ドコモ口座問題 不正送金の“穴”見過ごした金融庁 縦割りや安全軽視指摘の声も （産経より）

ドコモ口座問題　不正送金の“穴”見過ごした金融庁　縦割りや安全軽視指摘の声も

「ドコモ口座」などの不正送金問題で、問題を事前に見抜けなかった金融庁を批判した記事。

「キャッシュレスのセキュリティーに詳しい決済サービスコンサルティングの宮居雅宣社長は「金融庁はインターネットバンキングで不正送金が急増し、二段階認証が突破される事案も把握していた。今回の不正は十分に予知できたはずだ」と語る。」

スマホ決算については2018年頃から被害が発生していました。

「ソフトバンク系のペイペイでは平成３０年１２月にクレジットカードの不正利用が相次ぎ発覚。翌年にはセブン＆アイ・ホールディングスの「７ｐａｙ（セブンペイ）」が不正利用により３カ月で廃止に追い込まれるなど、被害も発生している。」

ところが金融庁は何の手も打たなかったようです。

「「金融庁としても、スマホ決済事業者の動向は、通常の金融機関以上に注視する必要があったが、問題を見抜けなかった。むしろ過度な規制については「イノベーションを阻害する可能性がある」といった声も根強い。ある関係者は「利便性を追求し安全がおろそかになる雰囲気が、事業者と監督側の両方にあった」と指摘する。

また、スマホ決済事業者の口座と銀行口座を連携させる際の本人確認が不十分だった点についても、消費者問題に詳しい坂勇一郎弁護士は「上流から下流まで全体のセキュリティーチェックが十分に行われていなかったのではないか」と話す。銀行のセキュリティー対策を監督するのは銀行第一課だが、スマホ決済事業者をみるのはフィンテックモニタリング室で、組織が異なり、連携がうまくいってなかった可能性があるからだ。今後、金融機関と異業種との連携が増えることが想定されるなか、坂弁護士は「金融庁内の縦割りが、規制に悪影響を与えていないか検証が必要だ」と訴える。」

不正が増える兆候はあったのに金融庁が見逃してしまった「根本原因」をあきらかにして是正してもらいたいものです。スマホ決済を申し込んでもいないのに、知らないうちに預金残高が減っていくというのは、預金者にとっては許されない事態です。金利がほとんどつかないのは経済情勢のためでありしかたがないとしても、カネを安全に預かることすらできないのでは「顧客本位」どころではありません。

おそらく、金融庁の方針としてフィンテック推進が最優先され、それにブレーキをかけるような不正対策は無視されていたのでしょう。怠慢としかいえません。

銀行の本人確認強化　金融庁、不正引き出し防止（日経）

「NTTドコモの「ドコモ口座」などを経由して預金が不正に引き出された問題では、銀行と決済サービス事業者の双方で本人確認が甘かったところを突かれた。銀行側では銀行口座と決済サービスをひもづける際に、口座番号や暗証番号を入力するだけで済むケースが多かった。ドコモ口座は匿名のメールアドレスだけで登録できるなど事業者の対策も不十分だった。

金融庁は相次ぐ不正を受けて9月、銀行と決済サービス事業者に対し、本人確認に不備があれば口座の新規接続や入金を停止するよう要請した。同庁は2020年度中に監督指針やガイドラインを改正し、こうした措置を恒久化する。」

身に覚えのないキャッシュレス決済サービスを通じた銀行口座からの不正な出金にご注意ください！（金融庁）

サイバー攻撃をする方は不正のサプライチェーンを構築し分業体制でやっているそうです。
↓
ドコモ口座経由の不正引き出しの背景に「進化したリスト型攻撃」（アスキー）

「村田氏によると、最近のリスト型攻撃は最初から最後まで単一の攻撃者が実行するのではなく、複数のグループが関与して実行される形になっているという。「ボットを用いた“進化したリスト型攻撃”は、ダークウェブを舞台として最も分業化、専門化が進んだ攻撃手法の1つ」だと述べ、攻撃グループ間の決済手段として仮想通貨を用いたエコシステムも築かれているとした。

具体的にはどんなグループがあるのだろうか。村田氏は、主に以下の4つがあると説明する。

（1）「弾薬」の提供：Webアプリケーションの脆弱性を悪用してSQLインジェクションやWebスキミング攻撃を行い、IDやパスワードなどの情報を窃取するグループ

（2）「散弾銃」のメーカー：ボットネットを構築し、攻撃を実行する各種ソフトウェアを作成するグループ

（3）「スナイパー」：1つ目、2つ目のグループの成果を利用してリスト型攻撃（Credential Stuffing）を実施する。ただし、手動での攻撃ではなく、あくまでボットネットを用いた機械的な攻撃のみを行う

（4）「最終需要」：3つ目の攻撃によって、不正ログインが可能なアカウント、あるいは存在が確認できるアカウントをまとめた、質の高いリストができる。こうした「成功済みリスト」を購入し、アカウント乗っ取りや不正送金を行って実際に利得を得たり、フィッシング詐欺を仕掛けるグループ」