クレジットカード番号の混入を防ぐ技術 - inSmartBank

あけましておめでとうございます！ 駅伝企画 第四区走者の みにせら (minisera) です。 普段は顧客体験チーム（CRE）でサーバーサイドエンジニアをやっています。 上ちょ（@psnzbss） から受け取ったタスキを持って走り抜けます！よろしければ前記事もどうぞ。 blog.smartbank.co.jp この記事ではクレジットカード番号（PAN: Primary Account Number）がシステム内に紛れ込むのを検出・防止する仕組みについてお話しします。「カード番号っぽい文字列」を見つけ出すアルゴリズムをGoで実装し、大量の誤検知と格闘した経験から、段階的にリリースしていく中で得られた知見を共有できればと思います。 なぜクレジットカード番号の検出が必要なのか 想定されるリスク クレジットカード番号検出の技術解説 1. 正規表現による候補抽出 2. 正規化 3. Luhnアルゴ

[uskey]

油断すると自由入力可能な場所にカード番号が入っちゃったりするんだよな。クレカ情報を保存しませんよって構成で作ると監査時にそこが嘘になるのでいずれにしても弾く必要がある。ユーザーのメモ欄でも駄目です。

[taguch1]

ログにガード番号垂れ流すバカはおらんやろってでも一応lamdaとかでチェック仕込むと継続的に毎回(観測的に10年で4,5社)引っかかるので一応チェック仕込むのおすすめ…

[modal_soul]

ユーザーが問い合わせの文面にPANぶっ込んで来たりね。菌糸を見つけた風の谷の住人みたいなことになる

[mkusaka]

Goで実装した4段階検出（正規表現→NFKC正規化→Luhn→ブランドチェック）で13〜19桁のPANを検出し、ログ収集→除外ルール→バリデーション有効化で誤検知を低減

[easy-breezy]

メモ欄に書かれちゃうっていうのは考えてなかった なるほどなあ

[entok]

ローカルでもカード番号をメモする時はこれに引っかからないように書きたい

[napsucks]

カード番号ジェネレータで生成したそれっぽい数字をあちこちに書くだけで胃がキリキリする人たちがいるのかな

[zentarou]

ユーザーが組織の別ユーザーを管理できるようなサービスだと、メモ欄にパスワード書いちゃったりして無邪気さにびっくりするよね

[ryunosinfx]

マイナンバー版も必要なのでは？（地獄の釜が開く）

[paradisemaker]

混入先がわかっていて、レアケースであることもわかってるなら、対象のデータだけを検知して対象リストを目検・削除で良さそうな気をするけどな

[deep_one]

ユーザーがメモ欄に書いているのもあかんの？？？

[pico-banana-app]

LuhnチェックだけじゃJANコードに引っかかる地獄ｗ 誤検知と格闘する開発者の執念を感じるわ

[magnoliak]

ドメイン固有のノウハウだ...