Skypeが乗っ取り被害にあった

Last update 2017-07-07 00:42

先日、久々にSkypeの料金の記事を修正するためにSkypeにログインしたのですが、翌日、「Skypeアカウントのパスワードが変更されました」というメールが届いていました。
時間を見てみると、朝の5時50分。
ちょうど夜勤から帰ってきて、少しパソコンをいじっていた時間ということと、Skypeのプロフィールなどを参照してたりしてたのですが、
「ん？でもパスワードなんて変えてないよなあ。」
と思って、サインインしてみると・・・

乗っ取られるとどんな被害に合うか

Skypeを乗っ取られた場合、どのような被害が想定されるかピックアップしてみました。

登録している友だちにメッセージを送られてしまう

LINEの乗っ取りのように、登録している友だちにあやしいサイトURLを記載したメッセージが送られてしまう可能性があります。

LINEでも流行った、コンビニで電子マネーカードを購入させ、番号を教えてくれ。と言ったメッセージを送ってしまうかもしれません。

クレジットカード情報

クレジットカードや住所などの個人情報の一部を見られてしまう可能性があります。
Skypeクレジットなど有料のサービスを利用する場合、住所を登録する必要があるので、一部盗み見られてしまう可能性があります。

住所や生年月日を知られてしまう

Skypeアカウントにサインインされてしまうと、「個人情報」の項目にある「生年月日」と「住所」や「郵便番号」を知られてしまう可能性があります。
これを知られてしまうと、他のアカウント(GoogleやApple IDなど)のパスワードも変更されてしまう可能性があるので、危険です。

勝手に課金されてしまう

Skypeクレジットを勝手に追加されてしまう可能性があります。
また、Skypeクレジットには自動リチャージ機能があるので、使いきっても補充されてしまう可能性があります。
クレジットカードを登録している場合、勝手に支払いが発生してしまう可能性があります。

私の場合は、Skypeクレジットの自動リチャージは無効にしていたし、Skypeクレジット自体の残高が0円だったのと、さらにクレジットカードも期限が切れいたので、なにも被害はありませんでした。

パスワードを変更されてしまう

Skypeが乗っ取られた場合、私のときのようにパスワードが変更されてしまう可能性があります。

パスワードを勝手に書き換えられたら

もし、Skypeアカウントが乗っ取られたと判明したら、すぐにパスワードのリセットを行ってください。
Skypeのパスワードリセットは、Microsoft サインイン画面から行います。

ページを開いたら、URLの部分に「Microsoft Corporation」が表示されているか確認してください。

Skypeアカウントの復元

乗っ取られたと思われるSkypeのIDでサインインしてください。

パスワードを変更されていると、このようにパスワードが違うという表示になるので、「リセットしてください」をタップします。

サインインできない理由を選択します。
明らかに乗っ取られていると判明した場合は、「他のユーザーが自分のMicrosoftアカウントを使っている可能性がある」にチェックを入れ、その下の「理由を選択」をタップします。

乗っ取られたと思われる理由を選択します。
よくわからなければ「ページで不審なサインインを見つけた」でいいでしょう。

ページの下の「次へ」をタップします。

乗っ取られたかはわからないが、以前のパスワードでログインできない場合は、「パスワードに間違いはないが、サインインできない」にチェックを入れて、「次へ」をタップします。

「アカウントの回復」の画面になるので、表示されている画像の文字を入力します。
もし、文字が読みにくいというのであれば、「新規」をタップしていって読める文字が出るまで続けてください。

「次へ」をタップします。

もし、メールアドレスや電話番号を登録していれば、Skypeアカウントの復元は簡単です。
登録しているメールアドレスや電話番号にチェックを入れて、復元用の確認コードを送ってもらうだけです。

が、ここでは最悪なパターンとして、メールも電話番号も登録していない場合を想定して話を進めます。

「すべての情報が不明」にチェックを入れて「次へ」をタップします。

現在使用できるメールアドレスを入力します。

「次へ」をタップ。

入力したメールアドレスに、4桁の「セキュリティコード」が届くのでこれをメモしておきます。

先程の画面に届いたセキュリティコードを入力し、「確認」をタップします。

Skypeアカウントを作成した時に設定した(と思われる)名前、生年月日、都道府県、郵便番号を入力します。
設定していないものは未記入でかまいません。(多分)

乗っ取られたSkypeで使用していたパスワードを入力します。
何度か変更した場合は、思い出せる限り入力してください。

そのアカウントでどんなサービスを使っていたかチェックを入れます。
ここは「Skype」にチェックを入れ、「次へ」をタップ。

Skypeにログインしていたメールアドレスを入力し、Skypeで登録していた友だちの名前を3つ、入力します。

情報が送信されました。
今入力した情報と照らし合わせて、あなたが本当にそのSkypeアカウントの持ち主かどうか審査が開始されます。

ちなみに私の場合は、今適当に入力してみたら「お客様が対象アカウントの所有者であることを確認できませんでした」という返事が帰ってきました。。。
返事は2～3分で帰ってきました。

さて、ちゃんと「アカウントの回復」が成功したら、パスワードをすぐにでも変更してください。
パスワードを変更するに進みます。

私の場合のアカウントの復元

ちなみに私のSkypeアカウントが乗っ取られたときは、画面の内容が少々違っていて以下のような感じでした。

もし、パスワードを書き換えられた場合は、パスワードが変更になった通知のメールに記載されたリンクをクリックしてください。

手続きをおこおなっていない場合は、アカウント情報が漏洩ろうえいした可能性があります。次の手順に従って、パスワードをリセットしてください。

「アカウントを復元」のページが表示されます。
ここにSkypeのアカウントIDを入力します。
Windows8以降にSkypeIDを作成した人は、Windowsログイン用のアカウントになっているはずです。

登録したメールアドレスを入力します。
連絡先メールも同じで構いません。

ここからがちょっと難しくなりますが、「アカウントを作成した西暦」を選択してください。
私はIDに作成した年をつけたりしているので、ここは比較的簡単に推測出来ました。

続いてSkypeアカウントを作成した国を選択します。まぁ、日本でOKでしょう。

Skypeクレジットなどを使っている場合は、支払情報を入力します。
私の場合、期限が過ぎたクレジットカードを使っていたので、クレジット番号を思い出すのが大変でした。(笑)
クレジット番号は、最初の6桁と最後の4桁を入力します。

さて、難しいのが登録してある、もしくはSkypeでメッセージを送ったり、通話したりしたことがある相手を入力する項目です。
3人入力する必要がありますが、IDやメールアドレスだけでなく、愛称でも(相手の表示名のこと。たとえば「あっちゃん」とか)OKでした。

最後に画像に表示された番号を入力します。

すべての入力が完了しました。
結果がメールで送られてくるようです。

メールを開いてみると、「アカウント一時使用停止の解除」というメールが届いていました。
ん？一時停止？
されてたのかな？？(笑)

さて、このメールには、
アカウントの一時使用停止を解除するには、あと2、3点の詳細を確認させていただく必要があります。
アカウント回復の手続きを完了するのに必要な追加情報をこちらのフォームにご記入ください。

と書かれているのですが、ここからが曲者。なんと日本語非対応なんです。
とはいえ、英語自体は簡単。ただ、意外とシビアなことを聞いてきます。

この「Select issue問題を選択」というページが表示されました。
Chromeの場合、日本語化出来るので、日本語化してみました。

クレジットカードなどの番号を再び入力するようです。
必ず入力しなければならない項目は、赤い*の部分だけです。

「あなたのSkypeアカウントを作成した年月日を入力してください」とあったのですが、月日なんて覚えていなかったので、適当に入力しました。(笑)

再び登録してある友達の連絡先や、自分の名前、国名などを入力します。

最後の「説明」なのですが、よくわからないのですが、どうやらどういう問題が発生したか、を英語で書かないといけないらしい。
未入力だとエラーになるので、適当に入力しておきました。(笑)

パスワードを変更する

たぶん、単にパスワードを書き換えられた場合は、ここまでやらなくてもまずはじめにパスワードリセット画面でパスワードを変更できるか試してください。

パスワードをリセットするには、サインインでお困りですか？のページへ行きます。

続いて登録してあるメールアドレスを入力し、「メールを送信」をタップします。

届いたメールに記載されている、「このリンクをクリックしてください」という部分をタップ(もしくはクリック)します。

同じメールアドレスで、複数のSkypeアカウントを登録してある場合は、変更したいアカウントをタップし青く反転させ、「パスワードのリセット」をタップします。

あとは指示に従って新しいパスワードを入力すれば完了です。

なぜ乗っ取られたか

Skypeへのログインは、銀行のように何度か間違えても半永久的に試すことが出来ます。
なので、パスワードを1つ1つ入力していけば、いつかは突破されてしまいます。
このように強引にパスワードを1つ1つ試していくことを、総当たり攻撃ブルートフォースといいますが、手で入力していくと恐ろしい時間がかかってしまうので、たいていは専用のツールで行います。
英数字のみのパスワードだと、あっという間に突破されてしまうので注意が必要です。

私の場合は、IDとほとんど同じパスワードにしていたので、簡単に乗っ取られてしまいました。

対策

パスワードを日本語の文章にする

対策としては、パスワードを難しくするという単純なものが効果的です。
とは言っても、複雑にすると忘れてしまう・・・という人もいるでしょう。私が新しくパスワードを作成するときは、日本語をローマ字に直してパスワード化しています。
そのときに数字が入るような日本語文章を考えます。

1日8時間睡眠

これをローマ字になおすと・・・

1Niti8jikansuimin

これだけで16文字のパスワードが出来上がります。複雑にするために最初のローマ字は大文字にします。
「数字」+「英字(大文字小文字を区別する)」の組み合わせは、

10　+　26　+　26　= 62パターン

になります。これが16桁だと、

62の16乗

となり・・・、パソコンの計算機では桁が多すぎて表示されませんでした。(笑)
そこで「数字」と「英字(大文字小文字を区別する)」の10桁のパスワードの場合は・・・

3,226,266,762,397,899,821,056通りになりました。

32垓(がい)2626京6762兆3978億9982万1056通り・・・ですね。

さらに記号($%&#など)も加えると、さらに複雑なパスワードになり、なおかつ忘れにくい(先程の「1日8時間睡眠」は一生忘れないでしょう？)パスワードにすることが出来ます。

ただし注意点もあります。いくら複雑なパスワードにしても、パスワードが流出してしまったらどうにもなりません。
この時、Facebookやツイッター、LINEやGoogleアカウントすべてが同じパスワードで設定してあると、すぐに他のアカウントも乗っ取られてしまいます。
そのため、アカウントごとにパスワードを変更しておく必要があります。

マイクロソフトのアカウントに変更する

Skypeの古いアカウントは、マイクロソフトアカウントに変更できます。
マイクロソフトのアカウントは、Windows8のログインアカウントなので、今後も使い続けるでしょうし、何より二段階認証が使えます。
またに段階認証として、登録したスマートフォンにSMSを送ってもらい、記載された番号を入力することで初めてログインする設定にも出来ます。

Skypeが乗っ取り被害にあった