週刊OSINT 2021-50号 / WEEK IN OSINT #2021-50(転載)

 

今週も素敵なツールやヒント、そしてサプライズを用意しておきます。

  • A Scam Study
  • Marple
  • Fact Checking News Stories
  • Street View and More
  • Twiangulate
  • VideoIndexer
  • Surprise 

記事: A Scam Study

Twitterユーザーの@hatless1derさんが、詐欺を働くドロップシッパーの可能性について、真っ先に調査に乗り出したことを記事にしています。この記事は、非常に高値で売られている商品を見ることから始まり、最終的には、何らかの形でリンクしているサイトや電子メールアドレスのネットワークに行き着いたというものです。この本は、彼がどうやって「事件を解決」したかという話ではなく、こういったことにどう取り組むか、どこからピボットするか、何を調査するかということを示すためのものです。このトピックに初めて触れる方には興味深い一冊です。


ツール: Marple

Joseph Jonesが@os2intで、Maigretなど多くの素晴らしいツールの作者である@soxoj.によるMarpleという新しいオープンソースツールについての記事を書いている。彼らは、Maigretのような素晴らしいツールを数多く生み出しています。このツールは、検索エンジンをスクレイピングするか、APIを使って検索を行い、便利なようにリンクをエクスポートすることができる。とても高速で、検索結果の量を制限したり、特定の検索エンジンをターゲットにしたり、特定のプラグインを使用したりする便利なオプションもある。


記事: Fact Checking News Stories

今回もブレヒト・カステルの凄さに触れておかなければなりません。過去にも彼の話を紹介しましたが、私は彼がTwitterでやっていること、そしてベルギーのニュースマガジン「Knack」でやっていることが大好きなんです。このTwitterのスレッドでは、ブリュッセルで行われたCovidのデモの小さなビデオをファクトチェックしていますが、彼はViewSyncwatchframebyframeといった様々なツールを使い、Knightlabで明確なタイムラインを追加しています。まだフォローしていない方は、彼のツイートやYouTubeチャンネルに注目することを強くお勧めします。


小技: Street View and More

11月にベンジャミン・ストリックが6つのストリートビュープロバイダーを紹介しました。その素晴らしいリストに、さらにいくつかのヒントを追加させてください。次のスクリーンショットに見られるように、Yandex Mapsは必ずしもナンバープレートを正しくぼかさないことをご存知でしたか?


しかし、ベンさんが示した6つの大手以外にも、世界にはいくつかのストリートビュープロバイダーが存在することが分かっています。国によっては、地元の会社がそのようなサービスを提供しています。モロッコのCarte.maのように、すべてが最新の情報を持っているわけではありませんが、それでも役に立つかもしれません。また、Rutmapは、サラエボのストリートビューを含むインタラクティブマップを提供しています。島嶼部の検索エンジンJá.isは、360°ストリートビュー付きの地図サービスを提供していますよ。さらに、赤外線ストリートビューのプロジェクトもあります。残念ながら、ボストン近郊の数カ所しか掲載されていないのですが。

また、中国では有名な「百度地図」以外に、バ韓国には「カカオマップ」があるのをご存知でしょうか?しかも、国土のほとんどをカバーし、過去のストリートビューデータもあるんですよ?


そして、ストリートビュープロバイダーのリストを見ていたら、またまた素敵なサイトを発見しました。Urban Electric Transit Database(都市交通データベース)です。このサイトには、電気自動車の大規模なデータベースがあるほか、公開されているビデオの大規模なインデックスもあります。これらのビデオは、世界中のさまざまな都市をカバーしており、地下鉄や路面電車に乗っているときのユニークな洞察を与えてくれることもありますし、ぼかしや不明瞭なものもありません。

サイト: Twiangulate

先週、Twitterユーザーの@DoNikkanTwiangulateで小さな記事を書いているのを知りました。この古い、しかし今でも非常に便利なツールは、Twitterユーザーとそのフォロワーを調査するために使用することができます。しかし、それだけではありません。DoNikkanは、URLを手動で操作することで、複数のTwitterプロフィールを検索対象に追加できることを発見したからです! このサイトでは、比較の実行に長い時間がかかりますが、それだけの価値があるかもしれません。彼のスペイン語のブログ記事を読んで、自分でも試してみてください。


サイト: VideoIndexer

Ben Heublがまたやってくれました! Twitterのスレッドで、彼はVideoIndexerを無料で使う方法と、それを使って動画とその内容を調査する方法を紹介しています。エピソード#2020-10でもこのツールについて触れましたが、このツールを人々に思い出させるのは常に良いことです。

パスワードマネージャーとは、すべてのパスワードを生成し、安全な場所に保存することができるプログラムのことです / A password manager is a program that allows you to generate and store all your passwords in a safe location.(転載)~トレンドマイクロのパスワードマネージャーは使ってはいけない~


A password manager is a program that allows you to generate and store all your passwords in a safe location. 

cybernews.com/best-password-…

多くの人は、アカウントを登録することも、パスワードを作ることも嫌います。そのため、アカウント作成時に何度もパスワードを使いまわしてしまうのかもしれません。登録という問題は解決されますが、セキュリティ上のギャップが残り、それがある日突然爆発する可能性があります。

その解決策のひとつがパスワードマネージャーです。これを使えば、複雑なパスワードを作成して保存することができます。ここでは、パスワードマネージャーがどのように機能するのか、また、ウェブ上での安全性を高めるためにどのように利用できるのかをご紹介します。

尚、パスワードマネージャーの不具合でパスワードを消失するリスクもあります。

ツールの活用は重要ですが、ツールだけに頼るのは注意しましょう。

パスワードマネージャーとは何ですか?

パスワードマネージャーとは、すべてのパスワードを生成し、安全な場所に保存することができるプログラムです。ほとんどのパスワードマネージャーでは、クレジットカード情報や安全なメモなども保存することができます。さらに安全性と利便性を高めるために、パスワードマネージャーはマスターパスワードの代わりにバイオメトリックデータ(指紋や顔)の使用をサポートしています。また、選択した情報をメールやインスタントメッセージにコピーペーストすることなく、家族や友人と共有することもできます。

そのため、各サイトで使用するすべてのログイン情報を記憶するのではなく、パスワードマネージャーを使用する場合は、1つのマスターパスワードを記憶するだけで済みます。また、自動保存や自動入力機能のおかげで、すべてのアカウントに簡単に接続できるようになります。

パスワードマネージャーはどのようにしてパスワードを保護するのですか?

パスワードマネージャーを分類する方法は複数あります。しかし、今回は3つの技術を紹介し、それらがどのように機能するかを説明したいと思います。また、プロバイダによっては、データを保存するために複数の方法を提供していることも指摘しておかなければならない。ほとんどのプロバイダは、あなたの金庫を保護するマスターパスワードを使用する必要があります。

ここでは、3種類のパスワードマネージャーを紹介します。

  • ローカルにインストールされた、またはオフラインのパスワードマネージャー
  • ウェブベース(オンライン)のパスワード管理サービス
  • ステートレスまたはトークンベースのパスワードマネージャ

それでは、それぞれについて詳しく見ていきましょう。

ローカルにインストールされた、またはオフラインのパスワードマネージャー


その名の通り、ローカルにインストールされたパスワードマネージャーは、オフラインパスワードマネージャーとも呼ばれ、あなたのデータをあなたのデバイスに保存します。パソコンでもスマートフォンでも、お好みに応じてご利用いただけます。パスワードは、パスワードマネージャー本体とは別に、暗号化されたファイルに保存されています。パスワードマネージャーの中には、それぞれのパスワードを別々のファイルに保存できるものもあり、全体のセキュリティを大幅に向上させることができます。

いつものように、オフラインの金庫にアクセスするには、マスターパスワードが必要です。強力なパスワードであれば、政府やハッカーがあなたのローカルデータベースに侵入する可能性は最小限に抑えられます。というのも、軍用の暗号を解読するには膨大な時間がかかるからです。さらに、すべてのパスワードが入ったデバイスをオフラインにしておけば、押収しない限りアクセスすることはできません。


オフラインのパスワードマネージャには、当然ながらいくつかの欠点があります。まず、複数のデバイスで使用するのは難しいでしょう。保管場所は1つしかなく、他のデバイスは保管場所のあるデバイスと何らかの方法で同期する必要があります。これは通常、ローカルにインストールされたパスワードマネージャーのあるデバイスをオンラインにすることを意味し、第三者がアクセスできるようになります。最後に、オフラインのパスワードマネージャーがインストールされたデバイスが故障し、バックアップがない場合、面倒な手作業を覚悟しなければなりません。

オフラインまたはローカルにインストールされたパスワードマネージャーがあれば、パスワードはローカルに保存されていることになります。正確に言うと、それはあなたが金庫として選んだデバイスです。ただし、複数のデバイス間でパスワードを同期させることができるので、すべてのデバイスがオンラインになっている必要があります。さらにセキュリティを強化したい場合は、パスワードを異なるファイルに保存し、それぞれに固有のキーを必要とすることができます。

【メリット】

  • 誰かにパスワードの保管場所を破られるリスクを排除できる
  • 通常、無料のサービスです

【デメリット】

  • 1台のデバイスでしかVault(金庫≒マスターデータ)にアクセスできない
  • デバイスを紛失した場合、Vaultも紛失。


ウェブベースまたはオンラインのパスワード管理サービス


最も普及しているウェブベースのパスワードマネジャーは、パスワードをクラウド(通常はプロバイダーのサーバー)に保存します。このように設定することで、オンラインパスワードマネージャーのソフトウェアをインストールしなくても、いつでもどこからでもパスワードにアクセスできるようになります。ウェブアプリケーションでアクセスできない場合は、ブラウザの拡張機能やモバイルアプリケーションが必要となります。

しかし、自分のパスワードがプロバイダからアクセスできないことをどうやって知ることができるでしょうか。評判の良いオンラインパスワードマネージャーは、すべてゼロトラストテクノロジーを使用しています。つまり、データをサーバーに送信する前に、あなたのデバイス上でデータを暗号化するということだ。これは、お客様のデータは、お客様のデバイス上で暗号化され、サーバーに送信されますが、お客様のデータは、24時間365日、第三者がアクセスできる状態にあります。さらに、あなたのデバイスにキーロガー・マルウェアがあり、二要素認証を使用していなければ、セキュリティ対策は何の意味もありません。


最後に、ウェブベースのパスワードマネージャーにはお金がかかると思ってください。素晴らしい無料版もありますが、デバイスの制限やダークウェブのスキャンなど一部の機能は常に有料です。とはいえ、ほとんどの有料オンライン・パスワード・マネージャーは、特に長期的に利用するのであれば、銀行を破綻させることはないでしょう。

あなたはオンライン(またはウェブベース)のパスワードマネージャーを使っているかもしれません。この場合、あなたのパスワードはオンラインで保存されます。マスターパスワードさえあれば、24時間いつでもどこからでも利用できます。パスワードマネージャークライアントをインストールする必要はありません。ほとんどの場合、ブラウザの拡張機能で十分です。ほとんどの場合、ブラウザの拡張機能で十分です。時々、プロバイダのウェブサイトで利用可能なウェブアプリケーションを介してボールトにアクセスできます。

【メリット】

  • すべてのデバイスでVaultを同期できる
  • 通常は有料のサービスとなります

【デメリット】

  • 認証にはインターネットへの接続が必要です。
  • 認証情報が未知の場所に保存されている

ステートレスまたはトークンベースのパスワードマネージャー


最後にご紹介するのは、トークンベースまたはステートレスのパスワードマネージャーです。このシナリオでは、フラッシュUSBデバイスなどのローカルハードウェアに、特定のアカウントのロックを解除するためのキーが格納されている。ログインするたびにパスワードが生成されるため、パスワードの保管場所もありません。安全性を高めるために、トークンだけでなく、マスターパスワードも使用することをお勧めします。こうすることで、二要素認証を実現することができます。

ステートレス型のパスワードマネージャーは、そもそもデータベースが存在しないため、デバイス間の同期が不要です。ある意味では、ハッカーがすべてのパスワードを見つけられる場所がないので、そのほうが安全です。ただし、トークンベースのパスワードは、マスターパスワードと1つのアカウントを知っていれば、ハッキングすることができます。

オンラインのパスワードマネージャーとは異なり、これらは通常、無料でオープンソースである。そのため、フォーラムやナレッジベースでのサポートしか受けられないため、アマチュアユーザーには特にお勧めできない。その上、トークンを生成するためには、スマートカードリーダーやUSBスティックが必要になります。

トークンベースのパスワードマネージャー(ステートレス・パスワードマネージャーとも呼ばれる)を使っている人は、パスワードがどこにも保存されていないことになります。どうしてそうなるのでしょうか?その名のとおり、パスワードの保管場所はなく、特定のアカウントにアクセスするたびにトークンが生成されるだけだからだ。トークンは、USBメモリなどの外部デバイスで生成することができます。

【メリット】

  • 認証情報は別のデバイスに保存されます
【デメリット】
  • デバイスを紛失すると、アクセス権も失われる
  • この方法では、通常、専用のハードウェアとソフトウェアが必要
パスワードマネージャーはどのようにパスワードを暗号化するのですか?

256ビットのAES暗号は、データの暗号化と復号化を行い、許可された人だけがアクセスできるようにするために使用される軍用レベルの暗号です。2005年にNSAや大手企業が採用したことで、仮想プライベートネットワーク、ファイアウォール、パスワードマネージャーなどの標準仕様となりました。

AESが暗号化であるのに対し、256ビットは鍵である。暗号化キーは0と1のランダムな文字列です。この場合、2の256乗通りの組み合わせがあるということになります。組み合わせが多ければ多いほど、ブルートフォースで正しいものを作るのが難しくなります。

AES 256ビットは、いわゆる共通鍵暗号化アルゴリズムです。鍵はデータの暗号化と復号化の両方に使用されるため、双方がそれを知っている必要があります。一方、公開鍵暗号では、暗号化に公開鍵を使用し、復号化に秘密鍵を使用します。そのため、秘密鍵はデバイスから離れる必要がなく、セキュリティが向上します。

すべてのパスワードマネージャが AES-256 暗号化を使用するわけではありません。安全性の低い(ブルートフォースが極めて困難な)AES128ビット規格を採用しているものもあります。このようなパスワードマネージャーは、無料のオープンソースのパスワードマネージャーであることが多く、アップデートの頻度は低いです。

しかし、AES 256ビットよりも優れた暗号化は、すでに XChaCha2 という名前で登場しています。今のところ、プレミアムパスワードマネージャーの中で、NordPassだけがこの次世代暗号を実装しています。NordPassには鍵の抽出にArgon2が搭載されており、XChaCha2はパスワード保管庫を暗号化します。

パスワードマネージャーを使う理由は?

  1. パスワード生成。パスワードを考えるために、自分の好きなものについて15分も考え込む必要はありません。いくつかのパスワードマネージャでは、複雑さを変えた安全なパスワードを生成することができます。時間の節約になるだけでなく、よりよいパスワードを考え出すことができます。

  2. プロセスの簡略化。パスワードマネージャは、パスワードを保存する最も安全な方法のひとつであるだけではありません。信頼できるパスワードマネージャーツールを使えば、1つのアプリケーションですべてのログインを管理することができます。多数のウェブサイトやプラットフォームを利用している人の救世主となる。

  3. イチイチ入力不要。ほとんどのパスワードマネージャーには、パスワードやその他の定期的な情報を自動入力する機能が組み込まれています。それは、支払い情報や住所などにも及びます。パスワードをいちいち覚えておく手間が省けます。

  4. 安全なパスワードの共有。多くの人が友人や家族とアカウントを共有しています。Netflixでは、すべてのユーザーが同じパスワードでログインできるようになっています。しかし、パスワードを共有するための最良の方法は、それをチャットに貼り付けることではありません。これではトラブルの元になってしまいます。そこでパスワードマネージャーは、ユーザーが他のユーザーと安全にパスワードを共有できるようにしました。

  5. 複数プラットフォームに対応。アプリケーションとして、パスワードマネージャーは全く複雑ではなく、多くのリソースを必要としません。つまり、Webブラウザやスマートフォンのアプリなど、さまざまなプラットフォーム向けに開発することがはるかに容易なのです。エンドユーザーにとっては、どのような接続方法であっても、同じパスワード保管庫を利用することができるということです。

  6. 多要素認証。ハッカーがキーロガーをインストールしてマスターパスワードを入手したとしても、二要素認証を有効にしていれば、世界の終わりを意味するものではありません。二要素認証がなければパスワードは使えませんから、あなたは安全ですし、金庫もロックされたままになります。
パスワードマネージャーの設定

その答えは、どのようなタイプのパスワードマネージャーを使おうとしているかによって異なります。トークンベースであれば、まず鍵の生成に使用するデバイスの種類を決める必要があります。また、オフラインのパスワードマネージャーに決めている場合は、データベースを保存する主なデバイスを選択する必要があります。また、オンラインサービスを利用する場合は、無料か有料かを選択することで、時間を大幅に短縮することができます。

7ステップのパスワードマネージャー設定

Webベースのパスワードマネージャーは最もユーザーフレンドリーなので、ここではそれを例に説明します。以下は、パスワードマネージャーを設定する際の主な手順です。

  1. パスワードマネージャーをどのデバイスで使うかを決めます。スマートフォンにしますか?その場合、他の誰かがあなたのアクセスコードを知っていますか?タブレットやスマートテレビなど、家庭内の共有デバイスはどうしますか?職場のコンピューターでもパスワードマネージャーを使用しますか?これらは、金庫をセットアップする前に、自分自身に問いかけるべき最も重要な質問です。

  2. 選んだパスワードマネージャーをインストールする。無料のものも有料のものもたくさんありますが、最高のパスワードマネージャーだけを使うことをお勧めします。無料版にどんな機能があるか(ある場合)、追加された特典が価格に見合うものかどうかを確認する必要があります。その上で、お使いのOSやブラウザに対応しているかどうかを確認してください。また、現在使っている金庫をインポートしようと思っているなら、まずそれが可能かどうかを確認しましょう。最後に、24時間365日のカスタマーサポートを受けるために多少の費用を払うことは、しばしば利益につながります。

  3. 安全なマスターパスワードを作成する。選択したパスワードマネージャーがマスターパスワードの復元を可能にしている場合でも、覚えやすく、かつ推測しにくいパスワードを選択する必要があります。最後の条件を満たすためには、ランダムに選ばれた4〜5個の単語を含むパスフレーズを使用するのがよいでしょう。最後に、奇妙に聞こえるかもしれませんが、あなたが最も信頼している人とマスターパスワードを共有し、あなたに何かあったときに、その人があなたの金庫にアクセスできるようにしましょう。

  4. 2要素認証(2FA)を有効にする。2FAを追加すると、パスワードのセキュリティが大幅に向上します。2つ目の要素は、「あなたが持っているもの」(おそらくスマートフォン)でもよいのですが、「あなた自身が持っているもの」を選び、生体認証を利用することをお勧めします。デバイスによっては、指紋だけでなく、顔認証も利用できます。さらに、マスターパスワードの代わりに2FAを使えば、タッチスクリーン端末での使い勝手が格段に向上します。

  5. パスワードの入力を開始する。新しいパスワードマネージャーに慣れる前に、また、マスターパスワードがまだうまく覚えられないうちに、まずは重要度の低いパスワードを入力してみてはいかがでしょうか。マスターパスワードの復旧に使用するメールには、強力なパスワードを設定しておくとよいでしょう。そうしないと、ハッカーはメールボックスに侵入した後、簡単にあなたのデータベースを手に入れることができます。

  6. 他のデータの追加も検討しましょう。パスワードマネージャの大半は、ログイン情報だけでなく、クレジットカードの詳細や安全なメモなども保存できるようになっています。オンラインショッピングが多い人は、支払い情報を自動入力できるようにしておくと、かなりの時間を節約できます。また、最も信頼できる友人にしか教えたくないような秘密を保管するのに、これほど適した場所はないでしょう。

  7. ログイン情報を共有する。遅かれ早かれ、誰かがあなたのNetflixアカウントを尋ねるでしょう。ユーザー名とパスワードをコピーして貼り付けるのは最善の方法ではありません。そのため、パスワードマネージャーでは、他の人とログイン情報を共有することができます(少なくとも一部のサービスでは可能です)。一部のサービスでは、機密性が低く、共有されることの多いパスワードを保存するフォルダを作成することもできます。
パスワードマネージャーは、複数のデバイスやスマホアプリで使えますか?


すべてのパスワードマネージャーが、スマートフォンを含む複数のデバイスで動作するわけではありません。ステートレスなパスワードマネージャーは、1つのデバイスだけがアカウントのパスワードを生成できるという考え方に基づいています。さらに言えば、パスワードの保管場所を確認できるようなものでもありません。

また、ローカルにインストールされたパスワードマネージャーは、たくさんのデバイスでの使用には適していません。なぜなら、1台のパソコンやスマートフォンにデータベースを保存しているので、すべてのデバイス間での同期は可能ですが、便利ではないからです。もちろん、多要素認証を使用することになれば、互換性のある2つのデバイスが必要になるでしょう。

ウェブベースのパスワードマネージャは、複数のデバイス、モバイルアプリ、さらにはブラウザの拡張機能で動作する。また、プロバイダーのウェブサイトからアクセスできるウェブアプリケーションを提供しているところもあります。パスワードマネージャーはクラウドに保存されているため、デバイスを選ばず、最大限の使いやすさが保証されているのです。実際の利用範囲は、利用しているサービスによって異なります。

【詐欺サイト】復讐屋:トラブルキック

 

以前ダークウェブで暗殺を依頼したらどうなるかを紹介した。

先日聞いた話だが、表層Webには復讐屋なるサイトがたくさんあるらしい。

頼んだらどうなるか。

大体想像はつくと思うが、実際に申し込んだ人の顛末を聞けたので、気になる方は下記の動画をご覧あれ。

ちなみに特殊工作62万円でローンも使えるらしい。。。

明暗が分かれたTポイントとPontaポイント~オワコンのTポイントはどこに向かうのか~


 明暗が分かれたTポイントとPontaポイント Tポイントはどこに向かうのか

Tポイントは息の長いポイントサービスであるが、ポイントの貯めにカードを差し出すのがイヤで個人的には貧者向けのポイントサービスと思っている。

以前、メインバンクとして新生銀行を使っていたが、Tポイントがたまる無駄なサービスの開始をきっかけにメインバンクを変更した。

以前はSBI証券を使っていたが、こちらもポイントサービスでたまるポイントがTポイントのみとなることを受けて、証券会社を変更した。

約3年の時を経て、2022年4月以降にYahoo!ショッピングやPayPayモールでTポイントではなくPayPayボーナスが貯まるようになる。

また、ソフトバンクもTポイントを終了し、PayPayボーナスに交換できるソフトバンクポイントに切り替える。

既にYahoo!ショッピングではPayPayを中心にキャンペーンが実施されている。

Tポイントは勢いを失っているが、逆に息を吹き返したのがPontaポイントだ。

Pontaが復活したのはKDDIとの提携があったためだろう。

なぜ、PontaがKDDIと提携したことで復活したのか。

共通ポイントに加盟する企業の目的は"相互送客"だ。他の加盟店のお客さんを送ってもらい、自社のお客さんを他の加盟店に送るのが共通ポイントの仕組みとなる。

しかし、楽天ポイントやdポイントは、加盟店にとって"相互送客"ではなく、ほぼ一方的な"集客"となる。楽天市場などでは楽天グループの利用でポイントがアップするプログラムであるSPU(スーパーポイントアッププログラム)などのキャンペーンで楽天ポイントが大盤振る舞いされており、その楽天ポイントを楽天ポイントカードなどの加盟店に送っている。楽天が2020年に発行したポイント数は4,700億円。このポイントを加盟店に送ります、と言われれば他の共通ポイントを導入していたとしても楽天ポイントカード加盟店にひっくり返る事はあるだろう。

dポイントも同様、ドコモ側がキャンペーンやdカード GOLDなどでポイントを大盤振る舞いしている。dカード GOLDは年会費11,000円(税込)のゴールドカードとなるが、会員数は800万人を突破。年会費無料のdカードよりも保有者が多い。

なぜ年会費が11,000円もするゴールドカードを保有しているのだろうか。理由は、ドコモの料金やドコモ光の料金に対して10%のdポイントを獲得できるためだ。1ヵ月10,000円程度のドコモ料金がある場合、毎月1,000ポイントを獲得できる。1年で12,000ポイント獲得できれば、年会費以上おトクになる計算だ。毎月1,000ポイントを獲得しているdカード GOLD会員が800万人いると考えると、1ヵ月で80億円分のdポイントが発行されており、これはドコモ負担のポイントとなるはずだ。以前PayPayが行っていた100億円あげちゃうキャンペーンを毎月行っているようなイメージと考えるとわかりやすい。

ここ数年でTポイントやPontaの加盟店から楽天ポイントやdポイントの加盟店に鞍替えする企業も多い。例えば大戸屋はPontaポイントから楽天ポイントに切り替え、ドトールはTポイントからdポイントに切り替え、ファミリーマートはTポイントのみの取り扱いだったが、dポイントと楽天ポイントが追加となっている。共通ポイントを鞍替えする理由は圧倒的な送客力に魅力を感じてのことだろう。

しかし、PontaがKDDIと提携したことにより、KDDIが発行する大量のポイントをPonta加盟店に送客できるようになり、一気にPontaが復活。au PAYを利用すると最大20%のPontaポイントを還元する「たぬきの大恩返し」などのキャンペーンを実施し、Pontaが攻めに転じている。

一方、ソフトバンクやヤフーもポイントの大盤振る舞いを行っているが、大盤振る舞いするポイントがTポイントではなく、PayPayボーナスとなる。PayPay加盟店への送客効果はあるが、Tポイント加盟店への送客効果は見えてこない。このような事から、Tポイントは厳しい状況になっている。

実は、ここ10年間のポイント再編の火付け役はTポイントとヤフー陣営であり、これがなければ、そもそも楽天がリアル加盟店でのポイントサービス参入やドコモがdポイントを開始したり、KDDIとPontaが提携したりする事もなかったのかもしれない。Yahoo!ポイントとTポイントの統合は、過去10年間で最もポイント業界に影響を及ぼしたニュースと言えるだろう。

発表当時はTポイントはANAと相互ポイント交換を行っており、Yahoo!ポイントはJALと相互ポイント交換を行っていた。このTポイントとYahoo!ポイントが統合するという事はANAとJALのマイルが相互に交換できるようになる。

TポイントとYahoo!ポイントの関係

さらに、TポイントとYahoo!ポイントが統合すると、Tポイントとnanacoポイントの相互交換が可能になる。当時はTポイント=ファミリーマートであったため、ファミリーマートで貯めたTポイントをnanacoポイントに交換すればセブン-イレブンで利用可能となった。そのため、2013年3月にはYahoo!ポイントとnanacoポイントの提携が解除。同じくJALとYahoo!ポイントの提携も解除となった。宙ぶらりんになったnanacoポイントは同年4月にANAと提携。

発表から約1年後の2013年7月にYahoo!ポイントが廃止されTポイントに統合。

ここからの動きが激しい。2014年5月にauがau WALLETを開始し、au WALLETプリペイドカード(現au PAYプリペイドカード)にポイントをチャージする事でMastercard加盟店で利用できるようになった。同年7月にはソフトバンクポイントがTポイントに切り替えとなる。同じ月にリクルートポイントとPontaポイントが提携を開始。

2013年7月時点でのポイント提携図

2014年10月には楽天が実店舗で利用できる楽天ポイントカード(当時はRポイントカード)を発行した。ヤフー+Tポイント+ソフトバンク連合 vs リクルート+Ponta連合+楽天と言う構図だ。auとソフトバンクに出遅れたドコモも2015年12月にdポイントを開始。現在の4大共通ポイントの誕生だ。

dポイントの参加で4大共通ポイントの誕生

2016年2月にはJR東日本のポイントプログラムを統合するJRE POINTを開始し、同年4月には阪急阪神グループがSポイントを開始。6月にはイオングループがWAON POINTを開始し、現金でもイオングループでポイントを貯められるようになった。2016年はグループ内共通ポイント元年と言えるだろう。

2017年7月にはJR九州のインターネット列車予約サービス、クレジットカードのJQ CARD、IC乗車券SUGOCAのポイントが統合され、JRキューポとして誕生。2017年12月にSuicaポイントがJRE POINTに、2018年6月にビューカードのポイントであるビューサンクスポイントがJRE POINTに切り替わり、JR東日本の大部分のポイントはJRE POINTになった。

2019年11月にはファミリーマートがファミペイを開始し、Tポイントだけでなくdポイントと楽天ポイントにも対応。その後、au WALLETのポイントがPontaポイントに統合。2020年5月の事だ。auの大盤振る舞いが始まり、ここからPontaの快進撃が始まる。

2021年5月にはリクルートポイントがdポイントと提携。同年6月にえきねっとポイントがJRE POINTに統合し、9月にはイオンカードのときめきポイントがWAON POINTに変更。

このように、これまで様々なポイントプログラムの提携・統合などがあったが、元を辿ると2013年7月のYahoo!ポイントを廃止しTポイントの統合がきっかけとなっている事がわかるだろう。この統合がなければポイント業界は全く別の進化となっていたはずであり、2022年4月にヤフーサービスの一部でTポイントを終了、ソフトバンクがTポイントからソフトバンクポイントに変更されるのは感慨深い。

2022年4月以降のポイント提携図

現在、TポイントとしてはTマネーでの高還元キャンペーンやT NEOBANKの開始、SBI証券やネオモバ証券でのTポイント利用なども積極的に開始しているが、キャンペーンなどがどこまで続けられるかどうかだろう。やはり数十パーセントのポイント還元を行う場合、ポイント発行の原資が必要となり、○○経済圏と言った企業との提携がなければキャンペーンを続けるのは難しい。

ここからは独断と偏見で、Tポイントの今後を少し考えて見た。

常に10%程度のポイントを付与しているのが家電量販店や百貨店などとなり、提携するのも良いと思った。しかし、これらは自社で発行したポイントを再度使ってもらうための仕掛けのため、付与したポイントが共通ポイントとしてコンビニなどで使われると成り立たないモデルだ。

ネットショッピングで共通ポイントを導入していないAmazonとの組み合わせも考えてみた。Amazonはd払いとの提携があり、dポイントを使う事ができるが、共通ポイントを導入しているわけではない。

Amazonポイントの開始は2007年と意外と老舗のポイントサービスだ。しかし、共通ポイントなどのように上手に利用されているとも思えない。

Amazonではスマホ決済のAmazon Payもリアル加盟店で提供しているが、正直力の入れ具合はイマイチだ。Tポイントと提携することで、実店舗の導入は進みやすくなる。ただし、Amazonで発行したポイントを他の企業への送客するツールで考えると、この組み合わせも可能性は低い。

○○ペイでは、TOYOTA Walletが提携先としては面白いかもしれない。コード決済は銀行Pay、BANK Pay、TS CUBIC Payに対応し、非接触決済はiD/Mastercard、QUICPay/JCBに対応。オンラインはMastercard加盟店で利用できる。TS CUBIC CARDの利用明細も確認できるなど、様々なスマホ決済に対応しているのも特徴だ。

TOYOTA Walletの残高をiD/Mastercard残高、QUICPay残高にチャージして利用すると2%相当を還元するサービスも開始となり、決済分野には力を入れている。ポイントの提携はないため、提携先としては面白い。ただし、TマネーとTOYOTA WalletのiD/Mastercardが被ってしまう。ヤフーとTポイントがうまくいかなかった理由として、やはり同じようなサービスを提供している事があったためだろう。

最もすっきりするのは、PayPayがTポイントを吸収し、「PayPayポイントカード(Tカードをリニューアルした場合)」を発行する事だ。Yahoo!ショッピングやPayPayモール、PayPayで大盤振る舞いしているPayPayボーナスを、PayPayポイントカード加盟店に送客できるため、Tポイントの一人負けは避けられる。PayPayとしても共通ポイントを一から作り、加盟店開拓するよりは、Tポイントの加盟店を全て吸収した方が早い。

現在、Tポイント・ジャパンの主要株主を確認すると、カルチュア・コンビニエンス・クラブ、Zホールディングス、ソフトバンクとあるように、Zホールディングスもソフトバンクも株主として残っているため、可能性がないわけでもない。

ただし、いくつか不具合もある。スマホ決済サービスとしてTポイントと提携しているファミペイからはTポイントの機能が消えそうだ。また、Tポイントは金融サービスとも提携もあり、SBI証券でTポイントを使った投資ができたり、T NEOBANKで銀行サービスを提供していたりするが、PayPay証券やPayPay銀行との兼ね合いも出てくる。

2023年にはTポイントは20周年を迎える。筆者以上にTポイント陣営は考えているだろう。日本のポイント文化を長年牽引してきた老舗のTポイントの将来はいかに?

個人情報保護委員会から個人情報漏洩


個人情報の漏えいについて(令和4年1月18日) 個人情報保護委員会

個人情報保護委員会が個人情報を漏えいしました。ウェブ上で公表した意見募集手続きの結果に、意見提出者12人の氏名と一部所属先が載っていた(現在は修正済み)ということです。

会社の看板を背負っている以上、SNSに書いていいことと、いけないことは見極めるべきだな。


私も採用(最近は採用される側だけどw)する側で面接をするけど、この「採ってはいけない人」を見極めるの、すごく大事。これは採用する側に回るとよくわかる... https://t.co/s7frfegYex Quoted tweet from @sake_sake7: 「sansanの面接で落とされた就活生が画面の向こう側で見ているかもしれない」っていう想像力が欠如しているからこういう発言が生まれるんですよね。「採ってはいけない」要素をチェックするより、就活生の良いところを引き出す面接をするべきだと思います、、しかもツイート見る限り反省の色無し、、 twitter.com/Nissy_0189/sta… https://t.co/G9W6yp4UnE
「sansanの面接で落とされた就活生が画面の向こう側で見ているかもしれない」っていう想像力が欠如しているからこういう発言が生まれるんですよね。「採ってはいけない」要素をチェックするより、就活生の良いところを引き出す面接をするべきだと思います、、しかもツイート見る限り反省の色無し、、 twitter.com/Nissy_0189/sta… https://t.co/G9W6yp4UnE

ビッシングとは?(転載)~ビッシングはVoice+Phishingの略~

ビッシングは在宅時代の穴となるか

Phishing returns to its roots

コンピュータへのアクセスを要求するテクニカルサポート、支払いを要求する税理士、「折り返し電話します」という医療機器業者など、正当なものではないが、今では誰も電話に出ないのが不思議なくらいだ。このような電話詐欺を経験したことがない人はほとんどいないだろう。しかし、このような詐欺の名前はあまり知られていない。

ビッシングとは?

ビッシング(Vishing)とは、Voice+Phishing(SMS+PhishingはSmishing)の略で、リモートワークへの大規模な移行も手伝って、電話が詐欺の大きな武器となり、警察が定期的にその危険性を公式に発表するほどになっている。

米国連邦取引委員会の2019年のデータによると、詐欺電話のうち金銭的な損失に至ったのはわずか6%。とはいえ、起きてしまった場合の被害額はかなり大きく、中央値で960ドルとなっています。

詐欺師の餌には、すべてを知っていると思っている専門家でも、誰でも引っかかる可能性があります。詐欺師の多くは、警戒心の強いターゲットの信頼を得ることに長けています。

一方では、電話自体が古いコミュニケーション手段であるため、ヴィッシングは通常のフィッシングよりも保守的である。一方で、デジタル時代の大量のデータ流出は、音声詐欺に新たな力を与えている。詐欺師が地球上のほとんどすべての人の情報をこれほど大量に手に入れたことはかつてなかった。また、インターネット電話(VoIP)の普及は、電話番号を操作して痕跡を消すことを可能にし、サイバー犯罪者の手中に収められています。

詐欺電話の種類

詐欺師は電話で何でも話しますが、その内容は大きく分けていくつかあります。

テレマーケティング

電話勧誘販売の詐欺は、本当のことを言うにはあまりにも良すぎるオファーや、時間的に余裕のないプレッシャーに巻き込まれる傾向があります。例えば、宝くじの当選(チケットを買わなくてもボーナスポイントがもらえる)や、クレジットカードの金利引き下げなど、断るのが難しい有利なオファーがあります。これらに共通しているのは、その場で決断しなければならないことと、あなたから相手に少額の前払いをすることです。

もしあなたがその申し出について考える時間があれば、それは(たいてい)明らかに詐欺的なものです。もしあなたがお金を払えば、そのお金は詐欺師に渡ることになり、文字通り彼らの犯罪に報いることになります。また、流出した電話番号のデータベースを使って何千人もの人々に電話をかけ、詐欺を働くことの価値を高めることにもなるのです。

政府機関

最も一般的な手口の1つは、税金の未払いや過少払いを装うものです。税務署が電話をかけてきて、選択肢を提示します。滞納している税金を払わないと罰金を課す。この選択肢には期限があり、期限が過ぎると罰金額が増えていきます。

ここでも、時間を意識した演出が有効です。税務署がどのように市民とコミュニケーションをとっているのか、その期限構造はどうなっているのかを考えれば、一般市民はこのような電話が詐欺であることを理解できるでしょう。しかし、刻々と過ぎていく時間と、厳しいことで知られる政府機関を前にしては、詐欺師に有利な状況になってしまいます。

テクニカルサポート

技術サポートの電話をかける際、詐欺師は実際にその製品を使用しているユーザーにつながる可能性を高めるために、大手の有名ブランドを選びます。電話の主は、被害者のコンピュータに問題があると主張し、ログイン情報やコンピュータへのリモートアクセスを要求します。

より巧妙な手口では、例えば、コンピュータにマルウェアを感染させて、問題とされる内容や修理を依頼するための電話番号を表示するポップアップ・ウィンドウを呼び出すなどの準備が必要です。

 ※ちなみにテクニカルサポート詐欺に電話するとどうなるかは↓の動画参照

銀行

詐欺の最終目的はお金ですから、当然、銀行を装って電話をかけてくる詐欺師もいます。一般的には、疑わしい口座の動きを報告すると称して、実際にはCVC/CVVコードやワンタイムパスコードなどの詳細情報をテキストメッセージから要求してきます。そのような情報を持っていれば、偽の銀行員は簡単に本物の口座を消去することができます。

詐欺電話の見分け方

詐欺師たちは常により説得力のあるフックを探し求めており、いつかは詐欺の豊かな歴史から学ぶことができるかもしれないという考えを否定することはできませんが、ほとんどの詐欺はいくつかのレッドフラッグのうち少なくとも1つを示しています。

  • 銀行や政府機関からと思われる電話が携帯電話の番号からかかってきたら、それはほぼ間違いなくビッシングです。また、その電話番号が他の地域のものであれば、その確率は2倍になります。しかし、公式に見える番号であっても、正規の電話であることを保証するものではありません。最近の技術では、発信者番号を偽装することができます。

  • 特に脅迫的な方法で機密情報を聞き出そうとしてきたら、それもフィッシングの兆候です。一般的に、個人情報を聞き出そうとする行為は詐欺の兆候です。実際の銀行や税務署の職員があなたについて必要とする情報は、おそらく彼らがすでに持っています。

  • 期限を指定して金銭的な取引を促してきた場合は、間違いなく詐欺です。

  • 問題を解決するためにコンピューターにソフトウェアをインストールするように説得されたら、それはあなたにとって悪い結果を招くでしょう。

 最後に、間接的ではあるが、ビッシングの確実な兆候として、電話をかけてきた人が混乱したり、話し損ねたり、敵意を持ったり、俗語を使ったりする場合が挙げられる。もちろん、日常的な言葉遣いを否定するものではありませんが、実際のオペレーターは一般的にプロフェッショナルな言葉遣いをするように訓練されています。

詐欺電話への対処法

上記のレッドフラグのうち少なくとも1つを見つけた場合、最善の選択肢は単に会話を終了することです。その後、電話をかけてきたと思われる会社や組織に電話して、事件を報告してください。テクニカルサポートやカスタマーサポートの番号は、その企業の公式サイトなどで別途調べてください。

また、どんなに説得力のある電話がかかってきても、自分のコンピュータにリモートアクセスプログラムをインストールすることは断固として避け、危険なアプリケーションを適時に検出して警告してくれる信頼性の高いセキュリティソリューションを使用してください。

ー2022/1/19追記ー

パソコンがウイルスに感染…“サポート詐欺容疑”国内初検挙 フィリピン人3人逮捕


パソコンがウイルスに感染したと嘘の画面を表示させ、サポート費用の名目で現金をだまし取ったとして、フィリピン人ら3人逮捕。

新井イメルダ容疑者(52)らは2019年、東京都内の当時50代の女性からパソコンのサポート費用の名目でおよそ3万円をだまし取った疑いが持たれています。

警視庁によると、新井容疑者らは、女性のパソコン画面に「ウイルスに感染した」「5分以内に連絡して下さい」などの嘘の警告を表示させて、マイクロソフトをかたって女性に偽のサポート契約を結ばせていた。

「サポート詐欺」の容疑者が逮捕されるのは全国で初めて。

ランサムウェアギャング「REvil」の主要メンバーが逮捕される / Russia Takes Down REvil Ransomware Operation, Arrests Key Members


Russia Takes Down REvil Ransomware Operation, Arrests Key Members:

ロシア連邦保安局(FSB)は、米国政府の要請により、多発するランサムウェアグループ「REvil」のメンバーを逮捕しました。この重要な進展は、2国間の地政学的緊張が高まる中でのタイミングであることから、いくつかの懐疑的な見方とともに受け止められています。

FSBは声明の中で、REvilグループの14人のメンバーを拘束し、グループに属する多くの資産を押収する結果となった作戦で、彼らに関連する25のアドレスを捜索したと述べています。これには、暗号通貨を含む各種通貨の約680万ドル相当、高級車20台、コンピューター機器、REvilグループが作戦で使用した暗号通貨ウォレットが含まれています。

ウクライナで教育省や外務省など複数の政府機関のウェブサイトがダウンした一連のサイバー攻撃のニュースが流れる中、このような展開となりました。この攻撃の背後にロシアを拠点とする工作員がいるかどうかはまだ不明ですが、多くの人が彼らを容疑者と考えているようです。

FSBは、この調査を、Revilの活動を停止させ、その犯罪基盤を無力化することにつながった、複雑で協調した取り組みであると説明しています。FSBにREvilの首謀者を特定し、外国企業を標的とした同組織のランサムウェア活動の詳細情報を提供した米国当局の要請により、捜査と制圧が開始されたと、FSBは述べています。米国当局には、この作戦の全詳細が提供されたと付け加えています。

ロシアはこれまで、組織的なランサムウェアグループの保有を否定し、米国の要請にもかかわらず、彼らに対して何の措置もとってこなかったため、少なくともロシア当局が説明するREvilのテイクダウンは重要な意味を持ちます。バイデン大統領は2021年6月の会合で、米国の重要インフラはハッカーにとって立入禁止であるとロシアに警告し、プーチン大統領にランサムウェアやその他のサイバー犯罪グループに対して行動するよう促したのです。

Sodinokibiとしても知られるREvilの攻撃活動は2020年に表面化し、他の脅威グループに対してランサムウェア・アズ・サービスモデルでマルウェアを提供していました。このランサムウェアは、主要な組織に対するいくつかの攻撃で使用されていますが、2021年5月のJBS Foodsに対する攻撃ほど、米国とオーストラリアでの食肉加工と配送に大きな混乱を引き起こした問題はありません。また、2021年6月に発生したKaseyaへの攻撃では、マネージドサービスプロバイダーの顧客数千人が所有するシステムにランサムウェアが展開され、広く懸念を抱かせる事態となりました。

2021年11月、米国司法省は、REvilグループの主要人物の特定または所在につながる情報に対して1,000万ドル、関連者の逮捕と有罪判決につながる情報に対して500万ドルの報奨金を出すと発表しました。

真意に対する懐疑的な見方

複数の安全保障専門家がFSBの行動を歓迎し、全体的に良いことだと評した。

しかし、米国とロシアがウクライナへの侵攻を準備しているとの懸念から緊張が高まっている中での行動であることを考えると、その真の動機については懐疑的な意見もある。ウクライナ情勢を緩和するための両国間の協議は、今のところどこにもつながっておらず、この地域での紛争が米露関係の大きな崩壊につながるという懸念が高まっているのである。

「REvilをダウンさせることは、米国との協議中にロシアによく役立ち、ウクライナとの紛争に干渉する可能性がある西側諸国からの好意を引き出すのに役立ちます 」とJosh Lospinosoは述べています。「この公開は、ロシアに、REvilが身代金1100万ドルを受け取ったJBSのサイバー攻撃に責任があったという、もっともらしい反証も与えています。」

REvilをダウンさせることで、ロシアは重要なインフラに対するサイバー攻撃の猛威を真剣に受け止めているというメッセージを送ることができます。しかし、ランサムウェアグループ、特にプーチン政権と直接的・間接的に連携しているグループは、過去に立ち直った経緯があるとLospinosoは言います。REvilに代わる別のグループが出現する可能性は十分にあるという。

Immersive Labs社でサイバー脅威研究のディレクターを務めるケビン・ブリーン氏は、現在の地政学的状況からは、ロシアがREvil作戦の撤収でどのようなメッセージを発しているのかを把握するのは難しいと指摘する。この作戦が、ロシア当局によるサイバーセキュリティに関する長期的な協力の意思を示すものかどうかは、時間が経ってみなければわかりません。

「ロシア領内を発生源とするサイバー攻撃を妨害し、抑止するために国際当局と継続的に協力することは、政府が長期的な変革を推進する意図があるというメッセージになるでしょう」と、ブリーンは述べています。

少なくとも表面的には、FSBによるREvilの排除は、米国当局や同盟国からの情報に対してロシアが積極的に行動する姿勢を示しています。Trustwaveが2021年11月にモニターしたアンダーグラウンド・フォーラムでのチャットでは、ロシアを拠点とする脅威者が、国内の法執行機関に追跡されることを少なくともある程度は危惧していることが示されました。セキュリティ・ベンダーによると、フォーラムのメンバーの中には、自分たちが捕まる可能性があること、それにどう備えるか、また、その後に起こりうる刑罰について議論する者さえいたそうです。REvilグループは、その活動に対する法執行機関の関心が高まったため、ここ数カ月で活動を停止しています。

Stairwell社の脅威アナリストであるSilas Cutler氏は、REvilの逮捕は、ロシアがランサムウェアや国外で活動する他の脅威グループと戦っているように見せかけるための試みかもしれないと述べています。しかし、少なくともこれまでのところ、この行動は少なくとも一部のサイバー犯罪者を怯えさせるには至っていないようだ。

「サイバー犯罪フォーラムのメンバーは、逮捕された人々はこれらのグループの主要メンバーとは考えにくく、適切な当局に保護費を払わなかった中堅レベルの関連グループだろうとジョークを飛ばしてコメントしています」とCutlerは言います。「過去数年間、いくつかのランサムウェアファミリーは、ロシア語のアーティファクトを持つシステムに影響を与えないように特別に設計されています。これは、ロシアの法律に違反しないように、彼らのオペレーションが国際的なターゲットにのみ焦点を当て続けるようにするためと思われます。