［内部犯行対策］カード偽造事件の教訓

　横浜銀行が、ATM保守を委託した富士通フロンテック社員によるカード偽造や不正引き出しを防げなかった要因は二つある（図3）。

図3●横浜銀行で発生したカード偽造事件の要因

「秘密情報のログ保存」と「権限の集中」が不正を招いた

[画像のクリックで拡大表示]

　一つは、ATMのログ情報の中に、入力された暗証番号を書き出していたことだ。このログは、ハードの内部処理を記録した一過性のログだった。暗証番号をマスク処理したうえで行員の閲覧も許可している一般的なログとは異なる。ATM保守を担う富士通フロンテックが障害対応時にのみ閲覧していた。

　横浜銀行 IT統括部 システム共同利用推進室の丸山浩司室長は「当初はこのログに暗証番号が記載されていたことを知らなかった」と証言する。同行がその事実を知ったのは2012年末、NTTデータの地銀共同センターで発生したカード偽造事件を受け、機密情報の管理を総点検したときだった。その後、暗証番号を取得しないようプログラムを順次更新し、2013年12月までに作業を完了したが、それまでの間に不正が繰り返されていた。

　もう一つの要因は、容疑者にATM保守に関わる権限が集中していたことだ。ログから口座番号や暗証番号を閲覧できたほか、テスト用カードも作成できたとみられる。「カード作成を許していたのは出口対策上の失態。自衛隊で言えば実弾の管理ができていないに等しい」とラックの西本氏は指摘する。横浜銀行は元請けのNTTデータには年1回以上の監査を実施していたが、再委託先である富士通や富士通フロンテックへの監査は行っていなかった。