ウェブマネーの不正利用は「幻の魚イトウ」級

電子マネーのウェブマネーの不正利用で逮捕者がでましたね。
以下、MSN産経ニュースから

電子マネー６２万円詐取…警視庁５人を逮捕

調べでは、馬渕容疑者らは平成１６年１１月〜今年９月、ウェブマネー社（東京都港区）が発行する電子マネー「ウェブマネー」（１ポイント＝１円）をインターネット上で購入する際、購入画面のＵＲＬの一部を書き換えると、実際の購入ポイントよりも少ない支払金額で決済できてしまうシステムの欠陥につけ込み、７１回にわたり、計約７万円の支払いで計６１万５０００ポイントをだまし取った疑い。

http://sankei.jp.msn.com/affairs/crime/071203/crm0712031244015-n1.htm

asahi.comから

電子マネー詐取　容疑の５人逮捕　ネット購入めぐり

ハイテク犯罪対策総合センターなどの調べでは、５人は０４年１１月〜０７年９月、７１回にわたり、ウェブマネー社（東京都港区）発行の電子マネーをネット上で購入。決済画面を書き換え、計７万１円しか振り込んでいないのに、計６１万５０００円分のポイントをだまし取った疑い。１万円分を申し込んでいるのに、振り込みは１０００円ですむように、ＵＲＬ欄の文字列を操作するなどしていた。

http://www.asahi.com/national/update/1204/TKY200712030376.html

株式会社ウェブマネーからのお知らせ

昨日来、「WebMoney」を不正に購入し、電子計算機使用詐欺で容疑者が逮捕されたという報道がございました。

今回の事件は、「WebMoney」をオンラインで購入する手続きの中で、一部の金融機関より当社へ送信される振込金額に関する情報を改竄されたことに起因するものであり、当社の決済サービス及び、当社システムへの不正アクセス等によるものではなく、お客様の個人情報、決済情報、残高情報等は外部に一切漏洩いたしておりません。

http://www.webmoney.jp/news/20071204_01.html

上記を総合すると、URLの書き換えにより、振り込み金額を書き換えられるようになっていた模様です。
これって、以前報告したhiddenのあまりにも馬鹿げた使い方 - ockeghem(徳丸浩)の日記などで報告した、hiddenフィールドの書き換えで価格改ざんできるサイトと同じか、それより簡単に悪用できる状態だったような気がします。

というわけで、

すなわち、ネッシーではないが、イトウくらいのレベル(実在を疑う人はいない)での「幻の魚」なのだ。だから、最近脆弱性診断を始めた若いエンジニアが、これを見つけると、「徳丸さん、出ました」と嬉しそうに報告しに来る。そういうところも、「幻の魚」というたとえがふさわしい。

http://d.hatena.ne.jp/ockeghem/20071105/1194234769

幻の魚イトウを釣り上げたようです。