家計簿アプリにネットバンキングのパスワードを含むアカウント情報を登録することの是非 68
どうしてもやりたいなら毎回入力させるのが一番安全ではある 部門より
最近の家計簿アプリでは、ネットバンキングサービスから自動的に残高や入出金記録を取得して記録する機能を備えているものがあるそうだ。この機能を利用するためには、アプリにネットバンキングのパスワードを含むアカウント情報を登録しておく必要があるのだが、これについての是非が議論されている（ツイナビ：いやー、家計簿アプリ業界、そのうち絶対にヒドい事件がおきると予想します）。
例として上がっているのは「Zaim」や「MoneyForward」という、いわゆるクラウド型のサービス。入力した認証情報はこれらサービスを運営するサーバー側に保持されることになる。記録されるのはログインIDやパスワードと言った「最低限の情報」とされているが（Zaim）、サービスや連動するネットバンキングサービスによってそれ以外の情報も登録が必要で、たとえば新生銀行との連動の場合、暗証番号についても入力が必要だったり、いわゆる「秘密の質問」の登録が必要となる場合もあったりするようだ（MoneyForward）。
まず懸念されるのが、これら情報がハッシュなどのほぼ不可逆な形ではなく、アルゴリズムや暗号化キーなどが分かれば復号できる形で保存される点だ。この場合、万が一情報漏洩が発生した場合の影響は大きくなる。
また、「振り込みなどの操作に必要となる暗証番号やパスワードについては保存していないため万が一情報が漏洩しても実質的な影響は少ない」との意見もあるが、このようなリスクの高い秘密情報についてカジュアルに入力させている場合、たとえば悪意のある攻撃者がフィッシングサイトを作ってさらなる情報を入力させようとしたり、口座アカウントの窃取を狙って作られたアプリが登場した場合に違和感を感じにくくなるという問題がある。
ちなみにZaimもMoneyForwardも、利用規約の免責事項で「サービスを利用によって発生した損害については一切の責任を負わない」とされているので、万が一情報が漏洩して金銭的な損害が発生した場合、損害賠償などを請求できない可能性がある。これら機能を利用する場合はご注意を。
金融機関の規約との関連性 (スコア:5, 興味深い)
金融機関に限らずだけど、パスワードとIDを使うサービスは、利用者自らIDとパスワードを第三者に渡していた事がわかっている場合は、詐欺などに遭った場合でも補償が受けられないのが普通だよね
誰か第三者に渡したパスワードが漏れていた事が原因だとはっきりしていないケースでも、誰かに渡してると言った時点で重過失が原因と認定されてしまい、補償が受けられなくなる。正規のIDとパスワードでログインされた場合は、サービス側は偽物かどうか区別ができないから当然だわな。
たとえ犯罪に巻き込まれた場合でも、重過失扱いされる。
と言うかこれらのアグリケーションサービスでも利用規約にしっかりと、パスワードとIDはユーザが管理しろ、責任は持たないぞと書かれている。
そういう利用規約というか、監督官庁の承認が行われている金融機関の取引約款に対して、これらのサービスはどう扱われてんだろ。どう整合性をとってるんだろ。
金融に関しては、宣伝上では安全安全と言いながら、細かい文字で書かれた部分には補償しませんとか書いてある、みたいな、Webサービスでよく見られるやり口は駄目ね。
んな事をやっていると監督官庁から指導を受けるし、何よりそれを理由に裁判にでもなれば大損害を受ける事になる。信用商売だし。
これらのWebサービスは関連する分野にまで進出しているにもかかわらず、それらに対してあまりにも無防備すぎると思うんだが。どうやってんだろ。
銀行に無断でやっているところもあるのでは？ (スコア:5, 参考になる)
把握済みの不具合 [zaim.net]を見てみると、
となかなか香ばしい状況になっているようです。
銀行が承認しているサービスであるならば、ブロックされたからIPアドレスを変更するという行動にはならないはず。2ch.net に対する 2ch.sc のようなサービスなようですね。
銀行の承認を得ずにIDとパスワードを収集しているのであれば、セキュリティソフトがブロックしても問題ないような危険なサービスだと思います。
Re: (スコア:0)
なんでそこで2ch.scが出てくるのかがよく分からん。
クローラの事を言いたいのかもしれんけど、現在の.net運用者が横領犯な状態のヤツを例にだすなよと。
重度のマネーフォワード依存症患者です (スコア:4, 興味深い)
そもそも１つのクレジットカード会社に、支出のかなりの部分を見られていたので、
元はクレジットカード会社のcsvで支出内訳を管理をしていた（というかその目的で支払いを寄せていた）のですが、
カード明細では「amazon」としか表示されない、amazonと、あと楽天での購入額が多すぎかつ、仕訳（本とか飲料とか日用品とか）が多彩すぎて、
そいつらの中身もきちんと仕訳しないと、より事実に近い支出内訳が管理出来ないんだけど、
３つの支出データをマージするのは、それなりに大変だよね。。。
というちょうどそのときに、マネーフォワード様が舞い降りたのです。。。
なんというかこう、自分ではとても数えきれない、自分のケツの毛の本数を、
毎日きちんと他人様に数えて貰える快感があるわけですよ。
流出のリスクを上回る満足度があるわけですよ。
リスクと比較しても満足なんだから、仕方がない。
という、重度のマネーフォワード依存患者です。
Re: (スコア:0)
> ３つの支出データをマージするのは、それなりに大変だよね。。。
支出ではなく買ったものの管理のために、昔々スクレイピングでやったけど面倒だったね。サイトデザインが変わるとやり直しだし
参照パスワードと振込パスワードが分かれているところは登録してます。 (スコア:3)
履歴の参照までのパスワードと、それ以降の処理(振込)のパスワード(第2認証？)と
分かれているところは登録しています。
まあ、登録には注意したいですね。
#Suicaの交通機関以外の記録が全部「物販」になってしまうので、かえって判りづらいです。
#個人的にはWAONなどは、購入の明細まで履歴が取れると嬉しいのですが・・・・
家計簿Webアプリのサーバが乗っ取られたら 20億円 の被害が出るかも (スコア:2)
現在、ネットバンキングでは、ログイン時に ID(もしくは口座番号) と パスワード が要求され（過去にログインした時のCookieが無い場合、IPアドレスが変わった場合などに追加で合言葉が要求される銀行も多い）、振込時にはワンタイムパスワードや乱数表の一部を入力する方式が主流なので、乱数表を全部入力させるというふざけたサービス [twitter.com]を除けば、家計簿Webアプリ側は直ちに不正振込が行えるだけの情報を持っていないことになります。
しかし、家計簿Webアプリのサーバが乗っ取られた場合、クラッカーがWebアプリを改ざんし、ソーシャルエンジニアリングでワンタイムパスワードなどを入力させようとするかもしれません。例えば、家計簿サービスにログインして銀行から取引履歴を取得する作業を行ったときに、
というメッセージを表示させたら、50人に1人ぐらいは引っかかるのでは？
マネーフォワードは200万人利用者がいる [moneyforward.com]そうですが、そのうち銀行口座を登録している人が50万人居て、ソーシャルエンジニアリングに引っかかる人が50人に1人居て、1人が送金可能な金額が平均で20万円だとしたら、被害額は20億円 となります（※）。2014年のネットバンキング不正振込の被害額が全銀行で 約29億1000万円 であることを考えると、物凄い金額です。 [jiji.com]
※出典: Printable is bad. によるフェルミ推定 (データは推測によるもので信頼性は確保されていません)
ということで、被害が出る前に、銀行側でも対策すべきだと思います。現実的な対策としては、
が挙げられます。既に両方やっているみずほ銀行は凄いと思います。
Re: (スコア:0)
その例であげられている新生銀行は、ログイン時に全部入力しないとダメで、ログイン以降の振り込み時認証などはないという「非主流」です。（口座番号、カードの暗誦番号４桁、ネットバンク用パスワード、乱数表から4桁入れないとログインできない）
なので、新生から情報を引っこ抜こうとすれば、どうしてもそういうものになります。
前からずっと思っていましたが、まあフザケタ銀行ですネ。
Re: (スコア:0)
システムパッケージを格安で買ってきた結果、あれこれ変更できない、と聞いた気が。
少なくとも時代遅れ感はハンパないですね。。。
Re: (スコア:0)
１万人をソーシャルエンジニアリングにかける手間を考えたら２０億円なんて大した価値ないと思うよ。
同時多発的に１０００種類の犯罪グループがソーシャルエンジニアリング始めるなんて可能性はゼロではないけれども。
Re: (スコア:0)
大量にばらまいて0.1%でも引っかかったら儲けになるスパムやらフィッシングやらがこんだけ蔓延ってる今、数の手間は問題にはならんだろ。
利用者だけど (スコア:1)
上で挙がってる「Zaim」を使ってます。
正直、銀行との紐付け機能を使う時にはビビりました。
でも自分のところの銀行はログインパスワードと決済用パスワードと暗証番号があって、紐付けにはログインパスワードと口座番号しか必要無かったので、試してみる気になれました。もちろん口座残高や摘要欄が流出してしまうのは覚悟の上です。
もしこれが上で挙がっているように暗証番号や秘密の質問まで必要だったなら、絶対に試さなかったと思います。
個人的にはFacebook並の細かなコントロールできるoAuth認可に銀行側が対応するのが理想的なのですが、今の銀行のスピード感（笑）じゃ無理でしょうね。
Re:利用者だけど (スコア:1)
oAuthも欲しいし、そもそもアメリカのSimpleのような、家計簿アプリを売りにした銀行が出てきて欲しい。
https://www.simple.com/ [simple.com]
Founded: 2009年だってよ。
いろんな分野でいつも思うけど、アメリカのスピード感、なんでこんなすごいの？
Re: (スコア:0)
今儲からなくても将来的に儲かりそうなら金だす投資家がいっぱいいるからでしょ。
日本人は性格的にリスクをとらないから、なかなかそういうハイリスクな投資が少ないかな。
Re: (スコア:0)
日本とアメリカを比べてるのに他の国を出されても…
Re: (スコア:0)
もちろん口座残高や摘要欄が流出してしまうのは覚悟の上です。
少なくとも家計簿サービスにその閲覧権を与えるだけの情報を渡すのだから、自ずとそういう覚悟になるんだろうな。
具体的な事故が発生する前にこの話題が燃え上がれば、銀行側の対応を促す力になるのかも・・・？
いち早く対応を宣言した銀行を褒め倒すとか。
MoneyLook（アプリ版）を使ってます (スコア:1)
一応、ローカルでパスワード保存しているので、流出はしないと信じたい。
保存アルゴリズムが解析されてかつウイルスでやられたらアウトだけど。
定期的に調子が悪くなって再インストール＆データの作り直しが必要なのと、
不具合があったらデフラグを推奨 [moneylook.net]している時点で技術力はあまり高くない感じ。
たぶん、データベースまわりにバグが潜んでる。
こんなもの作る側の神経がわからん (スコア:0)
ユーザーの銀行のパスワードを管理することに恐ろしさを感じない馬鹿か
またはもともと悪用する前提で作ったシステムなのか。
Re: (スコア:0)
新生銀行以外は読み込み用のAPIを用意しているらしいです。
Re:こんなもの作る側の神経がわからん (スコア:2, 参考になる)
三菱東京UFJ銀行はAPIではなくスクレイピングっぽい。
ログイン直後に表示するお知らせが未読になっていると情報取得に失敗するので。
Re: (スコア:0)
そういう風にTwitterで熱弁して大丈夫なんだと言いはってる人がいて調べたんだけど
具体的にそういう仕組みになってるんだと説明されているところがないんだよね…。
スクレイピングでやってると解説しているサイトならいくつか見つかるんだが
http://www.kyamada.com/posts/52c29957bedba54cda00013a [kyamada.com]
仮にAPI説が正しいとしたら、使っていると結構おきる銀行側のレイアウト変更なんかで同期がおかしくなくなる現象は起きないはずだし、
そもそもアカウントを入力させる必要は無いわけで、例えばoAuthまでは難しいにしても、昔あったNTT-comのアグリケーションサービスのように連携のトークンなんかを吐き出させる方式で十分なはずでしょ。
Re: (スコア:0)
やっていて当然だと思っている。
そうでないならやってはいけないな。
Re: (スコア:0)
やっていて当然だと思ってる対策をやってない連中がやらかしたトラブルが毎月のように話題になる昨今、やっていて当然だからやられているとは到底考えられない。
信用できない他人にこんな重要な情報預けるとかありえんわ。
銀行が家計簿アプリを作ればええやん (スコア:0)
Re:銀行が家計簿アプリを作ればええやん (スコア:1)
そうすると、イノベーションのジレンマに陥って、誰も手を出さなくなりそうな．．．
Re: (スコア:0)
通常のアカウントとは全く関係のない参照専用のアカウントを作成できて、
かつ全ての銀行で統一した形式のデータ出力ができれば十分でしょう。
需要はいくらでもあると思うんですけどねぇ。
魔法のキーワード 「無料」 「便利」 (スコア:0)
これだけで世の中の情弱どもは何も考えずに利用を始める。
該当のアプリの"レビュー"を見ても、便利というものばかりでそのリスクを認識してる人は極めて少なそう。というか認識してる人はそもそも使わないか。
アプリに入力するから、その情報があっち側にまでいってるとは思ってないのかも。
中には、「別の場所からログインされてた〜怖い」というレビューも一応あった。そりゃサーバーが代わりにログインして収集してるからね。
集めた情報もビッグデータとして利用してるだろう。誰がどれくらいの消費して給料はいくらか、なんてのもすべて把握されてる。
百歩譲って、すべてローカルアプリで完結(ローカルから各銀行などに取りに行く)してくれるなら検討の余地もあるけど、実際裏でどんな通信してるかわからないし、よっぽど信頼できるメーカーじゃないと無理かな。
# なので、家計簿はすべて管理アプリに手入力してますわ。
Re: (スコア:0)
># なので、家計簿はすべて管理アプリに手入力してますわ。
おもおか狙いでオチつけるやなｗ
アグリケーションサービスは信用してません (スコア:0)
弥生会計はYahoi Connectを通じて情報の自動入力できるのがウリですが、これもMoneyLookやzaim経由なので、事業用の口座情報を載せるのは著しく抵抗があります。
まず (スコア:0, フレームのもと)
最近の家計簿アプリでは、ネットバンキングサービスから自動的に残高や入出金記録を取得して記録する機能を備えているものがあるそうだ。この機能を利用するためには、アプリにネットバンキングのパスワードを含むアカウント情報を登録しておく必要があるのだが、
「アプリにネットバンキングのパスワードを含むアカウント情報を登録しておく必要がある」
って思っているのが間違い。
通常はリードオンリーのトークンを持てばいいので「パスワードを含むアカウント情報を登録しておく必要がある」という知識は間違い。
通常のウェブアカウントと、APIのアカウントの違いを把握しないで能書きを述べたところで意味はない。
そうなの？ (スコア:1)
「リードオンリーのトークン」を発行できて云々できるようなAPIを、「通常」のネットバンキングサービスは持っているものなの？
そういうAPIが無いから、ユーザと同じ入り口からIDとパスでログインしてさらに入出金記録をリクエストして～的な力業をやっているのかと。
Re: (スコア:0)
そういう力業使わないとダメならつかっちゃダメってはなしでしょ。
Re: (スコア:0)
まったくだ。
通常のアカウントしかないからといって、APIアカウントのような使い方をさせるサービスを作ると言うのが信じられん。使う奴はもっと信じられん。
Re: (スコア:0)
ちゃうねん。最近の家計簿アプリの機能を利用するために要るんよ。残高や入出金記録を取得して記録する機能が本質的にパスワードを含むアカウント情報を必要としているというふうには書いとらんからそう読んだらあかんねんな。
オンラインバンキングにマッシュアップできるAPIなんぞ無いから、不正アクセスで実現してるのだな。
リスク管理の問題 (スコア:0)
まぁばかにされるだろうけど、最悪全部が流出しても大丈夫と考えているので、普通に使っています。
そんな大金も扱ってないの悲しいAC
Re: (スコア:0)
金が無いから大丈夫って、まさかクレカを登録してないよね
登録してたら最悪、不正発覚時に利用枠一杯までできるぞ。
アカウント登録してるから3D セキュアも突破できるし。
もっとヤバイのは証券会社のアカウントだが、金が無いから大丈夫って理論の人には当てはまらないか。
Re:リスク管理の問題 (スコア:2)
> 登録してたら最悪、不正発覚時に利用枠一杯までできるぞ。
クレジットカードサイトからカード番号が見えると勘違いしていると思われる。利用記録が見えても下の数桁は伏せ字になっていませんか。請求額の確認やポイント還元の申し込みはできても買い物はできませんよ。
銀行口座にしたって、ログインできる権限で資金移動できる銀行っていまどきあるのでしょうか。MUFG とゆうちょ銀行は少なくともできない。（ゆうちょは無料のハードウェアトークンを敢えて使わないならできるかも）
Re: (スコア:0)
＞ログインできる権限で資金移動できる銀行
はい、新生銀行がありますね。昔からそうです。
Re: (スコア:0)
これらのサイト、有償サービス全部クレカ払いなんですけど…
Re: (スコア:0)
犯罪に使われる可能性はリスクに含まれないのか…
その昔、Microsoft Moneyというのがあってだな.... (スコア:0)
タイトルオンリー
Re:その昔、Microsoft Moneyというのがあってだな.... (スコア:3)
Microsoft Money発祥のOFX形式で履歴をエクスポートできるネットバンキング多いですね。
OFXダウンロードして家計簿ソフトに取り込めば、アカウント情報渡さなくて済んで安心
Re: (スコア:0)
便利に使ってたのになぁ。
なんで廃止されてしまったんっ！！
Re: (スコア:0)
CSVだと各社フォーマとが違うのでその変換作業や、読み込み済みデータとの重複処理が面倒なんですよね。
Microsoft Moneyが開発停止になってMaster Moneyに乗り換えたけれど。これもあまり開発に力入れていないみたいで
消去法で仕方なく使っている感があります。
株とか投資信託の日々の時価まで記録してくれるソフトがあれば最高なのですがね。
Re:その昔、Microsoft Moneyというのがあってだな.... (スコア:1)
あー、同じ経路でMaster Money使ってます（笑）
MS Moneyはあれですよね、Money側から情報を採りに行くのではなくて、銀行のWebサイトから
データをダウンロードして、MS Moneyで開くという形式だったからアカウント情報を
アプリに持たせる必要はなかったんですよね。
便利だったのにほんと残念。
Master Money、悪くは無いんだけど、なんというか、色気がないというか地味というか。
Re: (スコア:0)
あれは別に危険なパスワードの扱い方とかしてなかったけどな
Re: (スコア:0)
Agurippaがアレでした。
Re: (スコア:0)
いや、Agurippaはきちんとトークンで管理してただろ。
当時サービスに口座を追加する時は、Agurippaのサイトで登録して、対応している金融機関に登録するとなんか承認番号みたいなのが出てきて、それをAgurippaの方に再入力させるという形になってた。参加銀行の全部がそうなってたかはわからんけど。
少なくとも、参加している銀行やカード会社なんかにはきちんと許可を取ってたはず。
そのせいで対応金融機関がなかなか増えず(っていうかNTTの顧客だけで）、パスワードをそのまま預けさせスクレイピングで取り込ませるという非常識な方法で対応金融機関を増やしたサービスに負けて今に至るという感じではあるのだが。
Re: (スコア:0)
#たぶんWindows10になっても使うだろうな・・・
これら機能を利用する場合はご注意を。 (スコア:0)
これに尽きる。
注意しない、あるいは注意する能力がない奴は
金盗まれてりゃいいよ。