2020年電子決済サービス不正引き出し事件
同日、さらに中国籍の20代の男女3人を電磁的記録不正作出・同供用と詐欺の疑いで逮捕。この日の逮捕者は計5名。いずれも本件事件での「買い子」とみられる。
2021年2月8日、中国人留学生の男女2人を詐欺の疑いで再逮捕。
2021年2月15日、警視庁サイバー犯罪対策課は、ソフトバンクの顧客情報を持ち出したとして、同社の訪問販売代理店を経営していた東京都世田谷区の35歳男性を不正競争防止法違反(営業秘密の領得、使用)で逮捕。2015年から2018年の期間、当該人物が関わった二次代理店(訪問販売代理店)でソフトバンク・Y!mobileの携帯電話サービス、SoftBank光、SoftBank Airの契約手続きを行った際に得た「氏名、住所、生年月日、連絡先電話番号、携帯電話番号、携帯電話機の製造番号(IMEI)、交換機暗証番号、料金支払い用の金融機関名および口座番号」6,347件を不正に持ち出した。1月に逮捕した主犯格男性の関係先からこのリストが押収されており、一連の犯行の元ネタになったと見られる。
今回の事件では、ドコモ口座等の電子決済サービス側と銀行側、双方にセキュリティ上の脆弱性があり、それを突かれたもの。
電子決済サービス - メールアドレスのみでアカウント作成が可能(フリーメールでも可能)。eKYC等による本人確認やSMS認証による回線確認が無く、1人の人間が無制限にアカウントを作成出来てしまう。特にドコモ口座は、当初はNTTドコモ回線契約者限定であったものをキャリアフリーに変更した経緯があり、利用者拡大を急ぐあまりにセキュリティ対策が劣後したとの指摘がある。
銀行 - 今回被害に遭った銀行はいずれも、地銀ネットワークサービスが提供する「Web口振受付サービス」という共同利用型サービスを使用していた。このサービスは、最小の場合は「口座名義人名(カナ)、生年月日、金融機関・口座番号、キャッシュカード暗証番号」によって銀行口座と電子決済サービスの関連づけ登録が出来てしまう(認証項目は金融機関によって異なるが、今回は認証項目が少ない銀行がターゲットとなった)。
この結果、犯人は電子決済アカウントを大量に作成し、多数の金融機関口座とひも付け、不正送金を繰り返した。
なお今回、ソフトバンク代理店からキャッシュカードの暗証番号は流出していなかったが、これはリバースブルートフォース攻撃(逆総当たり攻撃)によって突き止められたのではないかとの指摘がある。