続々連携がストップしているドコモ口座とWeb口振受付の問題について - novtanの日常

詳細不明なところもありますのでなんとも言えないんだけど、外部から見える範囲でわかる問題点について解説してみます。詳細を調べたら問題なかったり、中の人だけが知っている仕様によってクリアされている問題もあるかもしれません。 事実誤認があれば訂正しますのでよろしく。 そもそもドコモ口座って？ ドコモユーザーならおなじみ、それ以外でも使えるアカウントサービスである「dアカウント」に紐づけてキャッシュレス決済などで使用できる電子マネー（だよね）のことです。 dアカウントは元々はドコモ契約者向けのアカウントサービスだったんですが、スマホを起点としたサービスを提供するに当たり、汎用的なアカウントサービス（ID提供サービスとも言えます）にするためにドコモの回線契約とのつながりを限定的にしたものです。GoogleアカウントやFacebookアカウントでのログインと同様、dアカウントでのログインができるように

[NOV1975]

少し今回の問題を解説してみました。

[blueeyedpenguin]

誰も本人確認していないのである！

[an-hima]

もともとただのポイントアカウントだったものを安易に金融的なやつに結びつけたせいで問題起こしてるのが7payのトラブルと同じ気がする🙄

[Guro]

関係ないけど。某Payに対してMUFGがかたくなに連携を留保しているのは、それなりに理由があったんだなとか。

[triggerhappysundaymorning]

流石は金融システム屋さん（だったよね？）だけあって判りやすい.”まさかこのWeb口振受付そのものが本人確認の手段になっているって思って作ってないと思いますよ”←本質ここよね.

[estragon]

これに尽きる。ドコモ口座は銀行からの資金移動を停止して欲しい / “だって当該の銀行口座持ってるだけでドコモと関係ない人もリスクあるわけでさ”

[hatest]

id:momizikeiko 「ATMでの払い出しだけはドコモ回線契約ユーザーのみ」ではないです。docomo回線ユーザーじゃない俺が手数料200円払えばできてるんだもの

[pptppc2]

ドコモ口座「誰だ！」 詐欺師「本人です（連携元銀行口座番号etc見せつつ）」 ドコモ口座「よし、通れ！」

[fai_fx]

最低限、ドコモユーザーだけが使えるサービスにしておけば良かったのかもだね。

[alstamber016]

犯収法施行規則には、口座振替により決済されるものは当該口座が開設されている銀行が取引時確認していることを確認すれば足りるとある。本人確認を外部に依存するなと書いてあるけど、法的にそれは許されている。

[toshiwo]

むかし、口座振替ってどういう信用ベースで成り立ってるんだろう？って疑問に思ったことあったな

[kakusuke07]

Web上での本人確認はマイナンバーカードの秘密鍵による署名の利用を必須とする法律作れば利用用途も広がって一石二鳥では

[IGA-OS]

俯瞰して見るとドコモの本人確認の脆弱さが目立つ

[T-miura]

“ATMでの直接出金サービス”

[n_231]

もともとザル気味の口座振替システムを運用でカバーしながら使ってたけど、Web屋・アプリ屋がその辺の情緒を汲み取らずに乱暴な使い方して事故ったという印象。

[hdkINO33]

“これは銀行側の認証が甘い、という問題は2次的なものであり、ドコモから連携するときの信頼レベルが低い、ということに問題の本質があると思います”

[shidho]

ちょっと待てよ。「自分の金をくれ」と要求してきたやつが本人かどうか確認するのは銀行の義務だろうが。それを「ドコモが本人だって言ってたから」っていって簡素なやり方にするのは銀行間違ってない?

[vlxst1224]

「まさかドコモ様に限って」が節々で穴を作ってた感じだなあ。信用ってすごいね。ある時の影響力の強さと、無くした時のリカバリーのむずかしさと

[tanahata]

今回の問題の解説。地銀も悪いがドコモがあかん。と。

[shiramasa]

紙の時代から、口座から金を落とすための本人確認は収納機関ではなく銀行の仕事でしょ　電子化されたとたんに収納機関のせいにするのはおかしい

[chintaro3]

インターネットバンキングの本人確認がシステム更新のたびにどんどん面倒臭くなりすぎて結局使わなくなったが、あれと同じ運命をたどるんだろうか。

[mkusunok]

昨日の朝の段階で、いい分析が出てたんだな

[sharaku3eyes]

ドコモ口座はまんまと攻撃者の踏み台にされといて対策を十分にとらないのだから、自分は悪くないってのはさすがに通らない

[aoiro_moon]

ドコモ口座問題がまとまってる。こういう文章に慣れてないと読むの大変だけど、これくらいのことを読めないとこういったサービスを使うのは危ないくらいに思うようになったほうがいいかもしれない

[yukatti]

“銀行側の認証が甘い”問題はでかいと思う

[Fuggi]

犯収法上、口座番号とPINによる簡素な顧客管理が許されるのは2回目以降の取引からで、ドコモ口座開設時は通常の本人確認（免許の提示等）が必要じゃないっけ？資金移動業者であるドコモ口座側の本人確認不備だよね？

[tetsutalow]

さすがの分析ですね。個人的にはドコモと各銀行との契約が一番気になっていて、特にドコモがdアカウントのLoAを下げた時に契約見直しやリスク再分析の呼びかけが行われたのか否か＆その内容がポイントかなと思う。

[sugimo2]

“銀行の一番の落ち度は「信頼できない収納機関からの受付を許容している」というところが最大でしょう（とはいえ、ドコモがそんなアホな連携してくるとは銀行も思いませんよね？）”

[ya--mada]

色々書いてあって勉強になる。本件は銀行回りの色々を知れるいい機会だと、無関係な立場からは思うのであった。

[felick]

容易にアカウント開設できるのがドコモだったから狙われたけども口座登録で本人確認とするなんとかpay系のサービスって結構あるような

[lastresortan]

文系？だらだらした文章だな。3行でボイント書けるだろ。

[higgsino]

出金可能な口座の癖に本人確認が甘かったのか。ドコモじゃなくて悪いのは地銀だろと思ってたけど、犯罪のターゲットに選ばれたこと自体ドコモの責任大だな

[shira0211tama]

ドコモ以外でも使えます！（が、情報と金が漏れる）＼ユーザーじゃないし今後絶対に移ることはないなと思って、思い直したが、ユーザー外にも迷惑掛けて不誠実とかドコモ圧倒的evil

[kkobayashi]

お互い認証は向こうでされてる前提だから、という実装が仇になった感じか。

[hello-you]

ドコモが、ディーアカウント開設時の本人確認を慣習法上行っていたと言うだけの根拠があるのか?その辺が疑問

[mfigure]

ドコモユーザー関係ないって訊いて唖然としている。明日記帳してみないと。

[rain-tree]

“ 随分他人事みたいなアナウンス・報道がなされていますが、オメーのサービスの本人確認といういちばん大事なところを外部に依存してんじゃねーよ”

[kabayakin]

ドコモ口座が連携可能としてる銀行のリストが微妙なラインナップだったので、各銀行のセキュリティ担当者の考えと、取引上の付き合いを天秤にかけて捻り出せた銀行って感じがする　https://docomokouza.jp/sp/bank_list.html

[ub38mn]

“アカウント”

[unagiga]

なりすましの被害が起こっている以上、設計が法的な基準に沿っていってもそれは法律に穴があるか、少なくともどこかに問題がある訳でそれを放置したままサービスを動かし続けるのは理解できない