Facebookの不正アクセスからクレジットカード情報が盗まれた　前兆・対応・予防

私の楽天市場のアカウントが不正アクセスされ、クレジットカードの情報が盗まれた。
その前にFacebookに不正アクセスがあったのを軽視したのが痛かった。
自分への戒めのため、そのときのことを書き残しておく。

クレジットカード不正利用、発覚の経緯

クレジットカードが不正利用されたことを知った経緯を時系列で書いていく。

楽天市場からメールが届く

2016年12月2日　12:00
楽天を名乗る人物から下記のメールが届く。

タイトル：【楽●天】パスワード初期化のご連絡
本文：
日頃は楽天をご利用いただき誠にありがとうございます。

このたび、お客様の楽天会員登録が第三者によって不正にログインされた可能性があることが判明いたしました。

緊急の措置として、第三者による不正な利用を防ぐため、お客様の楽天会員登録のパスワードをリセットし、パスワードを再設定しなければログインができないように変更をいたしました。

この怪しいメールは何だろう？
【楽●天】なんて、真ん中に「●」が入るあたりが怪しさ満載ではないか！
とはいえ気になるので、メールのリンクを踏まないように注意しつつ調べてみると、どうやら本当に楽天から送信されている様子。
楽天市場にログインを試みたが実際にパスワードが使えなくなっていた。

クレジットカード会社から電話が来る

12月2日　12:50
見知らぬ電話番号から着信があることに気付く。
着信時間は今日の11:08。

12月2日　13:15
昼休み。留守電を聞く。
それはクレジットカード会社からの電話で、大至急連絡が欲しいと言っている。
慌てて折り返しの連絡を入れる。

「本日、11時頃、モバゲーにて3万円の課金をされましたか？」
私は、モバゲーは登録すらしていない。
そう伝えると、電話の向こうの担当者は落ち着いた声で、こう言った。
「お客様のクレジットカード情報が盗み取られ、不正利用されています」

びっくりして状況を聞くと
・楽天市場経由でモバゲーへの課金請求があった
・同様の手口の不正が相次いでいる
・私のカードの利用状況からいって不正の可能性があるため、確認の連絡をした
とのこと。

クレジットカードの情報を盗み取られる話は聞いたことがあったが、まさか自分が被害にあうなんて思ってもいなかった。

前兆は2ヶ月前から

その2か月前、2016年10月11日のこと。
Facebookから「第三者によるログインがされた可能性が、云々」というメールが届いていた。
気持ち悪いと思いつつも、なりすまし投稿等をされた形跡もないので、Facebookのパスワードは変えたが他は気にしていなかった。

そして、変更前のFacebookと今回情報が盗まれた楽天市場は、同じメールアドレスと同じパスワードを利用していたのだ…。

この空白の2か月弱の間に、メアドとパスワードがリスト化されて、販売でもされたのだろうか。
それであれば、今後も他のサイトに同様にアクセスを試みられる可能性があるかもしれない。
「同じパスワードの使いまわしは止めましょう」というのは、こういうことだったのだ。

不正利用発覚後、やったこと

クレジットカード会社のおかげで、モバゲーへの3万円の不正課金は無効となった。
しかし、他にもやるべきことはたくさんあった。

・直近1ヶ月ほどのカード利用状況を見てもらい、他の不正使用がないことを確認した
・今回不正利用されたカードは、番号を変えての再発行をお願いした
・楽天市場に登録していた他のカードにも不正利用がないこと確認した
・楽天市場のカード情報を全て削除した
・使っていないカードは利用を停止した
・今回の不正アクセスと同じメアドとパスワードを使っていたサイトは全てパスワードを変更した
・支払いが発生するサイトについては、パスワードをそれぞれ違うものにした

それからのパスワード管理

パスワードを何種類も作ると、管理が大変になる。
しかし、同じものを使いまわすと、ひとつ情報が漏れたら、芋づる式に他にも不正アクセスが起きてしまう。

割り切って、パスワードがバレても影響が少ないものと、被害が出るものとを区別して考えることにした。

パスワードがバレても影響が少ないもの

パスワードがバレても影響のないものとは、例えば新聞社のサイト（無料会員登録で記事が何本か読めるようなもの）といった会員限定の情報を見るだけのサイトで、個人情報の登録は名前とメアドくらいであり、金銭のやり取りが発生しないものだ。

これは不正アクセスされても失うものがないので、そこまで複雑ではないパスワードを使いまわしている。

絶対パスワードがばれたくないもの

下記の2種に関しては、絶対にパスワードがばれたくないので、複雑で長いパスワードを使い分けている。

友人を巻き込んでしまうもの

パスワードがばれることで、友人に迷惑をかけたくない。
各SNSやメールサイトは不正アクセスがあると、友人に迷惑な連絡やウィルスが届いてしまう可能性がある。

支払いが発生するもの

通販サイトには、クレジットカードの情報を登録するものがある。
これにアクセスされると、私のように無関係な買い物をされてしまう可能性がある。

小さな異変を軽視しないこと

この楽天市場への不正ログインは、その前のFacebookからの「第三者によるログイン云々」という連絡を受け止めて、同じパスワードを使い回していたサイトも変更をかけていたら起きなかったはずだ。
便利さに慣れて危機感がない自分に気付かされた。

不正ログインが一つ起きたら、それは次の不正ログインの始まりである。

その意識で管理していかなければいけない。

最後に…

不正アクセスに気付いてくれた三井住友カードに大感謝である。
電話口で対応してくれた方が、終始、落ち着いた口調だったので、私も強いショックを受けたが、落ち着いて状況を把握することができた。

もう二度と、同じ要件でお世話になりたくはない。