AIは、攻撃者による偵察の加速や、悪用可能な弱点の発見を助けています。決済機関が新しいサービスやシステム連携を追加するにつれ、攻撃対象領域も拡大する可能性があります。こうした要因が重なるなか、セキュリティ対策を検証し、インシデント対応を訓練し、脅威を継続的に把握することがますます重要になっています。
そのため、従来のセキュリティ対策だけでは不十分になりつつあります。決済システムを保護するには、インフラ、アプリケーション、決済の承認、運用にわたって連携した対策が必要です。これらの領域の内部や領域間にある弱点によって、顧客資金が危険にさらされたり、機密情報が漏えいしたり、重要なサービスが中断したりするおそれがあります。Web3決済を扱う機関は、暗号資産の鍵管理、トランザクション署名、オンチェーンでの実行に伴うリスクにも対処する必要があります。
こうした背景のもと、BlockSecは、セキュリティ評価、ペネトレーションテスト、レッドチーム評価、継続的な監視と対応を組み合わせた決済セキュリティ ソリューションを提供開始します。これらのサービスは、法定通貨からデジタル資産に至る領域で、決済機関が弱点を特定し、防御策を検証し、インシデントに備え、新たな脅威を検知して対応することを支援します。
決済セキュリティにおける3つの重要課題
資産のセキュリティ
資産のセキュリティは、決済機関のシステムを通じて保有または移転される顧客資金やその他の資産を守るものです。具体的には、不正な送金、返金先・出金先・決済先の口座情報の悪意ある変更、二重請求などのリスクから資金を守ることを意味します。
従来型の決済では、アカウント乗っ取り（ATO）、決済承認の回避、決済処理の誤りが主なリスクです。Web3決済を扱う機関は、これに加えて、鍵管理、トランザクション署名、オンチェーンでの実行の安全性を確保する必要があります。
最終的に、資産のセキュリティとは、すべての決済が適切に承認され、意図した受取人が正しい金額を受け取り、各取引が台帳に正確かつ一貫して記録されるようにすることです。
データセキュリティ
データセキュリティは、アクセス、利用、保存、保持を管理する対策を通じて、機密性の高い顧客情報や業務情報を、不正なアクセス、開示、改ざん、消失から守るものです。
従来型の決済では、本人確認情報、口座データ、取引記録の流出、従業員による職務上必要な範囲を超えたアクセス、ステージング環境やテスト環境を通じたデータ漏えいなどがリスクとなります。Web3決済を扱う機関は、ウォレットアドレスと現実世界の個人情報との結び付きに加え、署名リクエスト、APIキー、ノードの認証情報も保護する必要があります。
効果的なデータ保護には、システムや環境をまたいで、アクセス、利用、保持に関する管理を一貫して適用することが必要です。
事業運営のセキュリティ
事業運営のセキュリティは、業務のレジリエンスに重点を置きます。障害の発生中も重要な決済サービスを維持し、その後、安全に復旧させることです。復旧にあたっては、二重請求、取引の欠落、台帳記録の不整合など、決済の整合性も考慮しなければなりません。
従来型の決済では、クラウドインフラ、データベース、ネットワーク、決済チャネルの障害によってサービスが中断することがあります。Web3決済を扱う機関は、ブロックチェーンの混雑、ブロック生成の停止、ガス代の急騰に加え、依存先のブロックチェーンインフラや第三者サービスの障害にも備える必要があります。こうした依存先には、RPCエンドポイント、ノード、インデクサー、リレイヤー、該当する場合はシーケンサー、クロスチェーンブリッジ、オラクルが含まれます。
効果的に復旧するには、取引記録と台帳記録を照合し、復旧手順によってさらなる誤りが生じないようにする必要があります。
提供サービス
BlockSecは、セキュリティ評価とペネトレーションテストに、インシデント対応計画と継続的な監視を組み合わせます。このアプローチは、インシデント発生前の予防と備え、発生中の検知と封じ込め、発生後の調査、復旧、改善を対象とします。
各サービスは、それぞれ異なる問いに対応します。弱点はどこにあるのか、どのように悪用され得るのか、チームはどれほど効果的に対応できるのか、そして新たな脅威をどのように検知し、対処できるのか、という問いです。
決済プロセス全体のセキュリティ評価
BlockSecは、各決済機関の事業に合わせて、資金の流入から流出までの全プロセスを対象とするセキュリティ監査と専門家による助言サービスを提供します。資金フローのロジックが適切かどうかを評価し、その過程で攻撃者に悪用され得る弱点を特定します。
これらのプロセスを支えるシステム、管理策、信頼境界を調査することで、不正な送金、口座への誤った入金計上、決済額の不一致につながり得る弱点の特定を支援します。さらに、相談対応と実践的な改善指針を提供し、決済機関が改善の優先順位を定め、決済のライフサイクル全体でセキュリティを強化できるよう支援します。
セキュリティ監査とペネトレーションテスト
BlockSecのブロックチェーン・ペネトレーションテストは、アプリケーション、ネットワーク、クラウドのセキュリティに関する専門知識と、暗号資産の承認・移転の仕組みに対する深い理解を組み合わせたものです。
セキュリティ評価の結果に基づき、API、署名インターフェース、承認ワークフロー、出金管理策、資金移動を規定するビジネスロジックを対象に、重点を絞ったペネトレーションテストを実施します。特定された弱点が単独で悪用可能か、あるいは組み合わせることで不正な資金移動に至る再現可能な経路となるかを検証します。
検証結果は、再現可能な証拠、深刻度の評価、改善指針とともに文書化します。また、合意した修正内容を再テストし、確認されたリスクへの対処を支援します。
レッドチーム評価
BlockSecは、決済機関の攻撃への総合的な対応能力を評価するため、各機関に合わせたレッドチーム評価とインシデント対応訓練を設計します。
想定するシナリオには、認証情報の侵害、署名リクエストの操作、不正な出金が含まれます。レッドチーム評価では、セキュリティ対策が攻撃を阻止できるか、または速やかに検知できるかを検証します。一方、インシデント対応訓練では、チームがアラートの優先順位を判断し、インシデントをエスカレーションし、脅威を封じ込め、サービスの復旧を秩序立てて調整する能力を評価します。
これらの訓練を通じて、セキュリティ対策の弱点や、文書化された対応計画と、プレッシャー下でのチームの実際の遂行との隔たりが明らかになります。
継続的な監視と対応
決済システムと脅威が変化し続けるなか、セキュリティには、一度きりの評価にとどまらない継続的な取り組みが必要です。
継続的な保護を支えるため、BlockSecはPhalcon Securityを通じて、定期的な評価を超えるサービスを提供します。このプラットフォームは、オンチェーントランザクションに加え、運用、インタラクション、財務、マルチシグウォレットに関するリスクを継続的に監視します。機能がサポートされ、必要な権限が設定されている場合には、自動応答アクションを起動し、検知した攻撃が実行される前の阻止や、検知後のさらなる損失の抑制を支援することもできます。
決済セキュリティ評価から始めましょう
決済セキュリティは、自社が直面するリスクを理解することから始まります。
ブロックチェーンのセキュリティとコンプライアンスを包括的に提供するBlockSecは、最先端の研究を実践的なソリューションにつなげています。決済機関に対しては、決済業務のセキュリティとレジリエンスの強化を支援するため、プロセス全体のセキュリティ評価、セキュリティ監査、ブロックチェーン・ペネトレーションテスト、レッドチーム評価、継続的な監視を提供しています。
現在、選定した決済機関を対象に、無料のセキュリティ評価を提供しています。当社のセキュリティチームが、対象機関のシステムやプロセスに潜む弱点の特定を支援し、改善の優先事項を提案します。
11月11日（水曜日）には、「AI時代に決済機関はどうすれば詐欺から資金を守れるか？」と題したウェビナーも開催します。決済機関が直面するセキュリティ上の課題と、それに対処する実践的な方法を探るため、ぜひご参加ください。
無料のセキュリティ評価のお申し込みや、ウェビナーの詳細については、営業チームにお問い合わせください。対象となる事業者の評価は、申し込み順に日程を調整しますので、ご関心のある事業者はお早めにご連絡ください。
よくある質問
このソリューションは従来型の決済機関にも適していますか？
はい。AI時代に攻撃が高度化するなか、従来型の決済機関にも、ユーザーログイン、API、クラウドインフラ、バックエンドシステム、決済ネットワークを対象とする包括的なセキュリティ評価と継続的な監視が必要です。こうした対策は、顧客の信頼を損ない得る金銭的損失、データ侵害、サービス中断のリスク低減に役立ちます。
Web3決済サービスを提供する事業者については、ウォレット、トランザクション署名、オンチェーントランザクションまで対象を広げることもできます。
決済機関はどのように無料のセキュリティ評価を受けられますか？
BlockSecは現在、決済機関を対象に、件数を限定して無料のセキュリティ評価を提供しています。当社のセキュリティチームが、お客様のシステムに潜むリスクの特定を支援します。このソリューションにご関心がある場合は、営業チームにお問い合わせください。
評価後は、より詳細なリスク分析や保護の強化に向けて、追加のサービスを選択できます。料金は、お客様の事業上のニーズ、セキュリティ要件、対象範囲によって異なります。
このソリューションでは何が提供されますか？
BlockSecは、特定されたリスクとその潜在的な影響をまとめたセキュリティ評価レポートに加え、次の対応を計画するための改善提案と優先順位を提供します。継続的な保護が必要な場合は、新たな脅威の速やかな検知と対応を支援するセキュリティ監視・対応サービスも選択できます。
これらのサービスの対象範囲は、お客様の事業上のニーズに合わせて調整します。
