“延焼”続くゆうちょ銀行、なぜ被害をすぐに公表しなかったのか 対応遅れに、池田社長「反省している」：被害総額6000万円（2/2 ページ）

[秋山未里，ITmedia]

カードIDは何度でも入力可能な状態　「リスク感度が鈍かった」

　同行は、外部と連携する即時振り替えサービスから被害が発生した原因として、二要素認証を導入していなかったことを挙げている。24日現在、被害が発生していないサービスも含め、二要素認証を導入していない決済サービスとの連携は全て停止。各サービスで二要素認証の導入を進めている。

mijicaを利用した不正送金被害のイメージ

　自社発行のmijicaでの被害は、会員サイト「mijicaWeb」への不正アクセスによって起きた。mijicaWebへのログインにはID・パスワードが必要で、送金時には送金者（被害者）が保有しているカードの裏面に記載してある5桁のカードIDを入力する必要もある──と同行は説明したが、この5桁のカードIDは入力を間違えてもロックが掛からない仕組みで、第三者が何度でも入力できる状態だったという。

　池田社長はセキュリティ対策の甘さについて、「決済事業者との連携については、両社の間で安全性を議論してきたが、もう少し積極的な点検が必要だった」「自社サービス（mijica）については、新しい事業として手を掛けていた『ゆうちょPay』を優先して、mijicaへの対応が後手に回った」と説明した。「（全体を通して）リスクの感度が鈍かった」（池田社長）

池田社長が直接指揮するタスクフォースを設置

　今後の対応として、池田社長が直接指揮するタスクフォースを設置。即時振り替えサービス、ゆうちょPay、mijicaを対象に、決済事業者との取引の見直し、認証方法などセキュリティ対策の改善、モニタリングと補償などの“総点検”を10月末まで行う。ゆうちょPayなど、現在も通常通り提供しているサービスは、停止せずに進めるという。

　池田社長は、認証を突破されたときも一定の期間で止めるという対策を講じたいとし、そうした仕組みの導入も検討しているという。

　また、ゆうちょPay、mijica、即時振り替えサービスが連動していないことにも問題があると指摘。システムを連動させ、ガイドラインを設けて運営していく方針を説明した。「サービスを提供する責任をもう一回深く考え、対応したい」（池田社長）

ゆうちょ銀行の池田社長・田中副社長が謝罪＝9月24日、記者会見で撮影