今まで積み上げたほとんどの金融資産はネット証券、ネット銀行においているが、ふと、セキュリティって大丈夫？と考えた。FIRE後はハッキングされて資産を盗まれるキャッシュフローがないので人生詰んでしまう。リスクをきちんと整理し、多少コストをかけてもセキュリティは固めておくべきと考えた。
備えるべきリスク
まずはどういったリスクを想定するか。そのリスク回避策、顕在化時の被害損失、普段使いの利便性を考慮して対策を考える必要がある。
備えるべきリスクは、以下と想定した。以下でそれぞれのリスクについて考察する。
- フィッシングによりログインパスワードを奪取され、ネット証券に不正ログインされる
- AI等によりパスワードを類推され、ネット証券に不正ログインされる
- パスワード総当り攻撃によりログインID・パスワードが一致しネット証券に不正ログインされる
- ネット証券に不正ログインされた上に、設定変更され他人の口座に出金される
- Googleアカウントへ不正ログインされ、利用している金融機関のパスワード一覧を奪取される
- スマホを紛失しGoogleアカウントにログインできなくなる
- スマホを盗難された上に画面ロックが破られ、GoogleアカウントおよびSMSを奪取される
- クレジットカードの番号を不正利用される
- 暴力によりスマホの操作を強要され、他人の口座に出金させられる
フィッシングによるパスワード奪取
普段使いの中で最も気をつけなければならないケース。それっぽいメールやSMSのリンクをクリックして正式なサイトと勘違いしてパスワードを入力してしまうケースである。今は本文等の日本語が怪しいためなんとなくわかるが、今後AIや自動翻訳が進化してくるとより完成度の高い詐欺メールが飛んでくると想定される。気をつけるのはもちろんであるが、ついうっかりログインしてしまう可能性は低くない。
対策としてはパスワードを自動入力するブラウザのパスワードマネージャの利用を推奨する。パスワードマネージャで全てのネット証券のパスワードを保存するのはそれはそれでリスクがあるという考え方もあるが、ブラウザが常にサイトが正式なものかどうかを判別してくれるほうがリスクが低いと考える。フィッシングサイトに誘導された場合、いつものようにパスワードが自動入力されないため、パスワードを入力する前にフィッシングサイトであることを気づくことができるためである。
パスワード類推によるパスワード奪取
パスワードの使いまわしや、単純なパスワードや覚えやすい自分ルールで設定したパスワードを使っている場合、類推によるパスワード奪取のリスクがある。攻撃側のAIもどんどん賢くなってくるため、人間が思いつくようなパターンは破られるリスクが高い。
対策としては、やはりパスワードマネージャの利用である。サイトごとに英数字記号を混ぜたランダムで長いパスワードを生成し、パスワードマネージャが記憶する。記憶に頼るとこのような運用はできない。メモアプリにパスワードを保存して入力する運用は、漏洩時のリスクとしてはパスワードマネージャと変わらない。紙のメモは利便性が低い上にその紙を紛失するリスクがあるためイマイチ。
総当り攻撃によるパスワード奪取
短いパスワードや、一部に英単語を使ったパスワードを使っている場合、総当たり攻撃でパスワード奪取のリスクがある。
対策としては、やはりパスワードマネージャの利用である。十分に長いランダムなパスワードを生成すれば、総当たりによる奪取の可能性は極めて低くなる。セキュリティ意識の高い金融機関のサイトであれば、ログイン失敗回数が一定数を超えると、アカウントをロックしたり、次のログインまでに時間を置かなければならないような仕様となっているため、全パターンの試行に数百年かかるようであれば、十分に安全と言える。
不正ログインされた上に他人の口座へ出金される
上記の対策を取っていれば、不正ログイン自体はほぼ回避できる。加えてセキュリティ意識の高い金融機関のサイトであれば、証券の売却、出金、振込や振込先金融機関変更、ワンタイムパスワード送信先メールアドレスやSMS携帯番号の設定変更等、特に重要なアクションの場合に、ログインパスワードとは別の取引パスワードのような追加認証の仕組みを備えていることが多い。この場合、攻撃者は、ログインパスワードを破るだけでなく、もう一つ認証を破らなければ出金できず金銭損失は発生しない。
確率は低いとはいえ、ログインパスワードを破れたのなら取引パスワードも破られる可能性がある。さらに対策を取るなら取引パスワードだけに依存しないような構成を採用する。証券会社に関しては出金先口座変更を守れば良い。郵送でしか出金先口座変更ができない証券会社であれば、登録済みの自分の銀行口座にしか出金できないため金銭的損害は発生しない。銀行に関しては、振込、認証関連の設定変更に関して多要素認証が必須になるように構成する。
パスワードマネージャ（Googleアカウント）の奪取
これまでの前提として、パスワードマネージャによるパスワードの一元管理を推奨してきたが、そのパスワードマネージャが奪取されると逆にすべての金融機関へのログインが可能となってしまう。ここを集中して守る必要がある。
パスワードマネージャは、複数の選択肢がある。LastPassや1Password等の専用製品、Googleパスワードマネージャ、Microsoft Authentificator等。ここではGoogleパスワードマネージャを選択した。
理由は、Chromeを普段使いしており、Chromeを使っていればアドオンなしでPCでもAndroidでもiPhoneでも使えること。Googleへは個人情報はすでに提供してしまっており信用するしかないこと。個人情報の提供先をこれ以上増やしたくないこと。将来に渡ってサービスが継続される見込みが高いこと。
Googleアカウントの守り方に関しては、必ずMFA認証を設定し、新規デバイスでログインをするには、承認されたデバイス上のMFA承認がないとできないように設定する。
また、まれに、ネットのサービスでアカウント作成時に「Googleアカウントでログイン」という選択肢が出ることがあるが、これはそのネットサービスにGoogleアカウントへの権限を与えることとなる。該当ネットサービスがハッキングされた場合、Googleアカウントへ影響を与える可能性があることからこの機能は使わず、サイトごとに専用のアカウントを作成するようにする。
スマホ紛失によるGoogleアカウントログイン不可
スマホでGoogleアカウントのMFAを設定する際、代替手段を準備しておかなければ、そのスマホを紛失した場合にGoogleアカウントへログインできなくなりロックもできずに詰んでしまう。
対策としては、Androidの他に、あらかじめログイン済みデバイスを複数確保しておくことが必須。自宅のパソコンでもいいし、スマホを2台持つのも良い。また、家族のメールアドレスを代替アドレスとして登録しておくことや、バックアップコードを発行し印刷または自宅PCへ保存しておく等もしておくべき。
スマホ盗難に加えスマホの画面ロックが突破される
スマホはGoogleアカウントのMFAの承認用デバイスとなっている。また、各種金融機関のアプリもインストールされており、アプリ上にIDパスワードを保存していることも多い。その他ブラウザの履歴、Googleアカウントの設定、Googleのパスワードマネージャに関しても、画面ロックが突破されればすべて不正利用可能である。
対策としては、紛失時に速やかにGoogleアカウントをロックすることが必要。出先でもロックできるよう、家族のGoogleアカウントからロックできるようにしておくと良い。また携帯キャリアのロック機能も確認しておく。発生する可能性が極めて低いとはいえ、この事態の被害は大きい。最悪、金銭的に詰まないようにするために、金融機関の出金に対してのセキュリティを高めておく必要がある。
まず、資産の大部分を保存している証券会社を特定し、その証券会社の出金先として登録している銀行を特定する。証券口座とマネーブリッジ等を使って自動出金可能になっている銀行も同様。この証券会社と銀行を優先して守る。
前述の通り、証券会社は出金口座変更を郵送でしかできないようにすることで対応。銀行に関しては、振込、認証関連の設定変更を、普段持ち歩かないスマホでMFA承認できるように構成する。メールやSMSは奪われている前提であり、紛失スマホだけで出金承認ができてしまうメールやSMSはを使ったワンタイム認証は有効ではない。
このため常に自宅においておくスマホをもう1台準備し銀行のMFA認証アプリをこちらへ導入する。電話番号も必要になることが多いため、キャリア回線も契約する。自宅で使う想定であるためほぼWIFI運用となるため最低限の回線契約で良い。多少費用がかかるが数千万の金融資産を守る保険と考える。
普段使いのスマホには銀行のMFA認証機能を持ったアプリはインストールしない。ほとんどの銀行では銀行アプリの一部としてMFA認証機能を持っており、また、1口座1アプリのみインストール可能としているため。家計簿アプリを普段使いのスマホにインストールすることで、安全に残高、取引履歴の確認は行える。振込は出先から行わなければならない必要性はそこまで高くないためセキュリティを優先し制約として受け入れる。
出金口座変更を郵送のみとしている証券会社では、普段使いのスマホに証券会社のアプリをインストールして良い。出先から資産残高の確認、タイムリーに取引を行うことができる。
また、QR決済アプリや無料出金アプリ、プリペイドカードアプリも注意。QR決済アプリには引落銀行口座を登録しない。無料出金アプリは普段持ち歩くスマホにはインストールしない。プリペイドカードアプリはチャージ元として銀行口座を登録しない。
証券会社と連結していない銀行で、残高が少ない銀行に関しては、利便性を考慮し普段使いのスマホにMFA認証アプリをインストールしても良い。また、出金アプリはQR決済アプリに引落銀行として登録しても良い。
PayPayは月間チャージ上限を設定できるため、被害を抑えることができる。PayPayのMFA認証を自宅スマホに設定すれば月間上限の変更ができなくなる。この設定を入れれば普段使いのスマホにPayPayをインストールし、証券会社と連結した銀行口座を出金元として登録しても良い。
電子マネー（Suica/Edy/nanaco）に関しては、携帯紛失時点で残高はあきらめるしかない。なくしてもあきらめがつく程度の金額をチャージしておくこととする。
クレジットカード番号を不正利用される
ネットショッピングは便利ではあるが、クレジットカードの番号と有効期限とセキュリティコードの総当たりによりログインせずに、不正利用されてしまう。クレジットカードは身に覚えのない請求は拒否できるため、利用履歴をこまめに確認することが大事である。拒否にもカード会社との調整が必要になってしまうため、3DSecureの機能があるものに関しては、必ず有効化しておく。3DSecureの多要素認証に関しては、利用頻度が高いため普段使いの携帯、メールでの多要素認証も許容する。クレジットカード会社の専用アプリは出金機能はないため普段使いのスマホへインストールしてよい。
デビットカードも不正利用補償がついていることが多いが、クレジットカードと違い、引き落とされてから取り戻さなければならないため、カード会社との調整が難航する。また、銀行口座残高をすべて利用されてしまうリスクもある。持ち歩かない銀行のデビットカードは上限0円としておくべき。
プリペイドカードに関しては、不正利用補償はついていないことが多い。あまり多くの金額をチャージしたままにせず、最低限の金額のみチャージするようにする。不正利用時はあきらめる覚悟が必要。プリペイドカードアプリは普段使いのスマホにインストールしてよいが、チャージ元として銀行口座は登録しない。
暴力によりスマホから金融資産の出金を強要される
殺されない、怪我をさせられないことが重要で多少の金銭被害で済むのであれば指示に従うべき。
財布の現金程度で済むならそれを渡してその場を収めたい。キャッシュカードでのATMの出金可能額は最低限に設定しておく。スマホに銀行アプリが入っていないため、ATM出金上限はその場では変更できない。振込もその場では行えない。物理的に無理な状況を作っておくのが大事。
対策のまとめ
- 各種ログインパスワードはGoogleパスワードマネージャで管理する
- Googleアカウントは多要素認証を有効にする
- サービス登録の際、「Googleアカウントでログイン」は利用しない
- スマホ画面ロックは最後の砦。生体認証を利用し代替手段としてパスワードを利用する
- 携帯紛失に備え、Googleアカウントログインのバックアップ手段を取っておく
- 証券会社の出金口座変更は郵送でのみ行える証券会社を利用する
- 銀行の振込、設定変更はアプリによるMFA認証必須とする。（✕SNS、メールワンタイム）
- 銀行アプリ、送金アプリは、自宅据え置きの2台目スマホにインストールする
- 普段使いスマホのQR決済アプリ、プリペイドカードアプリには銀行口座は登録しない
- ATM出金上限、デビットカード利用上限は最低限に設定しておく
- クレジットカードの3DSecureは必ず有効化し、利用明細はこまめにチェックする
- プリペイドカード、電子マネーへのチャージは、あきらめられる程度の金額のみチャージする
コメント