LINE（電話）とSMS認証の話

Android security

以前当ブログでは、LINE電話の問題をネタにしてエイプリルフール記事を書きました。
その際LINEをモデルとした『通話アプリＬ』にて認証SMSをマルウェア経由で盗まれるシナリオを書きました。

『通話アプリＬ』登録時に藤田口关さんのスマホで認証SMSを受け取り、不正アプリがそのSMS内容を犯人に転送＆隠蔽して『通話アプリＬ』の登録を完了していた。
http://d.hatena.ne.jp/pochi-p/20140401#p1

上記は架空の悪用シナリオですが、実際にそんな事が可能かどうかピンと来ない人もいるでしょう。*1 という訳で…

SMS転送＆隠蔽するマルウェアを作ってみたよ！

自分でマルウェアを作って動作確認してみました。
最初このブログに実際に動くプログラムをＵｐしようかと当初思ってましたが、不正指令電磁的記録の「配布」や、犯罪要件となる「作成」になる恐れがある*2為要点の解説と画面キャプチャだけ掲載する事にしました。


マルウェア作成のポイントはこれだけです。

  • SMS受信のブロードキャストを受けるReceiverを用意。priorityの指定を最高値に。
  • 特定条件下でSMSを隠蔽＆転送。他アプリに対してSMSを隠蔽する際はBroadcastReceiver#abortBroadcast()を呼ぶだけ。
  • Receiverで受け取ったSMSを転送する処理するは別途Serviceで実装。（IntentServiceでもOK）
  • 別途コントロールするWEBアプリを用意。

部分的にソースを抜粋すると以下の様な感じです。
AndroidManifest.xmlの抜粋

<receiver android:name="SmsYokodoriReceiver">
    <intent-filter android:priority="2147483647">
        <action android:name="android.provider.Telephony.SMS_RECEIVED"/>
    </intent-filter>
</receiver>

SmsYokodoriReceiver.javaの抜粋

Bundle bundle = intent.getExtras();
Object messages[] = (Object[]) bundle.get("pdus");
// 略
Intent serviceIntent = new Intent(context.getApplicationContext(), SmsTensouService.class);
serviceIntent.putExtra("pdus", messages);
context.startService(serviceIntent);
abortBroadcast(); // ブロードキャストを破棄する。「アプリのみんなにはナイショだよ！」

上記のような記述が出来ればOKなので、作成難易度はEASYだと思います。（というかすでにそういうマルウェアって沢山出てます *3 ）
WEBアプリ側もPHPでGET/POSTパラメーター取ってsqlite3読み書きしてhtmlかjsonの出力するだけです。


SMS転送＆隠蔽するマルウェアを動かしてみるよ！

まずはマルウェアのインストールです。こちらは電話番号（＝SMS宛先）を勝手に使われる被害者側のスマホに入れます。
内容は「電池長持ち！」とかの名前にして小さく注意書きに「個人の感想であり、効果には個人差があります」と書いておけば何人かは騙されるでしょう。*4

↑マルウェアの使用する権限です。
大手アプリベンダーのお陰でどんな権限も黙認してインストールさせるのが（分からない人にとっての）常識とされてしまってるので、これくらいの権限も気にならないでしょう

*1:約１ヶ月でLINE電話の仕様は変更されましたが、その間に実際にこれが悪用されたかどうかは分かりません。

*2: 参考 http://takagi-hiromitsu.jp/diary/20061022.html

*3: モバイルマルウェアを用い2要素認証のコードを盗む手口に注意 http://www.itmedia.co.jp/enterprise/articles/1404/18/news045.html http://securityblog.jp/news/20140428.html ユーザーを騙してSMSマルウェアをインストールさせるベトナム語のアダルトアプリ http://ascii.jp/elem/000/000/863/863130/ Android.FakeLookout テクニカルノート | シマンテック 日本 http://www.symantec.com/ja/jp/security_response/writeup.jsp?docid=2012-101919-2128-99&tabid=2

*4:だって公式キャリアやセキュリティ会社が（以下略）

続きを読む

架空音声合成ソフトの声優家族、振り込め詐欺被害に

0401 Android security neta

架空声優の藤田口关（ふじたこうしょう）さんのご家族が、振り込め詐欺被害にあったそうです。

藤田口关さんは架空音声合成ソフト「ネ刃音ミクDEYO（ねはねみくデヨー）」の中の人として有名な方ですが、今回犯人は「ネ刃音ミクDEYO」で作成した合成音声を使って家族を騙し通したそうです。幸い犯人グループはすぐ逮捕され、被害額も全額取り戻すことが出来ました。
逮捕された犯人グループの供述によると、あらかじめ個人情報を搾取する不正アプリを「電池長持ち」等と偽って配布し、その不正アプリ被害者の一人であった藤田口关さんのスマートフォンから電話帳・通話履歴・通話音声（短時間）・メールデータ・スケジュール情報等を盗み出したそうです。盗み出した情報から藤田口关さんが有名声優である事を特定し、あらかじめ「ネ刃音ミクDEYO」で特定の会話音声を作成して藤田口关さんの家族に電話をしたとの事。犯行タイミングも藤田口关さんがスマートフォンを使わないタイミングを調査の上狙いすましたという。


「先輩声優が重度の難病にかかり、すぐ治療しないとあと２週間持つかどうかも怪しいらしい。海外の治療しか方法は無いが保険がきかないのでとても高額だ。今先輩の家族や声優仲間で金策に走っていて、有難い事にファンからのカンパも集まってるらしい。でもまだ目標額には届かない状態。必ず返すので今余裕のある分だけでも貸してくれないか。カンパ口座教えるのでそこに振り込んで欲しい、振込額は後で私が働いて返すから」という嘘のシナリオで相談し、想定パターンにない状況では嗚咽や「どうしよう」等の台詞で時間稼ぎをし、その間に新たな合成音声をリアルタイム作成していたそうだ。
先輩声優の病気やファンからのカンパの信憑性を上げる為、電話の後に先輩声優所属事務所の偽サイトアドレス書かれたSMSを藤田口关さんのスマホから不正アプリが送りつけ、架空のニュースリリースやカンパページに誘導までする徹底ぶりだったらしい。デフォルト設定で「URL入りのSMSを迷惑メール扱いする」事業者もあるが、ご家族の携帯電話はデフォルト設定がそうなっていない携帯電話会社のものと電話帳のメールアドレスから特定され、またご家族も設定の事を知らずデフォルト設定のままだったようだ。


ご家族の携帯電話に通知された電話番号は、藤田口关さんの携帯電話と見かけ上同じ番号が表示されていた。大手通話アプリ「ＬＩＮI三（えるあいえぬあいさん）」（以下『通話アプリＬ』とする）の電話機能*1を悪用し、『通話アプリＬ』登録時に藤田口关さんのスマホで認証SMSを受け取り、不正アプリがそのSMS内容を犯人に転送＆隠蔽して『通話アプリＬ』の登録を完了していた。この為犯人が『通話アプリＬ』からご家族の携帯電話へ発信する際、藤田口关さんの携帯電話からの着信の様に表示されてしまったのだ。なお藤田口关さんは『通話アプリＬ』を使っていない為、開発会社が言うような「不正される可能性は極めて低い！　それに本人が気付きますから！（キリッ）」という主張は空回りに終わったようだ。


藤田口关さんのご家族は「いつもウチの子が『あの先輩が私の目標。私はまだまだだけど、これからも同じ業界のライバルとして認められるよう頑張っていきたい』とよく話していて、大事な先輩だという話を聞かされていた。先輩もウチの子を妹分のように可愛がってくれていて、何度か対面した事もある。その先輩が難病にかかったらウチの子は取り乱して当然だと疑問に思わずお金を振り込んでしまった。ウチの子の個人口座宛なら把握しているので騙されなかったかもしれないが、別名義の口座だったので疑問に思えなかった」とコメントしている。


バーチャルセキュリティ専門家の高木喬（こうききょう）さんにこの件で取材をしたところ

  • 公式マーケットの審査も不正アプリを排除しきれていない。スマホアプリの権限確認が周知されておらず、何より大手アプリが本来不必要な権限まで過剰に要求している為「こういう権限を要求するアプリは入れない」というのが難しい現状。単なる広告の為だけに必要以上の権限やプライバシー情報を収集しているのも横行しており問題だ。広告の為だけならUUID以上を要求すべきでない。
  • 「電池長持ち」アプリ等は通信キャリアが広告を流していたりする為たちが悪い。類似品と正規品の違いも分かり辛い。省電力設定はＯＳやキャリアのプリインアプリだけで完結させて追加インストールさせない風潮が望ましいだろう。
  • 『通話アプリＬ』が認証時の番号と同じ番号のスマホ上でしか通知しない制限があれば問題は少なかったかもしれないが、そんな制限は設けられていない。これは設計ミスではないか。050番号を使いたくないからといってこの実装は妥当と思えない。
  • 『通話アプリＬ』の電話発信機能より以前にも、海外のコールバックサービスが問題になる事例が何件か報告されていたようだ。現在は一部の携帯電話会社だけが「非通知/通知不可能」となっているが、将来的に他社も追随してくる可能性もある。『通話アプリＬ』が何もせず現状維持であれば、いずれ『通話アプリＬ』からの発信は全て「非通知/通知不可能」となり、ユーザーイメージも低下してしまうだろう。皆他の050利用サービスに移行していくかもしれない。
  • 音声合成ソフトは将来的に「本人から若干の音声を録音」しただけで本人音声をほぼ全て再現出来るようになるだろう。今回は架空音声合成ソフト「ネ刃音ミクDEYO」の声優が狙われた訳だが、単なる一般人でも会話を録音される事で同じ被害に遭う可能性がありえる。今後は家族かどうかを判断するには「声が同じか」ではなく家族同士を認証するやりとり*2で判断していくべきだろう。ソフトの進化を待たずとも、詐欺師は「人力VOCALOID」技術*3や高度なモノマネ技術を使って詐欺を実行可能だ。


等のコメントを頂いた。
なお取材時には額に「喬」と書かれた紙を貼っており、ハマチの照り焼きをハンガーに吊るして石斧を延々投げつけていて何だか怖かった*4。バーチャルセキュリティの専門家よりセキュリティの専門家に取材した方が良かったかもしれない。
幸い同様の事件は筆者の夢の中でしか聞いた事がないので、現実でこんなニュースを耳にしない事を願いたい。

*1:IP電話ベース＋αで廉価に電話をかけるサービス。『通話アプリＬ』から通常の電話回線にかけれるのが売りであるが、『通話アプリＬ』が利用スマホと同じ電話番号を本来使えないところを、『認証済み電話番号と同じ番号』で着信通知する仕組みをもっている。しかしシンプルに言うとただの番号偽装であるので、安全寄りに設定している回線業者ではこれを正当な番号通知とは見做さない。

*2:参考『振り込め詐欺対策として、本人認証を導入しましょう(Gmail風)』 http://d.hatena.ne.jp/pochi-p/20121230#p1

*3:「人力VOCALOID」詐欺の一例。 http://www.nicovideo.jp/watch/sm212890 D 被害者の精神的ダメージが心配だ。

*4:「架空の高橋さん」の正体に関する考察→ http://b.hatena.ne.jp/pochi-p/20140314#bookmark-186229066

LINE電話の番号通知問題について

Android security

LINE電話の番号通知機能が、色々騒ぎになっています。そして公式発表が出ました。「本来の電話番号の持ち主に気づかれずに、第三者が電話番号をなりすましたり、偽装をし、悪用をする可能性・発生の頻度は極めて低く、現実的には極めて困難だと考えられます」「非常に限定的な状況」「引き続き、安心して「LINE電話」をご利用ください」等と、安全宣言をしている形になります。

しかし本当に安心出来るのでしょうか？　折角なのでエイプリルフールネタに組み込みつつ考えてみます。まずはそちらをどうぞ。


[0401][Android][security][neta]架空音声合成ソフトの声優家族、振り込め詐欺被害に
http://d.hatena.ne.jp/pochi-p/20140401#p1


いかがでしたか？　上記は現実的な範囲で一部フィクション入りでLINE電話の悪用シナリオを書いてみたものです。ターゲットがVOCALOID・VOICELOID・UTAU等の中の人達だけに限定される事以外は、全部現時点での技術水準で出来る悪事になってます。
上記のエントリは「電話番号の正当な持ち主と誤認させる」為に色々手を尽くした話です。「電話番号の正当な持ち主を犯罪の隠れ蓑にする」だけだったら、こんなにも堂々とやる方法があるみたいですね。

開き直った犯罪者怖いです！！
すまほん!!さんでも以下の様な手口が解説されています。

認証コードが手に入るなら携帯電話Bは誰のものでも構いません。例えば、ロック画面で「通知の表示」と「Siri」が有効になっているiPhoneの場合、Siriから自局番号を聞き出し、通知から認証コードを読み取るのは、造作も無いことです。

http://smhn.info/201403-line-call-2

カジュアルな（？）悪事としても、「知人(A)の携帯電話を借りるor目を盗んで使う → SMS認証通過 → LINE電話で知人(A)の彼女である知人(B)に発信 → 浮気相手を装って情事の最中の嬌声(AVでも可)を聞かせる → (A)と(B)が修羅場」なんてのを誰かやりそうですね…。


結局の所、@さんによる「LINE電話の電話番号偽装被害（なりすまし）を防ぐ対策について | LINEの仕組み」というエントリに書かれてるように「不正利用されない為にはLINEを使うしかない(非スマホユーザーには無理)」という結論なのが問題ですね。

ただ、この記事で紹介したように、一つ重要で興味深いのは、「嫌だ！」と思って「LINEなんて絶対に使ってたまるか！」ってLINEアカウントを作らないでいると、むしろなりすましに気が付きにくくなるよ、というところです。

http://did2memo.net/2014/03/29/line-call-narisumashi-taisaku/

LINEユーザー以外対策が出来ないとか、LINE社勝手すぎるでしょう。
他にも「SMS認証してから解約。解約後別の人が契約してもLINE電話から発信」とかの問題が指摘されています。


そしてLINE株式会社が納得（妥協？）出来そうな改善案は一つです。
「LINE電話の番号通知は、SMS認証した番号と同じ電話機からしか通知出来ないようにする。それ以外の端末（タブレット上のLINEアプリ＋SMS見るだけのガラケー等）からは発信可能だが通知不可にする」*1
(いさぎよく「LINE電話の番号通知は廃止する」でも良いですが、流石にそれはないでしょうね。)


ビジネス上「050でなくオリジナルと同じ番号を使って着信通知が出来る」のを売りにしているのでしょうが、中身は単なる海外経由の電話番号偽装です。キャリアが「日本国内はまだ信用出来るけど、海外は怖いねー」と通知番号を信用しなくなればすぐに使えなくなる手法です。

ドコモ広報によると、「LINE電話では、1度国際網を介して相手の端末に発信することになります。弊社では、電気通信事業者協会（TCA）が定めた『発信者番号偽装表示対策ガイドライン』に準じ、ドコモ端末以外からの国際電話は基本的に『非通知』などの表示となります。ただし、海外にはさまざまな事業者があるので、それら全てを非通知にするように対応できているわけではありません」とのことでした。

http://www.itmedia.co.jp/mobile/articles/1403/25/news035.html

昔似た話が記事になったりしました。

「振り込め詐欺」は発信者番号を偽装する？
http://slashdot.jp/story/05/01/22/1435248/
★ガイドが実証★発信者番号の偽装は簡単だった！　◆　発信者番号の偽装に騙されるな！
http://allabout.co.jp/gm/gc/48282/

当時は「NTTだけが騙されない」という感じでした。現在はそこにドコモも加わった感じなのでしょうかね？
au・ソフトバンク・ウィルコム・イーモバイルは回線の技術的仕様かお金の問題か分かりませんが、今のところLINE電話の番号通知を信用するみたいです。しかしもしLINE電話が悪用され、海外経由の電話番号偽装が一律に問題視されれば各社表示しないようになっていくでしょうね。そうなると困るのはアドバンテージを失うLINE自身でしょう。
暢気かつ無責任に「本来の電話番号の持ち主に気づかれずに、第三者が電話番号をなりすましたり、偽装をし、悪用をする可能性・発生の頻度は極めて低く、現実的には極めて困難だと考えられます」「非常に限定的な状況」「引き続き、安心して「LINE電話」をご利用ください」等と言ってないで、やれる事は全部やっときましょうよ。


何よりLINEはGogolookと合同でこんなアプリを出しています。

LINE whoscall - 発信元表示・着信拒否 - Google Play の Android アプリ
https://play.google.com/store/apps/details?id=gogolook.callgogolook2
知らない番号からの電話・SMSの発信元表示や着信拒否ができるアプリ「LINE whoscall」登場！（Android向け）
http://official-blog.line.me/ja/archives/35538408.html

だったらLINE電話で050番号を普通に使って、アプリ側で「この050番号はリアル電話番号090-****-****のものだな」と解釈し着信表示を「山田花子(LINE電話経由)」と表示するようにする事も可能でしょう。改善方法が無いならまだしも、改善方法があるのに何もしないとかJALとかANAとかと同じレベルの間違いじゃないですかね？


最後に、石川温さんの記事を引用して終わります。

ここ最近、子どもが巻き込まれる犯罪で必ず「LINEを介して連絡」といったように、メディアでやたらとLINEが犯罪の温床といったような報道がされているが、これは「交通事故が道路で起こった」と同じ表現であり、事故が発生したからと言って、道路が悪いわけではない。本来ならば、犯罪が発生したことで、LINEが攻められる立場ではないはずなのだが、電話番号偽装の件は、LINEが自ら過ちを犯しているような気がしてならない。

http://www.itmedia.co.jp/mobile/articles/1403/28/news021.html

おまけ

どさくさに紛れて言いますがいい加減電話帳読み取り権限もアプリ本体』から外しましょうよ。エイプリルフール記事のシナリオは、『大手アプリがガンガン権限付けまくる（Google系アプリも大概酷い）から利用者への啓蒙も進まず問題アプリの区別が出来ない人だらけに』なった為リアリティのある話になっちゃってるんですよ？　大手なら大手らしく見本となるような振る舞いしてくださいよ。

参考：
READ_CONTACTSなしで電話帳から電話番号を取得する方法
http://www.taosoftware.co.jp/blog/2012/08/read_contacts.html
[Android][security][text]そのスマホアプリ、権限を分離しませんか？
http://d.hatena.ne.jp/pochi-p/20120702#p1

*1:この対策をやって、それでもLINEの改造版or機能互換アプリからのアクセスをどうするかって問題が出てきます。こっちに関して「〜問題になるのは極めて稀」と開き直るのは（良くないけど）納得出来るのですが、この段階に達する前に開き直ってるのは非常に納得いきませんね。

Googleで以前使用したパスワードを設定したいなら！

security text neta

Gmailのパスワードが戻せない！

みなさんGoogleアカウントを使ってますか？　IDとパスワードを入力してGmailとか使うと便利ですよね♪


ただしGoogleで設定していたパスワードを変更した時、ちょっと面倒な問題があります。
なんと、Googleさんは「以前使用したパスワードは再度設定出来ない」のです！


こんな風にパスワードを変更しようとしても…

↓↓↓

「このアカウントで使用したことのないパスワードを選択してください。」って言われちゃう！


これはちょっと悲しいですよね。ちょっとテストのつもりで変更した、確かに変更したのだけどやはり戻したくなった*1時などに困ってしまいます。なんとか元のパスワードに戻す方法は無いものでしょうか？？


考えた結果、「Googleさんの記憶から無くなってしまえば、以前のパスワードも再び使えるようになる」のではないかという仮説が浮かびました。
Googleさんが覚えてないなら、「以前のパスワードです」と気付かれる事も無いはずですからね！！

実験

ということで、次のようにやってみましょう。
順番にパスワードを変更していって、最後まで変更したら以前のパスワードへ変更してみる実験です。
この実験でどれくらい前までのパスワードをGoogleさんが覚えているかハッキリしますね。
とりあえず煩悩の数だけパスワードを変更してみましょう。

omaenobonnouha1
omaenobonnouha2
omaenobonnouha3
〜省略〜
omaenobonnouha106
omaenobonnouha107
omaenobonnouha108

108回変更後、古いパスワードに戻す実験の結果は次のようになりました。

omaenobonnouha108 → omaenobonnouha107 ×エラー！
omaenobonnouha108 → omaenobonnouha106 ×エラー！
〜省略〜
omaenobonnouha108 → omaenobonnouha8 ×エラー！
omaenobonnouha108 → omaenobonnouha7 ○成功！！
omaenobonnouha108 → omaenobonnouha6 ○成功！！

最後に設定した"omaenobonnouha108"の状態から、"omaenobonnouha7"以前のパスワードになら戻せるみたいですね！
「Googleさんの記憶から無くなってしまえば、以前のパスワードも再び使える」という仮説は当たっていたようです。

結論

どうやら過去のパスワード（現在設定中のパスワードは除く）は100件記録されているようですね。

現在のパスワード……1件
過去のパスワード……100件

数字としてもスッキリしてますし、これで間違いないでしょう。


皆さんももしGmail等を使っていてGoogleのパスワードを以前のものに戻したくなったら、是非「100回無関係なパスワードに変更して、それから以前のパスワードに変更」してみてくださいね♪
でも間違って「他人にばれてるパスワード」に変更しちゃダメですよ！　それとGoogleさんから「Google アカウントのパスワードが変更されました」ってメールが沢山飛んでくるから、通知先のメールBOX空き容量に気をつけてね！！

*1:『彼氏への思いをパスワードに込めてたけど彼氏と不仲になりパスワードを変えた。でも仲直りしたのでパスワードも戻したい！』なんて人もいるかもしれませんね。喧嘩して「Hamachi Oni-chyan Die-suki!!」から「Hamachi Oni-chan no baka! peropero-seijin!! Hamachi no Teriyaki!!」にしたけどヤッパリ戻したいとか。

Facebook【ログアウト後の】プライバシー漏洩問題

text security

前置き

Facebookでは様々な設定項目があり、プライバシー情報を個別に公開／非公開にしたり、検索可否を指定する事が出来ます。きちんと設定すれば、「メールアドレスで検索して氏名を特定」はされないらしいです。
私もそう聞いていたのですが、確認してみたところログイン画面の仕様により【メールアドレスからＦＢ上の氏名＆顔写真が分かる】ケースに遭遇しました。
ただし前提条件がかなり厳しいので、影響範囲は小さいと思います（多分）。ちょっとした雑学のつもりで気楽にお読み下さい。

と言うことでさっさと実例。

「普通のログインエラー画面」の例
  1. 綺麗な環境*1でFacebookを開く。
  2. ログイン画面でメアドを入力＆間違ったパスワードを入力（＝未入力可）
  3. エラー画面になる

「ありがた迷惑なログインエラー画面」の例
  1. ブラウザでFacebookにログイン
  2. Facebookからログアウト、
  3. ↑のログアウト時点でのCookie*2が残ってる状態でFacebookを開く
  4. ログイン画面で前回ログアウトしたメアドを入力＆間違ったパスワードを入力（＝未入力可）*3 *4
  5. エラー画面に氏名と顔写真が表示される！？

なんということでしょう。「メールアドレスでＦＢアカウント検索不可」にしていても、後者の状況が成立するとアカウントの有無やＦＢの氏名がばれてしまいます！　後者が成立するような共用ＰＣ*5でFacebookを使用すると、意図せぬ情報漏洩が起きる可能性があるということですね！

まとめ＆結論

上にも書いてますが、Cookieを一切残さない形であればこの問題は発生しません。ブラウザのシークレットモードを利用したり、ブラウザ終了時にCookie含む履歴を削除すれば大丈夫ですね。*6
ただし「ログアウトしたからアカウント情報は残ってない」と勘違いすると、Cookieが残ったままで問題が発生しうるわけですね。ここがちょっと厄介です。


「既にブラウザでFacebookを利用済みで、Cookieが残ってる」「前回ログインしたメールアドレスが分かる*7」といった条件が揃った時のみ発生する問題であり、影響範囲は広くないでしょう。
ただ全くあり得ない話では無いので「メアドと実名を紐づけられたくない」「ＦＢの利用中かどうか知られたくない」という方は、くれぐれも共用ＰＣでFacebookを利用しない*8ようご注意下さい。どうしても使わざるを得ないのなら、せめてCookieを残さないよう徹底してくださいね。

*1:初めてFacebookにアクセスするブラウザ・Facebookにアクセスした事があるがCookieを消去済みのブラウザ・ブラウザのシークレットモードなど、とにかくCookieがまっさらな状態です。

*2:完全な特定は出来ませんでしたが、どうやらCookieの「fr」「lu」「datr」辺りの情報（を組み合わせて？）前回ログインアカウントを特定しているような雰囲気です。

*3:前回のメールアドレスと別ならば普通のログインエラー画面になります。

*4:ログアウト直後に他のメールアドレスを試行した後でも、新たなログインの前に前回ログインしたメールアドレスを入力すればこの画面は出るみたいです。

*5:ネカフェ・ホテル・学校・家族内・職場・公共施設で開放されているＰＣ等々。

*6:メアドが記録されない様、ブラウザの入力補完機能（オートコンプリート）にも気をつけて！

*7:Facebookのログイン画面でメールアドレスを総当たり入力が出来るかどうかは確認してません。逮捕されても困りますしｗ

*8:ちなみにキーロガーの仕組まれてる共用ＰＣだったらパスワード含め重要情報丸ごと取られますので気をつけて下さいね！

白戸家ＣＭの強みとドコモ田家ＣＭ

text

前置き

ソフトバンクの白戸家ＣＭがそれなりの人気と、高い知名度を獲得しています。
その白戸家をパクったともっぱらの噂であるドコモ田家のＣＭが最近開始されました。*1
ドコモのYouTube公式チャンネル

パクリ云々は置いといて、ＣＭとしての善し悪しは白戸家の方が上だと感じました。
評価理由は「音声の使い方」です。その点について各社の比較をしていこうというエントリです。

何故ＴＶＣＭに音声が重要なのか

ＴＶＣＭは映像と音声を使った広告手法です。しかし、視聴者が常にＴＶ画面を凝視している訳ではありません。
特に番組ではなくＣＭの間では「ながら見」状態である事がほとんどです。

その際視聴者の目を画面に引きつけるきっかけとして「音声」が役立つ訳です。AIDMAの法則で言うところのAttention（注意）を音声が担ってくれる訳ですね。

白戸家ＣＭでは特徴的な「音声」をトリガーとして、「あ、白戸家のＣＭだ」と視聴者の目を画面に向けさせているのです。他業種のＣＭ例では「Ｃ．Ｃ．レモン」、「VC-3000のど飴」、白戸家とコラボした缶コーヒーＢＯＳＳの宇宙人ＣＭなどが「聞いてすぐ何のＣＭか分かる」好例になってますね。
勿論「どのＣＭか分かる」だけでなく「あのＣＭだから見てみよう」とまで思わせないと画面をしっかり見てもらえません。「音声」で注意を集めるのは、あくまで「リピーター用の宣伝技法」とも言えるでしょう。


近年の携帯電話会社（ドコモ・ａｕ・ソフトバンク・ウィルコム）のＣＭを見てきましたが、ソフトバンク以外のＣＭでは「音声」を効果的に使えているとは言い難い状況でした。最近若干評価出来るのかなと思えるのはａｕですが、まだまだ油断は出来ません。

白戸家ＣＭの「音声」

  • 「てとてとてっとてっちゃらららー」*2をはじめとするクラッシックＢＧＭ
  • お父さん白戸次郎の声
  • 予想ＧＵＹのお兄さん声
  • 娘（上戸彩さん）の声

など、聞いただけで「ソフトバンクのＣＭ」と連想出来る「音声」がほとんどのＣＭに含まれています。数年に渡って続けられているというのも重要なポイントです。
耳に届くタイミングも、ＣＭの最後ではなく最初の方です。


一時的なゲストキャラとして

↑も十分に特徴的な「音声」ですね。
携帯電話各社が出していたモバイルルーターにおいて「ほにゃららWi-Fi」のほにゃらら部分が「ソフトバンクはウルトラ」と私が即答出来るのは、間違いなくウルトラマンの功績でしょう。

auＣＭの「音声」

ａｕは今まで色々なＣＭを放送してきましたが、印象に残る音声が皆無だった訳ではありません。今でもガンガンメールの「つるべもびっくり、バビョーン！！」はどんな曲か思い返せます。
しかし問題は「ａｕのＣＭはコロコロ変わる」という点です。音声要素についてもコロコロ変わってます。その為ＣＭ間で「音声」の共通点が皆無なのです。
最近少し評価出来るのは、スマートバリューのＣＭで巨人の星のキャラクター＆声優を使ってる事ですね。あれなら音声面でも印象が強くなります。星飛雄馬の声優さんが売れっ子過ぎて別ＣＭと混同されかねないというデメリットはありますが、「巨人の星？　あ、ａｕのＣＭか」と連想しやすい状態でしょう。
剛力彩芽さんが「スマートバリュー」と「LTE」の両ＣＭで出演していますが、可能であれば巨人の星キャラクターを一緒に参加させる方が良いでしょうね。
今後ａｕが「ＣＭの【出演音声】をコロコロ入れ替えるかどうか」に注目したいところです。

ウィルコムのＣＭ

現行のＣＭの前に、「だれとでも定額」開始直後のＣＭについて言及します。

  • 第九の合唱
  • 白い文字の見にくさ
  • 佐々木希の無駄遣い（台詞無し、無駄に縮小全身像となって目視もしにくい）*3

あの時本気で「馬鹿かこのＣＭ」と思いました。聞き取りにくい「何かの合唱」以上の印象が無い、再度聞かせても「ウィルコムＣＭの合唱だ」と判別つくほどユニークな音声でもない。視覚面でも内容が見にくい。何もかも最悪のＣＭでした。
長年のウィルコムユーザー兼マニアでも無い限り、あの第九が「ウィルコムの携帯から　他社の携帯にも　みんなの家にも　誰にかけても　通話料が無料　だれとでも定額ウィルコム」という歌詞だと理解出来た人はほとんどいないでしょう。視聴者はＣＭをわざわざ集中して聞き取ってくれたりしませんよ。


現在のＣＭは佐々木希さんをベースに高田純次さん・蛭子能収さん・千原兄弟の二人を基本的に継続するなど、「音声」面の「継続」だけはきちんとしているようです。（ただし印象に残るか、そもそもＣＭの内容が良いかまでは何とも言えませんが）

ドコモＣＭ

ドコモＣＭといえば以下の様な音声が最近耳に残ってますね。

  • 会社のロゴと一緒に「ドコモ」の声（ただしＣＭの最後）
  • 家族セット割等の宣伝ＢＧＭ（「トゥギャザー」ってやつ）*4
  • キッズケータイ用の「コドモダケ〜」の曲

会社ロゴの部分は結構長い間続いており、これがＣＭの最後でなく最初であれば「音声」面での評価を上げられていたと思います。しかし残念ながらＣＭ最後の部分なので、視聴者に「ん、ドコモ？」と気付いて貰えたとしても時既に遅しです。

「トゥギャザー」はドコモダケの映像と共に「ドコモＣＭ」を印象づける要素になっています。「コドモダケ〜」も同様の効果は含んでるでしょう。
しかしどちらも「ドコモ田家ＣＭ」で採用していません。
方針転換も一つの手であるとはいえ、今までの浸透具合をゼロにするのはもったいないですね…。*5

まあとりあえず既存のＣＭは置いておいて、新しい「ドコモ田家」ＣＭの「音声」要素を見てみましょう。

  • 特徴のある声はほぼ無い
  • 特徴のある喋り方は無い
  • ＢＧＭの音自体が控えめ
  • 喋り手が多すぎて個々人の印象が余計残りにくい
  • ナレーション*6の声ははっきり聞こえる

……「音声」面の評価では、正直最悪の出だしでは無いでしょうか。
ナレーション、ジージドコモダケとバーバドコモダケの声、それくらいしか音声面で評価＆期待出来そうな所がありません。
ＢＧＭは聞き込めば覚えることも出来るでしょう。悪い曲だとも思いません。しかしＴＶ放送で「あ、ドコモのＣＭが始まってる！」と引きつけるには選曲ミスだと言わざるを得ないでしょう。*7
白戸家ＣＭと真っ向勝負をするつもりであれば、ソフトバンクＣＭの迫力ある系のＢＧＭ（モンタギュー家とキャピュレット家 「ロメオとジュリエット」より ）の出だし並のインパクトを目指すくらいでないとダメでしょうね。
まだまだ出だしの段階ですが、今後きちんとしたＣＭになるか見物です。一年限りで「無かったことに」されないよう頑張って頂きたいです。

結論

  • 現状のドコモ田家ＣＭは白戸家ＣＭに広告としての「音声」面で遠く及ばない。
  • 白戸家ＣＭを真似るなら「設定」よりもまず「ＣＭの上手な作り方」を真似るべし。
  • 映像ＣＭであっても、「見てくれる」という前提は期待出来ない。強制的に「見させる」工夫が必須だと心得るべし。
  • 映像ＣＭであっても、音声だけでＣＭが成り立つくらいを目標にしよう。
  • ＣＭにおいて『認知度』を無闇矢鱈にリセットしない。デメリットをよく考えよう。
  • ＣＭ制作者はAIDMAの法則や配色のルールなど、まず「広告」の基礎をきちんと学ぼう。
  • 「映像」と「広告映像」はイコールではない。「広告映像」が作れるところにＣＭ製作を依頼しよう。

白戸(ホワイト)家のクラシック音楽

白戸(ホワイト)家のクラシック音楽

*1:数十日後動画が消えると思われます。何故過去ＣＭを公式の手で残しておかないのでしょうか…

*2:あし笛の踊り 「くるみ割り人形」より

*3:同じ佐々木希さん出演ＣＭの、「ロッテのFit's」ＣＭと比較すれば、どちらが佐々木希さん有効利用しているかは一目瞭然です。

*4:「Let Us Begin Beguine（Together)」とかいう曲らしい

*5:ＡＫＢダケの方で「とぅぎゃざー」「コドモダケ〜」を歌って貰う等工夫しても良かったでしょう。

*6:「何故かついでに家族もゼロ円　ドコモの応援学割　さらにパケ代も」の部分

*7:ゲーム用ＢＧＭ等であったならまあ良曲かも。聞いてて疲れない感じだし

振り込め詐欺対策として、本人認証を導入しましょう(Gmail風)

text security

前提

母親がオレオレ詐欺の被害者になりました。
http://kenrei1.blog50.fc2.com/blog-entry-32.html

何か↑が「すごい」「巧妙だ」「これは騙される」とか騒がれてるようなので、その対策を書いてみます。
このタイプなら対策は簡単な部類です。
年末年始は家族が集まるチャンスでもありますから、是非ともご家族と一緒に当エントリの対策に挑戦してみてください。

対策１…秘密の質問と答えを家族で決めて、本人認証を行おう！

IDとパスワードでユーザー認証するのと同じです。ではさっさと具体例に進みます。

正しい例１

母「はいもしもし」
息子？「もしもし、母さん？」
母「何かな息子」
息子？「米なくなった。給料日まであと１０日あります」
母「はいはい。仕送りね。米と野菜送るわ。お金も要る？」
息子？「うん。振り込んどいてくれる？　口座はＸ銀行Ｙ支店普通口座１２３４５で」
母「了解ー」
母「ところで、お父さんの押し入れの事なんだけど…」（秘密の質問１）
息子？「シャバドゥビタッチヘーンシーン！！」（答え１）
母「天井裏に何かいるみたいなのよねー。どうしたらいいかしら？」（秘密の質問２）
息子？「僕と契約して魔法少女になってよ！」（答え２）
母（この時点で本物の息子と確認）
母「じゃあ風邪とか気をつけてね」
息子（本物）「ありがとう。じゃあよろしくー」

上記文章中、（秘密の質問１）（答え１）（秘密の質問２）（答え２）の部分が「秘密の質問」とその「答え」です。
秘密の質問と答えは、以下の要件を満たすと良いでしょう。

  • 質問は自然な会話の流れで出てくる内容 *1
  • 回答は質問から推察困難なもので、偶然の正解もほぼない、かつ自然な会話では出てこない内容
  • 可能なら複数の質問を用意して回答させる

こういう風に事前に決めたやりとりを達成出来ない限り、本物の家族かどうか本人認証が出来ます。本人で無いと分かったら、適当に話を合わせて１１０へ通報しましょう。
最初に紹介したオレオレ詐欺の場合、「取引先の携帯借りて電話している」という最初の電話時点で判断が出来ます。もちろん秘密の質問するのを忘れてはいけませんが…。

質問と答えを忘れそう…。

質問の方はメモした紙を電話機の隣置いておけば良いです。メモを電話機の隣に目に見えるよう置いておくことで、電話がかかって来た時「もし家族を名乗ってきたら秘密の質問しなくちゃ」と連想しやすくなります。
しかし答えは一緒に書いてはいけません。 *2 知人や友人、訪問者、さらには泥棒もメモを目にする可能性があるからです。

質問と答えを覚える良い方法はない？

暗記が苦手な家族もいるでしょうから、何か特定の曲の歌詞の一部や、小説の一節などを利用すると楽かもしれませんね。 *3
あとは家族で結束し、頑張って練習あるのみです！　丁度家族が実家に集まりやすい年末年始なので、是非この機会に質問と答えを用意＆暗記してくださいね。

警視庁も推奨してます

実は警視庁でもほぼ同じ事を言ってます。警察庁振り込め詐欺対策HP内の「だまされないために」で、具体例までは挙げてませんが対策の一環として「合い言葉」を挙げています。当エントリはその「合い言葉」を具体的に記したものです。

毎回聞かなきゃダメなの？

なるべく毎回聞いて下さい。最低限「お金の話」「連絡先変更の話」では聞くべきです。とりあえずは「登録している電話番号以外から電話がかかってきた場合」では全て質問するといったところで頑張ってみて下さい。 *4

正しい例２

息子？「もしもしオレだけど」
母「どちらのオレさんですか？」
息子？「あなたの息子です」
母「そうですか。丁度良かった」
母「ちょっとお菓子切れたからたけのこの里買ってきてくれない？」（秘密の質問１）
息子？「よろしいならば戦争だ。ちょうちょ〜ちょうちょ〜♪」（答え１）
母「きのこの山は買ってこないでね」（秘密の質問２）
息子？「ぶち殺すぞ人間。なのはにとまれ〜♪」（答え２）
母「それはさておき何の用だい？」
息子（本物）「デートしようぜ母さん」
母「正直に晩ご飯おごって下さいと言いなさいよ…」

正しい例３

息子？「もしもしオレだけど」
母「どちらのオレさんですか？」
息子？「あなたの息子のタケシです」
母「まず最初に名乗りなさい」
母「この馬鹿たれうんこ」（秘密の質問１）
息子？「お母ちゃんおててが冷たい！　おててがちんちんする！！」（答え１）
母「ところで東芝のレコーダーのリモコンが無いのだけどアンタ知らない？」（秘密の質問２）
息子？「夏は夜。月の頃はさらなり」（答え２）
母「それはさておき何の用だい？」
息子（本物）「携帯の番号変わったからメモしといて」

上記例の「東芝のレコーダー」部分は、「実在するけど我が家には無い」ものにすると、秘密の質問として扱いやすいでしょうね。

悪い秘密の質問と答えの例
  • 質問「母さんの誕生日覚えてる？」　答え「←の本当の答え」
  • 質問「母さんと父さんの結婚記念日は？」　答え「←の本当の答え」
  • 質問「ところでお婆ちゃんちの表札見た？　私の旧姓をすごい達筆で書いてたけど読めた？」　答え「←の本当の旧姓」


上記の内容はオンラインサイトでたまに見かけるような「秘密の質問」ですが、決してそれらを参考にしないでください。生年月日も結婚記念日も旧姓もペットの名前も初恋の相手も幼馴染みの名前もブラのカップサイズも、他者に絶対分からない情報とは程遠いです。出身地・卒業した小学校・卒業した中学校・母親の旧姓・父親の出身地・兄弟姉妹の名前・学生時代の所属クラブ・ペットの名前・所有車・海外旅行経験・音楽の趣味・好きな映画なんてのも同様です。*5
一応答えの側を全然別のもの *6 にした場合なら本人認証だけは可能ですが、「騙されたふりして通報」が出来ないのであまりオススメしません。

「秘密の質問」と「答え」は定期的に変更する必要があるのか…？

パスワードと同じ考え方で、「定期的に」ではなく「必要なタイミングで」変更するのが正解です。定期的に変更する必要はありません。
参考: http://tumblr.tokumaru.org/post/38756508780/about-changing-passwords-regularly

家族仲が悪くなった・離婚した・カルト宗教にはまりだした・失踪した・変な連中と一緒にいるようになった・多額の借金抱えた等の「もしかしたら本人またはその周囲が、悪意を持って家族の財産を狙ってきそうな状況に変化した」場合や、家族がうっかり秘密の質問の答えを誰かに漏らした・記憶を無くすほど深酒をしてしまった・スピーカーホンで双方の通話内容を同時に聞かれてしまった・電話盗聴器が見つかった等の「他人に秘密の質問と答えがばれた」場合など、必要なタイミングで新しくしてください。

秘密の質問を設定させるオンラインサイト

爆発しろ。

振り込め詐欺対策その２（番号通知＆留守電話活用）

これも警視庁が推奨してる方法の一つです。番号通知サービスは有料ですが、余裕があるなら是非契約してください。

  • 非通知は全部留守電に任せましょう。*7
  • 対応電話機であれば、知らない番号も留守電にしましょう。
  • 有料ですがトビラフォンhttp://tobilaphone.com/というサービスを契約するのも良いかもしれません。しつこいセールス電話も一緒にシャットアウトしてくれるようです。

振り込め詐欺対策その３（かけなおして身元照会）

電話がかかってきた場合、相手が名乗った人物にこちらから電話をかけなおしましょう。これも警視庁が推奨してる方法の一つです。
「電話番号変えました」と電話がかかってきても、古い番号にかけると普通に本人が出てくることがあります。ただし通話中状態にして連絡を妨害する手口が広まってるので、すぐ繋がらないのは覚悟して粘り強く連絡してみてください。
メールで「携帯電話／メールアドレス変えました」と連絡された場合も、古いメールアドレスへ確認するのが望ましいでしょう。


身内以外の「警察のものですが」「市の職員ですが」などという電話や訪問があっても、鵜呑みにしてはいけません。
警察を自称する人物が訪問してきた場合は、警察手帳を確認し、所属部署を聞き、所属部署に電話*8して実在するか・人相が一致するか・訪問する職務を担当してるか等を確認し、念入りに確認しましょう。
捜査令状を持ってたとしても確認が終わるまで信用して家に上げたりしてはいけません。警官を騙る偽者による犯罪は実在しており警察自身もその事を注意喚起しています。市の職員・消防署・警備会社等でも身元照会と職務内容の実在確認をすると良いです。

秘密の質問では対応出来ないケース

警察や弁護士などを名乗り「本人とは現在面会出来ない」と言って、“自称本人”が出ない場合は秘密の質問をする機会が残念ながらありません。その場合は他に紹介した対策等を活用して頑張ってください。目安としては「今すぐ」「お金が必要」の２点が含まれたら詐欺と思うくらいで良いでしょう。

*1:本人確認するだけなら不自然でも問題無いのだが、自然な方が「騙されたふりして通報」に繋げやすいというメリットがあります。

*2:答えの一文字目程度なら許容範囲ですが…。

*3:曲の歌詞であればカラオケの練習を装って暗記練習出来ますし、小説の一部であれば本読みの練習を装えます。どちらも隣近所に聞かれたとしても問題になり難いでしょう。

*4:厳密には「以前契約していた古い電話番号からの連絡」「同じ職場内からの連絡」等の可能性もありえますので、完璧を目指すにはやはり毎回質問する必要があります。

*5:楽天銀行○ね

*6:「月の裏側」「宇宙世紀0079年12月31日」「安西常陸助柿右衛門」「闇を纏わされ 逆十字を標された 薔薇乙女最凶のドール」等

*7:声を録音される事で声紋という証拠が残るのを嫌がる効果もあるそうです。

*8:電話番号は自分自身で調べるべきです。自称警官に聞いた番号ではダメですよ！