JP7453458B1 - サービス提供装置、サービス提供方法、およびプログラム - Google Patents

Abstract

【課題】コード情報を用いた認証処理のセキュリティを向上させることができるサービス提供装置、サービス提供方法、およびプログラムを提供すること。【解決手段】利用者の端末装置で動作するアプリと協働して利用者にサービスを提供する装置であって、アプリによりコード画像を提示した利用者に対して前記サービスを提供するサービス提供部と、前記コード画像の有効性を管理する管理部と、利用者が提示したコード画像から読み取られたコード情報に基づいて前記サービスの不正利用を検知する検知部と、を備え、前記管理部は、前記端末装置において前記コード画像を複製する操作が行われたことを示す複製通知がアプリから受信された場合、前記操作による複製の対象となったコード画像を無効化し、前記検知部は、前記サービスの利用に際して受信されたコード情報が無効化されている場合、前記サービスの利用が不正利用であると判定する、サービス提供装置。【選択図】図４

Description

本発明は、サービス提供装置、サービス提供方法、およびプログラムに関する。

従来、サービスにログインする際に使用する端末装置を変更しようとする利用者を、ＱＲコード（登録商標、以下同様）を用いて認証する仕組みを備えた電子決済サービスが開発されている（例えば、特許文献１参照）。より具体的には、変更前の端末装置に認証用のＱＲコードを送信し、当該ＱＲコードを変更後の端末装置で読み取らせることにより端末装置の変更を認証するというものである。

特許第７１０４２５９号公報

従来の技術では、認証用のＱＲコードが画面キャプチャによって複製されてしまう可能性があった。そのため、複製されたＱＲコードを取得した第３者が正当な利用者になりすまして不正に認証に成功してしまう可能性があった。

本発明は、このような事情を考慮してなされたものであり、コード情報を用いた認証処理のセキュリティを向上させることができるサービス提供装置、サービス提供方法、およびプログラムを提供することを目的の一つとする。

本発明の一態様は、利用者の端末装置で動作するアプリケーションプログラムと協働して前記利用者に所定のサービスを提供するサービス提供装置であって、前記アプリケーションプログラムによりコード画像を提示した利用者に対して前記サービスを提供するサービス提供部と、前記コード画像の有効性を管理する管理部と、前記利用者が提示したコード画像から読み取られたコード情報に基づいて前記サービスの不正利用を検知する検知部と、を備え、前記管理部は、前記端末装置において前記コード画像を複製する操作が行われたことを示す複製通知が前記アプリケーションプログラムから受信された場合、前記操作による複製の対象となったコード画像を無効化し、前記検知部は、前記サービスの利用に際して受信されたコード情報が無効化されている場合、前記サービスの利用が不正利用であると判定する、サービス提供装置である。

本発明の一態様によれば、コード情報を用いた認証処理のセキュリティを向上させることができるサービス提供装置、サービス提供方法、およびプログラムを提供することができる。

電子決済サービスが実現されるための構成の一例を示す図である。 電子決済の大まかな流れを例示したシーケンス図（その１）である。 電子決済の大まかな流れを例示したシーケンス図（その２）である。 第１実施形態に係る決済サーバ１００の構成図である。 利用者情報１７２の内容の一例を示す図である。 加盟店／店舗情報１７６の内容の一例を示す図である。 コード関連情報１７８の内容の一例を示す図である。 第２の情報連携に係る端末操作の一例を示す図である。 なりすまし防止処理における第１処理の流れの一例を説明するシーケンスチャートである。 なりすまし防止処理における第２処理の流れの一例を説明するシーケンスチャートである。 なりすまし防止処理における第２処理が実行される状況を説明するイメージ図である。

以下、図面を参照し、本発明のサービス提供装置、サービス提供方法、およびプログラムの実施形態について説明する。以下に登場する「サーバ」、「管理装置」「情報提供装置」などの、利用者にサービスを提供したり内部解析を行ったりするための各種装置は、分散化された装置群によって実現されてよく、それぞれの装置を運用する事業者は異なってもよい。また装置のハードウェアの保有者（クラウドサーバの提供者）と実質的な運用を行う事業者も異なってよい。アプリケーションプログラムと決済サーバは、協働して電子決済サービスを提供する。以下の説明ではアプリケーションプログラムを決済アプリと称する。電子決済サービスは、店舗における商品やサービスの購買に係る決済をサポートするサービスである。店舗とは、例えば、現実空間に存在する物理的な店舗（実店舗）であるが、電子商取引の仮想店舗を含んでもよい。仮想店舗は、電子決済サービスの運営者とは異なる主体によって提供されるものを含んでもよい。その場合、仮想店舗における買い物の決済の際に、電子決済サービスのインターフェース画面に遷移するように制御される。電子決済サービスにおいて、店舗は、例えば加盟店（ブランド）に属するものとして扱われ、店舗において購買行動が行われた際の決済などの処理は、主として利用者と加盟店の間で行われる。これに代えて、決済などの処理が利用者と店舗との間で行われてもよい。

［電子決済サービス］
図１は、電子決済サービスが実現されるための構成の一例を示す図である。電子決済サービスは、決済サーバ１００を中心として実現される。決済サーバ１００は、例えば、一以上の利用者端末装置１０、一以上の第１店舗端末装置５０、及び一以上の第２店舗端末装置７０のそれぞれとネットワークＮＷを介して通信する。ネットワークＮＷは、例えば、インターネット、ＬＡＮ（Local Area Network）、無線基地局、プロバイダ装置などを含む。

利用者端末装置１０は、例えば、スマートフォンやタブレット端末等の可搬型端末装置である。利用者端末装置１０は、少なくとも、光学読取機能、通信機能、表示機能、入力受付機能、プログラム実行機能を有するコンピュータ装置である。以下の説明では、これらの機能を実現するための構成をそれぞれカメラ、通信装置、タッチパネル、ＣＰＵ（Central Processing Unit）等と称する。利用者端末装置１０では、ＣＰＵ等のプロセッサにより決済アプリ２０が実行されることで、決済サーバ１００と連携して電子決済サービスを利用者に提供するように動作する。決済アプリ２０は、例えば、アプリケーションストアから利用者端末装置１０にインストールされ、カメラ、通信装置、タッチパネルなどを制御する。

第１店舗端末装置５０は、例えば、店舗に設置される。第１店舗端末装置５０は、少なくとも、商品価格取得機能、光学読取機能、プログラム実行機能、通信機能を有するコンピュータ装置である。第１店舗端末装置５０は、いわゆるＰＯＳ（Point of Sale）装置を含み、ＰＯＳ装置によって商品価格取得機能や光学読取機能を実現してもよい。店舗コード画像６０は、店舗に置かれ、ＱＲコード（登録商標）等のコード画像が紙やプラスチックの媒体に印刷されたものである。なお、店舗コード画像６０は、店舗に置かれたディスプレイ（スマートフォンなどの端末装置のディスプレイでもよい）によって表示されてもよい。

第２店舗端末装置７０は、加盟店の運営者によって使用される。第２店舗端末装置７０は、スマートフォンやタブレット端末、パーソナルコンピュータ等である。第２店舗端末装置７０では、加盟店向けインターフェース７２が動作する。加盟店向けインターフェース７２は、加盟店向けアプリであってもよいし、ブラウザであってもよい。加盟店向けインターフェース７２は、加盟店の運営者によるクーポンの設定等を受け付け、決済サーバ１００に送信する。スマートフォンである第２店舗端末装置７０は、加盟店向けアプリを実行することで、店舗コード画像に相当するコード画像を表示したり、利用者端末装置１０が表示するコード画像を読み取ったりする機能を有する。

決済サーバ１００は、利用者端末装置１０または第１店舗端末装置５０から受信した決済情報に基づいて電子決済を実現する。第１店舗端末装置５０は、ＰＯＳ装置と加盟店サーバを含む場合があり、その場合、ＰＯＳ装置から加盟店サーバを介して決済情報が決済サーバ１００に送信される。以下の説明では、これを特に区別せず、第１店舗端末装置５０から決済情報が送信されるものとする。

図２および図３は、電子決済の大まかな流れを例示したシーケンス図である。電子決済には、パターン１とパターン２の二つが存在してよい。

図２に示すパターン１（以下、ユーザスキャンと称する）の場合、決済アプリ２０が起動した状態の利用者端末装置１０が、光学読取機能によって店舗コード画像６０をデコードする（Ｓ１）。店舗コード画像６０には、店舗ＵＲＬ（Uniform Resource Locator）の情報が含まれている。この店舗ＵＲＬは、電子決済サービスのドメインに対して店舗を識別可能な情報が付加されたものであり、決済サーバ１００において加盟店ＩＤや店舗ＩＤ等との対応付けがなされている（後述）。決済アプリ２０は、店舗ＵＲＬとアカウントＩＤを含む第１決済情報を決済サーバ１００に送信する（Ｓ２）。決済サーバ１００は、店舗ＵＲＬに対応する加盟店ＩＤ、店舗ＩＤから、店舗情報（後述）を検索して加盟店名と店舗名の情報を取得し（Ｓ３）、決済アプリ２０に送信する（Ｓ４）。利用者は、加盟店名や店舗名が表示された画面において、決済金額を利用者端末装置１０に入力する（Ｓ５）。そして、利用者端末装置１０は、少なくとも決済金額を含む第２決済情報を生成し、決済サーバ１００に送信する（Ｓ６）。決済サーバ１００は、受信した第２決済情報に基づいて電子決済を行う（Ｓ７）。そして、決済サーバ１００は、決済完了通知（決済完了画面を表示するための情報）を決済アプリ２０に送信し（Ｓ８）、決済アプリ２０は決済完了画面を表示する（Ｓ９）。なお、店舗コード画像６０が店舗に置かれたディスプレイによって表示される場合、店舗コード画像６０には、店舗ＵＲＬだけでなく決済金額の情報が含まれる場合がある。この場合、利用者が決済金額を入力する手順が省略され、第１決済情報に決済金額の情報が含められて決済サーバ１００に送信される。加盟店名や店舗名の情報は、決済完了画面に含めて表示されてよい。

図３に示すパターン２（以下、ストアスキャンと称する）の場合、決済アプリ２０の起動時、決済アプリ２０において支払う操作が行われたとき、自動更新のタイミング（例えば１分おき）になったとき、およびその他のタイミングで、決済アプリ２０はワンタイムコードの発行要求を決済サーバ１００に送信する（Ｓ１１）。決済サーバ１００はワンタイムコードを生成し（Ｓ１２）、決済アプリ２０に送信する（Ｓ１３）。決済アプリ２０は、ワンタイムコードに基づいて生成した、ＱＲコードやバーコード等のコード画像を表示する（Ｓ１４）。利用者は利用者端末装置１０の表示面を第１店舗端末装置５０に翳し（提示し）、第１店舗端末装置５０は、光学読取機能によってコード画像をデコードし、ワンタイムコード等を取得する（Ｓ１５）。そして、第１店舗端末装置５０は、ワンタイムコード、決済金額、加盟店ＩＤ、店舗ＩＤ等を含む決済情報を生成し、決済サーバ１００に送信する（Ｓ１６）。決済金額の情報は、予めバーコード読み取りや手入力等によって取得されている。決済サーバ１００は、受信した情報に基づいて、ワンタイムコードに対応する利用者を特定し、電子決済を行う（Ｓ１７）。そして、決済サーバ１００は、決済完了通知を決済アプリ２０に送信し（Ｓ１８）、決済アプリ２０は決済完了画面を表示する（Ｓ１９）。

なお、上記のいずれか一方のみのパターンで電子決済が行われてもよい。また、図２で説明した「アカウントＩＤ」は、利用者の識別情報として用いられ得る他の情報（例えば電話番号）であってもよい。また、ストアスキャンにおいてワンタイムコードの発行が省略され、決済アプリ２０は、利用者のアカウントＩＤに基づいて生成したコード画像を表示してもよい。その場合、決済サーバ１００は、ワンタイムコードに対応する利用者を特定するのに代えて、アカウントＩＤに対応する利用者を特定する。

［決済サーバ］
図４は、第１実施形態に係る決済サーバ１００の構成図である。決済サーバ１００は、例えば、通信部１１０と、決済コンテンツ提供部１２０と、決済処理部１３０と、情報管理部１４０と、ログイン認証部１５０と、記憶部１７０とを備える。通信部１１０および記憶部１７０以外の構成要素は、例えば、ＣＰＵなどのハードウェアプロセッサがプログラム（ソフトウェア）を実行することにより実現される。これらの構成要素のうち一部または全部は、ＬＳＩ（Large Scale Integration）やＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field-Programmable Gate Array）、ＧＰＵ（Graphics Processing Unit）などのハードウェア（回路部；circuitryを含む）によって実現されてもよいし、ソフトウェアとハードウェアの協働によって実現されてもよい。プログラムは、予めＨＤＤ（Hard Disk Drive）やフラッシュメモリなどの記憶装置（非一過性の記憶媒体を備える記憶装置）に格納されていてもよいし、ＤＶＤやＣＤ－ＲＯＭなどの着脱可能な記憶媒体（非一過性の記憶媒体）に格納されており、記憶媒体がドライブ装置に装着されることで記憶装置にインストールされてもよい。

記憶部１７０は、ＨＤＤやフラッシュメモリ、ＲＡＭ（Random Access Memory）などである。記憶部１７０は、決済サーバ１００がネットワークを介してアクセス可能なＮＡＳ（Network Attached Storage）装置であってもよい。記憶部１７０には、利用者情報１７２、決済コンテンツ情報１７４、加盟店／店舗情報１７６、コード関連情報１７８などの情報が格納される。

通信部１１０は、ネットワークＮＷに接続するための通信インターフェースである。通信部１１０は、例えばネットワークインターフェースカードである。

決済コンテンツ提供部１２０は、例えば、Ｗｅｂサーバの機能を有し、電子決済サービスの各種画面を表示するための情報（コンテンツ）を利用者端末装置１０に提供する。決済コンテンツ提供部１２０は、決済コンテンツ情報１７４から適宜、必要なコンテンツを読み出して利用者端末装置１０に提供する。利用者端末装置１０は、決済アプリ２０によってコンテンツが再生された状態で利用者による各種入力を受け付け、前述した決済情報などを決済サーバ１００に送信する。

決済処理部１３０は、利用者端末装置１０または第１店舗端末装置５０により送信された決済情報に基づいて、決済処理を行う。決済処理部１３０は、利用者情報１７２を参照しながら決済処理を行う。

図５は、利用者情報１７２の内容の一例を示す図である。利用者情報１７２は、利用者の登録情報の一例である。利用者情報１７２は、例えば、利用者ＵＲＬ、アカウントＩＤ、電話番号、パスワードの他、メールアドレス、利用者ＩＤ、氏名・住所・生年月日、登録日、チャージ残高、後払い設定、後払い枠、後払い利用額、後払い利用可能額、決済方法設定、銀行口座、クレジットカード番号、チャージ履歴情報、決済履歴情報などの情報が対応付けられたものである。利用者ＵＲＬは、利用者間の送金処理に使用される。電子決済サービスへの新規登録時には、電話番号およびパスワードの登録が必須となる。アカウントＩＤは、決済サーバ１００によって利用者に発行されるものであり、利用者ＩＤは、利用者が任意に設定できる（設定しなくてもよい）ＩＤである。メールアドレス、および氏名・住所・生年月日も同様に、利用者が任意に設定できる（設定しなくてもよい）情報である。登録日とは利用者が電子決済サービスに登録した日（アカウントを作成した日）である。以下、これらの情報が対応付けられた利用者のインスタンス（電子決済口座）のことをアカウントと称する。

チャージ残高は、利用者が予めアカウントに送金することで設定された電子マネーの残高を示す情報である。送金の手段としては、指定業者（銀行）のＡＴＭ（Automatic Teller Machine）からの送金、登録された銀行口座からの送金などがある。後払い設定は、後払いによる電子決済を可能とするための設定が済んでいるか否かを示す情報であり、「済」と「未」のいずれかに設定される。後払い枠は月ごとに利用可能な後払いの限度額であり、後払い利用額は、当月に既に利用された後払いの金額であり、後払い利用可能額は、後払い枠から後払い利用額を差し引いて求められる、当月に利用可能な後払いの金額である。図では後払い枠を一つだけ示しているが、実際には更に日ごとの上限額などが存在し、それらの低い方が後払い枠に設定されてよい。後払いの更なる詳細については後述する。決済方法設定は、その時点において利用者がチャージ残高による電子決済を行うのか、後払いによる決済を行うのかを示す設定情報である。銀行口座とクレジットカード番号のそれぞれは、電子決済サービスに入金可能な銀行口座またはクレジットカード番号の情報（口座番号、カード番号）である。チャージ履歴情報は、利用者が予め電子決済サービスに送金してチャージ残高を増加させた履歴である。決済履歴情報は、利用者が行った決済の内訳（日時、購買行動が行われた店舗の店舗ＩＤ、決済金額、決済方法など）を、決済ごとに示す情報である。

図６は、加盟店／店舗情報１７６の内容の一例を示す図である。加盟店／店舗情報１７６は、例えば、店舗ＵＲＬに対して加盟店ＩＤと店舗ＩＤが対応付けられた第１テーブル１７６Ａと、加盟店ＩＤに対して加盟店名と売上金（前述）が対応付けられた第２テーブル１７６Ｂと、店舗ＩＤに対して店舗名が対応付けられた第３テーブル１７６Ｃとを含む。加盟店／店舗情報１７６には、これらの情報の他、加盟店または店舗のカテゴリ、店舗の所在地、決済パターン等の情報が含まれてもよい。

図７は、コード関連情報１７８の内容の一例を示す図である。コード関連情報１７８は、例えば、利用者ＩＤに対してコード情報と、有効期限と、コード画像とが対応付けられた第１テーブル１７８Ａと、送信元利用者ＩＤに対して受信時刻と、コード情報と、コード画像と、送信元情報とが対応付けられた１７８Ｂとを含む。第１テーブル１７８Ａは、各利用者について生成したコード画像を管理するための情報である。コード情報は、コード画像として符号化された情報である。“［画像データ］”は、コード画像の画像データが項目の値として保持されることを表している。第２テーブル１７８Ｂは、利用者端末装置１０から受信されたコード情報を管理するための情報である。コード画像は、決済アプリ２０と決済サーバ１００との間において直接的または間接的にコード情報を連携するための手段であり、コード情報の符号化によって得られる画像である。コード情報には、少なくとも決済サーバ１００において対象の利用者および用途を特定できるようにするための情報が含まれるものである。本実施形態では、コード情報による情報連携の用途として、決済用途と、端末変更時のログイン用途とを想定する。

送信元利用者ＩＤは、受信されたコード情報の送信元の利用者を示す利用者ＩＤである。送信元利用者ＩＤは、例えば、送信元の利用者端末装置１０において読み取られるコード画像に含まれており、送信元の利用者端末装置１０が決済サーバ１００に送信するコード情報に含まれる。受信時刻は、決済サーバ１００が送信元の利用者端末装置１０からコード情報を受信した時刻である。受信コード情報は、送信元の利用者端末装置１０から受信されたコード情報である。受信コード画像は、送信元の利用者端末装置１０において受信コード情報の取得のために読み取られたコード画像である。送信元情報は、受信コード情報の送信元の利用者端末装置１０に関する情報である。送信元情報には、例えば、ＩＰアドレスやＭＡＣアドレス、端末機種、電話番号等の情報が含まれる。なお、コード画像はコード情報を符号化したものであるので、コード関連情報１７８において、コード画像およびコード情報のいずれか一方は省略されてもよい。

情報管理部１４０は、利用者端末装置１０や第２店舗端末装置７０から取得した情報に基づいて、利用者情報１７２、加盟店／店舗情報１７６、およびコード関連情報１７８を管理する。情報管理部１４０は、利用者情報１７２、加盟店／店舗情報１７６、およびコード関連情報１７８について新規レコードの追加、編集、削除などを行う。また、情報管理部１４０は、コード情報からコード画像を生成する機能と、コード画像からコード情報を読み取る機能とを有する。また、情報管理部１４０は、コード情報を更新する機能を有する。情報管理部１４０は、コード情報を更新した場合、更新後のコード情報によりコード画像も更新する。

［電子決済］
決済処理部１３０は、利用者端末装置１０または第１店舗端末装置５０から決済情報が取得されると、利用者情報１７２を参照して当該利用者の「決済方法設定」を取得する。決済処理部１３０は、「決済方法設定」が「チャージ残高」に設定されている利用者に関して、以下のように電子決済を行う。決済処理部１３０は、例えば、利用者ＩＤに対応付けて管理しているチャージ残高を減少させ、加盟店の売上金の項目値を増加させることで、電子決済を行う。加盟店の売上金の項目値は、例えば、それ自体が電子マネーとして使用されるものでは無く、加盟店と電子決済サービスとの取り決めに応じたサイクルで、売上金の項目値に対応する金額が銀行口座に送金される。

決済処理部１３０は、「設定情報」が「後払い」に設定されている利用者に関して、以下のように電子決済を行う。後払いとは、電子決済サービスの運営者とは別主体であるクレジットカード会社との連携による「クレジット払い」とは別枠で設定されるものであり、電子決済サービスの運営者が与信者となって、後払い枠の範囲内でチャージ残高に依存しない電子決済を許容するものである。なお後払いサービスを受けるために、電子決済サービスの運営者が提供するクレジットカードの取得が要求されてよい。後払いで利用された金額は、一か月分まとめて翌月の支払日に、例えば銀行口座からの引き落としによって決済される。この場合、決済処理部１３０は、後払い利用額に決済金額を加算し、後払い利用可能額から同額を差し引くことで暫定決済を行い、締め日になると上記のように当月分の決済を翌月の支払い日に引き落とすための処理を行う、或いはクレジットカード会社の運営者に当該処理を依頼する。なお暫定決済の時点で決済金額が後払い利用可能額を超える場合は、エラー通知が決済アプリ２０に返信される。

［コード情報による情報連携］
コード情報による第１の情報連携は、ストアスキャン方式（図３）の決済時における情報連携である。上述のとおり、ストアスキャン方式の決済では、決済アプリ２０が決済サーバ１００から受信されたワンタイムコードに基づいてコード画像を生成し、生成したコード画像を第１店舗端末装置５０に読み取らせる。第１店舗端末装置５０は、コード画像から読み取ったワンタイムコードをもとに決済情報を生成して決済サーバ１００に送信する。

コード情報による第２の情報連携は、決済アプリ２０の使用端末を変更する手続き（以下「端末変更手続き」という。）において変更先端末での二要素認証に必要となる認証情報の連携である。図８は、第２の情報連携に係る端末操作の一例を示す図である。より具体的には、図８は、変更先の利用者端末装置１０Ａで動作する決済アプリ２０にログインする際の二要素目の認証として、変更元の利用者端末装置１０Ｂに表示されたコード画像ＣＤ１を、変更先の利用者端末装置１０Ｂで読み取ることを要求する認証方法を例示するものである。なお、変更先の利用者端末装置１０Ｂにおける一要素目の認証は、ユーザＩＤおよびパスワードによる認証であってもよいし、その他の認証方法によるものであってもよい。

第１の情報連携および第２の情報連携のいずれにおいても、コード情報が不正に取得されてしまった場合、正当な利用者の決済アプリ２０が他の利用者によって使用されてしまう可能性がある。例えば、第１の情報連携の場合、或る利用者Ａ１のコード画像を不正に取得した利用者Ｂ１が利用者Ａ１のコード画像を第１店舗端末装置５０に読み取らせて決済を行うことが考えられる。この場合、利用者Ａ１の支払い手段が利用者Ｂ１によって不正に利用されてしまうことになる。

また、例えば、第２の情報連携の場合、変更先の利用者端末装置１０の利用者Ａ２が、変更元の利用者端末装置１０の利用者Ｂ２のユーザＩＤおよびパスワードを不正に取得し、変更先の利用者端末装置１０において利用者Ｂ２のユーザＩＤおよびパスワードを用いて一要素目の認証を突破したとする。この場合、利用者Ａ２が利用者Ｂ２のコード画像をさらに取得したとすると、利用者Ａ２は、利用者Ｂ２のコード画像を変更先の利用者端末装置１０で読み取ることにより二要素目の認証を突破することができてしまう。この場合、利用者Ａ２が変更先の利用者端末装置１０において利用者Ｂ２としてログインすることが可能になってしまう。

このようなコード画像の不正入手を可能にする方法の一例として、電子決済サービスの利用者をフィッシングサイトに誘導してコード画像の画面キャプチャ（スクリーンショットともいう）を取得させ、取得したキャプチャ画像をフィッシングサイトに送信させるという手口が想定される。本実施形態におけるログイン認証部１５０は、決済アプリ２０と協働して、このようなコード画像の不正利用によるなりすましを抑制するための処理（以下「なりすまし防止処理」という。）を実行するものである。

図９は、なりすまし防止処理における第１処理の流れの一例を説明するシーケンスチャートである。第１処理は、コード情報の複製を検知するとともに、複製が検知されたコード情報を無効化する処理である。図９において、利用者端末装置１０は、正当な利用者が操作する利用者端末装置１０である。第１処理が実行される状況として、例えばフィッシングサイトに誘導された正当な利用者が、当該フィッシングサイトの指示に従ってコード画像の画面キャプチャを取得しようとしている状況が想定される。この場合、まず利用者は、利用者端末装置１０を操作して決済アプリ２０にコード画像を表示させる（Ｓ２０１）。

続いて、利用者は決済アプリ２０がコード画像を表示している状態で、利用者端末装置１０に対して画面キャプチャを取得するための操作（以下「画面キャプチャ操作」という。）を行う（Ｓ２０２）。決済アプリ２０は、画面キャプチャ操作が行われたことを検知すると（Ｓ２０３）、その旨を決済サーバ１００に通知する（Ｓ２０４：キャプチャ検知通知）。なお、本実施形態において、利用者端末装置１０は、ＯＳ（Operating System）の機能によって画面キャプチャを取得することができるように構成されているものとする。また、利用者端末装置１０のＯＳは、画面キャプチャ操作を認識した際、フォアグラウンドで動作しているアプリケーションプログラムに対して画面キャプチャ操作が行われた旨の通知（キャプチャ操作通知）を送信するように構成されているものとする。本実施形態の決済アプリ２０は、コード画像の表示中にキャプチャ操作通知が受信された場合、コード画像が複製されたと認識してキャプチャ検知通知を決済サーバ１００に送信するように構成されるものである。

続いて、決済サーバ１００では、情報管理部１４０が、Ｓ２０４のキャプチャ検知通知を受けて、画面キャプチャの対象となったコード画像を無効化する（Ｓ２０５）。コード画像の無効化は、例えば、コード画像の更新によって実現されてもよいし、コード画像の有効期限を前倒して強制的に満了させることによって実現されてもよいし、コード画像に無効化のフラグを立てることによって実現されてもよい。情報管理部１４０は、コード画像を無効化した旨を利用者端末装置１０に通知する（Ｓ２０６：無効化通知）。ここで、情報管理部１４０は「検知部」の一例であり、キャプチャ検知通知は「複製通知」の一例である。

続いて、利用者端末装置１０では、決済アプリ２０がＳ２０６の無効化通知を受けてエラー情報を表示する（Ｓ２０７）。例えば、エラー情報は、コード画像がキャプチャされた場合、キャプチャされたコード画像が第三者に送信され不正利用される可能性がある旨を通知するものであってもよい。また、例えば、エラー情報は、決済アプリ２０では画面キャプチャによるコード画像の複製が禁止されている旨を通知するものであってもよいし、複製されたコード画像が無効化された旨を通知するものであってもよい。このような第１処理が行われることによって、複製されたコード画像の悪用により第３者が正当な利用者になりすまして電子決済サービスを利用することを防止することができる。

図１０は、なりすまし防止処理における第２処理の流れの一例を説明するシーケンスチャートである。第２処理は、複製されたコード画像による電子決済サービスの不正利用を検知する処理である。図１０において、第１の利用者端末装置１０および第２の利用者端末装置３０は、正当な利用者のコード画像の画面キャプチャを不正に取得した利用者（不正利用者）の端末装置である。図１１は、図１０で説明する第２処理が実行される状況を説明するイメージ図である。ここでは第２処理が実行される状況として、端末変更手続きの際の二要素目の認証において、変更先端末において不正なコード画像が読み込まれた状況を想定する。図１１の例において、第１の利用者端末装置１０は変更先の端末装置であり、第２の利用者端末装置３０は、不正に取得されたキャプチャ画像ＩＭ１を表示させるための端末装置である。図１０のシーケンス開始時点において、第１の利用者端末装置１０は、決済アプリ２０へのログインについて一要素目の認証を突破した状態であり、二要素目の認証情報としてコード画像を読み取ろうとしている。

このような状況において、まず、不正利用者は、第１の利用者端末装置１０に読み取らせるべきコード画像ＣＤ２を含んでいるキャプチャ画像ＩＭ１を第２の利用者端末装置３０に表示させる（Ｓ３０１）。上述のとおり、キャプチャ画像ＩＭ１は不正に取得されたものである。次に、不正利用者は、第２の利用者端末装置３０に表示されたキャプチャ画像ＩＭ１に含まれるコード画像ＣＤ２を第１の利用者端末装置１０で撮像することにより、第１の利用者端末装置１０で動作する決済アプリ２０にコード情報を読み取らせる（Ｓ３０２）。以下、コード画像ＣＤ２から読み取られたコード情報をコード情報ＣＤ２と称する。決済アプリ２０は、読み取ったコード情報ＣＤ２を二要素目の認証情報として決済サーバ１００に送信する（Ｓ３０３）。

続いて、決済サーバ１００では、ログイン認証部１５０がＳ３０３で受信されたコード情報ＣＤ２に基づいて、送信元の利用者が正当な利用者であるか否かを判定する（Ｓ３０４）。より具体的には、ログイン認証部１５０は、コード関連情報１７８を参照し、受信されたコード情報の有効性を認識する。ログイン認証部１５０は、コード情報が有効化されている場合には、送信元の利用者は正当な利用者であると判定して決済アプリ２０へのログインを許可する（Ｓ３０５）。ここでは、送信元の利用者が不正利用者である場合を想定しているのでログインが許可されることはないが、仮に正当な利用者によって端末変更手続きが実施された場合には、ここで手続きが完了する。

一方、コード情報が無効化されている場合、ログイン認証部１５０は、送信元の利用者は不正な利用者であると判定して決済アプリ２０へのログインを許可しない。上述のとおり、ここでは送信元の利用者が不正利用者である場合を想定しているが、この場合、キャプチャ画像ＩＭ１から読み取られたコード情報ＣＤ２については、キャプチャ画像ＩＭ１が取得された際の第１処理によって既に無効化されているので、Ｓ３０４において不正利用者によるなりすましの試みが検知される。この場合、ログイン認証部１５０は、不正利用に関する情報をコード関連情報１７８（第２テーブル）として記録する（Ｓ３０６）とともに、不正利用者に対して警告を通知するための情報（警告情報）をコード情報ＣＤ２の送信元である第１の利用者端末装置１０に送信する（Ｓ３０７）。警告情報は、Ｓ３０６で記録された不正利用に関する情報を含んでもよい。第１の利用者端末装置１０の決済アプリ２０は、決済サーバ１００から受信された警告情報を表示する（Ｓ３０８）。

ここでは、コード画像がキャプチャされたことに応じてコード情報が無効される場合について説明したが、コード情報はコード画像の画面キャプチャ以外の要因で無効化されるものであってもよい。この場合、決済サーバ１００は、無効化されたコード情報についてその理由とともに管理するように構成されてもよい。またこの場合、決済サーバ１００は、コード情報が無効化されている場合、且つ、その無効化の理由がコード画像の画面キャプチャによるものである場合にログインの不許可および警告情報の通知を行うように構成されてもよい。また、決済サーバ１００は、コード情報が無効化されている場合にログインを許可せず、さらに、無効化の理由がコード画像の画面キャプチャによるものである場合に警告情報を通知するように構成されてもよい。

また、不正利用に関する情報には、図７で説明したもののほか、不正に得たキャプチャ画像（すなわち無効化されたコード情報）でログインを試行した端末装置の識別情報が含まれてもよいし、当該ログインを試行したアプリケーションプログラムの識別情報が含まれてもよい。

また、Ｓ３０４において不正利用者によるなりすましの試みが検知された場合、決済サーバ１００は、不正利用者の第１の利用者端末装置１０に対して警告情報を通知する（Ｓ３０７、Ｓ３０８）ことに代えて／加えて、正当な利用者の第２の利用者端末装置３０に対して「あなたのアカウントに対して不正な方法によるログインが試行されました。」といったような注意喚起のメッセージを通知するように構成されてもよい。

このような第２処理によれば、画面キャプチャによって複製されたコード画像が不正に利用されることを防止することができる。また、実施形態の第２処理によれば、不正に取得されたコード画像によるなりすましの試みが検知された場合、不正利用に関する情報が記録される。このため、電子決済サービスの運営者は、記録された情報をもとに不正利用者を特定したり、不正利用の防止策を検討したりするといったことが可能となり、不正利用に対してより適切な対応をとることができる。

以上説明した実施形態によれば、コード情報を用いた認証処理のセキュリティを向上させることができる。なお、実施形態では、端末変更手続きにおけるなりすましを検知または防止する方法について説明したが、この方法は、端末変更手続きにおけるなりすましに限らず、利用者端末装置１０での画面キャプチャによるコード画像の複製を伴うものであればどのような態様のなりすましにも適用可能なものである。例えば、ストアスキャン方式（図３参照）での決済においてやりとりされるコード画像についても適用可能である。ストアスキャン方式への適用によれば、不正利用者がコード画像の画面キャプチャを取得した時点では当該コード画像が無効化されているので、不正利用者が正当な利用者の電子決済口座を悪用して決済を行うことを防止することができる。

＜変形例＞
決済サーバ１００は、決済アプリ２０からキャプチャ検知通知が受信された場合、キャプチャ対象のコード画像を無効化する際に、当該コード画像の用途に応じた処理を行うように構成されてもよい。例えば、コード画像の用途は、当該コード画像から読み取られるコード情報に含まれるものであってもよいし、決済サーバ１００において、コード情報に対応づけて管理されるものであってもよい。この場合、決済アプリ２０がキャプチャされたコード画像からコード情報を読み取り、キャプチャ検知通知とともに決済サーバ１００に送信することにより、決済サーバ１００側で当該コード情報（コード画像）の用途を認識することができる。

例えば、情報管理部１４０は、キャプチャ検知通知を受けた場合であっても、コード画像の用途が特定の用途である場合、コード情報を無効化しないように構成されてもよい。例えば、情報管理部１４０は、キャプチャ検知通知を受けた場合であっても、コード画像の用途が端末変更手続きであることが認識された場合には、まず、変更先端末が手元にあることの確認を利用者に対して行い、確認がとれた場合にはコード情報を無効化せず、確認がとれなかった場合にコード情報を無効化するように構成されてもよい。なお、変更先端末が利用者の手元にあることの確認は、例えば以下のようにして実施されてもよい。まず、決済サーバ１００は、キャプチャ検知通知を受けた際に、変更元端末の決済アプリ２０と変更先端末の決済アプリ２０の両方に位置情報の送信許可を求める画面を表示させる。決済サーバ１００は、両端末において位置情報の送信が許可されて位置情報が提供された場合、且つ、両者の位置情報が一定の範囲内を示す場合に、変更先端末が手元にあると判定してもよい。

情報管理部１４０は、ストアスキャン方式（図３参照）の決済において、第１店舗端末装置５０を介して決済アプリ２０から無効化されたコード情報が受信された場合、当該第１店舗端末装置５０の設置店舗を特定し、不正利用に関して記録するコード関連情報１７８に当該設置店舗に関する情報を含めるように構成されてもよい。なお、設置店舗は、決済情報に含まれる店舗ＩＤによって特定可能である。さらに、情報管理部１４０は、キャプチャ検知通知を受けた場合、対象のコード画像についてその旨を記録する（例えばフラグを立てるなど）にとどめ、コード情報の無効化までは行わないように構成されてもよい。また、情報管理部１４０は、過去にキャプチャ検知通知を受けたことが記録されているコード画像が利用者によって使用された場合、当該コード画像は画面キャプチャによって複製された可能性がある旨を、決済アプリ２０を介して当該利用者に通知するように構成されてもよい。また、情報管理部１４０は、コード画像の用途が決済である場合、当該決済の対象の加盟店の情報や決済金額などを当該コード情報に紐づけて記録するように構成されてもよい。この場合、情報管理部１４０は、コード画像が画面キャプチャによって複製された可能性がある旨を利用者に通知する際、当該コード画像を用いて過去に実施された決済に関する情報（例えば決済が実施された加盟店や決済金額など）を利用者に提示するように構成されてもよい。

決済サーバ１００は、コード画像の画面キャプチャ不正利用の試みが検知された場合、当該試みが実施された利用者端末装置１０の決済アプリ２０と協働して、当該利用者端末装置１０に関する情報を取得するように構成されてもよい。例えば、利用者端末装置１０がＧＰＳ（Global Positioning System）等の位置情報取得機能を有している場合、決済サーバ１００は決済アプリ２０と協働して、利用者端末装置１０の位置情報を取得するように構成されてもよい。また、例えば、利用者端末装置１０がカメラを有している場合、決済サーバ１００は決済アプリ２０と協働してカメラを作動させることにより、利用者端末装置１０の周辺が撮像された画像データを取得するように構成されてもよい。また、例えば、利用者端末装置１０がマイクを有している場合、決済サーバ１００は決済アプリ２０と協働して録音機能を作動させることにより、利用者端末装置１０の周辺の音声が録音された音声データを取得するように構成されてもよい。

実施形態では、決済アプリ２０がコード画像をデコードしてコード情報を読み取るものとしたが、コード画像のデコードは決済サーバ１００が実施してもよい。この場合、決済アプリ２０はコード画像からコード情報を読み取る代わりにコード画像を撮像し、撮像したコード画像を決済サーバ１００に送信してもよい。

決済アプリ２０が表示する画面の制御（表示内容の切替えのための判定処理およびレンダリング）は、専ら決済アプリ２０が行うものであってもよいし、決済アプリ２０と決済サーバ１００が協働して行うものであってもよいし、専ら決済サーバ１００が行うものであってもよい。

以上、本発明を実施するための形態について実施形態を用いて説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。

１０ 利用者端末装置
２０ 決済アプリ
３０ 第２の利用者端末装置
５０ 第１店舗端末装置
６０ 店舗コード画像
７０ 第２店舗端末装置
７２ 加盟店向けインターフェース
１００ 決済サーバ
１１０ 通信部
１２０ 決済コンテンツ提供部
１３０ 決済処理部
１４０ 情報管理部
１５０ ログイン認証部
１７０ 記憶部
１７２ 利用者情報
１７４ 決済コンテンツ情報
１７６ 店舗情報
１７８ コード関連情報

Claims (14)

1. 利用者の端末装置で動作するアプリケーションプログラムと協働して前記利用者に所定のサービスを提供するサービス提供装置であって、
   前記アプリケーションプログラムによりコード画像を提示した利用者に対して前記サービスを提供するサービス提供部と、
   前記コード画像の有効性を管理する管理部と、
   前記利用者が提示したコード画像から読み取られたコード情報に基づいて前記サービスの不正利用を検知する検知部と、
   を備え、
   前記管理部は、前記端末装置において前記コード画像を画面キャプチャにより複製する操作が行われたことを示す複製通知が前記アプリケーションプログラムから受信された場合、前記操作による複製の対象となったコード画像を無効化し、
   前記検知部は、前記サービスの利用に際して受信されたコード情報が無効化されている場合、前記サービスの利用が不正利用であると判定する、
   サービス提供装置。
2. 前記コード画像は、前記アプリケーションプログラムを介して前記サービスにログインする際の二要素認証において、二要素目の認証情報として使用されるものである、
   請求項１に記載のサービス提供装置。
3. 前記検知部は、前記サービスの不正利用を検知した場合、前記不正利用に係るコード情報の送信元に関する情報を記録する、
   請求項１に記載のサービス提供装置。
4. 前記管理部は、前記コード画像の有効期限を前倒して強制的に満了させることにより前記コード情報を無効化する、
   請求項１に記載のサービス提供装置。
5. 前記管理部は、前記コード画像を更新することにより、更新前のコード画像を無効化する、
   請求項１に記載のサービス提供装置。
6. 前記サービスは、前記利用者に電子決済サービスを提供するものであり、
   前記コード画像は、前記電子決済サービスにおいて、決済に必要な決済情報を前記サービス提供装置に供給する手段として使用されるものである、
   請求項１に記載のサービス提供装置。
7. 前記コード画像は、前記電子決済サービスの加盟店の店舗に設置された店舗端末によって読み取られるものであり、
   前記店舗端末は、前記コード画像から読み取ったコード情報を前記決済情報に含めて前記サービス提供装置に送信する、
   請求項６に記載のサービス提供装置。
8. 前記管理部は、前記コード画像を無効化した場合、前記複製通知の送信元に対して通知を行う、
   請求項１に記載のサービス提供装置。
9. 前記検知部は、前記サービスの不正利用を検知した場合、前記不正利用に係るコード情報の送信元に対して通知を行う、
   請求項１に記載のサービス提供装置。
10. 前記検知部は、前記サービスの不正利用を検知した場合、前記不正利用に係るコード情報の用途に応じた処理を行う、
    請求項１に記載のサービス提供装置。
11. 前記管理部は、前記複製通知に基づいて複製の対象となったコード画像を特定し、前記コード画像の用途に応じた処理を実行する、
    請求項１に記載のサービス提供装置。
12. 前記サービス提供部は、前記アプリケーションプログラムにより提示された前記コード画像を読み取る読取装置から前記コード画像から読み取られた情報を取得し、取得した前記情報に基づいて前記サービスを提供するものである、
    請求項１に記載のサービス提供装置。
13. 利用者の端末装置で動作するアプリケーションプログラムと協働して前記利用者に所定のサービスを提供するサービス提供装置が、
    前記アプリケーションプログラムによりコード画像を提示した利用者に対して前記サービスを提供するためのサービス提供処理と、
    前記コード画像の有効性を管理するための管理処理と、
    前記利用者が提示したコード画像から読み取られたコード情報に基づいて前記サービスの不正利用を検知するための検知処理と、
    を実行するサービス提供方法であって、
    前記管理処理は、前記端末装置において前記コード画像を画面キャプチャにより複製する操作が行われたことが前記アプリケーションプログラムから通知された場合、前記操作による複製の対象となったコード画像を無効化するものであり、
    前記検知処理では、前記サービスの利用に際して受信されたコード情報が無効化されている場合、前記サービスの利用が不正利用であると判定する、
    サービス提供方法。
14. 利用者の端末装置で動作するアプリケーションプログラムと協働して前記利用者に所定のサービスを提供するサービス提供装置に、
    前記アプリケーションプログラムによりコード画像を提示した利用者に対して前記サービスを提供するためのサービス提供処理と、
    前記コード画像の有効性を管理するための管理処理と、
    前記利用者が提示したコード画像から読み取られたコード情報に基づいて前記サービスの不正利用を検知するための検知処理と、
    を実行させるためのプログラムであって、
    前記管理処理は、前記端末装置において前記コード画像を画面キャプチャにより複製する操作が行われたことが前記アプリケーションプログラムから通知された場合、前記操作による複製の対象となったコード画像を無効化するものであり、
    前記検知処理は、前記サービスの利用に際して受信されたコード情報が無効化されている場合、前記サービスの利用が不正利用であると判定するものである、
    プログラム。

Images