FinTech時代の不正対策のあり方

オープンAPIにおけるセキュリティ対策

　インターネットバンキングのみならず、今後もFinTechの高まりを受けて新しい金融サービスが続々と誕生することが予想されます。特に最近は、様々なサービス提供企業がインターネットを経由して銀行の決済システムへアクセスできる、いわゆるオープンAPI（Application Programming Interface）が注目を集めています。

　日本においても全国銀行協会が中心となって「オープンAPIのあり方に関する検討会」が設置され、議論の結果を取りまとめた報告書（参照2）が公表されています。本報告書ではセキュリティ対策として主に不正アクセスへの取り組みが言及されていますが、銀行が提供するオープンAPIが普及すれば、不正アクセスだけでなくマネーロンダリングをはじめとした不正取引もそこへ流れ込み、オープンAPIの仕組みが悪用される可能性があります。

　日本に先んじてEUでは、今後活発な利用が見込まれるオープンAPIを意識して、銀行に対して不正対策の基本的な取り組みを促すPSD2（Revised Payment Services Directive）と呼ばれる規制（参照3）が2018年1月から適用され、EU各国はこれらの規制を国内法として定めることが求められています。PSD2では、口座へのアクセスや取引開始時、その他さまざまな場面において「強力な顧客認証」を求めています。

　ここで言われる「強力な顧客認証」とは、①その顧客だけが知っている知識に基づくもの②その顧客だけが所有しているもの③その顧客が生まれながらに持ち合わせているもの―これらの２つ以上の要素を組み合わせて認証を行うこと、と定義されています。具体的には、①は従来も利用されてきたユーザーIDとパスワードによる認証、②はスマホなどのデバイスIDが事前に登録されたものと同じかどうかをチェックする認証、③は指紋や手のひらの静脈を使った生体認証などが挙げられます。

　このように、セキュリティ対策として認証を複雑にしてAPIの入口を破られないようにすることも重要ですが、さらに私は入口が破られてしまった場合の最悪の事態に備えた対策も必要であると考えています。例えばワンタイムパスワードによる認証など、従来のユーザーIDとパスワードによる認証を上回る技術を用いた対策はこれまでも行われてきましたが、マンインザブラウザ（WEBブラウザ上で取引情報の改ざんを行う手口）のように、新たな認証技術の盲点を突く不正の手口は次々に生み出されてしまうからです。