今回、標的となったサービスを利用していない人でも被害にあってしまった理由は、
「口座を紐づけしてしまえば、送金可能」という、本来利用者が使用する際に便利な機能を悪用されたからです。
さらに、口座の紐づけの際に行われた「正規利用者であるか」の確認が、【単要素認証】だったため、多くの人の口座が被害にあってしまいました。
例えば、ATMで現金を引き出す際は、暗証番号とキャッシュカードまたは通帳が必要になりますが、この場合は【二要素認証】となります。
二要素認証とは、これらの中から二種類を利用して、正規の利用者かどうかを判断するシステムです。
必ず二種類を使用しなければならないので、不正利用することが難しくなります。
1.「暗証番号」などの利用者が知っている「情報」
2.「キャッシュカード・通帳」など、利用者が持っている「物」
3.「指紋」「網膜」など、利用者の「身体的特徴」
しかし、今回の不正送金の場合は、「銀行口座の口座番号」「暗証番号」という2つの「情報」があれば、紐づけが可能になるシステムであり、これは上記から1種類しか利用していない単要素認証となります。
そして、銀行口座で利用される暗証番号は4桁のため、セキュリティ強度があまり高くありません。