オープンバンキングがイノベーションを促進する一方、金融機関にリスクをもたらす

F5エコシステム | 2021年10月27日

わずか数年のうちに、オープンAPIを活用して、銀行、保険会社、その他の金融機関が提供するサービスを基盤に第三者が製品やサービスを構築できるようにするオープンバンキングは、金融サービス業界の様相を一変させました。

既存の金融サービス商品を活用して、融資、決済、保険などの分野で新たなサービスを構築できるようになったことで、消費者は取引の完了、家計の管理、個人データのコントロールをはるかに簡単に行えるようになりました。同時に、オープンAPIプロトコルは金融サービス全体のイノベーションを促進し、金融機関に大きな収益源をもたらしています。さらに、APIのセキュリティ、相互運用性、パフォーマンスに関する標準を規定するFDX API 5.0の新たなリリースに加え、欧州連合ではPSD2の強力な顧客認証（SCA）の期限が迫っていることから、さらなるイノベーションと新たな収益機会が生まれることは確実です。

しかし、利益があるところには必ずリスクも伴います。オープンAPIはその性質上、社内データや顧客データを第三者に公開するため、悪意のある攻撃者にアクセスされるリスクが高まります。特に懸念されるのが、MintやPlaidのように消費者向けの最新金融サービスを実現するアカウントアグリゲーターです。悪意のある攻撃者がアグリゲーターを利用して、銀行、保険会社、その他の金融機関を攻撃し、不正行為を働く手口について、詳しくご覧ください。

リスクの加速：アグリゲーターとサードパーティ決済プロバイダーがクレデンシャルスタッフィングとアカウント乗っ取りを可能にする仕組み

金融口座アグリゲーターは、消費者が自身の金融状況を1つの画面で把握できるようにすることで、大きな価値を提供できます。また、取引上の摩擦を軽減し、新たな収益源を生み出すことで、金融機関にもメリットをもたらします。そのため、多くの金融機関はアグリゲーターとの接続時にセキュリティ手順を緩和しています。しかし、アグリゲーターは数億もの口座のデータを保存できるため、悪意のある攻撃者に狙われやすくなります。特に、実績のある同業他社ほどの資金や高度なセキュリティ能力を持たない可能性がある小規模なアグリゲーターは、格好の標的となります。

The 悪意ある攻撃者が利用できる盗難アカウントデータの増加は、自動化されたクレデンシャルスタッフィング攻撃を助長しています。この攻撃では、悪意ある攻撃者がボットネットと盗んだ認証情報を使ってアカウントへのアクセスを試みます。こうした攻撃は金融機関にとって深刻な問題となっており、大規模なデータ侵害と多額の金銭的損失を引き起こしています。その脅威は、FBIが最近、クレデンシャルスタッフィングの脅威について米国の金融業界に正式な警告を発したほどです。

クレデンシャルスタッフィングの増加がもたらす最も深刻な結果は、アカウント乗っ取り（ATO）の増加です。攻撃者は、不正にアクセスしたアカウントを掌握し、その口座から資金を不正に引き出します。Javelin Strategy and Researchの2021年アイデンティティ詐欺調査によると、2020年にATO詐欺によって生じた損失総額は60億ドルを超えました。

この調査では、クレデンシャルスタッフィング攻撃の平均コストも算出されており、驚くべきことに、月間アクティブユーザーから得られる収益の6倍を超える場合があることが明らかになりました。

リスクはそれだけにとどまらず、残念ながら一部で考えられている以上に深刻です。攻撃者は、アグリゲーターからのトラフィックがブロックされにくいことを把握しており、金融機関に侵入するためのバックドアとしてアグリゲーターを好んで利用します。たとえば2019年、金融サービス大手のNCR Corp.は、特定のアグリゲーターによるデジタルバンキングプラットフォームへのアクセスを一時的にブロックする必要があると判断しました。これらのアグリゲーターを経由した自動化されたアカウント乗っ取りが相次いでいることが判明したためです。

金融機関がアグリゲーターにAPIを開放すると、トラフィックの急増を引き起こしたり、その一因となったりすることで、システムパフォーマンス上のリスクも高まります。その理由の1つは、アグリゲーターがオープンバンキングAPIの利用量が特に多いユーザーであり、一般的な銀行のトラフィックの20%を生成しているためです。FBIによると、もう1つの要因は、クレデンシャルスタッフィング攻撃によって金融機関の認証システムに大きな負荷がかかり、金融機関がサービス拒否攻撃を受けていると確信するほどになることです。

要するに、オープンバンキングによって、金融機関は重大かつ広範なリスクにさらされます。そこでF5は、金融機関によるオープンバンキングAPIの管理とセキュリティ確保を支援するため、戦略的なアプローチを採用しています。

金融機関によるオープンバンキングの安全な導入を支援

F5は、API管理、高性能なAPIゲートウェイ、高度なセキュリティ制御をオールインワンソリューションとして提供する分野ですでに業界をリードしており、ツールの乱立を抑え、アーキテクチャの複雑化を軽減します。

F5は金融機関の口座へのログイン試行をリアルタイムで監視し、金融機関が実際のユーザー、ボットや自動化ツール、人間が手動で行う不正アクセスの試行を識別できるようにします。米国の商業銀行上位15行すべてがF5ソリューションを利用している理由の1つは、こうした機能にあるとF5は考えています。現在、F5はソリューション群を拡充し、オープンバンキングをさらに包括的にサポートするためのイノベーションを進めています。

今後数か月にわたり、アグリゲーターからのトラフィック管理の強化やAPI攻撃からの保護など、オープンバンキングに関するF5のさらなる取り組みをご紹介していきます。

その一例が、F5のAggregator Management製品です。オープンバンキングに携わるF5のお客さまは、APIトラフィックの可視性を高め、クレデンシャルスタッフィングの自動検知や異常トラフィックの検知を行えるほか、アグリゲーターのコンテンツアクセス権限を制限できます。これにより金融機関は、アグリゲーターをよりきめ細かく制御し、消費者のアカウントを不正行為からより適切に保護するとともに、アプリの可用性を高め、リスクを軽減できます。

今後の展開にご期待ください。それまでの間、オープンバンキングのリスクとその対策について、詳しくご覧ください。