【経緯と対策】Amazonのアカウントが乗っ取られました。

【経緯と対策】Amazonのアカウントが乗っ取られました。

はじめに

この記事は2017年に別のブログで書いたものです。最近、同じような乗っ取り被害が多いようですので、内容を見直して改めて掲載致します。

Amazonのアカウントが乗っ取られました。

早く乗っ取りに気付くことができたため被害はありませんでしたが、同様の被害に遭っている方が多いようです。

備忘録として、乗っ取られたときの経緯と今後の対策を記載します。

Amazonのアカウントが乗っ取られた経緯について

いろいろなECサイトがある中で、最もAmazonを利用しています。ただ、パスワードは1回も変更したことがありませんでした。

そんな脇の甘さからなのか、Amazonのアカウントが乗っ取られてしまいました。

【経緯①】Amazonにログインができない

まず、アカウントの乗っ取りに気付いたきっかけから。

ある雑誌をKindle版で予約しており、発売日の日付変更と共にスマホのKindleアプリで読もうとしていました。

しかし、何度も再読み込みをしてもKindleデータが反映されず。

「あれ? 雑誌の発売日を間違えたかな?」と思い、スマホでAmazonアプリを開いてみたところ・・・、

amazonアプリ

普段は自分のログインID(メールアドレス)が表示されるところに、まったく心当たりのないアドレスが・・・。

「hotmail」とありますが、そもそも私はhotmailのアカウントを持っていません。

補足:「hotmail」とは?
過去にマイクロソフトが提供していたWebメールサービス。

この段階で嫌な予感がして、すぐに普段使用しているログインIDとパスワードでログインを試みますが、ログインすることができません。

「パスワードを忘れた方」からリセットを試みるものの、やはりログインIDが変更されているようでパスワードリセットも手続きができませんでした。

【経緯②】Amazonのカスタマーサービスに連絡

前述の通り日付変更に伴っての発覚だったため、時間としては深夜0:30くらい。

深夜だったこともあり、とりあえずAmazonのカスタマーサポートに問い合わせメールだけでも送っておかなければと思い、Amazonの問い合わせページを探すことに。

AmazonのWebサイト下段部分に「ヘルプ」のリンクがあり、そこからカスタマーサービスのページを見つけました。

Amazon カスタマーサービス
Amazonカスタマーサービス

軽微な問い合わせについてはチャットやメールで受け付けているようですが「Amazon.co.jp からお電話いたします。 必要な方は、この文章をクリックしてください」というリンクを発見したため、ここをクリック。


次の画面で内容を選ぶ項目があり、

  1. 各種サービス
  2. セキュリティ、機能

・・・を順番に選択。

Amazonカスタマーサービス


そうすると「問い合わせ方法」を選ぶ項目が表示されました。

Amazonカスタマーサービス

ここで驚いたのが、電話の「平均待ち時間:1分未満」となっていたところ。

繰り返しますが、深夜0:30頃の出来事です。

表示されている電話のボタンをクリックすると、電話番号を入力する画面になり、携帯電話の番号を入力して「今すぐ電話がほしい」をクリック。Amazonからの連絡を待ちました。

Amazonカスタマーサービス

すると1~2分くらいで見慣れない番号から着信があり、Amazonのカスタマーサービスの担当者さんと話すことができました。

何度も書きますが、深夜0:30くらいの出来事ですからね。

補足

このAmazonアカウントの乗っ取り被害については2017年の出来事になります。2022年時点ですと、深夜に電話が繋がらない可能性もあります。ご注意下さい。

【経緯③】Amazon カスタマーサービス担当者さんに状況を説明

電話が繋がったAmazonカスタマーサービスの担当者さんに

  • Amazonにログインできない
  • ログインページのID欄に見慣れないメールアドレス(hotmail)が表示されている
  • パスワードリセットなども受け付けてもらえない

と説明し、状況を調べてもらうことになりました。


すると、5分くらいで担当者さんから

  • お客様のアカウントに中国からアクセスされた履歴がある
  • このアクセスでログインのIDとパスワードが変更されている
  • このログイン情報の変更以外は何もされていないように見える

と教えて頂き、改めてアカウント情報の修正(パスワード変更など)をお願いしました。


このときびっくりしたのが、

オペレーター
オペレーター

偶然だとは思いますが、アカウントの乗っ取り被害(IDとパスワードの変更)があったのは、カスタマーサービスに連絡を頂く15分くらい前でした。

とのこと。


この日、偶然Kindleの配信待ちをしていなければ発覚がもっと遅れ、不正購入などの被害に遭っていたのかもしれません。

本当に不幸中の幸いでした。

【経緯④】Amazon カスタマーサービス担当者さんからのメール

この「Amazonアカウント乗っ取り事件」の翌日ですが、改めてAmazon カスタマーサービスからメールを頂きました。

要約すると

  • やはり不正アクセスがあった
  • 不正アクセスによる不正請求は確認できなかった
  • パスワードを一時的に変更しているため再設定して欲しい
  • 登録していたクレジットカード会社には念のため連絡を
  • パスワードは複雑なものを設定して
  • パスワードは使い回さないで
  • 2段階認証を導入して

とのこと。

とりあえず一安心。ログインIDやパスワードを改めて変更し、登録していたクレジットカード会社にも連絡を入れました(不正利用などの被害はありませんでした)。

セキュリティ対策について

今回のAmazonアカウント乗っ取り事件を踏まえ、いくつかセキュリティ対策を行いました。

①Amazonのログインに「2段階認証」を設定した

Amazonには「2段階認証」という機能があります。通常のログインIDとパスワード以外に、別要素でログイン認証を行うという方法です。

2段階認証の設定は「アカウントサービス」→「ログインとセキュリティ」から行います。

Amazonアカウント設定

「2段階認証の設定」の編集ボタンを押します。

Amazonアカウントサービス

2段階認証については、スマホのアプリを使うと便利です。認証アプリは無料で使える「Google Authenticator」がオススメ。

Google Authenticator
・iPhoneで確認する
・Androidで確認する

認証アプリ「Google Authenticator」は、開くと画像のようにワンタイムパスワードが表示されます。このワンタイムパスワードを使って認証するという仕組みです。

Google Authenticator

Amazon以外でもTwitterやEvernote、レンタルサーバー、仮想通貨口座ログインなど色々なWebサービスが2段階認証を採用しており、この「Google Authenticator」を使うことができます。


2段階認証の「認証アプリ」からアプリの設定を行います。

Amazonアカウントサービス

画面内に認証アプリと連携させるためのQRコードが表示されるため、こちらをアプリのカメラで撮影して読み込ませます。そして、表示されているワンタイムパスワードを入力すると設定が完了です。

2段階認証の設定後は、ログイン時にこのようなワンタイムパスワードを入力する画面が表示されるようになります。

普段入力しているログインID/パスワードとワンタイムパスワードの2段階で認証を行うということです。

2段階認証

②トレンドマイクロの「Password Manager(パスワードマネージャー)」を契約した

今回のAmazonアカウントの乗っ取りについて、どこでアカウント情報(ログインIDとパスワード)が流出したのか不明なままです。

しかし、

  • 覚えやすい単純なパスワードを使っていた
  • パスワードを色々なサービスで使い回していた

という、自分自身の管理の甘さの反省もあり、パスワード管理について見直しを行うことにしました。


で、そのパスワード管理として契約したのがコレ。

セキュリティソフトで有名な「ウイルスバスター」を提供するトレンドマイクロの「パスワードマネージャー」というソフトです。


この「パスワードマネージャー」は

  • マスターパスワードにより、ログインIDとパスワードを暗号化して一括管理
  • 登録されているパスワードの強度チェック
  • 暗証番号や銀行口座情報、クレジットカード情報などを暗号化してトレンドマイクロのクラウド上に保管できる「セキュアメモ機能」有り
  • 台数制限なく、Windows, Mac, Android, iOS・iPadOS端末から確認することができるマルチデバイス対応

という機能・特徴があります。

パスワードの生成機能もあり、Webサービスごとに登録・管理をしてくれるため煩わしさがありません。

自動ログインの機能を有効にしておけば、サイトを開くだけで安全にログインすることも可能です。

1ヶ月あたり約160円で使用できるため、この低価格で安全性が担保できるのであれば契約しないという選択肢が無いくらい。

非常にオススメです。

【まとめ】Amazonのアカウントが乗っ取られた経緯と対策について

もうWebサービスを使わずに生活するということがありえない状況になっていますので、

  • 単純なパスワードを使用しない
  • パスワードを使い回さない
  • 長期間、同じパスワードを使用している場合は再設定する
  • 2段階認証を設定する
  • ログインIDやパスワードを暗号化して管理する

という自己防衛を行いましょう。


また、個人情報の流出を状況を防いだり早期把握するためにも、

  • クレジットカード明細や銀行口座の引き落とし情報を定期的に確認して、不正利用されていないかチェックする
  • モニタリングサービスを利用する(別途有償)
  • ファイアウォールやUTMなど、セキュリティ監視機器を導入する

についても検討してみて下さい。

では!

【追記】このAmazonアカウント乗っ取り事件を教訓に、情報セキュリティマネジメント試験を受けました

今回のAmazonアカウントの乗っ取り事件があってから、サイバーセキュリティ対策について意識する機会が増えました。

そして、情報セキュリティマネジメント試験を知り、独学勉強して合格しました。

未経験者でも30~50時間くらいの勉強で合格できると思います。是非とも挑戦してみて下さい。


関連記事:【合格しました】情報セキュリティマネジメント試験の傾向と対策について