フリーメールに第三者のアクセス

質問

outlookのログインパスワードを変更したところ、度々何者かがログインを試みて失敗⇒アカウントロックという現象が起こるようになりました。

アクティビティから履歴を見ると第三者が何度もパスワードの入力に失敗して、そのためにロックされいるのがわかりますが、第三者のIPアドレスを見てびっくりしたのは、同じプロバイダからの接続になっていたことです。自分のIPと似ています。しかし、その時間帯にログインを試みてはいません。それに十回も二十回も失敗するくらいなら、さっさと再作成をしています。不正アクセス者はそれができないせいか、時間を置きながら何度も何度もログインを試しています。

これまでは携帯からパスワード入力なしで受信ボックスへ飛んでいたので、こんな現象に気づいたのは今度が初めてです。恥ずかしい話、アクティビティもろくに見たことはなく、セキュリティに関する考えが非常に甘い状態でした。もしかすると、これまでずっと第三者からログインされていたのが、パス変更によって出来なくなり試しているということも有りうるのかとか。ＰＣはモデムを介して１台のみ接続しています。第三者の ＩＰアドレスの表示は、最初の２区切りまで自分と同じだったように思います。そんなにメジャーなプロバイダじゃないので何が起きているのか不安です。

この現象はどう考えるべきでしょうか。この迷惑行為が続いた場合、警察に届けてプロバイダに情報開示を依頼することもできるのでしょうか。

回答No.6

Lchan0211b · ベストアンサー

No.2,4です。

> サインイン中に同じパソコンが別のパスワードを入力し続けるということもありうることなのでしょうか。

あなたがサインインしている画面のパスワードを勝手に入力することはありませんが、
同じパソコン内の別のプログラムがあなたのサインイン処理と同時に
別のサインイン処理を自動でやってしまう可能性は十分あります。

こういう時こそパケット警察の出番だと言いたいところですが、
不正サインインのタイミングまでわかっているのでしたら、
そのタイミングで、管理者モードコマンドプロンプトから
「netstat -bn」を入力すれば、どのプログラムが勝手に
サインイン処理しようとしているのか、すぐにわかるかもしれません。

または、セキュリティ対策ソフトにネット接続状況をレポートする機能
があれば、それを見てもよいかもしれません。例えば、カスペルスキーの
ネットワークモニターなら
http://support.kaspersky.co.jp/9007#descrip
のようにネットに接続しているプログラムがリアルタイムに表示されます。

あと、言いそびれてしまいましたが単に「outlook」とだけ言うと
メールクライアントの「Microsoft Outlook」のことなのか、
フリーメールサービスの「Outlook.com」のことなのか
わかりません。
(参考)
http://ja.wikipedia.org/wiki/Outlook

昔は、「Outlook.com」はありませんでしたので、
「Outlook」といえば「Microsoft Outlook」のことでした。
フリーメールサービスのことであれば「Outlook.com」と
言った方が誤解を受けないと思います。

お礼

いろいろありがとうございます。気づかない点が多く申し訳ありません。そういえばメールクライアントもoutlookでしたね。自分で利用するもののことしか頭になかったので気を付けます。

ようやく今朝パケット警察をインストールしました。

しかし、実はインストールを実行する前に、数日前から再起動の指示が出ていたWindows のアップデートを行ったのです・新しいOSがインストールされたようで新たにライセンス契約の表示がありました。そのあとでパケット警察のインストールが完了したので、帰宅したら何が起こるか見てみようと思っていました。

ところがOSが新しくなった影響か、不正アクセスがぴたりとなくなりました。少なくとも今のところは前日までのパターンは起こっていません。何が起きていたのかお知らせの義務があると思っていましたし、今日はそれに近づけるかと期待が大きかったので落胆。パケット警察のインストールをためらったのは、プログラミングのことは何もしらないのに解析を見て分かるのか、アンインストールは面倒ではないか、などの理由でした。しかし、こうなるならアドバイスをもらった時にさっさと入れておけば良かったと思います。追跡できなくなるとしたら非常に残念です。

もしこれ以上動きがなくなると蛇足になってしまいますが、

＞不正アクセスのタイミング

についてはさすがに一切分かっていません。

たとえば、昨日夜中に電源を入れた後の動きは以下のようになっていました。

-----
入力したパスワードは正しくありません（6個のイベント）
　　入力したパスワードは正しくありません　　9：53
　　入力したパスワードは正しくありません　　9：49
　　入力したパスワードは正しくありません　　7：50
　　入力したパスワードは正しくありません　　5：50
　　入力したパスワードは正しくありません　　5：49
　　入力したパスワードは正しくありません　　1：59

入力したパスワードは正しくありません（5個のイベント）
　　入力したパスワードは正しくありません　　1：44
　　入力したパスワードは正しくありません　　1：29
　　入力したパスワードは正しくありません　　1：14
　　入力したパスワードは正しくありません　　0：59
　　入力したパスワードは正しくありません　　0：44

正常にサインインしました　0：35
---

数字、記載方法は一部変更してあります。0：35にサインインしたまま、眠くなってパソコンはそのままで就寝。その間、上記入力があったのは気づいていませんでした。朝、アカウントロックに気づいて、パスリセット、ようやくアクティビティで起こったことを理解する、というパターンです。上記だとアクセス間隔は最初は等間隔ですが、これはむしろ珍しく、他の日はもっと微妙にバラバラで、たとえば20個の不正アクセスのうち、ある1分間に三度アクセス、という履歴も残っています。

もっと素直にパケット警察をインストールするべきだった。一応、これで現象が収まるならもちろんうれしいのですが・・・・・・

補足

その後、一日以上電源繋ぎっぱなしで様子を見ましたが、更新プログラムがインストールされてから（OSが新しくなった？途端）、不正な動きがきれいに途絶えました。あれは一体なんだったのか、釈然としません。アドバイスいただきながら、自分の決断が遅すぎました。ここ数日のアクティビティは念のためにプリントアウトして保存しておきます。
Lchan0211bには何度も補足に答えていただきましたので、ベストアンサーに選ばせていただきたいと思います。ご回答いただいた別の確認方法は私にはすぐに理解できるものではありませんが、今後また何かあった時には参考にできると思います。ありがとうございました。

回答No.5

Lchan0211b

No.2,4です。

> 実際にダウンロードをしようとすると「確認済の発行元」は「SoftEther K.K.」で少し違いますし、証明の発行者は「GlobalSign CodeSigning CA-G2」となっているのです。この違いは気にしなくてもよいのでしょうか。

「SoftEther K.K.」と表示されるのは、
ダウンロードしたパケット警察のインストーラーファイル
(=packetpolice-v1.01-8373-rtm-2012.10.22-ja-win32_msi-x86-32bit.exe)
のプロパティ表示の話だと思います。

「よくある質問と回答」で説明しているのは、それをインストールした後、
実行ファイル(=パケット警察設定ツール)を実行した時に表示される
警告画面の表示内容の話です。
両者の表示が微妙に異なっているのは好ましいとは言えませんが、
ありうる話です。

そして、インストーラー自体が不正なものであるかもしれないので、
あなたが確認したようにそのインストーラーファイルの署名を確認するのは
とても大事だと思います。
で、大丈夫かどうかの判断ですが、その画面で
「SoftEther K.K.」を選択し、「詳細」ボタンクリックした画面に
「この証明書は問題ありません」と表示されていれば、
責任ある機関によって身元を保証されている物件と考えてよいと思います。

あと、ちょっと気にしているのですが、あなたがプロバイダに接続する際
PC上でPPPoEクライアントを使って接続しているなら、「よくある質問と回答」の
「PPPoE パケットをキャプチャできますか?」をよく読んでください。
できれば、そこに書いている通り、ブロードバンドルーターを経由して
接続することをお勧めします。

お礼

度々ありがとうございます。名前はそうなることもあるんですね。
パケット警察はまだ検討中ですが、一度入れてみることになると思います。
PPPoEに関しては心配しなくてよさそうです。

また質問になってしまい申し訳ないのですが、

最近のアクティビティを見直して、

モデムの電源を抜いている間は「第三者」のパスワード入力は行われていない。
インターネットに接続した途端に「第三者」のパスワード入力が始まる。

ということがはっきりしました。昨日も電源を抜いていた外出中は第三者のパスチャレンジは起こっていない。が、帰宅してネットに繋いだ直後からパスワード入力が開始されています。過去、外出中に不正アクセスがあったと思っていた件も、思い出せば、パソコンだけシャットダウンしてモデムの電源はそのままにしていた時だったと思います。そうするとやはり犯人はこのパソコン？

困るのは、正しいパスを入力してサインインしている最中にも、「第三者」（？）は刻々と間違ったパスを入力し続けていることで、サインイン中にセキュリティ情報の閲覧などでもう一度パスを求められた時にはもうアカウントはブロックされている。そのため、毎回パスの変更を迫られる点です。

サインイン中に同じパソコンが別のパスワードを入力し続けるということもありうることなのでしょうか。
どちらにしても早く原因題を突き止めないと、まともにこのアカウントが使用できなくなりそうです。

回答No.4

Lchan0211b

No.2です。

とりあえず、自分のPCが勝手にアクセスしたかどうか調べるために
http://www2.softether.jp/jp/packetpolice/
の「パケット警察」をインストールし、ネットワークアクセス状況を
監視するとよいと思います。

ログイン失敗のあった時間に、そのPCからアクセスがあったなら
犯人は自分のPCということになります。また、その時間帯にどんな
プロセスが起動されたかもわかるので、どのプログラムがアクセス
したのかもわかります。

あと、気になるのは、「限定的なプロバイダ」を使っていて、
その同じプロバイダからのアクセスであることに驚いている点です。
「限定的なプロバイダ」というのがどんなのかよくわからなくて、
地域CATVのインターネットサービスのようなものを想像したのですが、
もしそうだとしたら今回のアクセスは全くの他人よりも、むしろあなたと
接点のあるごく近い人のPCからアクセスされている可能性の方が高いと思うので、
同じプロバイダであることにさほど驚く必要もないように思うのですが、
どういうプロバイダを使われているのかもう少し補足してもらった方がよいかも
しれません。
知り合いだけで作った極ローカルなプロバイダでしたら、それこそ
そのプロバイダ自体の安全性を疑わなければならないかもしれません。

あと、もう一点気になるのは
「フリーメールはhotmail(現outlook)です。こちらは数年前から
利用していますが、主に携帯とインターネットカフェで利用していました」
とのことですが、ネットカフェで自分のhotmailアカウントの
IDとパスワードを入力して使っていたのですか?
もしそういうところで無頓着にhotmailアカウントを使っていたなら
そこからメールアカウントを盗まれた可能性もあるかもしれません。

ネットカフェのPCは再起動で初期化される仕組みになっているかも
しれませんが、もし悪意のある店員がいてキーロガー等仕込んでいたら
パスワード入力時点で盗まれる可能性もあります。
(参考)
http://members.jcom.home.ne.jp/aisora/subIF.htm

お礼

再びありがとうございました。さっそくパケット警察をダウンロードしてみようかと思いましたが、ダウンロード時に疑問が出てきました。

開発元のソフトイーサ（株）の説明によると、

＞「パケット警察」の実行可能ファイル (EXE ファイル) はすべて Authenticode によってデジタル署名されています。デジタル署名はベリサイン社が発行したソフトイーサ社専用の 2048 bit 証明書で署名されており、シマンテック社による副署名がされています。

＞「確認済みの発行元」の欄に「SoftEther Corporation」と表示されていれば、そのファイルは確かにソフトイーサ株式会社のデジタル証明書で署名されていることが確認でき、第三者によって改ざんされていないことが分かります。

と説明されていますが、実際にダウンロードをしようとすると「確認済の発行元」は「SoftEther K.K.」で少し違いますし、証明の発行者は「GlobalSign CodeSigning CA-G2」となっているのです。この違いは気にしなくてもよいのでしょうか。

ネットカフェの利用は確かに迂闊だったと思います。携帯の方が頻度が高いとはいっても何度も利用していました。出先で気軽に使えるので重宝していたつもりでした。遅いかもしれませんがこれからは気を付けます。
また、プロバイダに関しては狭い範囲（といってもそれなりの利用者はいるかもしれませんが）で提供されているもので、一人で申し込んで利用しています。誰かと情報交換やコミュニティを形成したということは全くないのです。想定した第三者のイメージと違っていたので驚いてしまいました。

とりあえず、パケット警察のダウンロードを検討続けてみます。

回答No.3

Picosoft

第三者による不正アクセス試行の線も否定はできませんが……

パソコンやスマホ(「携帯」としか書かれていないのでガラケーかもしれませんが)に、
メールアカウントに定期的にアクセスするようなソフト(メールチェッカー等)を入れた覚えはありませんか？
新しいパスワードをそれらのソフトに設定し忘れており、
それらのソフトが古いパスワードで何度もログイン試行しているような気がします。

> 第三者の ＩＰアドレスの表示は、最初の２区切りまで自分と同じ
固定IPなら自分のIPはずーっと同じですが、動的IPならインターネットに接続する度にIPが変わります。
(一般的に、プロバイダに申込をしないと動的IPになります)
表示されているIPは、実は「自分のPC内のメールチェッカー等が過去に接続したときのIP」なのでは？

お礼

ひとまずご回答ありがとうございました。

補足

回答ありがとうございます。No2の方へも補足しましたが、自分でメールチェッカーというものを入れた覚えはないのです。携帯はガラケーです。

＞新しいパスワードをそれらのソフトに設定し忘れており、
＞それらのソフトが古いパスワードで何度もログイン試行しているような気がします。

確かに、不正アクセス者が、たまたま自分と同じ限定的なプロバイダを使っているなんて変だと思うのです。IPを見ると、まさに自分でアクセスしているように見えます。仰っていただいたように、勝手にPCが作動していると考えた方がつじつまがあう気がします。しかし、自分でインストールした覚えがなくてもそうしたソフトが入っていて、勝手に作動するということもあるんでしょうか。

はたと気づいてプログラムと機能からインストールされているソフト一覧を見たところ、SugarSync Manager　というのがあり他の場所のPCと同期するためのものらしいのでちょっと気になりました。しかし、日付から見るとプリインストールソフトだと思います。これが関係したりするんでしょうか。自分から操作したことはありません。他に怪しいソフトはなさそうに見えます。

回答No.2

Lchan0211b

なんとなく、不正アクセスというよりも、どこかにあなたのメール
アカウントを定期的にチェックするようなソフトがインストールされて
いて、それが古いパスワードのまま定期的にアクセスしているような
気がします。

例えば、
http://www.vector.co.jp/vpack/filearea/win/net/mail/check/
にあるようなメールチェッカーソフトを昔インストールしたことが
あって、それが古いパスワードでずっと定期的にアクセスしっぱなしに
なっているという話はないですか?

あるいは、そういうソフトをインストールしたまま、PCが不要に
なり家族や友人に譲ったとか、逆に家族や友人から借りたPCに
そういうソフトを入れて使った後、アンインストールを忘れて
返してしまったという可能性はないですか?

また、「これまでは携帯からパスワード入力なしで受信ボックスへ
飛んでいた」とのことですが、今はその携帯は今どうなっているんですか?
その携帯が最初に登録されたパスワードで定期的にアクセスしている可能性は
ないですか?

それとフリーメールとのことですが、具体的にどこのフリーメール
なのかを書いた方が、経験者からのアドバイスを得られやすいと
思います。

お礼

ひとまずご回答ありがとうございました。

補足

回答ありがとうございます。

ます、ご指摘いただいている中の下記の点についてですが、

＞メールチェッカーソフトを昔インストールしたことが あって、それが古いパスワードでずっと定期的にアクセスしっぱなしに なっているという話はないですか?

今のPCは昨年買ったばかりのもので、実は初めてのPCです。以前使っていた別のPCはありません。インストールといえば、お試し期間を過ぎたセキュリティソフトを購入し直した、iTunesをインストールした、くらいでしょうか。少なくともメールチェックソフトというものを自分の意志でインストールしたことはないのです。

フリーメールはhotmail(現outlook)です。こちらは数年前から利用していますが、主に携帯とインターネットカフェで利用していました。頻度でいうと携帯の方が圧倒的に多いと思います。

＞今はその携帯は今どうなっているんですか?

については今も使用しています。しかし、携帯も自分の意志でなにかをインストールしたということはありません。携帯のメールチェッカーソフトというのがあるのでしょうか。そんなことも分かっていないくらいです（汗）　音楽などのファイルのダウンロードであれば何度もしています。

回答No.1

uyama33

これまでずっと第三者からログインされていたのが、パス変更によって出来なくなり試している

そのとおりだと思います。

outlookのログインパスワードを変更したところ、度々何者かがログインを試みて失敗⇒アカウントロックという現象が起こるようになりました。

いままでは、IDとパスワードが分かっていたのでメールの覗き見をしていたのだが、
それができなくなっていろいろ試しているのでしょう。
IDとパスワードが一致すれば、どのPCからでも見れるのがWebメールですから。

私は、Gメールやヤフーメールは暗号化して使っています。

暗号化鍵は、私の所だけにあり、復号化鍵は本来の受信者だけが持っているので
ID,パスワードがばれて勝手にログインされても、偽の本文だけが見れるようになっています。
本来のメール本文は暗号化された添付ファイルになっているので、
復号化鍵を持っていない人には本来のメールの内容は読めません。

そんな形で、Webメールを使っています。欠点は最初の設定が面倒なことでしょうか。

警察にはあまり期待していませんので、自己防衛しています。

お礼

ひとまずご回答ありがとうございました。メールの暗号化について参考になりました。

補足

回答ありがとうございます。IPの件については何かお分かりになりますか。IPは偽装できるんでしょうか。メジャーなプロバイダではないのに一緒のプロバイダになっているのは何故か、それが不気味です。