# Learn from the big mistakes of cashless payment service in Japan - AIDO & Manaka

{%hackmd @HITCON/rkYm1whdY %}

> 從這開始

從日本無現金支付服務的大錯誤中吸取教訓
日本無現金支付服務行業經歷了四次大騙取款。我將解釋其中三個。基於日本領先企業 7-11、Docomo（日本最大的手機）和日本郵政銀行（日本第四大銀行和前國有企業）所犯的重大錯誤，我將探討導致這些錯誤的更深層次的原因對這些事件。在所有三個案例中，都犯了兩個重大錯誤；如果他們在第一次得到妥善處理，造成的傷害就會減少。
台灣和日本的支付系統非常相似，所以應該有很大的經驗教訓。

Live Q & A 連結：
https://app.sli.do/event/w1aq8loc

2020 /10 的資安事件：
它的情況就是駭客利用手機綁金流值付PayPay驗證時，綁定信用卡卻沒有驗證個人生日做為驗證，所以駭客透過弱密碼及密碼字典去做暴力破解。

由於驗證的資料中，並沒有綁定個人的E-Mail 所以駭客在驗證時，就直接綁定駭客的生日。

然後就可以取得授權，在超商 7-11 買香煙、電子菸，因為這些東西換現金較容易。

駭客集團在金流支付的整個授權非常了解。
整個組織是有備而來，所以在事件發生時，當天已分配完成所有人的分工。

---

DOCOMO ：造成 125 事件，然後 2800萬日幣損害。

問題：
(1) 開帳號居然不用身份驗證
(2) 為了擴展客戶而沒有注重資安
(3) 完全沒有驗證，犯人允許用隨便註冊的E-Mail認證
(4) 金流扣款無法追蹤
(5) 金流只有卡號+生日就能扣款
(6) 目前銀行跟金流目前合約中斷
(7) 即使存款為 0 也能跟銀行借款
(8) 客戶投訴，銀行不受理
(9) 雙方找不到原因，所以互相推卸責任

金流支付只有 帳號/密碼
所以駭客取得帳密之後，就可以加上駭客的免洗 E-Mail做扣款及金流交易。

銀行扣繳時，並沒有其他驗證，也沒有相關的通知。

---

mija 卡

###### tags: `HITCON2021`,`HITCON`