取引承認では受取人と金額の照合が必要
永豊銀行の新型インターネットバンキングシステムがハッキングされ、418名の顧客の預金が不正に送金され、影響金額は4176万円に上り、社会の高い関心を集めている。KPMG安侯企業管理董事総経理シェ・ユンザーは、高リスクの送金について、銀行は顧客の身分、デバイス、取引内容、受取人と金額などの情報を一括して確認すべきであり、前段のシステムから送られてきた検証済み結果のみに依存すべきではないと提言した。同氏は、ネット銀行の安全の最後の防御線は、誰がログインしたかを確認するだけでなく、出金前に誰に送金するのか、いくら送るのか、それが本当に顧客の意思なのかを確認することだと強調した。
身分誤認による出金を厳防
シェ・ユンザーは、ネット銀行の取引は銀行の店頭サービスと同様であり、口座情報を照会できたとしても、顧客に預金を動かす権限があるかを確認し、顧客が当該取引の受取人と金額に同意しているかを照合しなければならないと指摘した。攻撃者は繰り返し試行することで有効な口座を探し出す可能性があり、銀行システムが操作者の身分を誤認したり、取引承認を確実に照合しなかったり、他のプログラムから送信された指示を顧客が確認済みとみなしたりすると、顧客本人の意思ではない取引が実行される恐れがある。そのため銀行は、前段の手続きが検証完了と表示しているかだけを確認するのではなく、実際に出金する前に、当該取引が確実に顧客の承認を経ているかを再確認すべきである。
公開前には全過程テストの徹底を
銀行アプリは公開前に通常機能テストとセキュリティテストを行い、第三者検査に委託することもあるのに、なぜ依然として事件が起きたのかについて、KPMG安侯建業執行董事リン・ダークイは、鍵はテストの深さ、広さおよび有効性にあると指摘した。テストでは、正常な振込が完了できるかの確認、ソースコードと個別部品の安全性検査だけでなく、アプリ、認証サービスと出金システムを連携させた後の完全な取引フローも対象にしなければならないとしている。同氏は、今後は身分認証、デバイス管理、取引確認、および銀行と取引関連システムの間で、顧客の承認状態が正しく伝達・検証されているかを優先的に点検すべきだと注意を促した。
新旧システムいずれにもセキュリティリスク
シェ・ユンザーの分析では、台湾金融業界の過去の重大なセキュリティ事件から見ると、リスクはしばしば両極端に現れ、一つは長年運用されている旧型システム、もう一つは公開したばかりの新規システムや部品である。旧型システムには未修復の脆弱性が存在する可能性があり、新システムは管理者がセキュリティ設定にまだ不慣れであったり、十分に完全なテストを経ずに公開されたりしてリスクが高まる可能性がある。銀行は既に、事件は新型インターネットバンキング取引システムのサプライヤーのセキュリティ設定に関係しているとし、認証強化や異常取引の監視などの措置を講じたとしており、完全な攻撃手法については今後の調査で解明されるのを待つ必要がある。
利用者は通知を有効にして早期に自衛を
利用者にとって、シェ・ユンザーは一般の台湾住民はこれにより過度に恐慌に陥りネット銀行の利用を恐れる必要はなく、金融監督当局の監督および銀行の対応の下で、台湾の金融テクノロジー応用に引き続き自信を持つべきだと考えている。一方で、ネット銀行利用者は銀行が提供する出金・引落し通知を有効にすべきだと注意を促した。取引通知は銀行自体の安全対策に代わるものではないが、利用者が異常を早期に発見する助けになるとしている。本人によらない取引を発見した場合は、銀行の公式アプリや公式サイトが提供するカスタマーサービス窓口を通じて直接通報すべきである。