金融事業者にとっての“7つの教訓”とは？ GMO不正アクセス事件に学ぶ(2/3)

金融事業者が押さえるべき7つの教訓とは？

　記者会見を行った時点では、不正アクセスの詳細な手口、被害の範囲など明らかにされていない部分はあるものの、その時点までに開示されている情報をもとに、金融事業者、フィンテック企業や金融サービスを組み込む非金融事業者などの視点から、特に重要な7つの教訓を整理しておきたい。

不可欠となるセキュリティ専門家の指摘を経営判断につなげるガバナンス
　今回の事案においては、グループのセキュリティ専門家（GMOサイバーセキュリティbyイエラエ）から2024年4月にセキュリティ上の課題が指摘され、緊急メンテナンスを実施していたものの、対策の深度やスピードが十分ではなかったことが記者会見において明らかにされた。

　これは、金融事業者にとっても重要な教訓である。金融事業者やFinTech企業では、サービスの安定稼働、顧客利便性、開発スピード、コスト削減などが重視される。その結果、セキュリティ対策が他の経営課題との優先順位の中で後回しになる可能性がある。しかし、金融サービスでは、セキュリティ上の問題が顧客の金融資産に直接影響するため、重大なリスクを放置することは許されない。

　これまで影響が軽微と判断され、犯罪者に狙われる可能性も低いと考えられたシステムでも、AIの利用によって脆弱性発見の速度が早まったことを考えると、脆弱性を放置するといつ攻撃を受けてもおかしくない状況になってきた。サイバーリスクの世界では、「鎖の最弱部分（Weakest　Link）が狙われる」と言われてきたが、こうなると「少しでも弱さのある鎖（Weaker Link）は狙われる」ものと考えた方がいいかも知れない。

　経営陣は、技術的な脆弱性を単なるシステム上の課題としてではなく、顧客資産、事業継続、企業の信用に関わる経営リスクとして認識する必要がある。そのためには、重大なセキュリティリスクを経営会議や取締役会に報告し、対策の優先順位、実施期限、残存リスクを明確にする仕組みが求められる。


金融事業者のシステムだけでは完結しない金融サービスの安全性
　本件で最も重要なのは、金融事業者以外のサービスが不正アクセスを受けたことにより、金融取引に被害が生じる可能性があるという点である。

　顧客がクラウド上の仮想デスクトップからFX取引を行っていた場合、その環境に保存された認証情報やログインセッションなどが悪用されれば、攻撃者が金融事業者の正規取引システムにアクセスする可能性がある。この場合、金融事業者のシステム自体には侵入されていなくても、顧客の金融資産が危険にさらされる結果となる。

　従来、金融事業者のサイバーセキュリティ対策は、自社のネットワーク、システム、データベース、委託先の管理を中心としてきた。しかし、顧客が金融サービスにアクセスするために利用する外部環境についても、リスクを考慮する必要がある。

従来の主な想定	今回明らかになった経路
金融事業者への直接攻撃	顧客が利用する外部環境への攻撃
金融システム	正規の認証・取引経路の悪用

↓

本人認証が成功した場合にも発生する不正取引
　金融サービスにおいて、ID・パスワードや多要素認証は、正当な利用者であることを確認するための重要な仕組みである。ただし、今回のように顧客が利用するクラウド環境そのものが侵害された場合には、認証済みのセッションが悪用されるリスクも考慮する必要がある。そのような悪用が起きれば、金融事業者からは、正しい認証情報を使用した通常のアクセスに見える可能性が高い。このため、認証の成功だけを根拠に、取引が本人の意思に基づくものと判断することには限界がある。

　金融事業者は、本人認証に加えて、取引金額、注文頻度、取引対象、利用端末、アクセス環境などを総合的に分析し、異常な取引を検知する必要がある。特に、FX取引や証券取引では、短時間に多数の注文が行われることがあり、通常のアルゴリズム取引と不正操作を区別するための高度な監視が求められる。また、不審な取引が検知された場合には、追加認証、注文の一時保留、取引制限、顧客への確認などを迅速に実施できる仕組みが必要となる。


被害拡大を左右する金融事業者と外部サービス事業者の連携
　今回は、金融事業者以外のクラウドサービスの侵害を契機として、FX事業者などにも顧客保護のための対応が求められた。こうしたケースでは、クラウド事業者が侵害を検知しても、金融事業者に情報が伝わるまでに時間を要すれば、その間に不正取引が継続的に発生する可能性がある。一方で、金融事業者が不審な取引を検知しても、原因が顧客の利用する外部サービスにあることを把握できなければ、適切な対応が遅れる。

　そのため、事故発生時には、金融事業者と外部サービス事業者が速やかに情報を共有し、必要に応じて認証情報の無効化、セッションの切断、取引制限などを実施することが重要になる。BaaSのように金融事業者と非金融事業者が契約関係に基づいてサービスを提供する場合には、事故の通知期限、情報共有の内容、緊急停止の権限、顧客への連絡方法などを事前に明確化できる。ただし、金融事業者がすべての顧客利用サービスを把握することは現実的ではない。金融事業者が直接契約する委託先と、顧客が独自に選択したサービスを区別し、それぞれに適した連携方法を検討する必要があろう。

　また、片山財務大臣の会見においても、本件がふれられ、被害が報告されたFX業者の名前も挙げられていることから、外部サービスに起因する被害事案であっても、金融事業者が報告や説明を求められる可能性がある点も認識しておく必要がある。


金融取引の緊急停止と顧客保護を優先すべきサイバー事故対応
　金融サービスは、伝統的にシステムの可用性が重視される。取引停止は顧客の機会損失や業務への影響を生むため、金融事業者はサービス継続を優先する傾向がある。しかし、不正アクセスによって顧客資産が危険にさらされている場合、サービスを継続することがかえって被害を拡大させる可能性がある。

　今回は、金融事業者による対象顧客の取引停止などの措置が報じられた。これは、金融サービスの継続性と安全性が衝突した場合、顧客資産の保護を優先する必要があることを示している。

　金融事業者は、外部サービスの侵害が判明した場合に、対象顧客の取引を一時停止する、既存セッションを無効化する、追加認証を求めるなどの対応を迅速に実施できる体制を整備することが求められるようになる。同時に、取引停止による影響を最小化するため、安全な代替アクセス手段や顧客サポートを提供することも必要になってくる。


サービス提供者間の責任分担を超えて考える必要がある補償と顧客保護
　GMOインターネットグループは、一律5000円の見舞金、不正取引による実現損失の補償、情報公開の内容に応じた追加見舞金、代替クラウドサービスの無償提供などを発表し、対象顧客への個別案内も開始された。ここで、注目すべきは、金融事業者ではないクラウド事業者が、金融取引による損失の補償を表明したことである。

　これは、金融被害の原因が金融事業者のシステム外に存在する場合、損失の負担を誰が担うべきかという問題を提起している。顧客から見れば、銀行、証券会社、FX事業者、クラウド事業者などの責任分担を判断することは容易ではない。

　そのため、金融事業者は、事故発生時の責任の所在を調査する一方で、顧客が適切な救済を受けられるよう、関係事業者と連携する必要がある。特にBaaSや組込型金融では、顧客接点を担う事業者と金融機能を提供する事業者の間で、苦情対応、補償判断、費用負担、顧客への説明などの役割を事前に整理しておくことが重要となる。

　GMOが表明した補償は今回の事件に対する個別の対応であり、同様の事故で外部事業者に一律の法的補償義務が生じることを意味するものではない。代表がブログで強調しているように、GMOはインターネット企業としてのブランドイメージを維持するためにも踏み込んだ補償を表明したものと考えられるが、今後同様の事案が発生した場合にどこまでの対応が行われるかはケースバイケースとなろう。

　金融事業者にとっては、第三者が不正に行った取引を、約款上は顧客の取引として扱うのか、取り消しや返金に応じるのか、という判断が求められることになる。GMOの場合でも、FX取引業者などからの返金を差し引いて残額を払うという補償の設計で、金融事業者の判断を前提にしている。このため、金融事業者は「当事者として判断を迫られる立場」となる。


金融事業者への信頼を左右する事故対応力と復旧力
　過去の不正アクセスによる情報漏えいの発表が「事実確認を待って」といった理由で遅れるケースが多かったのに対し、今回のGMOの対応は比較的早いものであった。短期間に多数の情報開示が行われ、顧客端末の調査、補償制度の整備、代替サービスの提供、攻撃者の情報公開サイトの停止に向けた連携、犯人特定のための懸賞金制度などが進められた。

　とはいえ、脆弱性の指摘への対応が充分でなかったり、システムへの侵入を検知するまでに時間がかかったり、お願い事項が何度も追加されたりすることもあり、GMOの対応に対する最終的な評価は、今後の顧客対応や再発防止策の実効性などを待つことになる。これまでの取り組みは、サイバー事故への対応が単なる技術的な復旧作業ではない点で他社の参考になるものと思われる。

　金融事業者にとって重要なのは、事故を完全に防止することだけでなく、事故が発生した場合に顧客被害を最小化し、迅速に安全なサービスを再開できることである。特に、金融取引は顧客の資産や事業活動に直結するため、長期間のサービス停止は大きな影響を及ぼす。

　このため、金融サービスを提供する企業は、システムのバックアップや代替環境の確保に加え、顧客への連絡、取引制限、補償、関係事業者との協力を含む包括的な事故対応計画を整備する必要がある。また、事故後の迅速で透明性の高い情報開示は、顧客からの信頼を維持・回復する上でも重要である。

【次ページ】優先的に取り組むべき事項