金融庁「本人確認が不十分ならサービス停止を」 銀行と決済事業者へ要請 相次ぐ不正引き出し受け

NTTドコモの「ドコモ口座」など複数の電子決済サービスで預金の不正引き出しが相次いでいることを受け、金融庁は9月15日、銀行や決済事業者に対し、本人確認が不十分な場合はサービスを停止するよう要請した。 金融庁は、銀行口座と決済事業者のアカウントを連携して口座振替を行う際、多要素認証を実施するなど本人確認のプロセスで脆弱性がないか確認するよう要請。脆弱性を確認した場合はワンタイムパスワードなどを導入し、取引時確認の体制を強化するよう求めた。本人確認に脆弱性がある間は、新規の口座連携や口座への入金機能を停止するよう要請した。 関連記事 総務省「ドコモ口座以外でも不正引き出しあった」 ゆうちょ銀行は「確認中」 ドコモ口座での現金不正引き出し事件を巡り、総務省の高市早苗大臣が、ドコモ口座以外の電子決済サービスでも不正引き出し被害が発生していたと明らかにした。 ゆうちょ、8事業者との口座連携を停止

[sevenspice]

要請文を読んでみたけど、サービス停止までは書かれていない。"真摯な姿勢で迅速かつ丁寧に 対応すること。" こんな当たり前のことを要請されているあたり資金移動業者と銀行は大いに反省してほしい。

[mkusunok]

ミスリーディングな見出し。よく読むとサービス停止までは求めてないぞ

[wapa]

銀行側は決済サービス側の本人確認に依存し、本来物理カード用の4桁PIN認証だけ。方や決済サービス側は銀行側の本人確認に依存し、登録を持って本人確認完了という、システム設計上の脆弱性。すぐ直せるものかね。

[yujilabo]

PayPayの本人確認ってどうやってたかな〜と思って見てみたら、もうかれこれ累計で10万円近く使ってるのに本人確認欄に「未確認」とあって驚いた。なお、身分証や銀行口座認証で確認できる模様

[nmcli]

これが当然の流れになって大変嬉しい

[stp7]

脆弱性発見したら口座登録とチャージは止めて欲しいというだけで、サービス自体の停止は要請していないね。

[JULY]

微妙ながら要請だなぁ。もっとはっきり、「4桁の暗証番号は、ATMなどの特定機器に限る」「インターネットでの本人確認は、リスクベース認証、及び、多要素認証を用いる」といった明確な基準を示せないかなぁ。

[hiroomi]

"本人確認に脆弱性がある間は、新規の口座連携や口座への入金機能を停止するよう要請した。"既存の利用者棚卸っと。ドコモは回線保有時の石橋叩く認証と逆はスカスカ。この開きは何なんだかね。

[addwisteria]

文面上は、対策は資金移動業者と金融機関のOR条件にも読めるんだよね。この事案で監督官庁に対して「先方がやるので今のままで」といえる業者も金融機関もないだろうが「両方やれよ」とは明示してほしかったところ。

[kuzumimizuku]

SMS認証もeKYC認証も他の本人確認も「発覚リスクを恐れない相手」まで想定するのは現実的ではないという難しさもある。ただし、既存の発覚例を見ると検挙立件例がないように見える(アカウント停止のみ？)のも気になる。

[wkoichi]

“本人確認に脆弱性がある間は、新規の口座連携や口座への入金機能を停止するよう要請”

[yetanother]

なんで金融庁の該当ページへのリンク貼らんの？新聞か？https://www.fsa.go.jp/news/r2/sonota/20200915/20200915.html

[deep_one]

お墨付きが出た。