ドコモ口座問題で考える、キャッシュレス決済と認証の基本｜monotips station 第22回

イントロダクション

キャッシュレス決済を使うとき、決済アプリと銀行口座のどこで認証しているかまで意識していますか。第22回ではドコモ口座問題を手がかりに、決済業者と銀行の役割、二段階認証と二要素認証の違い、SMS認証やSIMカードロックの注意点を整理します。自分が使っているサービスの設定を見直すきっかけになる回です。

2020年9月30日配信のmonotips station 第22回。9月も終わり、朝晩はすっかり涼しくなりました。

しばっちの家族では、月に1回ほど「ちょっといいランチ」に行くのがブームです。夜はお酒も飲むので、昼にリーズナブルでおいしいランチコースを楽しんでいます。もうすぐGo To Eatも始まり、自治体のキャッシュバックキャンペーンもあるので、うまく使いたいところです。

あらかわは、Go Toなどを併用して、USJのチケット付き宿泊プランで家族4人で出かけてきました。プランは奥さんが旅行サイトで見つけたもの。幼稚園の下の子が身長制限を超えていたことに気づき、初めて大きなアトラクションにも乗れたそうです。人気の新しいアトラクションは長い待ち時間でしたが、混雑時を知る人からすると、全体的には空いていて快適だったといいます。

Go Toやマイナポイントなど、最近のキャンペーンはキャッシュレス決済に紐づくものが多くあります。その決済をめぐって事件が起きていることから、今回はドコモ口座問題を中心に、キャッシュレス決済とITセキュリティについて話します。

1. ドコモ口座問題では、銀行と決済サービスの連携が問われた

まずは、ドコモ口座問題で何が起きたのか。しばっちの素朴な疑問をきっかけに、あらかわが決済サービスと銀行の役割を分けて説明します。

1-1. 決済サービスは「お財布」、銀行はお金の置き場所

しばっちは、ネットバンキングを使っていたらお金がなくなるのか、とにかくドコモ口座は危ないのか、という印象を持っていました。あらかわは、問題を理解するには二つの登場人物を分けて考える必要があると説明します。

一つは、キャッシュレス決済業者です。PayPay、楽天ペイ、メルペイのように、決済の機能を持つ事業者がこれにあたります。d払いに紐づく残高をドコモ口座と呼び、そこへ入金した分をd払いで使えます。つまり、決済サービスはお財布の役割を担います。

もう一つは、銀行口座を持つ金融機関です。キャッシュカードだけでは、基本的にコンビニでそのまま支払いはできません。そこで銀行口座と決済業者のお財布をつなぎ、支払いに使えるようにしています。

1-2. お財布の開設と銀行口座との連携、二つの認証に問題があった

あらかわが挙げた問題は二つです。一つ目は、ドコモ口座をメールアドレス程度で簡単に作れてしまったこと。ただし、お財布を作っただけでは、そこへお金を入れないかぎり大きな問題にはなりません。

もう一つは、一部の銀行で、お財布と銀行口座を連携するときの認証が甘かったことです。あらかわによると、メガバンクやネット銀行では認証を何度も行う一方、利便性を優先して簡単な認証にしていた銀行もありました。そのため、何者かが他人の個人情報を手に入れ、その人の名前でお財布を作り、暗証番号程度の認証で銀行口座とつなげて、お金を移せてしまう状況が生まれました。

口座に数千円しか入っていないから大丈夫、と思う人もいるかもしれません。しかし、個人情報がどこで漏れているかは分かりません。あらかわは、銀行口座を持っている人は、口座の設定で二段階認証が使われているか確認しておくよう呼びかけます。

2. 二段階認証と二要素認証は、数と種類の違い

次に二人が整理するのは、似た言葉に見える二段階認証と二要素認証の違いです。あらかわ自身も今回調べて初めて、同じ意味ではないと知ったそうです。

2-1. 認証の要素は三つある

認証には、次の三つの要素があります。

知識認証：パスワードやIDなど、本人が知っていること
所有物認証：キャッシュカードやワンタイムパスワード用のトークンなど、本人が持っているもの
生体認証：指紋、顔、静脈など

このうち二つの要素を組み合わせるのが二要素認証です。ATMでキャッシュカードと暗証番号を使う場合は、手順が一つでも、カードという所有物と暗証番号という知識の二要素を使っています。

一方、IDとパスワードを入力した後、メールで届くコードを入力する方法は二段階です。番組では、どちらも知識認証にあたるため、二段階認証ではあっても二要素認証ではない、と説明しました。二要素認証には、物や身体など、異なる種類の要素が必要になります。一般的には、二要素認証のほうがセキュリティが高いとされています。

2-2. 秘密の質問も知識認証

ネットバンキングでよくある「母親の旧姓は」「初めて飼ったペットの名前は」といった秘密の質問も、知識認証です。登録時の書き方を忘れがち、という話にしばっちも頷きます。質問が追加されているからといって、それだけで二つの要素を使っているわけではありません。

ゆうちょ銀行のアプリには、指紋認証で開く認証アプリもあります。そうした取り組みがある一方、認証が甘いところもあったため、今回の問題につながったとあらかわは整理します。

2-3. 使いやすさと安全性のバランスを考える

認証の手順が面倒だと、使う気がなくなる。その気持ちは分かる、とあらかわも応じます。利便性とセキュリティにはトレードオフがあります。

ただ、今回の件には、登録者数を増やすために認証を簡単にした、過剰な営業合戦の弊害もあるかもしれません。キャッシュレス決済を使い分ける人と、現金だけを使う人に分かれていく可能性もあります。親に電話でPayPayの使い方を教えるのは大変だ、というやり取りからは、使い始める際のハードルも見えてきます。キャッシュレスを使わないなら、クレジットカードで十分という考え方もあるでしょう。

それでも政府はキャッシュレス化を進めそうです。だからこそ、二段階認証と二要素認証が何を意味するのかを理解したうえで、サービスに登録するとよい。しばっちも、面倒だから設定するのではなく、なぜ必要なのかを知っておきたいと応じます。

3. SMS認証を使うなら、SIMカードのロックも確認する

キャッシュレス決済を使わなくても、FacebookやTwitterなどのアカウント乗っ取りは身近な問題です。ここでは、SNSでよく使われるSMS認証と、SIMカードを守る設定について話しました。

SMS認証は、携帯電話番号にコードを送る方法です。SMSを受け取るにはSIMカードが必要なことから、番組では二要素認証として使われると説明しています。ただし、認証の基準になるのはSIMカードです。携帯電話を盗まれ、SIMカードを抜いて別の端末に挿されると、認証を突破される可能性があります。

それを防ぐ方法の一つがSIMカードロックです。携帯本体のロックとは別の設定で、monotipsでも過去に記事にしています。あらかわは、設定や解除の方法を過去記事で確認するよう案内しました。

4. ニュースだけでなく、一次情報も自分で読む

最後にあらかわが取り上げたのは、セキュリティ情報を自分で確かめる姿勢です。フィッシング詐欺対策などについて、公的機関もガイドラインを出しています。読みやすいとは限りませんが、大切な情報が載っています。

ワイドショーなどで加工された情報だけでなく、元の情報にも自分でアクセスする。小さなビジネスを営む人にとって、一次情報を読むリテラシーは大切です。セキュリティは事業継続にも関わります。

SMSで届く、宅配業者を装った詐欺にも注意が必要です。自分が何を使っていて、どんなサービスに登録しているのかを理解しておく。決算を税理士任せにしないのと同じように、システムもお金と同じくらい大事だとあらかわは話します。

しばっちは、お客さんの情報を扱うときはセキュリティを大切にしているものの、自分のことはほったらかしだったと反省します。収録中にFacebookの二段階認証を確認すると、すでに設定済みでした。Gmailも二段階認証を設定できるので、Google系のアカウントも含めて確認しておきたいところです。

エピソードの総括

今回の学びとポイント

ドコモ口座問題を理解するには、決済サービスと銀行口座の役割を分けて見ることが出発点になります。認証の仕組みや自分の設定を確認すると、何に気をつければよいかも見えてきます。

キャッシュレス決済業者はお財布、銀行はお金を預ける場所。それぞれの役割を知る
二段階認証は手順の数、二要素認証は使う要素の種類を指す
秘密の質問は知識認証であり、それだけでは別の要素にならない
SMS認証を使うなら、SIMカードロックも確認する
一次情報に当たり、自分が使っているサービスや設定を把握する

しばっちは収録中にFacebookの設定を確かめ、すでに二段階認証が設定されていることに気づきました。Gmailなど、普段使うアカウントも同じように一度確認してみる。認証の違いを知るだけでなく、自分の設定まで見直すことが、この回から持ち帰れる実践です。

今回は硬い話題が続いたため、次回は秋の夜長に家族で楽しめるボードゲームを、しばっちのマイブームとして紹介します。

monotips stationについて

monotips stationは、ビジネスの小技を紹介するWEBマガジン「monotips」から生まれたPodcastです。編集長のあらかわと副編集長のしばっちが、毎週ビジネスが少し良くなるTIPSを紹介しています。紹介したTIPSはWEBマガジン「monotips」でも取り上げています。