海外における個人情報流出事件とその対応「PayPalハッキングで金塊を購入」 （1）日本円で2,000万円近い被害額
●PayPalハッキングで金塊を購入
「“プロ”のハッカーがeBay利用者から18万5,000ポンド（約2,486万円）以上を盗み、懲役刑となっている」と、2月21日付け「The Register」が報じた。記事は「This is Nottingham」の報道に基づくものだ。
国際
海外情報
「“プロ”のハッカーがeBay利用者から18万5,000ポンド（約2,486万円）以上を盗み、懲役刑となっている」と、2月21日付け「The Register」が報じた。記事は「This is Nottingham」の報道に基づくものだ。
逮捕されたのは22歳の男性、Richard Kirkだ。英国中部、マンチェスターの南東にあるノッティンガムで母親と一緒に暮らしていた。Kirkは300件を超えるeBayユーザのパスワードを不正に獲得した後、メールアカウントにハッキング。eBayの子会社で、決済サービスを提供するPayPalアカウントに不正にアクセスしていた。eBayは世界最大規模のオークションサイトだ。
そして、被害者のPayPalアカウントから、Kirk個人の口座に送金して、金の延べ棒、金のジュエリー、ミツビシの自動車をはじめとする高額の品物を購入していた。Kirkは送金目的に数百件のPayPalアカウントを開設していたとされている。
PayPalの利用者はアカウント開設時に住所も登録する。しかし、Kirkが購入した高額製品はすべて登録住所ではなく、Kirkの住所に送付されていた。
アカウントがハッキングされた場合は、PayPalは元のアカウントの持ち主に資金を払い戻す規定がある。ただし、不正にアカウントを使用して購入した品物が、PayPalのユーザアカウントとして登録されているのとは異なる住所に送られた場合は、払い戻しは行われない。そのため、アカウントが不正使用されたことに気付いたとしても、PayPalユーザは大きな打撃を受けた。
●日本円で2,000万円近い被害額
今回の事件では、被害金額18万5,000ポンドのうち、不正な購入に使った金額は14万3,000ポンド（約1,917万円）とされている。一方、PayPal側も約4万ポンド（約536万円）について回収できなかったという。通常、これはKirkが購入した品物の出品者は、販売後その売り上げをPayPalの口座から移していたためだ。
事件の被害者の多くはノッティンガムや、ノッティンガムに近いマンスフィールドに住んでいたeBay利用者だ。しかし、オーストラリアやスウェーデン在住者も被害を受けている。
Kirkが不正アクセスして悪用したアカウントのひとつは、重病で余命わずかな子どもたちのための、特別な学校のものだったらしい。学校は、子どもたちの想い出の品や記念の品物などを販売するWebサイトを持っていたが、KirkはそのWebサイトを通じて金塊を販売していた。しかし、3,000ポンドでの売買に合意した後も、買い主に対して金塊を送っていないというから、インターネット詐欺も行っていたようだ。「This is Nottingham」の記事では、5件の罪状で有罪判決を受けている。
Kirkの逮捕は、被害者の一人が異常に気付いて警察に通報したことによる。警察は金が届けられた直後にKirkの自宅に踏み込んだと報じられているが、逮捕の際、Kirkは不正に使用した他人のPayPal残高で購入した品物に囲まれて、ノートPCを使用していたというから、サイバー犯罪に忙しかったのかもしれない。
報道で“プロのハッカー”と形容されているのは、Kirkが毎日、数時間をかけて他人のアカウントを攻撃して、残高に不正にアクセスしていたためだ。数百件にものぼるアカウントが被害を受けていた。
Kirkがハッキングで盗難を行っていたのは2008年から2010年までの間とされている。不正な資金で購入した品物を自宅に送付していたのに、2年もの間、逮捕されなかったのは驚きだ。裁判でKirkは懲役3年半の有罪判決を受けた。
（バンクーバー新報 西川桂子）
Scan PREMIUM 会員限定記事
もっと見る-
特集今日もどこかで情報漏えい 第23回「2024年3月の情報漏えい」なめるなという決意 ここまでやるという矜恃
3 月に最も件数換算の被害規模が大きかったのは、株式会社ダイヤモンド社による「ダイヤモンド社にランサムウェア攻撃、約70,000件の個人情報が漏えいしたおそれ」の約 70,000 件だった。
-
Linux の GSM ドライバにおける Use-After-Free の脆弱性（Scan Tech Report）
2024 年 1 月に公開された、Linux カーネルの脆弱性を悪用するエクスプロイトコードが公開されています。攻撃者は当該脆弱性の悪用により、一般権限での侵入に成功した OS の管理者権限が奪取可能です。Linux カーネルのアップデートにより対策してください。
-
訃報：セキュリティの草分けロス・アンダーソン氏 死去 67 歳、何回分かの生涯に匹敵する業績
彼は英国王立協会のフェローでもあり、ニュートン、ダーウィン、ホーキング、チューリングが名を連ねる「知の殿堂」入りを果たしていた。
ピアツーピアシステムとハードウェアの耐タンパー性における草分け的存在である彼は、チップや銀行の暗証番号カードなどの安全な設計に長年取り組み大きな影響を与えた。そして、ATM におけるセキュリティ上の欠陥を公表するというアンダーソンの取り組みにより、世界中で ATM の設計が変更されることとなった。 -
ガートナー クラウドクッキング教室 ～ CCoE 構築の重要性
最後に、ハンキンス氏はクラウドセキュリティ全体像を戦略メニューとして図示した。上記で説明したソリューションやツール、各種フレームワークやプラットフォームが、機能や用途ごとに俯瞰できるものだ。この図は、ガートナーのクラウドセキュリティのコンサルティングの戦略ベースを示したものといってもよい。自社のセキュアクラウドを構築するときの「レシピ」として利用することができるだろう。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
Windows カーネルドライバの IOCTL 処理にアクセス制御不備の脆弱性
TvRock にサービス運用妨害（DoS）と CSRF の脆弱性
NETGEAR 製ルータにバッファオーバーフローの脆弱性
RoamWiFi R10 に複数の脆弱性
Linux の GSM ドライバにおける Use-After-Free の脆弱性（Scan Tech Report）
Armeria-saml に SAML メッセージ取り扱い不備
インシデント・事故 記事一覧へ
雨庵 金沢で利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信
セトレならまちで利用している Expedia 社の宿泊予約情報管理システムに不正アクセス、フィッシングサイトへ誘導するメッセージ送信
タカラベルモントの海外向けウェブサイトのサーバがフィッシングメール送信の踏み台に
LINEヤフー委託先への不正アクセス、報告書を受け 2 度目の行政指導
Acompany で 4 件の Google フォーム誤設定、最大 164 名の個人情報が閲覧可能に
笛吹市商工会へのサポート詐欺被害、調査結果公表
調査・レポート・白書・ガイドライン 記事一覧へ
重い 高い 検索も使いにくいメールを企業の 6 割が使う理由
2024年第1四半期 IPA 情報セキュリティ安心相談窓口の相談状況、サポート詐欺被害時の漏えい可能性判断ポイントほか
2024年第1四半期「JVN iPedia」登録状況、最多アクセスは WordPress 用プラグイン WordPress Quiz Maker Plugin における不適切な入力確認の脆弱性
国内カード発行会社のドメイン毎の DMARC 設定率 36.2％「キャッシュレスセキュリティレポート（2023年10-12月版）」公表
社員のセキュリティ意欲高める施策とは？ 罰則は逆効果 ～ プルーフポイント「2024 State of the Phish」日本語版公表
セキュリティにおける効果は実感できるのか ～ SECURITY ACTION 宣言「得られた効果はない」最多
研修・セミナー・カンファレンス 記事一覧へ
札幌で「CSIRT のはじめ方」ワークショップ 5/16 開催、北海道在勤在住者は参加費 5 万円が無料
スペシャリスト集結！ マネーフォワード・ラック・富士ソフト・電通総研から学ぶ、脆弱性診断内製化の成功法則とは？ AeyeScan 導入企業との公開対談
ガートナー クラウドクッキング教室 ～ CCoE 構築の重要性
Reject 運用のポイント他 ～ 日本プルーフポイント「DMARC Conference 2024」5 月末 大手町で開催
韓国の 2024年 セキュリティ市場規模 8,000 億円見込 ～ SECON & eGISEC 2024 開催
エーアイセキュリティラボ、脆弱性診断の自動化・内製化のための無料ツールと AI 活用解説 4/18 セミナー開催
製品・サービス・業界動向 記事一覧へ
NDIAS「車載器向けセキュリティ技術要件集」活用したコンサルサービス提供
脆弱性診断自動化ツール「AeyeScan」を基盤に「診断マネジメントプラットフォーム」を提供
脆弱性診断自動化ツール「AeyeScan」アップデート、Apache httpd の脆弱性スキャンルール追加
研究開発の推進責務が撤廃ほか ～「NTT法」改正法律成立を受け NTT がコメント
SHIFT SECURITY、OWASP Top10 for LLMs に基づいた「生成AI活用システム診断」リリース
情報処理学会、高等学校情報科の全教科書の用語リスト公開
おしらせ 記事一覧へ
創刊25周年記念キャンペーンのノベルティが届きました！（25周年記念キャンペーンは本日終了です）
![人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン 読者特典] 画像](/imgs/std_m/43329.jpg)
人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン 読者特典]
Scan PREMIUM 創刊25周年記念キャンペーン実施中
ScanNetSecurity 創刊25周年御礼の辞（上野宣）
小説内に登場するバーで直筆サインをいただきました ～ 創刊24周年キャンペーン 11/30 迄
