GMOクリック証券にログインしたら「2段階認証」ということでいろいろ表示されたが、
どうも今年4月から導入されていたらしい。知らんかった。
セキュリティ強化に伴う「２段階認証」の導入について (GMOクリック証券)
このきっかけとなったのが、出金先の口座を不正に開設した口座にすり替えられてしまった事件である。
GMOクリック証券でも1件あったらしいが、SBI証券の方がひどかったですね。
この対策のためGMOクリック証券では一時的に出金先口座のオンラインでの変更を停止していた。
この恒久対策として導入されたのが2段階認証だったらしい。
この2段階認証が2要素認証であるかは利用者の選択による。
出金指示・出金先変更・パスワード変更・暗証番号変更・メールアドレス変更・電話番号変更・2段階認証の変更のときに要求され、
その認証方法としては「メール認証」「SMS認証」「アプリ認証(Google-Authenticator)」があるという。
ここでGoogle-Authenticatorがあるのが珍しいですね。
SMSは携帯電話番号に紐付き、アプリ認証はアプリのインストールされた端末に紐付く。
通常のパスワード認証が知識による認証ならば、これらは所有による認証で2要素だろう。
一方のメール認証は実質的にメールアカウント・パスワードによる知識による認証の場合がある。
そんなことがあってGMOクリック証券は「2段階認証」という言い方をしてるんじゃないか。
あまり考えなくてもよいのがSMS認証だと思いますが。
とはいえ、手続きの度にSMSが届いてはめんどくさいということもあるかもしれない。
すでにGoogle-Authenticatorを入れているので、そこに組み込むか……
と思ったのだがいきなりアプリ認証は選べないんだな。
一旦SMS認証などにしてから、アプリ認証に変更するという順序になる。
端末を乗り換える時には、アプリ認証→SMS認証→アプリ認証のような変更ステップを踏む必要がある。
変更の度にその時点での2段階認証が必要である。
このため、端末が故障・紛失した場合はコールセンターに電話して対応してもらう必要がある。
しかしよくよく考えてみれば、出金指示か各種変更手続き時にしか使わないんだったら、
使用頻度も高々知れているわけでSMS認証でよかった気がするな。
SMS認証とアプリ認証のどっちか強固かというと、そこはいろいろな観点がありますが。
ところでこのような認証手段を変更するときの手続きにはいろいろな考えがある。
僕が唯一ハードウェアトークンを試用している みずほ銀行 だが、
ワンタイムパスワード発生器を変更するときは郵便を受け取る必要がある。
これはスマートフォンを発生器にする場合はスマートフォンの機種変変更のたびに郵便を受け取る必要があるということである。
みずほ銀行がハードウェアトークンなのは給与振込口座なのに、ワンタイムパスワードなしでは認証が弱いことを懸念して、早期にワンタイムパスワードを導入したことに由来する。
しかしながら、上記のような事情を考えると、ハードウェアトークンが合理的なのである。
もちろんトークンを持っていないと振り込みできないなどの欠点はあるのだが。
一方のゆうちょ銀行、こちらは生体認証アプリを使っているが、登録はずいぶん簡単である。
パスワードと電話番号認証(最近になって携帯電話番号を登録している人はSMSになった)で登録でき、
端末変更時も新規の登録手続きを行えばそれで終わりである。
電話番号変更は生体認証アプリかハードウェアトークンを使っている場合はWebからできるが、
そうでない場合は書面で変更手続きが必要となる。いずれにせよ実質的な電話認証である。
そんな中ではGMOクリック証券は紛失時の対応がちょっと面倒かなという印象は受けた。
とはいえ、認証に使うハードウェアを紛失するというのはそういうことですからね。
まぁハードウェアさえ紛失しなければそこまで問題は起きないですが。
Google-Authenticatorはオフラインでも動くわけだし。
ちなみにGMOクリック証券で「2段階認証」というワードを今さら発見したのは、こういうことだったらしい。
2021年10月8日（金）2:25までに開設申込時の本人確認書類提出が完了し、２段階認証コードを１度も送信されていないお客様を対象に、２段階認証方法の設定を「未設定」に変更いたしました。
実は今年4月に2段階認証を導入した時点ではE-mailを初期設定としていたらしい。
それを今まで一度も使っていない人は、解除して未設定という扱いにしたようである。
メリットは何か? メールアドレスが正しく設定されていない場合を想定しているんじゃないか。
未設定の状態なら、メール認証かSMS認証か選択できるので、どちらかが生きてればよい。
導入から半年ほどの間でここら辺のトラブルが多かったのかも知れない。
いずれにせよGMOクリック証券の利用者はここはきちんと設定した方がよさそうだ。
ちなみに、SBI証券のほうがひどかったという話を最初に書いたが、
こちらはログインパスワードと取引パスワードが同じであったことが問題と考え、
同一のパスワードにならないように、一定条件にあたる人にパスワードリセットを依頼した。
もっともこれは暫定対策という一面もあるようで、将来的には住信SBIネット銀行で導入しているようなアプリでの生体認証なんかも考えているようだ。
それはぜひそうしていただきたいところである。