JP2018156287A - 自動取引システム、および自動取引方法 - Google Patents

Abstract

【課題】自動取引システムを用いるカードレス取引において不正取引の発生を低減し、セキュリティの強化を図る。
【解決手段】自動取引システムは、利用者の操作に応じて取引を実行する自動取引装置と、自動取引装置と通信可能な認証サーバと、を備える。認証サーバは、顧客認証情報と、自動取引装置の不正利用者による利用者情報と生体情報との組み合わせを含む不正利用者情報と、を記憶する記憶部と、入力部に入力された利用者情報と生体情報読取部により読み取られた生体情報との組み合わせを自動取引装置から取得して、取得された利用者情報と生体情報との組み合わせと一致する組み合わせに基づき、利用者の認証を行なう認証処理部とを備える。認証処理部は、取得された組み合わせの認証を不正利用者情報や顧客認証情報を基に行い、自動取引装置に取引の中止を指示したり、不正利用者情報等の更新を行う。
【選択図】図９

Description

本発明は、自動取引システム、および自動取引方法に関する。

従来、金融機関等に設置されるＡＴＭ（ＡＴＭ：Ａｕｔｏｍａｔｅｄ／Ａｕｔｏｍａｔｉｃ Ｔｅｌｌｅｒ Ｍａｃｈｉｎｅ）等の自動取引装置における取引開始の際の本人認証に関する技術分野において、利用者がＩＣカード（ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ ｃａｒｄ）を用いて生体認証を行って取引を開始するための技術が知られている（例えば、特許文献１、２）。

しかし、災害発生等により利用者がＩＣカード等の銀行カードや通帳を持っていない場合に、利用者は現金を自動取引装置から引き出せないという問題があった。このため近年では、利用者が銀行カードや通帳を持たなくとも、生体認証を行うことで現金を引き出すことができる「カードレス取引システム」が広まりつつある。

特開２０１６−１７３６８０号公報 特開２００７−１７９３０３号公報

このようなカードレス取引システムにおいては、環境や認証操作の個人差等による生体認証の認証特性が存在する。そのため現状においては、利用者が生体認証に失敗した場合での、認証のリトライの回数は制限されていない。このため、口座を有する本人以外の不正利用者による生体認証の再試行が際限なく繰り返され、当該口座より現金が不正に引き出される等の虞があり、セキュリティ面における課題があった。

本発明の目的は、自動取引システムを用いるカードレス取引において不正取引の発生を低減し、セキュリティの強化を図ることである。

自動取引システムは、利用者の操作に応じて取引を実行する自動取引装置と、自動取引装置と通信可能な認証サーバと、を備える。自動取引装置は、利用者から利用者情報の入力を受け付ける入力部と、利用者の生体情報を読み取る生体情報読取部と、を備える。認証サーバは、顧客の利用者情報とその利用者情報に対応する生体情報との組み合わせを含む顧客認証情報と、自動取引装置の不正利用者による利用者情報と生体情報との組み合わせを含む不正利用者情報と、を記憶する記憶部と、入力部に入力された利用者情報と生体情報読取部により読み取られた生体情報との組み合わせを自動取引装置から取得して、取得された利用者情報と生体情報との組み合わせと一致する組み合わせに基づき、利用者の認証を行なう認証処理部とを備える。認証処理部は、取得された組み合わせと一致する組み合わせが不正利用者情報に存在するかを判定し、存在すると判定した場合に、自動取引装置に取引の中止を指示し、存在しないと判定した場合に、取得された組み合わせと一致する組み合わせが顧客認証情報に含まれるか否かにより認証を行う。認証処理部は、取得された組み合わせと一致する組み合わせが顧客認証情報に含まれない場合には認証が不成立であるものとして、自動取引装置から利用者の生体情報を再度取得し、再度取得された生体情報と取得された利用者情報との組み合わせを用いて再度の認証を行い、認証が不成立であった認証不成立回数が閾値以上となる場合に、自動取引装置に取引の中止を指示し、取得された１以上の生体情報の中の少なくとも１つの生体情報と取得された利用者情報との組み合わせを不正利用者情報に記録する。

上記態様によれば、自動取引システムを用いるカードレス取引において、不正取引の発生を低減し、セキュリティの強化を図ることができる。

本実施形態に係る自動取引システムの概略図である。 本実施形態に係る自動取引装置の一例の外観図である。 本実施形態に係る自動取引システムにおける各装置の機能ブロック図である。 本実施形態に係る不正利用者情報の一例を示す図である。 本実施形態に係る認証履歴情報の一例を示す図である。 本実施形態に係る顧客認証情報の一例を示す図である。 本実施形態に係る変動閾値算出情報の一例を示す図である。 本実施形態に係る自動取引システムによる処理のフローを示す図である。 本実施形態に係る自動取引システムによる処理のフローを示す図である。 本実施形態に係る自動取引システムによる処理のフローを示す図である。 本実施形態に係る自動取引システムによる処理のフローを示す図である。 本実施形態に係る自動取引システムによる処理のフローを示す図である。 本実施形態に係る自動取引システムによる処理のフローを示す図である。 本実施形態に係る自動取引装置のハードウェア構成の一例を示す図である。 本実施形態に係る認証サーバのハードウェア構成の一例を示す図である。

以下、本発明を実施するための形態について図面を参照しながら詳細に説明する。
図１は、本実施形態における自動取引システム１の概略図である。図１の自動取引システム１は、複数の自動取引装置２と認証サーバ３とを備える。各自動取引装置２はユニークな識別情報を有しており、本実施形態ではこれを機番と称する。

自動取引装置２と認証サーバ３の各々は、金銭取引等を行うためのホストコンピュータ４に、専用の通信網等により通信可能に接続されている。また自動取引装置２と認証サーバ３も専用の通信網等により通信可能に接続されている。なお、通信手段は限定しない。

利用者は、自動取引装置２を介してホストコンピュータ４との間で金銭等の取引を行う。自動取引装置２は、ホストコンピュータ４との取引に先立ち、利用者の、例えば生年月日等の情報などの利用者情報と、例えば手のひらや指の静脈についての静脈情報等の生体情報を、利用者から取得する。そして自動取引装置２は、取得した利用者情報と生体情報とを認証サーバ３に送信する。認証サーバ３は自動取引装置２より受信した利用者情報と生体情報とを用いて認証を行う。自動取引装置２は、認証サーバ３から認証の結果を受け、当該認証結果が認証成立の場合に、ホストコンピュータ４と取引を開始する。

なお、本実施形態において、認証サーバ３を理解容易のために1台として説明を行うが、認証サーバ３は複数あってもよい。また、図１では認証サーバ３は、ホストコンピュータ４とは通信網を介して別個に設けられているが、ホストコンピュータ４と同じ場所に設けられていてもよく、ホストコンピュータ４と一体に設けられていてもよい。また、認証サーバ３は、自動取引装置２の設置場所、例えば各支店に設けられていてもよい。また、本実施形態においては、認証サーバ３とホストコンピュータ４は、互いに通信可能であるとしているが、これに限定されず、通信可能でなくともよい。

図２は、本実施形態の一例における自動取引装置２の外観を表す。
自動取引装置２は、利用者操作パネル５０、紙幣取扱部５１、硬貨取扱部５２、および生体情報読取装置５３を備える。また、本実施形態では、自動取引装置２は、カード／レシート取扱部５４や通帳挿入部５５を備える。

利用者操作パネル５０は、利用者への表示用のパネルであり、利用者の操作用のタッチパネルである。利用者は、利用者操作パネル５０に金額等を入力することで操作を行う。また、利用者は、利用者操作パネル５０に後述する利用者情報を入力することができる。また、利用者操作パネル５０には文字等が表示されることにより、利用者は、それに従い操作を行うことができると共に、預金残高等の情報を得ることができる。また、利用者操作パネル５０には、後述する注意喚起が必要に応じて表示される。なお、本実施形態の一例では、利用者操作パネル５０が、利用者から入力を受け付け、利用者への表示を行っているが、自動取引装置２には、利用者からの入力を受け付ける部分と利用者への表示を行う部分とが別個に設けられていてもよい。

紙幣取扱部５１は、利用者とホストコンピュータ４との間の金銭の取引に応じて、紙幣の出し入れを行う。利用者は、紙幣取扱部５１に紙幣を投入したり、紙幣取扱部５１より紙幣を受け取ったりする。

同様に、硬貨取扱部５２は、利用者とホストコンピュータ４との間の金銭の取引に応じて、硬貨の出し入れを行う。利用者は、硬貨取扱部５２に硬貨を投入したり、硬貨取扱部５２より硬貨を受け取ったりする。

生体情報読取装置５３は、本実施形態の一例においては、手のひら静脈情報を読み取るための装置である。利用者が利用者操作パネル５０に表示された指示に従って、手のひらを生体情報読取装置５３に押し当てることなどによって、生体情報読取装置５３は利用者の生体情報を読みとる。

カード／レシート取扱部５４は、ＩＣカード等の銀行カードを受け付けたり、レシートを排出したりする。
通帳挿入部５５は、通帳の挿入や排出を行う。

図３は、本実施の形態の一例に係る自動取引装置２と認証サーバ３の各々の機能ブロックを示す。

自動取引装置２は、入力部２０、生体情報読取部２１、制御部２２、通信部２３、通知部２４、紙幣処理部２５、硬貨処理部２６等を備える。また、本実施の形態では、自動取引装置２は、カード／レシート処理部２７と通帳処理部２８を備える。入力部２０と生体情報読取部２１と通信部２３と通知部２４と紙幣処理部２５と硬貨処理部２６とカード／レシート処理部２７と通帳処理部２８は、それぞれ制御部２２と接続されている。なお、接続形態はこのような接続形態に限定されない。

認証サーバ３は、通信部３０、記憶部３１、および認証処理部３２を備える。記憶部３１は、不正利用者情報データベース３１０（不正利用者情報ＤＢ３１０とも称する）、認証履歴情報データベース３１１（認証履歴情報ＤＢ３１１とも称する）、顧客認証情報データベース３１２（顧客認証情報ＤＢ３１２とも称する）、および変動閾値算出データベース３１３（変動閾値算出ＤＢ３１３とも称する）を有する。記憶部３１と通信部３０は、それぞれ認証処理部３２と接続されている。

自動取引装置２の通信部２３と認証サーバ３の通信部３０は、専用の通信網等により接続されている。

以下、この図３を用いて、まず各機能ブロックの機能、動作内容、各機能ブロック同士の関わり方等について説明を行う。

入力部２０は、例えば、上述した利用者操作パネル５０で、利用者からの利用者情報の入力や操作入力等を受け付ける。また、受け付けたこれらの情報を制御部２２に出力する。

生体情報読取部２１は、例えば上述した生体情報読取装置５３が含まれ、例えば、手のひらや指の静脈情報や虹彩情報等を読み取り、読み取った情報を制御部２２へ出力する。本実施の形態では、読取の対象となる生体情報は手のひらの静脈の情報であるものとする。

制御部２２は、入力部２０、生体情報読取部２１、通信部２３、通知部２４、紙幣処理部２５、硬貨処理部２６、カード／レシート処理部２７、および通帳処理部２８の各動作を制御する。また、制御部２２は、機番や、入力部２０より取得した利用者情報や、生体情報読取部２１より取得した生体情報を、認証サーバ３に送信するよう、通信部２３に指示と送信用の情報を出力する。また、制御部２２は、入力部２０からの入力の内容に応じて、適宜、ホストコンピュータ４等へ情報を送信するよう、通信部２３に指示および送信用の情報を出力する。また、制御部２２は、認証サーバ３やホストコンピュータ４から通信部２３を介して取得した情報や、入力部２０により取得した入力情報に基づいて、処理を実行する。例えば、制御部２２は、認証サーバ３から後述する認証結果等を受信した場合には、当該認証結果等に基づき、例えば通知部２４に後述する注意喚起を行わせる。また、制御部２２は適宜、例えば、通知部２４に文字表示を実行させたり、紙幣処理部２５に紙幣排出処理を実行させたりする。

通信部２３は、制御部２２からの指示に従って、各種情報を認証サーバ３またはホストコンピュータ４に送信する。この各種情報は例えば、認証サーバ３に送信するための、入力部２０からの利用者情報や生体情報読取部２１からの生体情報や機番である。

通信部２３は、認証サーバ３またはホストコンピュータ４からの情報を受信し、制御部２２へ出力する。認証サーバ３からの情報とは、例えば後述する認証結果や口座の一覧の情報や不正利用者情報の有無についての情報である。また、ホストコンピュータ４からの情報とは、ホストコンピュータ４との取引に関する情報であり、例えば金額等の情報である。

通知部２４は、制御部２２からの指示に応じて、利用者へ必要な情報を提示する。また、後述するように必要に応じて不正利用者への注意喚起を行う。通知部２４は、液晶等の表示装置やスピーカ等の音声出力装置等により、その機能が実現される。

紙幣処理部２５および硬貨処理部２６は、それぞれ紙幣と硬貨の入出処理を行う。また、それぞれ入金された紙幣と硬貨の枚数や種類等の読取処理を行う。

カード／レシート処理部２７は、ＩＣカード等の銀行カードやレシート等の入出処理や、銀行カードの読取処理や、レシートへの印字処理等を実行する。

通帳処理部２８は、通帳の読取処理や、通帳への印字処理や、通帳の入出処理等を実行する。

次に認証サーバ３の各機能ブロックについて、図３を用いて同様に説明を行う。
通信部３０は、自動取引装置２から利用者情報、生体情報、機番を受信し、認証処理部３２の指示により自動取引装置２に認証結果等を送信する。

記憶部３１は、上述した不正利用者情報ＤＢ３１０、認証履歴情報ＤＢ３１１、顧客認証情報ＤＢ３１２、変動閾値算出ＤＢ３１３の各種データベースを記憶し、認証サーバ３の動作に必要なプログラム等の情報を記憶する。

記憶部３１が有する上記の各データベースについて、以下、図４から図８を用いて説明を行う。

図４は、不正利用者情報ＤＢ３１０に記憶されるデータ構成の一例を示す。本実施形態においては、不正利用者情報ＤＢ３１０に格納される不正利用者情報は表形式で表されるものとし、各レコードは利用者情報と生体情報とを含む。本実施形態においては、利用者情報を生年月日の情報（以下、生年月日の情報を、生年月日情報や生年月日データとも称する）とし、生体情報を手のひら静脈の情報（以下、手のひら情報や手のひらデータとも称する）とする。

なお、不正利用者情報は、各不正利用者の利用者情報と生体情報とが関係付けられて格納されていれば、表形式に表されるものでなくともよい。また、利用者情報は生年月日の情報に限定されず、例えば電話番号や住所などでもよく、これらの組み合わせであってもよい。また、生体情報は本実施の形態では手のひらデータとしているが、これに限定されない。生体情報は例えば、数値化、文字列化、記号化、もしくはこれらのうちの少なくとも２つ（以下、数値化等とも称する）が施されたものでもよい。また、生体情報の代わりに、生体情報へのポインタが格納されてもよい。不正利用者情報ＤＢ３１０を含む以下のデータベースに、生体情報へのポインタが格納される場合には、そのポインタの参照先となる生体情報データベースを記憶部３１は有する。本実施形態では、不正利用者情報に記録される生体情報は数値化等されたものであるとし、以下のデータベースにおいて記録されるものも特に断らない限り、生体情報として記録されるものは数値化等されたデータであるとする。

図４に示す不正利用者情報の表では、第１列目には生年月日データ、第２列目には手のひらデータが記録される。第１行目の第１列目の「１９５００１０１」は、当該レコードに係る不正利用者が１９５０年１月１日を生年月日として入力したことを示す。また、第１行目の第２列目には、「手のひらデータ１００００」が記録されている。この「１００００」、「１０００１」などの「手のひらデータ」に付された番号は、図４の理解を容易にするために付された通し番号である。この第１行第２列目の「手のひらデータ１００００」は、上記利用者情報「１９５００１０１」に関係付けられ、生年月日として「１９５０年１月１日」が入力された際に読み込まれた生体情報が「手のひらデータ１００００」であることを示す。以下、同様に各行の第１列目と第２列目のデータが互いに関係付けされている。

図５は、認証履歴情報ＤＢ３１１に記憶されるデータ構成の例を示す。本実施形態の認証履歴情報においては、機番、利用者情報（生年月日データ）、生体情報（手のひらデータ）、認証結果、利用者情報毎の連続的な認証不成立の回数（認証不成立回数とも称する）が記録される。認証履歴情報には、認証サーバ３が取得した利用者情報等の情報のうち最新のものがレコードとして記録される。

図５についてまず説明を行うと、第１列目には、本実施形態の自動取引システム１における各自動取引装置２の機番が記録されており、第２列目には、第１列目に記録されている各機番の自動取引装置２に入力された、１以上の利用者情報が記録されている。なお、図５の機番「００２」の場合のような、自動取引装置に対して１つの利用者情報が記録される場合には、その利用者情報は、当該機番の自動取引装置２に入力された最新の利用者情報である。また、図５の機番「００１」の場合のような、１つの機番に対して複数の利用者情報が記録される場合には、これら利用者情報は、当該機番の自動取引装置２に入力された最新の利用者情報とその直前の利用者情報などの時間的により新しい複数の利用者情報である。この機番毎に記録される利用者情報の数は、自動取引装置２の設置環境（治安状況等）により、機番毎に互いに同一であっても異なっていてもよく、それぞれ変化させられるものであってもよい。

第３列目には、各自動取引装置２への各利用者情報の入力に対応する１以上の生体情報が記録される。ここで１つの利用者情報に対し、１回以上の認証処理で同一の生体情報が読み取られた場合には、その１つの生体情報が記録される。一方、１つの利用者情報に対して数回の認証処理が行われ、読み取られた生体情報がそれぞれ異なる場合がある。その場合には、その異なる生体情報の全てまたは一部が記録される。ここでの一部の生体情報とは、例えば、最初に読み取られた生体情報、最後に読み取られた生体情報、あるいは他の生体情報に比べてより多く読み取られた生体情報のいずれでもよい。第４列目には、第２列目の利用者情報と第３列目の生体情報とを用いて実行された認証の認証結果が記録される。第５列目には、利用者情報毎の認証不成立回数が記録される。

図５に示す認証履歴情報について具体的に説明を行うと、第１列目の第１行目の機番は「００１」である。第２列目の第１行目に記録される「１９８００１０１」は、機番「００１の自動取引装置２に対し、利用者により入力された利用者情報を表す。この利用者情報は、機番「００１」に入力された最新のものである。

また、第３列目の第１行目には手のひらデータＡ（１，１，１）が記録されている。ここで、手のひらデータＡ（ｘ，ｙ，ｚ）のうちの、ｘは機番、ｙは利用者情報、ｚは生体情報の各通し番号であり、図５の理解を容易にするために記載しているものである。

第３列目の第２行目には手のひらデータＡ（１，１，２）が記録され、第３列目の第ｍ行目には手のひらデータＡ（１，１，ｍ）が記録されている。これら手のひらデータＡ（１，１，ｎ）（ｎは１からｍの自然数）は、上記利用者情報「１９８００１０１」が入力された際に読み込まれた手のひらデータである。なお、ｍは後述する閾値よりも小さい自然数である。

第４列目は、各行の生体情報を用いて実行された認証に対する認証結果である。第４列目の第１行目から第ｍ−１行目には、それぞれ第３列目の第１行目から第ｍ−１行目に記録された手のひらデータを用いての認証結果である「認証不成立」が記録されている。これは、認証結果が認証不成立であったことを示す。また、第ｍ行目には、手のひらデータＡ（１，１，ｍ）を用いての認証結果である「認証成立」が記録されている。これは、認証結果が認証成立であったことを示す。

第５列目には、認証不成立回数が記録される。認証不成立回数は、利用者情報の入力毎の、結果が不成立となった認証の回数である。つまり生体情報が１回以上読み取られて、認証が不成立であった場合には、その不成立であった認証の回数分だけ認証不成立回数はカウントされる。

第５列目の第１行目には「Ｍ」（Ｍ：ｍ−１以上で、後述する閾値以下の自然数）が記録され、認証不成立回数がＭ回であったことを意味する。例えば、生年月日データ「１９８００１０１」の入力に際し、手のひらデータＡ（１，１，１）が２回、手のひらデータＡ（１，１，２）が１回、手のひらデータＡ（１，１，３）が１回、手のひらデータ（１，１，４）が２回読み取られ、これら全てにおいて認証が不成立で、手のひらデータ（１，１，５）により認証が成立した場合には、Ｍは６となる。

上述した、第１行第１列目の機番「００１」と、第１行第２列目の利用者情報「１９８００１０１」と、第３列目の第１行目から第ｍ行目の各生体情報「手のひらデータＡ（１，１，ｎ）」と、第４列目の第１行目から第ｍ行目までの各認証結果と、第１行第５列目の認証不成立回数と、は互いに関係付けられ記録されている。

同様に、第２行第１列目には「００１」、第２行第２列目には「１９７４０５０７」が記録されており、機番「００１」の自動取引装置２に入力された利用者情報のうち２番目に新しいものが「１９７４０５０７」であることがわかる。

以下、同様に、認証履歴情報には各機番の自動取引装置に関する最新のレコード等が記録されている。

図６は、顧客認証情報ＤＢ３１２に記憶されるデータ構成の一例を示す。顧客認証情報ＤＢ３１２に記憶される顧客認証情報の各レコードには、利用者情報（生年月日データ）と生体情報（手のひらデータ）と口座一覧情報が含まれる。

口座一覧情報は、顧客が有する銀行口座についての情報であり、支店名と科目と口座番号とを含む情報であり、また使用用途についての情報が設けられていてもよい。

顧客認証情報には、同一の利用者情報が記録されたレコードが１つ以上存在する。例えば生年月日データ「１９５００１０１」に対し、「手のひらデータ０００１」、「手のひらデータ０００２」等のレコードが存在する。これは、同一の生年月日の顧客が、１人以上存在することを意味する。ここで、「手のひらデータ」に付された「０００１」、「０００２」等の番号は、図６の理解を容易にするための「手のひらデータ」の通し番号である。顧客認証情報の口座一覧情報は、利用者情報と生体情報との組み合わせより一意的に決まるものである。

なお本実施の形態では、顧客認証情報は表形式で表されるものとしているが、各顧客について利用者情報と生体情報と口座一覧情報とが互いに関係付けされて保存されれば、表形式として表されるものに限定されない。

図７は、変動閾値算出ＤＢ３１３に記憶されるデータ構成の一例を示す。変動閾値算出ＤＢ３１３に記憶される変動閾値算出情報の各レコードには、不正利用者ではない顧客の場合においての、認証が不成立となったときの日付（顧客認証不成立発生日とも称する）と、その際における認証サーバ３が取得した利用者情報（生年月日データ）と、その際に認証サーバ３が取得した生体情報（手のひらデータ）と、その際の認証不成立回数とが含まれる。

ここで、変動閾値算出情報が設けられる理由を端的に説明する。生体情報読取部２１は、環境条件等に応じてその精度が変動する場合がある。例えば生体情報読取部２１の読取表面が埃をかぶっているような場合に、正確な手のひらデータを読み込めなくなる虞がある。また同様に手のひらの置き方に問題がある場合でも、顧客認証情報に登録されている手のひらデータと異なる情報が読み込まれてしまう虞がある。このため、顧客の場合の認証を成立させ、不正利用者を排除するという目的を同時に達成するために、認証回数の制限の条件を随時変化させるものとし、そのために変動閾値算出ＤＢ３１３が設けられる。

当該変動閾値算出ＤＢ３１３には、過去所定期間分の顧客による認証不成立に係るデータが格納されている。この所定期間とは例えば、最新の日時から３１日前までの期間である。変動閾値情報は、顧客による認証不成立発生のたび、または日々、更新がなされるものとする。変動閾値算出情報には、顧客認証不成立発生日と共に時刻が記録されてもよい。

本実施形態においては、図７に示すように変動閾値算出ＤＢ３１３に格納される変動閾値算出情報は、表形式で表されるものとするが、顧客認証不成立発生日と利用者情報と生体情報と認証不成立回数とが関係付けられ格納されれば、表形式に表されるものでなくともよい。

図７について以下、具体的に説明を行うものとする。図７に示す変動閾値算出情報は、本実施の形態に係る自動取引システム１のうちの任意の１つの自動取引装置２についてのものである。各自動取引装置２の変動閾値算出情報は機番等により識別可能である。なお、図７において示される変動閾値情報は、機番Ｎの自動取引装置２のものである。

図７の変動閾値算出情報には、顧客認証不成立発生日、利用者情報（生年月日データ）、生体情報（手のひらデータ）、認証不成立回数が記録される。第１行第１列目に記録されている「２０１６．１．１」は、顧客認証不成立発生日が２０１６年１月１日であることを示す。以下、利用者情報等については上述の場合と同様である。

また閾値１、２は各レコードの認証不成立回数を用いて、認証処理部３２により求められる値であり、その値は固定値ではなく、記録される各レコードの認証不成立回数により変動する値である。このためこれらの閾値を変動閾値とも称する。まずは閾値１の求め方について説明を行う。

認証処理部３２は、各自動取引装置２の変動閾値算出情報を参照し、全レコードの認証不成立回数のうちの最大値を導出する。この最大値に対し、例えば２を加算した値を閾値１とする。

次に閾値２の求め方について説明すると、認証処理部３２は、各自動取引装置２の変動閾値算出情報を参照し、全レコードの認証不成立回数の平均値であって小数点以下を切り上げたものを算出し、この値に２を乗算した値を閾値２とする。

これらの閾値１、２は、閾値１と閾値２のいずれか一方のみが後述する認証動作において用いられてもよいし、両方が互いに切り替えられながら用いられてもよい。

またこれらの閾値算出の際に、利用者情報である生年月日データを参照して、ある一定以上または以下の年齢の利用者の認証不成立回数を閾値決定のための候補から外してもよい。例えば、高齢者の場合、手のひらデータを読み取る際に、手が震えたり、手の置き方に問題があったりする場合が想定され、また小さな子供によるいたずらも考えられ、閾値が不必要に大きくなる場合が想定されるからである。

閾値の決定と更新のタイミングは、認証処理に支障がないよう、例えば認証サーバ３の再起動時（例えば午前２時）に行われる。

上述の変動閾値情報には、認証不成立が発生した場合、すなわち認証不成立回数が１以上のものが記録されるが、０の場合が記録されてもよい。

なお、変動閾値算出情報の代わりに、認証不成立回数の最大値のみを記憶部３１は保持してもよい。この場合、当該最大値は適宜更新される。

図３に戻る。認証処理部３２は、自動取引装置２より利用者情報等を受信すると、上述した記憶部３１から各種情報を読み出し、これを参照する。認証処理部３２は、通信部３０を介して各自動取引装置２より取得した利用者情報と生体情報と、上述した顧客認証情報と認証履歴情報と不正利用者情報とを用いて、照合や認証を行う。そして認証処理部３２は、利用者情報と生体情報の送信元となる自動取引装置２に認証の結果等を、通信部３０を介して通知する。また、認証処理部３２は、上述したように変動閾値算出情報を参照して変動閾値を求める。

以下、図８から図１３を用いて、本実施形態の自動取引システム１による処理のフローを説明する。なお、このフローにおいて特に断りがない限り、自動取引装置２の実行主体となる機能部は制御部２２であるものとし、認証サーバの実行主体となる機能部は認証処理部３２であるものとする。

図８において、自動取引装置２は、顧客待ち状態において利用者が近づくのをセンサ等により感知し、処理を開始する。自動取引装置２は、カード取引とカードレス取引のいずれを選択するかを、利用者に対して通知部２４を介して表し、利用者は入力部２０を用いてカード取引かカードレス取引かを選択する（ステップＳ１０００）。例えば、利用者操作パネル５０上に「カード取引」と「カードレス取引」の選択肢が表示される。そして利用者は「カード取引」と「カードレス取引」のいずれかを押下することにより、各操作に応じた処理が実行される。

カード取引が選択されると（ステップＳ１０００：カード取引選択）、ホストコンピュータ４との間の取引実行のための、既知の手法による一連の処理が実行され、その後にホストコンピュータ４との取引が行われる（ステップＳ１００１）。これらの処理は既知のものであるので詳細を省く。

通知部２４に表示されている、自動取引装置２を用いた取引の中止のための「中止ボタン」等が利用者により押下等されるか、「カード取引」と「カードレス取引」のいずれも選択されず利用者の存在をセンサが感知しなくなると、自動取引装置２は元の顧客待ち状態へと戻る（ステップＳ１０００：中止等）。なお、中止ボタンの押下等があった場合や利用者をセンサ等で感知できなくなった状態等を以下では「中止等」と称する。

カードレス取引が選択されると（ステップＳ１０００：カードレス取引選択）、自動取引装置２は通知部２４を介して、利用者に対し入力部２０への利用者情報の入力を促す。利用者情報の入力がされず中止等があった場合（ステップＳ１００２：Ｎｏ）、自動取引装置２は顧客待ち状態へと戻る。

利用者情報の入力があると（ステップＳ１００２：Ｙｅｓ）、自動取引装置２は、通知部２４を介して利用者に生体情報読取部２１へ生体情報を読み取らせるよう指示する。通知部２４からの利用者への通知は例えば、「認証装置に手をかざしてください。手のひらを広げてください。」等の文章を表示等することにより行われる。また自動取引装置２は生体情報読取部２１に生体情報を読み取るよう指示する（ステップＳ１００３）。

自動取引装置２は、生体情報の読取ができておらず（ステップＳ１００４：Ｎｏ）、中止等がなければ（ステップＳ１００５：Ｎｏ）、ステップＳ１００３に処理を戻す。自動取引装置２は、生体情報の読取ができておらず（ステップＳ１００４：Ｎｏ）、中止等があれば（ステップＳ１００５：Ｙｅｓ）、顧客待ち状態に戻る。

生体情報の読取がなされた場合には（ステップＳ１００４：Ｙｅｓ）、自動取引装置２は、自己の機番と、ステップＳ１００２において入力された利用者情報と、ステップＳ１００３、Ｓ１００４において読み取られた生体情報とを認証サーバ３へ送信し（ステップＳ１００６）、認証結果待機状態（ステップＳ１００７）へと移行する。

認証サーバ３は、待機状態より、機番と利用者情報と生体情報とを自動取引装置２から受信すると（ステップＳ１００８）、当該利用者情報と生体情報との組み合わせが、不正利用者情報ＤＢ３１０に存在するか否かの検索を行う（ステップＳ１００９）。

図９に移り、認証サーバ３は、受信した利用者情報と生体情報の組み合わせが不正利用者情報ＤＢ３１０に存在すると判断した場合には（ステップＳ１０１０：Ｙｅｓ）、受信した機番に対応する自動取引装置２に認証不成立の結果と不正利用者に該当する旨の通知を送信する（ステップＳ１０１１）。ステップＳ１０１１の処理の後、認証サーバ３は待機状態へと戻る。

自動取引装置２は、認証結果待機状態（ステップＳ１００７）において認証サーバ３より認証不成立である旨の結果と不正利用者に該当する旨の通知を受信すると、通知部２４を介して注意喚起画面を表示したり、注意喚起音声を出力したりするなどの処理を行う（ステップＳ１０１２）。この場合、通知される内容は、例えば、「ご本人と確認できませんでした。お客様の生体情報では、カードレス取引を行うことができません。窓口までお問合わせ下さい。」である。その後、自動取引装置２は、取引を中止し、顧客待ち状態へと戻る。なお、ステップＳ１０１２の処理の実行なしに、自動取引装置２は顧客待ち状態へ戻ってもよい。

認証サーバ３は、自動取引装置２から受信した利用者情報と生体情報との組み合わせが、不正利用者情報ＤＢ３１０に存在しないときは（ステップＳ１０１０；Ｎｏ）、認証履歴情報ＤＢ３１１を検索する（ステップＳ１０１３）。この際に認証サーバ３は、受信した機番を元に、認証履歴情報において生体情報が、受信した生体情報と一致するレコードを検索する（ステップＳ１０１３）。ただし生体情報のみに限定されず、受信した利用者情報が一致するレコード、あるいは利用者情報および生体情報の両方が一致するレコードを検索してもよい。

本実施の形態では、ステップＳ１０１３において検索対象となるのは機番と生体情報の組み合わせが一致するレコードとする。認証履歴情報は、不正利用の抑止のために用いられるものであるが、不正利用者が取引を行えなかった後に、再度の取引の際に別の利用者情報を入力する場合がある。一方、生体情報は利用者情報に比べて容易に変化させることができないものと考えられる。本実施の形態において、認証サーバ３は、再度の取引における認証の際、過去の取引における認証履歴を活かすために、機番と生体情報の組み合わせが一致するレコードを検索するものとする。本実施の形態では認証履歴情報として、図５を例に説明する。

なお、ステップＳ１０１３で機番を元にして検索を行う理由は、不正利用者は自動取引装置２への際限のない認証のための操作を同一の自動取引装置２で行う可能性が高いためである。このため、同一機番の自動取引装置２の認証履歴を参照して不正利用の防止を図る。しかし、同一支店に複数の自動取引装置２が設置されているような場合には、これら複数の自動取引装置２の機番を一括して検索対象としてもよい。

ステップＳ１０１３での検索において、認証サーバ３は、認証履歴情報に、受信した機番と生体情報の組み合わせと一致するレコードが存在する場合には（ステップＳ１０１４：Ｙｅｓ）、当該レコードの認証結果が成立か不成立かを判定する（ステップＳ１０１５）。認証サーバ３は、認証結果が不成立であれば（ステップＳ１０１５：Ｎｏ）、認証不成立回数が閾値以上であるか否かを判定する（ステップＳ１０１６）。認証サーバ３は、認証不成立回数が閾値以上の場合には（ステップＳ１０１６：Ｙｅｓ）、受信した利用者情報と生体情報の組み合わせのレコードを不正利用者情報ＤＢ３１０に追加する（ステップＳ１０１７）。ここで、閾値は上述した閾値１、２のいずれかが用いられる。例えば閾値１と閾値２のうちの大きい値のものが用いられる。次いで、認証サーバ３は、認証履歴情報ＤＢ３１１の検索対象となったレコードを削除して（ステップＳ１０１８）、上述したステップＳ１０１１へと処理を移行する。

なお、ステップＳ１０１３での検索において、複数のレコードが見つかる場合が存在する。例えば、不正利用者が、利用者情報を前々回の取引から変化させて、前回の取引では別の利用者情報を入力し、前々回の取引と前回の取引で読み取られた生体情報が同一である場合が該当する。そしてステップＳ１０１５において、認証成立と認証不成立の場合の両方のレコードが存在する場合には、認証サーバ３は、不正利用防止の強化のためにステップＳ１０１６へと処理を移行してもよい。またステップＳ１０１３での検索結果において、認証不成立となっているレコードが複数存在する場合に、認証サーバ３は、認証不成立回数が最も多いレコードの認証不成立回数をステップＳ１０１６での判定の対象としてもよい。ただし、これらに限定されない。

ステップＳ１０１４において認証履歴情報に受信した機番と生体情報の組み合わせに一致するレコードがない場合（ステップＳ１０１４：Ｎｏ）、ステップＳ１０１５において認証が成立しているものと判定された場合（ステップＳ１０１５：Ｙｅｓ）、ステップＳ１０１６において認証不成立回数が閾値より小さいと判定された場合（ステップＳ１０１６：Ｎｏ）には、認証処理部３２は、受信した利用者情報と生体情報との組み合わせが一致するレコードを顧客認証情報において検索して、認証を行う（ステップＳ１０１９）。

図１０に移り、認証処理部３２は、ステップＳ１０１９での顧客認証情報に基づく認証が不成立であれば（ステップＳ１０２０：Ｎｏ）、認証履歴情報において、受信した機番と生体情報の組み合わせが一致するレコードがあるか否かを検索する（ステップＳ１０２１）。なお、このステップＳ１０２１で検索対象となるものは、機番以外の要素としては、ステップＳ１０１３と同様、生体情報が一致するレコードのみに限定されず、受信した利用者情報が一致するレコード、あるいは利用者情報および生体情報の両方が一致するレコードでもよい。

認証サーバ３は、ステップＳ１０２１において一致するレコードがないと判定すると（ステップＳ１０２２：Ｎｏ）、認証履歴情報において、受信した機番と利用者情報と生体情報とを互いに関係付けたレコードを生成し、認証結果として認証不成立を記録し、認証不成立回数として０を記録する（ステップＳ１０２３）。なお、この機番と利用者情報は、ステップＳ１００８において受信したものである。続いて認証サーバ３は、この新たに生成されたレコードにおいて、認証不成立回数に１を加算したものを新たな認証不成立回数として更新する（ステップＳ１０２４）。認証不成立回数を１にするためである。

ステップＳ１０２１において一致するレコードがあれば（ステップＳ１０２２：Ｙｅｓ）、認証サーバ３は当該レコードの認証不成立回数に１を加算したものを新たな認証不成立回数として更新する（ステップＳ１０２４）。ただし、機番と生体情報とが一致するレコードが、例えばステップＳ１００８で取得した利用者情報と異なる利用者情報が記録されているものである場合など、別の取引の際のレコードである場合、認証処理部３２は、本取引のステップＳ１００８において取得した利用者情報を含む新たなレコードを追加すし、このレコードにおいて上述の機番と生体情報を記録する。そして認証処理部３２は、このレコードの認証不成立回数として、上記別の取引の際の認証不成立回数に１を加算したものを記録する。ただし、これに限定されない。

ステップＳ１０２４に続いて認証サーバ３は、機番と利用者情報と生体情報の送信元である自動取引装置２に対し、生体情報読取指示を送信し（ステップＳ１０２５）、自動取引装置２から生体情報を再度取得するまで待機する（ステップＳ１０２６）。この生体情報読取指示は、例えば認証不成立結果と不正利用者では無い旨の情報である。

自動取引装置２は、生体情報読取指示を受信すると（ステップＳ１０２７）、ステップＳ１００３と同様の生体情報読取のための指示を行う（ステップＳ１０２８）。自動取引装置２は、再度生体情報が読み取られた場合には（ステップＳ１０２９：Ｙｅｓ）、当該読み取った生体情報を認証サーバ３に送信し（ステップＳ１０３０）、ステップＳ１００７の認証結果待機状態へと移行する。

自動取引装置２は、生体情報の読み取りができておらず（ステップＳ１０２９：Ｎｏ）、中止等がなければ（ステップＳ１０３０：Ｎｏ）、ステップＳ１０２８に処理を戻す。生体情報の読取ができておらず（ステップＳ１０２９：Ｎｏ）、中止等があれば（ステップＳ１０３０：Ｙｅｓ）、中止等があった旨を認証サーバ３に通知し（ステップＳ１０３１）、顧客待ち状態に戻る。

認証サーバ３は、自動取引装置２から生体情報を再度取得するか、または中止等の通知を受信し（ステップＳ１０３２）、当該受信したものが生体情報であれば（ステップＳ１０３３：Ｙｅｓ）、ステップＳ１００９へ処理を戻す。認証サーバ３は、この場合のステップＳ１００９以降の処理においては、ステップＳ１００８で受信した利用者情報を再度用いると共に、ステップＳ１０３２で受信した生体情報を用いる。

認証サーバ３は、ステップＳ１０３２で受信したものが生体情報ではない場合、すなわち中止等の通知を受信した場合には（ステップＳ１０３３）、待機状態へと戻る。

図１０に戻り、認証処理部３２は、ステップＳ１０２０において認証成立と判定した場合には（ステップＳ１０２０：Ｙｅｓ）、認証が成立した利用者情報と生体情報の組み合わせのレコードが認証履歴情報に存在するか否か検索を行う（ステップＳ１０３４）。検索対象のレコードが存在すれば（ステップＳ１０３５：Ｙｅｓ）、認証処理部３２は、当該レコードにおいて認証不成立回数が０であるか否かの判定を行う（ステップＳ１０３６）。０でなければ（ステップＳ１０３６：Ｎｏ）、認証処理部３２は、変動閾値算出情報に新たなレコードを追加し、この新たなレコードに、ステップＳ１０３４で見つかったレコードの利用者情報と生体情報と認証不成立回数を記録する（ステップＳ１０３７）。また、認証処理部３２は、当該認証動作が行われた日付を当該レコードの顧客認証不成立発生日の列に記録する。なお、認証処理部３２は、変動閾値算出情報において認証不成立回数が０のレコードも記録する場合には、ステップＳ１０３６の処理を実行せずに、ステップＳ１０３５におけるＹｅｓの判定後に、ステップＳ１０３７の処理を実行してもよい。

認証処理部３２は、ステップＳ１０３４で見つかったレコードにおける認証不成立回数を０に更新し、認証結果として認証成立を記録する（ステップＳ１０３８）。

ステップＳ１０３５において検索対象のレコードが存在しない場合には（ステップＳ１０３５：Ｎｏ）、認証処理部３２は、認証履歴情報に、認証不成立回数を０、認証結果を認証成立とするレコードであって、ステップＳ１０３４で検索対象とした利用者情報と生体情報とを記録したレコードを追加する（ステップＳ１０４０）。

認証サーバ３は、ステップＳ１０３６において認証不成立回数が０の場合と、ステップＳ１０３８の後と、ステップＳ１０４０の後、認証成立結果と口座一覧情報を含むデータを、利用者情報等の送信元の自動取引装置２へ送信する（ステップＳ１０４１）。認証サーバ３は、ステップＳ１０４１の送信処理の後、待機状態へ戻る。

自動取引装置２は、認証成立結果と口座一覧情報を受信すると（ステップＳ１０４２）、口座選択のための処理を行う（ステップＳ１０４３）。具体的には、自動取引装置２は、口座一覧情報の支店名等を通知部２４、例えば利用者操作パネル５０により利用者に通知し、利用者の入力部２０への入力を受け付けて選択処理を行う。

続いて、自動取引装置２は、ステップＳ１０４３において選択された口座の暗証番号の入力の受付処理を実行し（ステップＳ１０４４）、更に金額入力の受付処理を実行する（ステップＳ１０４５）。

続いて自動取引装置２は、ホストコンピュータ４に対し取引の要求（取引要求）を送信する（ステップＳ１０４６）。この要求と共に、選択された口座の情報と、入力された暗証番号と金額の情報が送信される。また図示はしていないが、この取引要求送信から後述する取引応答受信までの間、自動取引装置２は待機する。

ステップＳ１０４７において取引要求を受信したホストコンピュータ４は、既知の手法により取引判定処理を行い（ステップＳ１０４８）、取引要求の送信元の自動取引装置２に対して取引についての応答内容（取引応答とも称する）を送信し（ステップＳ１０４９）、待機状態へ戻る。

ホストコンピュータ４より、取引応答を受信した自動取引装置２は、取引処理として出金金額や出金媒体の種別を算出して（ステップＳ１０５０）、紙幣や硬貨等の媒体を、上述した紙幣処理部２５や硬貨処理部２６により排出し（ステップＳ１０５１）、その後顧客待ち状態へと戻る。

図１４は、本実施の形態に係る自動取引装置２のハードウェア構成の一例を示す図である。図３に示される自動取引装置２における各機能は図１４に示すハードウェア構成により実現可能である。

自動取引装置２は、プロセッサ６０、メモリ６１、通信装置６２、および入出力インターフェース６３を備える。これらはバス６４により互いに接続されている。
プロセッサ６０には、シングルコアプロセッサ、マルチコアプロセッサ等が含まれる。

メモリ６１は、例えばＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、半導体メモリである。

プロセッサ６０がメモリ６１内のプログラムを実行することにより、上述した制御部２２の機能が実現される。

通信装置６２は、有線または無線の通信ネットワークに接続され、通信に伴うデータ変換やデータの転送等を行う通信インターフェースである。通信装置６２により通信部２３の機能が実現される。

入出力インターフェース６３は、上述した入力部２０、生体情報読取部２１、通知部２４、紙幣処理部２５、硬貨処理部２６等をプロセッサ６０に接続させるためのインターフェースである。

図１５は、本実施の形態に係る認証サーバ３のハードウェア構成の一例を示す図である。図３に示される認証サーバ３における各機能は図１５に示すハードウェア構成により実現可能である。

認証サーバ３は、プロセッサ７０、メモリ７１、通信装置７２、および記憶装置７３を備える。これらはバス７４により互いに接続されている。
プロセッサ７０には、シングルコアプロセッサ、マルチコアプロセッサ等が含まれる。

メモリ７１は、例えばＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、半導体メモリである。

プロセッサ７０が、後述する記憶装置７３に格納されているデータをメモリ７１に読み込み、メモリ内のプログラムを実行することにより、上述した認証処理部３２の機能が実現される。

通信装置７２は、有線または無線の通信ネットワークに接続され、通信に伴うデータ変換やデータの転送等を行う通信インターフェースである。通信装置７２により通信部３０の機能が実現される。

記憶装置７３は、ハードディスクドライブ、光ディスク装置等であり、外部記憶装置や可搬型記憶媒体であってもよい。この記憶装置７３により記憶部３１の機能が実現される。

本実施形態における自動取引システム１によれば、カードレス取引において不正取引の発生を低減し、セキュリティの強化を図ることができる。認証サーバ３は、不正利用者情報を記憶して認証動作の際にこれを参照することによって、不正利用者にその後の操作を行わせないことから、不正取引のリスクが低減する。また注意喚起を行うことにより、正当な利用者の場合には窓口への案内を行うことができると共に、不正利用者の場合には牽制を行うことができる。

認証サーバ３は、変動閾値算出情報を用いて認証の回数の閾値を変動させることにより、生体情報読取部２１の状態や利用者の状態等によらず、臨機応変に認証の実行可能回数を変化させることができる。これにより際限ない認証の繰り返しを抑止して不正取引を防止しながら、正当な利用者が当該システムを使う際の不具合とはならないようにできる。

また認証サーバ３は、認証履歴情報の認証不成立回数も認証の回数に加算することで、不正利用者が別の利用者情報を入力して再度認証を行う場合などの認証可能回数を無駄に大きくするような事態を防止することができる。

また、１つの利用者情報に対し、複数の生体情報を記憶することで複数人の不正利用者による不正取引を防止できる。

本発明は、本発明の広義の精神と範囲を逸脱することなく、様々な実施形態および変形が可能とされるものである。また、上述した実施形態は、本発明を説明するためのものであり、本発明の範囲を限定するものではない。特許請求の範囲内およびそれと同等の発明の意義の範囲内で施される様々な変形も、本発明の範囲内とみなされる。

１ 自動取引システム
２ 自動取引装置
３ 認証サーバ
４ ホストコンピュータ
２０ 入力部
２１ 生体情報読取部
２２ 制御部
２３、３０ 通信部
２４ 通知部
２５ 紙幣処理部
２６ 硬貨処理部
２７ カード／レシート処理部
２８ 通帳処理部
３１ 記憶部
３２ 認証処理部
５０ 利用者操作パネル
５１ 紙幣取扱部
５２ 硬貨取扱部
５３ 生体情報読取装置
５４ カード／レシート取扱部
５５ 通帳挿入部
６０、７０ プロセッサ
６１、７１ メモリ
６２、７２ 通信装置
６３ 入出力インターフェース
７３ 記憶装置
３１０ 不正利用者情報ＤＢ
３１１ 認証履歴情報ＤＢ
３１２ 顧客認証情報ＤＢ
３１３ 変動閾値算出ＤＢ

Claims (5)

1. 利用者の操作に応じて取引を実行する自動取引装置と、前記自動取引装置と通信可能な認証サーバと、を備える自動取引システムであって、
   前記自動取引装置は、
   利用者から利用者情報の入力を受け付ける入力部と、
   前記利用者の生体情報を読み取る生体情報読取部と、
   を備え
   前記認証サーバは、
   顧客の利用者情報と該利用者情報に対応する生体情報との組み合わせを含む顧客認証情報と、前記自動取引装置の不正利用者による利用者情報と生体情報との組み合わせを含む不正利用者情報と、を記憶する記憶部と、
   前記入力部に入力された利用者情報と前記生体情報読取部により読み取られた生体情報との組み合わせを前記自動取引装置から取得して、該利用者情報と生体情報との組み合わせに基づき、該利用者の認証を行う認証処理部を備え、
   前記認証処理部は、
   前記取得された組み合わせと一致する組み合わせが前記不正利用者情報に存在するかを判定し、存在すると判定した場合に、前記自動取引装置に前記取引の中止を指示し、存在しないと判定した場合に、前記取得された組み合わせと一致する組み合わせが前記顧客認証情報に含まれるか否かにより認証を行ない、
   さらに、前記認証処理部は、
   前記取得された組み合わせと一致する組み合わせが前記顧客認証情報に含まれない場合には認証が不成立であるものとして、前記自動取引装置から前記利用者の生体情報を再度取得し、前記再度取得された生体情報と前記取得された利用者情報との組み合わせを用いて再度の前記認証を行い、前記認証が不成立であった認証不成立回数が閾値以上となる場合に、前記自動取引装置に前記取引の中止を指示し、前記取得された１以上の生体情報の中の少なくとも１つの生体情報と前記取得された前記利用者情報との組み合わせを前記不正利用者情報に記録する
   ことを特徴とする自動取引システム。
2. 前記記憶部は、
   前記認証毎に用いられる利用者情報と生体情報と前記認証の認証不成立回数とを互いに関係付けた認証履歴情報を記憶し、
   前記認証処理部は、
   前記自動取引装置から取得された利用者情報と生体情報のうちの少なくとも一方と同一の情報が前記認証履歴情報に存在する場合に、前記取得された利用者情報と生体情報とを用いて行う認証の認証不成立回数に対し、前記認証履歴情報の前記同一の情報と関係付けられた認証不成立回数を加算し、該加算された認証不成立回数を前記閾値と比較する、
   ことを特徴とする請求項１に記載の自動取引システム。
3. 前記認証処理部は、
   前記認証が不成立となる度に、前記認証の際に用いられた利用者情報と生体情報のうちの少なくとも一方と一致する情報が認証履歴情報に存在するかを判定し、
   存在すると判定した場合に、前記認証履歴情報における前記一致する情報と関係付けられた認証不成立回数を増加させ、
   存在しないと判定した場合に、前記認証履歴情報に、前記認証の際に用いられた利用者情報と生体情報と認証不成立回数とを互いに関係付けて記録し、該認証不成立回数を１とする、
   ことを特徴とする請求項２に記載の自動取引システム。
4. 前記記憶部は、
   前記認証不成立回数が１以上で、前記認証が成立して行われた、所定期間内での取引について、該取引の認証に関する利用者情報と生体情報と認証不成立回数が記録された変動閾値算出情報を記憶し、
   前記認証処理部は、
   前記変動閾値算出情報に基づき、前記閾値を決定する、
   ことを特徴とする請求項１から３のいずれか1項に記載の自動取引システム。
5. 利用者の操作に応じて取引を実行する自動取引装置と、前記自動取引装置と通信可能な認証サーバと、を備える自動取引システムにおいて実行される自動取引方法であって、
   前記自動取引装置による、
   利用者からの利用者情報の入力を受け付ける入力ステップと、
   前記利用者の生体情報を読み取る生体情報読取ステップと、
   を含み、
   前記認証サーバは、
   顧客の利用者情報と該利用者情報に対応する生体情報との組み合わせを含む顧客認証情報と、前記自動取引装置の不正利用者による利用者情報と生体情報との組み合わせを含む不正利用者情報と、を記憶する記憶部を備え、
   前記自動取引方法はさらに、
   前記認証サーバによる、
   前記入力ステップにおいて入力された利用者情報と前記生体情報読取ステップにおいて読み取られた生体情報の組み合わせを前記自動取引装置から取得して、該利用者情報と生体情報との組み合わせに基づき、該利用者の認証を行う認証処理ステップを含み、
   前記認証処理ステップは、
   前記認証サーバによる、前記取得された組み合わせと一致する組み合わせが前記不正利用者情報に存在するかを判定するステップと、存在すると判定された場合に、前記自動取引装置に前記取引の中止を指示するステップと、存在しないと判定された場合に、前記取得された組み合わせと一致する組み合わせが前記顧客認証情報に含まれるか否かにより認証を行うステップ、
   を含み、
   さらに前記認証処理ステップは、
   前記認証サーバによる、前記取得された組み合わせが前記顧客認証情報に含まれない場合には認証が不成立であるものとして、前記自動取引装置から前記利用者の生体情報を再度取得し、前記再度取得された生体情報と前記取得された利用者情報との組み合わせを用いて再度の前記認証を行うステップと、前記認証の認証不成立回数が閾値以上となる場合に、前記自動取引装置に前記取引の中止を指示し、前記取得された１以上の生体情報の中の少なくとも１つの生体情報と前記取得された前記利用者情報との組み合わせを前記不正利用者情報に記録するステップと、を含む、
   ことを特徴とする自動取引方法。