【IT】Suica泥棒にご用心！暗号解読は時間の問題 [08/07/08]

スイカ泥棒ならぬ、“Suica泥棒”という犯罪が近い将来日本に出現するかもしれない。

偽札鑑定機器などを製造している松村テクノロジー（2003年設立）の松村喜秀社長は、
SuicaやEdyなどの非接触ICカードへの犯罪に警鐘をならしている。
松村社長はセキュリティ業界では知る人ぞ知る権威だ。

実は、北朝鮮が作成した偽米ドル札「スーパーK」を発見し名づけたのも松村社長。
偽札があると聞けば世界中に飛んでいき、犯罪者がいそうなエリアを歩き、探す。
また、パスポートや運転免許証の偽造犯罪にも詳しく、大量の偽物を収集し鑑定のための技術を開発している。

その経験を買われ、世界中の捜査機関から顧問などの形で協力も求められ、
特に近年は急増するカードに関する犯罪対策に取り組んでいる。

その松村社長が「犯罪者集団が次に狙っているのはSuicaなどの非接触ICカードだ」と言うのである。

非接触ICカードの暗号が破られたとの報告はまだない。
しかし、「破られない暗号はない。現在、限度額が2万円であることと普及率が低いことで犯罪者が手を出していないだけ」と指摘する。

今後、限度額が引き上げられたり、国民全体が電子マネーを使うようになれば、必ず犯罪者は非接触ICカードを狙うようになるという。
今は日夜、技術を磨いているところというのが松村社長の読みである。

非接触というだけあって、離れた場所からでも情報を読み取ることが可能だ。
「日本の機器では数センチしか読み取れないが、海外には数メートルの情報を読み取れる機器もある」。
仮にセキュリティを破った違法な読み取り機を犯罪者が手にしたら、
満員電車に乗り、街中を歩くだけで簡単におカネをせしめることができる。

クレジットカードには一日に高額の商品を大量購入した場合などに、
犯罪防止システムが異常を自動的に検出しカードの利用を停止する仕組みがある。
「電子マネーにはその仕組みも無いし、そもそも目に見えないためおカネを抜き取られたことに気づかない被害者も出てくるのでは」
と松村社長は見る。

松村テクノロジーでは、非接触ICカードを違法な読み取り（スキミング）から守る「ステルスカード」という商品を
コンビニなどで販売し密かなヒット商品となっている。
財布の中にカードと一緒に入れておくだけで読み取りを防げるという。

「北京オリンピック開催で中国に集中しているアジアの犯罪者が（オリンピック終了後の）夏以降に日本に戻ってくることも
　（非接触ICカードのスキミング犯罪が増える）ひとつのきっかけとなるかもしれない」。
（『週刊ダイヤモンド』編集部　清水量介）

ソース：ダイヤモンド・オンライン
http://diamond.jp/series/it_business/10007/

いい話や

モバイルスイカで凄い被害出たけどね

ICカードへ数メートル離れていて電力供給はどうするんだ
そもそもカードからの電波はそんなに出力出るんかな

>>3
そんな事件あったの！？
でも俺昨日iPhoneに鞍替えするためモバスイ解約したからいいや

>>5
クレカ登録に暗証番号がいらなくて盗難クレカでも登録できたって奴

タスポは情報管理安全なの？第三者利用のリスクは無いのかな？

>>3 >>6
あれだろ、ドコモの携帯は1回でのチャージ金額は上限2万円だったんだが
1日のチャージ回数に限度が無かったので
落とした携帯を拾った奴に無制限に何度も繰り返し何百万も使われたってやつ。

最近、上限回数に制限がついたのでできなくなったけどね。

> ステルスカード
こんなのあるんだ、知らんかった

タスポってチャージできないよね？
不安な点はなに？

>>10
チャージできるよ

>>9
電波吸収剤のカードじゃね？

この人か。
http://www.nikkeibp.co.jp/sj/2/column/ea/27/index.html

満員電車に乗るだけでがっぽり儲かるのか

流石久米田先生は時代の一歩先をいく

日中韓共通Suicaとか言ってる場合じゃないな、こりゃ

>>16
なんだそりゃ？ｗ

中韓の偽Suicaに使われまくりたいってこと？ｗ

>>17
国際共通カード作るって計画だよ

>>16
北朝鮮は万景望号を使い、日本の金を持ってく
韓国はsuicaを使って日本の金を持ってく

となるわけか

>>17
こういうことらしい

＞日本と中国、それに韓国は、観光客などの往来を拡大するため、３か国の公共交通機関の運賃の
＞支払いを、同じＩＣ乗車券で行えるシステムを構築することになりました。
＞
＞これは、２３日までの２日間、韓国南部のプサンで行われた、日中韓３か国の観光担当大臣による
＞会合で合意したものです。それによりますと、３か国は、観光客などが、旅行先で、鉄道やバス
＞といった公共交通機関を利用しやすくするため、どの国でも同じＩＣ乗車券で運賃を支払うことが
＞できるシステムの構築を目指すとしています。鉄道やバスなどの支払いに使うＩＣ乗車券は、日本
＞にはＪＲ東日本の「Ｓｕｉｃａ」などがありますが、中国と韓国でも、同じようなＩＣ乗車券が導入されて
＞います。
＞
＞国土交通省では、まず、韓国との間で、今年度中にデータの処理システムなどの共通化を図って、
＞相互に利用できるＩＣ乗車券を開発し、２０１１年の本格的な導入を目指す方針です。国土交通省
＞では、実現すれば、世界で初めて、複数の国でＩＣ乗車券が相互利用できるようになり、観光客
＞などの往来の拡大が期待されるとしています。
＞
＞http://www3.nhk.or.jp/news/k10015439011000.html

【日中韓】共通ＩＣ乗車券実現へ［06/24］
http://news24.2ch.net/test/read.cgi/news4plus/1214272398/l50

無限チャージし放題？

接触型にした方がいいって事か？

>松村テクノロジーでは、非接触ICカードを違法な読み取り（スキミング）から守る「ステルスカード」という商品を
>コンビニなどで販売し密かなヒット商品となっている。

脅かして商品売りたいだけだろ、893と同じだよ
破られない暗号は無いかも知れないが、一般人は破られるまでは安全に使えると言うことだ。
破られる前から、スキミングプロテクタを売るとか阿漕杉

>>18
国際共通カードの前に国内の乱立してる電子マネー何とかせぇや
経済産業省が強権発動して 統一規格にまとめろ

>>20
何その中韓用の無料パス

>>23
>一般人は破られるまでは安全に使えると言うことだ。
問題は破られたことを認知するまで相当のタイムラグがあるということだ
クローン携帯騒動みたいな幕引きされたら、一般人はカモにされ放題
設備投資が半端無いから、企業側も易々と認めない訳だし
カモが居るうちに稼ぎたいから、犯罪組織側も認めない

ステルスカードなんて買わずに、ハンズで金属板をカード大に加工してもらえばいい

>>24
まあ勝手にソニーに収束してくと思うぞ
こんだけスイカ系が出回れば

>>26
ってことはカード入れの空いてるとこにアルミホイルとかでもおｋってこと？

>>23
> 破られない暗号は無いかも知れないが、一般人は破られるまでは安全に使えると言うことだ。
結果は同じじゃん。
破られたという報告があってから買うか。
買ってから破られたという報告を聞くか。

最後は自分とこの商品宣伝かよ

なんだ西瓜泥棒か

スリに会ったり財布を落としたりする確率や被害額よりも軽微だろｗ

>>29
破られたら普通持ち歩かないだろｗ
どうしても持ち歩きたければ>>26の言うとおりに鉄板入れればいいだけだろうけど。
大体そこまで心配するならそのステルスカード無力化読み取り機とか出たらどうするんだとかなるぞ？ｗ

今現在存在しない物の不安を煽って商売するのは、霊感商法と同じ感じで好きに慣れんだけだ。
まぁ霊感商法も心の平安を売るという商売だから、それはそれで商売として正しいと言われればそれまでなんだが。

これ額が低いから安心とか言ってるみたいだけど、基幹技術はFelicaでしょ？
iDとかの非接触ｸﾚｶは全く説明に当てはまらないじゃん。

>>33
>大体そこまで心配するならそのステルスカード無力化読み取り機とか出たらどうするんだとかなるぞ？ｗ
そもそもICカードの原理が分かってないようだ
（原理って、壷と掛けてる訳じゃないぞw）

>>26でも書いたけど
やぶられた報告があってからならともかく、認知されるまでには長い月日が掛かる
たとえそれが3日でも被害者になるリスクと結果は甚大
大体世間一般に表面化するのがとてつもなく長い

一番ベストな対処法は、既出だが、表面化の有無にかかわらず、
最初から持たないことだ

パソコンの性能が上がれば今使われている暗号が破られるのだけは確実

>>35
>大体世間一般に表面化するのがとてつもなく長い
大体世間一般に表面化するときには、被害が大分拡大しちゃってるんだし
に訂正

>>35
極めて怪しい金額の移動は検知される。

>>38
>極めて怪しい金額の移動は検知
怪しくなければ、バレないとは

ステルスカードと一緒にしたら、電車に乗るときには財布からスイカ出さなきゃいけなくなる？

>>35
一番ベストな方法は、自動車に乗らない事だと
いっているのと同じだなｗ

不安をあおって商売したいだけ。
クレカなんて目視で番号読めばスキミングできてしまうけど
保障があるから問題ない。

>>41
自動車は、故意に細工されると最低限の安全を確保出来ないからね。

ICカードなんかよりもさ、
俺、クレジットカードの方法がやばいと思うんだが。

小型カメラで番号と名前と有効期限をとれば、
それだけの情報で、ネットで商品購入できるだろ？

なんでいまだにあんなセキュリティの低いものが
使われているのか理解できない。

>>35
>そもそもICカードの原理が分かってないようだ
>>1は世の中絶対はあり得ない、ってことだから存在しないことをネタにするのはおかしいって意味でそれを書いたんだｗ

それはともかく、認知速度と被害拡大速度はどうだろうね。
今はインターネットで情報の伝達速度はかなり速くなってる。
日本がそこまで情報閉鎖社会だとは思わないし、一般人に被害が多数出る前にはニュースになるでしょ
初期被害者になったら不運だけど、確率的には宝くじ１等並みだと思うし。
かなり大がかりな組織が大規模なレベルでやれば、甚大な被害はあると思うがそこまでなるかな？

それに完全に解読出来てるのなら、そもそも他人の残金減らす必要ないから一般人が被害を受けるはずないんだけど。

>>44
>小型カメラで番号と名前と有効期限をとれば、
>それだけの情報で、ネットで商品購入できるだろ？
裏面のセキュリティコードがないと

>>45
>今はインターネットで情報の伝達速度はかなり速くなってる。
俺たちは良いけど、ネットはニュースサイトくらいしか見ない層ってのがまだいる
君が体験してる伝達速度を、他の人も同様に享受できてるとは限らない
行動パターンも違うんだし

量子暗号まだぁ〜？

>>46
クレカって店員に渡して使うの。

>>45
言われてみればそうだな。
残高を書き換えれば言いだけだから。

>>49
犯罪ってのは、自分の懐を潤すためだけに行うものではないよ。
他人にダメージを与えるために行うものも多い。

脆弱な競合するシステムを破壊することが犯罪かどうかは、検証が必要だが。

この手の非接触カードって、カードのIDと残高を基地局と照会してるものなの？
イディかなにかは毎回照会して反応が遅くてスイカとかは端末データを定期的に基地局に送信とか読んだけど。
端末で自己完結してるなら、いちいち他人のカードから盗み取らないで、
偽造テレホンカードみたいに自家チャージを繰り返せばいいわけだよね。

Suicaは基本的には使用時鯖とリアルタイムで通信しているからセキュリティレベルは高い方だと思うのだが

プリペイドの場合、残高は電子マネーの管理会社のサーバーにも記録されてるよ。
EdyだとPasori使ってカードの残高照会とオンライン照会が出来る。

>>52
リアルタイムじゃないでしょ
事後にサーバに記録

プリペイドの場合、事業者は準備金が必要になるんで、どんどん
残高を増やしていったら事業者の会計上の被害が拡大するね。

>>54
カード←使用時にやり取り→機器−直後に通信→中央鯖
であってる？

>>56
たぶん
バスとかすぐに通信できない端末の場合は､1日分まとめてサーバに
送ったりしてると思う
その際に無効カードリストも更新

>>57
直後に通信できないのはバス運賃箱とSuicaグリーン券利用くらいだろうな。
あとはどんな機器でもLANケーブルと繋がっているはず…。

結局、残高と取引履歴はサーバで管理されるので
カードのデータをいじったらカード使えなくされるよね。

どっかから端末だけ調達して来てこっそり人通りの多いとこに設置しておいて、
通りかかった人のカードから決済しまくりってのは簡単そうなんだけど。

>>59
そうでもない。
データいじった直後なら普通に使える。

使えなくなるのは、サーバー側で集計処理やって「異常数値」と判別され、停止処置が取られ、さらにそれが各端末に通知された後。

このタイムラグの間でどれだけ稼げるかで、狙われるかどうかが決まる。

その決済に使ったカードと端末はサーバに記録される。
カード保有者から被害届けを受ければどうなる？

>>60
技術的にはできちゃうんだよね
でも端末設置には審査があるし､サーバでのチェックがあるから
店に入金される前にバレて止められる｡
現在の電子マネーは転々流通しないので､他に利益を移転する手段がないから
悪用しても意味がないと｡

>>61
タイムラグが正確にわからないと通報される危険があるから、実質１回限りの使い捨てかな。
そうなるとオフライン決済を行う場合の条件を厳しくして対応するしかないか。

>>62
被害届けが受理されたイコールカードが止まるわけじゃない。クレジットカードと違って、リアルタイムでの与信管理はしていないんだから。

あくまでも被害届けが出された以降の不正使用に対して、被害者の免責が適用されるというだけだ。
ということはこれには裏があって、被害届けが出される前、盗難に気付かずに使用された場合の被害は誰がかぶるのかという話になる。

特に遠隔スキミングなんてされると、3日や4日は被害に気付かないことはざらにある。

スイカの限度額が一向に上がらないのもこのあたりの問題があるからなのか？

現実的に実害があるかどうかじゃなくて、セキュリティが破られた
システムが、そのまま稼働出来るかどうかが問題なんじゃないのか？

>>65
モバイルスイカの不正使用があったときは全額保障されたな。
クレジットカードの場合は申告日から60日くらいさかのぼれる。
この辺は経営判断じゃないかと。

>>64
本当に暗号が破られると。
例えば満員電車の中で数百人分のデータを盗んだ後（データ的な盗聴なので、誰一人盗まれたことには気付かない）。

特殊なカードに数百人分のデータを入力して、データセットを切り替えながら数百人分を一気に消費するなんてこともありうる。

現状では消費する先がコンビニや自販機なんかの小額決済ばかりだからあまり大々的な犯罪の対象にならないが（それ以前に、単に物理的にする方が手間いらずだし）
。今後、限度額も上がって普及して高額商品の決済にも使えるようになると、本当に大丈夫なのかという話にはなるな。

>>69
>特殊なカードに数百人分のデータを入力して、データセットを切り替えながら数百人分を一気に消費するなんてこともありうる。

そんなのどう考えても弾かれるだろ。

オランダでこの手のカードがハッキングされてたような。

I see

あのバカ社長か
自社商品売りたいだけのちょうちん記事だな

>>70
電子的に完全にコピーされれば、正しいカードと不正カードを電子的に判別する方法は無い。
クレジットカードのように店員に直接手渡して処理するわけじゃないから、カードにうねうねとケーブルがつながっていても、持ち方と手の向きでいくらでもごまかしが効く。

もちろんそんな大掛かりな攻撃をかけるには、個人なら数千万、組織なら数億円の稼ぎが見込めなきゃやるきにならんだろうが。

皮肉なことに電子マネーが普及すればするほど、技術は陳腐化して関連機材は安価に手に入るようになり、換金手段は増えていく。
かといって、途中でセキュリティ方式を切り替えると、せっかくの普及に水を差すことに。

なかなか難しい問題をかかえているのよ。

現行方式の電子マネーで限度額上げる動きは別に無いかと。

>>68
それはクレカ登録とチャージのシステムがザルなセキュリティに欠陥があったからな。

suicaの契約はどうなってるのかな
クレカもキャッシュカードも偽造された場合補償されるようになったけど
偽造され始めた頃は全部被害者に押しつけてたからな
この辺ちゃんとして無いと使うのには抵抗あるな

基本的にMAX数千円単位でしかチャージしてないからいいよ

便利と安全性は表裏一体

日経で妄想コラムかいてた社長か
このおっさんホントあやしいな
現状のFelica破りといえばサイドチャネル攻撃だから
おっさんとこの商品はちょっとずれてるね

電子マニーはコケると思ってました

この防止カードって、携帯のICロックとどっちが強力？

>>82
携帯のICロックは、不正使用された時に「ちゃんとICロックかけていた！」と答えてしまうと「ICロックが破られるはずがない＝実はお前が使ってただけだろう」と判断されて盗難保険が適用されないという罠があるｗ

TASPO対応装置が七萬圓なのに自社開発の運転免許証対応装置は
壱拾伍萬圓という会社の社長ですね。

>松村テクノロジーでは、非接触ICカードを違法な読み取り（スキミング）から守る
>「ステルスカード」という商品をコンビニなどで販売し密かなヒット商品となっている。

要は不安を煽って一儲けですか。

アンチウイルスソフトメーカーがウイルスの危険性を声高に叫ぶのと同じ構造。

よく子供の頃日本中の人から１円ずつもらったら１億円だ！
とかいってたなぁ
数十円くらいだと、取られてるの気づかないかも

名前だけ見れば半島の人だな

どのような犯罪があるか詳細に説明して模倣犯を増やして
対策商品の売り上げに繋げる、いわゆるマッチポンプ屋

Suicaがスキミングされるだなんて、この社長は何も知らないくせによく言うよ(笑)
破られない暗号はないだなんて断言するならRSAチャレンジに参加してくれやwww
>>80の言うとおり現実的なのはサイドチャネルでもDEMAだろうな
興味あるやつはSCIS2008でも調べたらよい

あのな、Edyをハックする本当の目的は、アンロック。

たかだか一人1000円そこらの残高かき集めるのにバカでかい受信機なんて持って街歩くかいな

オンラインの認証突破してその会社の社員情報をコピーできたFelicaがあれば

深夜の会社に窓割らずに、それも部署部署の機密が詰まった場所に入れるじゃん

IT企業なんて物理キー不使用の上、残業社員のために深夜でもカード一枚で入れるよにしてるし

変なのがいると思ったらこれか
http://news24.2ch.net/test/read.cgi/news2/1211984592/

日本のカード社会に絶望した！

絶望先生でそんなネタあったな

>>86
そうそう。そして自らウィルスを作り出す。

>>83
じゃあどうすりゃいいんだよ・・・

本当に糞みたいな記事だったなあ
この抜粋でもステルスカードの宣伝(笑)で〆てるけど非接触ICカードの
情報流出防止機能対応財布とかも普通に売ってるし

>>28
この場合暗号が破られるかどうかではなく電波を妨害してやれば
いいというだけのことだからね
財布の中にiDやQPなど複数の非接触ICカードを混在させてやる
だけでも効果大

>>74
カードが正規の物かどうかではなくて、
明らかに不審な取引の集中だからはねられるってことだろう。

>>97
felicaは複数毎でも識別します。

>>6
>クレカ登録に暗証番号がいらなくて盗難クレカでも登録できたって奴

スイカを悪用するには予め盗難クレカを用意する必要が有る、ってことか。
バカバカしい。

>>100
番号だけ盗めば出来てしまった。

>>100
同じカード番号で複数登録できたためカードが手元に残っていても登録され使えた。
このため発覚が遅れ被害に遭うケースがあった。

Felica を使った電子マネーは、各個人あたり最大1万ぐらいにするのがリスク管理上のガイドラインてことだな。
お財布携帯に複数入れてフルチャージしたり、ポストペイ使ったりするのは拙いと。

現金最強だな
日本全国ドコでも使えるし

今の所だけど

>>1
違法な読み取り機なんか造って他人から奪わなきゃ使えないの？
最初っから偽造データ入れたほうが安全でしかもたくさん使えるだろ

>>99
4枚まで

>>104
>>1の理論で行くと、いつ日本円の精巧な偽札が顕れて掴まされるか判らないから
偽札判別機を常に持ち歩いてチェックしないといけないなｗ

>松村テクノロジー（2003年設立）
あやしい臭いがする

>>108
実際怪しいです。

他人のカードから勝手に引き落としたところで、換金はどうするんだｗ
暗号解読が出来たのなら、勝手に残額を増やすだけでいい。

＞松村社長はセキュリティ業界では知る人ぞ知る権威だ。

知ってる人挙手

>>111
テレビの偽札特集にはよく出演していた。
何者なのかいまいちわからんが。

>>4

>>111
http://ja.wikipedia.org/wiki/%E6%9D%BE%E6%9D%91%E3%83%86%E3%82%AF%E3%83%8E%E3%83%AD%E3%82%B8%E3%83%BC
偽札判別装置の会社のようだな。
が、電子マネーに詳しいとは思えないね。
製品を見る限り。

＞＞松村社長。
＞＞偽札があると聞けば世界中に飛んでいき、
＞＞犯罪者がいそうなエリアを歩き、探す。

すごい人物ですね。

どのカードか具体的に言えないけど
読み取り機の開発にシナ人の派遣でいれてたよな

まぁ抜き取られるのも時間の問題とかの
レベルじゃねーけどな

>>48
>クレカって店員に渡して使うの。
レジじゃなくて、テーブルとかで渡しちゃうんだw
高級店でコピーされて泣き寝入りw

>>12
ホーム・センター等で薄い鉄板や銅板買ってくればおｋじゃね？ｗ

スイカの残高が自動改札で表示されるけど、あれは悪意ある第三者に覗き見られても平気なものなのかなあ。

>>119
悪意があってもどうしょうもないべ。

>>110
電子マネーで商品買うんだよ

この手の犯罪って確かかなり重罪だったような。。。

そんな危険を犯してまで行うやついんのか

>>1
【審議中】
　　　　　　　　　　　　_,,..,,,,_　　 　　　　　_,,..,,,,_
　　　　　　　　　　 　/ ,' 3　 `ヽｰっ 　 / ,' 3　 `ヽｰっ
　　　　　　　　　　　 l　　 ⊃　⌒_つ　 l　　 ⊃　⌒_つ
　　　　　　　　 　_,,..,, `'ｰ---‐'''''"　 　 `'ｰ---‐'''''"
　　　　　　　 　/ ,' 3　 `ヽｰっ 　　　　　　　 / ,' 3　 `ヽｰっ
　　　　　　　　 l　　 ⊃　⌒_つ　　　　　　　 l　　 ⊃　⌒_つ
　　　　　 　　　 `'ｰ---‐'''''"　 　　　　　_,,..,,, `'ｰ---‐'''''"
　　　　　　　　　　 　/ ,' 3　 `ヽｰっ 　 / ,' 3　 `ヽｰっ
　　　　　　　　　　　 l　　 ⊃　⌒_つ　 l　　 ⊃　⌒_つ
　　　　　　　　 　　　 `'ｰ---‐'''''"　 　 `'ｰ---‐'''''"

>>122
いるにきまってんだろ

ICチップのスキミングなんて
４，５年前にＴＶで特集されてら

>>119
アレは搭乗時から気にはなっているんだが、基本的に2万を超えることないし、
見えていたからと言って、やれることと言ったら、強盗のターゲットぐらいでしょ。
コンビニのレジぐらいに思っとけ。
まぁ、見られて恥ずかしいという方向でプライバシー的な面でどうかと思うけど。