システム運用者が生データからカードを偽造

しかし最近は何でもありですな。生データに触れる人間がデータを持ち出してカードを偽造したら防ぎようがありません。

ＮＴＴデータ元社員、カード偽造の疑い 被害３千万円
ＮＴＴデータは２８日、開発、運用を請け負っていた仙台銀行のコンピューターシステムから運用責任者がローンカードの暗証番号などを不正に持ち出してカードを偽造した可能性があると発表した。１７人分の偽造カードが作られ、計約３１００万円を引き出される被害が確認されたという。宮城県警は、この運用責任者の田中守容疑者（５４）が偽造カードで現金自動出入機（ＡＴＭ）から現金を引き出したとして、不正作出私電磁的記録供用と窃盗容疑で逮捕状を取り、全国に指名手配した、と２８日発表した。
ＮＴＴデータによると、暗証番号やカード番号などの取引記録を持ち出されたのは、オリックス・クレジットのローンカードを仙台銀行のＡＴＭで使用した４０８人分。田中容疑者は、持ち出した記録をもとに偽造したカードを用いて、０５年１０月と０６年２月に別の銀行のＡＴＭから現金を引き出していたという。被害はオリックス・クレジットが全額補償した。（asahi.com 2006年03月29日）

仙台銀行のＡＴＭを利用しているのはオリックス・クレジットのカードだけではないでしょうに、同社のカードだけが狙われたのは何か理由があるのかな？

こういったローンカードやキャッシュカードがどういったセキュリティを施しているのか詳しいことは知らないのですが、オリックス・クレジットのカードが流すデータのセキュリティが甘いということなんでしょうか？ＡＴＭの利用件数だけで言えば、仙台銀行のキャッシュカードを使って現金を引き出している顧客が一番多いのは明らかでしょうから、そちらのデータを利用する可能性もあったと思うのですが。

金融関連の情報システムの保守・運用を外部に委託することは当たり前に行われているわけですが、今回のように生データに触れる人間がデータを持ち出してカードを偽造するような事件は、どれだけ対策を施しても未然に防ぐことは難しいですから、外部委託することによるリスクをどう管理するかは実に悩ましい問題です。内部の人間・外部の人間を問わず不正を起こしにくくする対策を取ることと合わせて、ある程度の確率で不正や犯罪が起きることを前提に見込まれる損害額をカバーできる財務余力を持っておく必要がありますね。