りそな銀行のマイゲートについて疑問を感じます。

質問

4/1からマイゲートがWebページにて実装されました。

りそなダイレクト（Webページ上から振込等が行えるサービス）ではフィッシングサイト対策として初期登録時に一緒に登録する「秘密の画像」をID入力後に表示した後にパスワードを入力する２段階式のログインになっています。
ですがマイゲートはりそなダイレクトで利用しているIDとパスワードと同じものでログインが可能で、IDとパスワードの同時入力によるログインになります。

そこでマイゲートが偽造サイトでありログイン情報を入力してしまった場合、同一情報でりそなダイレクトにもログインできてしまうのは問題になるのでは？と感じまして
りそな銀行のマイゲートのサポートセンターと新規サービスに対する問い合わせに同じ内容で確認したところどちらも
「マイゲートでは情報の表示（残高等）のみで振込等の機能は持っておらず、振込時はマイゲートログイン後にダイレクトにログイン（再度パスワードの入力を行う）して頂くため安全です」
付け加えて
「不安ということであれば、りそなダイレクトへのログインページがトップにありますので、そちらでログインすることで秘密の画像が確認できます」
という回答でした。

りそなダイレクトで秘密の画像が確認できるので同じトップから移動できるマイゲートのログインフォームも安全なのだろうと思いますが、毎回その手間を行いログインするのではマイゲートの意味がないようにも思います。
何も知らず偽造に作られたマイゲートでログイン情報が漏洩してしまった場合、手遅れになってしまうのではないでしょうか？

・りそなダイレクトとマイゲートのパスワードを別のものが設定できる仕様
または
・マイゲートのログインも2段階方式（秘密の画像を確認できる）仕様

にならない限りこの疑問は解消されないようにおもいますが果たしてこれで安全なのでしょうか？

みなさんのご意見をお伺いしたいと思います。
宜しくお願いします。

回答No.2

caf-caf · ベストアンサー

１です。では、ワンタイムを使えば良いのではないでしょうか。

ワンタイムパスワード

http://www.resona-gr.co.jp/resonabank/kojin/service/anshin/qa_06_1.html

セキュリティの確保や確認は、りそなに限らず、ネットバンクやクレカのサイト、そもそも論ですがＰＣを使いネットに繋ぐ時点でのユーザー個人の問題ですよね。
りそなに限ったことではなく、ユーザーが最初から知らなかったでは済まない程度のことと思います。

りそながセキュリティソフト無料配布やワンタイムパスワードなどを周知しないのが問題ではなく、周知はしているのに読まない、理解しないで使うユーザーのほうがよほど問題だと思いますよ。

りそなに限らず、ＩＤ継続のまま便利サイトなどに接続でき、再度パスワード入力のみで両サイトとも使えるといったサイトは多々ありますよね。

りそなは、マイゲートが実装されたので質問者様のようにお感じになるのかも知れませんが、最初から実装されていれば、ネットバンクを使うか使わないかの選択基準にもなったのではないでしょうか。

「こういう仕様が追加されました。ネットバンクを使うか、使わないかは、顧客のご自由です。」というサービスでしょうから、使わないという選択もできるので、偽サイトとの見分けがつかなかったり、怖くて使えないという方は、使わない選択をすれば良いでのはないかと思いました。

個人的には、キャッシュカードやＩＣカードなど財布に入れて持ち歩いていれば、数メートル先からでもデータの読めるスキマーがあるくらいですから、そちらのほうがよほど怖い気もしますけれどね。
どのみち保険もありますし、アドレス確認、証明書確認などユーザーがすべきことは多々ありますから、知らなかったではなく、知ってから使えば良いものと思っています。

本音としては、高齢者やＰＣ初心者、逆にＰＣにとてもお詳しい方にとっては、ＩＤ提携の安全性に疑問を持つサービスだと思いますけれどね。
本当にそれを知っている賢い方は、りそなに限らず、ユーザーを増やしたり商品利益をあげる為の戦略であるということも、「使わない」という選択ができることも理解したうえで、ネットバンク、またどこの銀行やクレカ会社を使うか使わないかの選択をされているではないかとも思います。。

お礼

度重なりのご回答ありがとうございます。

フェイルセーフとは異なるかもしれませんが
同じような考えで「秘密の画像」を間に加えるなどのシステム側の対応で効果が発揮出来るようなものなら
利用しやすいサービスとして組み込むとより安全で安心できるのではないかなと残念に思います。

いずれにせよ
利用するサービスについて提供者側から提示されている内容をよく理解した上で
利用者は疑問があれば確認する、納得できないのであれば利用しないというのが常識ということですね。

私は定期的なパスワードの変更及びワンタイムの利用を行っておりますが「nProtect:Netizen」は取り入れておりませんでしたので導入したうえで今後とも便利と危険が隣り合わせなサービスですが自分のみは自分で守りつつ利用していきたいと思います。

有難うございました。

回答No.1

caf-caf

＞毎回その手間を行いログインするのではマイゲートの意味がないようにも思います。

マイゲートは、パーソナル機能の充実も目的の一つでしょうから、意味が無いとは思えません。
どれほどの手間でも惜しまず、パーソナル機能のポートフォリオなどが便利だから使いたいというユーザーがいるかも知れませんしね。

多少なりとも便利だと思われてログイン回数が増えたり、商品販売や商品広告でプラスの出るユーザーがいるなら、実装の意味もあるように感じます。

また、りそなでは不正防止ソフトウェア「nProtect:Netizen」を無料で提供していますね。
りそなのどちらでもログインする前に、このソフトを起動させることを注意一覧で推奨されています。

不正取引対策ツールの導入について　りそな

http://www.resona-gr.co.jp/resonabank/kojin/gochui/detail/070301_5/index.html

そもそも論になり恐縮ですが、「＞マイゲートが偽造サイトでありログイン情報を入力してしまった場合、」これはユーザーの注意不足ですので、毎回でもアドレスを確認するなりの対策はユーザー自身がしなければ、りそな側は防ぎようがないですよね。

それ以外にも、りそなダイレクトユーザーにダイレクト保険がついていますね。

このマイゲート実装により、ユーザー自身がアドレスやメールの証明書などを確認しても偽サイトとは判別がつかない状態で、誤って偽サイトにログインしてしまい、個人情報が流出し悪用されるなどすれば問題だと思います。
しかし、りそな以外でも、こういったマイゲートのようなＩＤ提携でログインできるサイトが実装されている会社はたくさんありますから、りそなに限り特別意味が無いとは思えません。

お礼

ご意見・ご回答ありがとうございます。

言葉足りずで申し訳ありません。

この「意味がない」ということですが、偽造サイトであるかの確認に「秘密の画像」を確認する方法が用いられている以上マイゲートでも同様のシステムにするか、同一のログイン情報でログイン出来ないようにしなければ偽造サイト対策とは言い切れないようになるのではと思います。

推奨である「nProtect:Netizen」の導入もすべてのデバイス・環境で利用できるとも限らないですし、
利用方法が分からないユーザがマイページ及びダイレクトを利用してしまう場合に危険性がある場合システム側で対応したほうがよいのではと思います。

このへんも踏まえて利用ユーザーによる自己責任での利用という割り切りでサービスを提供しているということであれば財産を委ねるシステムとしては脆弱なように感じました。

補足

ここでの「意味がない」とは秘密の画像の確認による偽造サイトかどうかの判断に対して以下の状態では意味がないのではということです。
・マイゲートとりそなダイレクトは同じIDとパスワードが利用できる
・マイゲートでは秘密の画像を確認するステップがない
・りそなダイレクトでは秘密の画像を確認できる2段階式である

マイゲートの存在意義についてのことではありません。