ドコモ口座 2020年 銀行口座の連携を使った不正な出金

第三者が預金者の名義でドコモ口座を作り、不正に得た口座番号と暗証番号で預金者の銀行口座をつなぎ、預金をチャージして使った。ドコモ口座の側は銀行の本人確認に依り、銀行の側は暗証番号だけで連携を認めていた。互いに相手の確認を当てにし、どちらも口座の持ち主が操作していることを確かめていなかった。

金融庁の2020年9月の注意喚起と要請、2021年1月の金融庁の資料、NTTドコモのお知らせ、全国銀行協会のガイドラインに沿って書いています。口座情報がどう盗まれたかは公表されていない。2021年1月の金融庁の資料の時点で、被害は全額補償済み、ドコモと銀行は多要素認証の導入など本人確認と認証を強めたとされます[1]。2021年2月26日に金融庁の監督指針と事務ガイドラインが改正され、即日適用されました[11]。2026年11月時点の公開資料で書いています。

何が起きたか

通った道筋

金融庁の資料では、銀行口座の連携に要る情報は例として氏名、支店、口座番号、暗証番号、生年月日で、一部の金融機関だけが通帳の最終残高やワンタイムパスワードによる多要素認証をしていた。銀行の側の受付は Web口振受付サービスで、預金者から見ると、知らない所で自分の名義のドコモ口座を作られ、自分の口座から出金されたことになる[1]。

金融庁の要請は、被害が確認されたのを次の組み合わせだとした。資金移動業者が犯罪収益移転防止法施行規則13条1項1号の方法、つまり銀行が取引時確認を済ませていることの確認で本人確認をし、銀行が口座振替の契約をキャッシュカードの暗証番号のみで認証する場合である[4][5]。

決済の側は「銀行が確かめた本人」に依り、銀行は「暗証番号が合う人」を本人とみなした。銀行が確かめたのは口座の持ち主が誰かであって、今つなごうとしている人が持ち主かではない。二つの確認をつないでも、操作している人を確かめる段はどこにも無かった。

悪い例。架空の銀行の連携の受付。持ち主の手元に何も届かない

// 架空の例。bank.example.com の口座振替の受付
async function acceptLink(req) {
  const acct = await findAccount(req.branch, req.number);
  if (acct.kanaName !== req.kanaName || acct.pin !== req.pin) return deny();
  return createDebitAgreement(acct, req.walletId);  // 名義と4桁が合えば連携
}

直した例。持ち主だけが持つ要素で確かめ、登録済みの連絡先へ知らせる

async function acceptLink(req) {
  const acct = await findAccount(req.branch, req.number);
  if (acct.kanaName !== req.kanaName || !(await verifyPin(acct, req.pin))) return deny();
  await requireOtp(acct.registeredPhone, req.session);   // 登録済みの電話へ送った値
  await requireIdentityMatch(req.walletId, acct);        // 決済の側の本人確認と照合
  const ag = await createDebitAgreement(acct, req.walletId);
  await notify(acct.registeredContacts, ag);              // 連携した事実を持ち主へ
  return ag;
}

直した形では、口座番号と暗証番号が漏れても、持ち主の電話が無ければ連携できない。連携が通っても、持ち主の手元に知らせが届く。登録済みの連絡先を使う前提として、連絡先の登録と変更そのものも堅い認証で守る[12]。

どこで止められたか

1と2 作る、つなぐ。依存した確認の強さ

決済の側の本人確認が銀行の確認に依るなら、その強さは、銀行が連携のときに誰を確かめたかで決まる。金融庁の要請は、資金移動業者が自ら取引時確認をしておらず、銀行が多要素認証をしていない場合を、預金者の関与なしにチャージできる脆弱な例として挙げた[5]。改正後の事務ガイドラインは、連携先の銀行が多要素認証を導入していることを資金移動業者が確かめることを求め、資金移動業者の不正防止策は銀行の策と重複しないものにする必要がある、とした[12]。片方がもう片方の確認を当てにするなら、当てにした確認の中身を契約の前に確かめる。

全国銀行協会のガイドラインは、連携の前に連携先の本人確認の手順に脆弱性がないかを確かめ、役割と責任を決めておくこと、連携の後も確かめ続けることを求める。銀行の非対面の取引より弱い認証を認める場合は、別の利用者保護の策が要る、とした[9]。認証の弱い道が1本でもあれば、攻撃はそこを通る。A07 認証の不備 の、回復と予備の手段も同じ強さにそろえる、と同じ形である。

3 気付かない。持ち主への通知

口座の持ち主は決済サービスを使っていないことがあり、そのとき連携は持ち主の視界の外で起きる[1]。改正後の事務ガイドラインは、連携のときに銀行に登録済みの電話番号やメールアドレスへ知らせ、利用者が連携の事実と内容をすぐ確かめられるようにすることを挙げる[12]。

4 引き出す。検知

金融庁の調査では、原因不明の不正な出金948口座のうち、金融機関のモニタリングで見つかったのは96口座だった[10]。銀行から見た1件のチャージは、正規の口座振替と同じ形をしている。新しい連携の直後に上限近くまで引き出す、同じ決済のアカウントへ別名義の口座が続けてつながる、といった形は、連携とチャージを両社の記録で突き合わせないと見えない。事務ガイドラインは、シナリオと閾値の設定、連携先との適時の共有、被害のおそれがある人への連絡、不正な ID の停止を挙げる[12]。記録と警告の置き方は A09 セキュリティログとアラートの不備 にある。

5 広がる。停止と補償

全国銀行協会のガイドラインは、不正アクセスや情報の漏えいが分かったら直ちに相手方へ連絡し、決済の事業者が複数の銀行とつながる場合は他の銀行へも連絡することを求める。補償の範囲と方法、求償の分担、問い合わせの窓口も前もって取り決めておく[9]。改正後の事務ガイドラインは、資金移動業者に補償方針の策定と公表を求めた[12]。

守り方

漏れたIDとパスワードで入られた決済の件は 7pay 2019年 不正利用 にある。こちらは入口がログインで、本件は入口が口座の連携だった。

参照

1. 資金移動業者等を通じた銀行口座不正出金事案を踏まえた対応について 金融庁、2021年1月。内閣府消費者委員会 第335回 資料1
2. スマホ決済等のサービスを利用した不正出金に関する注意喚起 金融庁、2020年9月8日
3. 資金移動業者の決済サービスを通じた銀行口座からの不正出金に関する対応について 金融庁、2020年9月15日
4. 資金移動業者の決済サービスを通じた不正出金への対応について 預金取扱金融機関向けの要請 金融庁監督局長、2020年9月15日
5. 資金移動業者の決済サービスでの不正出金への対応について 資金移動業者向けの要請 金融庁総合政策局長、2020年9月15日
6. 資金移動業者の決済サービス等での不正出金への対応について 全国銀行協会、2020年9月14日
7. ドコモ口座を利用した不正利用についてのお問い合わせ窓口設置について NTTドコモ、2020年9月11日
8. ドコモ口座をご利用のお客様における本人確認のお願い NTTドコモ、2020年10月23日
9. 資金移動業者等との口座連携に関するガイドライン 全国銀行協会、2020年11月30日制定。内閣府消費者委員会 第335回 資料1 別紙1
10. 銀行口座と決済サービスの連携に係る認証方法及び決済サービスを通じた不正出金に係る調査の調査結果について 金融庁、2020年12月25日
11. 事務ガイドライン 第三分冊、主要行等向けの総合的な監督指針等の一部改正に関するパブリックコメントの結果等について 金融庁、2021年2月26日
12. 事務ガイドライン 第三分冊 14 資金移動業者関係 の一部改正 新旧対照表 金融庁、2021年2月26日