Monzo、詐欺防止のため実際に通話中かどうかをアプリに表示
(monzo.com)- Monzoは、なりすまし犯が銀行員を装って送金を促す被害を減らすため、アプリで実際にMonzoのスタッフと通話中かどうかを確認できる機能を導入した
- 通話中にアプリを開くと、ホームタブ上部のバナーにMonzo call statusが表示され、チームメンバーが通話中ではないと出た場合は、すぐに電話を切って通報する必要がある
- 相手が技術的な問題や特別チームを理由にステータスに表示されないと言っても信じてはいけず、インターネット接続が復旧してステータスを確認できるようになるまで、確認なしで通話を続けてはいけない
- Monzoは、事前のアプリ内チャットでの調整なしに電話をかけることはなく、保管口座への送金・Potからの引き出し・支払い承認・PINの提供・ローンの実行やMonzo Flexの利用を求めることはない
- 英国では2022年に、なりすまし詐欺で約1億7,000万ポンドの被害が発生しており、MonzoはCall Status内で毎月約700件の詐欺通報が寄せられていると明らかにした
アプリで確認するMonzo call status
- この記事は掲載時点の情報に基づいており、最新情報はmonzo.comまたはMonzoアプリで確認する必要がある
- 新機能により、電話をかけてきた相手が本当にMonzoのスタッフかどうかを、ユーザーがアプリで直接確認できる
- 通話中にMonzoアプリを開くと、ホームタブ上部のバナーにMonzo call statusが表示される
- Monzoのチームメンバーが通話中ではないと表示された場合は、すぐに切って通報する必要がある
- 通報はcall statusをタップして開始できる
- Monzoのチームメンバーが通話中だと表示された場合は、そのまま通話を続けてよい
- 通話相手が技術的な問題や専門チームを理由にステータスに表示されないと言っても、信じてはいけない
- インターネットに接続されていない場合、call statusにもその状態が反映され、再接続してステータスを確認できるようになるまで、Monzoを装う相手と会話しないことが推奨される
Monzoが求めない行動
- Monzoはアプリ内チャットで事前調整をせずに電話をかけることはなく、電話をかける場合は口座に関する会話の前にセキュリティ質問を行う
- Monzoはユーザーに次の行動を求めない
- 保管口座、安全口座、または別の口座への送金
- Potからのお金の引き出し
- どんな理由であれ支払いや送金を行うこと
- 携帯電話の通知を承認すること
- 詐欺や支払いの警告を無視すること
- PINまたは個人情報の提供
- ローンの実行またはMonzo Flexの利用
なりすまし詐欺の被害と通報の流れ
- なりすまし詐欺は、犯罪者が別人を装ってユーザーに送金させる手口で、銀行振込詐欺またはauthorised push payment fraudとも呼ばれる
- 英国では2022年に、なりすまし詐欺で約1億7,000万ポンドの被害が発生した
- Monzoはcall statusの追加により、ユーザーが通話相手が本当にMonzoのスタッフかどうかを確認できるようになり、機能の公開後はCall Status内で毎月約700件の詐欺通報が寄せられていると述べている
- 次の段階として、現在のPrivacy & settingsだけでなく、通話中により素早く見つけられる、より目立つ場所にもこの機能を表示する案を検討中だ
1件のコメント
Hacker News のコメント
最近、英国のオンライン銀行を狙ったフィッシング詐欺の標的になった。Monzo ではなかったが、手口は非常に巧妙だった。
直近の取引履歴や一般的な qif エクスポートなどには出てこない銀行取引番号まで知っていて、その情報のおかげで電話をかけてきた理由ももっともらしく聞こえた。
私の名前や家族についてオンラインで公開されている情報も調べており、発信者番号表示も偽装していた。会話のスクリプトも非常に高度だったので、こうした追加の保護策が大きな助けになったかどうかは分からない。
幸い、手続きを最後まで進めなかったので、お金は失わずに済んだ。
銀行で深刻な情報漏えいがあったのは明らかに思えるし、オンラインにも他の報告がある。法律で銀行に侵害事故を ICO に報告させ、侵害の性質と規模を公的記録として残すよう義務づけるべきだと思う。
この過程で、英国では 159 に電話すると大半の銀行の詐欺対応部門へ直接つながることを知った: https://stopscamsuk.org.uk/159
サイバー犯罪を通報する警察の Action Fraud ホットラインも知った: https://www.actionfraud.police.uk/what-is-action-fraud
フィッシング犯は執拗で、15分後に銀行の詐欺対応部門だとして「私からの電話を受けて折り返している」と再び電話してきた。さらに2週間後には Action Fraud だと名乗ってまた電話してきた。
こうした攻撃にどれだけ備えていると思っていても、相手がどんな身分を名乗っても、すべての電話に極度に用心することを勧めたい。
Monzo の口座も持っているが、たとえ彼らが電話してきても、この機能は使わないだろう。電話を切って、自分でかけ直すべきだ。相手に自分へ電話させてはいけない。
https://security.stackexchange.com/questions/100268/does-han...
だから銀行には携帯電話からかける方がよい。
ここから外れるものはすべて、詐欺対応部門を装った詐欺だ。「この決済をしましたか？」以外に何らかの情報を求めてきたら詐欺である。
彼らはすでにあなたが誰であるかを知っている。知らなければ、そもそも電話してこなかったはずだ。
使い捨てアカウントなら、このスレッドにでも残して、他の人が知る機会を持てるようにした方がよいのではないかと思う。
本当に必要なのは 逆方向の二要素認証。機密情報を求めてくる相手と通話中なら、自分が相手側のアプリやウェブサイトで6桁の数字を生成し、それを相手に検証してみるよう求められるべき。検証できなければ銀行員ではないということ
Chase から、不正取引のように見える取引を確認したいと電話がかかってきたことがあったが、不正対応部門だという担当者が最初に送ってきたのは、「誰とも共有しないでください」と明記された SMS の二要素認証コードだった
私がその文言を伝えると、彼は「その通りですが、あなたが私の連絡しようとしている本人か確認するために必要で、教えてくれなければ口座をロックします」と言った
結局口座はロックされ、支店に行って写真付き身分証明書を2点提示し、新しいユーザー ID とパスワードを作成してようやく、カードと新しい口座にアクセスできるようになった
こうした 矛盾したセキュリティ指示 がどれほどひどい慣行か、支店長と、耳を傾けられる人全員に強く抗議した
支店長はこうしたポリシーを管理していないだろうし、行動する権限のある部署へ苦情を上げる手段もほとんどないと思う
ただ、その後は改善されたのかもしれない。2023年時点で Chase の Sapphire クレジットカード部門では、同じような体験を繰り返さなくても、取引が正当なものか不正かを確認し、カスタマーサポート担当者に対してリアルタイムの本人確認を完了できた
特定の取引に言及したメールや SMS 通知に返信して取引を検証できるし、リアルタイムの本人確認の試行にモバイルアプリを利用することもある
理想的には、認証の目的を説明する、人間が読めるメタデータも付けるべき
そうすれば銀行は SMS を読み上げてくれとは言わず、顧客もそれが本物かどうか推測せずに済み、双方が認証の目的を自然言語で明確に理解できる
インターネット接続があれば、すべての通信はインターネット経由で処理し、双方には「確認」または「拒否」程度の単純なインターフェースだけを残すべき
インターネットがない場合でも、数文を読み上げ、聞いた内容を入力する形で同じプロトコルを実行できるべき
たいていは丁寧に電話を切り、ウェブサイトに載っている電話番号で不正対応部門に連絡すると伝える。口座をロックされたことはない
Ally Bankは逆に、デビットカード業務を最悪の業者に外注したように見える
そこから電話がかかってきて、私の社会保障番号を求められた。「これはセキュリティ教育ですか？ 私をテストしているんですか？」と聞くと、違うと言われ、私のカードが最近使われたと言われた。実際には、私が400ドルを引き出そうとしていただけだった
私は、かかってきた電話では何も確認も否認もしないと言った
この無礼な相手は、質問に答えるまでデビットカードはロックされたままだと言い、私は分かった、銀行に直接電話すると言った
私のカードはいまもロックされたまま
丁寧にやるなら、何が起きたかを説明する手紙を銀行に書き、規制当局をCCに入れればよい。そうすれば法務部門に上がる可能性があり、方針変更や補償につながることもある
[1] https://www.consumerfinance.gov/ask-cfpb/how-do-i-find-my-st...
[2] https://www.consumerfinance.gov/complaint/
[3] https://www.fdic.gov/contact/
[4] https://reportfraud.ftc.gov/#/
近くのApple Storeの閉店まで30分もないときにM2 MacBook Proを買うことにして、急いで向かっていたら財布を忘れてきた
Apple Payにすべてのカードが入っていたので大丈夫だと思ったが、どのカードで決済しても不正利用防止のブロックがかかった
AppleのスタッフがAmexがいちばん厳しいと言ったのでCitiに電話したところ、担当者は「携帯電話にコードを送った」と言った
SMSには「Citi ID Code: 671865. We'll NEVER call or text for this code」と書かれていて、私が「このSMSには、電話でこのコードを尋ねることは絶対にないと書いてあるのに、いま電話で求めていますよね」と言うと、彼は笑って「はい、そう書いてあるのは分かっていますが、読み上げていただく必要があります」と言った
しぶしぶ読み上げるとカードのブロックは解除されたが、再度決済するとまたブロックされた。結局、家まで走って財布を取りに戻り、また走って戻ると、Appleのスタッフが閉店1分前くらいに入れてくれた
約6カ月前のことだが、Citiアプリはいまでもカードがブロックされていて「至急通話が必要」と表示している。ところが決済は、ブロックされていないかのようにそのまま通る
何が起きているのかデバッグするためにこの宙ぶらりん状態を放置しており、端末が本当にAmexを受け付けないとき以外はこのカードを再び使っていない
以前の職場で、顧客企業の買掛金システムに自社を登録する必要があったが、それはUS Bankが運営するシステムだった
登録案内は郵送で届くと言われ、1週間後に郵便が届いたが、「設定を開始するには https://bit.ly/... にアクセス」と書かれていた。当然フィッシングだと思った
しかし、正確な場所とタイミングで登録パケットを送れる人物が誰かを考えると、内部者でしかあり得ないと思った
US Bankに電話すると、そのパケットは実際に正規のもので、bitlyリンクを使うのが正しいと確認された。本当にあきれる
失敗した取引の後に突然電話がかかってきて、求められた情報を渡さなかったら口座をロックされた。ロック解除には、費用のかかる物理的な資料を送る必要があった
別の銀行に加入するのは簡単で、15年の顧客を失った。よくやった、Sainsbury’s Bank
良い機能だが、根本的な問題は、人々がまったく安全ではない電話システムを信頼しすぎていることだ
誰もが高齢の親と「あの話」をしなければならない。自分から始めた会話でない限り、電話やメールでは絶対に取引しないよう説得する必要がある
まともな会社は、電話してきて金を払えとか、コンピュータへのアクセス権をくれとか、セキュリティコードを教えろとは言わない
必ず切って、たとえ本当に生死がかかっているように感じても、公式番号にかけ直すべきだ。ヒントを言うと、そんなことはない
私の親は以前に詐欺に遭ったことがあるので警戒しているが、それでも十分に注意しているとは思えない
年齢のせいで攻撃も多い。前回訪問したときは、1〜2時間ごとに電話が鳴り、すべて詐欺かスパムだった。次はもっと巧妙な攻撃が通用するかもしれない
こうした外部発信者による詐欺は、その世代がいなくなるまで続く気がする。「電話は信じる」という本能があまりに強い
もちろん私の世代には、詐欺師たちが私たちが本能的に信頼する何かを見つけて悪用するのだろう
そうしたリストは、無作為の番号より次の詐欺に引っかかる可能性が高いと見なされ、互いに共有される
小売業者や銀行から定期的に「当社が電話で金銭や個人情報を求めることは決してありません」と知らせるメールを受け取る
そして、確信が持てなければ電話を切り、その機関の公式番号に電話するよう書かれている
公式番号をすばやく見つける方法は、デビットカードやクレジットカードの裏面を見ることだ。そこに印刷されているはずだ
カードの署名欄には署名せず、「SEE ID」のような文言を書いておくほうがよい
「Privacy & settings — 現在地 — が自然な場所だが、ほかの場所にも表示されるべきだ」という話のように、次の段階は通話前にアプリのプッシュ通知を送り、アプリにログインした直後に見えるバナーを置くことになりそう
アプリの随所に「いま通話中であってはならない」という視覚的な表示が出れば、攻撃者が成功する可能性を下げられる
通常は電話を受けたときにメディアをミュートするために使われるが、機密性の高いアプリなら、ホーム画面に本物のカスタマーサポート担当者が連絡を試みているかどうかを表示することもできる
電話番号のような通話の詳細情報は簡単には得られなさそうだが、適切な権限があれば、ユーザーからの報告に基づく詐欺番号リストを維持し、既知の詐欺師から電話が来たときに通知することも可能に見える
私の銀行は数年前から似たような機能をやっている
誰かが電話してくると携帯アプリを開くように言われ、アプリ自体のバナーとして「OK を押して、いま通話している相手が本人か確認してください」というようなアプリ内通知が出る
確認を押すまでは、相手は口座情報にアクセスできない
年を取るにつれて、こうした銀行詐欺から自分を守る機敏さが失われるのではないかと怖い。解決策は分からない
顧客が、攻撃者が確認を求めていない点に気づいて疑えば役に立つかもしれないが、そういう人はおそらく少なく、詐欺師はもっともらしい言い訳で不安をうまく和らげる
Monzo に自分から電話したときにも、この機能が動作するのか気になる。情報を提供したあとアプリに同じ表示が出るなら、中間者攻撃への扉が開く
その場合、攻撃者が正当らしく見せられるので、むしろ攻撃ははるかに危険になる
見つかる番号の中に人につながるものがなく、ひたすらアプリ内チャットを使えと無限にたらい回しにされる。しかもそのチャットも実際のリアルタイムチャットというより、「メッセージを残せば月曜日に確認する」に近い
Monzo が詐欺防止措置に引っかかったという理由で、私のすべての銀行口座をほぼ5日間凍結したことがある
理論上は素晴らしいが、肝心なときに誰とも通話できないならひどい
既存の電話・携帯電話網で電話やSMSをせず、メールも使わない銀行が最良。常に安全なアプリ内通信を使うべき
アクセスには安全なデバイスバインディング、パスワード/PIN、生体認証を使い、初期設定と認証情報のリセットには、事前登録され安全に配送されたFIDO2 トークン（Yubikey）とアプリ内ビデオ KYC を使うべき
認証情報のリセットで別チャネルに依存してはならない。ユーザーには初日から、ほかのどんな手段でも連絡を受けないと教育し、安全な期待値を形成させるべき
アプリ内では金銭取引ごとに追加認証を要求し、サーバー側では取引ごと・日ごとの送金限度額を設けるべき
高額送金では受取人を口座に追加させ、1〜2日のクーリング期間を置き、その間にユーザーへ通知して、誤りや詐欺だと思うなら十分に介入する機会を与えるべき
摩擦の少ない即時決済は、事前に検証・登録された加盟店アドレスにのみ許可すべき
個人間の即時送金には速度制限と、詐欺発生時に回収と訴追が可能な法的枠組みが必要
ネットワーク外、たとえば国際即時送金では、必ず受取人を検証して支払者の口座に追加させ、迅速な回収を可能にする詐欺保護基金と、国際的な訴追のための法的枠組みが必要
こうした保護なしに銀行取引の速度だけを上げれば、従来受け入れられてきた水準より大きな詐欺被害につながるしかない
可能なことはすべてオンラインで処理するほうで、そのほうが向こうには安く、自分にも便利で、前に列挙した理由もある
電話は高齢者や障害のある顧客、複雑な取引、本人確認の失敗といったごくまれな境界的状況でだけ発生するように思う
そもそも電話しないのかもしれないし、ごくまれな場合に備えてこの機能を入れたのかもしれない。ただ、「私たちが電話すると色が変わる」という説明は、高圧的な詐欺師と通話中の人には、「私たちは絶対に電話しない」より説得力のある話に見える
以前ここに載った債権回収業界の記事にも、「多くの人が銀行、技術、基本的な数学をどれほど理解していないかを知れば驚くだろう」という趣旨の一節があった
「認証情報のリセットで別チャネルに依存するな」と言うが、顧客の家が燃えて携帯電話と Yubikey が一緒に失われたらどうするのか？
個人間の即時送金の回収と訴追のための法的枠組みは、1つの銀行が決められる問題ではない
高額送金に受取人の追加と1〜2日のクーリング期間を要求すれば、「なぜ私のお金で何ができて何ができないかをあなたが決めるのか」という反応が出る
中古車購入のように、以前は知らなかった受取人に突然大きな金額を送らなければならない場合も実際にある
事前登録された FIDO2 トークンは本当に良さそうだが、私が取引したことのある銀行の中でFIDOをサポートしているところは一つもなかった。そういう銀行を聞いたこともないし、あれば口座を開くかもしれない
銀行や企業が、顧客を先回りしてだましてみる試みをしているところはあるのだろうか？ 電話をかけたあと、いくつか危険信号を出して教育するようなやり方だ。
特に高齢の顧客には、実際に被害に遭う直前のひやりとする予行演習が、詐欺リスクを下げるのに役立つ可能性がある。
こうしたメールをオフにできるオプションがあればかなり良いのだが、現状では受信箱のノイズが増えるだけだ。
もちろん、銀行からの詐欺のようなメールは受信箱に入り、本物の詐欺メールは迷惑メールフォルダに入る。
リンクをクリックすると、必須の企業向けフィッシング研修を割り当てられる。そのおかげで、より注意するようになった。
ただし教育目的ではなく通常業務の一部としてそれを行い、非常に怪しく危険信号だらけの「絶対にやってはいけないこと」を拒否すると、望む手続きを進められない。
電話でオンラインバンキングのPINの一部または全部を提供するよう求められたこともあるし、3DSecureの一環として怪しい任意のWebサイトにクレジットカードのPINを入力するよう求められたこともある。
それぞれ別の銀行で、どちらも実際の手続きであり、繰り返し行われた。
良いアイデアだが、ひとつ問題がある。通話中でWi-Fiでない場合、モデムが通話に占有されてインターネットが動作しない。
VoLTEがあればこうはならないと理解しているが、つまりこの機能は非常に多くの人には機能しない可能性があるということだ。