フィリピン金融機関、不正対策でOTPから「サイレント認証」へ移行

フィリピンの銀行および電子ウォレットプロバイダーは、不正行為に対する安全策を強化する中で、テキストベースのワンタイムパスワード（OTP）をサイレント認証およびリスクベース認証に移行させると見られる。

8x8 CPaaSのジェネラルマネージャー、シルヴァン・シャペロン氏は、「顧客が入力する必要のあるコードから、攻撃者が偽造したり盗んだりすることがはるかに困難な信号へと移行が進むと予想される」と述べた。

この移行は、SMSや電子メールで送信されるOTPのような傍受可能な認証メカニズムの使用を制限する、フィリピン中央銀行（BSP）通達1213号に基づく6月25日のコンプライアンス期限に続くものである。この規制は、複雑な電子金融サービスを提供し、過去6ヶ月間に平均月額7500万ペソ以上のネットワーク取引価値を処理する機関に対し、高リスク取引にはより強力な認証の使用を義務付けている。これには、生体認証、パスワードレス方式、顧客の場所、デバイス、行動に基づく適応型認証などが含まれる。

シャペロン氏によると、OTPはより単純な脅威環境のために開発され、コードを受信する携帯電話番号が口座保有者の管理下にあるという仮定に依存していた。しかし、詐欺師はSIMスワップ、メッセージ傍受、顧客を説得してOTPを開示させるソーシャルエンジニアリングの手法を悪用するケースが増加している。

「フィリピンのようなモバイルファースト経済では、スマートフォンがほとんどの人々にとって銀行取引や支払いの主要なゲートウェイであるため、認証ステップは高価値の標的となる」と同氏は指摘した。

代替案の一つとして、顧客のSIMカード、デバイス、取引セッションをモバイルネットワークオペレーターと直接照合するサイレントモバイル認証がある。コードが送信されないため、詐欺師が傍受、盗難、または顧客に開示させるためのものがない。

今年初め、クラウドコミュニケーションソリューションプロバイダーの8x8は、PLDT Enterpriseと提携し、フィリピンでサイレントモバイル認証をローンチした。これにより、企業はOTPを必要とせずに、信頼できるモバイルネットワーク信号を通じてユーザーを検証できるようになる。

銀行はまた、パスキー、生体認証スキャン、顧客の身元を携帯電話番号だけでなく特定のデバイスに紐付けるマジックリンクを使用する可能性もある。

シャペロン氏は、機関がOTPの単一の代替手段に依存する可能性は低いと述べた。むしろ、デバイス情報、ネットワークデータ、ユーザー行動を評価する多層的なシステムを採用し、取引がリスクが高いと見なされた場合にのみ追加の検証を要求すると予想される。

同氏は、より強力なセキュリティが必ずしも不便さを増すわけではないと付け加えた。特にデジタル技術に不慣れなユーザーにとってはそうだ。「原則は、顧客から技術へと労力を移すことだ」とシャペロン氏は語った。「サイレント認証はその最も明確な例だ。顧客は何もしなくてよい。コードを読んだり、入力したり、理解したりする必要がない」

新しいシステムの導入には投資が必要だが、各機関は潜在的な不正損失、顧客への補償、評判への損害、およびサポートコストの増加と比較して、その費用を検討すべきだと同氏は述べた。

情報源: Philstar Business