仮想通貨取引所のアプリを装った詐欺が横行、ユーザーIDとパスワードが目的か （2017/10/27 ビットコインニュース）
サイバー・セキュリティのリサーチを行うルーカス・ステファンコ氏は、Google Play内で米大手取引所「Poloniex」を装ったアプリが入手可能であったことを発表した。偽造アプリの目的は、ユーザーの個人情報やログイン情報の不正入手であったとみられる。
Poloniexは、102の仮想通貨ペアの取引が可能なプラットフォームを提供し、多くのユーザーを世界中に抱えている。一方、公式のスマートフォン向けアプリは提供されておらず、犯人はこれを悪用しようとしたものと思われる。
Poloniexを装ったアプリは少なくとも2つ確認されている。Google Playでは、今年の8月28日から9月19日まで、POLONIEXという名前の偽アプリがダウンロード可能であったという。また製作元もPoloniexという名前であったため、複数のユーザーはこれを公式アプリだと信じてしまったようだ。報告によれば約5000人のユーザーが、このアプリをダウンロードしたことがわかっている。
二つ目の偽装アプリは、POLONIEX EXCHAGEという名前のアプリが、POLONIEX COMPANYの開発者名でGoogle Playにリスティングされていた。このアプリも同様にGoogle Play内で10月15日にリリースされていた。現在、このアプリは削除されているとのこと。アプリをダウンロードしたユーザーは約500人ほどであった。
ユーザーはアプリを開くと、ウェブ・ブラウザー版の本物のPoloniexと同様のデザインの画面が表示され、ログイン用アドレスとパスワードの入力を要求される。入力を終え、「サインイン」をクリックすると犯人にログイン情報が送信される仕組みであったようだ。
ログイン情報を入手した犯人は、本物のPoloniexのウェブサイトからユーザーになりすましてログインしパスワードを変更。本来のアカウント所有者であるユーザーはログインが不可能となった。今回の不正では、Google Authenticatorなどの二段階認証を行っていたユーザーは、犯人の不正ログインを防ぐことができた模様だ。
画像引用元：https://www.welivesecurity.com/2017/10/23/fake-cryptocurrency-apps-google-harvesting-credentials/
今後もこのようアプリや新たな手法を使って、ユーザーの個人情報や仮想通貨が狙われることが予想される。自身の仮想通貨を守るために、取引所を使っているユーザーは「2段階認証をすべき」ということが改めてわかった。またダウンロードを行う前に、アプリが公式のものであるかやアプリの評価やレビューをチェックすることで、今回のような不正に対するセキュリティを向上させることができる。一方、2段階認証コードまで聞き出すフィッシングアプリも存在する。今回は2段階認証で不正アクセスを防げたが、自身の仮想通貨を守るためには、そもそも論としてフィッシング詐欺に合わないための基礎知識や技術が必要だ。
参考元
Welivesecurity
- 関連記事
- Mt.Gox、ビットコイン消失事件の真犯人が浮上 ギリシャで逮捕の男
- ビットコインの分裂と仮想通貨の今後
- 国税庁、仮想通貨で生じる利益が「雑所得」と認める
- ロシア、仮想通貨の規制ガイドラインを発表
- 社内通貨が職場活性化に有効な理由
