JP6259792B2 - 不正取引検知方法及び不正取引検知システム - Google Patents

Description

本発明は、インターネットバンキングにおける不正取引を検知する不正取引検知方法及び不正取引検知システムに関する。

近年、金融機関は、パーソナルコンピュータや携帯型情報端末などの利用者端末から、インターネットを含むネットワーク回線を介して預金残高・入出金明細照会、口座振込・振替等を行う、インターネットバンキングのサービスを提供している（例えば、特許文献１参照）。これにより、利用者は、金融機関のインターネットバンキングのホームページにアクセスすることで、上述した各々の取引を金融機関に行かなくとも行うことが可能となる。このインターネットバンキングの仕組みを使うことにより、金融機関は利用者に対して利便性の高いサービスを提供している。

一方、インターネットバンキングの不正引き出しや、インターネットバンキングシステムを構成するサーバ等への不正侵入を防ぐために、各種のセキュリティ対策が実施されている。一般的には、利用者端末とインターネットバンキングシステムにおけるサーバ間の通信の暗号化、パスワードの複数化、端末・ネットワーク環境解析に基づく不正アクセスの阻止等の対策がなされている。
上述したセキュリティ対策は、例えばインターネットバンキングのサービスを提供する金融機関のサーバが設置されるネットワーク側と公開ネットワーク側との間に、セキュリティサーバ等を設置して、不正アクセスの判別等を実施して行われることが知られている。

特開２０１０−１１３４８５号公報

しかしながら、上述したような現在のセキュリティでは、悪意ある人間が他人のユーザＩＤ（identification）及びパスワードなどのアカウントを不正に入手し、金融機関のサーバにこのアカウントを用いてアクセスし、不正な金融取引を行うことを十分に防止することができない。
また、従来、不正な金融取引は、すでに取引が行われた事後の調査によって検知されるものであり、リアルタイムに不正な金融取引を抑止することが困難である。

本発明は、このような事情に鑑みてなされたもので、ユーザＩＤ及びパスワードなどのアカウントである取引情報を不正に入手して、インターネットバンキングにおいてこの取引情報により行われる不正な金融取引をリアルタイムに抑止する不正取引検知方法及び不正取引検知システムを提供することを目的とする。

この発明は上述した課題を解決するためになされたもので、本発明の不正取引検知方法は、インターネットバンキングを用いた金融取引における不正取引を検知する不正取引検知方法であり、金融機関との金融取引において、当該金融機関にアクセスした利用者の取引情報が予め前記金融取引を停止すべき取引情報として拒否テーブルに設定された検知パラメータと一致するか否かの判定を行う検知パラメータ判定過程と、前記検知パラメータ判定過程において不正取引として検知された利用者の前記金融取引の処理を中断する処理中断過程と、前記処理中断過程において不正取引として中断した前記金融取引に対応する前記利用者に対し、前記金融機関へ取引の確認の問い合わせを当該金融取引を行っている第１通信手段と異なる第２通信手段を用いて行うことを依頼する通知を行う確認依頼通知過程と、前記問い合わせの結果により前記利用者が正当な利用者であることが確認される確認情報により、当該利用者の中断されている前記金融取引を再開する処理再開過程と、金融機関毎に設けられ、当該金融機関の各々が検知した不正取引に関与した検知パラメータが記述された検知テーブルそれぞれから、前記検知パラメータを集約した前記拒否テーブルを生成する拒否テーブル生成過程と、を含み、前記検知パラメータ毎に、当該検知パラメータを使用した検知処理を有効あるいは無効とする有効無効フラグが、前記金融機関ごとに前記拒否テーブルにおいて設けられていることを特徴とする。

本発明の不正取引検知方法は、前記取引情報が前記利用者の用いている端末のＩＰアドレスと、金融取引を行う先の前記金融機関における口座番号とを含むことを特徴とする。

本発明の不正取引検知方法は、前記問い合わせにおいて前記利用者が正当な利用者であることが確認された場合、中断された前記金融機関との前記金融取引が前記利用者単位で再開されることを特徴とする。

本発明の不正取引検知システムは、インターネットバンキングを用いた金融取引における不正取引を検知する不正取引検知システムであり、金融機関との金融取引において、当該金融機関にアクセスした利用者の取引情報が予め前記金融取引を停止すべき取引情報として拒否テーブルに設定された検知パラメータと一致するか否かの判定を行う検知パラメータ判定部と、前記検知パラメータ判定部が不正取引として検知した利用者の前記金融取引の処理を中断する処理中断部と、前記処理中断部が不正取引として中断した前記金融取引の前記利用者に対し、前記金融機関へ取引の確認の問い合わせを当該金融取引を行っている第１通信手段と異なる第２通信手段を用いて行うことを依頼する通知を行う確認依頼通知部と、前記問い合わせの結果により前記利用者が正当な利用者であることが確認される確認情報により、当該利用者の中断されている前記取引を再開する処理再開部と、金融機関毎に設けられ、当該金融機関の各々が検知した不正取引に関与した検知パラメータが記述された検知テーブルそれぞれから、前記検知パラメータを集約した前記拒否テーブルを生成する拒否テーブル編集処理部とを備え、前記検知パラメータ毎に、当該検知パラメータを使用した検知処理を有効あるいは無効とする有効無効フラグが、前記金融機関ごとに前記拒否テーブルにおいて設けられていることを特徴とする。

この発明によれば、インターネットバンキングを用いた金融取引において抽出した利用者の取引情報と、予め取引を中断する取引情報として設定された検知パラメータとを比較し、一致した場合に金融取引を不正取引として中断し、金融機関へ取引の問い合わせを当該金融取引を行っている第１通信手段と異なる第２通信手段を用いて利用者に行わせ、問い合わせの結果により利用者が正当な利用者であることが確認された場合、この中断した金融取引を再開するため、ユーザＩＤ及びパスワードなどのアカウントを不正に入手してインターネットバンキングにおいてこのアカウントにより行われる不正な金融取引を、利用者のユーザビリティを確保しつつ、リアルタイムに抑止する不正取引検知方法及び不正取引検知システムを提供することができる。

本発明の実施形態によるインターネットバンキングシステムの構成例を示す図である。 図１のインターネットバンキングシステム１における不正取引検知システム１２の構成例を示す図である。 検知テーブルデータベース１２６に記憶されている検知テーブルの構成例を示す図である。 拒否テーブルデータベース１２７に記憶されている、検知テーブルの検知パラメータを集約化した拒否テーブルの構成例を示す図である。 取引テーブルデータベース１２８に記憶されている取引テーブルの構成例を示す図である。 本実施形態における不正取引検知システム１２を用いたインターネットバンキングにおける不正検知の処理の流れ動作例を示すフローチャートである。

以下、図面を参照して、本発明の実施形態について説明する。図１は、本発明の実施形態によるインターネットバンキングシステムの構成例を示す図である。図１において、本実施形態におけるインターネットバンキングシステム１は、例えば、取引システム１１及び不正取引検知システム１２の各々を備えている。利用者端末２＿１から２＿ｎは、企業、事業所あるいは個人の有するパーソナルコンピュータあるいはサーバであり、ネットワーク１００を介してインターネットバンキングシステム１と通信を行うことで、金融機関との間でインターネットバンキングを行う。ネットワーク１００は、インターネット回線を含む情報通信網である。金融機関３＿１から金融機関３＿ｎは、銀行、信用金庫、農業協同組合などであり、インターネットバンキングシステム１からネットワーク１００を介して、利用者端末からの金融取引の依頼を受けて、振込・振替などの処理を実行する。

インターネットバンキングシステム１における取引システム１１は、インターネットバンキングにおける複数の金融機関３＿１から３＿ｎの各々に対する利用者端末からの金融取引の業務の支援（利用者の認証処理及び通信のセキュリティ確保を含む）を、金融機関３＿１から３＿ｎそれぞれに対して独立に行っている。金融機関３＿１から３＿ｎの各々において、勘定システム３２は、ネットワーク１００を介して行われる取引システム１１からの業務の支援に基づき、例えば他の金融機関への振込・振替などの金融取引を実行する。

不正取引検知システム１２は、本発明の実施形態において主要な構成要素であり、例えば、ユーザＩＤ及びパスワードなどのアカウントが不正に入手されて、インターネットバンキングにおいてこのアカウントにより行われる不正な金融取引をリアルタイムに検知する機能を有する。また、不正取引検知システム１２は、利用者の正当性が金融機関によって確認されるまで停止させ、不正に入手されたアカウントによる不正な金融取引を抑制する機能を有する。

図２は、図１のインターネットバンキングシステム１における不正取引検知システム１２の構成例を示す図である。図２において、不正取引検知システム１２は、拒否テーブル編集処理部１２１、検知パラメータ判定部１２２、処理中断部１２３、確認依頼通知部１２４、処理再開部１２５、検知テーブルデータベース１２６、拒否テーブルデータベース１２７、取引テーブルデータベース１２８の各々を備えている。

図３は、検知テーブルデータベース１２６に記憶されている検知テーブルの構成例を示す図である。検知テーブルは、各金融機関が事後の調査の結果、取引内容に怪しい点があり不正な金融取引である可能性があると推定される利用者の取引情報が検知パラメータとしてそれぞれの金融機関の金融機関運用端末３１から書き込まれている。図３の検知テーブルは、例えば、レコード毎に、検知番号に対応してＩＰ（Internet Protocol）アドレス、振込先口座番号、検知パラメータ及び取引内容がテーブルの項目として設定されている。
検知番号は、検知した金融取引を識別するための情報であり、シリアル番号などである。ＩＰアドレスは、この検知された金融取引において利用者が用いた送信元（アクセス元）の利用者端末のＩＰアドレスである。本実施形態において、金融取引として振込・振替を例として説明する。

振込先口座番号は、金融取引である振込・振替の処理における振込先の金融機関の口座番号が示されている。検知パラメータは、不正取引と検知された金融取引における取引情報が示されている。この取引情報は、例えば本実施形態においてはアクセス元のＩＰアドレス及び振込先の金融機関における振込先口座番号（以下、単に振込先号座番号とする）を含む情報である。このため、検知パラメータとしては、不正な取引である可能性があると推定された取引情報が記載されており、推定結果としてアクセス元のＩＰアドレス及び振込先の振込先口座番号のいずれかあるいは双方が設定されている。取引内容は、どのような振込・振替が行われたて、不正取引である可能性があると推定するに至った経緯の説明が記載されている。

図２に戻り、拒否テーブル編集処理部１２１は、各金融機関の金融機関端末３１から入力される検知番号に対応する検知パラメータを、拒否テーブルデータベース１２７における拒否テーブルに対して書き込む編集処理を行う。すなわち、金融機関の担当者は、定期的に検知テーブルデータベース１２６の検知テーブルを参照し、担当者が不正な金融取引である可能性が特に高いと推定する金融取引における取引情報の検知番号を、不正取引検知システム１２に対して送信する。これにより、拒否テーブル編集処理部１２１は、金融機関運用端末３１から供給される検知番号に対応するレコードの取引情報を、検知テーブルデータベース１２６の検知テーブルから読み出す。
そして、拒否テーブル編集処理部１２１は、読み出した取引情報及びそれに対応する情報を拒否テーブルデータベース１２７の拒否テーブルに書き込んで記憶させる。

また、拒否テーブル編集処理部１２１は、定期的に検知テーブルデータベース１２６における各金融機関の検知テーブルを参照し、複数の金融機関の検知テーブルに書き込まれていること、あるいは同一の金融機関で検知テーブルに対して所定の回数以上の回数で検知テーブルにアップされている（記載されている）ことを、不正な金融取引である可能性が高いと判定する基準として金融取引の検知パラメータを検知テーブルから抽出し、拒否テーブルデータベース１２７の拒否テーブルに書き込むように構成しても良い。また、各金融機関の担当者が、検知テーブルから不正な金融取引である可能性が特に高いと推定した検知パラメータを抽出した際、金融機関運用端末３１により不正取引検知システム１２に対してアクセスし、金融機関運用端末３１から拒否テーブルデータベース１２７の拒否テーブルに対し、抽出した検知パラメータを直接書き込む構成としても良い。

図４は、拒否テーブルデータベース１２７に記憶されている、検知テーブルの検知パラメータを集約化した拒否テーブルの構成例を示す図である。拒否テーブルは、上述したように検知テーブルから特に不正な金融取引である可能性が高い（不正取引に関与している可能性が高い）と判定された検知パラメータが集約されて書き込まれているテーブルである。図４の拒否テーブルは、例えば、レコード毎に、登録番号に対応して検知パラメータ（ＩＰアドレス、振込先口座番号）、登録金融機関情報、有効無効フラグの各々が項目として設定されている。

登録番号は、検知パラメータを識別するための情報であり、拒否テーブルに対して検知パラメータが登録された順番を示すシリアル番号などである。登録金融機関情報は、対応する検知パラメータを登録した金融機関の連絡先を示す情報である。有効無効フラグは、拒否テーブルにおける検知パラメータの各々を、それぞれ金融取引が不正な取引であることを検知する判定に用いるか否かを示すフラグである。すなわち、検知パラメータ判定部１２２は、拒否テーブルにおいて、有効無効フラグが無効の状態の検知パラメータを、金融取引が不正な取引であることを検知する判定に用いず、一方、有効無効フラグが有効の状態の検知パラメータを、金融取引が不正な取引であることを検知する判定に用いる。また、各金融機関の担当者は、拒否テーブルにおいて検知パラメータを不正取引の検知に用いることを有効とするかあるいは無効とするかを判断するため、登録金融機関情報の示す金融機関の連絡先に問い合わせて、拒否テーブルに登録した金融機関から金融取引の情報を得ることができる。

また、この有効無効フラグは、図４の拒否テーブルに示す様に、金融機関毎にそれぞれ任意に設定できる構成となっている。すなわち、検知パラメータ判定部１２２は、利用者の金融取引毎に、依頼先となる金融機関の情報を抽出し、この金融機関に対応する有効無効フラグを参照する。そして、検知パラメータ判定部１２２は、金融機関毎に、有効無効フラグにより検知パラメータを使用するか否かを判断し、有効無効フラグが有効の状態の検知パラメータと、金融取引において抽出した取引情報と比較することにより、不正取引の検知処理を行う。ここで、各金融機関は、自身の有効無効フラグのみを参照することができ、金融機関運用端末３１により不正取引検知システム１２にアクセスし、金融機関運用端末３１から自身の有効無効フラグの状態を任意に書き換えることができる。また、有効無効フラグは、検知パラメータが登録された際の初期値を、デフォルトとして無効としておく構成としても、有効としておく構成としても良く、金融機関の運用により任意に運用期間毎に選択できる。

図２に戻り、検知パラメータ判定部１２２は、所定の金融機関との間においてインターネットバンキングを行おうとして、利用者端末によりインターネットバンキングシステム１にアクセスしてきた利用者の取引情報である利用者端末のＩＰアドレスと、金融取引における振込先である振込先口座番号とを抽出する。また、検知パラメータ判定部１２２は、拒否テーブルデータベース１２７における拒否テーブルを参照し、有効無効フラグが有効となっている検知パラメータのなかから、抽出した取引情報（ＩＰアドレス、振込先口座番号）と一致する検知パラメータ（ＩＰアドレス、振込先口座番号のいずれか一方または両方）が検出されるか否かの判定を行う。このとき、検知パラメータ判定部１２２は、抽出した取引情報が一致する検知パラメータが拒否テーブルに存在している場合、この取引が不正取引として検知されたことを示す検知信号を処理中断部１２３に対して出力する。

処理中断部１２３は、検知パラメータ判定部１２２から検知信号が供給されると、この検知信号に含まれる検知された金融取引を示す取引番号に対応する取引を中断する。すなわち、処理中断部１２３は、取引テーブルデータベース１２８における取引テーブルにおいて、中断する金融取引のレコードにおける中断フラグの欄に対して中断を示すフラグを立てる（書き込む）。これにより、取引システム１１は、取引テーブルデータベース１２８における取引テーブルの中断フラグを参照し、金融取引を進めるかあるいは一旦停止（中断）させるかの判定を行う。そして、取引システム１１は、取引テーブルデータベース１２８の取引テーブルにおいて、中断フラグが中断を示すフラグ状態である間においては、金融機関運用端末３１へのこの金融取引に対する取引指示を出力しない。
また、処理中断部１２３は、確認依頼通知部１２４に対して、処理を中断した金融取引の情報（金融機関の情報を含む）を出力する。

図５は、取引テーブルデータベース１２８に記憶されている取引テーブルの構成例を示す図である。取引テーブルは、取引システム１１及び不正取引検知システム１２が処理している、利用者端末の各々が行っているインターネットバンキングにおける金融取引の情報を示すテーブルである。図５の取引テーブルは、例えば、レコード毎に、取引番号、ＩＰアドレス、振込先口座番号、中断フラグ、中断原因の各々が項目として設定されている。

取引番号は、金融取引の各々を識別するための情報であり、取引テーブルに対して取引が登録された順番を示すシリアル番号などである。ＩＰアドレスは、利用者が金融取引に用いている利用者端末２１の送信元ＩＰアドレスである。振込先口座番号は、金融取引としての振込・振替の処理における送信先の金融機関の口座番号である。中断フラグは、取引情報が検知パラメータと一致したか否かの結果によりフラグ状態が処理中断部１２３により書き換えられる。ここで、取引情報と検知パラメータとが一致した場合に取引の処理の中断を示す状態に設定され、一方、取引情報と検知パラメータとが一致しない場合に取引の処理の継続を示す状態に設定される。中断原因は、例えば、中断フラグが取引の処理の中断を示す状態になった原因が、取引情報におけるＩＰアドレスが検知パラメータのＩＰアドレスと一致したためか、または取引情報における振込先口座番号が検知パラメータの口座番号と一致したためか、あるいはＩＰアドレス及び振込先口座番号の双方が一致したためかを示す、検知パラメータ判定部１２２における判定結果が記述される。

図２に戻り、確認依頼通知部１２４は、取引システム１１が利用者端末に表示している取引の入力を行う処理画面（入力画面）に対して、金融取引を依頼している金融機関に対して取引内容の確認をするため、指定された金融機関の電話番号に電話連絡することを促す画像表示を表示する。ここで、電話連絡でなくとも直接に利用者本人から対話形式で質問の回答が得られれば、例えばＳＭＳ（short message service）などの通信手段を用いても良い。すなわち、本実施形態においては、利用者端末がネットワーク１００を介して、金融機関との間でインターネットバンキングを行っている回線である第１の通信手段の接続を維持しつつ、この第１の通信手段と異なる電話やＳＭＳなどの第２の通信手段により、金融取引を行うとする利用者の本人確認を行う。
また、確認依頼通知部１２４は、上記電話連絡を行うことを示す利用者端末への通知を行うとともに、処理中断部１２３から供給された金融取引の情報に対応し、当該金融取引を行う金融機関の金融機関運用端末３１に対して、不正取引が推定される金融取引の取引番号を示す通知メール（電子メール）を送信する。

金融機関の担当者は、利用者が上記画面表示による通知に対応して金融機関に対して電話連絡してきた際、この利用者のユーザＩＤ及びパスワードのアカウントに対応した利用者の個人情報（住所、生年月日など）により利用者の本人確認を行い、アカウントを保持する本人であるか否かの正当性の確認を行う。金融機関の担当者は、利用者の個人情報による本人確認の結果、利用者がアカウントを保持する本人であり、利用者の正当性が確認できると、金融機関運用端末３１により不正取引検知システム１２をアクセスし、取引テーブルデータベース１２８の取引テーブルにおける中断フラグを処理の継続を示すフラグに書き換える。すなわち、金融機関の担当者は、利用者の正当性が確認できたため、取引の処理を中断する状態となっている、同一のＩＰアドレス全ての取引の中断フラグを取引を継続する状態に、金融機関運用端末３１により書き換える。

すなわち、金融機関の担当者は、利用者の正当性が利用者自身との情報のやり取りの結果において確認できた場合、取引テーブルデータベース１２８の取引テーブルにおいて、利用者単位で取引の中断フラグを取引を継続する状態に書き換える。また、このとき、金融機関の担当者は、取引テーブルデータベース１２８の取引テーブルにおける中断原因において、ＩＰアドレスのみでなく振込先口座番号も検知パラメータと一致して中断されている場合、利用者との電話連絡中にこの金融取引の振込・振替に関して確認し、利用者の意向を反映させて、中断フラグの書き換え処理を行うようにしても良い。
また、本実施形態においては、電話連絡における正当性が確認された利用者の金融取引の中断を利用者単位で解除しているが、金融機関の運用に合わせて、取引単位で解除する構成としても良い。

処理再開部１２５は、金融機関が取引テーブルデータベース１２８の取引テーブルを編集したことを検知すると、当該取引テーブルを参照し、処理の中断を示す状態から、処理の継続を示す状態に書き換えられた中断フラグの検出を行う。そして、処理再開部１２５は、処理の継続を示す状態に書き換えられた中断フラグが検出されると、取引システム１１に対して当該中断フラグの金融取引の再開を促す指示を出力する。これにより、取引システム１１は、取引テーブルデータベース１２８における取引テーブルを参照し、継続を示す状態に書き換えられた中断フラグの処理を再開する。
また、処理再開部１２５は、取引システム１１が利用者端末に表示している取引の処理画面から、金融取引を依頼している金融機関に対して連絡することを促す画像表示を削除し、表示画面を処理を継続する入力画面に変更する。

表示画面が入力画面に変更されると、利用者は、金融取引を行うための必要事項を入力画面に入力する処理を再開する。これにより、取引システム１１は、金融取引として振替処理を、この金融取引に対応する金融機関の勘定システム３２に行わせる指示を、ネットワーク１００を介して出力する。
また、利用者から電話連絡が行われない場合、金融取引の処理は中断された状態が継続される。このとき、処理中断部１２３は、利用者端末とインターネットバンキングシステム１との接続を利用者がログオフなどにより切断しない場合、表示画面に対して電話連絡を行うことを促す表示を行ってから一定時間経過すると、利用者端末との取引に用いているインターネットの回線の接続を切断する構成としてもよい。

次に、図６を用いて、本実施形態における不正取引検知システム１２を用いたインターネットバンキングにおける不正検知の処理の流れを説明する。図６は、本実施形態における不正取引検知システム１２を用いたインターネットバンキングにおける不正検知の処理の動作例を示すシーケンス図である。以下、図１における利用者端末２＿１を使用し、金融機関３＿２に対して振込・振替のインターネットバンキングを行う場合を例として、本実施形態における不正取引検知システム１２の動作を説明する。

ステップＳ１：
利用者は、利用者端末２＿１から、金融機関３＿２のホームページにアクセスする。これにより、インターネットバンキングシステム１は、取引システム１１上に設けられた金融機関３＿２のインターネットバンキング用のホームページを利用者端末２＿１に対して表示する。そして、利用者は、表示された取引システム１１上における金融機関３＿２のログイン画面に対して、自身のユーザＩＤ及びパスワードを入力する。これにより、利用者は、取引システム１１上に設けられた金融機関３＿２のインターネットバンキング用のホームページにログインすることになる。そして、取引システム１１は、ユーザＩＤ及びパスワードにより認証処理を行い、入力されたユーザＩＤ及パスワードが登録されていれば、利用者端末２＿１からのログインを許可する。

ステップＳ２：
取引システム１１は、利用者端末２＿１の表示部に対して、金融取引に必要な情報、例えば、振込・振替であれば振込先の金融機関の振込先口座番号、振込金額などを入力する入力画面を表示する。

ステップＳ３：
利用者は、入力画面に振込先の金融機関の振込先口座番号、振込金額などを入力し、入力画面における振込・振替の処理を進めることを示すボタンをマウスなどによりクリックする。本実施形態においては、インターネットバンキングの処理を進めていく中で、取引システム１１が取引に必要な情報を入力する入力画面を、入力情報に合わせて順次表示させる。そして、利用者が所定の入力画面において検知パラメータとして設定されている情報を入力した後、表示画面における入力終了を示すボタンをクリックすることで、入力された情報が取引システム１１とともに不正取引検知システム１２に入力される。これにより、不正取引検知システム１２は、検知パラメータと比較する取引情報のパラメータの全てを抽出し、インターネットバンキングにおける金融取引の処理が次のセッションに進む前のタイミングにおいて、金融取引が不正取引であるか否か判定処理を行う。

すなわち、上記タイミングにおいて、検知パラメータ判定部１２２は、検知パラメータと比較するために用いる取引情報として、利用者端末２＿１の送信元ＩＰアドレスであるＩＰアドレスと、利用者が入力画面に入力した振込先口座番号とを抽出する。
また、検知パラメータ判定部１２２は、取引テーブルデータベース１２８の取引テーブルに対し、取引情報を抽出した金融取引に対して取引番号を付与して、ＩＰアドレス、振込先口座番号を書き込む。このとき、検知パラメータ判定部１２２は、中断フラグをディフォルト値として処理を継続する状態とする。

そして、検知パラメータ判定部１２２は、拒否テーブルデータベース１２７の拒否テーブルを参照し、抽出した取引情報（ＩＰアドレス、振込先口座番号）が検知パラメータ（ＩＰアドレス、振込先口座番号のいずれか一方または両方）と一致するか否かの判定を行う。
検知パラメータ判定部１２２は、抽出した取引情報が検知パラメータと一致しない場合、取引テーブルデータベース１２８の取引テーブルの該当する金融取引の中断フラグを書き換えることを指示する処理（検知信号の出力）を処理中断部１２３に対して行わず、中断フラグを処理を継続する状態のままとする。

この時点において、取引システム１１は、新たな取引番号の金融取引が取引テーブルデータベース１２８の取引テーブルに対して記載されたことを検知し、当該取引テーブルに現在処理しておらず、中断フラグが処理の継続の状態となっている金融取引の実行を開始する。すなわち、取引システム１１は、金融取引の振込・振替を行う振込先口座を有する金融機関３＿２の勘定システム３２に対し、新たな金融取引の処理を実行することを指示する。これにより、金融機関３＿２の勘定システム３２は、取引システム１１から供給される取引情報に従って振込・振替の処理を実行する。

ステップＳ４：
一方、検知パラメータ判定部１２２は、抽出した取引情報が検知パラメータと一致した場合、この金融取引を不正取引として検知したことを示す検知信号を処理中断部１２３に対して出力する。
これにより、処理中断部１２３は、取引テーブルデータベース１２８の取引テーブルの該当する金融取引の中断フラグを、処理を継続する状態から処理を中断する状態に書き換えて変更する。また、処理中断部１２３は、例えば取引情報のＩＰアドレスが検知パラメータのＩＰアドレスと一致して処理が中断された場合、取引テーブルデータベース１２８の取引テーブルの中断原因にＩＰアドレスが一致を示す情報を書き込んで記憶させる。

また、取引システム１１は、新たな取引番号の金融取引が取引テーブルデータベース１２８の取引テーブルに対して記載されたことを検知し、当該取引テーブルに現在処理しておらず、中断フラグが処理の継続の状態となっている金融取引が無いため、当該金融取引の実行を開始しない。このとき、取引システム１１は、金融取引の振込・振替を行う振込先口座を有する金融機関３＿２の勘定システム３２に対し、新たな金融取引の処理を実行することを指示しない。この結果、不正取引として検知された金融取引が一旦停止されて中断状態となる。
確認依頼通知部１２４は、取引テーブルデータベース１２８の取引テーブルにおいて、新たに処理を中断する状態に書き換えられた中断フラグに対応する、取引システム１１が表示している利用者端末２＿１の処理画面に対し、金融機関３＿２に金融取引の確認のために指定された金融機関の電話番号に電話連絡をとることを促す表示画面を表示する。

ステップＳ５：
確認依頼通知部１２４は、金融機関３＿２の金融機関運用端末３１に対して、不正取引と推定された金融取引の取引番号を含む、不正取引を検知したことを示す通知メールを送信する。このとき、金融機関３＿２の担当者は、金融機関運用端末３１において上記通知メールを確認すると、不正取引検知システム１２にアクセスし、取引テーブルデータベース１２８の取引テーブルを参照して、通知メールに記載されている取引番号の金融取引の情報を確認する。

ステップＳ６：
利用者から電話連絡を受けると、金融機関３＿２の担当者は、例えば、金融機関運用端末３１により取引テーブルデータベース１２８の取引テーブルを参照しつつ、ユーザＩＤ及びパスワードのアカウントに対応して登録されている利用者の個人情報を用いて、問い合わせをしてきた利用者の本人確認を行う。例えば、金融機関３＿２の担当者は、問い合わせをしてきた利用者に対して、アカウントに対応して記録さてれいる利用者の個人情報の中の予め設定された項目を質問形式で聞きチェックを行い、問い合わせをしてきた利用者の回答と登録されている個人情報とが一致するか否かにより、本人確認を行う。

ステップＳ７：
そして、金融機関３＿２の担当者は、電話連絡してきた利用者の正当性が予め設定された項目のチェックを行うことにより確認された場合、金融機関運用端末３１により、取引テーブルデータベース１２８の取引テーブルの編集を行う。すなわち、金融機関３＿２の担当者は、正当性が確認された利用者の使用している利用者端末２＿１のＩＰアドレスが検知パラメータと一致したことで不正取引と判定され中断されている金融取引の全ての中断フラグを、処理の中断を示す状態から処理の継続を示す状態に書き換えて変更する。これにより、利用者端末２＿１を介して利用者が行っている金融取引の中断状態が解除される。

ステップＳ８：
処理再開部１２５は、取引テーブルデータベース１２８の取引テーブルが書き換えられたことを検知すると、新たに処理を継続する状態に書き換えられた中断フラグに対応する、取引システム１１が表示している利用者端末２＿１の処理画面に対し、金融機関３＿２に金融取引の確認のために指定された金融機関の電話番号に電話連絡をとることを促す通知が画面表示された入力画面を、この促す通知の画面表示が無い通常の入力画面に変更する。

ステップＳ９：
利用者端末２＿１の表示画面が処理再開部１２５により入力画面に変更されると、利用者は、金融取引を行うための必要事項を、利用者端末２＿１の入力画面に入力する処理を再開する。これにより、不正取引として停止された金融取引の処理は、不正取引ではなく正当性のある金融取引として、中断された状態から継続された状態に移行する。

ステップＳ１０：
取引システム１１は、取引テーブルデータベース１２８の取引テーブルの中断フラグが処理を継続する状態に書き換えられたことを検知し、処理を継続する状態に書き換えられた振替処理を再開し、この金融取引に対応する金融機関３＿２の勘定システム３２に振替の処理を行わせる指示を出力する。
これにより、金融機関３＿２の勘定システム３２は、利用者端末２＿１からインターネットバンキングシステム１を介して依頼される利用者からの金融取引を実行する。

ここで、上述した図６のフローチャートにおいて、処理再開部１２５は、取引テーブルデータベース１２８の取引テーブルが書き換えられたことを検知した後、連絡を促す通知の画面表示のある入力画面を、連絡を促す通知の画面表示の無い通常の入力画面に変更する処理（ステップＳ８）を行う構成として説明した。
しかしながら、処理再開部１２５を以下に説明する構成としても良い。すなわち、処理再開部１２５は、取引テーブルデータベース１２８の取引テーブルが書き換えられたことを検知した後、連絡を促す通知の画面表示を入力画面に表示させたままの状態とし、ステップＳ９における中断された状態から継続された状態に移行するように構成しても良い。ここで、利用者端末２＿１を利用する利用者がアカウントに対応した正当な利用者であると判定された後、通知を促す画面表示がそのまま表示された入力画面において、利用者が金融取引を次の処理に移行させるための上記入力画面におけるボタンをクリックする。このクリックを受けて、処理再開部１２５は、次の処理に移行させるボタンを利用者によってクリックされたことを検知すると、中断していた金融取引の処理を継続させるため、ステップＳ１０における取引システム１１を介して金融機関３＿２の勘定システム３２に振替の処理を行わせる指示の出力を行う。これにより、金融機関３＿２の勘定システム３２は、インターネットバンキングシステム１を介して、利用者端末２＿１の利用者から依頼される振込などの金融取引を実行する。このように、利用者端末２＿１を利用する利用者の正当性が確認された後、次の処理に移行させるボタンを利用者によってクリックされることにより、インターネットバンキングシステム１における内部処理として、中断されていた金融取引のトランザクションが継続され、金融機関３＿２の勘定システム３２に対して振込などの金融取引の支援が行われる。

上述したように、本実施形態は、金融取引の取引情報であるＩＰアドレス及び振込先口座番号が拒否テーブルに記載されていた場合に金融取引を中断させ、検知インターネットバンキングを行っている、現在接続されているネットワーク回線の第１の通信手段と異なる、電話やＳＭＳなどの意思疎通のできる第２の通信手段により、金融機関の担当者に対して連絡をとらせ、ユーザＩＤ及びパスワードに対応した個人情報により利用者の正当性を確認した後、金融取引の処理を再開する構成である。
このため、本実施形態によれば、いきなり金融取引を中止させるのではなく、金融取引を一旦中断させて、利用者の正当性が確認できれば再開するので、利用者のユーザビリティを確保しつつ、ユーザＩＤ及びパスワードを不正使用している悪意を有する人間が電話をかけ難いという心理的抑制を働かせ、他人のユーザＩＤ及びパスワードを使用した不正取引を防止させる効果がある。特に電話（インターネット電話を含む）を第２の通信手段とした場合には、相互に声の調子（声の抑揚）とかが相手に伝わるため、直接会話することは金融取引の不正取引に対しては大きな抑止力となる。

また、本実施形態によれば、金融機関に対する第２の通信手段による連絡において、金融取引を行う利用者の正当性が確認されると、利用者が金融取引に用いている利用者端末（第１の通信手段）に対応する中断された全ての金融取引の中断を解除するため、一回の第２の通信手段による連絡により、利用者の依頼している全ての金融取引の再開を一括して行うため、複数の金融取引が中断された場合においても、利用者のユーザビリティを確保することができる。

また、本実施形態によれば、検知パラメータ判定部１２２が各金融機関の作成した検知テーブルの各々から検知パラメータを集約して作成した拒否テーブルを用いて不正取引の検知を行うため、複数の金融機関において不正取引の情報を共有することができ、ある金融機関においては悪意ある利用者からの初めての不正取引であっても、この悪意ある利用者の不正取引に関連した検知パラメータを他の金融機関が検出している可能性があるため、拒否テーブルに登録されている検知パラメータに対し、複数の金融機関に対する金融取引においてリアルタイムに不正取引の検知を行うことができる。

また、本実施形態によれば、拒否テーブルにおける金融機関の各々の検知パタメータそれぞれの有効無効フラグを、各金融機関の金融機関運用端末から任意に書き換えることができるため、金融機関毎の不正取引の検知の運用に対応した設定を行うことができる。
また、本実施形態によれば、拒否テーブルにおける検知パラメータを、登録した金融機関によって削除することができるため、不正取引に関与していないと判った検知パラメータを任意に削除することが可能である。

また、本実施形態においては、不正取引と判定された金融取引を行っている利用者の本人確認を第２の通信手段を介して行い、第２の通信手段を用いて問い合わせをしてきた利用者と、利用者のアカウントに登録されている利用者の個人情報の質問のやり取りを直接行うことにより、利用者の正当性の確認を行っている。しかしながら、金融機関の運用において、利用者に対する直接の本人確認を行わずに、金融機関が取引テーブルデータベース１２８の取引テーブルを参照し、利用者の金融取引の履歴から問題ないことが確認された場合、インターネットバンキングにおける金融取引を再開するように不正取引検知システム１２を構成しても良い。

また、図１におけるインターネットバンキングシステム１における不正取引検知システム１２の各々機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによりインターネットバンキングにおける不正取引を検知する処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。

また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。

以上、この発明の実施形態を図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

１…インターネットバンキングシステム
２＿１，２＿２，２＿ｎ…利用者端末
３＿１，３＿２，３＿ｎ…金融機関
１１…取引システム
１２…不正取引検知システム
３１…金融機関端末
３２…勘定システム
１００…ネットワーク
１２１…拒否テーブル編集処理部
１２２…検知パラメータ判定部
１２３…処理中断部
１２４…確認依頼通知部
１２５…処理再開部
１２６…検知テーブルデータベース
１２７…拒否テーブルデータベース
１２８…取引テーブルデータベース

Claims (4)

1. インターネットバンキングを用いた金融取引における不正取引を検知する不正取引検知方法であり、
   金融機関との金融取引において、当該金融機関にアクセスした利用者の取引情報が予め前記金融取引を停止すべき取引情報として拒否テーブルに設定された検知パラメータと一致するか否かの判定を行う検知パラメータ判定過程と、
   前記検知パラメータ判定過程において不正取引として検知された利用者の前記金融取引の処理を中断する処理中断過程と、
   前記処理中断過程において不正取引として中断した前記金融取引に対応する前記利用者に対し、前記金融機関へ取引の確認の問い合わせを当該金融取引を行っている第１通信手段と異なる第２通信手段を用いて行うことを依頼する通知を行う確認依頼通知過程と、
   前記問い合わせの結果により前記利用者が正当な利用者であることが確認される確認情報により、当該利用者の中断されている前記金融取引を再開する処理再開過程と、
   金融機関毎に設けられ、当該金融機関の各々が検知した不正取引に関与した検知パラメータが記述された検知テーブルそれぞれから、前記検知パラメータを集約した前記拒否テーブルを生成する拒否テーブル生成過程と
   を含み、
   前記検知パラメータ毎に、当該検知パラメータを使用した検知処理を有効あるいは無効とする有効無効フラグが、前記金融機関ごとに前記拒否テーブルにおいて設けられている
   ことを特徴とする不正取引検知方法。
2. 前記取引情報が前記利用者の用いている端末のＩＰアドレスと、金融取引を行う先の前記金融機関における口座番号とを含むことを特徴とする請求項１に記載の不正取引検知方法。
3. 前記問い合わせにおいて前記利用者が正当な利用者であることが確認された場合、中断された前記金融機関との前記金融取引が前記利用者単位で再開される
   ことを特徴とする請求項１または請求項２に記載の不正取引検知方法。
4. インターネットバンキングを用いた金融取引における不正取引を検知する不正取引検知システムであり、
   金融機関との金融取引において、当該金融機関にアクセスした利用者の取引情報が予め前記金融取引を停止すべき取引情報として拒否テーブルに設定された検知パラメータと一致するか否かの判定を行う検知パラメータ判定部と、
   前記検知パラメータ判定部が不正取引として検知した利用者の前記金融取引の処理を中断する処理中断部と、
   前記処理中断部が不正取引として中断した前記金融取引の前記利用者に対し、前記金融機関へ取引の確認の問い合わせを当該金融取引を行っている第１通信手段と異なる第２通信手段を用いて行うことを依頼する通知を行う確認依頼通知部と、
   前記問い合わせの結果により前記利用者が正当な利用者であることが確認される確認情報により、当該利用者の中断されている前記取引を再開する処理再開部と、
   金融機関毎に設けられ、当該金融機関の各々が検知した不正取引に関与した検知パラメータが記述された検知テーブルそれぞれから、前記検知パラメータを集約した前記拒否テーブルを生成する拒否テーブル編集処理部と
   を備え、
   前記検知パラメータ毎に、当該検知パラメータを使用した検知処理を有効あるいは無効とする有効無効フラグが、前記金融機関ごとに前記拒否テーブルにおいて設けられている
   ことを特徴とする不正取引検知システム。

Images