「オンラインバンキングの不正送金を防ぐには、ログイン時だけでなく振り込みトランザクションごとに本人を認証することが望ましい。しかし、実際には面倒くさいから使われていない。振り込み手続きのトランザクションのうち、不正アクセスのリスクが高いと判断したものに限って追加で認証できるようにした」
EMCジャパンは6月7日、金融機関が採用するリスクベース認証ソフトの新版「RSA Adaptive Authentication 7.3」を発表、同日販売を開始した。新版では、オンラインバンキングサイトへのログイン時だけでなく、個々の振り込み手続きごとに追加認証を実施できるようにした。
Adaptive Authenticationの新機能について説明する、米EMC、RSA事業本部、Fraud & Risk Intelligence Product Management部門、ディレクターのマーク・クライトン（Mark Crichton）氏
リスクベース認証とは、不正アクセスの疑いがどれくらいあるか（リスクの大きさ）を機械的に判定してスコア化し、追加認証を実施するかどうかの判断に利用することを指す。例えば、いつもと違う端末からアクセスしているなど、統計上普段とは異なるアクセスパターンがあった時に、本人以外による成りすましのログインを疑い、追加で本人確認を実施する。
ポイントは、不正アクセスの疑いが大きい場合は追加認証を実施する一方で、不正アクセスの疑いが少ない場合は、追加認証を実施しないで済むこと。ユーザーに認証の負担を強いることがない。セキュリティを確保しながら、使い勝手の低下による客離れを抑えられる。不正アクセスのリスク（0～1000でスコア化）に応じて、認証方法を変えられる。
本人にスマートフォンを操作させてから振り込みを実行する
従来版のAdaptive Authenticationは、ウェブサイトにログインする時にリスクベース認証を適用していた。これに対して新版では、ログイン成功後の振り込み手続きごとにリスクベース認証を実施する。リスクをスコア化する方法はログイン時と同等だが、ログイン後の行動パターンもスコアに反映する。
振り込みトランザクションごとの追加認証には、スマートデバイス（Android/iOS）を使う。RSA事業本部は、Android/iOSアプリに機能を組み込むためのSDK（ソフトウェア開発キット）を提供している。
具体的な動きはこうだ。振り込み手続きが発生した時に、登録済みのスマートデバイスに対して追加認証を要求する（図1）。これを受けたユーザーは、スマートデバイスを操作して振り込みトランザクションを認証する。
図1 振り込みのトランザクションが発生すると同時に、スマートフォンに追加認証を要求する。スマートフォンを操作することによって振り込み手続きが完了する
スマホで指紋認証や目の静脈パターン認証もできる
スマートデバイスによる認証手段は大きく3つある。1つは、ただ単に「この振り込み手続きを許可するか」を聞くという方法。1つは、SMS（ショートメッセージサービス）やプッシュ通知で伝えたパスコードを入力させる方法だ。
もう1つは、生体認証を使った本人認証だ（図2）。リスクが高いケースで適用する。iPhoneのTouch IDを使った指紋認証と、目の静脈パターンをフロントカメラでスキャンして認証する生体認証のいずれかを利用できる。
無線がつながらないなど、スマートデバイスがオフラインの状態でも追加認証が可能。具体的には、スマートデバイスを操作して得られたコードを、パソコンでアクセスしている振り込み手続き画面に入力する。振り込み手続き時に、パソコンとは別にスマートデバイスが手元にあることを認証する。
図2 スマートフォン上では生体認証による本人確認ができる。iPhoneのTouch IDを使った指紋認証と、フロントカメラを使った目の静脈パターン認証が利用できる
