von_yosukeyanの日記： 新銀行東京(4)

昨日帰宅したら、配達記録で封書が届いていた
外から触った感じでは、カード類などは同封されていないんじゃないかと思っていたが、開封してみるとやっぱりインターネットバンキングの利用者番号と確認用パスワード通知だった

連休を挟んで6営業日で届いているので、それなり優秀なバックオフィスであると言うべきか、連休を挟んでもこの速さで届いたのだから、申込数が相当少ないのかのどちらかなのか判断しかねる。ただ、言えるのは、漏れん家の郵送事情の悪さを勘案しても、11日に通知書を発行して届くのに1週間かかってるというのは、ちょっと時間がかかりすぎなんじゃないかと思う

さて、漏れが申し込んだのはセーフティパス方式認証方式なので、インターネット利用者通知や、キャッシュカードが届いてもセーフティパスリーダーとCD-ROMが届かないと使えない。そういうわけで、都合3回に分けて届けられる「利用者通知」「キャッシュカード」「セーフティパスCD-ROM/カードリーダ」の3種が揃わないと正式には使えない。RPGカヨ･･･。

新銀行のビジネスモデルから考えると、あまり効率のいいシステムには思えない。新銀行は、「中小企業への貸し渋り対策」を大義名分に、都と民間企業(出資企業は未だに非公開)の出資によって設立された半官半民の「商業銀行」である。融資資金の調達のために、預金を受け入れ、それを既存の銀行で資金調達が困難な中小企業に低利(銀行の融資金利と商工ローンの融資金利の中間)で融資するのが目的なのだから、資金調達コスト(預金金利+事務コスト)を出来るだけ押さえなければならない。そこで、新銀行は拠点を本店の他に、融資窓口となる本店出張所を中核とした限られた窓口チャネルを除いて、原則的に駅構内など公共施設に設置したATMと、提携ATM、コールセンター/インターネットが預金顧客との主な取引チャネルとなる

言い換えると、新銀行は法人取引による金利収益にほぼ限定されるという旧来の普通銀行(それも信金や地銀などリレーションシップバンク)のビジネスモデルに著しく類似しているのに対し、リモートチャネルに依存した取引チャネルを持つという点においては、ネット専業銀行に極めて近い。実際の預金顧客が、高々都内に数箇所ある窓口を主体に取引するとは思えないから、そもそも、口座の機能にある程度リモートチャネルとの接点を作っておくべきであることは自明である。実際に新銀行東京の総合口座には、テレフォンバンキングがセットになっている

テレフォンバンキングが総合口座に必ずセットになっているのだから、キャッシュカードとダイレクトバンキングの利用者通知(今日漏れのところに届いたもの)は、全顧客に必ず届くわけだ。わざわざ二つに分けて届ける必要はないし、顧客の側から見れば二度も不在通知が入ってて郵便局に取りに行ったり再配達を依頼する手間がかかるだろうから、できるならキャッシュカードと利用者通知は同時に受け取りたい。そもそも、利用者通知は、利用者番号10桁と確認用暗証番号6桁を通知するだけなのだから、別にキャッシュカードを送付する際に台紙に印字して渡せば済むだろうし、そもそも利用者番号10桁は、店番号3桁+口座番号7桁そのものなのだから、なおさら別々に送付する必要性は低い

新銀行の業務システムは、日立製作所のNEXTBASEを採用しているが、リモートチャネルのシステムは同じ日立製のFINEMAXを採用しているとはいえ、両者には一体性がない。NEXTBASEもFINEMAXも、地域金融機関向けのパッケージで、ネット銀行とは逆に顧客の大半は窓口とATMを取引チャネルとし、総合口座に必ずしもリモートチャネルを必要としない。むしろ、キャッシュカードとインターネットバンキング利用通知がバラバラに来ることが普通だろう。そういう意味で、パッケージが悪いのではなく新銀行がパッケージ選択を誤ったと言っても間違いではないだろう

利便性の問題とは別に、ユーザーIDを店番号(3桁)+口座番号(7桁)=10桁にしている点も問題である。FINEMAXは元々、ユーザーIDを10桁で保持するが、デフォルトでは口座番号を使うのではなく、専用の取引用IDを付与する。一般的に考えれば、店番号や口座番号などは名義人と同様に第三者に通知することを前提にしたものだから、このような番号をIDとして使用すべきではない。確かに、富士通のW-bank(JNB、ソニー銀行、オリックス信託銀行などが採用)や、FlexCube(シティバンク、新生銀行などが採用)でも、口座IDに口座番号を使用しているが、こちらの場合には暗証番号にアルファベットも使用しているので、脆弱ではあるが歯止めはある程度かかっている。しかし、問題は元々別IDを使用することを前提としたFINEMAXでは、一つのIDとパスワードでテレホン/モバイル/インターネットの各チャネルを共通で使えるように暗証番号は数字のみであり、これをわざわざ店番号+口座番号のみにしてしまった新銀行では、ID=公開が前提な店番号+口座番号、Passwd=ユーザーが任意で設定可能な固定数字6桁でログインできてしまう

しかも、さすがにこれは問題かと思ったのか、新銀行はパスワードを一定回数間違えると口座をログインをロックする仕組みになっている。これ自体は必要な機能だろうが、一度ロックされると郵送で新パスワードが通知するまで使えなくなる。つまり、口座番号さえわかっていれば第三者が嫌がらせに特定の者の口座へのアクセスをロック可能でもあるということだ。これを防ぐためには、ログインIDが必要なパスワード認証方式ではなく、ICカードで個人を認証するセーフティパス方式にするしかない(これとて、パスワード方式と併用可能なのだから全く問題がないわけではない)。

どうも、新銀行のシステムは問題が多すぎるような気がするのは気のせいだろうか