ドコモの店員に自分のアカウントを不正アクセスされた話

@mopetsune

まとめると、ドコモショップの店員は客が預けたスマートフォンを無断で操作し、SPモードの教えてもいない暗証番号を推測して不正アクセスを試行し、またAndroid Marketに関しても勝手に客のアカウントを用いて接続し、アプリを無断でインストールしたということ（不正アクセス）。

@mopetsune

本日ドコモショップにて店員により俺のGoogleアカウントとSPモードアカウントに不正アクセスをされたので事の顛末を記しておく。

@mopetsune

今日は端末を購入するためにドコモショップへ行った。ショップが提示するSPモードの有料サイトに登録すると頭金を割り引かれるという説明をされたのでこれを承諾した。

@mopetsune

購入に関する手続きが一通り終わって後は端末を渡すだけになった時、「Googleアカウントの設定はご自分ですると仰られましたが、頭金の割引のためのSPモードの会員登録のためにこの場で端末を設定してGoogleアカウントにログインしていただく必要があります」と言われた。

@mopetsune

言われた通りに端末を設定してGoogleアカウントにログインした。すると、端末を渡せと言う。個人情報の塊とも言えるログイン済みの端末を渡すことに抵抗があったので「渡さなければ頭金の割引は出来ないのですか？」と尋ねたら「はい」と言われたので端末を渡した。

@mopetsune

「設定が終わるまで時間がかかるのであちらのテーブルでお待ち下さい」と言われたので離れた場所にあるテーブルで待っていた。

@mopetsune

しばらくすると店員がやって来て　店員「お客様のSPモードの暗証番号を教えて下さい」俺「初期設定の0000だと思います」店員「0000ではありません"でした"」　えっ？過去形？

@mopetsune

どうやら店員はスマホを直接手で操作してSPモードの有料サイトに登録をしているらしく、何とその場で勝手に暗証番号を推測してSPモード決済のためのログインを試行したらしい。推測の暗証番号ではログイン出来なかったので暗証番号を直接聞きに来たようだ。

@mopetsune

その際に一時的に端末を渡されたので、ホーム画面を見たら勝手にアプリがインストールされていた。ZXing Teamの「QRコードスキャナー」というアプリだ。

@mopetsune

「手動で端末を操作します」なんて聞いていないし（まさかありえないよねレベルで想像はしていたが）、「Android Marketに客のアカウントで接続してアプリをインストールします」については全くの予想外だった。まさかそこまで終わってないだろうと期待した自分が馬鹿だった。

@mopetsune

ALADINだっけ？ショップに備わった専用端末で操作するだけでSPモードの有料サイト契約は終わるものだと思っていた。

@mopetsune

色々思うことはあったがとりあえず初期設定の0000から変えた覚えがない旨を説明すると「暗証番号として考えられるものを紙に書いてください」。思いつく限り書いたが全てログイン失敗。「やっぱり0000としか思えませんけど…」と言い再び0000で試させたら「あ、0000で合ってました」

@mopetsune

全ての設定を終え、ようやく端末が解放されたので端末を調べたところ、「QRコードスキャナー」の他に「デコメロ取り放題」「書籍・コミック・Eエブリスタ」というアプリもインストールされていた。これらは前述した有料サイトの登録に関係するものだろう。

@mopetsune

ショップ店員が勝手にアプリインストールしたせいで端末をリセットしたのに情報が引き継がれてアプリがまたインストールされたり、アンインストールしても未インストールアプリの欄に表示されたりして困ってる。再度リセットして情報が消えなかったら許されることではないよなあ。