三菱UFJニコスは今週、モバイル銀行アプリの強制更新を配信し、提携クレジットカードの有効セッショントークンを一括失効させた。社内の不正対策チームが、完全ログアウトされていない口座で再生された認証クッキーと、不正なポイント換金や少額のネット通販請求を結びつけたためだ。会社はNICOSサーバーからカード番号本体やセキュリティコードが流出した証拠はないとし、端末バックアップの窃取やワンタイムログインを奪ったフィッシングページが、ローテーション窓が閉じる前にセッション識別子を再生したという見立てを示した。

何が破れたか

InfoHandleが確認した顧客向け通知によれば、NICOSは数分以内に異なるIPアドレスから同じセッション指紋を再利用するAPI呼び出しの塊を検知した。通常はリスクエンジンが遮断する挙動だが、9月のメンテナンスで負荷試験のためレート制限を緩めた時間帯にすり抜けた。影響したのはポイント現金化や航空マイル移行であり、日次上限を超えるキャッシング直接引出ではない。

三菱UFJ銀行のリテール部門とNICOSのカード発行は別だが、統合MUFGスマホアプリではシングルサインオンが共有される。NICOSは店頭のチップ付きPIN決済は無害と強調し、露出は保存ウォレットトークンを受け付けるカード非対面決済に集中した。

誰が影響を受けるか

NICOSは被害件数を公表していない。業界筋は、疑わしいポイント動きが数万口座規模、木曜時点で確定した不正換金は数百件程度と語る。強制更新を入れてパスワードを再入力した顧客にはプッシュ通知が届く。それ以外は新しい端末紐づけで認証するまでモバイルのポイント画面がブロックされたままだ。

シルバーウィークの旅行予約は航空会社へのポイント移行を急増させる。発行体が気づく前にロイヤルティ残高を換金する攻撃者にとちょうどよいタイミングだ。金融庁のサイバー指針はすでに高額レールでセッションを端末アテステーションに結びつけるようカード会社に求めている。NICOSは、警察庁が夏の偽MUFGログインページに関する通報で示したパターンと一致したため、そのロードマップを前倒ししたと述べた。

確認できたことと言われていること

警察は逮捕を発表しておらず、NICOSも特定の犯行グループには言及しない。確認されているのは、火曜03時（日本時間）以前に発行されたセッショントークンが一括失効したこと、コールセンターが第三者キーボードアプリにパスワードを保存したかを聞くようになったことだ。クローン画面に貼り付ける利用者でよくある経路だ。

データベース流出を主張する未検証の投稿は、加盟店向けに共有された発行体のフォレンジック要約では裏付けられない。JPCERT/CCは正規アプリビルドの公開ハッシュを掲載し、企業が社員端末のサイドロード偽アプリを遮断できるようにした。

パッチとローテーションの手順

公式アプリストアからのみインストールし、常時ログインではなく生体認証での再ログインを有効にすべきだ。モバイルと同じ認証情報を使っている場合はネットバンキングのパスワードを変更するようNICOSは求めている。ポイント不正が既に記帳されていなければカード再発行は不要だ。

NICOSウォレットトークンを組み込む加盟店は、新しいセッション失効ヘッダーを尊重する必要がある。そうでなければ発行体側でブロック後もカートに幽霊承認が残る可能性がある。NICOSは金曜朝にアクワイアラ向けAPIリリースノートを公開した。

法的・保険の尾

日本の消費者法は、速やかに報告された不正カード請求を概ねカバーする。ポイント換金は第三者マイルに変換するとグレーになる。弁護士はNICOSの先手のログアウトが集団訴訟の勢いを抑えるとみるが、カード発行体向けサイバーライダーを引き受ける保険会社は、2024年の地方銀行の類似事案後にセッションローテーションが金融庁の期待を満たしたかを問うだろう。

金融庁の検査官は現地査察を公表していない。確定不正が社内の重要性基準を超えれば、更新されたサイバー開示テンプレートに沿った構造化インシデント報告が必要だ。マイル移行は決済データに遅れが出るため、コンプライアンス担当はまだ計算中と語る。

利用者が今すべきこと

休暇支出の前にポイント残高と最近の少額EC請求を確認する。自己設定の閾値を超える換金には発行体プッシュ通知を使う。「NICOS旅行保険を確認」などのSMSリンクは敵対的とみなす。シルバーウィークキャンペーン中にNICOSが全文パスワードをSMSで求めることはないと会社は述べた。

端末紐づけが完了するまで、コールバック確認後にコールセンターがモバイルアクセスを復旧できる。旅行者には遅いが、今週不正チームが利便性より優先した再生窓を閉じる。

ベンダー・加盟店の調整

NICOSウォレットを経由するアクワイアラは、失効したセッション族を列挙するハッシュ署名付き通知を受け取り、チャージバック担当が発行体側ブロックと加盟店設定ミスを区別できる。二つのECプラットフォームはクッキースコープを検証する48時間、ワンクリック決済連携を一時停止し、NICOSが準拠SDKビルドの許可リストを出すまで誤拒否が増えたとInfoHandleに語った。

第三者キーボードやパスワードマネージャーはNICOSのフォレンジック要約では関与していない。ただし発行体は、パッケージ名のずれで検知した偽MUFGアプリをサイドロードした際にAndroid OEMが警告を出すよう求めた。AppleのTestFlightビルドは明示的にサポート外とし、企業MDMは金融ツールを装うサイドロードプロファイルを遮断するよう指示された。