「七十七銀行でドコモ口座を利用した不正な引き落し被害が相次ぐ」記事へのコメント

中国銀行でも報告あった模様

[simon (1336)]

『「ドコモ口座」から不正に引き出し　中国銀行で被害発生』
https://www.asahi.com/articles/ASN983RPWN98PPZB006.html [asahi.com]

七十七銀行に固有の問題じゃなくて、地銀ならどこでも起きるんじゃないかコレ

Re:

[Anonymous Coward]

地銀に限らないような…

Re:

[Anonymous Coward]

都市銀行（ゆうちょ銀行もかな？）は多要素認証を強制してるんで無理だったんでしょう

どこでも起きるという話なら、なんとかペイとかバーチャルプリペイドカードも同じように口座連携機能があるのに、どうしてドコモ口座が使われたのかってのは興味あるな。ドコモ口座だけ何か落ち度があったのか、それとも単に出金しやすいから使われただけで原理上は他のサービスでも可能なのか、とか。

Re:

[taka2 (14791)]

今回問題になってる紐付け方法は 「Web口振受付サービス」 [chigin-cns.co.jp]というもので、
従来、紙で申請していた口座振替(銀行引き落とし)の申し込みをネットで行えるようにしたもの。
なので、インターネットバンキングの登録は必須ではありません。それぞれ独自で結構簡易な認証を採用してるみたいです。
ドコモ口座の対応金融機関 [docomokouza.jp]からちょっと見たところ、

みずほ: 暗証番号+通帳に記帳した最終残高(≠最新の残高)
                or インターネットバンキングログイン どちらか選択
三井住友: 詳細不明 小さいキャプチャ画像を見るかぎり、簡易認証 or

Re:中国銀行でも報告あった模様

[Anonymous Coward]

Web口座振替受付サービスは、マルチペイメント（マルペイ）のおまけ機能として、15年以上前に設計されたものです。
15年間、朴訥なセキュリティの仕組みで問題なく運用できて来ていたのは、公共料金の収納というマルペイの範囲を超えなかったからです。

しかし、この1～2年の間に出てきたQRコード決済に安易に拡大してしまった馬鹿がいた、しかも、日本マルチペイメントネットワーク推進協議会を構成するQRコード会社も銀行も政府・自治体も気が付かず、みんな馬鹿だったということです。

au PayでWeb口座振替受付サービスを使わなかったKDDIなど、一部は気が付いていたようですが、全体的な動きにはなりませんでした。