列車内でのクレジットカード情報盗難を防止するには

2018.01.30

あなたが利用しているのは、ロンドンのチューブ、ボストンのサブウェイ、パリのメトロ、オックスフォードのバス、サンフランシスコの BART、シドニーの列車、それとも東京のゆりかもめでしょうか?


もしかしたら、今あなたは混雑する車内で他の乗客とぶつかりそうになりながら、携帯電話でこの記事を読んでいるかもしれません。

あるいは、混雑した空港の中を駆け抜けて出発ゲートに到着し、飛行機に乗り込むのを待っているところでしょうか?


もしそうなら、持っているワイヤレス対応のデビットカードのデータが、知らないうちに盗み取られるのではないかと心配していることと思います。

バックパックやボディバッグに入れた書類が盗まれることはなくても、RFID 対応パスポートからデータが窃取される可能性はあります。


筆者が Android 端末でさまざまな無料の Play ストアアプリを試したところ、パスポートとデビットカードから以下のデータを確実に取得することができました (データはすべて NFC 経由でワイヤレスで送信されました)。


  • デビットカード:
    カード番号、有効期限。

  • パスポート:
    氏名、国籍、性別、出生地、写真、パスポート番号、有効期限。


ご自分で試す場合は注意が必要です。Play ストアのアプリがオープンソースであっても、そのソースコードが (意図的かそうでないかに関係なく) データを不適切に保存したり送信したりしていないことを確認するのは容易ではありません。筆者はテスト用の携帯電話を使用し、データの読み取り中は電話をオフラインにしていました。その後、電話のデータを消去しました。また、使用したパスポートとクレジットカードは期限切れのもので、当然ながら所有者の許可を得ています。


被害妄想だとも言われますが、IT セキュリティ業界で働く者は最悪の場合を自然と想定するものです。


筆者は先日パブで、財布を保護する RFID ジャマー (つまりはクレジットカードをデータ窃取から守る「アルミ箔製の帽子 (tinfoil hat)」) の必要性についての話に大変興味を引かれました。


最初は、そのアイデアをばかにしていました。なぜなら、ワイヤレスのビルディングパスを RFID をブロックする財布に入れていた友人が失敗したのを見ていたからです。


しかし、RFID をブロックする財布は単に良いアイデアではなく必須だと主張するこの客の話を聞いた筆者は、詳しく調査することにしました。パブの客が間違っていることを証明しようと固く決意し、3 種類の RFID ジャマーを購入してテストを開始しました。


テクノロジーその 1: RFID をブロックするクレジットカードケース (ブランド名: Kinzd)



テクノロジーその 2: RFID/NFC をブロックするカード (ブランド名: Attenuo)



テクノロジーその 3: RFID をブロックするスリーブ (ブランド名: Tenn Well)



最初の 2 つの製品はペイメントカードのサイズですが (3 つ目の製品だけはパスポートサイズもあります)、持ち主に気付かれずにパスポートのデータを読み取るのは簡単ではないのであまり心配する必要はありません。


パスポートにはパスポートデータを保護する RFID Basic Access Control (BAC) という盗聴防止機能が使用されています。この機能は、ノート PC や携帯電話などへのログイン時に使用されるパスワードよりも強度は低いですが、そのパスポート固有のデータを持っていなければ、パスポートのチップからデジタルデータを読み取ることはできません。


パスポート番号、有効期限、生年月日をすでに入手している場合に限って、リーダー (読み取り機) とパスポートの間でデータを暗号化する BAC セッションをネゴシエートすることができます。


つまり、あなたのパスポートのチップを読み取ろうとしても、最初に写真ページが開かれている必要があるので、攻撃者が空港内を歩き回ってもバッグ、財布、スーツケースなどの中にあるパスポートからデータを読み取ることはできません。


この保護機能が有効なのは、パスポートを提示する頻度があまり高くないためです。また、提示する場合も職員による物理的かつデジタル的な厳しいチェックが同時に実行されます。

非接触型決済チップを使用しているデビットカードとクレジットカードの場合、情報の受け渡しに同意する前に認証設定は必要はありません。


地下鉄でのテスト結果

混雑したロンドンの地下鉄では、携帯電話を手にした悪意のある人が、他の乗客のズボンや財布に入ったクレジットカードからデータを収集することは可能なのでしょうか?


テストの結果、可能であることが分かりました。

NFC 対応の携帯電話は、ポケットに入っているデビットカードの長いカード番号と有効期限を正確にスキャン・記録することができます。


携帯電話をすぐ近くに持っていく必要がありますが、混雑している列車やバスの中で乗客同士が軽くぶつかったり触れたりすることは珍しくありません。


では、上記 3 つの RFID ブロッキングテクノロジーを使用すると、どのような結果になるでしょうか?


筆者の実験では、3 種類すべてで携帯電話をどれだけ近づけてもカードを読み取ることはできませんでした。

なお、カードと携帯電話を擦り合わせても、カードから何も読み取れませんでした。


技術的解説

ではなぜ、友人のビルディングパスは RFID をブロックする財布でも守られなかったのでしょうか?

RFID (Radio Frequency Identification) は、さまざまな無線周波数帯 (低周波: 125kHz 近辺、高周波: 13.56MHz、超高周波: 900MHz 近辺) で動作します。


NFC (Near-field Communication) は RFID の一部で、近距離の無線通信に使用されるものです。NFC チップでは、13.56MHz の高周波数帯が使用されます。


RFID リーダーは、RFID または NFC のタグ (パスポート、クレジットカードなど) のアンテナに十分な電流を誘導できるだけの電磁エネルギーを放出します。これにより、チップに電源が入り、計算が実行され、データが送信されます。


したがって、アンテナはデータを送信するだけでなく、電力を転送するための媒体としても機能します (ニコラ・テスラと同じやり方です)。


多くの RFID ドアロックは、より高い電力で動作する低周波システムであるため、軽量なブロッキングデバイスではブロックが困難です (低周波とは電波波長が長いことを意味し、通常は電波波長が長いと透過の度合いが高まります)。


したがって、クレジットカードとパスワードの保護を目的とした通信ブロッカーは、必ずしもビルディングパス、ドアロック、その他の低周波 RFID キットの遮蔽には効果を発揮しません。


確認すべきこと

自分のパスポートが RFID 対応のものかどうか分からない方は、下記のシンボルマークを確認してください。このマークが付いていれば、チップ搭載のパスポートです。



NFC 対応のペイメントカードには、次のシンボルマークが付いています。



対策

見知らぬ乗客によって不正な NFC トランザクションが開始されるのは非常にまれであるため、リスクはごくわずかであると言えます。しかし、携帯電話を使ってテストをしてみれば明らかであるように、技術的に可能であることに変わりはありません。


今回実施した基本的で非科学的なテストで、すべての遮蔽デバイス (手作りしたアルミ箔製のものも含めて) が効果を発揮したのは嬉しい驚きでした。


しかし、「私のジーンズのポケットに入っているクレジットカードを私の携帯電話で読み取ることは可能か?」という肯定的な命題を証明するのは簡単です。一方、「この RFID 財布は私のクレジットカードを常に守ってくれるか?」という否定的な命題の証明は、はるかに難しいことです。


したがって、RFID 財布シールドはぜひ使用してください。しかし、不正なトランザクションが明細に含まれていないことの確認は続けてください。

結局のところ、RFID 以外にもアカウントをハッキングする方法は存在しています。

引用元

おすすめの記事はこちら