JP2007328381A - ネットバンキングにおける認証システム及び方法 - Google Patents

Abstract

【課題】ネットバンキングの決済処理における顧客の利便性を確保しつつ、セキュリティの向上を図る。
【解決手段】ログイン後の画面からワンタイムパスワードの発行要求を行うとともに、発行されたワンタイムパスワードの通知先を携帯メール、携帯電話（音声）、固定電話の３つのうちから選んで指定可能とする。
【選択図】図１

Description

本発明は、インターネット等を利用したネットバンキングにおける認証システム及び方法に関するものであり、特に、振込み等の実行時に入力される決済用パスワード（第２暗証番号）の発行の仕方に特徴を有するものである。

従来、通信ネットワークを用いた銀行取引システム、特に、インターネットを用いたネットバンキングシステムのように、資金移動を伴う取引システムにおいては、取引の安全を確保するために、取引（例えば振込み）依頼のデータを送信した者が本人であるか否かを確認するための本人認証方法が重要な課題となっている。
例えば、インターネットを用いたネットバンキングシステムにおいては、顧客が銀行等の金融機関のホームページにアクセスし、ネットバンキング取引を選択すると、ログイン画面（図４参照）が表示され、顧客が予め決められた顧客ＩＤとログインパスワードを入力し、ログインボタンを押すと、予め登録されている情報との照合が行われ、一致すると本人であるとみなして次のステップに進むことを許可するようになっている。

しかしながら、顧客ＩＤとログインパスワードによる認証のみでは、例えば、本人がログイン後に端末（パソコン）から離れたりした隙に他人が勝手に自分の口座に振込みをしてしまうおそれもある。また、通信途中で顧客ＩＤやパスワードが盗み見られる危険性もあり、ログイン後に資金移動処理（振込みや振替え等の処理）を行う際は、改めて決済用パスワード（ＡＴＭ等で入力する暗証番号に対して、第２暗証番号と呼ばれる場合がある。）の入力を求める運用が一般的になされている。この決済用パスワードは複雑なものである必要があるため、銀行によっては予めカード等に印刷して顧客に配布しているところもある。この決済用パスワードを複雑にしてカードに印刷したものが提案されている（例えば特許文献１参照）。しかしながら、いくら複雑にしたとしても、このカードを紛失したり、また処理時に携帯していなかったりすると、決済処理を行うことができないという問題がある。また、盗難等によって他人に悪用されるおそれも否定できない。

また、上記のようなカードを用いずに、最初のログインの段階で、本人にしか入手できないワンタイムパスワードを用いてログインを行わせる方法が提案されている（例えば特許文献２参照）。これは、ログインする前に、まず自分の携帯電話から認証データベースに対してワンタイムパスワードの発行依頼を行い、携帯電話に送られてきたワンタイムパスワードをパソコンに表示されているログイン画面から入力することによって本人認証を行うものである。

しかしながら、ログインの度にワンタイムパスワードを入力する方法だと、例えば資金移動を伴わないような処理（残高確認、入金確認、取引履歴確認など）のみを行うような場合にまで、その都度携帯電話からワンタイムパスワードを請求して入力しなければならなくなり、顧客にとっては大変煩わしいことになる。
特開平９−３０５５４１号公報 特開２００４−２４０６３７号公報

これに対して、ログイン時は顧客ＩＤと通常の固定パスワードのみで認証を行い、決済処理時にのみ別の決済用パスワードを入力させるようにすれば、上記のような煩わしさはなくなるとともに、セキュリティも確保される。
本発明はかかる事情に鑑みなされたものであり、本発明はネットバンキングの決済処理における顧客の利便性を確保しつつ、セキュリティの向上を図るためのネットバンキングにおける認証システム及び方法を提供することを目的とするものである。

本発明は、インターネットを利用して、振込等の決済処理を行うネットバンキングにおける認証システムに関し、本発明の上記目的は、
前記インターネットに接続され、前記ネットバンキングを運営する金融機関のサーバーと、該サーバーに接続され、少なくとも、顧客の携帯電話番号、固定電話番号、携帯メールアドレス、顧客ＩＤ、ログイン用パスワードが記憶されている顧客情報データベースと、前記インターネットを介して前記サーバーにアクセス可能な前記顧客の端末とを含み、
前記サーバーは、前記端末から入力された顧客ＩＤ及びログイン用パスワードが前記顧客データベースに記憶されている顧客ＩＤ及びログイン用パスワードと一致するか否かをチェックし、一致した場合はログインを許可する第１の認証手段と、前記ログイン後に前記端末から送信された決済処理用のワンタイムパスワード発行要求信号を受信してワンタイムパスワードを発行し、前記顧客ＩＤと関連付けて前記顧客情報データベースに格納すると共に、前記端末にて指定された通知先に前記発行したワンタイムパスワードを送信するワンタイムパスワード発行手段と、前記指定された宛先に送信されたワンタイムパスワードを受信した顧客によって前記端末から入力されたワンタイムパスワードを受信して、前記顧客情報データベースに記憶されている前記ワンタイムパスワードと一致するか否かをチェックし、一致した場合に前記決済処理の実行を許可するとともに前記顧客情報データベース内にある前記ワンタイムパスワードを無効化する第２の認証手段とを備えるものであり、
前記ワンタイムパスワード発行手段は、前記顧客が前記端末にて指定する通知先を、前記顧客の携帯メールアドレス、携帯電話、または固定電話のいずれかから選択可能なように構成されていることを特徴とするネットバンキングにおける認証システムによって達成される。

また、本発明の上記目的は、前記第２の認証手段が、所定時間内に前記端末からワンタイムパスワードが送信されなかった場合に、前記顧客情報データベース内にあるワンタイムパスワードを無効化することによって効果的に達成される。

さらに、本発明は、インターネットに接続されたネットバンキングを運営する金融機関のサーバーと、該サーバーに接続され、少なくとも、顧客の携帯電話番号、固定電話番号、携帯メールアドレス、顧客ＩＤ、ログイン用パスワードが記憶されている顧客情報データベースと、前記インターネットを介して前記サーバーにアクセス可能な前記顧客の端末とを含む、インターネットを利用して振込等の決済処理を行うネットバンキングシステムにおける認証方法に関し、本発明の上記目的は、
前記サーバーが、前記端末から入力された顧客ＩＤ及びログイン用パスワードが前記顧客データベースに記憶されている顧客ＩＤ及びログイン用パスワードと一致するか否かをチェックし、一致した場合はログインを許可する第１の認証ステップと、
前記ログイン許可後に前記端末から送信された決済処理用のワンタイムパスワード発行要求信号を受信してワンタイムパスワードを発行し、前記顧客ＩＤと関連付けて前記顧客情報データベースに格納すると共に、前記端末にて指定された通知先に前記発行したワンタイムパスワードを送信するワンタイムパスワード発行ステップと、
前記指定された宛先に送信されたワンタイムパスワードを受信した顧客によって前記端末から入力されたワンタイムパスワードを受信して、前記顧客情報データベースに記憶されている前記ワンタイムパスワードと一致するか否かをチェックし、一致した場合に前記決済処理の実行を許可するとともに前記顧客情報データベース内にある前記ワンタイムパスワードを無効化する第２の認証ステップとを備えるものであり、
前記顧客が前記端末にて指定する通知先が、前記顧客の携帯メールアドレス、携帯電話、または固定電話のいずれかから選択可能なように構成されていることを特徴とするネットバンキングにおける認証方法によって達成される。

本発明に係るネットバンキングにおける認証システム又は方法によれば、顧客がログインした後の決済処理画面から通知先を選択指定した上で決済用ワンタイムパスワードの発行を要求できるので、ワンタイムパスワードが確実に本人にのみ通知されるとともに、ワンタイムパスワードの入力／認証を条件として決済処理が行われるので、ネットバンキングにおけるセキュリティ性がさらに向上する。

本発明に係るネットバンキングにおける認証システム及び方法の実施の形態について、図面を参照して詳細に説明する。

図１は本発明に係るネットバンキングにおける認証システムの構成例を示す概略図である。図１において、顧客がネットバンキングを行うための端末１と、ネットバンキングのアプリケーションが格納され顧客にネットバンキングサービスを提供する金融機関の運営するサーバー２と、サーバー２に接続され顧客情報が格納された顧客情報データベース３とがインターネット４等の通信ネットワークを介して相互に通信可能に接続されている。
また、サーバー２とインターネット４を介して接続されている携帯電話通信システム５によって携帯電話６とサーバー２の通信が可能になっている。さらに、サーバー２にはＩＶＲ(Interactive Voice Response)サーバー７、すなわち、対話型音声応答を行うサーバーが接続されており、サーバー２からのデータを音声信号に変換して電話局８を通じて携帯電話６又は固定電話（加入電話ともいう。）９に送信するものである。

図２は、サーバー２及び顧客情報データベース３の構成を示すブロック図である。サーバー２は、顧客が端末１のログイン画面（図４）から入力した顧客ＩＤ（お客様番号）とログインパスワード（ＰＷ）が顧客情報データベース３に記憶されている顧客ＩＤ及びログインＰＷと一致するか否かをチェックする第１認証手段と、認証ＯＫでログイン後の処理メニュー画面（図５）からパスワード発行依頼を受けてワンタイムパスワード（ＯＴＰ）を発行し、指定された通知先にＯＴＰを送信するとともに、そのＯＴＰを顧客ＩＤと関連付けて顧客情報データベース３に登録するＯＴＰ発行手段と、顧客の指定した通知先に通知されたＯＴＰが顧客によって端末１の決済用画面（図８）から入力されて送信されたときに、それを受信して顧客情報データベース３内にある決済ＯＴＰと比較し、一致するか否かをチェックし、一致する場合に決済処理を許可する第２認証手段と、第２認証手段からの決済処理許可を受けて、振込処理実行を行う決済手段とを備えている。なお、決済手段は必ずしもこのサーバーにある必要はなく、外部のホストコンピュータに設けてもよい。
また、ネットバンキング用のアプリケーションプログラムを記憶しているアプリケーション記憶部も備えている。ＯＴＰ発行手段で発行されたＯＴＰは通信Ｉ／Ｆを介して電子メールにて顧客の携帯メールに送信されるか、ＩＶＲサーバー７を介して音声信号として携帯電話か固定電話に送信される。
これらの各手段等は制御部（ＣＰＵ，ＲＯＭ、ＲＡＭを有する）によって制御される。
なお、本実施形態において、認証手段をその機能の違いから２つに分けているが、一つの認証手段で２つの機能を持たせるようにしてもよいことは言うまでもない。

顧客情報データベース３には発行されたＯＴＰを通知するための通知先の携帯メールアドレス、携帯電話番号及び固定電話番号が顧客ＩＤと関連付けられて記憶されている。また、その他にネットバンキングのユーザー登録の際に入力した住所、氏名、年齢、職業などの属性情報も記憶されている。

上述の構成において、本発明に係るネットバンキングにおける認証システムの動作の流れについて、図３のフローチャートに基づいて説明する。
顧客は、端末１からインターネットを経由してサーバー２にアクセスし、ネットバンキングのログイン画面（図４）を表示させ、顧客ＩＤ（お客様番号）及びログインパスワードを入力し、ログインボタンをクリックする（ステップＳ１）。入力されたＩＤとログインパスワードはサーバーに送信され、第１の認証手段において認証が行われる（ステップＳ２）。

認証がＯＫになると、端末１の画面には図５のメインメニュー画面が表示される。ここで、顧客が資金移動を伴う処理メニュー（例えば振込み）を選択すると、図６の画面が表示され、決済処理（振込）用のＯＴＰが必要になることを顧客に告知する。そこで、顧客が図６の画面で「パスワード発行依頼」のタブメニューをクリックすると、図７のパスワード発行依頼画面が表示されるので、顧客が希望する通知先を選択して送信ボタンをクリックすると（ステップＳ３）、ＩＤとＯＴＰ発行要求信号がサーバー２に送られる（ステップＳ４）。

次に、サーバー２のＯＴＰ発行手段がＯＴＰを生成するとともに、そのＯＴＰをＩＤと関連付けて顧客情報データベース３に登録する（ステップＳ５）。
発行されたＯＴＰは顧客の希望する通知先に通知される（ステップＳ６）。その際、顧客ＩＤを手掛かりとして顧客情報データベース内の携帯メールアドレス等が検索される。

顧客は図６の振込み画面に戻り、振込先金融機関名、口座番号、振込金額等を入力し、「次へ」ボタンをクリックすると、図８の確認画面が表示されるので、既に受信してあるＯＴＰをキーボードから入力し、振込実行ボタンを押す（ステップＳ７）。すると、サーバー２にＩＤと入力されたＯＴＰが送信され、第２の認証手段が顧客情報データベース３に登録されているＯＴＰと照合を行い（ステップＳ８）、一致すれば振込処理実行を許可するとともに、結果を顧客画面（図９）に表示する（ステップＳ１０）。もし、一致しない場合は入力ミスが考えられるので、再入力を促すメッセージを表示し（図示せず）、顧客はステップＳ７に戻ってＯＴＰを再入力する。２回以上連続して一致しない場合、システムはセキュリティを考慮し、再度パスワード発行依頼を求める図６の画面に戻るように処理する。

正常に振込処理が終了すると（すなわち第２認証手段における認証がＯＫの場合）、第２認証手段は顧客データベース内のＯＴＰを無効化する（ステップＳ１１）。これによってＯＴＰは一度しか使用できなくなる。また、ＯＴＰの通知から所定の時間内（例えば５分以内）に第２認証手段において認証が行われなかった場合には自動的に顧客情報データベース３内のＯＴＰを無効化するようにしてもよい。振込を中止する場合もあることを考慮し、使用されないＯＴＰを残しておく必要がないからである。

なお、携帯電話においてはインターネットを使った電子メールのほかに、また、携帯電話やＰＨＳ間でごく短い文字メッセージ(メール)をやりとりする、ショートメッセージサービス（ＳＭＳ）も広義の電子メールに含まれる。多くの携帯電話事業者が、他の事業者へのＳＭＳのゲートウェイを持っており、外国の事業者も含めた他の事業者の携帯電話へもメッセージをやりとりできるようになっている。事業者によってはインターネットへのメールの送受信も可能になっている。
従って、本発明における携帯メールアドレスとは、インターネットを使った電子メールのメールアドレスに限らず、ＳＭＳを利用したメールアドレスを含むものを意味する。

本発明に係るネットバンキングにおける認証システムの構成例を示す概略図である。 サーバー及び顧客情報データベースの構成を示すブロック図である。 本発明に係るネットバンキングにおける認証システムの動作の流れを示すフローチャートの一例である。 ログイン画面の一例である。 ネットバンキングのメインメニュー画面の一例である。 ネットバンキングの振込み画面の一例である。 パスワード発行依頼画面の一例である。 ワンタイムパスワードの入力画面の一例である。 振込完了報知画面の一例である。

符号の説明

１ 顧客の端末
２ サーバー
３ 顧客情報データベース
４ インターネット
６ 携帯電話
７ ＩＶＲサーバー
９ 固定電話

Claims (5)

1. インターネットを利用して、振込等の決済処理を行うネットバンキングにおける認証システムであって、該システムは、
   前記インターネットに接続され、前記ネットバンキングを運営する金融機関のサーバーと、
   該サーバーに接続され、少なくとも、顧客の携帯電話番号、固定電話番号、携帯メールアドレス、顧客ＩＤ、ログイン用パスワードが記憶されている顧客情報データベースと、
   前記インターネットを介して前記サーバーにアクセス可能な前記顧客の端末とを含み、
   前記サーバーは、
   前記端末から入力された顧客ＩＤ及びログイン用パスワードが前記顧客データベースに記憶されている顧客ＩＤ及びログイン用パスワードと一致するか否かをチェックし、一致した場合はログインを許可する第１の認証手段と、
   前記ログイン後に前記端末から送信された決済処理用のワンタイムパスワード発行要求信号を受信してワンタイムパスワードを発行し、前記顧客ＩＤと関連付けて前記顧客情報データベースに格納すると共に、前記端末にて指定された通知先に前記発行したワンタイムパスワードを送信するワンタイムパスワード発行手段と、
   前記指定された宛先に送信されたワンタイムパスワードを受信した顧客によって前記端末から入力されたワンタイムパスワードを受信して、前記顧客情報データベースに記憶されている前記ワンタイムパスワードと一致するか否かをチェックし、一致した場合に前記決済処理の実行を許可するとともに前記顧客情報データベース内にある前記ワンタイムパスワードを無効化する第２の認証手段とを備えるものであり、
   前記ワンタイムパスワード発行手段は、前記顧客が前記端末にて指定する通知先を、前記顧客の携帯メールアドレス、携帯電話、または固定電話のいずれかから選択可能なように構成されていることを特徴とするネットバンキングにおける認証システム。
2. 前記第２の認証手段は、所定時間内に前記端末からワンタイムパスワードが送信されなかった場合に、前記顧客情報データベース内にあるワンタイムパスワードを無効化することを特徴とする請求項１に記載のネットバンキングにおける認証システム。
3. インターネットに接続されたネットバンキングを運営する金融機関のサーバーと、
   該サーバーに接続され、少なくとも、顧客の携帯電話番号、固定電話番号、携帯メールアドレス、顧客ＩＤ、ログイン用パスワードが記憶されている顧客情報データベースと、
   前記インターネットを介して前記サーバーにアクセス可能な前記顧客の端末とを含む、
   インターネットを利用して振込等の決済処理を行うネットバンキングシステムにおける認証方法であって、該方法は、
   前記サーバーが、前記端末から入力された顧客ＩＤ及びログイン用パスワードが前記顧客データベースに記憶されている顧客ＩＤ及びログイン用パスワードと一致するか否かをチェックし、一致した場合はログインを許可する第１の認証ステップと、
   前記ログイン許可後に前記端末から送信された決済処理用のワンタイムパスワード発行要求信号を受信してワンタイムパスワードを発行し、前記顧客ＩＤと関連付けて前記顧客情報データベースに格納すると共に、前記端末にて指定された通知先に前記発行したワンタイムパスワードを送信するワンタイムパスワード発行ステップと、
   前記指定された宛先に送信されたワンタイムパスワードを受信した顧客によって前記端末から入力されたワンタイムパスワードを受信して、前記顧客情報データベースに記憶されている前記ワンタイムパスワードと一致するか否かをチェックし、一致した場合に前記決済処理の実行を許可するとともに前記顧客情報データベース内にある前記ワンタイムパスワードを無効化する第２の認証ステップとを備えるものであり、
   前記顧客が前記端末にて指定する通知先が、前記顧客の携帯メールアドレス、携帯電話、または固定電話のいずれかから選択可能なように構成されていることを特徴とするネットバンキングにおける認証方法。
4. 前記携帯メールアドレスが、ショートメッセージサービス（ＳＭＳ）のメールアドレスを含むものである請求項１又は２に記載のネットバンキングにおける認証システム。
5. 前記携帯メールアドレスが、ショートメッセージサービス（ＳＭＳ）のメールアドレスを含むものである請求項３に記載のネットバンキングにおける認証方法。

Images