プロジェクトオーガナイザの吉田聖書です。
7月25日付のITmedia NEWSの記事で、情報セキュリティに関する興味深い記事が紹介されていましたので、今回取り上げたいと思います。
みんなの銀行の“秘密の質問”が話題 「両親の旧姓は？」→2文字の名字はNG 理由を聞いた（2023/7/25 ITmedia NEWS）
記事によると、みんなの銀行のスマートフォンアプリで口座開設をすると、そのプロセスの途中で「秘密の質問」の設定が必要になるそうなのですが、どの質問を選択しても回答は3文字以上でないとエラーになって先に進めないということで、その理由や背景について、ITmediaの記者がみんなの銀行に直接取材したということです。
2文字以下の回答でエラーになると不都合なケース、つまり、3文字以上の回答を設定できないケースとして、「母親または父親の旧姓は何ですか？」という質問と、その答えとして「西」「加瀬」「岡」などの名字が例示されています。確かにこれらの名字は漢字で書いても仮名で書いても2文字以下ですよね。
まず、このような仕様になっている理由として、みんなの銀行からは「少しでも複雑性を増すため」としています。この「少しでも」がほんの少しでも良いのであれば確かにその通りかもしれませんが、充分なレベルまで複雑性が向上するかというと少々疑問です。
また、利用者が取るべき対策としては、旧姓が漢字で2文字以下の場合は「かなでの登録をお願いしたい」ということで、それでも3文字以上とならない場合は「別の質問を選択してほしい」というコメントがあったとのことです。
この記事を読んで感じたのは、多くの人は秘密の質問に対して正直に本当の答えを設定しているのだろうか？ということです。
※ この記事は、先日公開した以下の音声コンテンツを基に編集したものです。
まず、本当の答えは秘密でも何でもないということです。それはIPA（情報処理推進機構）をはじめ多くの専門家が指摘しています。とすると、本当の答えを設定してしまうと突破される可能性が高くなるわけです。それは避けなければいけません。
代替手段として嘘または無関係な答えを設定してもいいのですが、本当の答えに別の固定文字列を追加する方法をIPAは推奨していました。ところがこの方法は、ルールを考えなければいけなく、アプリで利用登録している時にとっさに思いつけるものではありません。思いついたとしても、そんなルールはすぐに忘れてしまいます。とすると、どこかにそのルールを記録しておかなければいけなくなります。これがセキュアと言えるかどうかです。
このブログでは以前も秘密の質問に関する記事を書いたことがあります。そこでも私は「秘密の質問」という仕組みに対する懸念を書きました。
この仕組みをどう運用しているかはサービスによって異なりますけれども、パスワードを忘れてしまった時の回復手段として採用しているとすると結構危険です。この回復手段が自動化されている場合、秘密の質問とその答えがパスワードと同等の効力を持つことになるからです。
仮に、この回復手段が自動化されておらず人手を介す場合、（秘密の質問の答えを忘れたケースに多いですが）コールセンターに問合わせることになります。その時、オペレータから秘密の質問を問われて電話口で回答し、オペレータが登録されている答えと照合して、合致していればアカウントの回復手続に進むことになります。この場合はオペレータが秘密の質問の答えを見ることができる、つまりシステムには平文で保存されているということです。これは漏れる可能性があります。
今回のみんなの銀行の場合は、アカウントの回復手段ではなく、特定の取引が発生した場合の追加の認証として使っているそうなのでギリギリセーフかもしれません。
関連記事
プロマネの右腕
プロジェクトマネジメントの支援を行っています。
新サービスの企画を任されたけど どう進めていいか悩んでいる担当者、
部下に新しい企画を任せたけど このままで大丈夫か不安な管理職の方、
以下のサイトをご参照ください。
https://www.crossidea.co.jp/services/right-hand-pmo.html
YouTubeにて動画配信中！
プロジェクトマネジメントのノウハウをYouTubeで配信しています。
ブログと併せてご活用ください。