von_yosukeyanの日記： 偽造カード対策法

例によってkoufuu日記及びa_flashgun日記6月11日から。この問題に関しては、何度か書いているがもう一度よく見てみたい

言うまでもなく、キャッシュカード盗難/偽造の問題は突き詰めていけば立法問題と技術的対策の二つによってなされなければならない。従って、この問題に関して法的問題と技術的問題を無視できないという点を再認識しなければならない

■[法的問題]外形信頼理論の限界
大陸法のみならず、近代民法はローマ民法における最大の論点であった所有権の帰属問題を、外形信頼理論の延長によって克服していった。わが国の民法478条が、債権の準占有者に対する弁済を有効と見なす規定を置いているのも、こういった外形信頼理論の一つである

預金債権の準占有者に対する銀行の弁済を有効と見なす判例理論は、昭和30年代から40年代にかけて主に無記名定期預金債権の弁済を中心に判例が形成されてきた。無記名定期預金債権というと現在はほとんどない(個人的にはCD以外でその存在を知らない)が、要は無記名割引金融債のように債権証書に対して債権者の氏名を記載していないものを言い、銀行券に限りなく近しいといってもいいだろう。後の判例形成により、これが普通預金や定期預金証書への適用が拡大されていったが、昭和50年代に入りキャッシュカードや総合口座が普及するに従って、外形信頼理論は一つの転機を迎える

預金債権に対する478条の適用に対して、法が規定する銀行(弁済者)の善意を要件としているが、従来の判例や学説は善意に加えて、銀行側の無過失及び注意義務違反がないことを要件としてきた。しかし、キャッシュカード取引は自動機(現金自動支払機又は現金自動預け払い機)でキャッシュカードを所持(占有)し要求された暗証番号が合致すれば、正当な権利者であるとして取引するキャッシュカード取引約款をおいている。つまり、自動機はキャッシュカード占有者の年齢や性別を判断しようがなく、注意義務違反が問われる事例は、定期預金の解約などに限定され、要求性払戻預金(当座、普通、貯蓄、通知、段階)には適用されない考えが主流になってきた

もう一つは、普通預金を中核として定期預金やカードローン契約などをセットにした総合口座が第二次オンラインシステム末期から第三次オンラインシステム導入期にかけて急速に普及していった事実である。つまり、これまでの時代の預金の第三者弁済の紛争は、普通預金や定期預金個別の払戻の問題であった。しかし、総合口座は定期預金を担保としたものや、無担保のカードローンと連動した当座貸越機能がついた総合口座の普及は、勢い総合口座の代表普通預金口座のキャッシュカードを持っていれば、定期預金またはカードローンを担保にした借り入れが可能になったという点だ

法理論的に考えれば、これは478条の適用対象にはならない。なぜならば、カードによる預金引出しは債権の弁済であるのに対して、カードによる借り入れは金銭消費貸借契約の締結または履行に他ならない。しかし、判例は類推解釈によって478条の射程を債権弁済から消費貸借契約にまで射程を延長してきた。一方で、キャッシュカードの占有者に対する弁済が478条の適用下にあるかについては、キャッシュカード利用約款により免責されると判示し、判断を回避してきた

近年の学説上の論点は、この限界なく射程が延長される外形標準理論にいかに歯止めをかけるかという点である。ただでさえ、預金者と金融機関の間では一対一の対等な関係にあるのではなく、情報量や立証資料などで圧倒的に金融機関が有利である。その上、法的にも有利である金融機関が立証責任を預金者に転嫁した上、捜査当局に対する捜査協力に対しても非協力的なばかりか、意図的な捜査妨害や証拠破棄を行っていたある大手銀行の事例すら存在する。そう言った状況下で、過失相殺の問題はともかく、立証責任の一方的な被害者「側」への転嫁を法的に是正しつつ、個人の責任意識の向上を目指すというのが、近年の先進国における消費者保護法制の流れである

■[技術的問題]ICカード化コストはそれほど高いのか？
磁気カードとICカードのコスト差は概ね10倍程度といわれており、巨大な顧客基盤を持った大手銀行においては単純にカードを置き換えるだけで、カードのコストは数十億円、発行業務に関するコストや対応ATM、システム面での改修を加えれば100億円から500億円くらいのコストが必要なように思える。しかし、こう言ったコストは100兆円を越える資産を持った大手銀行から見れば対策費用は0.1%から0.5%程度であってしかも固定費として支出するのではなく、一時的に必要な償却可能なコストが大半を占め、固定的なコストとしてはさらに低い額になる

しかも、キャッシュカードの偽造/盗難盗難被害が問題化した04年以前に、すでに金融機関には偽造/盗難被害に対するICカード化による対策はある程度現実的な問題として実施されていた。例えば、UFJ銀行は02年にはICカード対応キャッシュカードの発行を開始していたし、みずほ銀行も同時期からICカード対応ATMの配備を開始しており、現在ではほとんどの店舗に数台以上の対応ATMが存在している。理由は、90年代末からクレジットカードの偽造問題が欧米を中心に問題化し、00年以降では主にマレーシアを中心とした偽造団が日本に上陸した関係から、偽造問題はすでに実際の問題になっていたからだ。にも関わらず、銀行を中心とした金融機関は一部の銀行(先の警察の捜査妨害を行っていた大手銀行もその一つであるが)のシステム上の対応の問題や、対策コストの問題を理由にICカードを積極的に普及させようとしてこなかった

03年末から04年にかけて、大手銀行がICカード発行を本格化させた最大の理由は、ICカード化より預金取引以外の電子マネー機能や、クレジットカード機能を付加させることにより、高コストなICカードであっても、これを中核として様々な金融サービスの拡大を目指すようになったからだ。つまり、最近ではコストの問題はそれほど大きな問題にはなりえないといってもよいのではないかと思う。また、生体認証やカードによって提供する電子マネーやポイントカード、クレジットカード機能に関して標準規格の争いがある点も、ICカード普及の妨げになっているが、完全に金融機関相互の問題であって預金者に責任を転嫁されるような性質の問題ではない

■[法的問題][技術的問題]ICカード化によって偽造/盗難被害を解決できるのか？
ICカード化がセキュリティ向上のための最大の福音であるという論調が、最近極めて強くなっている。大手銀行の中でも、対策が絶望的に遅れてきた東京三菱などが特に積極的にICカードによるセキュリティ向上を宣伝して、口座維持手数料が必要なスーパー普通預金やクレジットカード付きのICカードをパッケージ商品として無差別に拡販している。また、珍銀行東京なども、NTTコミュニケーションズによる最高度のセキュリティに守れたIC認証機能付きキャッシュカードを中核として、預金者の拡大を図っている。つまり、一種のセキュリティビジネスといってもよいだろう

ところが、偽造をされにくい/生体認証を使用している、という点が偽造や盗難被害の有効な対策になりえるのだろうか。ICカードの偽造が困難であるとしても、理論的には不可能ではないし、暗証番号とICカードの組み合わせでは盗難被害に対する対策にはならない。ICカード化したところで、盗難/偽造が発生すれば、はやり銀行と預金者との間で立証責任の分担や、過失割合の問題が出てくることには違いない。金融サービスにおける消費者保護法制として法制化は必要であろう

また、別の論点として暗証番号の桁数の可変化やインターネットバンキングなど増えつづけるチャネルに対しても本人確認手段を強化する必要があると思う。4桁の固定暗証番号では、注意していようが注意していまいが脆弱すぎる。可変長にするだけで、日付だけでたった366通りしかない組み合わせから有効桁数が拡大できるし、可変であることによって類推も難しくなる。また、認証システムとしてはテレフォンバンキングシステムの拡張として発達してきたインターネットバンキングなども、個々で見ると認証手段に対していくつか問題がある。未だに、再発行費用が必要(東京三菱など)な契約者カードに書かれた第二暗証など暗証番号ではない。