ブラウザーのパスワード保存

質問

個人向けサイトにはIDとパスワードを設定しますが、次回の閲覧の利便性の為にブラウザーにはIDとパスワードを保存する機能があります。

この機能を、銀行口座や証券口座に使うのに、セキュリティの危険性はありますか？　

まあ、「ある」と答えるのが普通でしょうが、具体的にどんな侵入方法及びその結果が想定されるのでしょうか。（実際に体験した方がいらっしゃったら、貴重な体験として聞かせて下さい。）

因みに、証券口座には、株式を売ると言う行為が必要だし、振り込み先が特定の一つの口座に設定してあるので、それ以外の口座に振り込まれるリスクは低いと思うのですが、実際はどうなんでしょうか？

回答No.3

kzr260v2 · ベストアンサー

お持ちの端末に、こっそりと悪意あるソフトウェアが侵入し、アクセスするサイトやIDパスワードが漏洩する可能性と、
パスワードを管理するインターネット上のサービスに不正アクセスがされ、IDパスワードが漏洩する可能性があります。

銀行や証券など資産に直結するものは、それ専用の端末を用意して、IDパスワードも毎回手入力にすれば、多少は安全になるかもしれません。

世の中にインターネット上での取引機能があるだけでリスクがある、と考えると良さそうです。

例としては「2020年電子決済サービス不正引き出し事件」です。以下はWikipediaですが把握するには有効だと思います。
https://ja.m.wikipedia.org/wiki/2020%E5%B9%B4%E9%9B%BB%E5%AD%90%E6%B1%BA%E6%B8%88%E3%82%B5%E3%83%BC%E3%83%93%E3%82%B9%E4%B8%8D%E6%AD%A3%E5%BC%95%E3%81%8D%E5%87%BA%E3%81%97%E4%BA%8B%E4%BB%B6
これは、電子決済サービス側と、銀行側の両方に脆弱性があり、そこを攻撃され結果として口座のお金が奪われた人がでてしまいました。これの問題は、「口座だけ持ってる人が、勝手に連携され引き出された」という点です。インターネットバンキング利用はしていなくとも被害に会う可能性があったのです。(名前や口座番号などの個人情報は、別途漏洩していたようですが、そのあたりの経路は多数あったようです)

これによりPayPayは認証の仕組みを強固にして現在もサービスは継続しています。がんばってますね。使いたくはないですが。

銀行口座とは直結しませんが、別な事件としてセブンイレブンの電子決済サービスで「7Pay事件」というものもあります。これはクレジットカードなどとの自動チャージする機能に杜撰すぎる設計があり、それを攻撃されました。そしてセブンイレブンは7Payを廃止するというチカラ技を使い、沈静化をはかりましたが、これにより電子決済サービスへの世間からの熱は一気に冷めた印象があります。とりあえず、セブンイレブンアプリやセブンイレブンの通販サイトなどセブンイレブンのものに私は個人的に信頼はなくなりました。(現金かカードでの店頭購入はしてます)

PayPayは、ソフバングループなので、私は最初から信頼してなかったです。

今後ありえるとしたら、「マイナンバーカードなどで新しい決済サービスが開始されたとき、その脆弱性が攻撃される」なんてことが考えられます。注意すべきは、ご自身の利用内容だけではなく、新しいサービス開始時の脆弱性だと思います。

以上、参考にならなかったらごめんなさい。

お礼

回答ありがとうございました。Wikiもざっとですが一通り目を通しました。

犯罪者側も手法としては結構泥臭くやっているんだなと思いました。となると口座利用者側も泥臭く対応すればよいのかもと思いました。たとえば、ID、パスワードをブラウザに任せないで手入力するとか。・・・実際銀行口座はそうしています。

スマホ決済の銀行紐づけは結構簡単にできてしまいましたので、被害に遭ったら遭ったでしょうがないけど、「気が付かなかった」なんてことがないようにしようと思いました。

ボーっと生きてはいられませんね^^

回答No.2

i-q

連投失礼します。

また、TITAN、Yubiなどセキュリティキーと合わせると
より安全になります。
指紋情報はPCに保存されません、
TITAN上に保存され、PCには結果だけが出力されます。
（USBキーの中で完結します）
多分Yubiも似たものだと思います。

TITAN（Google）
https://store.google.com/jp/product/titan_security_key
（Chrome専用に近い、Google純正）

Yubi
https://amzn.asia/d/fuEHyvs
（Windows全般・Chromeで使えてWindowsログインにも使える）

お礼

再度のご教示ありがとうございました。

現状だとリスクがあるので、別の方法（指紋認証）を追加するという解釈もできるかと・・・。

参考になりました。

回答No.1

i-q

＞セキュリティの危険性はありますか？
ない
ブラウザによる自動入力が一番安全だと思います。

以下の方法で運用してます。
・スマホとPC
（スマホは最新OSが使えるiPhoneかPixel限定）
・両方等もChrome
・両方ともオンデバイス暗号で保存を有効にする
・Chromeの自動同期でタブを有効

流れ（A銀行のパスワードを作成→保存）
PCで開いているA銀行サイトをスマホに送る（自動同期）
↓
スマホ上でパスワード作成してブラウザに保存
↓
再度PCで開いて自動入力
が一番安全だと思います。

安全だと思う理由
・スマホはウィルス等に感染し辛いので、安心してパスワード作成できる
・オンデバイス暗号化して保存にすると、パスワードは常時暗号化されます。
（パスワード入力、保存、呼び出し、通信全てにおいて暗号化が維持されます）

もしPCが感染していても、
ウィルスが読み取れる情報は暗号化されたパスワードだけ
になると思います。
↓
スマホ（パスワード→暗号）→Googleサーバ（暗号）→PC（暗号）→サーバー（暗号）
（PC上では暗号したまま保存、入力される）

お礼

回答ありがとうございました。

スマホ経由でないと、パスワードを入力できないという設定だと、スマホの紛失が心配です。代替品が使用できるまで、口座にアクセスできないのでしょうか？

色んな方法があるので参考になりました。