出金前に顧客の授権確認が必須
永豊銀行の新ネットバンキングシステムがハッキングされ、418名の顧客の預金が不正に送金され、被害額は4176万元に上り、社会の高い関心を集めている。KPMG安侯企業管理の董事総経理である謝昀沢氏は、高リスクの送金について、銀行は顧客の身分、デバイス、取引内容、受取人と金額などの情報を併せて確認すべきであり、前段のシステムから送られてきた検証済み結果のみに依存すべきではないと提言した。銀行は、今回の事件は新ネットバンキング取引システムのサプライヤーのセキュリティ設定に関連していると説明し、検証強化や異常取引の監視などの措置を講じたとしており、攻撃の全容については今後の調査による解明を待つ必要がある。
本人確認の誤りによる不正取引の実行を厳防
謝昀沢氏は、ネットバンキング取引は銀行の窓口サービスと同様であり、口座情報を照会できたとしても、顧客に預金を動かす権限があるかを確認し、顧客が当該取引の受取人と金額に同意しているかを照合しなければならないと指摘した。攻撃者は試行錯誤を繰り返して有効な口座を見つけ出す可能性があり、システムが操作者の身分を誤認したり、取引の授権を確実に照合しなかったり、他のプログラムから送信された指示を顧客の確認済みとみなしたりした場合、顧客本人の意思によらない取引が実行される恐れがある。同氏は、ネットバンキングの安全における最後の防衛線は、誰がログインしたかを確認することだけでなく、出金前に誰に、いくら送金するのか、それが本当に顧客の意思であるかを確認することだと強調した。
テストはエンドツーエンドのプロセスを網羅すべき
銀行アプリの公開前には通常、機能テストとセキュリティテストが実施され、第三者による検査が委託されることもある。KPMG安侯建業の執行董事である林大馗氏は、鍵となるのはテストの深さ、広さ、有効性だと指摘した。テストでは、正常な送金が完了できることの確認や、ソースコードと個別部品の安全性の検査だけでなく、アプリ、認証サービス、出金システムを連携させた後の完全な取引プロセスも網羅しなければならない。その後は、本人認証、デバイス管理、取引確認、および関連システム間で顧客の授権状態が正しく伝達・検証されているかを優先的に点検し、特に顧客の授権のない取引が確実に阻止できるかが重要となる。
新旧システムのいずれも管理強化が必要
謝昀沢氏の分析では、台湾の金融業界における過去の重大なセキュリティ事件をみると、リスクは両極端に現れることが多く、一つは長年稼働してきたレガシーシステム、もう一つは稼働開始直後の新しいシステムや部品である。旧システムには未修正の脆弱性が残っている可能性があり、新システムは管理者がセキュリティ設定にまだ不慣れであったり、十分に完全なテストを経ずに稼働したりすることでリスクが高まる可能性がある。旧システムについては明確な修正・更新計画を持つべきであり、新システムの稼働前には本番稼働に近い設定でエンドツーエンドの取引プロセスを完全に通して実行し、異常監視と停止メカニズムを計画すべきである。利用者は過度に恐慌する必要はないが、出金や引落しの通知を有効にし、本人によらない取引を発見した場合は公式アプリや公式サイトのカスタマーサポート窓口を通じて通報すべきである。