姊妹站最新文章
事件經過
各大證券公司因應去年陸續發生的帳戶盜用事件，紛紛導入了以臉部或指紋辨識為基礎的生物認證「Passkey」。然而11日卻傳出已設定Passkey的證券帳戶疑似遭到盜用，日本證券業協會與各證券公司因此發出警示。據共同通信報導，生物認證本身並未被攻破，而是管理Passkey的Google或Apple帳戶先遭到盜用所致。5ch論壇上，誤以為指紋或臉部資料本身被盜走的留言，與說明帳戶是透過釣魚手法遭盜用的留言交織在一起。
11/11（三）16:18發布
共同通信
已設定運用臉部、指紋等生物認證的「Passkey」以防範非法入侵的證券帳戶，疑似遭到盜用，日本證券業協會與各證券公司因此發出警示。生物認證是各證券公司為應對去年陸續發生的帳戶盜用事件而相繼導入的措施，但看來仍有必要重新徹底落實「不開啟可疑郵件」的基本防範原則。
出處：news.yahoo.co.jp／原文連結
網友怎麼說
連Passkey都不行，那真的沒救了吧
回覆 #4
這次的受害案例並不是生物認證本身被突破，而是先盜用了Google或Apple帳戶，再拿來使用Passkey的樣子。
這次的受害案例並不是生物認證本身被突破，而是先盜用了Google或Apple帳戶，再拿來使用Passkey的樣子。
SMBC日興證券外洩姓名、住址、投資標的、餘額等資料，最多達5萬6487人 [256556981]
https://greta.5ch.io/test/read.cgi/poverty/1794370413/
【快訊】SMBC日興證券遭非法入侵，5萬6487人的股票帳戶資訊外洩 [422186189]
https://hayabusa9.5ch.io/test/read.cgi/news/1794383546/
https://greta.5ch.io/test/read.cgi/poverty/1794370413/
【快訊】SMBC日興證券遭非法入侵，5萬6487人的股票帳戶資訊外洩 [422186189]
https://hayabusa9.5ch.io/test/read.cgi/news/1794383546/
回覆 #7
金融被駭
交通也掛了
【快訊】札幌市營地下鐵運行系統遭非法入侵，大量班次停駛、延誤 [422186189]
https://hayabusa9.5ch.io/test/read.cgi/news/1794383981/
下一個該不會是核電廠的系統吧？
金融被駭
交通也掛了
【快訊】札幌市營地下鐵運行系統遭非法入侵，大量班次停駛、延誤 [422186189]
https://hayabusa9.5ch.io/test/read.cgi/news/1794383981/
下一個該不會是核電廠的系統吧？
說到底生物認證也只是數位資料，理論上就有風險啦
結果這麼快就出事了喔
到頭來現金才是最安全的資產嗎ｗ
結果這麼快就出事了喔
到頭來現金才是最安全的資產嗎ｗ
回覆 #12
只是笨蛋被釣魚網站把生物資訊的使用權給拐走而已
被盜用的人到底該怎麼辦啊
只是笨蛋被釣魚網站把生物資訊的使用權給拐走而已
被盜用的人到底該怎麼辦啊
登入Google或Apple帳戶也需要生物認證吧
到底是怎麼突破的啦
到底是怎麼突破的啦
回覆 #23
可悲的是，Google或Apple那邊的帳戶沒設Passkey的蠢蛋還真不少啊…
可悲的是，Google或Apple那邊的帳戶沒設Passkey的蠢蛋還真不少啊…
回覆 #23
文章裡就寫了啊
是被詐騙網站釣到然後登入進去的
文章裡就寫了啊
是被詐騙網站釣到然後登入進去的
回覆 #23
這世上就是有那種離譜到誇張的傻瓜啦
這世上就是有那種離譜到誇張的傻瓜啦
生物認證真的不能信
指紋這種東西受傷就會變
臉也沒那麼多特徵可以辨識
指紋這種東西受傷就會變
臉也沒那麼多特徵可以辨識
回覆 #24
看第一行就知道你有多無知了
看第一行就知道你有多無知了
還會發生這種事啊
這也算是「外流」的一種嗎？
這也算是「外流」的一種嗎？
回覆 #45
簡單說就是管理生物認證金鑰的Google帳戶被盜了，所以生物認證根本沒意義的故事
簡單說就是管理生物認證金鑰的Google帳戶被盜了，所以生物認證根本沒意義的故事
> 相信了要求變更帳戶密碼的詐騙郵件就乖乖輸入了
被騙的人120%有錯，騙人的那個只有100%有錯的案例
被騙的人120%有錯，騙人的那個只有100%有錯的案例
回覆 #50
證券帳戶被盜大概都是這種情況吧
受害者卻還裝作無辜要求證券公司賠償
證券帳戶被盜大概都是這種情況吧
受害者卻還裝作無辜要求證券公司賠償
Passkey≠生物認證對吧？
正確說法應該是「Passkey只要通過生物認證就能用」吧？
正確說法應該是「Passkey只要通過生物認證就能用」吧？
回覆 #60
生物認證只是用來解鎖裝置、以授權使用儲存在裝置內的Passkey的其中一種手段而已
生物認證只是用來解鎖裝置、以授權使用儲存在裝置內的Passkey的其中一種手段而已
說穿了只是管理Passkey的Google、Apple帳戶被釣魚詐騙盜走而已，Passkey本身用現在的技術根本破解不了
回覆 #61
不，很簡單就能做到喔
笨蛋也做得到
就算偷不到指紋本體
只要偷走那個人
被數據化後的「最大公約數版指紋」就搞定了
不，很簡單就能做到喔
笨蛋也做得到
就算偷不到指紋本體
只要偷走那個人
被數據化後的「最大公約數版指紋」就搞定了
現階段最強的組合應該是實體安全金鑰＋生物認證吧
其次是實體安全金鑰＋PIN碼之類的
雲端管理的那種真的沒辦法完全安心…
其次是實體安全金鑰＋PIN碼之類的
雲端管理的那種真的沒辦法完全安心…
回覆 #66
雖然可能比較不方便，但安全金鑰或Windows Hello確實比較不容易遇到這次這種麻煩
畢竟在自己完全不知情的情況下認證被盜用才更可怕
雖然可能比較不方便，但安全金鑰或Windows Hello確實比較不容易遇到這次這種麻煩
畢竟在自己完全不知情的情況下認證被盜用才更可怕
回覆 #64
我 就 說 了 嘛
不都一樣嗎
反正都只是轉換成資料而已
你腦袋還好嗎？
視網膜或虹膜也是同樣的道理
都是轉換成純量資料
所有東西都得轉換成純量資料才能傳輸啊
我 就 說 了 嘛
不都一樣嗎
反正都只是轉換成資料而已
你腦袋還好嗎？
視網膜或虹膜也是同樣的道理
都是轉換成純量資料
所有東西都得轉換成純量資料才能傳輸啊
回覆 #73
才沒有咧
Passkey只是用公開金鑰加密方式產生的加密金鑰，根本沒用到什麼生物資訊
在手機上用指紋只是一種授予該加密金鑰存取權限的手續而已，就算不用指紋，改用密碼或是畫圖案解鎖也完全沒問題
才沒有咧
Passkey只是用公開金鑰加密方式產生的加密金鑰，根本沒用到什麼生物資訊
在手機上用指紋只是一種授予該加密金鑰存取權限的手續而已，就算不用指紋，改用密碼或是畫圖案解鎖也完全沒問題
就是因為用那種東西才會這樣啦
Passkey不存在本機根本沒意義
Passkey不存在本機根本沒意義
回覆 #90
到最後大概還是會變成像YubiKey那種外接USB型的吧。不過真的很貴。真希望能快點做到跟普通USB隨身碟一樣，方便大量購入的程度
到最後大概還是會變成像YubiKey那種外接USB型的吧。不過真的很貴。真希望能快點做到跟普通USB隨身碟一樣，方便大量購入的程度
全面禁止線上交易。
全部恢復成「髪」本交易啦（梗：日文「紙」與「髪」同音都唸kami，這裡故意寫成頭髮的「髪」）
全部恢復成「髪」本交易啦（梗：日文「紙」與「髪」同音都唸kami，這裡故意寫成頭髮的「髪」）
回覆 #97
你啊，頭髮早就…沒了吧（接上面紙／髪同音的梗，順便酸對方禿頭）
你啊，頭髮早就…沒了吧（接上面紙／髪同音的梗，順便酸對方禿頭）
到底要怎麼『小心』啦（笑）
回覆 #109
畢竟帳戶被盜本來就是原因所在
畢竟帳戶被盜本來就是原因所在
回覆 #109
絕對不點開郵件連結
如果發生通訊異常就懷疑是被架設了偽基地台然後趕緊離開
大概也就只能想到這些了吧
絕對不點開郵件連結
如果發生通訊異常就懷疑是被架設了偽基地台然後趕緊離開
大概也就只能想到這些了吧
郵件軟體就該把超連結功能關掉啦
不小心點到連結才是問題的根源吧？
不小心點到連結才是問題的根源吧？
回覆 #110
光是打開HTML格式的郵件就已經不行了吧
光是打開HTML格式的郵件就已經不行了吧
＞疑似是先盜取Google或Apple帳戶，再拿來使用Passkey
就算帳戶被盜了拿去用Passkey，生物認證那關應該也過不了吧
到底是怎麼回事？
就算帳戶被盜了拿去用Passkey，生物認證那關應該也過不了吧
到底是怎麼回事？
回覆 #119
被對方用了跟「換新手機」時一樣的操作手法
被對方用了跟「換新手機」時一樣的操作手法
回覆 #119
生物認證終究只是對「這個人手上的那支手機」授權使用Passkey而已
犯人只要在自己已登錄指紋的手機上，用被害者的Google帳戶登入，那麼在那支手機上授權使用Passkey的，就會是犯人的指紋
必須要有「Passkey跟生物認證根本是兩件事」的認知才行
生物認證終究只是對「這個人手上的那支手機」授權使用Passkey而已
犯人只要在自己已登錄指紋的手機上，用被害者的Google帳戶登入，那麼在那支手機上授權使用Passkey的，就會是犯人的指紋
必須要有「Passkey跟生物認證根本是兩件事」的認知才行
回覆 #119
帳戶被盜就玩完了
在別人的手機上用自己的Google帳戶登入的話，那個人的指紋就能拿來用你的Passkey了
帳戶被盜就玩完了
在別人的手機上用自己的Google帳戶登入的話，那個人的指紋就能拿來用你的Passkey了
我有想過要設定Passkey，但因為只能選擇存在Google帳戶裡，
印象中當時嚇到放棄了ｗ
不管Passkey本身多厲害，只要存放的地方還是在網路上，
我就覺得轉眼間就會被AI給攻破ｗ
印象中當時嚇到放棄了ｗ
不管Passkey本身多厲害，只要存放的地方還是在網路上，
我就覺得轉眼間就會被AI給攻破ｗ
回覆 #141
話說如果不同步到帳戶，手機摔了或變磚之後，只登錄了一個Passkey的所有服務就會直接把你擋在門外，等於當場暴斃
如果是像YubiKey那種前提是不隨身攜帶、好好保管起來的東西還行，但像手機這種東西，只存在本機其實不太適合
話說如果不同步到帳戶，手機摔了或變磚之後，只登錄了一個Passkey的所有服務就會直接把你擋在門外，等於當場暴斃
如果是像YubiKey那種前提是不隨身攜帶、好好保管起來的東西還行，但像手機這種東西，只存在本機其實不太適合
回覆 #155 當場暴斃
我可是堅持不帶手機主義的人
完全沒事
我可是堅持不帶手機主義的人
完全沒事
回覆 #155
不過證券公司說可以解除Passkey改回兩步驟驗證啦
不過證券公司說可以解除Passkey改回兩步驟驗證啦
這次話題的背景與爭議點
Passkey並不是直接傳送指紋或臉部資料本身的機制，而是利用儲存在裝置內的加密金鑰、以公開金鑰加密方式運作的技術，生物認證終究只是用來授權使用該金鑰的身分驗證手段而已。這次的受害案例，推測是犯人以假郵件騙取被害者的Google或Apple帳戶資訊，再用該帳戶登入自己的智慧型手機，結果變成犯人自己的指紋被授權用來使用Passkey的結構。換句話說，實際狀況並不是「生物認證被攻破」，而是「管理Passkey的帳戶遭到盜用」，論壇上也因為這個區別而出現各種交錯的解說與誤解。各大證券公司原本是因應去年大規模的帳戶盜用事件才導入Passkey，而這次事件也再次凸顯了這項防範措施的侷限。
※本文整理、摘自5ch（新聞速報＋）討論串「生體認證證券帳戶遭害 籲注意盜用問題」。
發佈留言