2025年に入って、日本の証券会社のアカウントが乗っ取られるなどして、金融資産を盗まれる被害が多発したようです。
この被害を抑えるため、日本の証券会社は2段階認証を必須にするなど対策をしたようです。
しかし、その原因を考えると、根本的な解決になっていないと推定されます。
一般的なネットサービスで最も高レベルなセキュリティサービスを提供しているGoogleのシステムで、システム上様々な対策をしながらもYouTubeチャンネル乗っ取りが続いている実態から考えると、この証券会社での被害がなくなることはほぼ考えられません。
今後も同じような問題は何らかの形で発生する可能性が高いです。
YouTubeチャンネルの乗っ取り
YouTubeチャンネルの乗っ取り被害は2010年代からよく報告されています。
Googleは乗っ取り被害を減らすために、2段階認証を必須にしたり、各種設定を即反映しないようにしたりなど、様々な対策をしていますが全く減りません。
2020年代に入ると、ログインの認証情報のクッキーを盗む手法が増え、2段階認証自体では防げなくなっていきました。
初期の乗っ取り手法は、アカウントのパスワードなどのログイン情報や、2段階認証の認証番号をYouTubeの関係者を装った人がアカウントの持ち主に聞き、それを信じた持ち主が教えるような物でした。
その後、認証関連などのシステムが改善され、単純に認証情報を盗んだだけでは乗っ取りが難しくなりました。
その後によく使われているクッキーを盗む手法は、マルウェア入りのファイルやリンクを攻撃相手に送り、ユーザーにクリックさせるなどしてマルウェアをインストールさせる手法です。
ユーザーは送信されたメッセージなどを信じて、ファイルやリンクを自分でクリックするなどするのが主な原因です。
自分の端末に自分でマルウェアをインストールし、結果的に認証情報を犯罪者に送る手伝いをしています。
このような攻撃でよく勘違いされる事に、セキュリティソフトを入れていれば安心だというのがあります。しかし、このような攻撃ではセキュリティソフトでは検出できないファイルレスマルウェアによる攻撃が使われます。
セキュリティソフトは完璧ではありません。
YouTube関連の詐欺にご注意下さい (クリエイター向け詐欺編)
セキュアではないSMS
2025年に入ってから証券会社が導入始めた2段階認証は携帯電話のSMSによる認証ですが、SMSの認証はセキュアではないため、GoogleサービスでのSMS認証の優先度は低くなっています。
それ以外のセキュアな認証設定をしている場合、SMSでの認証は出来ないようになっています。
また、SMSは通信会社自体の脆弱性があります。SIMカードを物理的に盗むようなSIMスワッピングから、通信会社に本人を装って連絡して通信サービスを乗っ取るような手法もあります。
このようなセキュリティ的に問題があるSMSを、アカウント認証の最も重要な部分で採用するというのは、2025年現在セキュアになったとは言えません。
2段階認証の限界
前述したように、2段階認証をした端末内の認証情報を盗む攻撃があります。
最近はこのような手法はインフォスティーラー(Infostealer)などとも呼ばれていますが、いくら2段階認証を厳しくしても、認証情報が盗まれるなどすると、認証関係なくアクセスされてしまいます。
また、前述したようになりすました所へパスワードや認証番号などを教える人も多く、いくら認証を厳しくしても、それで不正アクセスが増えるわけではありません。
根本的な問題はユーザー自身のセキュリティスキル
証券会社のアカウント乗っ取りでは、偽のURLをクリックするなどして偽のログイン画面に自分のアカウント情報を入力するような事から、認証情報を盗むマルウェアの手法などがあるようです。
どの場合もSMSや電子メール等で届いたリンク、ファイルなどを開いてしまうことがアカウント乗っ取りなどの根本原因となります。
これは前述しているYouTubeチャンネルの乗っ取りと同じです。
証券会社によってセキュリティ条件は異なります。その中で最も乗っ取りしやすいサービスが今後狙われることになるでしょう。
ユーザーとしては、電子メール、SMSで届いた案内の内容は一切クリック等しない、ファイルなども開かないことが重要となります。
これは該当の金融機関等だけではなく、関連するすべてに当てはまります。
例えば、契約している金融機関風の連絡を注意するだけではなく、すべてのメール、各種メッセージで同じように対応するという事です。
該当サービスにアクセスしたい場合は、自分で該当サイトのURLを直接入力する、事前にブックマークに設定しておく、スマートフォンの専用アプリなどでしかアクセスしないなどが重要になります。
また、認証情報は関係者を名乗る誰にも教えてはいけません。
ここに書いたことがまったく外れて、2025年中旬以降証券会社のアカウント乗っ取りがゼロになることを期待したいです。
