1. なぜ金融機関に多要素認証が不可欠なのか
金融機関は、サイバー攻撃者にとって最も魅力的な標的の1つです。理由は明確で、攻撃が成功すれば、直接的な金銭を得られるからです。ネットバンキングの不正送金、口座の乗っ取り、暗号資産の窃取——金融サービスへの攻撃は、そのまま金銭被害に直結します。
こうした攻撃の多くは、認証の突破から始まります。盗まれたIDとパスワードでログインし、不正送金を行う。フィッシングで認証情報を騙し取り、口座を乗っ取る。だからこそ、金融機関にとって認証の強化——とりわけ多要素認証（MFA）の導入は、被害を防ぐ最前線の対策です。パスワードだけの認証では、それが漏れた瞬間にアクセスを許してしまいます。多要素認証があれば、パスワードが漏れても、もう1つの要素がなければログインできません。本記事では、金融機関における多要素認証と認証強化の実務を解説します。
金融の認証は「守るもの」が二重
金融機関の認証には、顧客の資産と、顧客の信頼という、二重の守るべきものがあります。不正送金による直接被害はもちろん、「あの金融機関はセキュリティが甘い」という評判は、金融業の根幹である信頼を揺るがします。認証強化は、金銭被害の防止であると同時に、信頼というかけがえのない資産を守る取り組みなのです。
2. 2つの守るべき認証——顧客と内部
金融機関の認証を考えるとき、2つの異なる「認証の場面」を分けて捉えることが重要です。
| 場面 | 認証する対象 | 主なリスク |
|---|---|---|
| 顧客向け（対顧客） | ネットバンキング等を使う顧客 | 不正送金、口座乗っ取り、リスト型攻撃 |
| 内部向け（対職員・システム） | 職員、管理者、システム | 内部システムへの不正アクセス、特権の悪用、内部不正 |
顧客向けの認証は、ネットバンキングやアプリを使う顧客を守るためのものです。他社から漏れたパスワードを使い回すリスト型攻撃や、フィッシングによる乗っ取りから、顧客の口座を守ります。
一方、内部向けの認証は、金融機関自身の職員やシステムを守るためのものです。職員のアカウントが乗っ取られれば、そこから顧客情報や基幹システムにアクセスされる恐れがあります。特に、強い権限を持つ管理者や、システム同士の連携（前の記事で述べた非人間ID）の認証は、被害が大きくなりやすいため、厳格な管理が求められます。金融機関の認証強化は、この両方の場面で、確実な多要素認証を実現することが求められます。
3. FISC・金融庁が求める認証
金融機関のセキュリティ対策は、監督官庁や業界団体のガイドライン・基準によっても求められています。
- FISC安全対策基準：公益財団法人金融情報システムセンター（FISC）が策定する「金融機関等コンピュータシステムの安全対策基準」は、金融機関の情報システムのセキュリティに関する実務上の重要な指針です。アクセス管理・認証についても、具体的な対策を示しています。
- 金融庁のガイドライン：金融庁は、金融機関のサイバーセキュリティ強化に向けた方針やガイドラインを示しており、認証・アクセス管理の高度化を求めています。近年は、サイバー攻撃の高度化を踏まえ、要求水準が引き上げられる傾向にあります。
これらが認証について求める趣旨は、これまでの記事で述べてきたことと一致します。すなわち、利用者を確実に識別・認証し、リスクに応じて認証を強化し、特権アクセスを厳格に管理し、アクセスを記録すること。金融という、とりわけ高いセキュリティが求められる分野だからこそ、これらの基本を、より高い水準で実践することが求められます。多要素認証は、その中核をなす対策です。
規制対応は「守り」だが、本質は「顧客保護」
FISCや金融庁の要請への対応は、規制遵守という「守り」の側面が注目されがちです。しかしその本質は、顧客の資産と信頼を守ることにあります。規制は、そのための最低限の水準を示すもの。規制を満たすことをゴールにするのではなく、「顧客を本当に守るために、認証をどこまで強くするか」という視点で取り組むことが、金融機関の信頼を高めます。
4. 「多要素にした」だけでは突破される
金融機関にとって重要な、しかし見落とされがちな点があります。それは、多要素認証を導入していても、その方式によっては突破されうるということです。
たとえば、SMSで送られるワンタイムパスワードや、認証アプリのコード入力は、2要素認証ではあります。しかし、これらはフィッシングやリアルタイムの中継攻撃（AiTM）で突破される事例が出ています。攻撃者が偽サイトを挟み、顧客が入力したパスワードとワンタイムパスワードをリアルタイムで本物のサイトに転送すれば、多要素認証が成立してしまうのです。また、SMSは、電話番号を乗っ取るSIMスワップという手口でも狙われます。
金融という、攻撃者が本気で狙う分野では、この「突破されうる多要素認証」のリスクを軽視できません。そこで重要になるのが、フィッシング耐性のある認証です。FIDO2/パスキーのような認証は、偽サイトでは成立しない仕組みを持つため、フィッシングや中継攻撃に耐性があります。前の記事で解説したNISTのガイドラインも、最新版でこうしたフィッシング耐性認証を明確に位置づけています。金融機関の認証強化は、「多要素にする」の先の「フィッシング耐性を持たせる」という段階に進みつつあります。
金融を狙う攻撃者は、SMS認証を突破してくる
金銭という明確な見返りがあるため、金融機関を狙う攻撃者は、SMSやワンタイムパスワードの突破に多くの労力を投じます。フィッシングサイトでのリアルタイム中継、SIMスワップ——これらは金融詐欺で現実に使われている手口です。だからこそ、金融機関の重要な認証、特に内部の特権アクセスや、高リスクの取引には、フィッシング耐性のある認証を目指すことが、これからの標準になります。
5. 金融機関の認証強化の実務
金融機関が認証を強化するための、実務的なポイントを整理します。
- 内部の認証をフィッシング耐性へ：職員・管理者、特に強い権限を持つ特権アカウントの認証を、フィッシングに強い方式（FIDO2/パスキー等）へ移行する。内部が破られれば被害が甚大なため、優先度が高い。
- 特権アクセスを厳格に管理する：基幹システムや顧客データにアクセスできる特権を、最小限に絞り、その利用を記録する。
- リスクに応じた認証を採用する：高額取引や、いつもと異なる環境からのアクセスなど、リスクの高い場面で追加の認証を求める（リスクベース認証）。
- 非人間IDを管理する：システム同士の連携やAPIの認証情報を適切に管理する。金融ではAPI連携（オープンバンキング等）も増えており、その認証も重要。
- アクセスを記録・監視する：不正なアクセスや異常な取引を検知できるよう、アクセスを記録し監視する。
- 顧客向け認証も強化する：顧客のネットバンキング等にも、より安全な認証（パスキー対応など）の選択肢を提供する。
特に重要なのは、内部の認証、とりわけ特権アクセスのフィッシング耐性化です。顧客向けの認証に注目が集まりがちですが、職員のアカウントや管理者権限が乗っ取られれば、被害は個別の顧客にとどまらず、金融機関全体に及びます。攻撃者が狙う「内部への入口」を、フィッシングにも強い認証で固めることが、金融機関の守りの要になります。
6. 信頼を守る、認証という土台
金融機関にとって、多要素認証をはじめとする認証強化は、顧客の資産を守り、金銭被害を防ぐ最前線の対策です。そして同時に、それは金融業の根幹である「信頼」を守る取り組みでもあります。攻撃者が金銭という明確な見返りを求めて本気で狙ってくる分野だからこそ、認証は妥協できません。
重要なのは、認証強化を「多要素認証を導入した」で終わりにしないことです。金融を狙う攻撃者は、SMSやワンタイムパスワードを突破する手口を持っています。だからこそ、特に内部の特権アクセスや高リスクの場面では、フィッシングにも耐えられる認証へと進むことが求められます。FISCや金融庁の要請、そしてNISTなどの国際的なガイドラインも、この方向性を示しています。規制対応にとどまらず、顧客を本当に守るという視点で、認証の水準を引き上げていくことが、金融機関の信頼を確かなものにします。
自社の認証が、内部・顧客の両面で十分に強いか——特に、職員や管理者の認証がパスワードやSMSだけに頼っていないか、特権アクセスがフィッシングに耐えられるか、点検してみることをおすすめします。金銭と信頼という、金融にとってかけがえのないものを守る土台として、認証の強化を、フィッシング耐性まで見据えて進めていくことが、これからの金融機関に求められています。