“モバイル決済＝セキュリティリスク”は考え過ぎ？

「Apple Pay」「Android Pay」で決済セキュリティが高まる説のホントとウソ（2/2 ページ）

公開 2015年07月27日 08時05分

著者

Mary K. Pratt

[TechTarget]

印刷する

セキュリティに関する困難な作業を担うモバイル決済ベンダー

　モバイル決済ベンダーがセキュリティに関して多くの困難な作業を行っているとハーバート氏は考えている。それは、こうした非接触型決済システムでは、ビジネスが顧客のクレジットカード番号にアクセスする必要がないからだ。

　「この事実によってセキュリティの層が1つ増えることになる。モバイル決済ベンダーは決済取引プロセスに対してもセキュリティ層をさらに作り出している。確実というわけではないが、多くのセキュリティ面については対処がなされている」とハーバート氏は述べる。

　ハーバート氏によると、非接触型決済では、さらにセキュリティを強化できる可能性があるという。それは使用するデバイスが、スマートフォンであれスマートウォッチであれ、追加のセキュリティ手法を採用することが条件となる。その一例としては、適切な所有者のみが決済システムを使用できるようにするために生体認証を採用することが挙げられる。複数の調査では、モバイルデバイスとモバイル決済の保護をパスワードに頼ると依然として弱点になることが判明している。それは「1234」や「1111」など予想可能なパスワードを使い続ける者がいるためだとハーバート氏は指摘する。

　「モバイル決済システムは安全なものになり得るが、人間が絡む要素の何らかの過ちによってシステムを危険にさらす恐れがある」（ハーバート氏）

ハッカーが狙いを定めるモバイル決済ベンダー

モバイル決済サービス「CurrentC」の公式サイト《クリックで拡大》

　ハーバート氏を含めた専門家が指摘しているのは、企業が保管しているクレジットカードデータにハッカーがアクセスするという大きなリスクが依然として残っていることだ。モバイル決済によって、クレジットカード情報を所有するモバイル決済ベンダーがハッカーの標的になる可能性がある。

　「モバイル決済プロバイダーの1社が情報漏えいの被害に遭ったら、従来のクレジットカードシステムで情報漏えいが発生した場合と同じくらい不味いことになる。つまり、最大規模な損害が生じることになる」とハーバート氏は指摘する。

マーク・ハーディ氏

　実際、モバイル決済におけるリスクの1つは決済プロセスで依然としてクレジットカードを使用していることにある。例えば下記のようなモバイル決済システムではいずれもクレジットカード情報を使用している。

米Appleの「Apple Pay」
米Merchant Customer Exchangeの「CurrentC」
米Googleの「Google Wallet」

　そう話すのは米National Security Corporationおよび米CardKillの両社の創業者で代表取締役を務め、米SANS Instituteでインストラクターを務めるG・マーク・ハーディ氏だ。ハッカーは盗んだクレジットカードを使用して決済システムに入金することも、盗んだスマートフォンの決済アカウントを使用して買い物をすることもできる。

　「現在の問題は、電子決済を使用するときに、店員がそれを疑う方法をよく分かっていないことだ。モバイル決済システムが新しいものであることによって生じている脆弱性もある」とハーディ氏は語る。

　これが事実であれば、不正取引が行われた場合に、一体誰がその責任を負うことになるのだろうか。それに応えることはCIOの責任の範囲に含まれないかもしれないが、それでもIT部門の責任者にはそうした詐欺が発生する可能性を軽減する働きが求められる。