セキュリティー甘く被害が続出 ゆうちょ銀行の不祥事

一部で決済サービスを再開したが、失った顧客を取り戻すのは容易ではない（撮影：尾形文繁）

「リスク感度が鈍かった」。ゆうちょ銀行の池田憲人社長はそう反省の弁を述べた。

2020年9月、ゆうちょの決済サービスにおけるセキュリティー問題が明らかになった。

発端となったのは、NTTドコモの「ドコモ口座」を利用した不正出金問題。不正利用者は、何らかの形で入手した被害者の名前や口座情報を基に、口座振り替えサービスで口座と決済サービスを接続。その後、口座から決済サービスに入金し、お金を使った。ドコモ口座以外にも、PayPayなど複数の決済サービスで被害があった。

口座振り替えでは被害を防ぐため、口座と決済サービスを接続する際の本人確認で「2要素認証」を用いるのが一般的だ。口座番号を知っているか、通帳を持っているか、指紋や顔が一致するかといった要素のうち2つを確認する。

しかし、ゆうちょが連携していた11の決済サービスのうち2要素認証を導入していたのはたったの2つだけ。不正利用者はこのセキュリティーの甘さを狙ったわけだ。2要素認証導入に向け、「もっと汗をかくべきだった」（田中進・ゆうちょ副社長）。

被害はこの事件にとどまらない。ゆうちょが提供していたデビット・プリペイドカード「mijica」でも不正利用があった。

口座振り替えサービスと同様に入手した口座情報で新しいmijicaを作成して口座からの入金や利用をしたり、mijicaのサイトに不正にログインして情報の盗取や第三者への不正送金をしたりという被害が発生していた。

ゆうちょは一連の不正発覚を受けて、社長直轄でセキュリティー総点検のタスクフォースを設置。セキュリティーの脆弱性を洗い出し、強化に取り組んでいる。

約4カ月の時を経て、他社決済サービスへの口座振り替えは順次再開にこぎ着けたものの、mijicaはサービス終了に追い込まれた。22年春をメドに新ブランドのデビットカードを開始し、mijicaから移行する予定だ。