金融アプリ、決済アプリ、EC、会員サービス、証券アプリなどでは、ユーザーのアカウントを守るために不正ログイン対策が欠かせません。
不正ログインとは、第三者が本人になりすましてサービスにログインする行為です。
一見すると、ID・パスワードを強くすれば防げるように思えるかもしれません。
しかし実際には、フィッシング、パスワードの使い回し、情報漏えい、マルウェア、端末リスクなどが組み合わさることで、ID・パスワードだけでは防ぎきれないケースが多くあります。
IPAも不正ログイン被害への対策として、パスワードの作成・管理方法だけでなく、多要素認証の設定について情報提供しています。つまり、不正ログイン対策では、パスワードだけに依存しない設計が重要です。
特に金融・決済アプリでは、不正ログインがそのまま不正送金、不正決済、登録情報変更、出金先変更などにつながる可能性があります。
この記事では、金融アプリ・決済アプリを運営する企業向けに、不正ログイン対策の基本と、ID・パスワードだけでは防ぎきれない理由を解説します。
不正ログイン対策とは
不正ログイン対策とは、第三者が本人になりすましてアカウントへログインすることを防ぐための対策です。
具体的には、次のようなリスクを検知・防御します。
| リスク | 内容 |
|---|---|
| フィッシング | 偽サイトや偽アプリに誘導し、ID・パスワードを盗む |
| パスワードリスト攻撃 | 他サービスから漏れたID・パスワードの組み合わせでログインを試す |
| ブルートフォース攻撃 | パスワードを総当たりで試す |
| アカウント乗っ取り | 正規ユーザーになりすましてログイン後の操作を行う |
| マルウェア・不正アプリ | 端末上で入力情報や認証情報を盗む |
| 不正端末からのアクセス | Root化・Jailbreak端末やエミュレーターから利用される |
| ログイン後の不正操作 | 送金、決済、登録情報変更などを不正に行う |
不正ログイン対策というと、ログイン画面だけを守るイメージがあるかもしれません。
しかし、金融・決済アプリでは、ログイン後に何をされるかまで含めて考える必要があります。
そのため、不正ログイン対策は、単なる認証強化ではなく、本人確認、端末確認、アプリ保護、取引監視、運用対応まで含めた多層的な対策として設計することが重要です。
ID・パスワードだけでは防ぎきれない理由
ID・パスワードは、もっとも基本的な認証手段です。
しかし、ID・パスワードには大きな弱点があります。
それは、一度盗まれると、攻撃者も本人と同じようにログインできてしまうことです。
金融庁は、証券会社等のインターネット取引サービスについて、ログインID・パスワード等の窃取や不正アクセス・不正取引の被害はどの事業者でも発生し得るとして、ログイン時・取引時・出金時・出金先銀行口座変更時の多要素認証や通知サービスの利用を呼びかけています。
ID・パスワードだけでは不十分な理由は、主に次の5つです。
1. フィッシングで認証情報が盗まれる
不正ログインの入口として多いのが、フィッシングです。
攻撃者は、金融機関、決済サービス、配送会社、ECサイトなどを装ったメールやSMSを送り、偽サイトへ誘導します。
ユーザーが偽サイトにID・パスワードを入力してしまうと、その情報を使って正規サービスにログインされる可能性があります。
金融庁も、SMS等に記載されたURLから金融機関サイトへアクセスせず、正しいURLをブックマークして利用することや、公式アプリを利用することを注意喚起しています。
つまり、ユーザーがどれだけ注意していても、巧妙な偽サイトや偽SMSによって認証情報を入力してしまうリスクは残ります。
2. パスワードの使い回しで突破される
多くのユーザーは、複数のサービスで同じ、または似たパスワードを使い回している場合があります。
そのため、あるサービスからID・パスワードが漏えいすると、別のサービスでもログインを試される可能性があります。
これがパスワードリスト攻撃です。
たとえば、あるECサイトで漏えいしたメールアドレスとパスワードの組み合わせが、金融アプリや決済アプリでも使われていた場合、攻撃者はその情報を使ってログインを試みます。
警察庁も、不正アクセス対策として、ID・パスワードの適切な管理、OSやソフトウェアの更新、ウイルス対策ソフト等の導入を挙げています。
企業側では、ユーザーがパスワードを使い回す可能性を前提に、不審なログイン試行を検知する仕組みが必要です。
3. ワンタイムパスワードまで盗まれることがある
ワンタイムパスワードやSMS認証を導入していれば安心、と思われがちです。
もちろん、ワンタイムパスワードは有効な対策です。
しかし、フィッシングサイト上でリアルタイムにワンタイムパスワードまで入力させられるケースもあります。
JC3は、フィッシングサイトにおいてインターネットバンキングのアカウントやパスワードだけでなく、ワンタイムパスワードや秘密の合言葉等を入力させる手口について注意喚起しています。
そのため、OTPを導入していても、ログイン元の端末、アクセス環境、操作内容、取引内容まで見なければ、不正を見落とす可能性があります。
4. ログイン後の操作までは防げない
ID・パスワードやMFAは、ログイン時の本人確認には有効です。
しかし、不正ログインが成立した後の操作までは、それだけでは十分に防げません。
たとえば、攻撃者がログインに成功した後、次のような操作を行う可能性があります。
- 登録メールアドレスを変更する
- 電話番号を変更する
- パスワードを変更する
- 送金先を追加する
- 送金限度額を変更する
- 出金先口座を変更する
- 高額送金を実行する
- 保存済みカードで決済する
金融・決済アプリでは、ログインできたかどうかだけでなく、ログイン後の重要操作を監視し、必要に応じて追加認証や一時停止を行う必要があります。
5. 端末やアプリが安全とは限らない
ユーザー本人が正しいID・パスワードでログインしていても、その端末やアプリの実行環境が安全とは限りません。
たとえば、次のようなリスクがあります。
- Root化されたAndroid端末
- JailbreakされたiOS端末
- エミュレーター
- デバッグ環境
- 不正アプリやマルウェア
- 画面オーバーレイ
- キーロガー
- Hookingツール
- 改ざんアプリ
- 通信の改変
OWASP MASVSでは、モバイルアプリのセキュリティ標準として、認証、通信、プラットフォーム連携、コード、改ざん・リバースエンジニアリングへの耐性などが整理されています。
また、OWASP MASVSのResilience領域では、改ざんされたプラットフォーム上でアプリが実行されることは危険であり、OSの完全性を確認する必要性が説明されています。
つまり、不正ログイン対策では、認証だけでなく、端末とアプリの安全性も確認する必要があります。
不正ログイン対策で確認すべき7つのポイント
金融アプリ・決済アプリで不正ログイン対策を設計する場合、次の7つを確認すると整理しやすくなります。
1. パスワードだけに依存していないか
まず確認すべきなのは、ID・パスワードだけに依存したログイン設計になっていないかです。
パスワードは、ユーザーの記憶や管理に依存します。
そのため、次のような問題が起きやすくなります。
- 推測されやすいパスワードを使う
- 複数サービスで使い回す
- フィッシングサイトに入力してしまう
- 漏えいしたパスワードを放置する
- パスワード管理がユーザー任せになる
企業側では、パスワードポリシーだけでなく、漏えいパスワードの利用制限、ログイン試行回数制限、異常ログイン検知、多要素認証などを組み合わせる必要があります。
2. MFA・多要素認証を導入しているか
MFAとは、多要素認証のことです。
主に次のような要素を組み合わせて本人確認を行います。
| 認証要素 | 例 |
|---|---|
| 知識情報 | パスワード、PIN |
| 所持情報 | スマートフォン、認証アプリ、セキュリティキー |
| 生体情報 | 指紋認証、顔認証 |
MFAを導入すると、パスワードが盗まれても、それだけではログインしにくくなります。
ただし、すべてのログインや操作で強い認証を求めると、ユーザー体験が悪化する可能性があります。
金融・決済アプリでは、ログイン時だけでなく、送金、出金、登録情報変更、端末変更などの重要操作時にも追加認証を設計することが重要です。
3. リスクベース認証を設計しているか
リスクベース認証とは、ログイン時の状況に応じて認証レベルを変える考え方です。
たとえば、普段と同じ端末・同じ地域・同じ利用パターンであれば通常ログインを許可し、リスクが高い場合だけ追加認証を求めます。
確認すべきリスクシグナルには、次のようなものがあります。
- 初めての端末からのログイン
- 普段と違うIPアドレス
- 普段と違う地域
- 深夜帯など通常と異なる時間帯
- 短時間で多数のログイン試行
- 複数アカウントへの連続ログイン
- ログイン直後の重要操作
- 端末情報の急な変化
リスクベース認証を使うことで、正規ユーザーの利便性を保ちながら、不審なログインだけを重点的に確認できます。
4. パスワードリスト攻撃を検知できるか
パスワードリスト攻撃では、大量のID・パスワードの組み合わせを使ってログインを試みます。
企業側では、次のような兆候を検知する必要があります。
- 短時間に大量のログイン失敗がある
- 特定IPから多数のアカウントへ試行している
- 多数のIPから同一アカウントへ試行している
- 成功率が不自然に低いログイン試行がある
- User-Agentや端末情報が不自然に似ている
- BOT的なアクセスパターンがある
対策としては、次のようなものがあります。
- レート制限
- アカウントロック
- CAPTCHA
- 不審IPのブロック
- BOT対策
- 漏えいパスワードの検知
- 成功・失敗ログインのモニタリング
- ログイン通知
ただし、過度なアカウントロックは、正規ユーザーのログイン妨害につながる可能性もあります。
そのため、リスクに応じた制御が重要です。
5. 端末リスクを確認しているか
モバイルアプリでは、端末の状態も重要な判断材料になります。
次のような端末からのログインは、リスクが高い可能性があります。
- Root化端末
- Jailbreak端末
- エミュレーター
- デバッグ環境
- 古いOS
- 不正アプリが存在する端末
- 端末情報が頻繁に変化する端末
- 画面オーバーレイが疑われる環境
端末リスクを確認できれば、不正ログインやログイン後の不正操作を早期に検知しやすくなります。
特に金融・決済アプリでは、危険な端末環境からのログインに対して、追加認証、一部機能制限、送金停止、利用停止などの制御を検討する必要があります。
6. アプリ改ざん・Hookingを検知できるか
不正ログイン対策では、アプリそのものの保護も重要です。
攻撃者は、アプリを解析したり、改ざんしたり、実行中の処理に介入したりすることがあります。
特に注意したいのは、次のような攻撃です。
- アプリ改ざん
- リパッケージ
- Hooking
- デバッグ
- メモリ改ざん
- 通信の改変
- 証明書ピンニングの回避
- キーロガー
- オーバーレイ攻撃
こうした攻撃に対しては、RASPやApp Shieldingのように、アプリ実行時の不正環境や改ざんを検知・防御する仕組みが有効です。
不正ログイン対策をログイン画面だけで考えるのではなく、アプリ実行環境まで含めて設計することが重要です。
7. ログイン後の重要操作を監視しているか
不正ログイン対策で見落とされやすいのが、ログイン後の監視です。
ログインに成功した後、攻撃者は次のような操作を行う可能性があります。
| 重要操作 | リスク |
|---|---|
| パスワード変更 | 本人のアクセスを妨げる |
| メールアドレス変更 | 通知・復旧経路を乗っ取る |
| 電話番号変更 | SMS認証や連絡手段を奪う |
| 送金先追加 | 不正送金の準備になる |
| 出金先口座変更 | 証券・ウォレット系サービスで重要 |
| 高額送金 | 直接的な金銭被害につながる |
| 端末追加 | 攻撃者端末を正規端末化する |
金融・決済アプリでは、ログイン時の認証だけでなく、ログイン後の重要操作に対して追加認証や一時停止を行う必要があります。
不正ログイン対策は「入口・認証・端末・アプリ・操作」で考える
不正ログイン対策は、1つの機能だけで完結するものではありません。
次の5つのレイヤーで考えると整理しやすくなります。
| レイヤー | 主な対策 |
|---|---|
| 入口 | フィッシング対策、不審URL対策、BOT対策 |
| 認証 | MFA、生体認証、リスクベース認証 |
| 端末 | Root化・Jailbreak検知、エミュレーター検知 |
| アプリ | 改ざん検知、Hooking検知、RASP、App Shielding |
| 操作 | 重要操作時の追加認証、取引監視、通知 |
不正ログイン対策では、攻撃者がどこか1つを突破しても、次のレイヤーで止められるようにすることが重要です。
たとえば、フィッシングでID・パスワードが盗まれても、MFAで止める。
MFAを突破されても、普段と違う端末やログイン後の異常操作で検知する。
端末が危険な状態であれば、送金や登録変更を制限する。
このように、多層的に防御することで、不正ログインから不正送金・不正決済へ進むリスクを下げることができます。
金融アプリ・決済アプリで確認したいチェックリスト
不正ログイン対策を見直す際は、次の項目を確認してみてください。
| 確認項目 | チェック内容 |
|---|---|
| パスワード管理 | 強度・使い回し・漏えいパスワード対策をしているか |
| MFA | ログイン時・重要操作時に多要素認証を使っているか |
| リスクベース認証 | 端末・IP・地域・時間帯・操作内容でリスク判定しているか |
| パスワードリスト攻撃対策 | 大量ログイン試行やBOT的アクセスを検知しているか |
| 端末リスク | Root化・Jailbreak・エミュレーターを検知できるか |
| アプリ保護 | 改ざん・Hooking・デバッグを検知できるか |
| ログイン通知 | 不審なログインをユーザーへ通知しているか |
| 重要操作監視 | 送金先追加・登録変更・高額取引を監視しているか |
| 高リスク時の制御 | 追加認証・一時停止・利用制限ができるか |
| 運用フロー | 検知後の確認・停止・顧客対応フローがあるか |
このチェックリストで弱い部分がある場合、不正ログインからアカウント乗っ取りや不正送金につながるリスクがあります。
よくある不正ログイン対策の落とし穴
パスワードルールを厳しくすれば安全だと思っている
複雑なパスワードを求めることは重要ですが、それだけでは不十分です。
ユーザーが同じパスワードを別サービスで使っていた場合、他サービスから漏えいした認証情報を使ってログインされる可能性があります。
パスワード強度だけでなく、MFA、リスクベース認証、ログイン監視を組み合わせる必要があります。
MFAを入れれば十分だと思っている
MFAは非常に重要ですが、それだけで完結するわけではありません。
フィッシングでワンタイムパスワードまで盗まれるケースや、ログイン後に重要操作を行われるケースもあります。
MFAに加えて、端末リスク、操作パターン、取引内容まで見る必要があります。
ログイン成功後を見ていない
不正ログイン対策では、ログインに成功した後の動きが重要です。
ログイン後すぐに送金先を追加する、出金先口座を変更する、高額送金を行うなどの動きは、不正の兆候になり得ます。
ログイン時点だけでなく、ログイン後の重要操作まで監視しましょう。
端末やアプリ側のリスクを見ていない
サーバー側でログイン情報だけを見ていると、モバイル端末やアプリ実行環境の異常を見落とす可能性があります。
Root化・Jailbreak、Hooking、改ざんアプリ、不正な自動操作などは、モバイルアプリ側の対策と組み合わせて確認する必要があります。
不正ログイン対策に必要な技術領域
不正ログイン対策では、次のような技術領域が関係します。
| 技術領域 | 主な役割 |
|---|---|
| MFA | パスワードだけに依存しない本人確認 |
| 生体認証 | 指紋・顔認証による利便性と安全性の両立 |
| リスクベース認証 | 状況に応じた追加認証 |
| デバイスフィンガープリント | 端末の識別・変化の検知 |
| BOT対策 | 自動ログイン試行の検知・制御 |
| Root化・Jailbreak検知 | 危険な端末環境の把握 |
| アプリ改ざん検知 | 正規アプリが改変されていないか確認 |
| Hooking検知 | 実行時の不正操作を検知 |
| RASP | アプリ実行時の脅威検知・防御 |
| App Shielding | 解析・改ざん・不正実行への耐性強化 |
| 取引監視 | ログイン後の不正操作を検知 |
| 通知・アラート | ユーザーと運用部門への早期通知 |
金融・決済アプリでは、これらを単体で見るのではなく、組み合わせて設計することが重要です。
まとめ：不正ログイン対策はログイン画面だけでは不十分
不正ログイン対策とは、第三者が本人になりすましてアカウントへログインすることを防ぐための対策です。
ただし、ID・パスワードだけでは、不正ログインを十分に防ぐことはできません。
フィッシング、パスワードの使い回し、パスワードリスト攻撃、マルウェア、端末リスク、アプリ改ざんなど、攻撃者はさまざまな手段で認証を突破しようとします。
特に金融アプリ・決済アプリでは、不正ログインが不正送金や不正決済に直結する可能性があります。
そのため、次のような観点で多層的に対策することが重要です。
- ID・パスワードだけに依存しない
- MFA・生体認証を活用する
- リスクベース認証を設計する
- パスワードリスト攻撃を検知する
- 端末リスクを確認する
- アプリ改ざん・Hookingを検知する
- ログイン後の重要操作を監視する
- 高リスク時に追加認証・一時停止できるようにする
- 検知後の運用フローを整える
不正ログイン対策は、単なるログイン画面の強化ではありません。
入口で防ぎ、認証で確かめ、端末とアプリの安全性を確認し、ログイン後の操作まで監視することが重要です。
FAQ
不正ログイン対策とは何ですか？
不正ログイン対策とは、第三者が本人になりすましてアカウントへログインすることを防ぐための対策です。ID・パスワードの管理だけでなく、MFA、リスクベース認証、端末リスク検知、アプリ保護、ログイン後の監視などを組み合わせて行います。
ID・パスワードだけではなぜ不十分なのですか？
ID・パスワードは、フィッシング、情報漏えい、パスワードの使い回し、パスワードリスト攻撃などで盗まれる可能性があります。一度盗まれると、攻撃者が本人になりすましてログインできるため、MFAやリスクベース認証などを組み合わせる必要があります。
MFAを導入していれば不正ログインは防げますか？
MFAは有効な対策ですが、それだけで不正ログインを完全に防げるわけではありません。フィッシングでワンタイムパスワードまで盗まれるケースや、ログイン後に不正操作をされるケースもあるため、端末リスクや操作パターンの監視も重要です。
金融アプリで特に重要な不正ログイン対策は何ですか？
金融アプリでは、MFA、リスクベース認証、端末リスク検知、Root化・Jailbreak検知、アプリ改ざん検知、ログイン後の重要操作監視が重要です。特に送金先追加、出金先変更、高額送金などは追加認証や一時停止の対象にすべきです。
RASPやApp Shieldingは不正ログイン対策に関係ありますか？
関係あります。RASPやApp Shieldingは、アプリ改ざん、Hooking、デバッグ、不正な実行環境などを検知・防御するための対策です。ログイン認証そのものではありませんが、モバイルアプリ側の不正環境を把握することで、不正ログインやログイン後の不正操作のリスクを下げる役割があります。