Case Study

先進的な取り組みを⾏うセブン銀⾏でCSIRTを⽴ち上げ

セブン銀⾏ 安⽥⽒：
私は2004年にセブン銀⾏に⼊社し、約10年間⼝座の商品開発をしていました。2014年に⾦融犯罪対策部に異動し、不正⼝座やインターネットバンキングの不正対策の企画を専⾨にやっています。2015年にセブン銀⾏のCSIRTを⽴ち上げ、CSIRTの責任者も兼任しています。

セブン銀⾏はもともと⾮対⾯の銀⾏からスタートしており、リスクに対する意識が⾼く、経営理念にも「安全かつ効率的な決済インフラの提供を通じて、我が国の⾦融システムの安定と発展に貢献します」と謳っています。情報セキュリティ分野でも、先進的な取組みに常に前向きです。

⾦融犯罪対策部では2008年からすでに約10年間、モニタリングの仕組みを動かし不正検知‧不正対応を⾏っている実績があります。2014年くらいから不正⼝座や不正利⽤が増加し、セブン銀⾏でもお客様を守るためのインターネットバンキングの不正対策や、不正⼝座を作らせない取り組みを推進しています。

最近ではそうした取り組みの成果を、他の⾦融機関に何らかの形で還元したいと考えており、ご相談を受けたり、講演などで話をする機会もいただいたりするようになりました。

組織化‧分業化が進む⾦融犯罪

その結果、短期間に複数の攻撃を受けるケースも出てきました。弱い部分があると集中的に狙われることがあり、さらに発⾒が遅れると⻑期間攻撃を受けてしまいます。早期に発⾒し対策をしていくことが⼤切だと感じます。さらに今後は、不正の予兆をどうやって⾒つけるかがポイントになってくると思います。スマートフォンやインターネットの普及で誰もがデバイスを使うようになり、正しい⼈と悪い⼈との⾒分けがつきにくくなっています。そこを⾒分けるシステムへのニーズは⾼まっていますね。

カウリス 島津：
⽇本全国で⼈⼝の半分となる6000万を超えるインターネットバンキングの⼝座があると⾔われる中[1]、警察庁のまとめによると、クレジットカードや仮想通貨も含め、不正が疑われる取引が約42万件というデータもあります[2]。1％弱が不正に使われている計算です。

セブン銀⾏ 安⽥⽒：
１つの端末で複数⼝座を操作することも多いですね。不正な⾏動をする⼈たちには、普通の⼈たちは⾏わないような“不⾃然さ”があります。その傾向をどうやって発⾒していくのかがポイントになります。

[1] ⽇本銀⾏. (2016). インターネットと銀⾏サービスの再考
https://www.boj.or.jp/finsys/c_aft/workshop/data/rel160314a2.pdf

[2] ⽇本経済新聞. (2018). 仮想通貨悪⽤疑い669件 資⾦洗浄など、警察庁まとめ
https://www.nikkei.com/article/DGXMZO2723328022022018CR0000/

「点から線へ」。業界を超えた情報セキュリティ対策で⾦融犯罪の未然防⽌を⽬指す

また、従来⾦融機関が持っていなかったプラスアルファの情報という点で、カウリスに期待をしています。従来は職⼈の嗅覚的な不正対策、という⾯がありました。しかし業界をまたいだ怪しいアクセス情報を共有し、さらには外部サービスとも連携することで、総合的にリスクを解析＆スコアリングして合理化できると考えています。最終的には経験等に頼らず、誰がやっても不正を発⾒できるプラットフォームを作りたいです。

従来は悪いことが起きた時に発⾒するという発想でしたが、情報量と組み合わせが増えると、新たな不⾃然さが顕在化し未然に防⽌できるようになると思います。従来と違う⽅法で不正予測が可能になることを、⼀番期待しています。

カウリス 島津：
フロードアラートは、解析結果から不正なアクセスをブラックリストに登録することができます。分業化という話がありましたが、例えば⼝座を作る役割は、クレジットカード‧銀⾏‧証券など業界をまたいで同⼀⼈物である可能性は⾼いと思います。銀⾏とクレジットカードの両事業を展開されていると、特定の住所で⼝座やカードが多数作られていることが事後的に分かる、ということが起きているようです。業界をまたいでリスクある物件やカード、端末を把握することが重要だと感じます。

競争は本業で。共通のプラットフォームを作り、業界全体で⾦融犯罪と闘いたい

セブン銀⾏ 安⽥⽒：
業界を超えると、今世の中で何が起きているのかという情報を得るのは案外難しいものです。流通サイトやECサイトと同じ不正アクセスが⾦融機関に来たとして、初めてのアクセスで確証をもつのは難しい⾯があります。怪しそうではあっても、確証がなければ正しいアクセスとして処理される。しかし他の業界からの情報があれば、調査を進めるきっかけになってくれるでしょう。業界を超えて、同様のことをやりたい⼈も多いと思います。

そもそもインターネットバンキング不正送⾦や不正⼝座対策は、他の⾦融機関同⼠で競い合う領域ではないと考えています。セブン銀⾏のノウハウや経験を、他の⾦融機関でもうまく活⽤してほしい。その⼀つの⽅法として、セブン銀⾏のノウハウをカウリスのサービスにフィードバックし、カウリスのサービスを通じて他社でも活⽤してもらえればと思います。カウリスにハブになって多くの企業とつなげてもらい、正しい情報を還流してもらいたい。

商品開発やサービスなど本業で競い、セキュリティや不正防⽌は競うのではなく業界全体で協⼒するという、あるべき姿にするのが最終⽬標です。⾦融業界にとっても、それが⼀番⼤事なのではないでしょうか。

カウリス 島津：
業界を問わず、共通化できる部分は共通化していこうというプラットフォーム化の⽅向にあると思います。個々の企業が⼀からシステムを作ろうとすると、ユーザーに提供できるまでに3、4年の時間がかかりますし、さらに時間が経てば攻撃の種類も変わってきてしまいます。共通のプラットフォームを作ることでスピードを上げ、事故件数を減らしたいと思います。

ビッグデータを活⽤する不正検知プラットフォームで、次世代の⾦融犯罪対策へ

カウリス 島津：
現在弊社のサービスには、不正を検知するパラメーターが約200ありますが、パラメーターごとの相関関係の解析を進めています。業界ごとに攻撃の傾向を学び、スコアリング調整を⾏っていきたいと思います。

セブン銀⾏ 安⽥⽒：
今後⼤量のデータを分析できるプラットフォームができると、今まで注視してなかったパラメーターやデータが、重要なカギを握ってくるかもしれない。そういった新しい気付きが得られることに期待しています。

---

安⽥ 貴紀⽒
2004年セブン銀⾏（当時のアイワイバンク銀⾏）⼊社。事業開発部にて⼝座の商品‧チャネル開発を担当。2014年に⾦融犯罪対策部に異動し、不正対策企画を担当。2015年セブン銀⾏のCSIRT「7BK-CSIRT」を⽴ち上げリーダーに就任。

島津敦好
京都⼤学卒業後、株式会社ドリコムに⼊社。セールス担当として、同社IPOを経験。2010年、オンライン英会話学習のロゼッタストーン‧ジャパン株式会社⼊社。法⼈営業部を⽴ち上げる。2014年よりCapy社⼊社。事業部⻑として不正ログイン対策のソリューションの提案を⼤⼿企業に提案。同時にメディアを通じたセキュリティ意識向上の啓蒙活動を実施。2015年12⽉、株式会社カウリス設⽴。