楽天モバイルの不正契約サイト事件、リスト型攻撃と本人確認の抜け道を悪用か

楽天モバイルの不正契約をできるサイトを運営したとして、その運営者を電子計算機使用詐欺ほう助の疑いで逮捕、さらにこのサイトを利用して不正契約をした人も電子計算機使用詐欺の疑いで逮捕されました。

不正契約が成立した要因は２つあります。

約500万件のIDとパスワードを入手

１つは海外のWebサイトから約500万件のIDとパスワードを入手し、このリストを使って楽天モバイルに不正ログインをしています。

ニュース記事では約500万件の楽天IDと記載されていますが、楽天はメールアドレスをユーザーIDとして使用できることから、他サービスから流出したリストでも実行が可能です。その場合はパスワードの使い回しで不正アクセスのリスクが高まります。

このように過去に流出したIDとパスワード表を使用して、複数のWebサービスに不正ログインをしかけることをリスト型攻撃（クレデンシャル・スタッフィング）といいます。

リスト型攻撃から被害を防ぐためには、二段階認証やパスキーの採用によりリスクを減らすことが可能です。

楽天モバイルは１つのアカウントで10回線まで契約することが可能で、契約時に本人確認書類の提出が原則必要です。

ただ、２回線目以降の契約や、楽天の他のサービスで提出済みの場合は省略が可能なようです。¹

ユーザーにとっては手続きが簡略化できるのですが、アカウントに不正ログインされた場合は本人確認なしで第三者が契約できる抜け道になってしまいます。

契約後はeSIMプロファイルをダウンロードすれば使えるため、SIMカードを受け取るために住所の入力をしなくてもよいというのが、不正契約の上で都合が良かったのでしょう。

この件について、現在はいずれのケースでも本人確認書類の提出が必要となり対策がされているようです。

不正に取得された回線は不正アカウントの作成（SMS認証用）や、特殊詐欺の踏み台にされるケースが多いため、当件はとても深刻な事件です。

被害に遭わないためには、下記のことに注意しましょう。