Hello, フィンテック！

第３話　スマホで家計簿（その3）

家計簿アプリの仕組み

ところで、銀行口座やクレジットカードを家計簿アプリに連携させると、給与振り込みや預金残高、カードの利用状況など個人的な情報へのアクセスを認めたことになります。そうした情報を集めてきて整理してほしいと利用者が望んでいるわけなので、当然と言えば当然です。

これが怖い、不安だと感じる方もいらっしゃるでしょう。そこで以下では、家計簿アプリがどうやって銀行やクレジットカード会社のなかにある個人情報にアクセスしているのか、その仕組みを説明します。

インターネットバンキング

預金口座との連携は、基本的にインターネットバンキングの利用が前提となります。以前は、預金残高や過去の入手金を確認したい場合、キャッシュカードや預金通帳を持ってATMや金融機関の窓口に出向く必要がありました。

しかし、1990年代後半にパソコンから預金口座情報にアクセスできるインターネットバンキングが始まり、2000年には店舗がないネット専業銀行が誕生しました。その後、地方銀行や信用金庫などにも導入が拡がり、利用者が徐々に増加してきました。

また、スマートフォンの普及により、パソコンでなくアプリを使った利用が増加しています。最近では、コロナウイルス感染の影響により利用が拡大したといわれています。

セキュリティを確保する仕組み

インターネットバンキングの利用には、IDやパスワード（PW）が必要です。家計簿アプリが登場したころは、家計簿アプリサービスを提供する事業者が利用者からID/PWを預かったうえで、自社のシステムを使ってインターネットバンキングにアクセスする方式をとっていました。

しかし、銀行やクレジットカード会社にとっては、顧客でない第三者が顧客のID/PWを利用して、情報を取得するためにアクセスしてくることになります。

アクセスされるほうにとっては、顧客のID/PWをネットの向こう側で実際に使っているのが誰だか不明です。しかも、１つの事業者が沢山の顧客の情報を入手しにアクセスしてくることになります。ID/PWの管理は金融機関の顧客の責任ですが、金融機関側にとっても顧客保護は重要です。このため、本人の確認をID/PWだけでなく、他の認証手段を追加して行う対応が採られています。

新しい連携手法への移行

しかし、そもそもインターネットバンキングにアクセスするID/PWなどを家計簿アプリ事業者に渡してしまうことは好ましくありません。そこで、オープンAPI（アプリケーションプログラミングインターフェイス）という技術を利用したアクセス方法に移行が進みつつあります。そのための法律や事業者を登録する制度も整備されました。

すこし技術的な話になるのですが、新しい連携手法について、下の図を用いながら説明します。どんなふうに家計簿アプリが自分の情報を集めてきているのか、アプリで連携作業をしている際に、自分が何を誰に依頼し、承認を出しているのか、これを理解しながら使うと、セキュリティへの不安やモヤモヤを解消するのに有益です。

新しい連携手法について説明する図です。お客さま、フィンテック企業等（中間的業者）とその企業等が提供するアプリ（例えば家計簿アプリ）、銀行が描かれています。①お客さまから銀行のインターネットバンキングへのログイン（IDパスワード等による認証）を通じて、②銀行からフィンテック企業等にお客さまの情報等へのアクセス権限が付与されます。③お客さまがアプリへログイン（認証方法は様々）したり、④お客さまがアプリを操作（照会・送金）すると、⑤アプリから銀行のシステム接続仕様（API）を通じて、アプリを提供するフィンテック企業等にアクセス権限があるかの照会の後、預金残高や入出金の情報の照会が行われます。また、⑥送金については別途、アプリからAPIを通じて送金の指示が出されます。詳細は以下でご説明します。

オープンAPIという技術

金融機関の顧客は、自分の指示によって家計簿アプリサービス事業者（図ではFinTech企業等）が情報をとりにくるので、APIの決まりごとに沿って情報を提供するよう「金融機関」に依頼しておきます（図①②）。

金融機関は家計簿アプリサービス事業者に対してシステムへの接続仕様（API）を示し、システムにアクセスする契約や技術的な詳細を事前に決めておきます（図⑤の準備）。

あとは、利用者が家計簿アプリを使うと（図③④）、APIを使って残高や入出金の情報が入手されるという仕組みです（⑤の実行）。

なんだか難しそうにみえますが、アプリを使うと簡単に設定、操作できます。また、②や⑤は金融機関とFinTech企業の間で準備されます。預金口座の連携では①の作業を行っているのですが、アプリ操作では大変スムーズに進みます。何の依頼を誰に対して行っているのか、意味を考えながら進めましょう。

参照系APIと更新系API

ところで、上図の④には照会のほかに送金という説明があります。家計簿アプリは預金口座などの情報を照会するだけなので、送金機能はありません。FinTechサービスのなかには、キャッシュレス決済アプリのように送金機能やチャージ機能を持つものがあります（上図の⑥）。

情報を照会するために用いるAPIを参照系APIと呼び、預金口座からの送金のように残高の更新を伴うようなAPIを更新系APIと呼びます。自分の情報を集める作業と、送金やカード利用に繋がる作業は大きく異なります。お金に関わるアプリを使う際には、どちらを行うものなのか意識して使うことが大事です。

IDとPWの設定・管理はとても重要

個人情報を覗かれてしまうのも大問題ですが、預金口座のお金を勝手に送金されてしまうのは更に大問題です。プライバシーやセキュリティがしっかりと守られるように、サービス全体が設計されていますが、IDやPWなどが盗まれてしまうと被害にあうのを防ぐことが難しくなります。

家計簿アプリやキャッシュレス決済アプリ、インターネットバンキングアプリに限らず、IDやPW、認証に用いている情報をしっかりと管理するのは利用する人の責任です。

また、PWを推測されにくいよう、できるだけ長くランダムに設定しておくことも大事です。追加で認証情報を用いる機能があれば、ぜひ有効化しておきましょう。

利用するサービスがそもそもセキュリティ面でしっかりしているかを確認しておくことも大事です。セキュリティ技術の理解は大変ですが、便利なものを安全に使うには知識が必要です。それぞれのサービスがどうやって安全を提供しているかも、便利さとあわせてしっかり理解しましょう。同じサービスを比較したり、評判を調べてみることも効果的です。