家計簿アプリ業界について思うこと - プロマネブログ

ここしばらく仕事にやる気が出ず、シロギス釣りばっかりやっていたら、ブログ更新もすっかり滞ってしまってました。 久しぶりの更新です。 いやー、家計簿アプリ業界、そのうち絶対にヒドい事件がおきると予想します - ツイナビ | ツイッター(Twitter)ガイド 個人で作っているサービスで仕方なくスクレイピングしているならともかく、法人として運営しているサービスなんだしきちんと金融機関に仁義通して金払って企業間連携用のapi利用すりゃいいのに。 2015/07/02 08:58 う～ん、家計簿アプリのチョンボなわけなんですけど、ブコメでは銀行側がミョーなとばっちりを受けておりますね。。。 なんていうか。。。微妙。 「金融機関側がAPIを用意」しても解決しない 金融機関がAPIを用意しないせいで家計簿アプリ側が「乱数表」情報を入力せざるを得ないって意見を結構な数見かけます。 でも、実際金融機関側で

[getlife]

OAuthとか実装段階に着目するコメント多い。。。実装云々を議論する以前に、スキーマ、方式段階で爆弾があるから見直せって書いたつもりなのになあ

[asahiko]

APIの有無の件は、金融機関によってはreadとwrite（この場合、振込等）で権限を分けていないケースが有るっていうのが問題のひとつだったんじゃないかと。個人的にはread onlyのパスワードなら渡してもいいです。

[motoyantan]

総論はともかく、パスワードの使い回しとか考えると、生パスワードの保存(可逆暗号化含めて)より、oauthとかでreadonly apiを許可する構造のほうがどう考えてもセキュアでしょう >>セキュリティ的に大差ない

[hidea]

いくらなんでもセキュリティ的に大差ないって言うのは雑すぎる。

[t_yamo]

第三者に渡す物としてOAuth等の一時トークン系と本人確認用のIDパスワード系を区別しないのは乱暴な気がする。→「ログインIDやパスワードなど、認証するために必要な情報を家計簿サービス側はもたざるを得ないわけで」

[atsushifx]

日本の金融機関が遅れている。米国的には、https://github.com/OpenBankProject https://www.plaid.com/ https://seed.co/ https://www.simple.com/ のような流れがある

[k-holy]

参照専用の認証情報なら渡してもいいって人は多いかも？でも銀行側にメリットなければやるわけないよね。

[goodfield]

本当のことでも言っちゃいけないことがある⇒「ログインIDやパスワードを家計簿アプリにわたしてしまうと、預金保険制度(ペイオフ)の対象にならない可能性も出てきます。」

[nem_ran]

ペイオフの対象にならないかもとか書いてるけど文中引用している記事のリンクから「預金者保護法」と預金保険法を混同しているような気が。あと預金貸出為替をしない限りは銀行代理業には該当しないのではないか。

[amajeje]

OAuth周りの意見は当エントリで言いたいであろう趣旨は踏まえた上で、技術屋さんとしておかしなロジックを指摘してるのだと思う。なので趣旨が伝わらないという嘆きはちょっと違うと思う。

[sawa_02]

“ログインIDやパスワードを家計簿アプリにわたしてしまうと、預金保険制度(ペイオフ)の対象にならない可能性も出てきます。 （中略）認証方法を適切に管理していないとみなされてしまうからです。”

[daibutsuda]

銀行が使いにくいUIしか提供しなくても我慢して利用しろといっているように思う。FinTech元年には似つかわしくない記事。お上の決めたことには逆らうな的な論調が、さすがSI屋さんだと思わずにいられない。

[gorn]

権限や認証の仕方という技術的解決策が模索されてきた話を一切無視してスキーマなどに逃げているのは一種の甘えだな。技術的考察は甘く非常に雑だと思う。

[kamm]

すっごい微妙。フルコントロールを渡しちゃまずいでしょうに、権限とかの観点がない人がプロマネとか怖い

[rteeeeee]

「情報取得の正規ルートであるAPIを使うためには銀行代理業や証券代行業務等の資格を取得するのが大変なので、ログインIDやパスワードを取得し、利用者個人になりすましてネットからスクレイピングで取得しよう」

[luke_randomwalker]

何となくパスワードを入れたくないのはわかる。その理由を一生懸命探してる感じ。あと、預金保険法によるペイオフは金融機関の破綻の時の保険で預金者保護法とは全く無関係ですよ。

[shodai]

その免許はハードル高すぎないか？権限の分離を金融機関がすべきと思うけど

[hiroshe]

「ログインIDやパスワードを家計簿アプリにわたしてしまうと、預金保険制度(ペイオフ)の対象にならない可能性も出てきます。」

[krurun]

あーたしかに第三者にパスワードを教えてなどないってのは条件だったとおもうし、少なくとも結構長い期間もめるだろうな。

[yukung]

正規のルート使え、は現状だとその通りだけど、実装云々ではないと言ってたりセキュリティ的に大差ないとか言ってしまってるところは逆に不勉強に感じる。ニーズはあるんだから既存のスキームにしがみついててもねぇ

[Ryo_K]

すごい腑に落ちた。とは言え認可取った公認APIでシステム刷新できるほど体力あるのは片手の指で数えられる程だろうけど。今後の動きに期待したいっすね。

[kusigahama]

ペイオフ対象外リスクは怖いなぁ

[xxxxxeeeee]

read権限のみのOAuthなら一般developer開放とかあってしかるべきだけど、レイバンの氾濫っぷりを見るにwrite権限はそう簡単には開放できまい...

[htnmiki]

わかりやすかった

[Blue-Period]

『ログインIDやパスワードを家計簿アプリにわたしてしまうと、預金保険制度(ペイオフ)の対象にならない可能性も出てきます。』

[maeda_a]

「金融機関がAPIを用意しないせいで」じゃなくて『新生銀行みたいに読み出し権限のために書き込み権限(乱数表)を要求する金融機関があるせいで』．まともな銀行なら出金には別の認証が必要．

[ryozo18]

「残高照会だけできる」というサービスがあればねえ。SMBCは口座蛮行と４桁暗証番号で残高照会だけできるサービスがあるからそんな感じで

[masayoshinym]

家計簿アプリ使ってなくて良かった。

[itochan]

違う。　「アプリ」というそのものが、「クラウドからの情報を表示するだけの端末」ではなく、パソコンみたいに「ローカルで動くソフト」であれば問題ない。　パスワードを外に預けないならOK。

[mkusunok]

銀行代理業くらい取ろうよとは思う反面、預金保険の下りは本当か？と疑問も。実務上いちいち確認してペイオフ対象から外したりはしないんでは

[hiroponz]

家計簿アプリからの情報漏洩で発生した損害はペイオフの対象外の可能性があるらしい。

[cocodrips]

預金保険制度〜のところはドキッとした

[aodifaud09]

ジャップランドがIT後進国なのは今に始まったことではないが。とりあえずこの件からは世の中には勇気のある人達がいるということを学んだ。作る方も使う方も。だけど怖がる自分が正しいと信じる。

[koolmiura]

高見から出る杭打つ案件。TV CM 打つと社会責任が発生するのか。

[takc923]

そろそろ中の人の反論ほしいな。流石にそういうの調べずにやってるとは思えないから「APIがあるのは知っていたが一部の銀行だけだし提供されているAPIだけだとユーザの要望を実現できなかった」的な事情があるのでは。

[nukalumix]

でも、 API手数料1回108円 なんでしょ

[YarmUI]

で、君たちはみずほが連携用API用意したとしてそれ安心して使えるの？

[harabu]

（素晴らしい人気っぷりだなぁ）