アカウント乗っ取り対策(3)

自分のメールアドレスを、誰かがサービスを利用するときに使うという事案が複数発生しています。

楽天カード

私の普段使っていないメールアドレスを使って、見知らぬ他人が楽天カードを作成して使っています。自分の楽天カードで使っているものとは違うメールアドレスですが、買い物をした通知などはドキッとします。

会員登録からカード発行受付、e-NAVIサービス開始、VISA認証サービス開始、アプリ登録、楽天PAY登録、カード利用通知など、すべて私のところに届いています。私の情報が漏れたのかと焦りましたが、そうではなくメールアドレスを間違えて登録したようです。

間違って私のメールアドレスを使うのも困ったものですが、メールアドレスを確認せずにサービスが開始・利用できる楽天サービスの運用方法にも疑問があります。

楽天e-NAVIにログインするときは、ユーザーIDとパスワードが必要です。ユーザーIDは、メールアドレスです。パスワードの再発行は、メールアドレスと氏名が必要です。通知メールには、〇〇〇〇様とフルネームが記述された確認メールが送信されるので、パスワードの再発行は簡単。

住所や電話番号などの個人情報はもちろん、購入履歴も表示できます。メールアドレスを間違えるような人なので、セキュリティも設定していません。カード番号やセキュリティコードはサイト上では見当たりませんでしたが、アプリだと可能のようです。つまり買い物ができます。

「不正アクセス行為の禁止等に関する法律」では、

不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）は、不正アクセス行為や、不正アクセス行為につながる識別符号の不正取得・保管行為、不正アクセス行為を助長する行為等を禁止する法律です。
識別符号とは、情報機器やサービスにアクセスする際に使用するIDやパスワード等のことです。不正アクセス行為とは、そのようなIDやパスワードによりアクセス制御機能が付されている情報機器やサービスに対して、他人のID・パスワードを入力したり、脆弱性（ぜいじゃくせい）を突いたりなどして、本来は利用権限がないのに、不正に利用できる状態にする行為をいいます。

とあるので、私は不正取得・保管行為もしていないし、当然私にとっては、私のメールアドレスが不正利用されたと考えます。私は、自分のメールアドレスと自分で設定したパスワードでログインしただけですから。

楽天カードの「カード会員規約」でも

第6条（メールアドレス）
本会員は、入会申込時若しくは入会後当社所定の方法により本会員が利用するメールアドレスを当社に登録するものとします。

とあるので、「本会員が利用するメールアドレス」に当たらないメールアドレスを利用しているので、そもそも規約違反ということになります。

結局、自分の楽天カードのものではないメールの通知がウザイだけなので、メール通知の配信を停止にして、楽天カードに連絡を入れました。その後のことは知りません。さすがに金銭絡みになったらマズイですから。不正アクセスとは別の話になるのでしょう。

Facebook、Instagramなど

SNSのメールアドレス誤登録はよくあるのかもしれません。インド在住と思われる人から私のメールアドレスを使って、Facebook、Instagramなどが登録されました。しかも複数件です。たぶんインドでITブームが来ているのでしょう(?)。インドのアウディなどの登録をしている人もいました。

こういうメールって当然ですが、迷惑メールに入らないです。受信ボックスに時折入ってくるので、通知の配信を停止にしたいです。

間違っていると教えてあげれば、それで終わるはずなのですが、そもそもメールアドレスが間違えているので、本人とメールで連絡できないんですよね。

通知の配信を停止するために、メールアドレスでパスワードを再発行。Facebookのときは、誕生日を入力するのですが、ある日、Facebookから「誕生日おめでとう(英語で)」のメールが送信され、誕生日が判明。無事解除できました。インドは日常的には英語を使っているようです。ヒンディー文字は一度も見たことがありません。

他にも、日本国内での、機内Wi-Fi、新聞社のメールレター、カルチャーセンター、スポーツジム、小児科クリニック、不動産査定など、いろいろあります。「退職おめでとう!」の私的メールもありました。どれも迷惑メールでの送信ではなく、メールアドレスの間違いです。

まとめ

自分自身がLinkedInの情報流出事件で、アカウントを乗っ取られたことがあるので、二段階認証や可能であればパスキーの設定をしています。サービス登録のときにメールアドレスの認証がないサービスも多いので、気をつけなければいけません。