JP6578659B2 - 取引システム及び取引方法 - Google Patents

Description

本発明は、不正取引を防止する技術に関する。

従来から、電子上の取引において、不正取引を防止するための技術が存在する。例えば、特許文献１には、パソコンなどの第１のユーザ端末に仮受付ＩＤを表示させた後、携帯電話などの第２のユーザ端末により仮受付ＩＤを送信させることにより、ログイン時の本人認証を強化する技術が開示されている。また、非特許文献１及び２は、オンライン・バンキングを行う際のセキュリティ上の脅威について開示している。例えば、非特許文献１には、インターネットを介したオンライン・バンキングにおいて、パソコンやスマートフォンなどの利用者端末内に密かに入り込んでいたマルウェア（ウイルス）が通信の状態をモニターし、ユーザがオンライン・バンキングを始めたことを察知すると、ブラウザの通信内容を盗取・改ざんする「Ｍａｎ−ｉｎ−ｔｈｅ−Ｂｒｏｗｓｅｒ攻撃」が開示されている。

特開２００５−２０２８０６号公報

日本銀行金融研究所ホームページ、Ｄｉｓｃｕｓｓｉｏｎ Ｐａｐｅｒ Ｎｏ．２０１３−Ｊ−４、オンライン・バンキングに対するＭａｎ−ｉｎ−ｔｈｅ−Ｂｒｏｗｓｅｒ攻撃への対策 「取引認証」の安全性評価、鈴木雅貴・中山靖司・古原和邦、［平成２５年８月２６日検索］、インターネット＜ＵＲＬ：http://www.imes.boj.or.jp/research/abstracts/japanese/13-J-04.html＞ 株式会社ＦＦＲＩホームページ、セキュリティ・レポート Ｍｏｎｔｈｌｙ Ｒｅｓｅａｒｃｈ ２０１２年７月、ブラウザへの新しい攻撃と新しい対策、大居司、［平成２５年８月２６日検索］、インターネット＜ＵＲＬ：http://www.fourteenforty.jp/research/monthly_research.htm＞

オンライン・バンキングに使用する利用者端末がウイルスに感染し、Ｍａｎ−ｉｎ−ｔｈｅ−Ｂｒｏｗｓｅｒ攻撃を受けた場合、Ｗｅｂブラウザが乗っ取られているため、オンライン・バンキングへのログイン時の本人認証を強化する対策では不正取引を防止することができないという課題がある。本発明は、不正取引を確実に検知することが可能な取引システムを提供することを主な課題とする。

本発明の１つの観点は、取引に関する処理を実行するサーバと、前記取引に関する処理の実行を前記サーバに指示する第１の端末及び第２の端末とを備える取引システムであって、前記第１の端末は、前記取引の内容を入力するための取引画面を表示する表示制御手段と、前記取引画面への入力情報を前記サーバに送信する第１送信手段と、前記取引画面を示す画像データを前記第２の端末に送信する第２送信手段と、を備え、前記サーバは、前記第１の端末から受信した前記入力情報から取引情報を抽出し、前記第２の端末に送信する第３送信手段を備え、前記第２の端末は、前記第１の端末から受信した画像データから抽出した取引情報と、前記サーバから受信した取引情報とを比較し、比較結果を表示する不正取引検知手段を備える。

上記の取引システムは、取引に関する処理を実行するサーバと、取引に関する処理の実行をサーバに指示する第１及び第２の端末とを備える。第１の端末では、取引の内容を入力するための取引画面が表示され、第１送信手段により取引画面への入力情報がサーバに送信され、第２送信手段により取引画面を示す画像データが第２の端末に送信される。さらに、サーバは、第１の端末から受信した入力情報から取引情報を抽出し、第２の端末へ送信する。そして、第２の端末は、第１の端末から受信した画像データから抽出した取引情報と、サーバから受信した取引情報とを比較し、比較結果を表示する。

上記の取引システムによれば、第１の端末からサーバへ送信される取引画面への入力情報が改ざんされた場合であっても、第２の端末は第１端末から直接送信される画像データから抽出した取引情報を利用することにより、改ざんの有無を検出することができる。

上記の取引システムの一態様では、前記第２送信手段は、入力が行われた前記取引画面をキャプチャした画像データを前記第２の端末に送信し、前記不正取引検知手段は、前記第１の端末から受信した画像データに対して文字認識処理を行って前記取引情報を抽出する。この態様では、第１の端末がウイルスに感染した場合であっても、画像データにより、正しい取引情報を第２の端末へ送信することができる。

上記の取引システムの他の一態様では、前記第２送信手段は、前記取引画面への入力情報が埋め込まれた画像データを前記第２の端末へ送信し、前記不正取引検知手段は、前記第１の端末から受信した画像データに埋め込まれた入力情報から前記取引情報を抽出する。この態様では、端末がウイルスに感染した場合であっても、画像データに埋め込まれた入力情報により、正しい取引情報を第２の端末へ送信することができる。

上記の取引システムの他の一態様では、前記第２送信手段は、近距離無線通信により前記画像データを前記第２の端末へ送信する。これにより、１人の利用者が同じ場所で第１の端末と第２の端末を操作していることを確保して取引の安全を図る。

上記の取引システムの他の一態様では、前記不正取引検知手段は、前記第１の端末から受信した画像データから抽出した取引情報と前記サーバから受信した取引情報とが一致する場合に取引の実行を勧める表示を行い、前記第１の端末から受信した画像データから抽出した取引情報と前記サーバから受信した取引情報とが一致しない場合に取引の中止を勧める表示を行う。これにより、利用者は不正な取引を中止することが可能となる。

上記の取引システムの他の一態様では、前記第１の端末は、当該第１の端末の位置を示す情報を前記第２の端末に送信する位置情報送信手段をさらに備え、前記不正取引検知手段は、前記第１の端末の位置が前記第２の端末の位置から所定範囲内にある場合に限り、前記取引の実行を勧める表示を行う。これにより、１人の利用者が同じ場所で第１の端末と第２の端末を操作していることを確保して取引の安全を図る。

本発明の他の観点では、取引に関する処理を実行するサーバと、前記取引に関する処理の実行を前記サーバに指示する第１の端末及び第２の端末とを備える取引システムにより実行される取引方法は、前記第１の端末により、前記取引の内容を入力するための取引画面を表示する表示工程と、前記第１の端末により、前記取引画面への入力情報を前記サーバに送信する第１送信工程と、前記第１の端末により、前記取引画面を示す画像データを前記第２の端末に送信する第２送信工程と、前記サーバにより、前記第１送信工程で前記第１の端末から受信した前記入力情報から取引情報を抽出し、前記第２の端末に送信する第３送信工程と、前記第２の端末により、前記第１の端末から受信した画像データから抽出した取引情報と、前記サーバから受信した取引情報とを比較し、比較結果を表示する不正取引検知工程と、を有する。この方法によれば、第１の端末からサーバへ送信される取引画面への入力情報が改ざんされた場合であっても、第２の端末は第１端末から直接送信される画像データから抽出した取引情報を利用することにより、改ざんの有無を検出することができる。

本発明の他の観点は、取引に関する処理を実行するサーバと、前記取引に関する処理の実行を前記サーバに指示する第１の端末及び第２の端末とを備える取引システムであって、前記第１の端末は、前記取引の内容を入力するための取引画面を表示する表示制御手段と、前記取引画面への入力情報を前記サーバに送信する第１送信手段と、前記取引画面を示す画像データを前記第２の端末に送信する第２送信手段と、を備え、前記サーバは、前記第１の端末から受信した前記入力情報から取引情報を抽出し、前記第２の端末に送信する第３送信手段を備え、前記第２の端末は、前記第１の端末から受信した画像データから抽出した取引情報と、前記サーバから受信した取引情報とを比較し、前記第１の端末から受信した前記画像データから抽出した取引情報と前記サーバから受信した取引情報とが一致しない場合に、取引を中止する旨の指示を前記サーバに送信する。

上記の取引システムは、取引に関する処理を実行するサーバと、取引に関する処理の実行をサーバに指示する第１及び第２の端末とを備える。第１の端末では、取引の内容を入力するための取引画面が表示され、第１送信手段により取引画面への入力情報がサーバに送信され、第２送信手段により取引画面を示す画像データが第２の端末に送信される。さらに、サーバは、第１の端末から受信した入力情報から取引情報を抽出し、第２の端末へ送信する。そして、第２の端末は、第１の端末から受信した入力画像データから抽出した取引情報と、サーバから受信した取引情報とを比較し、両者が一致しない場合に、取引を中止する旨の指示をサーバに送信する。

上記の取引システムによれば、第１の端末からサーバへ送信される取引画面への入力情報が改ざんされた場合には取引が中止されるので、よりセキュリティを高めることができる。

本発明の他の観点は、取引に関する処理を実行するサーバと、前記取引に関する処理の実行を前記サーバに指示する第１の端末及び第２の端末とを備える取引システムにより実行される取引方法であって、前記第１の端末により、前記取引の内容を入力するための取引画面を表示する表示工程と、前記第１の端末により、前記取引画面への入力情報を前記サーバに送信する第１送信工程と、前記第１の端末により、前記取引画面を示す画像データを前記第２の端末に送信する第２送信工程と、前記サーバにより、前記第１送信工程で前記第１の端末から受信した前記入力情報から取引情報を抽出し、前記第２の端末に送信する第３送信工程と、前記第２の端末により、前記第１の端末から受信した画像データから抽出した取引情報と、前記サーバから受信した取引情報とを比較し、前記第１の端末から受信した前記画像データから抽出した取引情報と前記サーバから受信した取引情報とが一致しない場合に、取引を中止する旨の指示を前記サーバに送信する取引中止工程と、を有する。

上記の取引方法によれば、第１の端末からサーバへ送信される取引画面への入力情報が改ざんされた場合には取引が中止されるので、よりセキュリティを高めることができる。

本発明に係る取引システムによれば、取引画面等を表示する端末がウィルスなどに感染した場合であっても、取引画面の入力情報に基づき取引内容の改ざんの有無を的確に判定し、不正取引を確実に防止することができる。

実施形態に係る取引システムの構成を示す。 サービス提供者サーバのブロック図を示す。 利用者端末のブロック図を示す。 第１実施形態における処理手順を示すフローチャートである。 ログイン画面の表示例を示す。 取引画面の表示例を示す。 キャプチャ指示画面の表示例を示す。 取引内容確認画面の表示例を示す。 振込完了画面の表示例である。 第２実施形態における処理手順を示すフローチャートである。 第４実施形態の変形例による追加画像の例を示す。 変形例に係る取引システムの構成を示す。

以下、図面を参照しながら、本発明を実施するのに好適な実施形態について説明する。以下に述べる取引システムは、インターネットを利用したオンライン・バンキングなどの電子取引を行う際に、取引内容の改ざんを好適に防ぐことが可能なシステムである。

［第１実施形態］
（取引システムの構成）
図１は、本実施形態に係る取引システムの構成を示す。取引システムは、銀行等のサービス提供者が管理するサービス提供者サーバ１と、上述のサービスの提供を受ける利用者が使用する利用者端末３Ａ、３Ｂとを有する。利用者端末３Ａは例えばＰＣなどであり、利用者が取引の指示を入力するために使用される。一方、利用者端末３Ｂは例えばスマートフォンなどであり、利用者が利用者端末３Ａにより入力した取引内容に対して改ざんが行われていないかをチェックするために使用される。サービス提供者サーバ１と利用者端末３Ａ、３Ｂとは、インターネットなどの通信網２を介してデータ通信を行う。また、図１の例では、サービス提供者サーバ１と利用者端末３Ａとの間の通信内容を改ざんして不正取引を実行しようとする攻撃者サーバ４が通信網２に接続されている。

攻撃者サーバ４は、利用者端末３Ａが攻撃者サーバ４により制御可能なマルウェア（ウイルス）に感染した場合に、当該マルウェアを介して、利用者端末３ＡがＷｅｂブラウザで表示する内容や入力された内容を盗取したり、改ざんしたりする。例えば、攻撃者サーバ４は、利用者端末３ＡがＷｅｂブラウザにより表示する取引内容を指定する画面（「取引画面」とも呼ぶ。）での入力内容を改ざんしてサービス提供者サーバ１に送信し、サービス提供者サーバ１からの応答内容も改ざんが無かったように書き換える。これにより、攻撃者サーバ４は、利用者端末３Ａの利用者が気づかないように取引内容を改ざんしようとする。このように、攻撃者サーバ４は、所謂Ｍａｎ−ｉｎ−ｔｈｅ−Ｂｒｏｗｓｅｒ攻撃を実行する。本実施形態に係る取引システムは、後述するように、このような攻撃者サーバ４の取引内容の改ざんによる不正取引を防止する。

図２は、サービス提供者サーバ１のブロック図である。サービス提供者サーバ１は、ディスプレイなどの表示部１１と、キーボードなどの入力部１２と、記憶部１３と、データ通信を行う通信部１４と、制御部１５とを備える。これらの各要素は、バスライン１０を介して相互に接続されている。

記憶部１３は、ハードディスク又はＲＯＭやＲＡＭといったメモリによって構成される。記憶部１３は、ログインＩＤやパスワードなどのユーザ認証に必要な情報その他のユーザ情報をデータベース化して記憶する。また、記憶部１３は、サービス提供者サーバ１がＷｅｂサーバとして機能するために必要なプログラムや、利用者端末３Ａが表示する取引画面などの各画面の表示情報を生成するのに必要な情報を記憶する。

制御部１５は、図示しないＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）及びＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などを備え、サービス提供者サーバ１内の各構成要素に対して種々の制御を行う。

図３（Ａ）は、利用者端末３Ａのブロック図である。利用者端末３Ａは、ディスプレイなどの表示部３１と、キーボードなどの入力部３２と、記憶部３３と、データ通信を行う通信部３４と、制御部３５とを備える。これらの各要素は、バスライン３０を介して相互に接続されている。

記憶部３３は、ハードディスク又はＲＯＭやＲＡＭといったメモリによって構成される。記憶部３３は、制御部３５が実行する各プログラムを記憶する。例えば、記憶部３３は、サービス提供者サーバ１から受信したＨＴＭＬファイル等に基づき所定のＷｅｂページを表示するＷｅｂブラウザ（ビューア）を起動するためのプログラムを記憶する。

さらに、記憶部３３は、サービス提供者サーバ１と協働して動作し、取引内容の改ざんの有無を判定するためのプログラム（「エージェントプログラム」とも呼ぶ。）を記憶する。エージェントプログラムは、例えば、利用者端末３Ａの起動時、又は、Ｗｅｂブラウザが起動したタイミング若しくは利用者端末３Ａが取引画面をＷｅｂブラウザにより表示したタイミングで起動される。

また、記憶部３３は、エージェントプログラムに基づき利用者端末３Ａが利用者端末３Ｂに送信するデータを暗号化するための公開鍵（暗号鍵）を予め記憶している。

通信部３４は、通信網２を通じてサービス提供者サーバ１と通信を行う。また、通信部３４は、Ｂｌｕｅｔｏｏｔｈ（登録商標）などの近距離無線通信により、利用者端末３Ｂと通信を行う。

制御部３５は、図示しないＣＰＵ、ＲＯＭ及びＲＡＭなどを備え、利用者端末３Ａ内の各構成要素に対して種々の制御を行う。制御部３５は、記憶部３３に記憶された各プログラムを実行することで、所定の処理を行う。例えば、制御部３５は、エージェントプログラムを実行することで、取引内容が入力された状態の取引画面を示す画像データ（「キャプチャ画像データＩｍ」とも呼ぶ。）を生成し、記憶部３３が記憶する公開鍵により暗号化して利用者端末３Ｂに送信する。制御部３５は、本発明における表示制御手段、第１送信手段及び第２送信手段として機能する。

図３（Ｂ）は、利用者端末３Ｂのブロック図である。利用者端末３Ｂは、ディスプレイなどの表示部４１と、ディスプレイ上に設けられたタッチパネルなどの入力部４２と、記憶部４３と、データ通信を行う通信部４４と、制御部４５とを備える。これらの各要素は、バスライン４０を介して相互に接続されている。

記憶部４３は、ハードディスク又はＲＯＭやＲＡＭといったメモリによって構成される。記憶部４３は、制御部４５が実行する各プログラムを記憶する。また、記憶部４３は、利用者端末３Ａから送信される暗号化データを復号するための秘密鍵（復号鍵）を記憶している。

制御部４５は、秘密鍵を使用して、利用者端末３Ａから送信された暗号化キャプチャ画像データＩｍを復号する。また、制御部４５は、記憶部４３に記憶された文字認識プログラムを実行し、キャプチャ画像データＩｍから取引情報を抽出する。さらに、制御部４５は、利用者端末３Ａからサービス提供者サーバ１へ送信された取引画面の入力情報に含まれる取引情報をサービス提供者サーバ１から受信し、キャプチャ画像データＩＭから抽出された取引情報と比較して比較結果を表示部４１に表示する。制御部４５は、本発明における不正取引検知手段として機能する。

通信部４４は、通信網２を通じてサービス提供者サーバ１と通信を行う。また、通信部４４は、Ｂｌｕｅｔｏｏｔｈ（登録商標）などの近距離無線通信により、利用者端末Ａと通信を行う。

（処理フロー）
次に、本実施形態における取引システムの処理について説明する。概略的には、利用者端末３Ｂは、エージェントプログラムに基づき利用者端末３Ａから送信されたキャプチャ画像データＩｍを参照することで、Ｗｅｂブラウザの機能に基づき送信された取引内容を示す入力情報が改ざんされていないか確認を行う。これにより、利用者端末３ＡのＷｅｂブラウザがウイルスに乗っ取られた場合であっても、不正取引を確実に防止する。

図４は、本実施形態における取引システムが実行する処理手順を示すフローチャートである。なお、図４では、利用者端末３Ａについて、Ｗｅｂブラウザの機能に基づく処理と、エージェントプログラムに基づく処理とを分けて記載している。

まず、利用者端末３Ａは、サービス提供者サーバ１から受信した表示情報に基づき、ログイン画面をＷｅｂブラウザにより表示し、ログインＩＤやパスワード等のログイン情報の入力を受け付ける（ステップＳ１０１）。ログイン画面の表示例については、図５を参照して後述する。そして、利用者端末３は、ログイン画面にて入力されたログイン情報をサービス提供者サーバ１へ送信する。

次に、サービス提供者サーバ１は、利用者端末３から受信したログイン情報に基づき、利用者の識別及び認証を行う（ステップＳ１０２）。例えば、サービス提供者サーバ１は、ログイン情報に含まれるログインＩＤによりログイン情報の送信元の利用者を識別すると共に、ログインＩＤと共に受信したパスワードにより利用者の認証を行う。そして、サービス提供者サーバ１は、利用者の認証が成功しなかった場合（ステップＳ１０３；Ｎｏ）、処理を終了する。

サービス提供者サーバ１は、利用者の認証が成功した場合（ステップＳ１０３；Ｙｅｓ）、取引画面の表示情報を利用者端末３Ａに送信する（ステップＳ１０４）。なお、取引画面の表示例については、図６を参照して後述する。そして、利用者端末３Ａは、サービス提供者サーバ１から表示情報を受信し、取引画面をＷｅｂブラウザにより表示すると共に、取引内容を指定する入力を受け付ける（ステップＳ１０５）。

次に、利用者端末３Ａは、エージェントプログラムに基づき、取引内容を指定する入力がされた取引画面を示すキャプチャ画像データＩｍの生成指示を受け付け、キャプチャ画像データＩｍを生成する（ステップＳ１０６）。例えば、利用者端末３Ａは、エージェントプログラムに基づき、キャプチャ画像データＩｍの生成を指示するためのボタンを有するウィンドウを表示し、当該ボタンが押下されたことを検知した場合に、キャプチャ画像データＩｍを生成し、記憶部３３に保存する。このウィンドウの表示例については、図７を参照して後述する。他の例では、利用者端末３Ａは、画面キャプチャを指示するための所定のキーボードでのキー入力を検知した場合に、表示中の取引画面を示すキャプチャ画像データＩｍを記憶部３３に保存する。

次に、利用者端末３Ａは、エージェントプログラムに基づき、キャプチャ画像データＩｍを記憶部３３に記憶された公開鍵により暗号化し、暗号化されたキャプチャ画像データＩｍを近距離無線通信により利用者端末３Ｂに送信する（ステップＳ１０７）。

利用者端末３Ｂは、暗号化されたキャプチャ画像データＩｍを受信し、記憶部１３に予め記憶された秘密鍵により復号する（ステップＳ１０８）。これにより、利用者端末３Ｂは、キャプチャ画像データＩｍを取得する。次に、利用者端末３Ｂは、文字認識により、キャプチャ画像データＩｍに表示された取引内容を示す情報（「取引情報Ｉａ」とも呼ぶ。）を抽出する（ステップＳ１０９）。例えば、利用者端末３Ｂは、取引情報Ｉａとして、取引画面で入力された銀行名及び支店名、口座番号、振込金額などの各項目を表す文字列を文字認識により抽出する。

次に、利用者端末３Ａは、Ｗｅｂブラウザの機能に基づき、取引画面において入力された取引内容を示す入力情報の送信指示を検知し、当該入力情報の送信を行う（ステップＳ１１０）。例えば、利用者端末３Ａは、取引画面上に設けられた所定の送信ボタンがマウス操作などにより選択され押下された場合、取引画面の入力情報を送信する。この場合、利用者端末３Ａは、ＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）のＰＯＳＴメソッドにより、上述の入力情報を送信する。なお、ステップＳ１１０の通信は、例えばＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｅｋｔ Ｌａｙｅｒ）による暗号通信により暗号化される。

次に、サービス提供者サーバ１は、利用者端末３Ａから取引画面の入力情報を受信し、入力情報から取引内容を示す情報（「取引情報Ｉｂ」とも呼ぶ。）を抽出する（ステップＳ１１１）。ここで、サービス提供者サーバ１は、取引情報Ｉｂとして、取引情報Ｉａと同様に、銀行名及び支店名、口座番号、振込金額などの各項目を表す文字列を抽出する。

次に、利用者端末３Ｂは、利用者の操作に基づいて、サービス提供者サーバ１に取引内容の問い合わせを行う（ステップＳ１１２）。これに対し、サービス提供者サーバ１は、ステップＳ１１１で抽出した取引情報Ｉｂを利用者端末３Ｂへ送信し、利用者端末３Ｂは取引情報Ｉｂを取得する（ステップＳ１１３）。そして、利用者端末３Ｂは、利用者端末３Ａから取得した取引情報Ｉａと、サービス提供者サーバ１から取得した取引情報Ｉｂとが同じ内容を示すか否か、即ち両者が一致するか否かを判定する（ステップＳ１１４）。これにより、サービス提供者サーバ１は、ＨＴＴＰのＰＯＳＴメソッドにより送信された取引画面の入力情報の改ざんの有無を判定する。

取引情報Ｉａと取引情報Ｉｂとが異なる内容を示す場合（ステップＳ１１４；Ｎｏ）、利用者端末３Ｂは、サービス提供者サーバ１がステップＳ１１１で受信した取引画面の入力情報が改ざんされている可能性があると判断し、取引中止を促す確認画面を表示する（ステップＳ１１５）。利用者が利用者端末３Ｂを操作してサービス提供者サーバ１に取引中止を指示すると、サービス提供者サーバ１は取引を中止する（ステップＳ１１６）。こうして、利用者は不正取引を防止することができる。

一方、取引情報Ｉａと取引情報Ｉｂとが同じ内容を示す場合（ステップＳ１１４；Ｙｅｓ）、利用者端末３Ｂは、サービス提供者サーバ１がステップＳ１１１で受信した取引画面の入力情報は改ざんされていないと判断し、取引実行を促す確認画面を表示する（ステップＳ１１７）。利用者が利用者端末３Ｂを操作してサービス提供者サーバ１に取引実行を指示すると、サービス提供者サーバ１は、ステップＳ１１１で受信した取引情報Ｉｂが示す取引を実行する（ステップＳ１１８）。

（改ざんがあった場合）
次に、利用者端末３Ａからサービス提供者サーバ１へ送信される取引画面の入力情報が改ざんされる場合、即ちＭａｎ−ｉｎ−ｔｈｅ−Ｂｒｏｗｓｅｒ攻撃があった場合について説明する。具体的には、利用者端末３Ａが攻撃者サーバ４により制御されるウイルスに感染し、Ｗｅｂブラウザによる表示内容やＷｅｂブラウザで表示中の取引画面への入力が盗取、改ざん可能な状態にあるものとする。

まず、ステップＳ１０６において、利用者端末３Ａは、キャプチャ画像データＩｍを生成し、ステップＳ１０７において、キャプチャ画像データＩｍを公開鍵により暗号化して利用者端末３Ｂへ送信する。この場合、利用者端末３Ａは、Ｗｅｂブラウザのプログラムとは別のエージェントプログラムによりステップＳ１０６及びステップＳ１０７を実行するため、ウイルス感染による影響を受けることなくキャプチャ画像データＩｍを生成し、送信する。これにより、利用者端末３Ｂは、ステップＳ１１０で改ざんされていない取引情報Ｉａを取得する。

その後、ステップＳ１１０において、利用者端末３Ａは、Ｗｅｂブラウザの機能に基づき、取引画面の入力情報をサービス提供者サーバ１へ送信する。このとき、攻撃者サーバ４は、利用者端末３Ａが感染したウイルスを制御することで、取引画面の入力情報の改ざんを行い、改ざん後の入力情報をサービス提供者サーバ１へ送信する。なお、利用者端末３ＡがＳＳＬ等による暗号通信を行う場合であっても、攻撃者サーバ４は、暗号化前の入力情報を改ざんした後、改ざんした入力情報を暗号化してサービス提供者サーバ１に送信する。従って、Ｗｅｂブラウザの機能により送信する取引画面の入力情報は、暗号化通信を行うか否かに関わらず改ざんされる。

そして、サービス提供者サーバ１は、ステップＳ１１１で、受信した入力情報から取引情報Ｉｂを抽出する。この場合、攻撃者サーバ４により入力情報が改ざんされているため、取引情報Ｉｂは、攻撃者サーバ４により書き換えられた不正な取引内容を示すことになる。

次に、ステップＳ１１４で、利用者端末３Ｂは、取引情報Ｉａと取引情報Ｉｂとを比較し、取引情報Ｉａと取引情報Ｉｂとが同じ内容ではないと判断する。従って、利用者端末３Ｂは、取引の中止を促す確認画面を表示する。

以上のように、利用者端末３Ａがウイルスに感染し、サービス提供者サーバ１へ送信された通信データが改ざんされた場合であっても、利用者端末３Ｂは、利用者端末３Ａが送信したキャプチャ画像データＩｍに基づき改ざんを検知し、不正取引の実行を確実に防ぐことができる。

（表示画面例）
次に、図４のフローチャートの処理に関連する利用者端末３Ａ、３Ｂの表示画面例について、図５〜図９を参照して説明する。図５〜図９は、オンライン・バンキングにより振込を行う例を示す。

図５は、ステップＳ１０１で利用者端末３ＡがＷｅｂブラウザにより表示したログイン画面の表示例を示す。図５に示すように、利用者端末３Ａは、ログイン画面上に、ログインＩＤを入力するためのログインＩＤ入力欄５０と、パスワードを入力するためのパスワード入力欄５１と、ログインボタン５２とを表示している。利用者端末３Ａは、ログインボタン５２がマウスのクリック操作等により選択されたことを検知した場合、ログインＩＤ入力欄５０に入力されたログインＩＤとパスワード入力欄５１に入力されたパスワードとを含むログイン情報をサービス提供者サーバ１へ送信する。

図６は、ステップＳ１０５で利用者端末３ＡがＷｅｂブラウザにより表示した取引画面の表示例を示す。また、図７は、エージェントプログラムにより利用者端末３Ａが表示する画面（「キャプチャ指示画面」とも呼ぶ。）の表示例を示す。

利用者端末３Ａは、図６に示す取引画面上に、振込先の銀行名、支店名、口座番号をそれぞれ指定するための振込先指定欄５４〜５６と、振込金額を指定するための振込金額指定欄５７と、振込実行ボタン５８とを表示している。また、利用者端末３Ａは、図６に示す取引画面と共に、エージェントプログラムに基づき、キャプチャ画像データＩｍの生成及び送信を利用者が指示するための図７に示すキャプチャ指示画面を表示する。

従って、利用者端末３の利用者は、まず、各指定欄５４〜５７に振込先や振込金額に関する情報を取引画面上で入力した後、図７に示すキャプチャ指示画面上のキャプチャ実行ボタン６０を選択する。そして、利用者端末３Ａは、キャプチャ実行ボタン６０の選択を検知し、図６の取引画面を示すキャプチャ画像データＩｍを生成し、公開鍵により暗号化して利用者端末３Ｂに送信する。

次に、利用者端末３Ａの利用者は、図６に示す取引画面の振込実行ボタン５８をクリック操作等により選択する。これにより、利用者端末３Ａは、ステップＳ１１０において、振込先指定欄５４〜５６及び振込金額指定欄５７に入力された情報をＨＴＴＰのＰＯＳＴメソッドによりサービス提供者サーバ１へ送信する。

図８（Ａ）は、ステップＳ１１７で利用者端末３Ｂが表示する取引実行を促す確認画面の表示例を示す。図８（Ａ）に示すように、利用者端末３Ｂは、取引実行を促す確認画面上に、取引内容である振込先及び振込金額を表示すると共に、取引実行を最終確認するための確認ボタン６１と、取引実行を中止するための中止ボタン６２とを表示する。利用者端末３Ｂは、確認ボタン６１が選択されたことを検知した場合、取引実行を指示する情報をサービス提供者サーバ１に送信し、サービス提供者サーバ１が取引の実行を行う。その後、利用者端末３Ｂは、サービス提供者サーバ１から取引完了に関する表示情報を受信し、取引が完了した旨の画面をＷｅｂブラウザにより表示する。図９は、振込完了画面の表示例である。図９の例では、利用者端末３は、実行された振込の取引に対してサービス提供者サーバ１が割り振った受付番号を表示している。

図８（Ｂ）は、ステップＳ１１５で利用者端末３Ｂが表示する取引中止を促す確認画面の表示例を示す。図８（Ｂ）に示すように、利用者端末３Ｂは、図８（Ａ）と同様に、取引実行を最終確認するための確認ボタン６１と、取引実行を中止するための中止ボタン６２とを表示する。これに加えて、利用者端末３Ｂは、改ざんされている可能性がある取引内容、即ち、サービス提供者サーバ１から取得した取引情報Ｉｂを表示するとともに、取引を中止すべき旨のメッセージ６３を表示する。利用者端末３Ｂは、確認ボタン６２が選択されたことを検知した場合、取引中止を指示する情報をサービス提供者サーバ１へ送信し、取引を中止させる。

ここで、Ｍａｎ−ｉｎ−ｔｈｅ−Ｂｒｏｗｓｅｒ攻撃があった場合について補足説明する。攻撃者サーバ４は、利用者端末３Ａが感染したウイルスを制御することで、図６に示す取引画面の振込先や振込金額を不正に書き換えた情報をサービス提供者サーバ１に送信する。さらに、攻撃者サーバ４は、取引が正常に行われたと偽装するため、改ざん前の振込先や振込金額を示す取引内容確認画面等を生成し、利用者端末３ＡのＷｅｂブラウザに表示させる。この場合であっても、利用者端末３Ｂは、キャプチャ画像データＩｍを参照することで、改ざんの有無を的確に判定し、不正取引の実行を防止することができる。このように、サービス提供者サーバ１は、オンライン取引がＭａｎ−ｉｎ−ｔｈｅ−Ｂｒｏｗｓｅｒ攻撃を受けていることを検知することにより、不正取引を防止することができる。

［第２実施形態］
上述の第１実施形態では、図４の処理において、ステップＳ１１４で取引情報Ｉａと取引情報Ｉｂとが異なる内容を示す場合（ステップＳ１１４；Ｎｏ）、利用者端末３Ｂは取引中止を促す確認画面を表示し（ステップＳ１１５）、その後、利用者が利用者端末３Ｂを操作してサービス提供者サーバ１に取引中止を指示してから、サービス提供者サーバ１が取引を中止している（ステップＳ１１６）。その代わりに、第２実施形態では、取引情報Ｉａと取引情報Ｉｂとが一致しない場合、利用者端末３Ｂは直ちにサービス提供者サーバ１に対して取引中止指示を行う。

図１０は、第２実施形態における処理手順を示すフローチャートである。具体的に、図１０に示すように、ステップＳ１１４で取引情報Ｉａと取引情報Ｉｂとが異なる内容を示す場合（ステップＳ１１４；Ｎｏ）、利用者端末３Ｂは、直ちにサービス提供者サーバ１に取引中止を指示する。この場合、利用者端末３Ｂは取引が中止されたことを示す画面を表示することが好ましい。なお、利用者端３Ｂは、取引情報Ｉａと取引情報Ｉｂの比較結果を示す画面を表示してもよいし、表示しなくてもよい。

第２実施形態によれば、改ざんの可能性がある場合には強制的に取引が中止されるので、よりセキュリティを高めることができる。
［第３実施形態］
上述の第１及び第２実施形態では、利用者端末３ＡはＷｅｂブラウザとエージェントプログラムにより取引に関する処理を実行している。これに対し、第３実施形態では、１つのプログラム（以下、便宜上「統合プログラム」と呼ぶ。）により取引に関する処理を実行する。統合プログラムの一例はオンライン・バンキングなどの電子取引用のプログラムにＷｅｂブラウザ機能を組み込んだプログラムである。統合プログラムは、取引内容入力表示機能と、画面情報取得送信機能とを有する。

第３実施形態では、統合プログラムの取引内容入力表示機能が第１及び第２実施形態におけるＷｅｂブラウザと同一の処理を実行し、画面情報取得送信機能が第１及び第２実施形態におけるエージェントプログラムと同一の処理を実行する。即ち、第３実施形態において、利用者端末３Ａにより実行される処理は図４に示す第１及び第２実施形態の処理と同様である。また、第３実施形態においてサービス提供者サーバ１及び利用者端末３Ｂが実行する処理も第１及び第２実施形態と同様である。これにより、第３実施形態においても第１及び第２実施形態と同様に攻撃者サーバによる入力情報の改ざんを検知し、不正取引を防止することができる。

［第４実施形態］
上記の第１乃至第３実施形態では、利用者端末３Ａが取引画面のキャプチャ画像データＩｍを利用者端末３Ｂへ送信し、利用者端末３Ｂはキャプチャ画像データＩｍから文字認識により取引内容を示す取引情報Ｉａを抽出している。これに代えて、第４実施形態では、利用者端末３Ａは、取引画面に対して入力されたテキスト（文字データ）を取引画面のキャプチャ画像データＩｍに埋め込んで利用者端末３Ｂへ送信する。利用者端末３Ｂは、キャプチャ画像データＩｍに埋め込まれている文字データを抽出し、取引内容を示す取引情報Ｉａとして使用する。これ以外の点は、第４実施形態は基本的に第１乃至第３実施形態と同様である。

このように、第４実施形態では、利用者端末３Ａは取引画面に対して入力されたテキストをキャプチャ画像データＩｍに埋め込んで送信し、利用者端末３Ｂはキャプチャ画像データＩｍからこのテキストを抽出して内容の一致判定を行うので、第１乃至第３実施形態のように、利用者端末３Ｂ側でキャプチャ画像データＩｍに対する文字認識を行う必要が無い。

キャプチャ画像データにテキストを埋め込む手法としては、各種の既知の手法を適用することができる。例えば、ステガノグラフィ―、電子透かしなどの技術を利用することができる。電子透かしは、知覚可能型であっても知覚困難型であってもよい。また、例えば特許第５３５９６５０号公報に記載されるように、画像フォーマットの隙間にテキスト情報を埋め込む手法を適用してもよい。

また、この場合の変形例として、キャプチャ画像に対して、テキストの内容に相当する画像を追加してもよい。例えば、「２５円」というテキストを図１１に示すように矩形と円とを用いた画像により表現し、この画像をキャプチャ画像内に描画してもよい。

［変形例］
次に、本実施形態の変形例について説明する。以下の変形例は、任意に組み合わせて上述の実施形態に適用してもよい。

（変形例１）
上記の実施形態では、利用者端末３Ａと利用者端末３Ｂとの間の通信は、Ｂｌｕｅｔｏｏｔｈなどの近距離無線通信により行われている。これは、利用者端末３Ａと利用者端末３Ｂとが同じ場所にあり、同一の利用者により操作されていることを確保することにより、第三者などによる不正な操作を防止する意義がある。この観点から、近距離無線通信を利用する代わりに又はそれに加えて、利用者端末Ａと利用者端末３Ｂとが同一の場所に存在することを利用者端末３Ｂが確認することとしてもよい。

具体的には、利用者端末３Ａ、３ＢはともにＧＰＳなどにより自己の位置を検出する機能を備える。利用者端末３Ａは、ステップＳ１０７でキャプチャ画像データとともに自己の現在位置を示す情報を利用者端末３Ｂへ送信する。利用者端末３Ｂは、ステップＳ１１４で取引情報Ｉａと取引情報Ｉｂとが同一であると判定した際、さらに利用者端末３Ａの位置が利用者端末３Ｂの位置と同一（実際には、数十ｍなどの所定距離内）である場合にのみ取引実行を促す確認画面を表示する。こうすることにより、利用者端末３Ａと３Ｂが同じ場所で同一の利用者によって操作されている場合に限って取引を実行させるようにすることができる。

なお、例えば海外からの不正アクセスにより利用者端末３Ａが操作されるのを防止するため、利用者端末３Ａと３ＢのグローバルＩＰアドレスに基づいて２つの端末が同じエリアにあることを検出することとしてもよい。

（変形例２）
図１に示す取引システムの構成は一例であり、本発明が適用可能な構成はこれに限定されない。例えば、サービス提供者サーバ１は、複数のサーバから構成されていてもよい。

図１２は、変形例に係る取引システムの概略構成を示す。図１２の例では、サービス提供者サーバ１は、図４のステップＳ１０２及びステップＳ１０３でのユーザ認証を行うサービス提供者認証サーバ１Ａと、ユーザ認証以後の取引に関する処理を行うサービス提供者取引サーバ１Ｂとの２台のサーバにより構成される。そして、サービス提供者認証サーバ１Ａとサービス提供者取引サーバ１Ｂとは、割り当てられた処理を実行するのに必要なデータの授受を必要に応じて行う。

（変形例３）
図４の説明では、利用者端末３Ａと利用者端末３Ｂとは、公開鍵暗号方式により暗号化してキャプチャ画像データＩｍの授受を行った。これに代えて、利用者端末３Ａと利用者端末３Ｂとは、共通鍵暗号方式によりキャプチャ画像データＩｍを暗号化してキャプチャ画像データＩｍの授受を行ってもよい。この場合、利用者端末３と利用者端末３Ｂは、それぞれ、図４のフローチャートの実行前に、予め共通鍵を記憶しておく。このように、暗号化と復号に同一の（共通の）鍵を用いる場合であっても、本発明は好適に適用される。

（変形例４）
図４の説明では、利用者端末３Ａは、ステップＳ１０７において、取引情報Ｉａを生成するのに必要なキャプチャ画像データＩｍを利用者端末３Ｂに送信した。これに代えて、利用者端末３Ａは、キャプチャ画像データＩｍの代わりに、取引画面でのキーボードによる入力の記録を暗号化して利用者端末３Ｂに送信してもよい。この場合、例えば、利用者端末３Ｂは、暗号化されたキーボードの入力記録情報を復号して得られたキーボード入力記録文字列に基づき取引情報Ｉａを生成する。

１…サービス提供者サーバ
２…通信網
３Ａ、３Ｂ…利用者端末
４…攻撃者サーバ

Claims (9)

1. 取引に関する処理を実行するサーバと、前記取引に関する処理の実行を前記サーバに指示する第１の端末及び第２の端末とを備える取引システムであって、
   前記第１の端末は、
   前記取引の内容を入力するための取引画面を表示する表示制御手段と、
   前記取引画面への入力情報を前記サーバに送信する第１送信手段と、
   前記取引画面を示す画像データを前記第２の端末に送信する第２送信手段と、
   を備え、
   前記サーバは、
   前記第１の端末から受信した前記入力情報から取引情報を抽出し、前記第２の端末に送信する第３送信手段を備え、
   前記第２の端末は、前記第１の端末から受信した画像データから抽出した取引情報と、前記サーバから受信した取引情報とを比較し、比較結果を表示する不正取引検知手段を備えることを特徴とする取引システム。
2. 前記第２送信手段は、入力が行われた前記取引画面をキャプチャした画像データを前記第２の端末に送信し、
   前記不正取引検知手段は、前記第１の端末から受信した画像データに対して文字認識処理を行って前記取引情報を抽出することを特徴とする請求項１に記載の取引システム。
3. 前記第２送信手段は、前記取引画面への入力情報が埋め込まれた画像データを前記第２の端末へ送信し、
   前記不正取引検知手段は、前記第１の端末から受信した画像データに埋め込まれた入力情報から前記取引情報を抽出することを特徴とする請求項１に記載の取引システム。
4. 前記第２送信手段は、近距離無線通信により前記画像データを前記第２の端末へ送信することを特徴とする請求項１乃至３のいずれか一項に記載の取引システム。
5. 前記不正取引検知手段は、前記第１の端末から受信した画像データから抽出した取引情報と前記サーバから受信した取引情報とが一致する場合に取引の実行を勧める表示を行い、前記第１の端末から受信した画像データから抽出した取引情報と前記サーバから受信した取引情報とが一致しない場合に取引の中止を勧める表示を行うことを特徴とする請求項１乃至４のいずれか一項に記載の取引システム。
6. 前記第１の端末は、当該第１の端末の位置を示す情報を前記第２の端末に送信する位置情報送信手段をさらに備え、
   前記不正取引検知手段は、前記第１の端末の位置が前記第２の端末の位置から所定範囲内にある場合に限り、前記取引の実行を勧める表示を行うことを特徴とする請求項５に記載の取引システム。
7. 取引に関する処理を実行するサーバと、前記取引に関する処理の実行を前記サーバに指示する第１の端末及び第２の端末とを備える取引システムにより実行される取引方法であって、
   前記第１の端末により、前記取引の内容を入力するための取引画面を表示する表示工程と、
   前記第１の端末により、前記取引画面への入力情報を前記サーバに送信する第１送信工程と、
   前記第１の端末により、前記取引画面を示す画像データを前記第２の端末に送信する第２送信工程と、
   前記サーバにより、前記第１送信工程で前記第１の端末から受信した前記入力情報から取引情報を抽出し、前記第２の端末に送信する第３送信工程と、
   前記第２の端末により、前記第１の端末から受信した画像データから抽出した取引情報と、前記サーバから受信した取引情報とを比較し、比較結果を表示する不正取引検知工程と、
   を有することを特徴とする取引方法。
8. 取引に関する処理を実行するサーバと、前記取引に関する処理の実行を前記サーバに指示する第１の端末及び第２の端末とを備える取引システムであって、
   前記第１の端末は、
   前記取引の内容を入力するための取引画面を表示する表示制御手段と、
   前記取引画面への入力情報を前記サーバに送信する第１送信手段と、
   前記取引画面を示す画像データを前記第２の端末に送信する第２送信手段と、
   を備え、
   前記サーバは、
   前記第１の端末から受信した前記入力情報から取引情報を抽出し、前記第２の端末に送信する第３送信手段を備え、
   前記第２の端末は、前記第１の端末から受信した画像データから抽出した取引情報と、前記サーバから受信した取引情報とを比較し、前記第１の端末から受信した前記画像データから抽出した取引情報と前記サーバから受信した取引情報とが一致しない場合に、取引を中止する旨の指示を前記サーバに送信することを特徴とする取引システム。
9. 取引に関する処理を実行するサーバと、前記取引に関する処理の実行を前記サーバに指示する第１の端末及び第２の端末とを備える取引システムにより実行される取引方法であって、
   前記第１の端末により、前記取引の内容を入力するための取引画面を表示する表示工程と、
   前記第１の端末により、前記取引画面への入力情報を前記サーバに送信する第１送信工程と、
   前記第１の端末により、前記取引画面を示す画像データを前記第２の端末に送信する第２送信工程と、
   前記サーバにより、前記第１送信工程で前記第１の端末から受信した前記入力情報から取引情報を抽出し、前記第２の端末に送信する第３送信工程と、
   前記第２の端末により、前記第１の端末から受信した画像データから抽出した取引情報と、前記サーバから受信した取引情報とを比較し、前記第１の端末から受信した前記画像データから抽出した取引情報と前記サーバから受信した取引情報とが一致しない場合に、取引を中止する旨の指示を前記サーバに送信する取引中止工程と、
   を有することを特徴とする取引方法。