Thread by @HiromitsuTakagi

いや、ですから、氏名は銀行サービス（振込機能）で任意の口座番号で検索できるんですってば。有効な口座番号も同じ方法で特定できる。暗証番号はリバースブルートフォース。
businessinsider.jp/post-219874
「どこかから漏洩した口座番号、キャッシュカードの暗証番号といった一部の情報が悪用され」

これは昨日、ある銀行から他の銀行へ振込をしようとして、任意の口座番号を入れた場合に、存在しない口座である旨が表示された後、5回ほど口座番号を1ずつ増やして再度行ったところ、「振込先口座確認機能が閉鎖中」となった様子。この閉鎖が何日続くのか。例えば24時間で解除されるとすると…

…24時間で解除されるとすると、1日5個試せるとして1年で1825個試せる。100アカウント同時並行で使えば18万個。有効な口座番号の算出方法が事前にわかっていれば、1年かけて18万人分弱（生きてない口座番号もあるので）の氏名・口座番号の組みを取得できる。そのうち、リバースブルートフォースで…

…リバースブルートフォースで任意の暗証番号がヒットする確率が3333分の1なので、54個程度が見つかる。ヒット率はもっと高い（日付とか5963、4649とかに絞れば）と考えられ、ざっくり500分の1程度と推定すると、360個程度が見つかる計算になる。こうしたことは何年もかけて進行することが考えられる。

有効な口座番号の算出方法がわかっている場合、連続して存在する口座への振込を（検索を）行えるだろうから、5回よりもっと多く一度に試せるかもしれない。有効な口座番号のうち存在しない口座の割合が10%だとすると、50人分くらい一度に取得できるのではないか。

https://twitter.com/HiromitsuTakagi/status/1303479462906920960

古い資料を探したところ、2006年の時点ではこういうのがあった。「振込を行わず…連続して行うと」とあるので、振込を行えば制限なく継続できるということか。今はどうなのか。

これは、2006年に日本銀行金融研究所で開催された主要銀行向け勉強会のプレゼンで使用したスライドから。この頃に問題は周知されたはずだったのだが。

さらに遡ること4年、2002年2月28日の日本銀行金融研究所第4回情報セキュリティシンポジウムで講演した際のスライド「インターネットバンキングに迫り来る現実的脅威」から。
web.archive.org/web/2003042118…

とっくに周知されたいたはずが、いつのまにかなし崩しになっていたようで。金融庁は何やってるの？