JP6009521B2 - 利用者特定システム、方法、およびプログラム - Google Patents

Description

本発明は、法人向けインターネットバンキングシステムを操作している個人を特定するためのシステム、方法、およびプログラムに関する。

現在、銀行等の金融機関は、個人顧客が利用するための個人向けインターネットバンキングサービスと、法人顧客が利用するための法人向けインターネットバンキングサービスとを提供している。これらのインターネットバンキングサービスを利用するための認証では、主に、ＩＤとワンタイムパスワード等のパスワードとによる認証が用いられている。

個人向けインターネットバンキングシステムでは、金融機関は、インターネットバンキングサービスを申し込んだその個人に対して認証用ＩＤを発行する。金融機関は、この個人に対して、口座開設時に運転免許証等の公文書を用いて本人確認を行っている。したがって、金融機関は、その認証用ＩＤを使用している人が誰であるかを特定することができる。

一方、法人向けインターネットバンキングシステムでは、金融機関は、インターネットバンキングサービスを申し込んだ法人が希望する個数の認証用ＩＤを発行する（詳細には、その法人の１つの口座に対して１つまたは複数の異なる認証用ＩＤを発行する）。つまり、インターネットバンキングシステムを操作する人（例えば、経理担当者等の法人の従業員）ごとに異なる認証用ＩＤが発行される。従業員は、ログイン時等に、各自の認証用ＩＤとパスワードをパソコンに入力して認証を行う。

しかしながら、法人向けインターネットバンキングシステムで用いられる認証用ＩＤは、金融機関が、単に、法人の要望に応じてその法人に対して付与したＩＤに過ぎない。したがって、金融機関側は、これらの認証用ＩＤを使用している従業員を、直接把握して管理しているわけではない。したがって、金融機関は、法人向けインターネットバンキングシステムの認証用ＩＤを実際に使用している個人が誰であるかを特定することができない。そのため、実体のないペーパーカンパニー等が設立されて、マネー・ローンダリング（資金の洗浄）等の目的で、法人向けインターネットバンキングシステムが悪用される可能性がある。

このように、現状、金融機関は、法人向けインターネットバンキングサービスを利用している法人顧客を法人として特定することはできるが、実際にインターネットバンキングシステムを操作する個人が一体誰であるかを特定できていない。そのため、法人向けインターネットバンキングサービスにおいて、実際にインターネットバンキングシステムを操作する個人を特定できることが望ましい。

本発明の一態様は、このような問題に鑑みてなされたものであり、その目的とするところは、法人向けインターネットバンキングシステムを実際に操作している人（以下、利用者ともいう）を、その利用者が個人で所有している口座（すなわち、金融機関が本人確認を行っている者の口座）の個人向けインターネットバンキングシステムのパスワード等を用いて認証することによって、その利用者を特定することができるシステム、方法、およびプログラムを提供することにある。

このような目的を達成するために、本発明の法人向けインターネットバンキングシステムの利用者を特定するためのシステムは、利用者ＩＤと、前記利用者ＩＤに関連付けられた個人ＩＤと、前記個人ＩＤに関連付けられた認証情報とを格納したデータベースと、利用者ＩＤと、認証情報とを受信する受信手段と、前記受信した利用者ＩＤに基づいて、前記個人ＩＤを特定する特定手段と、前記受信した認証情報と、前記データベース内の前記特定した個人ＩＤに関連付けられた認証情報とが一致するか否かを判断する判断手段とを備えたことを特徴とする。

本発明によれば、法人向けインターネットバンキングシステムを実際に操作している人を特定することができる。

本発明の一実施形態にかかる利用者特定システムを含む全体の概要図である。 本発明の一実施形態にかかる法人向けインターネットバンキングデータベースの一例である。 本発明の一実施形態にかかる個人向けインターネットバンキングデータベースの一例である。 本発明の一実施形態にかかる操作履歴データベースの一例である。 本発明の一実施形態にかかる利用者を特定するための方法のフローチャートである。

図１は、本発明の一実施形態にかかる利用者特定システムを含む全体の概要図である。概要図には、利用者特定システム１１０、利用者端末１２０、ワンタイムパスワード表示装置１３０等が含まれる。なお、利用者特定システム１１０は、金融機関の法人向けインターネットバンキングシステム１００の一部であっても良い。

利用者端末１２０は、法人向けインターネットバンキングサービスの契約を金融機関と結んでいる法人の端末（パソコン等）である。利用者（例えば、経理担当者等の法人の従業員）は、利用者端末１２０を用いて、法人向けインターネットバンキングシステムを操作することができる。利用者端末１２０は、利用者特定システム１１０とデータの送受信をすることができる。

ワンタイムパスワード表示装置１３０は、ワンタイムパスワードを表示するための画面を備えた装置である。ワンタイムパスワード表示装置１３０は、例えば、カード型のトークンである。ワンタイムパスワード表示装置１３０は、利用者（つまり、法人向けインターネットバンキングシステムを実際に操作している人）が個人でその金融機関に所有している口座の、個人向けインターネットバンキングシステムの認証のためのワンタイムパスワードを表示することができる。

利用者特定システム１１０には、受信手段１１１、認証手段１１２、法人向けインターネットバンキングデータベース１１３、個人向けインターネットバンキングデータベース１１４、操作履歴データベース１１５、送信手段１１６が含まれる。それぞれの詳細については、以下で説明する。

法人向けインターネットバンキングデータベース１１３は、法人向けインターネットバンキングサービスの契約を金融機関と結んでいる法人顧客に関する情報が格納されたデータベースである。法人向けインターネットバンキングデータベース１１３の詳細については、図２を参照しながら説明する。

図２は、本発明の一実施形態にかかる法人向けインターネットバンキングデータベース１１３の一例である。法人向けインターネットバンキングデータベース１１３は、「法人名」「利用者ＩＤ」「法人口座情報」「個人ＩＤ」等を示すデータが格納される。それぞれの詳細については、以下で説明する。

「法人名」は、法人向けインターネットバンキングサービスの契約を金融機関と結んでいる法人の名称を示す。「利用者ＩＤ」は、その法人に、金融機関によって割り当てられたＩＤである。「利用者ＩＤ」は、法人向けインターネットバンキングシステムの認証に用いられる。つまり、金融機関は、法人に対して、法人向けインターネットバンキングシステムを操作する従業員の人数分の「利用者ＩＤ」を発行する。そして、企業は、金融機関から発行された「利用者ＩＤ」を、各従業員に１つずつ与える。各従業員は、各自に与えられた「利用者ＩＤ」を用いて、法人向けインターネットバンキングシステムの認証を行う。「法人口座情報」は、その法人が金融機関に開設している口座を特定するための情報である。「法人口座情報」には、店番号を示すデータ、科目を示すデータ、口座番号を示すデータが含まれる。「個人ＩＤ」は、個人向けインターネットバンキングサービスの契約を金融機関と結んでいる、個人ごとに割り当てられたＩＤである。

図１に戻る。個人向けインターネットバンキングデータベース１１４は、個人向けインターネットバンキングサービスの契約を金融機関と結んでいる個人顧客に関する情報が格納されたデータベースである。個人向けインターネットバンキングデータベース１１４の詳細については、図３を参照しながら説明する。

図３は、本発明の一実施形態にかかる個人向けインターネットバンキングデータベース１１４の一例である。個人向けインターネットバンキングデータベース１１４は、「個人情報」「個人ＩＤ」「個人口座情報」「認証方法」「認証情報」等を示すデータが格納される。それぞれの詳細については、以下で説明する。

「個人情報」は、個人向けインターネットバンキングサービスの契約を金融機関と結んでいる個人の個人情報を示す。「個人情報」は、金融機関が、その個人に対して、口座開設時に運転免許証等の公文書を用いて本人確認を行った際に入手した、その個人の個人情報（特定の個人を識別することが可能な情報。例えば、住所、氏名、生年月日等）である。「個人ＩＤ」は、その個人ごとに、金融機関によって割り当てられたＩＤである。「個人口座情報」は、その個人が金融機関に開設している口座を特定するための情報である。「個人口座情報」には、店番号を示すデータ、科目を示すデータ、口座番号を示すデータが含まれる。「認証方法」は、その個人の個人向けインターネットバンキングシステムにおける認証方法である。「認証方法」には、例えば、「ワンタイムパスワードによる認証」「固定パスワードによる認証」「生体認証」等が含まれる。「認証情報」は、個人向けインターネットバンキングシステムの認証のために必要なデータである。「認証情報」には、認証方法が「ワンタイムパスワードによる認証」の場合には、「ワンタイムパスワード」が格納される。ワンタイムパスワードは、例えば、現在時刻に応じて変化するパスワードとすることができる。この場合、利用者特定システム１１０とワンタイムパスワード表示装置１３０とは、両者の間で時刻を同期させている。そのため、ある時刻において、個人向けインターネットバンキングデータベース１１４で管理しているワンタイムパスワードと同じパスワードが、ワンタイムパスワード表示装置１３０に表示される。また、「認証情報」には、認証方法が「固定パスワードによる認証」の場合には、「固定パスワード」が格納される。また、「認証情報」には、認証方法が「生体認証」の場合には、その利用者の「生体情報（指紋データ等）」が格納される。

ここで、法人向けインターネットバンキングデータベース１１３と個人向けインターネットバンキングデータベース１１４との関係について説明する。まず、法人は、法人向けインターネットバンキングシステムを操作する従業員（すなわち、利用者ＩＤを使用する従業員）を決めると、金融機関へ通知する。ここで決められる従業員は、その金融機関に個人で口座を開設して、個人向けインターネットバンキングサービスの契約を金融機関と結んでいる人である。金融機関は、法人から通知された従業員が個人で所有している口座を特定する。そして、金融機関は、個人向けインターネットバンキングデータベース１１４内に格納されているその従業員の「個人ＩＤ」を、法人向けインターネットバンキングデータベース１１３内のその「利用者ＩＤ」に対応する「個人ＩＤ」欄に登録する。すなわち、「個人ＩＤ」によって、法人向けインターネットバンキングデータベース１１３と個人向けインターネットバンキングデータベース１１４とは、紐付けられている。

図１に戻る。操作履歴データベース１１５は、法人向けインターネットバンキングシステムを操作した人の履歴を示すデータが格納されたデータベースである。操作履歴データベース１１５の詳細については、図４を参照しながら説明する。

図４は、本発明の一実施形態にかかる操作履歴データベース１１５の一例である。操作履歴データベース１１５には、「日時」「法人名」「利用者ＩＤ」「個人情報」「個人ＩＤ」「操作内容」等を示すデータが格納される。それぞれの詳細については、以下で説明する。

「日時」は、法人向けインターネットバンキングシステムが操作された日時を示す。「法人名」は、法人向けインターネットバンキングシステムを操作した人（つまり、利用者）が属する法人の名称である。「利用者ＩＤ」は、その利用者が認証に用いた利用者ＩＤである。「個人情報」および「個人ＩＤ」は、その利用者の個人情報および個人ＩＤである。「操作内容」は、「振込の承認」や「振込データの作成」等、法人向けインターネットバンキングシステムで操作された内容を示す。

図１に戻る。受信手段１１１は、利用者端末１２０から、利用者ＩＤを示すデータを受信することができる。また、受信手段１１１は、利用者端末１２０から、利用者（つまり、法人向けインターネットバンキングシステムを実際に操作している人）が個人でその金融機関に所有している口座の、個人向けインターネットバンキングシステムの認証のために必要なデータ（例えば、ワンタイムパスワード）を受信することができる。受信手段１１１は、認証手段１１２へ、利用者端末１２０から受信したこれらのデータを送ることができる。

認証手段１１２は、受信手段１１１から受け取った「利用者ＩＤを示すデータ」および「認証のために必要なデータ」を用いて、利用者を認証することができる。具体的には、認証手段１１２は、法人向けインターネットバンキングデータベース１１３内で、受け取った「利用者ＩＤを示すデータ」が格納されている「利用者ＩＤ」に対応する「個人ＩＤ」を特定する。また、認証手段１１２は、個人向けインターネットバンキングデータベース１１４内で、特定した「個人ＩＤ」に対応する「認証方法」を特定する。つまり、認証手段１１２は、その利用者が個人でその金融機関に所有している口座の、個人向けインターネットバンキングシステムの認証方法を特定することができる。この認証方法には、（１）ワンタイムパスワードによる認証、（２）固定パスワードによる認証、（３）生体認証、（４）それらの組み合わせ等が含まれるが、これらに限定されず、個人向けインターネットバンキングシステムにおいて個人顧客を認証することができる方法であればよい。認証手段１１２は、特定した認証方法に基づいて、利用者の認証を行う。

ここで、利用者の認証について説明する。本発明では、法人向けインターネットバンキングシステムの認証において、個人向けインターネットバンキングシステムの認証のために必要なデータを使用する。以下、詳細に説明する。

個人向けインターネットバンキングデータベース１１４内で特定された「認証方法」が、「ワンタイムパスワードによる認証」の場合を説明する。認証手段１１２は、利用者端末１２０から受信したワンタイムパスワード（つまり、ワンタイムパスワード表示装置１３０に表示された、個人向けインターネットバンキングシステムの認証のためのワンタイムパスワード）と、個人向けインターネットバンキングデータベース１１４に格納されたワンタイムパスワードとが一致するか否かを判断することによって認証を行う。この認証が成功すると、利用者特定システム１１０は、利用者が、個人向けインターネットバンキングデータベース１１４内に登録された個人ＩＤ（すなわち、利用者端末１２０から受信された利用者ＩＤに基づいて特定された個人ＩＤ）を有する者であると確証を得ることができる。また、利用者特定システム１１０は、個人向けインターネットバンキングデータベース１１４内のその個人ＩＤに対応する個人情報（つまり、金融機関がその利用者に対する本人確認の際に入手した、その利用者の個人情報）に基づいて、その利用者が誰であるかを特定することができる。

個人向けインターネットバンキングデータベース１１４内で特定された「認証方法」が、「固定パスワードによる認証」の場合を説明する。認証手段１１２は、利用者端末１２０から受信した固定パスワードと、個人向けインターネットバンキングデータベース１１４に格納された固定パスワードとが一致するか否かを判断することによって認証を行う。以下は、「ワンタイムパスワードによる認証」の場合と同様である。

個人向けインターネットバンキングデータベース１１４内で特定された「認証方法」が、「生体認証」の場合を説明する。認証手段１１２は、利用者端末１２０から受信した生体情報と、個人向けインターネットバンキングデータベース１１４に格納された生体情報とが一致するか否かを判断することによって認証を行う。以下は、「ワンタイムパスワードによる認証」の場合と同様である。なお、生体認証の方法は、このような方法に限定されず、指紋データ等の生体情報を用いて個人顧客を認証することができる方法であればよい。

認証手段１１２は、認証が成功した場合、操作履歴データベース１１５に、操作した日時、その利用者の個人ＩＤおよび個人情報、その利用者が認証に用いた利用者ＩＤ、その利用者が属する法人の法人名、その利用者が操作した内容等を登録する。認証手段１１２は、認証が失敗した場合、利用者端末１２０へ、エラーを送信する。

図５は、本発明の一実施形態にかかる利用者を特定するための方法のフローチャートである。以下の方法は、利用者特定システム１１０によって実行される。また、利用者特定システム１１０は、以下の方法を、利用者が何らかの操作をする前（例えば、利用者端末１２０が、法人向けインターネットバンキングシステムに対して、「振込の承認」等の処理を要求する前）に実行してもよいし、その他の時（例えば、利用者端末１２０が、法人向けインターネットバンキングシステムにログインする時）に実行してもよい。

ステップ５０１で、受信手段１１１は、利用者端末１２０から、利用者ＩＤを受信する。次に、受信手段１１１は、認証手段１１２へ、受信した利用者ＩＤを送る。

ステップ５０２で、認証手段１１２は、ステップ５０１で受信した利用者ＩＤに基づいて、法人向けインターネットバンキングデータベース１１３を参照して、利用者の個人ＩＤを特定する。具体的には、認証手段１１２は、法人向けインターネットバンキングデータベース１１３内で、受け取った「利用者ＩＤを示すデータ」が格納されている「利用者ＩＤ」に対応する「個人ＩＤ」を特定する。

ステップ５０３で、認証手段１１２は、ステップ５０２で特定した利用者の個人ＩＤに基づいて、個人向けインターネットバンキングデータベース１１４を参照して、その利用者が所有している口座の個人向けインターネットバンキングの認証方法を特定する。具体的には、認証手段１１２は、個人向けインターネットバンキングデータベース１１４内で、特定した「個人ＩＤ」に対応する「認証方法」を特定する。

ステップ５０４で、受信手段１１１は、利用者端末１２０から、認証情報を受信する。具体的には、受信手段１１１は、利用者端末１２０から、利用者（つまり、法人向けインターネットバンキングシステムを実際に操作している人）が個人でその金融機関に所有している口座の、個人向けインターネットバンキングシステムの認証のために必要なデータ（例えば、ワンタイムパスワード）を受信する。次に、受信手段１１１は、認証手段１１２へ、受信した認証情報を送る。なお、ステップ５０１で、受信手段１１１は、利用者端末１２０から、「利用者ＩＤ」とともに「認証情報」を受信することもできる。

ステップ５０５で、認証手段１１２は、ステップ５０３で特定した認証方法に基づいて、利用者の認証を行う。具体的には、認証手段１１２は、ステップ５０４で「利用者端末１２０から受信した認証情報」と、「個人向けインターネットバンキングデータベース１１４に登録されている認証情報」と、が一致するか否かを判断する。一致する場合（つまり、認証が成功した場合）、利用者特定システム１１０は、利用者が、個人向けインターネットバンキングデータベース１１４内に登録された個人ＩＤ（すなわち、ステップ５０１で利用者端末１２０から受信された利用者ＩＤに基づいて特定された個人ＩＤ）を有する者であると確証を得ることができる。また、利用者特定システム１１０は、個人向けインターネットバンキングデータベース１１４内のその個人ＩＤに対応する個人情報に基づいて、その利用者が誰であるかを特定することができる。以下、認証方法別に説明する。

個人向けインターネットバンキングの認証が「ワンタイムパスワードによる認証」の場合、認証手段１１２は、個人向けインターネットバンキングデータベース１１４内で、その利用者の「認証情報」に登録されている「ワンタイムパスワード（すなわち、その時刻におけるパスワード）」を特定する。次に、認証手段１１２は、ステップ５０４で「受け取ったパスワード（すなわち、その時刻にワンタイムパスワード表示装置１３０に表示されたパスワード）」と、ステップ５０５で「個人向けインターネットバンキングデータベース１１４内で特定した、その利用者のワンタイムパスワード」とが一致するか否かを判断する。

個人向けインターネットバンキングの認証が「固定パスワードによる認証」の場合、認証手段１１２は、個人向けインターネットバンキングデータベース１１４内で、その利用者の「認証情報」に登録されている「固定パスワード」を特定する。次に、認証手段１１２は、ステップ５０４で「受け取ったパスワード」と、ステップ５０５で「個人向けインターネットバンキングデータベース１１４内で特定した、その利用者の固定パスワード」とが一致するか否かを判断する。

個人向けインターネットバンキングの認証が「生体認証」の場合、認証手段１１２は、個人向けインターネットバンキングデータベース１１４内で、その利用者の「認証情報」に登録されている「生体情報（指紋データ等）」を特定する。次に、認証手段１１２は、ステップ５０４で「受け取った生体情報（すなわち、利用者端末１２０に接続された指紋読み取り機等で読み取られ、利用者端末１２０から利用者特定システム１１０へ送信された、指紋データ等）」と、ステップ５０５で「個人向けインターネットバンキングデータベース１１４内で特定した、その利用者の生体情報」とが一致するか否かを判断する。なお、上述のとおり、生体認証の方法は、このような方法に限定されず、指紋データ等の生体情報を用いて個人顧客を認証することができる方法であればよい。

ステップ５０６で、ステップ５０５において一致すると判断した場合、認証手段１１２は、操作履歴データベース１１５に、操作した日時、その利用者の個人ＩＤおよび個人情報、その利用者が認証に用いた利用者ＩＤ、その利用者が属する法人の法人名、その利用者が操作した内容等を登録する。ステップ５０５において一致しないと判断した場合、認証手段１１２は、利用者端末１２０へ、エラーを送信する（図示せず）。以上のように、利用者特定システム１１０は、利用者を特定するための方法を実行する。

このように、本発明では、すでに金融機関が本人確認を行っている者のみが、法人向けインターネットバンキングシステムの操作をすることができる。そのため、法人向けインターネットバンキングシステムを操作している人が誰であるかを特定することが可能となる。

さらに、本発明により、法人の従業員のセキュリティに対する意識を高めることができる。すなわち、従来、法人から貸与された認証用ＩＤや認証情報は、管理が甘くなりがちで盗まれても気付きにくかった。しかし、本発明では、利用者自身の個人のパスワード等を使用するため、パスワード等の管理が徹底される。

さらに、これまで、法人向けインターネットバンキングシステム用のワンタイムパスワード表示装置と、個人向けインターネットバンキングシステム用のワンタイムパスワード表示装置との２つを所持しなければいけなかった。しかし、本発明によって、１つのワンタイムパスワード表示装置（すなわち、個人向けインターネットバンキングシステム用のワンタイムパスワード表示装置のみ）を所持すればよくなる。

ここまで、本発明の実施形態について説明したが、上記実施形態はあくまで一例であり、本発明は上述した実施形態に限定されず、その技術的思想の範囲内において種々異なる形態にて実施されてよいことは言うまでもない。また、本発明の範囲は、図示され記載された例示的な実施形態に限定されるものではなく、本発明が目的とするものと均等な効果をもたらすすべての実施形態をも含む。さらに、本発明の範囲は、各請求項により画される発明の特徴の組み合わせに限定されるものではなく、すべての開示されたそれぞれの特徴のうち特定の特徴のあらゆる所望する組み合わせによって画されうる。

１００ 法人向けインターネットバンキングシステム
１１０ 利用者特定システム
１１１ 受信手段
１１２ 認証手段
１１３ 法人向けインターネットバンキングデータベース
１１４ 個人向けインターネットバンキングデータベース
１１５ 操作履歴データベース
１１６ 送信手段
１２０ 利用者端末
１３０ ワンタイムパスワード表示装置

Claims (7)

1. 法人向けインターネットバンキングシステムの利用者を特定するためのシステムであって、
   利用者ＩＤと、前記利用者ＩＤに関連付けられた個人ＩＤと、前記個人ＩＤに関連付けられた認証情報とを格納したデータベースであって、前記個人ＩＤおよび前記認証情報は、個人向けインターネットバンキングシステムで用いられるＩＤおよび認証情報である、データベースと、
   利用者ＩＤと、認証情報とを受信する受信手段と、
   前記受信した利用者ＩＤに基づいて、前記個人ＩＤを特定する特定手段と、
   前記受信した認証情報と、前記データベース内の前記特定した個人ＩＤに関連付けられた認証情報とが一致するか否かを判断する判断手段と
   を備えたことを特徴とする利用者特定システム。
2. 前記データベースには、前記個人ＩＤに関連付けられた個人情報がさらに格納され、
   前記判断手段は、認証情報が一致すると判断した場合に、前記個人情報を記録することを特徴とする請求項１に記載の利用者特定システム。
3. 前記認証情報は、ワンタイムパスワード、固定パスワード、または、生体情報であることを特徴とする請求項１または２に記載の利用者特定システム。
4. 利用者特定システムによって実行される、法人向けインターネットバンキングシステムの利用者を特定するための方法であって、
   前記利用者特定システムは、利用者ＩＤと、前記利用者ＩＤに関連付けられた個人ＩＤと、前記個人ＩＤに関連付けられた認証情報とを格納したデータベースであって、前記個人ＩＤおよび前記認証情報は、個人向けインターネットバンキングシステムで用いられるＩＤおよび認証情報である、データベースを備え、
   前記方法は、
   利用者ＩＤと、認証情報とを受信するステップと、
   前記受信した利用者ＩＤに基づいて、前記個人ＩＤを特定するステップと、
   前記受信した認証情報と、前記データベース内の前記特定した個人ＩＤに関連付けられた認証情報とが一致するか否かを判断するステップと
   を含むことを特徴とする利用者特定方法。
5. 前記データベースには、前記個人ＩＤに関連付けられた個人情報がさらに格納され、
   前記判断するステップは、認証情報が一致すると判断した場合に、前記個人情報を記録するステップを含むことを特徴とする請求項４に記載の利用者特定方法。
6. 前記認証情報は、ワンタイムパスワード、固定パスワード、または、生体情報であることを特徴とする請求項４または５に記載の利用者特定方法。
7. 利用者特定システムに、請求項４から６のいずれか一項に記載された方法を実行させるためのプログラム。

Images