[ザ・プロジェクト]

2018年7月2日(月)杉田 悟（IT Leaders編集部）

　警察の指導により、全国の銀行では窓口担当者が、声がけや本人確認などにより利用者がが詐欺に巻き込まれている可能性のある取引を未然に防ぐ水際対策が功を奏し、一定の効果を上げた。その一方で、キャッシュカードを騙し取るなど新たな手口が続々と登場し、被害件数の増加を止めるまでには至っていない。

　犯罪対策のポイントになるものとして注目されているのが、金のやり取りに使われる銀行口座の存在だ。犯罪者が本人名義の口座を使うはずもなく、大抵が不正な方法で入手した口座を使っている。新規口座の審査を厳しくするなど金融機関側も対策を売ってきたものの、いくつもの抜け道があり不正な口座は後を絶たない。

金融犯罪対策部3つの柱

　セブン銀行は、インターネットやATMでの取引をメインに事業を展開するセブン＆アイ・ホールディングス傘下のネット銀行大手。全国に4つの有人店舗を持つが、取引はすべて非対面で行われ預金通帳は発行されないのが、一般的な銀行との大きな違いとなっている。

　セブン銀行では2009年に金融犯罪対策室を設置、振り込め詐欺などの対策に本格的に乗り出している。現在は組織を拡大して金融犯罪対策部となっているが、同部の安田貴紀次長によると「組織には3つの柱となる担当がある」という。

捜査サポート担当

　自社の口座を使って不正な取引が行われると、捜査機関から問い合わせ入ることがある。その際の捜査協力は、銀行にとって重要な役割のひとつだ。「警察からの取い合わせは結構多い」というが、警察からの照会要求に素早く答えるのが金融機関の務めということで、担当者が配されている。

CSIRT担当

　サイバーセキュリティ対策を司るCSIRTとしての役割。CSIRTは、情報セキュリティのインシデント対応チーム。CSIRTを設置している企業は少なくないが、多くの場合サイバー攻撃から自社を守るのが役目となっているので、情報システム部門やそれに準じる情報セキュリティ部門が担当している。

　セブン銀行は2015年にCSIRTチーム「7BK-CSIRT」を結成している。設置されたのは情報システム部門ではなく、金融犯罪対策部。安田氏によると「顧客の資産や情報を守ることに重きをおいた」のが、金融犯罪対策部に置いた理由だという。

金融犯罪担当

　最後が、セブン銀行の口座を犯罪に使われないようにするための金融犯罪対策担当。これまで培ってきたノウハウやIT技術を駆使して巧妙な金融犯罪と日々対峙している部隊だ。

　振り込め詐欺では、金銭のやり取りに使われる口座の存在がしばしば問題視されている。銀行では新規に口座を開設する際の審査が厳しくなり、簡単には口座を開設できないようになっているものの、既存の口座が売買されるなど抜け道は多い。

　実際、ネット上には口座の買取りサイトがいくつも存在する。安田氏によると「1口座あたり3万円から4万円で売買されており、ちゃんとした料金表も作られている。サイトの作りもしっかりしており、紳士的なサイトに見えなくもない」のだそうだ。そういったサイトは表向き「犯罪には絶対に使わない」と謳っており、「金融リテラシーの低い人が、小遣い稼ぎでつい売ってしまう」ものなのだという。

　こういったサイトは、大抵の場合海外のウェブサーバーを経由しており、マネーロンダリングを防止する法律である犯罪収益移転防止法の違反に問うのも難しい状況だという。また、また、免許証などの本人確認書類を偽造するサイトなども登場しており、こちらは架空名義で口座を作るための温床となっている。

　このような口座譲渡や架空名義口座の手口を使われると、本人確認書類をチェックするという、従来の対策では防ぎきれなくなってくる。

いかにして被害を未然に防ぐのか

　そこでセブン銀行では、「不正口座をいかに作らせないか」というこれまでの考え方から、不正口座が存在していることを前提に、「不正口座をいかに早く見つけ出し、被害を未然に防ぐのか」という考え方に方針転換した。

　不正な口座を見つけ出すには、その挙動の不自然さを検知する必要がある。セブン銀行では、様々な角度から不自然な挙動を検知するために、申込書の内容、パソコンのアクセス状況、預金の取引状況という3つの観点からの対策を施すことにした。

　システム面では、Webアクセスの解析、預金明細の確認、リストの照合など、目的に応じて個別最適のソリューションを導入することで対応した。その結果「今まで見えなかった怪しい動きが見えるようになった」という成果が得られた。

　例えば、氏名や生年月日がきわめて類似した別人が、同一時間帯に特定の地域から、複数の口座開設を申し込んできているといった怪しいポイントを見つけ出す。あるいは、60歳の日本人男性が、海外A国のIPアドレスから、A国語（英語以外）の言語設定のブラウザーで申し込んできた場合、A国語と日本語であれば、A国に努める日本人と判断できるが、A国語だけというのは不自然と判断する。

　また、口座にお金が振り込まれると、その旨メールで知らせるサービスがあるが、メールが届くやいなや、振り込まれた金額をすぐに出金するような動きは、振り込め詐欺の確率が高いという。犯罪者側にとっては、犯行に気付いた銀行に口座を停止されるまでのわずかなタイムラグが出金のチャンスなので、犯行後はメールが届くの待って、すぐに出金するという行動に出るからだ。

　限度額50万円の初期設定でカードを作ったものの、残高0円の状況でいきなり限度額をMAXまで引き上げる行為も怪しいと捉えられる。なぜならカード作成者は、あらかじめ限度額を超える金額が振り込まれることがわかっているからだ。

　これまでは被害が出た後の対策に注力していたのが、このような不自然な動きが見えるようになると、取引前に口座を止めるなど（金融犯罪対策部にはその権限が与えられている）被害を未然に防ぐことが可能になった。