【考察】SBI証券私の資産は大丈夫!?

　大々的に報道されているので、知らない方は少ないと思われますが、「悪意のある第三者による不正アクセスにより、SBI証券の口座から顧客資産9,864万円が流出した」というもの。(><)

えらいこっちゃ!!　即確認を!!･･･ん？　そいうえば、毎日アクセスしていました。
そもそも管理人の資産は「巨額」!?　本当は「虚額」だったりして!?･･･あはは(^^;)　

どこがポイント!?

今回の顧客資産流出の経緯から、問題点が見えてきます。

①SBI証券に口座を持つ個人のID・パスワードが不正入手された。
②本人になりすまして作られた偽の口座を振込先金融機関に登録（変更）された。
③保有株が勝手に売却され現金化された。現金になるのは株式売却の２日後。
④偽の口座へ出金依頼をされた。
⑤現金は、偽の口座からさらに別の銀行口座に流れたようだ!!
※②と③の順番は逆かも!?

　確かにID・パスワードが不正入手されたら致命的ですから、ログイン時【口座開設後】のセキュリティについて論議されます。
しかし、偽の口座を開設できなかったら、事件は未然に防げたかもしれません。今回、偽の口座が開設された金融機関は、ゆうちょ銀行５口座・三菱UFJ銀行１口座とのこと。
管理人は、ゆうちょ銀行にも三菱UFJ銀行にも口座を開設していますが、さてどうやって開設したんだっけ？　写真付きの身分証明書（運転免許証など）と印鑑があれば（最近は印鑑でなくサイン登録も可のようですが）開設できたような覚えが･･･。
どのようにして偽の口座が開設できたのか不明（身分証明書を偽造？）ですが、先般のドコモ口座のように簡単に口座が作れてしまう点は問題なのかもしれません。
とあるコメントによると、「偽の口座が簡単に作れてしまうことは、今の日本は不正出金だけでなくマネーロンダリングのリスクも非常に高い状態（今の日本はマネロン天国）」とのこと。
･･･となると、【口座開設時】のセキュリティ（本人確認）も重要ですね。う～ん(^^;)

現在のSBI証券は!?

　SBI証券では、WEBからの振込先金融機関の変更ができません。書面での手続きです。いわゆる「出金先銀行口座登録における本人確認の強化」ということですね。抜本的対策ではありませんが、有効な手段です。どこの証券会社も同じような対策を取っています。

SBI証券では、監視・認証・本人確認・その他･･･と再発防止策を検討されているようです。
特に、認証では
・【二要素認証】
　一定時間に一度しか利用できないワンタイムパスワードを利用したログイン認証の導入
・【リスクベース認証】
　普段と異なる環境からのログインを検知してお客さまに通知、アクセス遮断を行う仕組みの導入
・お客さまのお手元のスマートフォンなど、特定の端末からのアクセスのみを許可する機能の導入
・当社WEBサイトへの接続にかかる暗号化通信のさらなる高度化

二要素認証はセキュリティ強化の点で良いのですが、証券会社側からは「手間が増え、顧客の利便性に大きくかかわるので悩ましい」という声も聞こえます。･･･あらら(^^;)

実は、SBI証券にはログイン時の強力なセキュリティ対策があります!!（いつからあったっけ!? ）
その名も【PC登録あんしんサービス】
これは、「自身が利用するPCを認証することにより、SBI証券のWEBサイトにログインできるPCを制限でき不特定多数のPCからはログインができない。
つまり、仮に第三者にユーザーIDとパスワードが盗まれても、登録が行われていないPCからは、SBI証券のWEBサイトにログインできないということ。･･･ムムム凄い!!(^^;)

しかし、かなり有効なセキュリティなのにSBI証券では大きく宣伝していません。
･･･ん？　なるほど、これは手間がかかります!!　はっきり言って面倒くさい!!　確かにセキュリティの強化は、顧客の利便性に大きくかかわりますねー!!
それに、取り引きはスマホですかね!?　このサービスの対象はPCだけです。う～ん(^^;)

良い機会なので口座管理の見直し!?

良い機会なので、証券・金融機関の口座をチェックしてみてはいかがでしょうか？
IPO愛好家は、複数の証券口座をお持ちのはず･･･たぶん!?(^^;)

あくまで管理人の考えですが、ポイントは、
・複数ある証券口座のID・パスワードを同じにしていないか？
　IDについては、証券会社によって口座番号というところもありますが･･･。
・ログインパスワードと取引パスワードを同じにしていないか？
　セキュリティの点からパスワードは「長い・複雑（英の大小・数字・記号の組み合わせ）」ほど
　良いと言われますが（これは本当!!）、もの凄いヤツほど忘れてしまうと!!･･･ムムム(^^;)
・忘れ防止のためのパスワードは、どこにメモしたら良いのか？　スマホ!?・ＰＣ!?
　落としたら？置き忘れたら？起動しなくなったら？　家から持ち出さない手帳という手も･･･？
　証券のパスワードで可能かどうか知りませんが、「グーグルが覚えていてくれるから安心!!」
　あれ大丈夫!?　管理人はそこまでグーグル信者ではありません!!　注）個人的な意見です。
・定期的にパスワードの見直し（変更）をしているか？
　パスワードの変更におけるセキュリティの是非はありますが、年に１回くらいは見直しても？

今回の被害者は、「パスワードはスマホ内のメモで管理。取引パスワードは、口座開設時からログインパスワードと同じ」だったとのことです。ありゃりゃ･･･(^^;)