錯綜した電信取引（Tangled Wired）その4（全４回）
自動決済ネットワークと電信送金の不正
その3 銀行業務方針と手順 (Bank policies and procedures) から続き
トレイシー・キッテン「ACH不正予防のため４つのステップ」バンク・インフォ・セキュリティ（“Four Steps for Fighting ACH Fraud,” by Tracy Kitten, April 27, 2012, Bank Info Security, http://tinyurl.com/phjb3wf.）によれば、顧客と思われる人物が電話で送金を依頼してきた際には、完全な口座番号と本人確認のための質問による認証を求めるように、銀行はすべての担当者に研修を行うべきだとしている。
ロリの銀行では電信送金同意書（wire agreement）をとっている顧客のみに限定して電話による資金移動の取り扱いができることになっている。さらにその際に銀行の担当者が認証に利用する、固有で複雑なPIN番号を顧客へ定期的に提供している。
電信送金担当者においては取り扱い送金額に限度を設け、その額を超える依頼の場合はすべて承認が必要とすべきであり、銀行は資金を海外の口座に移動する際は電信送金を保留にして処理の正当性を確認できる時間を確保すべきだ。
さらに銀行は従業員のPCでウィルス対策・マルウェア対策ソフトを最新にしておくように常に更新しなくてはならない。キッテンによれば、銀行は低い技術レベルの手法でも不正防止策が可能なことを覚えておくべきだと述べている。たとえば、法人顧客からのファックスによる送金依頼確認の送付である。特に大手の銀行の場合、その顧客へは不正取引対策に関するオプションを提案すべきだ。自動決済引き落としブロックは、顧客が選んだ基準によって顧客の口座への引き落としの記入を止める。たとえば特定の企業や団体からの引き落とし依頼や、一定金額以上の引き落とし依頼に対して自動的にブロックするという具合だ。顧客が基準を選択すると自動決済ネットワークの引き落としは自動的にブロックされる。
「チェース銀行 支払い不正への対策に関する情報サイト（“Mitigate Payments Fraud” information on Chase’s site (http://tinyurl.com/l4ns7ep) ）」によれば、自動決済ネットワーク処理の検証により、顧客は一件ごと、自分の口座に関する引き落としや着金を確認して調べることができる。支払、入金、処理内容、金額、企業IDの組合せで検索条件を追加し、検証したい取引を特定できるのだ。そのようにフィルターをかけることで、顧客は該当の処理が正当なものか判別し、正当でないものを差し戻すことが可能となる。
（“Mitigate Payments Fraud” information on Chase’s site (http://tinyurl.com/l4ns7ep) ）」
銀行は、その顧客に対して、自動決済ネットワーク処理におけるファイルタイプ（給与支払、納入業者向け支払、そして毎月発生する費用）毎、自動決済ネットワークファイルの合計金額毎、個々の入力の金額毎に限度額を設定するよう求めるべきである。
ロリの持つ不正の給与支払いのファイルの識別は、銀行にそのファイルを見直すことを求めた。なぜなら個々の不正な入力の金額とそのファイルの金額の合計が顧客の定めた限度額を超過していたからだ。この統制では、処理ファイルが連邦銀行に送信される前に、過度な入力を見つけ、問題解決のために顧客に連絡を取るため、銀行のキャッシュ・マネジメント・スペシャリストが確認を行うことを要求している。
銀行では顧客への啓蒙を通じて、資金移動限度額や支払のフィルターなど他の防衛的機能の周知徹底を図り、顧客が自らの銀行取引を毎日照合するように勧めるべきである。
リンダ・マグラッソンの「自動決済ネットワーク不正を回避するための24のヒント」（ “24 Tips to Avoid ACH Fraud,” by Linda McGlasson, May 10, 2010, Bank Info Security, http://tinyurl.com/7llzbog）によれば、銀行は、顧客が二重統制つまり取引の発信者と別の承認者の異なる2名を設けてその下で自動決済ネットワーク電信送信の依頼が処理されるように推奨すべきである。
極めて高いリスクと対抗策のバランス (Balance extreme risk with preparations)
自動決済ネットワークと電信送金は銀行間の資金移動を行うのに、もっとも簡単で、あつらえ向きの方法である。もし銀行が適切な予防措置をとらなければ、それらの処理のリスクは極めて高くなる可能性がある。金融機関が犯行の手口を理解すれば、IT技術を活かし、成功事例を確認し、それらの方針と手順を実施及び監視することで、いかに攻撃を防ぐかについても理解できるのである。
----------------------------------------
初出 FRAUDマガジン日本語版43号
