ゆうちょ銀行でトラブルが相次いでいます。
ドコモ口座やペイペイ、LINE Payなど、ゆうちょ銀行の貯金口座と繋げ(他社連携)、口座から貯金を引き出す仕組みが狙われた不正引き出しが問題となっていましたが、今度は、ゆうrと銀行のデビット・プリペイドカード、mijicaの送金機能が悪用された不正が発覚しました。
GMO-PGは、ゆうちょ銀行に「ゆうちょペイ」を提供しています。これはGMO-PGが開発した「銀行pay」というシステムで、横浜銀行や広島銀行、三井住友銀行など計10行が導入しています(2020/9/24現在、導入予定を含む)
ゆうちょペイは、自分の貯金口座から直接、支払いを行う仕組みです。つまり、今回の不正で問題となっている他社連携は行いません。
自分の口座とインストールしたアプリを直結させる際、ゆうちょ銀行は口座開設時に登録された電話番号に電話をかけて暗証番号を通知して本人確認を行うとのこと。本人確認が甘い他社連携の仕組みと異なり、安全性は高いはず。
(まぁニセの電話番号の変更届けを出しておいて実行するとか、家に侵入して本人確認の電話を待って出るとか、可能性としてはないわけじゃないけど、かなりハードルは高くなるということです)
以下のエントリに書きました。
■銀行payとバンクペイは仕組みが異なるサービス【GMO-PG】
https://ameblo.jp/2sc372/entry-12625270146.html
次にmijicaの不正ですが、このmijicaのシステム開発・運営は、クレディセゾンが受託しているようです。以下、クレディセゾンの2019/1/25付プレスリリース。
■デビットチャージ機能など新機能が追加 新しい「mijica(ミヂカ)」に「永久不滅ポイント」プログラムを提供 ~カード運営業務を受託し顧客サービス拡充をサポート~
https://corporate.saisoncard.co.jp/wr_html/news_data/avmqks000000ar2y-att/20190125_release.pdf
問題となっている送金機能「おくってmijica」が、クレディセゾンの提供するサービスかどうかは不明ですが、ともかくこちらもGMO-PGは絡んでなさそうですね。
ということで、今のところ今回のゆうちょ銀行等の不正問題には、GMO-PGは関係していなさそうです。
どれだけ対策をとっても、手の込んだ不正の発生可能性をゼロにすることは困難。ただ、不正を行う側が費用対効果で考えて見合わないと思えるレベルの防御がされていれば、今回のような不正は起きないはずですから、そうしたレベルのセキュリティは必須です。
今回の不正を見て思うのは、お金を扱う専門家であるはずの金融機関が、ネットの不正に対してかなり鈍感だったということ。
ゆうちょ銀行だって、自社で行うゆうちょペイで電話をかけて本人確認していたわけだから、ドコモ口座やペイペイで本人確認していないことを疑問に思わなかったのかな?というのは不可解な点。口座振替の部分はNTTデータが作ったみたいだけど、こうした大手システム会社だって、本人確認が甘ければセキュリティが脆弱になるのは、少なくとも担当レベルならわかっていたはずです。
それでもこのような仕組みとなったのは、システム会社がセキュリティ面が甘くなっていることをしっかり指摘できていなかったか、セキュリティを軽視というか無頓着でシェア拡大しか眼中にない金融機関の担当に押し切られてしまった、ということかな?金融機関とシステム会社の関係性を考えると、後者みたいなことも起きそうな感じがするのは偏見なんでしょうかw。金融機関に限らず、システム会社に無理強いする人たちは、将来トラブったらシステム会社のせいにすればなんとかなる、ぐらいの意識の人が多いですからね。
ところで今回の不正支出問題についてゆうちょ銀行は、ゆうちょペイについてほとんど言及していません。上述のように、今回の問題の温床となった他社連携とは関係ないからなのかもしれませんが、どちらもスマホ決済なので、ゆうちょペイも危ないのでは?と誤解している人もいるようです。
ゆうちょペイについてもなんらかの説明は必要なのかもしれませんが、将来的にゆうちょペイに問題が出る可能性がゼロではない以上、今の時点でゆうちょペイの安全性をアピールすることは困難なのかもしれません。
ただ、GMO-PGはこれまで、不具合や問題が生じると速やかに公表してきています。今回、GMO-PG側からは銀行pay、ゆうちょペイについて何も発表しておらず、そうした点からも、今のところ問題ないと考えても良さそうです。
このままゆうちょペイに問題なければ、GMO-PGの銀行payの不正に対する高い堅牢性が証明されるんですが..。