オープンバンキングのデータを守るFDX APIのセキュリティ対策

F5

先日開催された「FDX Global Summit Spring 2021」に、Cequence SecurityおよびMastercard-Nudataのパネリストとともに、F5を代表するパネリストとして参加しました。金融機関、アグリゲーター、セキュリティベンダーが連携し、安全でオープンなデータ共有のためのバンキング標準の策定に取り組むFDX APIセキュリティワーキンググループの活動について議論しました。

Financial Data Exchange（FDX）は、共通の相互運用可能なデータ標準を策定するため、FDX API（Application Programming Interface）標準の開発に取り組む非営利団体です。これにより、消費者や企業は自身の金融データに信頼性と安全性を確保しながらアクセスできるようになり、米国とカナダにおけるオープンバンキングの基準となります。

オープンバンキングは、FinTech企業やその他の認可された第三者が消費者の金融情報にアクセスし、それを活用して革新的な付加価値サービスを提供できるようにすることで、金融サービス業界にさらなるイノベーションと連携をもたらす大きな機会となります。オープンバンキング標準により、消費者は、特定の金融データ（残高、取引など）や機能（決済など）への第三者による安全かつきめ細かなアクセスに同意し、許可できます。第三者やFinTech企業には、次のような付加価値サービスを提供できる大きな可能性があります。

• 複数の金融機関の口座やサービスを1か所に集約
• 支払いの開始
• 金融商品の比較
• 金融機関がまだ提供していない銀行サービスの提供
• 本人確認や信用返済能力の評価など、金融データに基づく意思決定やインサイトを提供する

F5は、世界各地の金融サービス業界のお客さまと緊密に連携し、オープンバンキングAPIの実装とセキュリティ確保に取り組んできました。F5とTwimbitは共同で、オープンバンキングの世界的な動向に関する調査レポートを公開しました。

消費者の金融情報が持つ本質的な価値

消費者の金融情報は、ダークネット市場で商品として取引されており、その価格は35米ドル（残高が少なく、別の不正行為のためのマネーミュール口座として利用できる口座）から150米ドル以上（残高が多い口座）です。消費者の金融情報の取引価格が比較的低いのは、侵害された口座や認証情報が大量に出回っているためです。そのため、攻撃者は数千件もの盗難口座を扱う活動を拡大するために、APIによる自動化を活用しています。したがって、金融APIは保護すべき主要な脅威領域となっています。

攻撃者が狙うオープンバンキングのAPI

近年、金融サービス業界を狙うサイバー犯罪者は、アプリケーションプログラミングインターフェース（API）を標的とする攻撃に一層注力し始めています。アプリケーションは、APIを接続点として、分散化・非集中化が進むモデルへと移行しています。F5の最新調査によると、APIセキュリティインシデントの件数は年々増加しており、過去2年間に発生したAPIインシデントの大半は、セキュリティ成熟度の低さに関連していました。その背景には、ツールの乱立がある場合が少なくありません。複数のアプリケーションを担当する各開発チームは、それぞれ異なるツールセットを使用していることがよくあります。そのため、従来のセキュリティチームには、セキュリティを適用するための一元的な管理ポイントがない可能性があります。APIの開発・管理プロセスに適切な制御を組み込むには、標準化されたツールセットが必要です。

進化の歩み—OFXとスクリーンスクレイピング

注意が必要な脅威領域はAPIだけではありません。従来、消費者データへのアクセスを必要とする第三者や金融アグリゲーターは、次の2つの仕組みを利用してきました。

• OFX（Open Financial eXchange）—当初は、個人向け金融アプリケーション（MS Money、Intuit QuickBooksなど）をユーザーの金融機関に接続するために構築された仕組みです。
• スクリーンスクレイピング—消費者が銀行口座の認証情報を第三者に提供し、その第三者が金融サービスのWebチャネルにログインして情報を取得する方式。

OFXは、攻撃者が大規模なクレデンシャルスタッフィング、アカウント検証、アカウント乗っ取りを直接または金融アグリゲーター経由で実行するためのチャネルとして悪用される可能性があります。

• F5では、攻撃者がOFXをチャネルとして悪用し、直接または金融アグリゲーターを介して、大規模なクレデンシャルスタッフィング、アカウント検証、アカウント乗っ取りを行う事例を継続的に確認しています。
• スクリーンスクレイピングのために第三者へ認証情報を提供すると、その認証情報の安全性は当該第三者のセキュリティ態勢に左右されます。
• これらの仕組みでは、第三者がアクセスできる情報について、消費者がきめ細かく同意し、制御することができないため、プライバシー侵害につながります。

OFXはFDXに加わり、最終的には統一規格へと統合される予定です。これは、セキュリティ制御を最新化し、従来のセキュリティ課題に対処する機会となります。スクリーンスクレイピングに基づくアプローチは、引き続き金融機関にとって課題となっています。

セキュリティを強化するための推奨事項

FDXは、消費者アカウント情報とサービスの完全性を脅威やリスクから保護するために実装すべき管理策について、包括的なガイダンスを公開しています。これらの管理策には、以下が含まれます。

• ソフトウェアセキュリティ—OWASP Top 10やその他のソフトウェア脆弱性に対する制御（Web Application Firewall（WAF）の導入を含む）
• ネットワークとシステムのセキュリティ
• 運用セキュリティ
• 物理的セキュリティ
• 事業継続と災害復旧
• サプライヤーセキュリティ
• クレデンシャルスタッフィング対策を含むauthN/authZの設計パターンクレデンシャルスタッフィング
• セキュアゲートウェイアーキテクチャ（SGA）のパターン（以下を含む）: APIゲートウェイに組み込まれたAPIセキュリティ制御

最後に、F5 open banking solutionsガイドでは、オープンバンキング向けF5ソリューションへの包括的なアプローチを紹介します。

本記事の執筆にご協力いただいたF5の金融サービスチームのメンバー、Benn Alp、Chad Davis、Andy Franklinに心より感謝申し上げます。

著者について

F5

F5のその他のブログ記事