「銀行に預けているお金、大丈夫かな？」と娘に聞かれて。～いつまでも娘のヒーローでいたい父が考えたこと～
「銀行に預けているお金、大丈夫かな？」
長女に、そう聞かれた。
最近、不正アクセスや情報漏洩のニュースが続いている。
タイムズカー。
楽天トラベル。
JR東海の新幹線予約サービス「スマートEX」。
そして、GMO。
名前を知っている会社やサービスばかりだ。
今年、京都へ行ったときに利用したものもある。
これだけ続けば、「自分の銀行は大丈夫なのか」と心配になるのも分かる。
俺は、今の三菱UFJ銀行が東京三菱だった頃から、東京・丸の内で、銀行の大型システム開発に長年携わってきた。娘もそれを知っているので、聞いてきたのだろう。
ただ、関わっていたからといって、「大丈夫。絶対に盗まれない」とは言えない。
……そこまで言えたら、娘も安心するのだろうけど。
娘が子どもの頃は、どんな相談にも乗ってきた。
娘自身が親になった今でも、俺は、いつまでも娘のヒーローでありたい。
頼ってくれるのなら、安心させてやりたいと思う。
だけど、簡単に答えの出る問題でもなかった。
なので今回は、娘に聞かれて考えたことを、少し整理してみようと思う。
個人情報が流出すること。
銀行に預けたお金を、不正に動かされること。
まずは、この二つを分けるところから。
――◇――
その前に、娘が、もう一つ気になることを言った。
「こういうときに、神奈川県の警察が古い免許証を紛失したとかのニュースが出てくるよね」
……鋭いな、お前ｗ
政治家の問題が騒がれているときに、突然、芸能人のスキャンダルが出てくる。そちらが大きく取り上げられて、さっきまで話していた問題が、いつの間にか遠くなっている。
……そんなふうに感じることは、俺にもある。
大きなニュースが続いている今ならと、少し前の不祥事を、どさくさ紛れにぶっ込んで、謝罪まで済ませてしまおうとすることもあるんじゃないか。
娘には、そんな話もした。
もちろん、真実は分からない。
あくまで、俺にはそう見えることがあるという話だ。
「このタイミングか。神奈川県警、やりやがったな」と、つい思ってしまった。
ただ、娘が一番知りたいのは、そこではない。
銀行のお金だ。
話を戻そう、俺。
――◇――
まずは、企業のサーバーに侵入され、そこに保管されていた顧客の個人情報が盗まれることについて。
これを、利用者個人が防げるのか。
俺は、直接は防げないと思っている。
自分のパソコンをどれだけ守っていても、企業のサーバーの中にある俺の情報までは守れない。そこへ入って抱きしめておくわけにもいかないし、提出した免許証の画像を、こちらから勝手に消すこともできない。
信用できそうな会社を選ぶ。
不要な会員登録は減らす。
支払い用のクレジットカード情報は、保存せずに済むなら残さない。
必要のない情報は渡さない。
そのくらいは、できる。
ただ、名前を知っている大企業なら、絶対に安心かといえば、今回のニュースを見ていると、そうも言えない。
本人確認書類を提出しなければ利用できないサービスもある。
その手続きに従って渡した情報を、預け先から盗まれる。
ここで「利用者も気をつけましょう」と言われても。
……そこは、俺には手が届かないんだが。
漏れた情報を使った詐欺に気をつけることと、企業のサーバーから情報を盗まれないようにすることは、別の話だと思う。
――◇――
特に気になるのは、免許証やマイナンバーカードなど、本人確認書類の画像だ。
入会のために必要なのは、分かる。
では、確認が終わった後は？
どうして、その画像を残し続ける必要があるのだろう。
もちろん、金融機関では、本人確認の方法によって、画像などを記録の一部として保存しなければならない場合がある。確認が済んだから全部消せ、と言えるものでもない。
そこは分かる。
ただ、必要だから残すのなら、外部接続のできない別サーバーに保管するとか、厳しく守ってほしい。
また――
保存する画像に「○○社への本人確認専用」と、用途を示す透かしを大きく入れる。
ファイルごとに暗号化する。
開くための鍵は、画像とは別に管理する。
そして嘘っぽいけど――
AIで作成した偽の免許証画像を同じフォルダへ大量に保存しておく。
保存義務や業務上の要件を満たしながら、そういう対策はできないのか。
透かしは、AIなどで加工されるかもしれない。
暗号化しても、鍵や復号する権限まで奪われれば、読まれる可能性はある。
それでも、持ち出した画像をそのまま使える状態と、使うまでに手間がかかる状態では違うはずだ。
盗む側、悪用する側にとっても、時間や費用がかかるようにする。その積み重ねにも、意味はあると思う。
なお、今回のタイムズは、本人確認書類の画像を暗号化して保存していたと説明している。だから、「暗号化もしていなかった」と言いたいわけではない。
そのうえで、鍵をどう管理し、どこまで守れる設計だったのか。そもそも、その期間、画像を残す必要があったのかを知りたい。
タイムズは従来、画像を会員期間中と退会後七年間保有していたという。今回、登録完了後は保有しない方針に変更した。
……退会後も、七年。
それを、今度は登録完了後に残さないことにした。
だったら、これまでは何のために、その期間まで保管していたのだろう。
利用者として、端的な日本語で言いたいことがある。
――ふざけるな！
必要だから渡した。
守ってくれると思って渡した。
退会した後まで残しておいて、そこから漏れましたと言われても、こちらはパンツから尻を出して、中指を立てるだけだ。
「――パパっ！」
――◇――
俺自身、今は解約しているが、以前GMOクリック証券でFX取引をしていたことがある。
なので、GMOの名前を見て、他人事には感じられなかった。
ただ、今回侵入されたのは、GMOが提供する「お名前.com デスクトップクラウド」という、FXの自動売買ソフトなどを動かすためのサーバーだ。
GMOクリック証券そのものから情報が流出したという話ではない。
俺が以前使っていた口座の情報が漏れた、ということでもない。
そこは、はっきりさせておく。
だが、今回侵入されたサーバーを利用していた人のFX口座では、身に覚えのない取引が行われ、損失が出たと報じられている。
一晩で、約百八十万円。
……勝手に取引されて、それだけのお金がなくなる。
自分が以前使っていた口座とは別のところで起きた被害でも、FX取引をしていた者として、ぞっとする。
もし、それが自分のお金だったら。
やっぱり、出てくる言葉は同じだ。
――ふざけるな！！
利用者にしてみれば、預けたお金が、自分の知らない取引で減らされていたのだ。どこから侵入されたのかを説明されても、それだけで納得できるものではない。
GMOグループには、銀行や証券、FXなど、人のお金を扱う事業がある。
そのお金を守ることの重さは、十分に分かっているはずだ。
だからこそ、金融取引に使う環境を提供する責任も、重く受け止めてほしい。
旅行や車を借りるサービスと、銀行や証券会社では、セキュリティに対する危機意識も、そこにかけるべきお金も違う。少なくとも、俺はそう考えて仕事をしてきた。
もちろん、旅行や車のサービスを提供する企業の責任が軽いということではない。
金融業は、人のお金を預かり、動かす商売だ。
そして今回のように、その取引を動かす環境を提供する側にも、顧客のお金に直結する危険を見据えていてほしい。
認証情報を奪われ、不正な取引を許せば、顧客のお金が消える。
それは、商売の根幹を揺るがす。
安心して預けられない銀行に、誰がお金を預けるのか。
勝手に資産を動かされる証券会社で、誰が取引を続けるのか。
信用を失えば、会社の存亡にも関わる。
経営陣だって、それは分かっているはずだ。だから、安全性を守るための予算も人員も、必要なだけ確保しなければならない。
余裕があれば対策する。
……では、困るのだ。
人のお金を扱う以上、そこを守ることが、商売をするための前提だと俺は思っている。
だから、金融取引の安全性に関わる問題を、ほかの業種の情報漏洩と同じように並べて、さらっと流してほしくない。
そこを破られることが、その会社にとって何を意味するのか。
そして、利用者が何を失うのか。
俺が重いと言っているのは、そこなのだ。
攻撃した側が悪い。
そんなことは、分かっている。
そのうえで、預けた側は「守ってくれ」と言っている。
「企業も被害者だから」と言われても、俺は納得できない。
――◇――
では、日本の企業だけが、こんなに侵入されているのか。
米国や欧州は、攻撃されても防げているのか。
調べてみると、そうではなかった。
米国のChange Healthcareでは、二〇二四年の攻撃によって、約一億九千二百七十万人に影響する情報漏洩が報告されている。
一億九千万人。
……桁が大きすぎる。
英国のCapitaでも、六百六十万人の情報が盗まれた。当局は、事前に指摘された弱点や、警告への対応不備を認定している。
韓国のSK Telecomでは、二〇二五年に約二千三百二十四万人の加入者情報が流出した。
……もう、規模がよく分からん。
まあ、少なくとも分かったのは、世界中で起きているということだ。
米国なら侵入されない。
欧州なら安全。
そんな話でも、なかった。
だからといって、日本は悪くない。
……とは、ならない。
世界中で起きているのなら、ほかで起きたことからも学べるはずだ。
自分たちには、まだ何ができるのか。
同じことを起こさないために、何が必要なのか。
企業として、そこは一つずつ確かめてほしいと思う。
――◇――
では、ようやく娘の質問だ。
銀行に預けたお金を守るには、どうすればいいのか。
まず、IDとパスワードだけで操作できる状態には、しておきたくない。
俺は、銀行を使うときは、家のPCから開く。そして、追加の認証には、別の端末であるスマホを使う。
操作する端末と、承認する端末を分けるためだ。
PCでログインしようとしても、手元のスマホで承認しなければ先へ進めない。
そういう仕組みなら、IDとパスワードを盗まれただけでは、簡単には入れない。
どの場面で追加の認証を使えるかは、銀行によって違う。
ただ、俺がしたいのは、入口の鍵を一つだけにしておかないことだ。
別の端末でも、本人の承認を必要にする。
そうしておけば、漏洩に気づいてパスワードを変更するまでの時間稼ぎにもなる。
ただ、娘がPCとスマホを分けて使えるかは、分からない。
娘の毎日の生活の中で、スマホから銀行取引をしなくても困らないのかも、分からない。
俺が使いやすい方法が、そのまま娘にも使いやすいとは限らないのだ。
あとは、振込や出金の限度額。
普段、大きなお金を動かさないなら、必要な範囲まで下げておく。
高額な振込をしないのに、いつでも高額を動かせる状態にしておく必要はない。
ただ、一日の限度額を下げても、何日も気づかなければ被害は積み重なる。
だから、取引通知を受け取り、明細も確認する。
入らせないための、別端末での認証。
動かせる金額の制限。
異常に気づくための確認。
一つで全部を守ろうとせず、組み合わせておく。
公式サイトのブックマークを使う。
端末を更新する。
パスワードを使い回さない。
そういう基本は、その土台だ。
それでも身に覚えのない取引があれば、すぐ銀行に連絡する。
パスワードを変えて、ひと安心で終わらせない。
補償があるから必ず戻ってくる、とも限らないのだから。
――◇――
一方で、すでに漏れた個人情報は、どうすればいいのか。
パスワードなら、変えられる。
クレジットカード番号なら、発行会社に連絡し、利用停止や、番号を変えての再発行を相談できる。
面倒くさいが、古い情報を使えなくする手段はある。
だが、氏名や生年月日、住所、顔写真は？
……簡単には、変えられない。
電話番号やメールアドレスは変更できる。でも、そのために何か所の登録を直すのだろう。
何も悪いことをしていない、情報を漏らされた側が、その手間まで引き受けなければならない。
また、あの言葉が出そうになった。
……俺は充分に大人なので、やめておく。
ほかにも、信用情報機関への本人申告で、なりすまし契約の抑止を図る方法などはある。
あるのだが。
調べれば調べるほど、どうして漏らされた俺たちが、ここまでしなきゃならないんだという気持ちになる。
どんどん、あの言葉を言いたくなる。でも俺は大人だ。
仮に俺のイケメン画像が流出したとして、それが消えるわけでもない。
「婚活サイトで、誰かのプロフィール写真に使われるかもしれないよな」
「パパの顔写真なんて誰も悪用しないって」
「うるせぇーわｗ」
俺は婚活サイトでも悪用されないように、警戒する。
警戒する――言うのは簡単だけど。
どこへ流れたのかも分からない俺の情報が、どこで、誰に、どう使われるのか。
そこまで、ずっと考えてはいられない。
俺には、無理だ。
怪しい電話やメールには気をつけられる。
明らかな架空請求なら、相手にしない。
そういうことは、できる。
だが、俺の知らないところで使われる情報まで、見張っておくことはできない。
個人情報の流出は、預金を守る対策とは違う。
企業のシステムが復旧しても、利用者の不安まで同じ日に終わるわけではないのだ。
そのうち、こうした被害や対応費用を補う保険が、もっと広がるのかもしれない。
関連する個人向けの補償は、すでにあるみたいだが。
ただ、お金を補償してもらっても、自分の情報を知られていなかった状態に戻れるわけではない。
誰かの婚活サイトに使われていたら、俺の顔は残ったままだ。
「……だからそこは大丈夫だって」――長女。
俺たちにできることには、限界がある。
だから、預かった企業には、漏らさないための管理を、死ぬ気でしてほしいと思う。
こちらでは守れないものを、預けているのだから。
――◇――
「銀行に預けているお金、大丈夫かな？」
娘の問いに、何も心配しなくていいとは言えない。
だけど、怖い話だけして終わるのも違う。
俺は、いつまでも娘のヒーローでありたいのだ。
だから、考えた。
もっと簡単で、娘にも分かりやすく、預金を守れる方法はないか。
俺にとって、銀行といえば、まず三菱UFJ銀行だ。
長年、そこのシステム開発に携わってきた。
ここが破られるようなら、ほかの銀行だって無事では済まないだろう。
……少なくとも、そこで仕事をしてきた俺は、そう思っている。
だったら、窓口へ行って、貯めておくための口座を作ればいい。
その口座では、インターネットバンキングを契約しない。
普段使う、給与振込や公共料金の支払い口座とは分けて、ネットから取引できないようにしておく。
出し入れは、通帳やカードを使って、窓口やATMで行う。
もちろん、口座そのものが銀行のシステムから切り離されるわけではない。
ただ、俺が娘に言いたかったのは、もっと単純なことだ。
ネットで動かす必要のないお金まで、ネットで動かせるようにしておかなくてもいいんじゃないか。
そもそもネット取引の契約をしなければ、そこで使うログインパスワードなんてないので、盗みようがない。
通帳やカードは、ちゃんと自分たちで管理する。
少し不便にはなるけれど、貯めておくためのお金なら、それでもいいだろう。
どーよ。（ドヤ顔）
「うん、パパが休みの日に話してみる」
娘は、そう言った。
ここで娘の言う「パパ」は、もちろん俺ではない。
……まあ、家族で相談してみてくれ。
俺も、これで絶対に大丈夫とまでは言えない。
それでも、怖がっているだけより、できることを一つ決められた方がいいと思う。
便利になったからといって、全部を便利につないでおく必要もない。
使うお金と、しばらくは置いておくお金。
ネットで動かす口座と、そうしない口座。
銀行も、こういう使い分けを、もっと分かりやすく案内してくれたらいいのにと思う。
「こちらは、ネット取引を使わずに、貯めておくための口座です」
そんなふうに言ってくれれば、選びやすい。
「お金は絶対になくなりません」
……そこまで言ってくれたら、頼もしいんだが。
自分では娘に言えなかったくせに、それを銀行には言ってほしくなる。
俺も、勝手なものである。
ただ、安心してお金を置いておきたい。
娘が聞きたかったのも、結局は、そういうことなのだと思う。
だから、自分たちで口座を分けておくのも、一つの方法だ。
俺も、自分にできることで、防げることは防いでいこうと思う。
ただ、ネットで株やFXをやるなら、そこは切り離せないｗ
おま、ふざ……。
お読みいただき、ありがとうございます。
今回は、娘との会話をもとに、
俺なりに考えたことを書きました。
専門的な解説ではないので、思い込みや、
説明の足りないところもあるかもしれません。
そのあたりは、昼飯を食べながら、
娘に頼られて少し張り切った父親の話として、
どうかご容赦くださいｗ
