Amazonギフト券が盗まれる？不正利用の対策について

悲しい事件が起こりましたので報告します。アフィリエイトに利用しているAmazonアソシエイトから、報酬としてAmazonギフト券を受け取りました。

しかし、自分のAmazonのアカウントにギフト券を登録しようとすると「別のアカウントに登録済みです。」との表示が出て使用することができません。

私なりに調査した結果と、今後の対策について紹介します。

Amazonギフト券が使用できなくなった経緯

今回は、2通のギフト券番号が記載されたメールがあり、2通ともギフト券番号が利用できない状況です。

メールサービスはYahooメールを使用しています。

1通目：2016/12/22 20:15 に受信

2016年の12月22日に届いています。当然ながら有効期限内で、Amazonアカウントへの登録を行った覚えもありません。

「もしかして別にアカウント持ってて知らない間に登録した？」とか「Amazonアソシエイト専用のアカウントに登録されてるってこと？」と思ったけどそんなことはありません。

このメールは1ヶ月程度放置していたし、これだけで済めばと思ったのですが…

2通目：2017/1/20 22:13 に受信

つい1週間ほど前に来たメールです。

前のはダメでもこれなら登録できるだろ！

と思いましたが…

…。

Amazonへ問い合わせた際の対応

Amazonカスタマーサービスへ電話で問い合わせ

まずはAmazonへ電話連絡です。

● カスタマーサービスに連絡

すぐに繋がり、情報とギフト券番号を伝えました。すぐには確認できないため、確認後メールで連絡しますとのこと。

送られて来たメールの一部抜粋がこちら

先程お問い合わせいただきました件に関して確認させていただきましたが、大変申し訳ございません、詳しくお調べすることができませんでした。

そのため、Amazon Associates Program担当部署より追ってEメールにて回答をさせていただきますので、お待たせしておりますところ誠に申し訳ございませんが、今しばらくお待ちいただくようお願いいたします。

Amazonカスタマーサービスより

Amazonカスタマーサービスでは詳細がわからないため、ギフト券の発送元であるAmazonアソシエイトプログラム担当から回答するということですね。

全くの第三者から送られて来たギフト券の番号が使用できないのであれば多少納得がいきますが、同じAmazonのサービス同士で送られて来たギフト券がいきなり使えないのは納得がいかないですね。詳しく確認していただく必要があります。

Amazonアソシエイトからのメール

何だか、すごく的を得ない回答。

だから、それが何でかってのを聞いてるんだよ。

要は、「その番号はもう使われてるから使えないんですよ。」ってことですよね。

当然このままで納得できるはずもなく、「私が知らない間に自分が所持するアカウントに登録したのか？」「第三者が不正利用したのであればコードからアカウントの紐付けができるのでは？」との内容で返信

Amazonアソシエイトからのメール2通目

要約すると

ということ。第三者機関というのは、恐らく警察や弁護士、消費者センターなどを指すと思われるのですが、その辺に相談しろよってことです。

なんかタダでは済まない話になってきました。回収する額の小ささから、泣き寝入り確定しそうですね。

いろいろ調べてみたところこちらの記事が参考になりました。第三者機関に相談するにしても様々な情報を準備する必要がありそう。

● アマゾンアソシエイトから支払われたギフト券が盗まれた！amazonの対応や今後の対策

ひとまず、Amazonアソシエイトへこれ以上問い合わせてもらちが開かないようです。最後に

こちらのメールボックスに到達するまでに情報が漏えいしたとは考えられないのか?

と返信。

Amazonアソシエイトからのメール3通目

要約すると、

ギフト券の番号はメールにしか記載していないからメールが届いた後に情報を持っていかれたんじゃないですか？

ってこと。暗号化もされているし、盗聴の可能性はさすがに考えにくいですね。

これ以上問い合わせても先に進まなそうなので、メールに記載のあったYahooアカウントへの不正アクセスの線で検討してみることにします。

考えられる要因

第三者からYahooアカウントへの不正ログイン

メールにしかギフト券の情報が記載されていないのであれば、Yahooアカウントへログインができない限りは確認することができません。

当然、ギフト券番号は電子的にも物理的にもメモはしていません。

となると、第三者がYahooアカウントにアクセスするしかないのですが、私がYahooにログインする際に利用しているネットワークは「自宅内LAN」「職場の社内LAN」「携帯キャリアのLTE通信」のいずれかです。まずはそれ以外のIPアドレスからYahooJapanへのログインがないかログイン履歴を確認してみたのですが、なさそうです。

1通目のメールが届いた日以降のログイン履歴を確認してみましたが、自身のネットワーク以外からのアクセスはありませんでした。見覚えのないIPアドレスも、逆引きで社内ネットワークであることを確認済みです。しかし…

盲点だった「メールソフトログイン履歴」

Yahooメールのログイン履歴には、「メールソフトログイン履歴」という項目が別にあります。

● メールソフト ログイン履歴

こちらは、OutlookやThunderbirdなどのメールクライアントから、YahooメールのメールサーバーにPOP、IMAP、SMTPで通信を行なった場合に履歴が表示されます。

確認してみると…

これはゾッとしました。これらのログイン履歴の全てが「IMAPでのメール受信」となっていました。

これらのIPアドレスも逆引きしてみたところ、身に覚えのないものしかありません。これだけIMAPアクセスされているとは…

※ IMAPアクセスについてはこちらをご参照ください。

● IMAPとは

メールが削除されたり転送されたりといったことはありませんでしたが、Amazonギフト券の番号を見つけてその番号を利用するなんてことは簡単にできてしまいます。

確かYahooメールは最初はIMAPには対応していませんでしたが、「スマホのアプリからもメールを見る場合に便利」と思ってIMAPアクセスを有効に設定した覚えがあります。

幸い、個人情報などは無事でしたが、お金と同価値のAmazonギフト券を盗まれてしまったということになります。

不正アクセスによってメールの内容を見られてギフト券番号を盗まれたとの確証はないけれど、今までの経緯から察するとこの可能性が一番高いです。

行なった対策

1. 海外からのアクセス制限

今回不正アクセスと考えられるアクセスの接続元が全てアメリカと中国であったため、Yahooメールの設定で海外からのアクセスを制限するように設定しました。（簡単にできる設定なので、まずはこちらを行いましょう！）

● 海外からのアクセス制限

２.パスワード変更

YahooJAPAN IDへログインする際のパスワードを複雑なものに変更。アルファベット大文字や記号も含めて強度を上げました。

上記の対策を行ったところ、本日は不正なIPからのメールソフトログインはありません。

まとめ：不正アクセスから身を守るのは自分自身

今回は、私の管理不足が招いた事態として結論付けたいと思います。

利用中のyahooメールアカウントについては

といった要因があり、悪意のある攻撃者からは標的とされやすい条件が揃っています。

最初は、「総当たりでギフト券番号を当てられたのか？」とも思ったのですが、15桁のギフト券番号を当てるにしても、（アルファベット26文字＋数字10文字=36）^15通りのパターンを試す必要があるため、現実的ではありません。

まさか自分のアカウントが不正アクセスされることはないだろうと思ったのですが、こんなに簡単にアクセスされてしまっているとは…不覚でした。

自分で苦労して稼いだアフィリエイト報酬だったので悲しさ倍増です…

Yahooに限らず、他のサービスでも十分にあり得ることです。自分のアカウントは自分で守りましょう！

それでは、よいシンプルライフをお送りください^^