三菱UFJ銀行は22日、投資信託やNISA、iDeCo（個人型確定拠出年金）のインターネット口座開設など、ダイレクトバンキングの一部を臨時メンテナンスとして停止した。世界中のウェブサイトで広く使われるプログラミング言語PHPに重大な脆弱性が見つかったことを受け、日本の金融機関や鉄道会社などが予防的な対応に追われている。

三菱UFJ銀行は公表文でPHPとの直接の関連を明言していないが、共同通信などはサイバーセキュリティ上の予防措置と報じた。銀行側は報道機関の問い合わせに対し安全上の懸念を理由に挙げ、言語の欠陥が原因かどうかは特定しなかった。

金融から交通まで広がる影響

研究者がPHPの重大な欠陥を公表した後、静岡銀行や青森みちのく銀行がネットバンキングやアプリの一部を停止、みずほ銀行は来店予約機能を止めた。大和証券や三菱UFJモルガン・スタンレー証券もウェブ経由の口座手続きを中断した。

さくらインターネットやネットショップ作成サービスBASEがメンテナンスを発表する一方、京阪ホールディングスはコーポレートサイトを一時停止、阪神電気鉄道も同様の措置を予定とした。京王電鉄はPHPを利用するシステムの影響確認とパッチ適用準備を進めていると明らかにした。

決済の大動脈は当面無事

全国銀行協会は、国内ほぼすべての金融機関をつなぐオンライン決済システムに現時点で影響がないと発表した。店頭向けのウェブページが止まっても、給与振込や銀行間送金が即座に止まるわけではない、という区別が市場では意識された。

それでも停止の広がりは、単一のソフトウェア基盤が日本の日常経済をどう支えているかを改めて示した。年末の投資口座開設や年金拠出のオンライン手続きを進めようとした利用者には、確認画面の代わりにメンテナンス表示が出たが、店舗窓口は通常どおり開いていた。

利用者が当面取るべき行動

各社はパッチ適用と安全性の確認後にサービスを再開するとしている。三菱UFJ銀行の告知には具体的な再開時刻は示されていない。世界的に迅速な更新が求められる中、岩井コスモ証券や警察関連アプリ提供のArcadiaなど別件のサイバー被害が相次いでおり、日本でもデジタルリスクへの警戒感が高まっている。

三菱UFJフィナンシャル・グループの中核銀行にとって、今回の停止は技術問題であると同時に信頼の試金石でもある。グループ内のガバナンス問題から回復を続ける中、コンプライアンス部門は短期の不満よりも、家計の貯蓄を扱うチャネルでの脆弱性リスクを避ける方向を選んだと見られる。

四半期決算を大きく動かす類の出来事ではないとの見方が多い一方、財務省や金融庁がサードパーティソフトの把握を強化する契機になる可能性はある。ダイレクトのスイッチが戻るまで、口座保有者への実務的な助言は単純だ。店舗を使うか待つか、メンテナンス告知を確認するか。パッチ競争は全国でまだ続いている。