# 白浜 １次メモ

## 下書き
- 問題の整理
- A様の懸念事項（問題A）
- 自分に見に覚えのない金券譲渡の発生
- 自治体様からの懸念事項（問題B)
- 不自然なイベント参加記録によるポイントの大量獲得
- まずは初動対応
- ログ保全（クレーム１について）
- A様の金券発行記録
- A様の金券譲渡記録
- 譲渡された金券が使用された場所
- A様のアカウントのログイン情報（アクセスした端末やIPアドレス等）
- その他必要と思われる情報

- クレーム２について
- 不審なウォーキングイベント参加者の一覧とその参加者同士の関係性

- 顧客対応
- A様へのヒアリング・確認
- 問題Bの対象者への確認
- 自治体への確認・イベント開催者への確認

- 調査方法などの対応のご案内
　 - A様の他に被害者がいるかの確認
　 -
その後の長期対応

# 弊社が考える原因の見解
クレーム1に関して
- 利用者側に起因する不正の可能性
- 利用者のスマートフォンにマルウェアが感染していた可能性
- ユーザのスマートフォンがマルウェアに感染したことより、IDやパスワード、またはログイン状態を保持するためのデータが奪われた可能性があります。
- 対策　ユーザに本人のスマートフォンをウイルススキャンしていただくことを推奨します。
- 利用者のアカウントに不正ログインされた可能性
- フィッシングサイトへアクセスしてしまったり、パスワードクラッキングされてしまったことで不正にログインされてしまった可能性があります。
- 対策　ユーザに不審なメールが届かなかったかを確認してください。また、ユーザが普段ログインしている端末やIPアドレス以外でのログインが無いかを確認してください。
- ソーシャルエンジニアリングによって情報が搾取された可能性
- QRコードの期限が長い、または無期限である場合、利用者のQRコードがショルダーハッキング等によって搾取された可能性があります。
- 対策　QRコードには必ず有効期限を設けるようにし、必要以上に長い期限を設けることができないようにしてください。
- A様の申告が虚偽である可能性
- A様の問題が実際に発生しているか事実確認を行う必要がございます。
- 当該期間の決算におけるトランザクションやログイン履歴のログを参照し、不審な点がないかご確認ください。

- 新しい端末やIPアドレスからのログインがあれば、利用者のメールアドレスに通知するようにしてください。また、ポイント使用や支払いがあった時に利用者のメールアドレスに通知するようにしてください。

クレーム2に関して
- 利用者側に起因する不正の可能性
- アカウント共有の可能性
- イベントの参加がQRコードによってのみ行われているため、ユーザの一人がその人の家族や知り合いのアカウントにログインし、QRコードを読み取らせることでイベントに参加していることになっている可能性があります。 この方法を毎日複数人で行うことで一日に複数のウォーキングイベントに参加することが可能であると考えます。
- 対策　一度に複数のQRコードを読み取らせない仕組みを作ることで、このような不正を防ぐことができます。また、個人証明用のQRコードに有効期限を設定することでも、ある程度の効果を発揮することができます。
- QRコードの画像を複数所持している可能性
- ログインしなくとも、家族や知り合いのQRコードを画像データとして保管し、すべて読み取らせることでイベントに参加していることになっている可能性があります。
- 対策　同上。
- 主催者やイベントスタッフと知り合いの可能性
- 主催者やイベントスタッフにQRコードの画像をあらかじめ渡しておき、イベント時間中に画像を読み取ることでイベントに参加していることになっている可能性があります。
- 対策　同上。更に、主催者やイベントスタッフにQRコードを持ち込ませないようにしてください。

# 最後に

## 問題点
- 自分の身に覚えがない金券の譲渡が発生している （問題A）
- 不自然なイベント参加記録によるポイントの荒稼ぎ （問題B）

## こたえること
- なんでおきたか（短期　長期で対応すること）
- 設計、運用に問題があるかどうか

## 回答のポイント
- 保全したログをどこから調べるか
- 内部犯行の可能性も考えられるため、ログの保全を薦めること
- その他原因究明方法
- 問題Bにおいて、対象の20人に自治体からヒアリング調査を行なっていただくための要請
- 短期・長期の対応方法
- 現在運用中の地域通貨システムの問題点・発展の可能性
- 口座から引き出す際も暗証番号を入れるようにする？

## 考えられる要因
### システム・管理者側の問題
- 不正アクセスが行われた可能性
- データベースサーバや各種ログイン・アクセスログデータが削除された

- 内部犯行の可能性
- 地元の会社なので、地元のシステム社員が利益を獲得するために内部犯行に至った可能性
- 自治体側で内部犯行が行われた可能性

- アプリ起因のバグの可能性

- 通信における暗号プロトコルのバージョン問題
- 脆弱性のある暗号化プロトコルを利用している可能性
- AESならつよい
- TKIPはそこそこ
- WEPはよわい

- 秘密鍵の盗難

- QRコード生成に関するバグ
- 他人が生成したQRコードと重複が発生しており、一部ユーザにとって意図しない操作となっている可能性
- QRコード生成のアルゴリズムに問題がないか精査する

### 仮想マシンに起因する問題
- 運用する仮想マシン自体の脆弱性
- 仮想マシンを管理するソフトウェアのパッチは最新版であるか？

- きちんとファイアーウォールは設定されているか？

- アンチウイルス機能は有効になっているか？

### 仮想マシンに起因する問題（外部サーバ利用の場合）
- オンプレミスか外部サービス利用か判断できないので、

### 利用者側に起因する不正の可能性
- アカウント共有・使い回しの可能性
- 特定のユーザがお互いのアカウントを共有したり、複数回ログインすることで不正にポイントを搾取している。
- 物理的に発行したQRコードなどを使い回されている可能性

- GPS(位置情報)情報を悪用した不正の可能性
- ウォーキングイベントの参加の有無をGPSデータを利用して確認する仕組みなら、GPS情報を偽装して参加している可能性

- 利用者のスマートフォンにマルウェア感染の可能性
- キーロガー等により、ID・パスワードの流出が発生した可能性
- 念のため、アンチウイルス等でスキャンを行なってもらう

- 利用者のアカウントに不正ログインされた可能性
- ログイン履歴や、端末のアクセスIPアドレスから不審なデータがないか確認してもらう

- フィッシング詐欺の被害にあい、情報搾取された可能性
- A様や、関係者各位への事実確認を行う必要
- 「この度の、A様の事件発生に伴い、調査のお願いを云々...」

### 利用者側に起因する不正の可能性2
- 主催者が知り合いの可能性
-

- Aさんが虚偽の発言を行なっている可能性
- ポイント返却を要求しているため、虚偽の可能性も高い
-

- ソーシャルエンジニアリングが発生した可能性
- 利用者の背後からQRコードなど搾取するショルダーハッキングの可能性

## お願い

### 利用者へのお願い
- QRコードには有効期限を設けるよう依頼
- 不正利用や、使い回しなどの要因になるため、必要時毎に発行するよう方式を変更する

- 金券を落とした可能性

### システム製作者・担当者へのお願

#### 問題１
-
- A様の虚偽の可能性があるので、ポイント搾取が発生しているかの事実確認をまずは行う
- ヒアリング調査を行っていただくようお願いする

- A様の登録情報が誤って申請されていたり、その可能性がないか確認する
- 自治体が登録の際に誤った情報で入力してしまった可能性
- A様の登録情報が一意であることを確認してもうら

- ゲス不倫の方式が取られた可能性
- A様が以前ご利用の端末をログイン状態のまま譲渡してしまったので、不正に第３者が送金してしまった可能性

#### 問題２
- 仮想マシンを管理するハイパーバイザーのアップデートをお願いする
- IDS,IPSのログも確認し、システムに対して不審な侵入が検知されていなかったか二重チェックをお願いする

### 自治体へのお願い
- 改めて、厳重な運用制度の元に管理していただくお願いをする
-
- お問い合わせ案件の中で、お客様情報であるID、パスワードの変更依頼があったか？
- 特に、メールアドレス等を変更した趣旨を伝えられ、口頭で教えなかったか？

### システム仕様の調査の依頼
- 1つのQRコードで同時に決算した際に、トランザクション処理に不具合は発生しないか

### システム使用上改良のお願い
- ユーザの登録情報の暗号化処理を行うお願いを行う。