本人確認をした当人が意思を持った行動か

本人確認後の取引時確認

取引時確認については法律上で義務付けられていないケースが多く、取引を受け付けする際に、どのようは方法で確認をするかの判断が難しくなりますが、顧客の資産・情報の管理や保護の観点で確認の方法を考えていく必要があります。

リスクが高い取引には厳重な認証を用意し、比較的リスクの小さい取引費には簡易な認証とするなどユーザーの利便性を損なわないことを前提に、サービス提供者が軽重を判断することが大切です。

２つの認証方式

本人確認の認証の方式でよく耳にする2つの言葉があります。

1つ目は多要素認証と呼ばれるもので、
これは「知識情報」「所持情報」「生体情報」の3つの要素から2つ以上の要素を組み合わせて認証を行う方法です。

• 「知識情報」の例…パスワード、PINコード、秘密の質問等
• 「所持情報」の例…携帯電話（スマートフォン）、ハードウェアトークン、ICカード等
• 「生体情報」の例…指紋、静脈、声紋等

2つ目は2段階認証と呼ばれるもので、1回認証した後に、別の認証を行う方式です。

代表的な例としては端末からID・パスワード等を入力、認証後にSMSで送信される認証コードやワンタイムパスワード等を再度入力する方式があります。

多くの事業者は正しく多要素の認証を行えているのか

多要素認証では「知識情報」「所持情報」と「知識情報」のうち異なる2つ以上の要素を利用する必要があります。

一般的にみられる認証はIDとパスワードの組み合わせが多く、両要素とも知識に頼るケースが多くなっています。

仮にIDがキャッシュカードに記載された番号等であっても、桁数が短ければ記憶することが可能であり、厳密には多様素となっていないケースもあります。

このように「所持情報」がしっかりと要素に取り入れられずに、実は「知識情報」の単一認証となっているケースは少なくありません。

では、所持情報を認証にしっかりと組み入れるにはどうしたらよいのでしょうか。

所持情報

「所持情報」を確かなものとするために、認証コードを発行するための専用機械であるハードウェアトークンや、記憶を困難とするための乱数表カード等が利用されることがあります。

確かに、所持情報の確かさを確実にするものではあるのですが、専用の機械であるがゆえに、普段から携帯するのが面倒であったり、滅多に使う機会がなく盗難されても紛失したことにすぐに気が付かない等の課題を抱えることとなりました。

普段携帯しているものを所持情報とできないかという視点では、携帯電話の所持を確認できるSMSにワンタイムパスワードを送信するという方法は画期的でした。

本人確認時にあらかじめ申告を受けた電話番号へSMSで認証コードを送信することで携帯電話を所持しているという認証を実現したのです。

※ただし、SMS認証については転送による認証コードのインターセプトやロック画面への表示など残存する課題もあります。

しかしながら「所持情報」にも弱点はあります。それは、物理的にそれを盗まれると、第三者か本人なのかが判らなくなる点です。

所持情報は第三者が盗難して利用した場合は本人でないことを見抜くのは困難であり、もう1つの要素が知識情報であるような場合は、総当たり攻撃や所持品からの推測等で知識情報を特定され、認証を突破されるという可能性は否定できません。

生体情報

所持情報が盗まれてしまうリスクがあるのに対し、生体情報はその人自身の特徴であるため、第三者に盗まれ、利用されるリスクが小さくなります。

生体情報を利用しようとする場合、まずは身体の特徴を機械で電子化する必要があります。

つまりセンサーの利用が必要になります。

オンラインサービスでセンサーを活用しようとした場合、専用機器でおこなうことはハードルが高く、誰もが持っているスマートフォンのセンサー機能を利用することが簡単な方法となります。

つまり、オンラインサービスで生体情報を活用しようとした場合スマートフォンのセンサー（録音・写真等も含む）で取得できる身体的特徴を活用する事が前提となります。

主な身体的特徴としては、「顔」「指紋」「声」あたりがあげられます。

それぞれの要素により、長所と短所がありますが、WEBアプリケーションでの利用を考えると顔認証の一択となります。

指紋情報はネイティブアプリなら利用できますが、Safariの対応が始まったばかりで、網羅性を考えるとまだこれからといった印象です。

顔認証は認証精度もそこそこ高く、SaaS型のeKYCツールも各社から提供されており、比較的低コストできるのが魅力です。

また、不正取引を防止したいという目的において、犯罪者が顔を晒さなければならないという心理的な威圧は非常に有効であることが想像できます。

また顔認証だけでなく、全ての生体認証に共通することとして、認証スコアの合格する基準と認証精度は常にユーザビリティとのトレードオフになります。

取引時確認におけるリスクと認証のイメージ

取引時の確認は法律による義務付けがなかったり、方法の指定がないことからサービス提供者がリスク量に応じて決めていく必要があります。

情報や資産の漏洩リスクに応じて認証を考えるイメージの例として以下表にしてみました。

例えば、電話番号の変更程度あれば、情報漏洩や資産漏洩に繋がる可能性がないため、「知識情報」と「所持情報」の2要素でよいのではないか。

高額資金の移動は、取引内容が高額資金を取り扱うため、2要素認証とともに、2段階認証を実装しよう。

暗証番号の変更については、なりすましが起こるポイントであり、当人に取って代わるリスクが一番小さい情報、つまり生体情報を利用しよう。

こういった形で、各取引に潜むリスク量に応じて、各認証要素の特徴を踏まえた設計をおこなっていく必要があるかと思います。

オンライン本人認証不可時の代替フロー

昨今の認証サービスは生体認証やAI判定入れている事が話題になりがちですが、そもそもはそのサービスをお客様が一番使いやすい状態で使え、企業側もリスクを負わないというのが、サービス設計をする上で重要な軸です。

特にエンドユーザーがオンライン取引時でスムーズに進めなかった場合の代替手段は、サービス設計時に考慮しておいた方が良いでしょう。

最優先されるポイントは、ユーザーの目的達成です。

最先端のサービスであるかはユーザーには関係のないことです。

オンラインの認証が上手くいかない場合、代わりにどのような方法で認証を行うか。

それらの認証方法は全て同じ強度となっているか。

こういった視点で全体のフローを構築し、俯瞰して見ることも時には必要かもしれません。

〇認証設計フローのイメージ

取引時認証のまとめ

取引時の認証は、法律で対象取引や方法を定めているケースが少ないため、サービスを提供する企業が、リスクに応じて用意する必要があります。

方法としては、多要素認証、2段階認証という方法をベースにして、「知識」「所持」「生体」のそれぞれの要素の特徴を理解した上で設計することが大切です。

また、認証はあくまでも安全にサービスを提供するためにあるものであり、ユーザーの利便性を最優先としながら考えていくことが前提となります。

認証の設計時にはフロー図などを用いて、どの方法でも同等レベルの認証が用意され、エンドユーザーにとっても利便性を損ねていないという確認をおこなうことも有効な手段かもしれません。

オンライン本に確認の導入に関することやeKYCの仕組みに関することなどお気軽にお問い合わせください。

オンライン本人確認/カンタンeKYCツール「ProTech ID Checker」

マネー・ローンダリングやテロ資金供与防止を目的とした「犯罪収益移転防止法」に準拠したオンライン本人確認/eKYCツールです。
セキュリティ対策は万全であり、厳しい検証プロセスに基づいたネットワーク・セキュリティを有する金融機関にもご採用いただいております。

サービスについて詳細を見る

サービスの特徴
・導入方法は対象ページにタグを設置するだけ。最短1週間で実装できます。
・また、既存のWEBサイト上で本人確認認証が完結します。
・ユーザーは専用アプリのインストールや別サイトでの確認も不要。
・ProTech ID CheckerはスピーディーかつカンタンにeKYCの導入を可能にします。