piyolog

piyokangoの備忘録です。セキュリティの出来事を中心にまとめています。このサイトはGoogle Analyticsを利用しています。

三菱東京UFJ銀行の振込依頼人の電話番号漏えいをまとめてみた

インシデントまとめ

2015年11月30日に、三菱東京UFJ銀行が同銀行の電話案内サービスを通じて特定口座へ振り込んだ人の電話番号が漏えいした可能性が高いと発表しました。ここでは関連情報をまとめます。

公式発表

被害を受けた残高照会ダイヤル(テレフォンバンキング)

注意喚起

タイムライン

日付 出来事
2004年2月 残高照会ダイヤルのサービス提供開始。*1
2015年10月23日 警察より三菱東京UFJ銀行へ架空請求詐欺に電話番号が悪用された形跡があると連絡。
2015年10月29日 三菱東京UFJ銀行が残高照会ダイヤルのシステムの不備を解消。
2015年11月30日 三菱東京UFJ銀行が振込依頼人情報が漏えいした可能性があると発表。
2016年1月6日 三菱東京UFJ銀行が調査結果を発表。継続調査による新たな被害は確認されていないと報告。

インシデント概要

  • 以下は図にまとめたもの。


被害状況

漏えいした可能性のある情報
  • 出会い系サイト等の運営業者の預金口座入出金明細
  • 当該業者以外の顧客の口座からの情報漏えいは確認されていない。

次の情報が悪用されていた可能性がある。

  • 入出金明細に記載されていた一部の振込依頼人(サイト利用者)の電話番号、またはカナ氏名
被害件数
残高照会ダイヤルにより不正に情報を引き出された口座 47口座
当該口座を通じて振込依頼人名が取得された件数 約1万4千件
三菱東京UFJ銀行の第一報における調査期間
  • 改修前の過去半年分(2015年4月28日〜2015年10月28日)
  • 尚この期間とした理由は三菱東京UFJ銀行に残存しているアクセス記録全件である。
  • 対象の口座の過去の状況を調べ調査終わり、翌年1月6日に改めて発表を行った。*2
  • 2015年4月27日以前にも同じ電話番号が漏えいしていた可能性がある。
振込依頼人の氏名ではなく電話番号が漏れた原因
  • 出会い系サイト等の運営業者が振込依頼人名に氏名に代わり連絡先電話番号の入力を求めていたため。

発端

  • 2015年10月23日に三菱東京UFJ銀行が警察より架空請求詐欺の電話が漏えいの可能性がある電話番号へかかってきた事案が発生した旨の情報提供を受けたことによる。*3

第三者が不正に取得できた原因

  • 残高照会ダイヤルの本人確認においてシステム仕様上の不備があったため。
不正取得の方法
  • 本人確認の際に特定の番号を入力すると誰でも明細を聞くことができる仕組みがあったと報じられている。*4

対応

  • 2015年11月30日 被害発表
  • 2015年11月30日 コールセンターの設置
  • 被害状況の継続的な調査（刑事告訴も視野に調査中）*5
  • 2016年1月6日 調査結果の報告

更新履歴

  • 2015年11月30日 PM 新規作成
  • 2016年1月7日 PM 続報追加

*1:三菱東京ＵＦＪ １万４０００件の情報流出か,NHK,2015年11月30日アクセス:魚拓

*2:三菱東京ＵＦＪ銀、振込依頼人の電話番号が漏洩　架空請求詐欺に利用,日本経済新聞,2015年11月30日アクセス:魚拓

*3:三菱ＵＦＪ：電話番号１．４万件漏えい　架空請求に悪用,毎日新聞,2015年11月30日アクセス:魚拓

*4:１万４千件の電話番号流出　三菱ＵＦＪ、架空請求も,共同通信,2015年11月30日アクセス

*5:出会い系利用者の情報、１万４千件流出　三菱東京ＵＦＪ,朝日新聞,2015年11月30日アクセス:魚拓