【不正利用】PayPayやメルペイも「銀行口座登録によって本人確認が完了」　ドコモ口座問題

ドコモ口座問題、PayPayやメルペイは大丈夫？ – ITmedia ビジネスオンライン

ドコモ口座問題、PayPayやメルペイは大丈夫？

全国の地方銀行を中心に、ドコモの決済サービス「ドコモ口座」へ不正に入金される被害が相次いでいる。では、同様に銀行口座とひも付けて入金が可能な決済サービスでは、同様のことは起こらないのか。PayPayを運営するペイペイと、メルペイに聞いた。

www.itmedia.co.jp

2020年09月10日 15時29分 公開 [斎藤健二，ITmedia]

　全国の地方銀行を中心に、ドコモの決済サービス「ドコモ口座」へ不正に入金される被害が相次いでいる。ドコモは銀行の新規口座登録を停止する措置を取ったが、根本的な問題として甘い本人確認というセキュリティ面も指摘されている。

　では、同様に銀行口座とひも付けて入金が可能な決済サービスでは、不正利用は起こらないのか。PayPayを運営するペイペイと、メルペイに聞いた。

ドコモ口座を経由して、銀行から預金を引き出される事件が起こった なりすましてドコモ口座を開設可能 　今回の問題点の1つとして、メールアドレスだけで作成できるdアカウントがあればドコモ口座が開設できてしまう点が指摘されている。

　メルペイでは、「メルペイを利用するためのメルカリのアカウントは、SMSによる認証がないと作れない。さらに銀行口座登録時は、メルカリに登録した名前との照合も行っている」（広報）と話す。

　またペイペイは、「電話番号をアカウント作成の認証キーにしている。SMS登録が必要なので、第三者がなりすまして作ることは困難だ」（広報）とした。

銀行口座登録によって本人確認とする 　ドコモ口座の2つ目の課題は、銀行口座登録をもって本人確認完了とする仕組みだ。ペイペイとメルペイは、免許証などをスマホのカメラに写して本人確認を行うeKYCの仕組みを導入しているが、ドコモ口座同様に銀行口座登録でも本人確認を可能にしている。

　「本人確認済みの銀行口座登録を利用する仕組みを取っている。ただし、比較的簡単に登録できてしまうと当社が判断した一部の銀行については、別途eKYCも必須としている」とペイペイ。一部の銀行の「Web口振受付サービス」では、口座番号と暗証番号など比較的入手しやすい情報で登録が可能になっており、そうした点に独自に対策を取っている。

PayPayでは、eKYCだけでなく銀行口座の登録でも本人認証済みとみなす仕組みだが、一部銀行については併せてeKYCも必須としているという 　メルペイは、銀行側のシステムに依存するとしつつも、「より強固にできる方法はないか考えていく必要がある。銀行に対応いただく部分もある」とした。

不正利用時の補償 　ドコモ口座の場合、こうした悪用による被害に対する補償に明確な規定がなく、ドコモと銀行は預金者への補償を協議中だとされている。ペイペイやメルペイではどうか。

　「不正な取引は、常に人の目やAIで異常な動きがないかチェックしている。検知されれば、もしチャージされてもその先には出ていかない。仮に出ていったとしても、全額を補償する規約にしている」（メルカリ）

　「もし不正が起きてしまった際は、全額補償することを規約に明記している。PayPayを使っていない人が、誰かに勝手にアカウントを作られて、PayPayが踏み台にされた形でも補償する」（ペイペイ）

（続きはソース）

https://www.itmedia.co.jp/business/articles/2009/10/news111.html

ダメじゃん

イオン銀行とゆうちょ銀行は例によって二段階認証なしで登録可能

smsデータsimでマトモな銀行取引できると思うならどうぞ、としかね言いようがないわw
あと名義を揃えるハードルとは何も関係がないというねw

Paypayもau payもサービスID名義人と口座名義人が同一でないとアウト

SNSとSMSが混同している人が話を掻き回しているｗｗ

銀行がドコモに丸投げしてセキュリティ任せたからこんなことになってる。
最終的に本人確認を銀行側でやってないことが一番な問題なんだから、ドコモ叩いたところで問題の解決にならないんだよな。銀行が一番悪い。

ネット上で誰でも引き出せるATMを提供したドコモ神過ぎるだろ

え、今どきデータSIMでも本人確認不要とかありえる?
旅行客向けのヤツだと買いきりがあるとか?

メリカリやLINE Payは、新規登録時にe-KYC認証だから。
e-KYC認証で運転免許書とか写真付き公的証明アップなんて到底できない。
ペイペイはcoke onキャンペーンで毎週100円相当返って来るので新規登録した。
すき家もモバイル注文に登録した。これをすると10%還元。
案外使っている。

ネット銀行ではない銀行はモバイルアプリは残高を照会できるが、アクセスごとにメールしか来ない。
面倒なので振込の登録はしていない。
ネットのうえ、ＩＤ、ＰＷだけなので全世界開放していると思っている。
ただ、誰もアクセスを試みようとしないだろうが。

ＳＭＳ認証なんて全く信用してない。
やる奴は犯罪集団なんだからなんでもやる。
電話でもしもし、はいはい、出金。一般人相手では通用するだろうが。

口座名義人は口座番号がわかればわかる。
ＡＴＭでも振込手順を踏めば口座番号で口座名義人を表示するだろう。

e-KYC認証で運転免許書とか写真付き公的証明をアップしても本人認証にならない。
落ちていた運転免許書をアップすればいいだけだから。
本人認証には窓口で写真と照合が必要。他の情報と照合するのも一応可。

銀行はサーバーチェックできないの？
今メディアで言われてる
暗証番号固定で口座番号を総当たりしていくハック方式なら
サーバーチェックでわかると覆うんだけど

数日前ぐらい前の報道では銀行は、リバースブルートフォース のログは見当たらないらしい。
よって、フィッシングに傾いている。

セブンやローソンのアプリはＱＲ決済できない。
ローソンのアプリはいろいろ頑張っているが使うのが恥ずかしい。
ＱＲ決済機能が付いていて他のポイントも溜まるファミペイが完勝。
セブン幹部はアホだろ。

セキュリティを全ての銀行全体で見直さないと
キャッシュレス化がさらに遅れて
ますます日本のガラパゴス化が進んでしまう
もうずっとアメリカの真似っこして大きくなった国なんだから
それも真似っこすればいいんだよ

それより、強力な暗号を使った国ベースの認証基盤を作った方がいい。

自治体と国のネットワークはインターネットと繋げていないことになっている。
それほど、ネットの攻撃に対処するのは難しい。
ただ、クラウド、ＤＸ時代にインターネットをつながないってことは商売で死を意味する。

インターネット分離に関するガイドライン

https://www.ashisuto.co.jp/pr/ericom/InternetSeparation_Guide.html

今はただの事務屋だが、ステートレスプロトコルで攻撃を防ぐのはかなり面倒くさそう。
セッションを保つのにクッキー使ってんだろう？
まあ、今回はそれ以前の政治的仕様の問題だが。

「どんな技術だろうと、動かすのは人間」　

どんなシステムでも完璧はないよ
でも、フリーメールでOKはないよね