範囲からお金を取ろうと頑張るのか、それとも、それは効率が悪い（犯罪として割に合わない）のでそこには深入りしないのか、という点です。
後者であれば、銀行や、そのシステムを流用する金融機関などからみれば、低い上限額にさえ設定していれば今回のように大規模（件数、被害額）な事件にはなりにくいのですから、あえてコストをかけて暗号強度を高く（桁数増やワンタイム方式に）したり二重認証にする方向性にはならない（今後も筆者の主張する内容は採用されない）可能性が高いのでは？、と思った次第です。
被害の全容はまだわかっていません。
判明したのがこれだけというだけです。
犯人によってはばれないように少額の送金にとどめている可能性もあります。
署名用電子証明書暗証番号は英字大文字２と数字４の６桁(676万通り）
利用者証明用電子証明書暗証番号その他は数字４桁(1万通り）
にしてねと注意された
おまけにネット上で変更できないので市役所で変更らしい
田舎の市なので全国共通なのかわからない
銀行口座と紐付けるとか
健康保険証と紐付けるとか
いろいろ噂がでてるが
信頼できないな
追記
銀行口座→ドコモ口座→他人の口座という流れで
最高額３０万円ということなので
３０万円を何回も繰り返せば高額になる
銀行口座に定期預金があれば貸出も可能になるので
普通口座がマイナスになっても送金される
https://www3.nhk.or.jp/news/html/20200915/k10012619641000.html