不正取引防止システムおよび端末装置
【課題】ＡＴＭにおける代理人取引に際し、事前の代理人登録を不要として、かつ安全な代理人取引を可能とする。
【解決手段】第１認証情報の入力を受付ける第１認証情報入力手段３１を備え、第１認証情報と利用者認証用の媒体２０が記録する情報とに基づく利用者の本人確認を行い、当該本人確認の結果に応じて所定サービスを提供する第１端末３０と、第２認証情報の入力を受付ける第２認証情報入力手段４１を備え、第１端末３０と通信可能な第２端末４０とを備えるシステムにおいて、第１端末３０が、認証情報の入力を受付けるに際し第１認証情報入力手段３１または第２認証情報入力手段４１のいずれかを使用すべく、認証情報入力用の端末を第１端末３０と第２端末４０とで切り替える、認証情報入力端末切替手段を有することとする。
【解決手段】第１認証情報の入力を受付ける第１認証情報入力手段３１を備え、第１認証情報と利用者認証用の媒体２０が記録する情報とに基づく利用者の本人確認を行い、当該本人確認の結果に応じて所定サービスを提供する第１端末３０と、第２認証情報の入力を受付ける第２認証情報入力手段４１を備え、第１端末３０と通信可能な第２端末４０とを備えるシステムにおいて、第１端末３０が、認証情報の入力を受付けるに際し第１認証情報入力手段３１または第２認証情報入力手段４１のいずれかを使用すべく、認証情報入力用の端末を第１端末３０と第２端末４０とで切り替える、認証情報入力端末切替手段を有することとする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正取引防止システムおよび端末装置に関し、特に、金融機関などに設置されるＡＴＭ（現金自動預け払い機）における本人確認のセキュリティ技術に関する。
【背景技術】
【０００２】
金融機関やコンビニエンスストアなどに設置されるＡＴＭは、一般人の生活にとって欠くことのできないものとなっている。利用者がＡＴＭで取引する時には、知識（暗証番号）と所持品（キャッシュカード）を利用して本人確認を行い、本人であることが確認されると口座の取引（払い戻し、振込み、キャッシングなど）を行えることが知られている。
【０００３】
また、非特許文献１によると、本人確認にバイオメトリクス情報を利用するＡＴＭも実用化されている。さらに特許文献１によると、利用者が携帯端末に暗証番号と取引情報を事前に入力しておきＡＴＭに携帯端末をかざすだけで、携帯端末とＡＴＭ間で非接触の近距離通信が行われ、迅速に取引できることが述べられている。
【０００４】
ところで、ＡＴＭで取引する者は本人に限らず、本人以外の代理人による取引のニーズもある。特許文献２には、本人が代理人に現金の引き出しの機会を提供したい場合もあることが述べられている。
【０００５】
非特許文献２によれば、バイオメトリクス情報で本人確認を行うＡＴＭでは、本人以外の代理人のバイオメトリクス情報をあらかじめ登録しておけば、代理人もＡＴＭで取引することができることが述べられている。
【特許文献１】特開２００１−２９７１９８号公報
【特許文献２】特開２００４−３０３０５７号公報
【非特許文献１】Ｍｉｔｓｕｂｉｓｈｉ Ｔｏｋｙｏ Ｆｉｎａｎｃｉａｌ Ｇｒｏｕｐ、Ｉｎｃ．、Ｔｈｅ Ｂａｎｋ ｏｆ Ｔｏｋｙｏ−Ｍｉｔｓｕｂｉｓｈｉ、Ｌｔｄ．、「Ｌａｕｎｃｈ ｏｆ "Ｓｕｐｅｒ ＩＣ Ｃａｒｄ Ｔｏｋｙｏ−Ｍｉｔｓｕｂｉｓｈｉ ＶＩＳＡ"」、［ｏｎｌｉｎｅ］、平成１６年９月２２日、東京三菱銀行、［平成１７年１月１７日検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｂｔｍ．ｃｏ．ｊｐ／ｅｎｇｌｉｓｈ／ｐｒｅｓｓ／ｎｅｗｓ２００４／ｐｄｆ／ｎｅｗｓ２１２ｅ．ｐｄｆ＞
【非特許文献２】東京三菱銀行、『スーパーＩＣカード「東京三菱―ＶＩＳＡ」ご注意事項』、［ｏｎｌｉｎｅ］、平成１６年１０月、東京三菱銀行、［平成１７年１月１７日検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｂｔｍ．ｃｏ．ｊｐ／ｔｓｕｋａｕ／ｃａｒｄ／ｖｉｓａ／ｒｙｕｉ．ｈｔｍ＞
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかし、知識や所持品を利用した本人確認では、知識の聞き出しや類推、所持品の盗難や偽造によるなりすましを防止することができない。また、バイオメトリクス情報を利用した本人確認において代理人取引を行うには、事前の登録が必要となり、利便性が低下する。また携帯端末に事前入力する前記特許文献１の方法では、代理人取引の時には携帯端末ごと代理人に渡す必要があり、セキュリティが低下してしまう。
【０００７】
そこで本発明は、ＡＴＭにおける代理人取引に際し、事前の代理人登録を不要として、かつ安全な代理人取引を可能とする、不正取引防止システムおよび端末装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明の不正取引防止システムは、事前に代理人を登録することなく、かつ安全に代理人取引が行うという目的を、本人による取引時にはＡＴＭの備える第１認証情報入力部で認証情報を入力し、本人以外による取引時には本人所有の携帯端末の備える第２認証情報入力部で認証情報を入力するように、認証情報入力端末切替手段が認証情報の入力端末を切り替えて本人確認を行うことで実現した。
【０００９】
上記課題を解決する本発明の不正取引防止システムは、第１認証情報の入力を受付ける第１認証情報入力手段を備え、前記第１認証情報と利用者認証用の媒体が記録する情報とに基づく利用者の本人確認を行い、当該本人確認の結果に応じて所定サービスを提供する第１端末と、第２認証情報の入力を受付ける第２認証情報入力手段を備え、前記第１端末と通信可能な前記第２端末とを備えるシステムにおいて、前記第１端末が、認証情報の入力を受付けるに際し前記第１認証情報入力手段または前記第２認証情報入力手段のいずれかを使用すべく、認証情報入力用の端末を前記第１端末と第２端末とで切り替える、認証情報入力端末切替手段を有する。
【００１０】
また、本発明の不正取引防止システムは、前記第１端末が、利用者からの入力を受け付ける第１入力手段を備え、前記第１入力手段が、前記第１認証情報入力手段または前記第２認証情報入力手段のいずれかを認証情報入力に用いる旨の選択を受け付け、前記認証情報入力端末切替手段が、前記選択に応じて認証情報入力用の端末を前記第１端末または前記第２端末のいずれかに切り替えるものであることとすれば好適である。
【００１１】
また、本発明の不正取引防止システムは、前記認証情報入力端末切替手段が、前記第２端末について取得した位置情報と、前記第１端末の設置場所と比較して、前記第１端末と前記第２端末との距離が所定範囲内である場合に前記第１認証情報入力手段を利用し、前記距離が所定範囲を超える場合に前記第２認証情報入力手段を利用すべく、認証情報入力用の端末を前記第１端末または前記第２端末のいずれかに切り替えるものであることとすれば好適である。
【００１２】
また、本発明の不正取引防止システムは、前記第２端末が前記第２端末の所有者への所定通知を行うための第２通知手段を備え、前記第２通知手段が、認証情報入力用の端末として前記第１認証情報入力手段から前記第２認証情報入力手段への切り替えが前記認証情報入力端末切替手段により実行された場合に、前記第１端末の利用者に関して入力インターフェイスより取得した、利用時刻情報、利用場所情報、利用者の身体的な情報、利用取引情報のいずれか１つ以上の情報を通知するものであることとすれば好適である。
【００１３】
また、本発明の不正取引防止システムは、前記第２通知手段が、前記第１端末と前記第２端末とを接続する通信路において、盗聴、改ざん、なりすましに対する所定の防止対策が施された通信路が確立された後、前記通知を行うものであることとすれば好適である。
【００１４】
また、本発明の不正取引防止システムは、前記第２端末が、前記第２端末の所有者からの入力を受け付ける第２入力手段を備え、前記第２入力手段が、前記第１端末で処理中の前記サービスの提供承認指示を受付ける承認手段と、前記サービスの提供中止指示を受付ける第１中止手段と、次機会以降も前記サービスの提供を中止する指示を受け付ける第２中止手段と、前記サービスの提供中止に伴って所定の連絡先に所定内容の通報をする旨の指示を受け付ける第３中止手段のいずれか１つ以上の選択受付手段を備えることとすれば好適である。
【００１５】
また、本発明の不正取引防止システムにおいて、前記第２入力手段は、前記第２認証情報入力部から入力された第２認証情報に基づく本人確認により本人確認ができた場合に、前記選択受付手段を通じた指示受付を実施するものであることとすれば好適である。
【００１６】
また、本発明の不正取引防止システムは、前記第１端末が、利用者への通知を行うための第１通知手段を備え、前記第１通知手段は、前記第２入力手段において前記第１中止手段、前記第２中止手段、前記第３中止手段のいずれかに指示がなされたかを問わず、同一内容の所定通知を行うものであることとすれば好適である。
【００１７】
また、本発明の不正取引防止システムにおいて、前記第１端末は、前記第２入力手段を通して所定時間内に入力がなかった場合に、前記第１入力手段で入力された取引情報を前記媒体に記憶し、当該媒体に基づく次の利用機会において、前記媒体に記憶された前記取引情報を読み出して、前記第１入力手段において前回の利用機会と同じ取引情報を入力済みとするものであることとすれば好適である。
【００１８】
また、本発明の不正取引防止システムは、前記第１認証情報入力手段で入力された第１認証情報を照合するための登録済み第１認証情報を格納し、前記第１端末および前記第２端末と通信可能な第１端末管理装置を備え、前記第１端末管理装置が、前記第２端末より転送される、前記第２認証情報入力手段で入力された第１認証情報を受信し、当該第１認証情報と前記登録済み第１認証情報とを照合するものであることとすれば好適である。
【００１９】
また、本発明の不正取引防止システムは、前記第２端末および第１端末管理装置が、前記第２端末と前記第１端末管理装置とを接続する通信路において、盗聴、改ざん、なりすましに対する所定の防止対策が施された通信路が確立された後、データ通信を行うものであることとすれば好適である。
【００２０】
また、本発明の端末装置は、認証情報の入力を受付ける第１認証情報入力手段を備え、前記認証情報と利用者認証用の媒体が記録する情報とに基づく利用者の本人確認を行い、当該本人確認の結果に応じて所定サービスを提供する端末装置であって、認証情報の入力を受付けるに際し前記第１認証情報入力手段、または当該端末装置と通信可能な第２端末が備える第２認証情報入力手段のいずれかを使用すべく、認証情報入力用の端末を当該端末装置と前記第２端末とで切り替え可能な、認証情報入力端末切替手段を有する。
【００２１】
その他、本願が開示する課題、及びその解決方法は、発明の実施の形態の欄、及び図面により明らかにされる。
【００２２】
本発明によれば、以下のような効果を奏する。本発明の不正取引防止システムによれば、ＡＴＭで代理人取引を行う場合にも、前記認証情報入力端末切替手段が、前記第２端末の備える前記第２認証情報入力手段で第２認証情報を入力するように切り替えて本人確認を行うため、前記代理人を事前に登録することなく、かつ前記代理人に認証情報を教えるあるいは渡すことなく安全に代理人取引を行うことができる。
【００２３】
また、前記ＡＴＭの備える第１認証情報入力手段で第１認証情報を入力することを、キーパッド装置のなりすましやＡＴＭでの盗聴といったセキュリティ上の理由から敬遠する者にとって、前記第２端末の備える第２認証情報入力手段に切り替えて第２認証情報を入力することができる。これにより、キーパッド装置のなりすましやＡＴＭでの盗聴による第１認証情報の漏洩を防ぐことができる。
【００２４】
また、本発明の不正取引防止システムによれば、前記キャッシュカードを偽造し本人になりすまして前記ＡＴＭで取引を行う者がいたとしても、前記本人の所有する第２端末に迅速に通知することができる。これにより不正取引の抑止効果を高めることができる。
【００２５】
また、本発明の不正取引防止システムによれば、代理人取引の場合に前記代理人になりすまして前記ＡＴＭで取引を行おうとしても、前記本人の承認を得なければ取引を行うことができない。さらに、前記本人は前記第２端末の前記第２通知手段に通知される利用者情報を参照することで、代理人かどうかを確実にチェックすることができる。これにより代理人のなりすましを防止し、安全に代理人取引を行うことができる。
【００２６】
さらに、前記第２入力手段で処理中の取引を中止する指示を選択した時にも、どの理由で取引が中止されたかを前記第１端末の利用者に悟られないようにすることができる。例えば、警察に通報することを指示した場合にも、前記第１端末の利用者に逃走されてしまうといった要因を減らすことができる。
【００２７】
また、本発明の不正取引防止システムによれば、紛失や盗難の起こりやすい前記媒体に前記第１認証情報を格納しないため、前記媒体の紛失や盗難による前記第１認証情報の漏洩を防ぐことができる。
【発明の効果】
【００２８】
本発明によれば、ＡＴＭにおける代理人取引に際し、事前の代理人登録を不要として、かつ安全な代理人取引が可能となる。
【発明を実施するための最良の形態】
【００２９】
−−−実施例１−−−
以下、本発明の第１の実施形態を図面を参照しつつ詳細に説明する。第１実施例における不正取引防止システム１００の全体を説明するシステム構成図を図１に示す。ここで、本実施例１において想定する状況につき概説しておく。本人１０は金融機関で口座を開設した名義人本人であり、前記本人１０は金融機関の発行したキャッシュカード２０（媒体）を所有し、ＡＴＭ３０（第１端末もしくは端末装置）で取引（払い戻し、振込み、キャッシングなど）を行う。前記ＡＴＭ３０は、前記本人１０が前記ＡＴＭ３０で取引する時には第１認証情報入力部３１で認証情報の入力を受付ける。一方、本人以外１１が前記ＡＴＭ３０で取引する時には、携帯端末４０（第２端末）の備える第２認証情報入力部４１で本人１０が認証情報の入力を行うように、前記ＡＴＭ３０は、認証情報入力端末切替手段３２にて認証情報の入力端末を切り替える処理を実行し、本人確認を実施する。また、前記携帯端末４０の備える前記第２認証情報入力部４１で認証情報の入力を受付ける時には、前記携帯端末４０がホスト５０と通信して処理を行う。前記本人確認の処理が完了すると、前記ＡＴＭ３０は前記ホスト５０と通信して各種の取引を行う。なおＧＰＳ衛星６０は、第１実施例では利用しない。
【００３０】
最初に前記不正取引防止システム１００を構成する前記ＡＴＭ３０のブロック図について図２を使って、また、前記携帯端末４０のブロック図について図３を使って、更に、前記キャッシュカード２０と前記ホスト５０と前記携帯端末４０が保持するデータについて図４を使って説明する。
【００３１】
図２は、前記ＡＴＭ３０のブロック図と外観を説明した図である。前記ＡＴＭ３０は、適宜な電源部（図示せず）から電力を得て、ＣＰＵ３０１が後述するメモリ３０２、記憶装置３０３、ホスト通信部３０４、カメラ３１０、カード読み書き部３１１、表示部３１２、操作部３１３、キャッシュモジュール部３１４を、バス３０５を通じて制御する。そしてこのＡＴＭ３０は、前記本人１０あるいは前記本人以外１１に各種の取引サービスを提供する端末である。
【００３２】
前記メモリ３０２は、前記ＣＰＵ３０１が実行する処理プログラムをロードする主記憶である。また、前記記憶装置３０３は、電力が供給されなくてもデータを残すことのできるＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）といった装置である。また、前記ホスト通信部３０４は、ＴＣＰ／ＩＰあるいは独自のプロトコルを利用して専用線あるいはＩＳＤＮ線などの適宜な通信路１４０で接続された前記ホスト５０と通信する装置である。前記専用線あるいはＩＳＤＮ線などで接続された前記通信路１４０は、盗聴、改ざん、なりすましの対策が施されたものとなる。
【００３３】
また、前記カメラ３１０は、前記ＡＴＭ３０の前に立つ者の顔を撮影し画像データを出力する装置である。また、前記カード読み書き部３１１は、前記キャッシュカード２０の保持するデータを読み取る装置である。また、前記表示部３１２は、ディスプレイによる表示やフリッカランプによる点灯を行う装置である。また、前記操作部３１３は、暗証番号や取引額を入力するためのキーパッドあるいは、取引の種類などを指示するための各種ボタン、前記ディスプレイと同じ見た目をもつタッチパネル、さらには、前記本人１０のバイオメトリクス情報を入力するためのバイオメトリクス装置といったものである。
【００３４】
また、前記キャッシュモジュール部３１４は、出金あるいは入金のための紙幣や硬貨を保管すると共に、出金口あるいは入金口を備えて、前記本人１０あるいは前記本人以外１１の要求する取引に応じて紙幣や硬貨を前記出金口へと搬送あるいは入金口から搬入する装置である。
【００３５】
なお、前記ホスト５０は、処理プログラム５１を有し、前記ＡＴＭ３０との通信や前記携帯端末４０との通信といった各種の処理を行う。
【００３６】
また、図１に示した前記第１認証情報入力部３１および前記認証情報入力端末切替部３２は、前記記憶装置３０３に保持される実行可能プログラムであり、必要に応じて前記メモリ３０２にロードされることで前記ＣＰＵ３０１がさまざまな制御を実現する。
【００３７】
次に、携帯端末４０について説明する。図３は、前記携帯端末４０のブロック図および外観を説明した図である。前記携帯端末４０は、適宜なバッテリ（図示せず）から電力を得て、制御部４０１が後述するＧＰＳ受信部４０２、携帯通信部４０３、メモリ４０４、記憶装置４０５、音声部（図示せず）、表示部４１１、操作部４１２、セキュリティチップ４１３を、バス４０６を通じて制御することで、音声通話端末あるいは情報入力端末として機能する小型かつ軽量で携帯可能な端末である。
【００３８】
この携帯端末４０における前記ＧＰＳ受信部４０２は、前記ＧＰＳ衛星６０（図１参照）の発信する電波を受信する装置である。また、前記携帯通信部４０３は、特定周波数の電波を使って、基地局（図示せず）と通信する装置である。また、前記メモリ４０４は、前記制御部４０１が実行する処理プログラムをロードする主記憶である。また、前記記憶装置４０５は、電力が供給されなくてもデータを残すことのできるフラッシュメモリといった記憶装置である。また、前記音声部は、マイクやスピーカといった装置である。
【００３９】
また、前記表示部４１１は、ディスプレイといった装置である。また、前記操作部４１２は、数字ボタンや通話ボタンといった各種ボタン、十字キー、ジョグダイアル、さらにはバイオメトリクス情報を読み取るためのバイオメトリクス装置といった装置である。また、前記セキュリティチップ４１３は、耐タンパ性を備えた記憶装置であり、通信路の暗号化やデジタル署名を行うための電子署名書の保持や、本人確認を行うための認証情報の保持、さらに通信内容の暗号化・復号化をハードウェアで高速に行うといった機能をもつ装置である。なお、第１実施例では、前記ＧＰＳ受信部４０２は使用しない。
【００４０】
なお、図１に示した前記第２認証情報入力部４１は、前記記憶装置４０５に保持されるプログラムであり、前記メモリ４０４にロードされることで前記制御部４０１がさまざまな制御を実現する。
【００４１】
図４は、前記携帯端末４０の前記セキュリティチップ４１３が保持するデータと、前記不正取引防止システム１００が利用する、前記キャッシュカード２０および前記ホスト５０とについて説明した図である。
【００４２】
一例として、前記キャッシュカード２０の最適な実施形態はＩＣカードがあげられる。前記キャッシュカード２０はデータとして、前記本人１０を一意に特定するための銀行コード、支店コード、科目コード、口座番号といったデータを総称した口座ＩＤ５２１と、前記本人１０の本人確認に利用する第１認証情報５２２と、前記本人以外１１が前記ＡＴＭ３０で入力した取引情報を一時的に保持するためのリトライ用データ５２３とを保持する。前記第１認証情報５２２としては、例えばバイオメトリクス情報（指紋、静脈、顔、虹彩、声紋、筆跡など）を使うことが挙げられる。
【００４３】
また、前記携帯端末４０の前記セキュリティチップ４１３は、データとして、前記ホスト５０から送られる署名付きメールの正当性を検証するために使う、メール署名検証データ５４１と、前記ホスト５０と前記携帯端末４０とがＳＳＬ通信する時に前記ホスト５０が前記携帯端末４０を認証するのに使うクライアント証明書５４２とを保持する。また更に前記セキュリティチップ４１３は、データとして、前記ホスト５０から送信されるサーバ証明書５５１（後述）の正当性を検証するために使うサーバ証明書検証データ５４３と、前記本人１０の本人確認に利用する第２認証情報５４４とを保持する。なお、前記セキュリティチップ４１３は耐タンパ性を備えており、これらのデータは所定の許可を得ない限り、読み書きができないようになっている。
【００４４】
また、前記ホスト５０はデータとして大きく分けて４種類のデータを持つ。前記ホスト５０は、１種類目のデータとして、前記携帯端末４０と前記ホスト５０との安全な通信路を確立するためのデータを保持する。前記ホスト５０は、前記ホスト５０と前記携帯端末４０とがＳＳＬ通信する時に、前記携帯端末４０が前記ホスト５０を認証するのに使うサーバ証明書５５１と、前記ホスト５０から前記携帯端末４０にメールを送信するときにメールを署名するために使うメール署名データ５５２を保持する。
【００４５】
また、前記ホスト５０は、２種類目のデータとして、金融機関の名義人に関するデータを保持する。前記ホスト５０は、金融機関の名義人を一意に特定するための口座ＩＤ５５３と、前記名義人の所有する前記携帯端末４０のメールアドレスを記憶する携帯端末アドレス５５４と、前記携帯端末４０と前記ホスト間でＳＳＬ通信するときに前記ホスト５０が前記携帯端末４０を認証するのに使うクライアント証明書検証データ５５５と、前記名義人の口座を凍結するかどうかを決めるＢＯＯＬ値を持つ凍結フラグ５５６と、前記名義人の届け出た印鑑を登録するための届出印データ５５７とを保持する。なおこれらのデータ５５３〜５５７は、金融機関の口座を開設した名義人の数だけ存在する。
【００４６】
また、前記ホスト５０は、３種類目のデータとして、金融機関の設置する前記ＡＴＭ３０に関するデータを保持する。前記ホスト５０は、前記ＡＴＭ３０を識別するために付与されるＡＴＭ端末ＩＤ５５８と、前記ＡＴＭ端末ＩＤ５５８で識別される前記ＡＴＭ３０の設置場所（例えば、緯度と経度、あるいは付近の地図）に関する端末設置データ５５９とを保持する。なおこれらのデータ５５８〜５５９は、金融機関の保有する前記ＡＴＭ３０の台数分だけ存在する。
【００４７】
また、前記ホスト５０は、４種類目のデータとして、前記本人以外１１が前記ＡＴＭ３０で取引情報を入力し、前記本人１０が前記携帯端末４０で前記取引を承認したときに、前記取引を承認した証拠となるデータを保持する。前記ホスト５０は、前記取引が行われた日付と時間を示す取引日時５６０と、前記取引の口座を特定する口座ＩＤ５６１と、前記ＡＴＭ３０で入力された取引情報を示す取引データ５６２と、前記携帯端末４０からの承認を確かに受けたことを示す承認データ５６３とを保持する。なおこれらのデータ５６０〜５６３は、金融機関の所有する前記ＡＴＭ３０で取引が行われた回数分だけ存在する。
【００４８】
次に、前記不正取引防止システム１００を導入後における、前記ＡＴＭ３０の利用ライフサイクルについて、図５を使って説明する。ここで前記本人１０は、まず金融機関で口座を開設すると（フェーズ２０１）、前記ＡＴＭ３０で取引が可能な状態となる（フェーズ２０２）。しかし前記ＡＴＭ３０で正常な取引が行えなくなるといった状態もあり得る。前記携帯端末４０の機種変更を行ったとき（フェーズ２０４）、前記携帯端末４０の例えばメールアドレスを変更したとき（フェーズ２０５）、前記第１認証情報５２２を変更したとき（フェーズ２０６）、前記第２認証情報５４４を変更したとき（フェーズ２０７）、前記本人１０が一時的に口座を使えなくする凍結を行ったとき（フェーズ２０８）、キャッシュカードの盗難・紛失によりキャッシュカードを再発行するとき（フェーズ２０９）、金融機関の統廃合といった時に口座が移設されたとき（フェーズ２１０）がそれにあたる。また、前記本人１０が口座を解約する（フェーズ２０３）と、解約後に前記本人１０はＡＴＭで取引できなくなる。
【００４９】
これらのフェーズ２０１〜２１０のすべてについて、以降フェーズごとに分けて第１実施例における処理の流れを説明する。
【００５０】
１．口座の開設フェーズ：
前記フェーズ２０１に示した口座の開設時には、金融機関は図４に示したデータをもつ前記キャッシュカード２０の発行と、前記携帯端末４０の前記セキュリティチップ４１３へのデータ書き込みと、前記ホスト５０の保持するデータの追加を行う。
【００５１】
金融機関は、前記口座の開設を申し込んだ者に前記口座ＩＤ５５３を割り当て、前記口座ＩＤ５５３と同じデータを前記キャッシュカード３０の前記口座ＩＤ５２１にカードライタを使って書き込む。さらに名義人となる本人１０に例えばバイオメトリクス情報をバイオメトリクス装置（図示せず）から登録してもらい、前記第１認証情報５２２にカードライタを使って書き込む。
【００５２】
また金融機関は、前記携帯端末４０の前記セキュリティチップ４１３に、前記メール署名データ５５２で署名したメールを検証するための前記メール署名検証データ５４１と、前記ホスト５０が前記携帯端末４０を認証するために利用する前記クライアント証明書５４２と、前記携帯端末４０が前記ホスト５０を認証するために利用する前記サーバ証明書検証データ５４３とを専用装置（図示せず）を使って書き込む。こうして書き込まれたデータ５４１〜５４３は、前記セキュリティチップ４１３の持つ機能により、金融機関の許可を得ない限り変更できないようになっている。
【００５３】
さらに金融機関は、前記ホスト５０の保持するデータとして、前記本人１０の前記携帯端末４０のメールアドレスを前記携帯端末アドレス５５４に登録し、前記携帯端末４０を認証するために利用する前記クライアント証明書検証データ５５５を登録し、また前記本人１０に届出印を提出してもらい、届出印データ５５７に登録する。
【００５４】
２．ＡＴＭでの取引：
前記フェーズ２０２に示したＡＴＭでの取引可能状態では、口座を開設した前記本人１０あるいは前記本人以外１１のいずれも前記ＡＴＭ３０で取引することができる。前記ＡＴＭ３０における詳細な処理の流れについて図６〜図９を使って説明する。
【００５５】
前記ＡＴＭ３０は、図８に示す画面８００を前記表示部３１２に表示して、取引を待ち受ける（ステップ６０１）。本人が現金引き出しを行うときには「お引き出し」ボタン８０１を押下し、本人以外が現金引き出しを行うときには「代理人で引き出し」ボタン８０２を押下すれば良いようになっている。どのボタンが押下されたかについては、前記ＡＴＭ３０の前記メモリ３０２に保持する。以下では本発明の特徴的な処理となる、前記二つのボタンのいずれかが押下された時の処理に限定して説明する。
【００５６】
前記「お引き出し」ボタン８０１が押下された場合も、前記「代理人で引き出し」ボタン８０２が押下された場合も、前記ＡＴＭ３０は、前記表示部３１２に画面８１０を表示し、前記キャッシュカード２０の挿入を要求する。前記キャッシュカード２０が前記カード読み書き部３１１に挿入されると、ＡＴＭ３０は、前記キャッシュカード２０の前記口座ＩＤ５２１を読み取る（ステップ６０２）。
【００５７】
前記ＡＴＭ３０は、前記ホスト通信部３０４を通じて前記ホスト５０に問合せを行う。一方、この問合わせに対応する前記ホスト５０の前記処理プログラム５１は、前記口座ＩＤ５２１と一致する前記口座ＩＤ５５３を検索し、前記凍結フラグ５５６がＯＮであるかどうかを確認する（ステップ６０３）。もし凍結（フラグがＯＮ）されていたら、前記処理プログラム５１は前記ＡＴＭ３０に取引を中止するメッセージを返す。他方、このメッセージを受けた前記ＡＴＭ３０は、画面８８０を表示して処理中の取引を中止し、前記キャッシュカード２０を返却する。
【００５８】
また、前記認証情報入力端末切替部３２は、前記メモリ３０２の保持する前記押下ボタンに関するデータを参照し、本人による取引（前記ボタン８０１を押下）か、本人以外による取引（前記ボタン８０２を押下）かに応じて処理を切り替える（ステップ６０４）。
【００５９】
本人による取引の場合、前記第１認証情報入力部３１は、画面８２０を前記表示部３１２に表示し、前記本人１０に認証情報を前記操作部３１３に入力するよう要求する（ステップ６０５）。
【００６０】
認証情報の入力が完了すると、前記第１認証情報入力部３１は、前記カード読み書き部３１１を通じて前記キャッシュカード２０から前記第１認証情報５２２を読み取り、入力された認証情報との照合を行う（ステップ６０６）。この照合により、もし本人でないと判定すれば、前記ＡＴＭ３０は、画面８８０を表示して実行中の取引を中止し、前記キャッシュカード２０を返却する。
【００６１】
一方、前記照合により、もし本人だと判定すれば、前記ＡＴＭ３０は、画面８３０を表示し、前記本人１０に前記操作部３１３から取引情報を入力することを要求する（ステップ６０７）。
【００６２】
前記取引情報の入力が完了すると、前記ＡＴＭ３０は、利用者からの要求内容に従って前記ホスト５０の前記処理プログラム５１と通信を行って口座の残高確認等を行い、前記キャッシュモジュール部３１４からの現金受け渡し、画面８４０の表示を実行し、取引を完了する（ステップ６０８）。
【００６３】
次に、前記認証情報入力端末切替部３２が前記ステップ６０４で本人以外による取引と判定した時の処理について説明する。
前記ステップ６０４において、前記認証情報入力端末切替部３２が本人以外の取引と判定した時には、前記ＡＴＭ３０は、前記キャッシュカード２０の前記リトライ用データ５２３を読み取り、もしクリアされていれば前記本人以外１１に前記操作部３１３から取引情報を入力することを要求する画面８５０を前記表示部３１２に表示する。もし前記リトライ用データ５２３がクリアされていなければ、前記リトライ用データ５２３をもとに取引情報を入力済みの状態とした画面８６０を前記表示部３１２に表示する（ステップ６０９）。
【００６４】
前記ステップ６０９が完了すると続いて、前記ＡＴＭ３０は、前記表示部３１２に画面８７０を表示すると共に、前記本人１０に前記携帯端末４０を使って取引を承認してもらう処理を行う（ステップ６１０）。前記ステップ６１０については図７を使って説明する。
【００６５】
前記ＡＴＭ３０は、取引に関する前記口座ＩＤ５２１、前記ＡＴＭ３０で取引を行った日付と日時、前記ＡＴＭ３０に割り当てられたＡＴＭ端末ＩＤ、前記ＡＴＭ３０の前記カメラ３１０で撮影した前記ＡＴＭ３０の前に立つ者の顔写真、および前記本人以外１１が前記ＡＴＭ３０に入力した取引情報を前記ホスト５０に送信する（ステップ７０１）。
【００６６】
前記処理プログラム５１は、前記口座ＩＤ５２１に一致する前記口座ＩＤ５５３を検索し、該当する前記携帯端末アドレス５５４を検索し、前記携帯端末４０宛てにメールを送信する。前記メールは、前記ステップ７０１で前記ホスト５０が受信したデータと、さらに前記ＡＴＭ端末ＩＤ５５８を検索して得られる前記ＡＴＭ３０の設置場所データ５５９のデータとを組み合わせた内容を本文に持つものである。前記処理プログラム５１は前記メールを、前記メール署名データ５５２を使って署名してから前記携帯端末４０に送信する（ステップ７０２）。
【００６７】
前記携帯端末４０は、前記署名付きメールを受信すると、前記メール署名検証データ５４１を使って前記署名を検証し、正しいホストから送信されたメールかどうかをチェックする（ステップ７０３）。正しいホストからのメールであれば、前記携帯端末４０は図９に示す画面９００を前記表示部４１１に表示する。正しいホストからのメールでなければ前記署名付きメールの着信を無視する。
【００６８】
前記本人１０は、前記携帯端末４０の前記操作部４１２で操作し、画面９１０に示すように着信メール一覧から「代理人取引の承認願い」メールの件名９１１を選択する。前記メール９１１が選択されると、前記携帯端末４０は画面９２０に示すようなＡＴＭ取引詳細に関するメール内容を表示する（ステップ７０４）。
【００６９】
前記本人１０は前記操作部４１２で操作し、前記画面９２０に示すメール本文中のアドレス９２１をクリックする。前記アドレス９２１がクリックされると、前記携帯端末４０は、前記ホスト５０とＳＳＬ通信を確立する処理を行うため、前記クライアント証明書５４２を前記ホスト５０に送信する。前記クライアント証明書５４２を受信した前記ホスト５０は、前記クライアント証明書検証データ５５５を使って前記携帯端末４０を認証する（ステップ７０５）。
【００７０】
つづいて、前記処理プログラム５１は、前記サーバ証明書５５１を前記携帯端末４０に送信する。前記サーバ証明書５５１を受信した前記携帯端末４０は、前記サーバ証明書検証データ５４３を使って前記ホスト５０を認証する（ステップ７０６）。
【００７１】
前記ステップ７０５かつ前記ステップ７０６の相互認証が完了すると、前記第２認証情報入力部４１は、画面９３０を前記表示部４１１に表示し、前記本人１０に認証情報を前記操作部４１２から入力することを要求する（ステップ７０７）。
【００７２】
前記本人１０が認証情報を入力すると、前記第２認証情報入力部４１は、前記第２認証情報５４４と照合を行う（ステップ７０８）。もし本人でないと判定すると、前記ホスト５０へと取引を中止するメッセージを送る。
【００７３】
前記ステップ７０８で本人であると判定すると、前記ホスト５０は前記携帯端末４０に代理人取引を承認するＷｅｂページを送信する。一方、前記携帯端末４０は、Ｗｅｂブラウザを起動して前記表示部４１１に前記Ｗｅｂページに基づく画面９４０を表示する（ステップ７０９）。
【００７４】
前記本人１０は、前記画面９４０を見ながら前記操作部４１２で操作し、代理人取引に対する処理をボタン９４１〜９４４を押下することで決定する（ステップ７１０）。
なお、前記画面９４０における「取引を許可する」ボタン９４１が押下されると、前記携帯端末４０は、前記ホスト５０に取引を許可するメッセージを送信する。さらに前記処理プログラム５１は、前記携帯端末４０の前記表示部４１１に画面９５０を表示する（ステップ７１１）。
また、「取引を中止する」ボタン９４２が押下されると、前記携帯端末４０は、前記ホスト５０に取引を中止するメッセージを送信する。さらに前記処理プログラム５１は、前記表示部４１１に画面９６０を表示する（ステップ７１２）。
また、「警察に通報する」ボタン９４３が押下されると、前記携帯端末４０は、前記ホスト５０に警察に通報するメッセージを送信する。さらに前記表示部４１１に画面９７０を表示する。また前記処理プログラム５１は、前記メッセージを受け取ると警察に通報する（ステップ７１３）。
また、「口座を凍結する」ボタン９４４が押下されると、前記携帯端末４０は、前記ホスト５０に口座を凍結するメッセージを送信する。さらに前記表示部４１１に画面９８０を表示する。また前記処理プログラム５１は、前記メッセージを受け取ると、前記凍結フラグ５５６をＯＮにする（ステップ７１４）。
【００７５】
なお、前記ステップ７０２において、前記処理プログラム５１は、前記ＡＴＭ３０から送信された端末ＩＤをもとに前記端末設置データ５５９を取得すると述べたが、あるいは前記端末設置データ５５９を前記ＡＴＭ３０の前記記憶装置３０３が保持し、前記ＡＴＭ３０が前記ホスト５０に送信するものであっても良い。ただし、前記ＡＴＭ３０と前記ホスト５０との通信路を流れるトラフィック量の点からすると、前記ホスト５０が前記端末設置データ５５９を保持する方法が最適である。
【００７６】
以上のステップ７０１〜ステップ７１４が完了すると、ふたたび前記ＡＴＭ３０での処理に戻る。図６を使ってＡＴＭ取引の処理の続きを説明する。
【００７７】
前記ＡＴＭ３０は、前記ステップ６１０の処理が所定時間内に完了するかどうかをチェックする（ステップ６１１）。もしタイムアウトであれば、前記ＡＴＭ３０は前記キャッシュカード２０の前記リトライ用データ５２３に前記ＡＴＭ３０に入力されたデータを書き込み（ステップ６１５）、実行中の取引を中止し前記表示部３１２に画面８８０を表示すると共に、前記キャッシュカード２０を返却する。所定時間内に前記ステップ６１０の処理が完了すれば、前記キャッシュカード２０の前記リトライ用データ５２３のデータをクリアする（ステップ６１２）。
【００７８】
さらに、前記ＡＴＭ３０は、前記ステップ６１０からの承認結果が取引を許可するものかどうかをチェックする（ステップ６１３）。なお、前記ステップ６１１で取引を許可する以外の結果である時には、前記ＡＴＭ３０は、実行中の取引を中止し前記表示部３１２に画面８８０を表示すると共に、前記キャッシュカード２０を返却する。
【００７９】
他方、前記ステップ６１３で取引を許可する結果である時には、前記ＡＴＭ３０は、前記本人１０から承認を受けて取引を行った証拠となるデータとして、図４に示す前記取引日時５６０、前記口座ＩＤ５６１、前記取引データ５６２、前記承認データ５６３を前記ホスト５０に記録する（ステップ６１４）。
【００８０】
最後に、前記ＡＴＭ３０は、前記ステップ６０８と同様に前記ホスト５０と通信して取引を実施する。以上で、ＡＴＭでの取引が完了する。
【００８１】
なお前記ステップ６０５では、前記キャッシュカード２０から前記第１認証情報５２２を読み取り前記ＡＴＭ３０内で照合を行う方法としたが、あるいは、前記キャッシュカード２０は論理回路を有する構成であっても良い。前記キャッシュカード２０が論理回路を有する場合には、前記操作部３１３から入力された認証情報を前記キャッシュカード２０に送信し、前記論理回路で照合を行う方法をとる。
【００８２】
３．携帯端末の機種変更：
前記フェーズ２０４で述べたように、前記本人１０が前記携帯端末４０を別の機種に変更する時には、新しい携帯端末と前記キャッシュカード２０を持って金融機関に赴き、前記口座の開設時に行ったのと同じように、図４に示す前記メール署名検証データ５４１、前記クライアント証明書５４２、前記サーバ証明書検証データ５４３を前記セキュリティチップ４１３に書き込むことを行う。
金融機関は、前記第１認証情報５２２を使って本人確認を行い、第３者による不正な機種変更ではないことを確認してから、新しい前記携帯端末４０の前記セキュリティチップ４１３にデータ５４１〜５４３を書き込む。
【００８３】
なお、第３者による不正な機種変更ではないことを確認するために、前記本人１０に届出印を持ってきてもらい、前記届出印データ５５７と照合して本人確認を行う方法もある。
また、古い携帯端末の前記セキュリティチップ４１３の保持するデータ５４１〜５４４は、前記セキュリティチップ４１３が耐タンパ性を備えているため、データを消去しなくても前記データが漏洩する可能性は小さい。
【００８４】
４．携帯端末アドレスの変更：
前記フェーズ２０５で述べたように、前記本人１０が所有する前記携帯端末４０のアドレスを変更した時には、前記本人１０は前記キャッシュカード２０を持って金融機関に赴き、変更後のアドレスを届け出る。金融機関は、前記キャッシュカード２０の前記第１認証情報５２２を使って本人確認を行い、第３者による不正なアドレス変更ではないことを確認してから、前記ホスト５０の保持する前記携帯端末アドレス５５４のデータを書き換える。
なお第３者による不正なアドレス変更ではないことを確認するために、前記本人１０に届出印を持ってきたもらい、前記届出印データ５５７と照合して本人確認を行う方法もある。
【００８５】
５．第１認証情報の変更：
前記フェーズ２０６で述べたように、前記第１認証情報５２２を変更する場合、前記本人１０は前記キャッシュカード２０を持って金融機関に赴き、前記第１認証情報５２２のデータの書き換えを行う。金融機関は、変更前の前記第１認証情報５２２を使って本人確認を行い、第３者による不正な認証情報の変更ではないことを確認してから、前記第１認証情報５２２のデータを書き換える。
なお第３者による不正な認証情報の変更ではないことを確認するために、前記本人１０に届出印を持ってきたもらい、前記届出印データ５５７と照合して本人確認を行う方法もある。
このような前記第１認証情報５２２の変更は、例えばバイオメトリクス情報を利用する場合、経年変化もあることから定期的に行うことが望ましい。例えば、クレジット機能付きキャッシュカードの場合には、クレジット機能の有効期限が終了するタイミングで前記第１認証情報５２２を変更することが挙げられる。
【００８６】
６．第２認証情報の変更：
前記フェーズ２０７で述べたように、前記第２認証情報５４４を変更する場合、前記本人１０は自己責任の下で前記携帯端末４０の前記操作部４１２から前記第２認証情報５４４を変更することができる。前記携帯端末４０は、変更前の前記第２認証情報５４４を使って本人確認を行い、第３者による不正な認証情報の変更ではないことを確認してから、前記第２認証情報５４４のデータを書き換える。
なお、このような第２認証情報５４４の変更は、例えばバイオメトリクス情報を利用する場合、経年変化もあることから定期的に行うことが望ましい。例えば、前記携帯端末４０の機種変更とあわせて行うことが挙げられる。
【００８７】
７．口座の凍結：
前記フェーズ２０８で述べたような口座の凍結は、例えば図７に示した前記ステップ７１４で行われる。口座の凍結を解除するには、前記本人１０が前記携帯端末４０から前記ホスト５０に接続し、前記凍結フラグ５５６をＯＦＦにすることを行う。前記凍結フラグ５５６をＯＦＦにする前には、前記第２認証情報入力部４１から前記本人１０に認証情報を入力してもらい、前記第２認証情報５４４と照合して本人確認を行うことで、第３者による不正な口座の凍結解除でないことを確認してから、前記凍結フラグ５５６をＯＦＦにする。前記本人１０は、前記携帯端末４０から口座の凍結を解除することができる。
【００８８】
８．キャッシュカードの再発行：
前記フェーズ２０９で述べたように前記本人１０が前記キャッシュカード２０を再発行する時には、 前記携帯端末４０を持って金融機関に赴き、再発行の手続きを行う。その時、金融機関は前記ホスト５０の保持する前記携帯端末アドレス５５４に通知し、前記第２認証情報入力部４１から前記本人１０に認証情報を入力してもらい、前記第２認証情報５４４と照合して本人確認を行うことで、第３者による不正な再発行ではないことを確認し、前記キャッシュカード２０を再発行する。
なお第３者による不正な再発行ではないことを確認するために、前記本人１０に届出印を持ってきたもらい、前記届出印データ５５７と照合して本人確認を行う方法もある。例えば、前記携帯端末４０も一緒に紛失あるいは盗難した場合には、本方法による本人確認を行う。
【００８９】
９．口座の移設：
前記フェーズ２１０で述べたように、金融機関の統廃合により口座を移設する場合には、前記本人１０は前記キャッシュカード２０を持って金融機関に赴き、前記口座ＩＤ５２１のデータを書き換える。合わせて前記ホスト５０の保持する前記口座ＩＤ５５３も書き換える。
【００９０】
１０．口座の解約：
前記フェーズ２０３で述べたように、前記本人１０が口座を解約する時には、前記キャッシュカード２０を持って金融機関に赴き、自身の口座を解約することを申し出る。金融機関は、前記第１認証情報５２２を使って本人確認を行い、第３者による不正な解約でないことを確認してから、前記口座ＩＤ５２１に対応する前記ホスト５０上の前記口座ＩＤ５５３、前記携帯端末アドレス５５４、前記クライアント証明書検証データ５５５、前記凍結フラグ５５６、前記届出印データ５５７のデータを削除する。これにより以降、前記口座ＩＤ５２１に関する取引はできなくなる。
なお、第３者による不正な解約ではないことを確認するために、前記本人１０に届出印を持ってきたもらい、前記届出印データ５５７と照合して本人確認を行う方法もある。
【００９１】
以上述べてきた第１実施例の不正取引防止システム１００により、本人以外がＡＴＭ３０で取引を行う場合にも、本人所有の携帯端末４０に本人自身が第２認証情報を入力することで、本人確認を行い、ＡＴＭ３０の取引サービスを提供することができる。これにより、代理人取引の場合にも、事前に登録する必要なく、かつ前記代理人に第１認証情報を渡すことなく安全に代理人取引を行うことができる。
【００９２】
また前記不正取引防止システム１００は代理人取引を安全に行う以外にも、ＡＴＭ３０の備える第１認証情報入力部を利用する替わりに、携帯端末４０の備える第２認証情報入力部を必ず使いたいという要求を満たすことにも利用できる。例えば、ＡＴＭ３０のキーパッド装置がなりすまされていたりＡＴＭ上で盗聴が行われていたりすることを懸念して、前記第１認証情報入力部を使わずに、前記第２認証情報入力部を使いたいといった要求が考えられる。前記不正取引防止システム１００はこのようなセキュリティに関する要求も満たすことができる。
【００９３】
−−−実施例２−−−
第１実施例における前記認証情報入力端末切替部３２は、本人による取引か本人以外による取引かを区別するために、図８に示す前記画面８００上で押下されるボタンに応じて判定を実行した。本第２実施例における認証情報入力端末切替部３２は、本人による取引か本人以外による取引かを、前記携帯端末４０の現在位置が前記ＡＴＭ３０の設置場所と一致しているかどうかに応じて自動的に判定する。
【００９４】
第２実施例におけるＡＴＭ取引のフローチャートは、図６に示す前記ステップ６０１〜前記ステップ６０３までは共通である。ただし、前記ステップ６０１において前記表示部３１２に表示する画面８００において、前記「代理人で引き出し」ボタン８０２はなくても良い。
【００９５】
つづく前記認証情報入力端末切替部３２が、認証情報の入力端末を切り替える処理について、図１０を使って説明する。
図６の前記ステップ６０３で口座が凍結されていないことを確認すると、つぎに前記認証情報入力端末切替部３２は、前記キャッシュカード２０の前記口座ＩＤ５２１と前記ＡＴＭ３０に割り当てられた端末ＩＤとを前記ホスト５０に送信する（ステップ１００１）。
前記ホスト５０の前記処理プログラム５１は、前記携帯端末アドレス５５４にダイアルし、前記携帯端末４０に位置情報を返すように要求する（ステップ１００２）。なお、前記前記携帯端末アドレス５５４は前述したメールアドレスに限らず、前記携帯端末４０を発呼できるものであれば良い。
前記携帯端末４０は、前記ＧＰＳ衛星６０の発信する電波を前記ＧＰＳ受信部４０２で受けて、現在位置を算出する。算出した現在位置を前記ホスト５０に返す（ステップ１００３）。
【００９６】
前記ホスト５０の前記処理プログラム５１は、前記ＡＴＭ３０から受けた現在位置の情報と、前記ＡＴＭ端末ＩＤ５５８から検索して特定できる前記端末設置データ５５９とを比較する（ステップ１００４）。比較により前記ＡＴＭ３０と前記携帯端末４０との距離が所定のしきい値（例えば１０ｍ）未満であれば本人による取引と判定し、前記ステップ６０５へと続く処理を行う。前記しきい値以上であれば本人以外による取引と判定し、前記ステップ６０９へと続く処理を行う。前記しきい値は、どの場所にあるＡＴＭで取引しようとしているかが区別できるように、ＧＰＳを用いた位置特定の精度も考慮して決めれば良い。ただし、１つの場所に２台以上のＡＴＭが設置される場合には、どのＡＴＭによる取引であるのかまでを区別する必要はなく、どの場所で取引しようとしているかを区別できれば十分である。
【００９７】
以上述べてきた第２実施例により、第３者がキャッシュカードを偽造してＡＴＭで取引する場合にも、本人の所有する携帯端末に確実に通知されるようになり、不正取引の抑止効果を高めることができる。
【００９８】
−−−実施例３−−−
第１実施例における前記第１認証情報５２２は、前記キャッシュカード２０が保持し、前記第２認証情報５４４は前記携帯端末４０の前記セキュリティチップ４１３が保持する構成とした。第３実施例では、これらの認証情報の格納場所として前記ホスト５０を利用する方法について説明する。
【００９９】
図１１に示すように、前記第１実施例での前記第１認証情報５２２および前記第２認証情報５４４の格納場所は、同図において示す“（ａ）”欄１１０１の構成をとる。しかし、前記キャッシュカード２０は携帯可能であるため盗難や紛失の機会が大きく、また前記キャッシュカード２０が磁気カードの場合にはスキミングの被害に会いやすく、前記キャッシュカード２０の中に前記第１認証情報を５２２保持しておくことは、前記第１認証情報５２２が漏洩する一因にもなりえる。
【０１００】
そこで図１１の“（ｂ）”欄１１０２に示すように、前記第１認証情報５２２を前記ホスト５０に保持する方法がある。前記（ｂ）の構成では、前記認証情報入力端末切替部３２が前記第１認証情報入力部３１に切り替えた時には、前記第１認証情報入力部３１から入力された第１認証情報を前記ホスト５０に転送し、前記ホスト５０で前記第１認証情報５２２と照合することで本人確認を行う。また前記認証情報入力端末切替部３２が前記第２認証情報入力部４１に切り替えた時には、前記第２認証情報入力部４１から入力された第１認証情報を前記ホスト５０に転送し、前記ホスト５０で前記第１認証情報５２２と照合することで本人確認を行う。
【０１０１】
以上述べてきた第３実施例により、紛失や盗難の発生可能性の高いキャッシュカードに前記第１認証情報を置かずにホストに前記第１認証情報を置く構成とすることで、紛失や盗難による前記第１認証情報の漏洩を防止することができる。
【０１０２】
以上、本発明の実施の形態について、その実施の形態に基づき具体的に説明したが、これに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。
【図面の簡単な説明】
【０１０３】
【図１】本実施形態における不正取引防止システムのシステム構成図である。
【図２】本実施形態におけるＡＴＭのブロック図と外観を説明した図である。
【図３】本実施形態における携帯端末のブロック図と外観を説明した図である。
【図４】本実施形態における不正取引防止システムの各装置が保持するデータの説明図である。
【図５】本実施形態における不正取引防止システム導入後のＡＴＭ利用ライフサイクルを示す図である。
【図６】本実施形態における不正取引防止システムのＡＴＭ取引のフローチャート図である。
【図７】本実施形態における本人による承認手続きのフローチャート図である。
【図８】本実施形態の不正取引防止システムにおけるＡＴＭでの表示例を示す図である。
【図９】本実施形態の不正取引防止システムにおける携帯端末での表示例を示す図である。
【図１０】第２実施例における認証情報入力端末切替部のフローチャート図である。
【図１１】本実施形態における認証情報を格納する場所の変形例を説明する図である。
【符号の説明】
【０１０４】
１０ 本人 １１ 本人以外
２０ キャッシュカード（媒体） ３０ ＡＴＭ（第１端末もしくは端末装置）
３１ 第１認証情報入力部 ３２ 認証情報入力端末切替部
４０ 携帯端末（第２端末） ４１ 第２認証情報入力部
５０ ホスト ５１ 処理プログラム
６０ ＧＰＳ衛星 １００ 不正取引防止システム
３０１ ＣＰＵ ３０２ メモリ
３０３ 記憶装置 ３０４ ホスト通信部
３０５ バス ３１０ カメラ
３１１ カード読み書き部 ３１２ 表示部
３１３ 操作部 ３１４ キャッシュモジュール部
４０１ 制御部 ４０２ ＧＰＳ受信部
４０３ 携帯通信部 ４０４ メモリ
４０５ 記憶装置 ４０６ バス
４１１ 表示部 ４１２ 操作部
４１３ セキュリティチップ ５２１ 口座ＩＤ
５２２ 第１認証情報 ５２３ リトライ用データ
５４１ メール署名検証データ ５４２ クライアント証明書
５４３ サーバ証明書検証データ ５４４ 第２認証情報
５５１ サーバ証明書 ５５２ メール署名検証データ
５５３ 口座ＩＤ ５５４ 携帯端末アドレス
５５５ クライアント証明書検証データ ５５６ 凍結フラグ
５５７ 届出印データ ５５８ ＡＴＭ端末ＩＤ
５５９ 端末設置データ ５６０ 取引日時
５６１ 口座ＩＤ ５６２ 取引データ
５６３ 承認データ
【技術分野】
【０００１】
本発明は、不正取引防止システムおよび端末装置に関し、特に、金融機関などに設置されるＡＴＭ（現金自動預け払い機）における本人確認のセキュリティ技術に関する。
【背景技術】
【０００２】
金融機関やコンビニエンスストアなどに設置されるＡＴＭは、一般人の生活にとって欠くことのできないものとなっている。利用者がＡＴＭで取引する時には、知識（暗証番号）と所持品（キャッシュカード）を利用して本人確認を行い、本人であることが確認されると口座の取引（払い戻し、振込み、キャッシングなど）を行えることが知られている。
【０００３】
また、非特許文献１によると、本人確認にバイオメトリクス情報を利用するＡＴＭも実用化されている。さらに特許文献１によると、利用者が携帯端末に暗証番号と取引情報を事前に入力しておきＡＴＭに携帯端末をかざすだけで、携帯端末とＡＴＭ間で非接触の近距離通信が行われ、迅速に取引できることが述べられている。
【０００４】
ところで、ＡＴＭで取引する者は本人に限らず、本人以外の代理人による取引のニーズもある。特許文献２には、本人が代理人に現金の引き出しの機会を提供したい場合もあることが述べられている。
【０００５】
非特許文献２によれば、バイオメトリクス情報で本人確認を行うＡＴＭでは、本人以外の代理人のバイオメトリクス情報をあらかじめ登録しておけば、代理人もＡＴＭで取引することができることが述べられている。
【特許文献１】特開２００１−２９７１９８号公報
【特許文献２】特開２００４−３０３０５７号公報
【非特許文献１】Ｍｉｔｓｕｂｉｓｈｉ Ｔｏｋｙｏ Ｆｉｎａｎｃｉａｌ Ｇｒｏｕｐ、Ｉｎｃ．、Ｔｈｅ Ｂａｎｋ ｏｆ Ｔｏｋｙｏ−Ｍｉｔｓｕｂｉｓｈｉ、Ｌｔｄ．、「Ｌａｕｎｃｈ ｏｆ "Ｓｕｐｅｒ ＩＣ Ｃａｒｄ Ｔｏｋｙｏ−Ｍｉｔｓｕｂｉｓｈｉ ＶＩＳＡ"」、［ｏｎｌｉｎｅ］、平成１６年９月２２日、東京三菱銀行、［平成１７年１月１７日検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｂｔｍ．ｃｏ．ｊｐ／ｅｎｇｌｉｓｈ／ｐｒｅｓｓ／ｎｅｗｓ２００４／ｐｄｆ／ｎｅｗｓ２１２ｅ．ｐｄｆ＞
【非特許文献２】東京三菱銀行、『スーパーＩＣカード「東京三菱―ＶＩＳＡ」ご注意事項』、［ｏｎｌｉｎｅ］、平成１６年１０月、東京三菱銀行、［平成１７年１月１７日検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｂｔｍ．ｃｏ．ｊｐ／ｔｓｕｋａｕ／ｃａｒｄ／ｖｉｓａ／ｒｙｕｉ．ｈｔｍ＞
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかし、知識や所持品を利用した本人確認では、知識の聞き出しや類推、所持品の盗難や偽造によるなりすましを防止することができない。また、バイオメトリクス情報を利用した本人確認において代理人取引を行うには、事前の登録が必要となり、利便性が低下する。また携帯端末に事前入力する前記特許文献１の方法では、代理人取引の時には携帯端末ごと代理人に渡す必要があり、セキュリティが低下してしまう。
【０００７】
そこで本発明は、ＡＴＭにおける代理人取引に際し、事前の代理人登録を不要として、かつ安全な代理人取引を可能とする、不正取引防止システムおよび端末装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明の不正取引防止システムは、事前に代理人を登録することなく、かつ安全に代理人取引が行うという目的を、本人による取引時にはＡＴＭの備える第１認証情報入力部で認証情報を入力し、本人以外による取引時には本人所有の携帯端末の備える第２認証情報入力部で認証情報を入力するように、認証情報入力端末切替手段が認証情報の入力端末を切り替えて本人確認を行うことで実現した。
【０００９】
上記課題を解決する本発明の不正取引防止システムは、第１認証情報の入力を受付ける第１認証情報入力手段を備え、前記第１認証情報と利用者認証用の媒体が記録する情報とに基づく利用者の本人確認を行い、当該本人確認の結果に応じて所定サービスを提供する第１端末と、第２認証情報の入力を受付ける第２認証情報入力手段を備え、前記第１端末と通信可能な前記第２端末とを備えるシステムにおいて、前記第１端末が、認証情報の入力を受付けるに際し前記第１認証情報入力手段または前記第２認証情報入力手段のいずれかを使用すべく、認証情報入力用の端末を前記第１端末と第２端末とで切り替える、認証情報入力端末切替手段を有する。
【００１０】
また、本発明の不正取引防止システムは、前記第１端末が、利用者からの入力を受け付ける第１入力手段を備え、前記第１入力手段が、前記第１認証情報入力手段または前記第２認証情報入力手段のいずれかを認証情報入力に用いる旨の選択を受け付け、前記認証情報入力端末切替手段が、前記選択に応じて認証情報入力用の端末を前記第１端末または前記第２端末のいずれかに切り替えるものであることとすれば好適である。
【００１１】
また、本発明の不正取引防止システムは、前記認証情報入力端末切替手段が、前記第２端末について取得した位置情報と、前記第１端末の設置場所と比較して、前記第１端末と前記第２端末との距離が所定範囲内である場合に前記第１認証情報入力手段を利用し、前記距離が所定範囲を超える場合に前記第２認証情報入力手段を利用すべく、認証情報入力用の端末を前記第１端末または前記第２端末のいずれかに切り替えるものであることとすれば好適である。
【００１２】
また、本発明の不正取引防止システムは、前記第２端末が前記第２端末の所有者への所定通知を行うための第２通知手段を備え、前記第２通知手段が、認証情報入力用の端末として前記第１認証情報入力手段から前記第２認証情報入力手段への切り替えが前記認証情報入力端末切替手段により実行された場合に、前記第１端末の利用者に関して入力インターフェイスより取得した、利用時刻情報、利用場所情報、利用者の身体的な情報、利用取引情報のいずれか１つ以上の情報を通知するものであることとすれば好適である。
【００１３】
また、本発明の不正取引防止システムは、前記第２通知手段が、前記第１端末と前記第２端末とを接続する通信路において、盗聴、改ざん、なりすましに対する所定の防止対策が施された通信路が確立された後、前記通知を行うものであることとすれば好適である。
【００１４】
また、本発明の不正取引防止システムは、前記第２端末が、前記第２端末の所有者からの入力を受け付ける第２入力手段を備え、前記第２入力手段が、前記第１端末で処理中の前記サービスの提供承認指示を受付ける承認手段と、前記サービスの提供中止指示を受付ける第１中止手段と、次機会以降も前記サービスの提供を中止する指示を受け付ける第２中止手段と、前記サービスの提供中止に伴って所定の連絡先に所定内容の通報をする旨の指示を受け付ける第３中止手段のいずれか１つ以上の選択受付手段を備えることとすれば好適である。
【００１５】
また、本発明の不正取引防止システムにおいて、前記第２入力手段は、前記第２認証情報入力部から入力された第２認証情報に基づく本人確認により本人確認ができた場合に、前記選択受付手段を通じた指示受付を実施するものであることとすれば好適である。
【００１６】
また、本発明の不正取引防止システムは、前記第１端末が、利用者への通知を行うための第１通知手段を備え、前記第１通知手段は、前記第２入力手段において前記第１中止手段、前記第２中止手段、前記第３中止手段のいずれかに指示がなされたかを問わず、同一内容の所定通知を行うものであることとすれば好適である。
【００１７】
また、本発明の不正取引防止システムにおいて、前記第１端末は、前記第２入力手段を通して所定時間内に入力がなかった場合に、前記第１入力手段で入力された取引情報を前記媒体に記憶し、当該媒体に基づく次の利用機会において、前記媒体に記憶された前記取引情報を読み出して、前記第１入力手段において前回の利用機会と同じ取引情報を入力済みとするものであることとすれば好適である。
【００１８】
また、本発明の不正取引防止システムは、前記第１認証情報入力手段で入力された第１認証情報を照合するための登録済み第１認証情報を格納し、前記第１端末および前記第２端末と通信可能な第１端末管理装置を備え、前記第１端末管理装置が、前記第２端末より転送される、前記第２認証情報入力手段で入力された第１認証情報を受信し、当該第１認証情報と前記登録済み第１認証情報とを照合するものであることとすれば好適である。
【００１９】
また、本発明の不正取引防止システムは、前記第２端末および第１端末管理装置が、前記第２端末と前記第１端末管理装置とを接続する通信路において、盗聴、改ざん、なりすましに対する所定の防止対策が施された通信路が確立された後、データ通信を行うものであることとすれば好適である。
【００２０】
また、本発明の端末装置は、認証情報の入力を受付ける第１認証情報入力手段を備え、前記認証情報と利用者認証用の媒体が記録する情報とに基づく利用者の本人確認を行い、当該本人確認の結果に応じて所定サービスを提供する端末装置であって、認証情報の入力を受付けるに際し前記第１認証情報入力手段、または当該端末装置と通信可能な第２端末が備える第２認証情報入力手段のいずれかを使用すべく、認証情報入力用の端末を当該端末装置と前記第２端末とで切り替え可能な、認証情報入力端末切替手段を有する。
【００２１】
その他、本願が開示する課題、及びその解決方法は、発明の実施の形態の欄、及び図面により明らかにされる。
【００２２】
本発明によれば、以下のような効果を奏する。本発明の不正取引防止システムによれば、ＡＴＭで代理人取引を行う場合にも、前記認証情報入力端末切替手段が、前記第２端末の備える前記第２認証情報入力手段で第２認証情報を入力するように切り替えて本人確認を行うため、前記代理人を事前に登録することなく、かつ前記代理人に認証情報を教えるあるいは渡すことなく安全に代理人取引を行うことができる。
【００２３】
また、前記ＡＴＭの備える第１認証情報入力手段で第１認証情報を入力することを、キーパッド装置のなりすましやＡＴＭでの盗聴といったセキュリティ上の理由から敬遠する者にとって、前記第２端末の備える第２認証情報入力手段に切り替えて第２認証情報を入力することができる。これにより、キーパッド装置のなりすましやＡＴＭでの盗聴による第１認証情報の漏洩を防ぐことができる。
【００２４】
また、本発明の不正取引防止システムによれば、前記キャッシュカードを偽造し本人になりすまして前記ＡＴＭで取引を行う者がいたとしても、前記本人の所有する第２端末に迅速に通知することができる。これにより不正取引の抑止効果を高めることができる。
【００２５】
また、本発明の不正取引防止システムによれば、代理人取引の場合に前記代理人になりすまして前記ＡＴＭで取引を行おうとしても、前記本人の承認を得なければ取引を行うことができない。さらに、前記本人は前記第２端末の前記第２通知手段に通知される利用者情報を参照することで、代理人かどうかを確実にチェックすることができる。これにより代理人のなりすましを防止し、安全に代理人取引を行うことができる。
【００２６】
さらに、前記第２入力手段で処理中の取引を中止する指示を選択した時にも、どの理由で取引が中止されたかを前記第１端末の利用者に悟られないようにすることができる。例えば、警察に通報することを指示した場合にも、前記第１端末の利用者に逃走されてしまうといった要因を減らすことができる。
【００２７】
また、本発明の不正取引防止システムによれば、紛失や盗難の起こりやすい前記媒体に前記第１認証情報を格納しないため、前記媒体の紛失や盗難による前記第１認証情報の漏洩を防ぐことができる。
【発明の効果】
【００２８】
本発明によれば、ＡＴＭにおける代理人取引に際し、事前の代理人登録を不要として、かつ安全な代理人取引が可能となる。
【発明を実施するための最良の形態】
【００２９】
−−−実施例１−−−
以下、本発明の第１の実施形態を図面を参照しつつ詳細に説明する。第１実施例における不正取引防止システム１００の全体を説明するシステム構成図を図１に示す。ここで、本実施例１において想定する状況につき概説しておく。本人１０は金融機関で口座を開設した名義人本人であり、前記本人１０は金融機関の発行したキャッシュカード２０（媒体）を所有し、ＡＴＭ３０（第１端末もしくは端末装置）で取引（払い戻し、振込み、キャッシングなど）を行う。前記ＡＴＭ３０は、前記本人１０が前記ＡＴＭ３０で取引する時には第１認証情報入力部３１で認証情報の入力を受付ける。一方、本人以外１１が前記ＡＴＭ３０で取引する時には、携帯端末４０（第２端末）の備える第２認証情報入力部４１で本人１０が認証情報の入力を行うように、前記ＡＴＭ３０は、認証情報入力端末切替手段３２にて認証情報の入力端末を切り替える処理を実行し、本人確認を実施する。また、前記携帯端末４０の備える前記第２認証情報入力部４１で認証情報の入力を受付ける時には、前記携帯端末４０がホスト５０と通信して処理を行う。前記本人確認の処理が完了すると、前記ＡＴＭ３０は前記ホスト５０と通信して各種の取引を行う。なおＧＰＳ衛星６０は、第１実施例では利用しない。
【００３０】
最初に前記不正取引防止システム１００を構成する前記ＡＴＭ３０のブロック図について図２を使って、また、前記携帯端末４０のブロック図について図３を使って、更に、前記キャッシュカード２０と前記ホスト５０と前記携帯端末４０が保持するデータについて図４を使って説明する。
【００３１】
図２は、前記ＡＴＭ３０のブロック図と外観を説明した図である。前記ＡＴＭ３０は、適宜な電源部（図示せず）から電力を得て、ＣＰＵ３０１が後述するメモリ３０２、記憶装置３０３、ホスト通信部３０４、カメラ３１０、カード読み書き部３１１、表示部３１２、操作部３１３、キャッシュモジュール部３１４を、バス３０５を通じて制御する。そしてこのＡＴＭ３０は、前記本人１０あるいは前記本人以外１１に各種の取引サービスを提供する端末である。
【００３２】
前記メモリ３０２は、前記ＣＰＵ３０１が実行する処理プログラムをロードする主記憶である。また、前記記憶装置３０３は、電力が供給されなくてもデータを残すことのできるＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）といった装置である。また、前記ホスト通信部３０４は、ＴＣＰ／ＩＰあるいは独自のプロトコルを利用して専用線あるいはＩＳＤＮ線などの適宜な通信路１４０で接続された前記ホスト５０と通信する装置である。前記専用線あるいはＩＳＤＮ線などで接続された前記通信路１４０は、盗聴、改ざん、なりすましの対策が施されたものとなる。
【００３３】
また、前記カメラ３１０は、前記ＡＴＭ３０の前に立つ者の顔を撮影し画像データを出力する装置である。また、前記カード読み書き部３１１は、前記キャッシュカード２０の保持するデータを読み取る装置である。また、前記表示部３１２は、ディスプレイによる表示やフリッカランプによる点灯を行う装置である。また、前記操作部３１３は、暗証番号や取引額を入力するためのキーパッドあるいは、取引の種類などを指示するための各種ボタン、前記ディスプレイと同じ見た目をもつタッチパネル、さらには、前記本人１０のバイオメトリクス情報を入力するためのバイオメトリクス装置といったものである。
【００３４】
また、前記キャッシュモジュール部３１４は、出金あるいは入金のための紙幣や硬貨を保管すると共に、出金口あるいは入金口を備えて、前記本人１０あるいは前記本人以外１１の要求する取引に応じて紙幣や硬貨を前記出金口へと搬送あるいは入金口から搬入する装置である。
【００３５】
なお、前記ホスト５０は、処理プログラム５１を有し、前記ＡＴＭ３０との通信や前記携帯端末４０との通信といった各種の処理を行う。
【００３６】
また、図１に示した前記第１認証情報入力部３１および前記認証情報入力端末切替部３２は、前記記憶装置３０３に保持される実行可能プログラムであり、必要に応じて前記メモリ３０２にロードされることで前記ＣＰＵ３０１がさまざまな制御を実現する。
【００３７】
次に、携帯端末４０について説明する。図３は、前記携帯端末４０のブロック図および外観を説明した図である。前記携帯端末４０は、適宜なバッテリ（図示せず）から電力を得て、制御部４０１が後述するＧＰＳ受信部４０２、携帯通信部４０３、メモリ４０４、記憶装置４０５、音声部（図示せず）、表示部４１１、操作部４１２、セキュリティチップ４１３を、バス４０６を通じて制御することで、音声通話端末あるいは情報入力端末として機能する小型かつ軽量で携帯可能な端末である。
【００３８】
この携帯端末４０における前記ＧＰＳ受信部４０２は、前記ＧＰＳ衛星６０（図１参照）の発信する電波を受信する装置である。また、前記携帯通信部４０３は、特定周波数の電波を使って、基地局（図示せず）と通信する装置である。また、前記メモリ４０４は、前記制御部４０１が実行する処理プログラムをロードする主記憶である。また、前記記憶装置４０５は、電力が供給されなくてもデータを残すことのできるフラッシュメモリといった記憶装置である。また、前記音声部は、マイクやスピーカといった装置である。
【００３９】
また、前記表示部４１１は、ディスプレイといった装置である。また、前記操作部４１２は、数字ボタンや通話ボタンといった各種ボタン、十字キー、ジョグダイアル、さらにはバイオメトリクス情報を読み取るためのバイオメトリクス装置といった装置である。また、前記セキュリティチップ４１３は、耐タンパ性を備えた記憶装置であり、通信路の暗号化やデジタル署名を行うための電子署名書の保持や、本人確認を行うための認証情報の保持、さらに通信内容の暗号化・復号化をハードウェアで高速に行うといった機能をもつ装置である。なお、第１実施例では、前記ＧＰＳ受信部４０２は使用しない。
【００４０】
なお、図１に示した前記第２認証情報入力部４１は、前記記憶装置４０５に保持されるプログラムであり、前記メモリ４０４にロードされることで前記制御部４０１がさまざまな制御を実現する。
【００４１】
図４は、前記携帯端末４０の前記セキュリティチップ４１３が保持するデータと、前記不正取引防止システム１００が利用する、前記キャッシュカード２０および前記ホスト５０とについて説明した図である。
【００４２】
一例として、前記キャッシュカード２０の最適な実施形態はＩＣカードがあげられる。前記キャッシュカード２０はデータとして、前記本人１０を一意に特定するための銀行コード、支店コード、科目コード、口座番号といったデータを総称した口座ＩＤ５２１と、前記本人１０の本人確認に利用する第１認証情報５２２と、前記本人以外１１が前記ＡＴＭ３０で入力した取引情報を一時的に保持するためのリトライ用データ５２３とを保持する。前記第１認証情報５２２としては、例えばバイオメトリクス情報（指紋、静脈、顔、虹彩、声紋、筆跡など）を使うことが挙げられる。
【００４３】
また、前記携帯端末４０の前記セキュリティチップ４１３は、データとして、前記ホスト５０から送られる署名付きメールの正当性を検証するために使う、メール署名検証データ５４１と、前記ホスト５０と前記携帯端末４０とがＳＳＬ通信する時に前記ホスト５０が前記携帯端末４０を認証するのに使うクライアント証明書５４２とを保持する。また更に前記セキュリティチップ４１３は、データとして、前記ホスト５０から送信されるサーバ証明書５５１（後述）の正当性を検証するために使うサーバ証明書検証データ５４３と、前記本人１０の本人確認に利用する第２認証情報５４４とを保持する。なお、前記セキュリティチップ４１３は耐タンパ性を備えており、これらのデータは所定の許可を得ない限り、読み書きができないようになっている。
【００４４】
また、前記ホスト５０はデータとして大きく分けて４種類のデータを持つ。前記ホスト５０は、１種類目のデータとして、前記携帯端末４０と前記ホスト５０との安全な通信路を確立するためのデータを保持する。前記ホスト５０は、前記ホスト５０と前記携帯端末４０とがＳＳＬ通信する時に、前記携帯端末４０が前記ホスト５０を認証するのに使うサーバ証明書５５１と、前記ホスト５０から前記携帯端末４０にメールを送信するときにメールを署名するために使うメール署名データ５５２を保持する。
【００４５】
また、前記ホスト５０は、２種類目のデータとして、金融機関の名義人に関するデータを保持する。前記ホスト５０は、金融機関の名義人を一意に特定するための口座ＩＤ５５３と、前記名義人の所有する前記携帯端末４０のメールアドレスを記憶する携帯端末アドレス５５４と、前記携帯端末４０と前記ホスト間でＳＳＬ通信するときに前記ホスト５０が前記携帯端末４０を認証するのに使うクライアント証明書検証データ５５５と、前記名義人の口座を凍結するかどうかを決めるＢＯＯＬ値を持つ凍結フラグ５５６と、前記名義人の届け出た印鑑を登録するための届出印データ５５７とを保持する。なおこれらのデータ５５３〜５５７は、金融機関の口座を開設した名義人の数だけ存在する。
【００４６】
また、前記ホスト５０は、３種類目のデータとして、金融機関の設置する前記ＡＴＭ３０に関するデータを保持する。前記ホスト５０は、前記ＡＴＭ３０を識別するために付与されるＡＴＭ端末ＩＤ５５８と、前記ＡＴＭ端末ＩＤ５５８で識別される前記ＡＴＭ３０の設置場所（例えば、緯度と経度、あるいは付近の地図）に関する端末設置データ５５９とを保持する。なおこれらのデータ５５８〜５５９は、金融機関の保有する前記ＡＴＭ３０の台数分だけ存在する。
【００４７】
また、前記ホスト５０は、４種類目のデータとして、前記本人以外１１が前記ＡＴＭ３０で取引情報を入力し、前記本人１０が前記携帯端末４０で前記取引を承認したときに、前記取引を承認した証拠となるデータを保持する。前記ホスト５０は、前記取引が行われた日付と時間を示す取引日時５６０と、前記取引の口座を特定する口座ＩＤ５６１と、前記ＡＴＭ３０で入力された取引情報を示す取引データ５６２と、前記携帯端末４０からの承認を確かに受けたことを示す承認データ５６３とを保持する。なおこれらのデータ５６０〜５６３は、金融機関の所有する前記ＡＴＭ３０で取引が行われた回数分だけ存在する。
【００４８】
次に、前記不正取引防止システム１００を導入後における、前記ＡＴＭ３０の利用ライフサイクルについて、図５を使って説明する。ここで前記本人１０は、まず金融機関で口座を開設すると（フェーズ２０１）、前記ＡＴＭ３０で取引が可能な状態となる（フェーズ２０２）。しかし前記ＡＴＭ３０で正常な取引が行えなくなるといった状態もあり得る。前記携帯端末４０の機種変更を行ったとき（フェーズ２０４）、前記携帯端末４０の例えばメールアドレスを変更したとき（フェーズ２０５）、前記第１認証情報５２２を変更したとき（フェーズ２０６）、前記第２認証情報５４４を変更したとき（フェーズ２０７）、前記本人１０が一時的に口座を使えなくする凍結を行ったとき（フェーズ２０８）、キャッシュカードの盗難・紛失によりキャッシュカードを再発行するとき（フェーズ２０９）、金融機関の統廃合といった時に口座が移設されたとき（フェーズ２１０）がそれにあたる。また、前記本人１０が口座を解約する（フェーズ２０３）と、解約後に前記本人１０はＡＴＭで取引できなくなる。
【００４９】
これらのフェーズ２０１〜２１０のすべてについて、以降フェーズごとに分けて第１実施例における処理の流れを説明する。
【００５０】
１．口座の開設フェーズ：
前記フェーズ２０１に示した口座の開設時には、金融機関は図４に示したデータをもつ前記キャッシュカード２０の発行と、前記携帯端末４０の前記セキュリティチップ４１３へのデータ書き込みと、前記ホスト５０の保持するデータの追加を行う。
【００５１】
金融機関は、前記口座の開設を申し込んだ者に前記口座ＩＤ５５３を割り当て、前記口座ＩＤ５５３と同じデータを前記キャッシュカード３０の前記口座ＩＤ５２１にカードライタを使って書き込む。さらに名義人となる本人１０に例えばバイオメトリクス情報をバイオメトリクス装置（図示せず）から登録してもらい、前記第１認証情報５２２にカードライタを使って書き込む。
【００５２】
また金融機関は、前記携帯端末４０の前記セキュリティチップ４１３に、前記メール署名データ５５２で署名したメールを検証するための前記メール署名検証データ５４１と、前記ホスト５０が前記携帯端末４０を認証するために利用する前記クライアント証明書５４２と、前記携帯端末４０が前記ホスト５０を認証するために利用する前記サーバ証明書検証データ５４３とを専用装置（図示せず）を使って書き込む。こうして書き込まれたデータ５４１〜５４３は、前記セキュリティチップ４１３の持つ機能により、金融機関の許可を得ない限り変更できないようになっている。
【００５３】
さらに金融機関は、前記ホスト５０の保持するデータとして、前記本人１０の前記携帯端末４０のメールアドレスを前記携帯端末アドレス５５４に登録し、前記携帯端末４０を認証するために利用する前記クライアント証明書検証データ５５５を登録し、また前記本人１０に届出印を提出してもらい、届出印データ５５７に登録する。
【００５４】
２．ＡＴＭでの取引：
前記フェーズ２０２に示したＡＴＭでの取引可能状態では、口座を開設した前記本人１０あるいは前記本人以外１１のいずれも前記ＡＴＭ３０で取引することができる。前記ＡＴＭ３０における詳細な処理の流れについて図６〜図９を使って説明する。
【００５５】
前記ＡＴＭ３０は、図８に示す画面８００を前記表示部３１２に表示して、取引を待ち受ける（ステップ６０１）。本人が現金引き出しを行うときには「お引き出し」ボタン８０１を押下し、本人以外が現金引き出しを行うときには「代理人で引き出し」ボタン８０２を押下すれば良いようになっている。どのボタンが押下されたかについては、前記ＡＴＭ３０の前記メモリ３０２に保持する。以下では本発明の特徴的な処理となる、前記二つのボタンのいずれかが押下された時の処理に限定して説明する。
【００５６】
前記「お引き出し」ボタン８０１が押下された場合も、前記「代理人で引き出し」ボタン８０２が押下された場合も、前記ＡＴＭ３０は、前記表示部３１２に画面８１０を表示し、前記キャッシュカード２０の挿入を要求する。前記キャッシュカード２０が前記カード読み書き部３１１に挿入されると、ＡＴＭ３０は、前記キャッシュカード２０の前記口座ＩＤ５２１を読み取る（ステップ６０２）。
【００５７】
前記ＡＴＭ３０は、前記ホスト通信部３０４を通じて前記ホスト５０に問合せを行う。一方、この問合わせに対応する前記ホスト５０の前記処理プログラム５１は、前記口座ＩＤ５２１と一致する前記口座ＩＤ５５３を検索し、前記凍結フラグ５５６がＯＮであるかどうかを確認する（ステップ６０３）。もし凍結（フラグがＯＮ）されていたら、前記処理プログラム５１は前記ＡＴＭ３０に取引を中止するメッセージを返す。他方、このメッセージを受けた前記ＡＴＭ３０は、画面８８０を表示して処理中の取引を中止し、前記キャッシュカード２０を返却する。
【００５８】
また、前記認証情報入力端末切替部３２は、前記メモリ３０２の保持する前記押下ボタンに関するデータを参照し、本人による取引（前記ボタン８０１を押下）か、本人以外による取引（前記ボタン８０２を押下）かに応じて処理を切り替える（ステップ６０４）。
【００５９】
本人による取引の場合、前記第１認証情報入力部３１は、画面８２０を前記表示部３１２に表示し、前記本人１０に認証情報を前記操作部３１３に入力するよう要求する（ステップ６０５）。
【００６０】
認証情報の入力が完了すると、前記第１認証情報入力部３１は、前記カード読み書き部３１１を通じて前記キャッシュカード２０から前記第１認証情報５２２を読み取り、入力された認証情報との照合を行う（ステップ６０６）。この照合により、もし本人でないと判定すれば、前記ＡＴＭ３０は、画面８８０を表示して実行中の取引を中止し、前記キャッシュカード２０を返却する。
【００６１】
一方、前記照合により、もし本人だと判定すれば、前記ＡＴＭ３０は、画面８３０を表示し、前記本人１０に前記操作部３１３から取引情報を入力することを要求する（ステップ６０７）。
【００６２】
前記取引情報の入力が完了すると、前記ＡＴＭ３０は、利用者からの要求内容に従って前記ホスト５０の前記処理プログラム５１と通信を行って口座の残高確認等を行い、前記キャッシュモジュール部３１４からの現金受け渡し、画面８４０の表示を実行し、取引を完了する（ステップ６０８）。
【００６３】
次に、前記認証情報入力端末切替部３２が前記ステップ６０４で本人以外による取引と判定した時の処理について説明する。
前記ステップ６０４において、前記認証情報入力端末切替部３２が本人以外の取引と判定した時には、前記ＡＴＭ３０は、前記キャッシュカード２０の前記リトライ用データ５２３を読み取り、もしクリアされていれば前記本人以外１１に前記操作部３１３から取引情報を入力することを要求する画面８５０を前記表示部３１２に表示する。もし前記リトライ用データ５２３がクリアされていなければ、前記リトライ用データ５２３をもとに取引情報を入力済みの状態とした画面８６０を前記表示部３１２に表示する（ステップ６０９）。
【００６４】
前記ステップ６０９が完了すると続いて、前記ＡＴＭ３０は、前記表示部３１２に画面８７０を表示すると共に、前記本人１０に前記携帯端末４０を使って取引を承認してもらう処理を行う（ステップ６１０）。前記ステップ６１０については図７を使って説明する。
【００６５】
前記ＡＴＭ３０は、取引に関する前記口座ＩＤ５２１、前記ＡＴＭ３０で取引を行った日付と日時、前記ＡＴＭ３０に割り当てられたＡＴＭ端末ＩＤ、前記ＡＴＭ３０の前記カメラ３１０で撮影した前記ＡＴＭ３０の前に立つ者の顔写真、および前記本人以外１１が前記ＡＴＭ３０に入力した取引情報を前記ホスト５０に送信する（ステップ７０１）。
【００６６】
前記処理プログラム５１は、前記口座ＩＤ５２１に一致する前記口座ＩＤ５５３を検索し、該当する前記携帯端末アドレス５５４を検索し、前記携帯端末４０宛てにメールを送信する。前記メールは、前記ステップ７０１で前記ホスト５０が受信したデータと、さらに前記ＡＴＭ端末ＩＤ５５８を検索して得られる前記ＡＴＭ３０の設置場所データ５５９のデータとを組み合わせた内容を本文に持つものである。前記処理プログラム５１は前記メールを、前記メール署名データ５５２を使って署名してから前記携帯端末４０に送信する（ステップ７０２）。
【００６７】
前記携帯端末４０は、前記署名付きメールを受信すると、前記メール署名検証データ５４１を使って前記署名を検証し、正しいホストから送信されたメールかどうかをチェックする（ステップ７０３）。正しいホストからのメールであれば、前記携帯端末４０は図９に示す画面９００を前記表示部４１１に表示する。正しいホストからのメールでなければ前記署名付きメールの着信を無視する。
【００６８】
前記本人１０は、前記携帯端末４０の前記操作部４１２で操作し、画面９１０に示すように着信メール一覧から「代理人取引の承認願い」メールの件名９１１を選択する。前記メール９１１が選択されると、前記携帯端末４０は画面９２０に示すようなＡＴＭ取引詳細に関するメール内容を表示する（ステップ７０４）。
【００６９】
前記本人１０は前記操作部４１２で操作し、前記画面９２０に示すメール本文中のアドレス９２１をクリックする。前記アドレス９２１がクリックされると、前記携帯端末４０は、前記ホスト５０とＳＳＬ通信を確立する処理を行うため、前記クライアント証明書５４２を前記ホスト５０に送信する。前記クライアント証明書５４２を受信した前記ホスト５０は、前記クライアント証明書検証データ５５５を使って前記携帯端末４０を認証する（ステップ７０５）。
【００７０】
つづいて、前記処理プログラム５１は、前記サーバ証明書５５１を前記携帯端末４０に送信する。前記サーバ証明書５５１を受信した前記携帯端末４０は、前記サーバ証明書検証データ５４３を使って前記ホスト５０を認証する（ステップ７０６）。
【００７１】
前記ステップ７０５かつ前記ステップ７０６の相互認証が完了すると、前記第２認証情報入力部４１は、画面９３０を前記表示部４１１に表示し、前記本人１０に認証情報を前記操作部４１２から入力することを要求する（ステップ７０７）。
【００７２】
前記本人１０が認証情報を入力すると、前記第２認証情報入力部４１は、前記第２認証情報５４４と照合を行う（ステップ７０８）。もし本人でないと判定すると、前記ホスト５０へと取引を中止するメッセージを送る。
【００７３】
前記ステップ７０８で本人であると判定すると、前記ホスト５０は前記携帯端末４０に代理人取引を承認するＷｅｂページを送信する。一方、前記携帯端末４０は、Ｗｅｂブラウザを起動して前記表示部４１１に前記Ｗｅｂページに基づく画面９４０を表示する（ステップ７０９）。
【００７４】
前記本人１０は、前記画面９４０を見ながら前記操作部４１２で操作し、代理人取引に対する処理をボタン９４１〜９４４を押下することで決定する（ステップ７１０）。
なお、前記画面９４０における「取引を許可する」ボタン９４１が押下されると、前記携帯端末４０は、前記ホスト５０に取引を許可するメッセージを送信する。さらに前記処理プログラム５１は、前記携帯端末４０の前記表示部４１１に画面９５０を表示する（ステップ７１１）。
また、「取引を中止する」ボタン９４２が押下されると、前記携帯端末４０は、前記ホスト５０に取引を中止するメッセージを送信する。さらに前記処理プログラム５１は、前記表示部４１１に画面９６０を表示する（ステップ７１２）。
また、「警察に通報する」ボタン９４３が押下されると、前記携帯端末４０は、前記ホスト５０に警察に通報するメッセージを送信する。さらに前記表示部４１１に画面９７０を表示する。また前記処理プログラム５１は、前記メッセージを受け取ると警察に通報する（ステップ７１３）。
また、「口座を凍結する」ボタン９４４が押下されると、前記携帯端末４０は、前記ホスト５０に口座を凍結するメッセージを送信する。さらに前記表示部４１１に画面９８０を表示する。また前記処理プログラム５１は、前記メッセージを受け取ると、前記凍結フラグ５５６をＯＮにする（ステップ７１４）。
【００７５】
なお、前記ステップ７０２において、前記処理プログラム５１は、前記ＡＴＭ３０から送信された端末ＩＤをもとに前記端末設置データ５５９を取得すると述べたが、あるいは前記端末設置データ５５９を前記ＡＴＭ３０の前記記憶装置３０３が保持し、前記ＡＴＭ３０が前記ホスト５０に送信するものであっても良い。ただし、前記ＡＴＭ３０と前記ホスト５０との通信路を流れるトラフィック量の点からすると、前記ホスト５０が前記端末設置データ５５９を保持する方法が最適である。
【００７６】
以上のステップ７０１〜ステップ７１４が完了すると、ふたたび前記ＡＴＭ３０での処理に戻る。図６を使ってＡＴＭ取引の処理の続きを説明する。
【００７７】
前記ＡＴＭ３０は、前記ステップ６１０の処理が所定時間内に完了するかどうかをチェックする（ステップ６１１）。もしタイムアウトであれば、前記ＡＴＭ３０は前記キャッシュカード２０の前記リトライ用データ５２３に前記ＡＴＭ３０に入力されたデータを書き込み（ステップ６１５）、実行中の取引を中止し前記表示部３１２に画面８８０を表示すると共に、前記キャッシュカード２０を返却する。所定時間内に前記ステップ６１０の処理が完了すれば、前記キャッシュカード２０の前記リトライ用データ５２３のデータをクリアする（ステップ６１２）。
【００７８】
さらに、前記ＡＴＭ３０は、前記ステップ６１０からの承認結果が取引を許可するものかどうかをチェックする（ステップ６１３）。なお、前記ステップ６１１で取引を許可する以外の結果である時には、前記ＡＴＭ３０は、実行中の取引を中止し前記表示部３１２に画面８８０を表示すると共に、前記キャッシュカード２０を返却する。
【００７９】
他方、前記ステップ６１３で取引を許可する結果である時には、前記ＡＴＭ３０は、前記本人１０から承認を受けて取引を行った証拠となるデータとして、図４に示す前記取引日時５６０、前記口座ＩＤ５６１、前記取引データ５６２、前記承認データ５６３を前記ホスト５０に記録する（ステップ６１４）。
【００８０】
最後に、前記ＡＴＭ３０は、前記ステップ６０８と同様に前記ホスト５０と通信して取引を実施する。以上で、ＡＴＭでの取引が完了する。
【００８１】
なお前記ステップ６０５では、前記キャッシュカード２０から前記第１認証情報５２２を読み取り前記ＡＴＭ３０内で照合を行う方法としたが、あるいは、前記キャッシュカード２０は論理回路を有する構成であっても良い。前記キャッシュカード２０が論理回路を有する場合には、前記操作部３１３から入力された認証情報を前記キャッシュカード２０に送信し、前記論理回路で照合を行う方法をとる。
【００８２】
３．携帯端末の機種変更：
前記フェーズ２０４で述べたように、前記本人１０が前記携帯端末４０を別の機種に変更する時には、新しい携帯端末と前記キャッシュカード２０を持って金融機関に赴き、前記口座の開設時に行ったのと同じように、図４に示す前記メール署名検証データ５４１、前記クライアント証明書５４２、前記サーバ証明書検証データ５４３を前記セキュリティチップ４１３に書き込むことを行う。
金融機関は、前記第１認証情報５２２を使って本人確認を行い、第３者による不正な機種変更ではないことを確認してから、新しい前記携帯端末４０の前記セキュリティチップ４１３にデータ５４１〜５４３を書き込む。
【００８３】
なお、第３者による不正な機種変更ではないことを確認するために、前記本人１０に届出印を持ってきてもらい、前記届出印データ５５７と照合して本人確認を行う方法もある。
また、古い携帯端末の前記セキュリティチップ４１３の保持するデータ５４１〜５４４は、前記セキュリティチップ４１３が耐タンパ性を備えているため、データを消去しなくても前記データが漏洩する可能性は小さい。
【００８４】
４．携帯端末アドレスの変更：
前記フェーズ２０５で述べたように、前記本人１０が所有する前記携帯端末４０のアドレスを変更した時には、前記本人１０は前記キャッシュカード２０を持って金融機関に赴き、変更後のアドレスを届け出る。金融機関は、前記キャッシュカード２０の前記第１認証情報５２２を使って本人確認を行い、第３者による不正なアドレス変更ではないことを確認してから、前記ホスト５０の保持する前記携帯端末アドレス５５４のデータを書き換える。
なお第３者による不正なアドレス変更ではないことを確認するために、前記本人１０に届出印を持ってきたもらい、前記届出印データ５５７と照合して本人確認を行う方法もある。
【００８５】
５．第１認証情報の変更：
前記フェーズ２０６で述べたように、前記第１認証情報５２２を変更する場合、前記本人１０は前記キャッシュカード２０を持って金融機関に赴き、前記第１認証情報５２２のデータの書き換えを行う。金融機関は、変更前の前記第１認証情報５２２を使って本人確認を行い、第３者による不正な認証情報の変更ではないことを確認してから、前記第１認証情報５２２のデータを書き換える。
なお第３者による不正な認証情報の変更ではないことを確認するために、前記本人１０に届出印を持ってきたもらい、前記届出印データ５５７と照合して本人確認を行う方法もある。
このような前記第１認証情報５２２の変更は、例えばバイオメトリクス情報を利用する場合、経年変化もあることから定期的に行うことが望ましい。例えば、クレジット機能付きキャッシュカードの場合には、クレジット機能の有効期限が終了するタイミングで前記第１認証情報５２２を変更することが挙げられる。
【００８６】
６．第２認証情報の変更：
前記フェーズ２０７で述べたように、前記第２認証情報５４４を変更する場合、前記本人１０は自己責任の下で前記携帯端末４０の前記操作部４１２から前記第２認証情報５４４を変更することができる。前記携帯端末４０は、変更前の前記第２認証情報５４４を使って本人確認を行い、第３者による不正な認証情報の変更ではないことを確認してから、前記第２認証情報５４４のデータを書き換える。
なお、このような第２認証情報５４４の変更は、例えばバイオメトリクス情報を利用する場合、経年変化もあることから定期的に行うことが望ましい。例えば、前記携帯端末４０の機種変更とあわせて行うことが挙げられる。
【００８７】
７．口座の凍結：
前記フェーズ２０８で述べたような口座の凍結は、例えば図７に示した前記ステップ７１４で行われる。口座の凍結を解除するには、前記本人１０が前記携帯端末４０から前記ホスト５０に接続し、前記凍結フラグ５５６をＯＦＦにすることを行う。前記凍結フラグ５５６をＯＦＦにする前には、前記第２認証情報入力部４１から前記本人１０に認証情報を入力してもらい、前記第２認証情報５４４と照合して本人確認を行うことで、第３者による不正な口座の凍結解除でないことを確認してから、前記凍結フラグ５５６をＯＦＦにする。前記本人１０は、前記携帯端末４０から口座の凍結を解除することができる。
【００８８】
８．キャッシュカードの再発行：
前記フェーズ２０９で述べたように前記本人１０が前記キャッシュカード２０を再発行する時には、 前記携帯端末４０を持って金融機関に赴き、再発行の手続きを行う。その時、金融機関は前記ホスト５０の保持する前記携帯端末アドレス５５４に通知し、前記第２認証情報入力部４１から前記本人１０に認証情報を入力してもらい、前記第２認証情報５４４と照合して本人確認を行うことで、第３者による不正な再発行ではないことを確認し、前記キャッシュカード２０を再発行する。
なお第３者による不正な再発行ではないことを確認するために、前記本人１０に届出印を持ってきたもらい、前記届出印データ５５７と照合して本人確認を行う方法もある。例えば、前記携帯端末４０も一緒に紛失あるいは盗難した場合には、本方法による本人確認を行う。
【００８９】
９．口座の移設：
前記フェーズ２１０で述べたように、金融機関の統廃合により口座を移設する場合には、前記本人１０は前記キャッシュカード２０を持って金融機関に赴き、前記口座ＩＤ５２１のデータを書き換える。合わせて前記ホスト５０の保持する前記口座ＩＤ５５３も書き換える。
【００９０】
１０．口座の解約：
前記フェーズ２０３で述べたように、前記本人１０が口座を解約する時には、前記キャッシュカード２０を持って金融機関に赴き、自身の口座を解約することを申し出る。金融機関は、前記第１認証情報５２２を使って本人確認を行い、第３者による不正な解約でないことを確認してから、前記口座ＩＤ５２１に対応する前記ホスト５０上の前記口座ＩＤ５５３、前記携帯端末アドレス５５４、前記クライアント証明書検証データ５５５、前記凍結フラグ５５６、前記届出印データ５５７のデータを削除する。これにより以降、前記口座ＩＤ５２１に関する取引はできなくなる。
なお、第３者による不正な解約ではないことを確認するために、前記本人１０に届出印を持ってきたもらい、前記届出印データ５５７と照合して本人確認を行う方法もある。
【００９１】
以上述べてきた第１実施例の不正取引防止システム１００により、本人以外がＡＴＭ３０で取引を行う場合にも、本人所有の携帯端末４０に本人自身が第２認証情報を入力することで、本人確認を行い、ＡＴＭ３０の取引サービスを提供することができる。これにより、代理人取引の場合にも、事前に登録する必要なく、かつ前記代理人に第１認証情報を渡すことなく安全に代理人取引を行うことができる。
【００９２】
また前記不正取引防止システム１００は代理人取引を安全に行う以外にも、ＡＴＭ３０の備える第１認証情報入力部を利用する替わりに、携帯端末４０の備える第２認証情報入力部を必ず使いたいという要求を満たすことにも利用できる。例えば、ＡＴＭ３０のキーパッド装置がなりすまされていたりＡＴＭ上で盗聴が行われていたりすることを懸念して、前記第１認証情報入力部を使わずに、前記第２認証情報入力部を使いたいといった要求が考えられる。前記不正取引防止システム１００はこのようなセキュリティに関する要求も満たすことができる。
【００９３】
−−−実施例２−−−
第１実施例における前記認証情報入力端末切替部３２は、本人による取引か本人以外による取引かを区別するために、図８に示す前記画面８００上で押下されるボタンに応じて判定を実行した。本第２実施例における認証情報入力端末切替部３２は、本人による取引か本人以外による取引かを、前記携帯端末４０の現在位置が前記ＡＴＭ３０の設置場所と一致しているかどうかに応じて自動的に判定する。
【００９４】
第２実施例におけるＡＴＭ取引のフローチャートは、図６に示す前記ステップ６０１〜前記ステップ６０３までは共通である。ただし、前記ステップ６０１において前記表示部３１２に表示する画面８００において、前記「代理人で引き出し」ボタン８０２はなくても良い。
【００９５】
つづく前記認証情報入力端末切替部３２が、認証情報の入力端末を切り替える処理について、図１０を使って説明する。
図６の前記ステップ６０３で口座が凍結されていないことを確認すると、つぎに前記認証情報入力端末切替部３２は、前記キャッシュカード２０の前記口座ＩＤ５２１と前記ＡＴＭ３０に割り当てられた端末ＩＤとを前記ホスト５０に送信する（ステップ１００１）。
前記ホスト５０の前記処理プログラム５１は、前記携帯端末アドレス５５４にダイアルし、前記携帯端末４０に位置情報を返すように要求する（ステップ１００２）。なお、前記前記携帯端末アドレス５５４は前述したメールアドレスに限らず、前記携帯端末４０を発呼できるものであれば良い。
前記携帯端末４０は、前記ＧＰＳ衛星６０の発信する電波を前記ＧＰＳ受信部４０２で受けて、現在位置を算出する。算出した現在位置を前記ホスト５０に返す（ステップ１００３）。
【００９６】
前記ホスト５０の前記処理プログラム５１は、前記ＡＴＭ３０から受けた現在位置の情報と、前記ＡＴＭ端末ＩＤ５５８から検索して特定できる前記端末設置データ５５９とを比較する（ステップ１００４）。比較により前記ＡＴＭ３０と前記携帯端末４０との距離が所定のしきい値（例えば１０ｍ）未満であれば本人による取引と判定し、前記ステップ６０５へと続く処理を行う。前記しきい値以上であれば本人以外による取引と判定し、前記ステップ６０９へと続く処理を行う。前記しきい値は、どの場所にあるＡＴＭで取引しようとしているかが区別できるように、ＧＰＳを用いた位置特定の精度も考慮して決めれば良い。ただし、１つの場所に２台以上のＡＴＭが設置される場合には、どのＡＴＭによる取引であるのかまでを区別する必要はなく、どの場所で取引しようとしているかを区別できれば十分である。
【００９７】
以上述べてきた第２実施例により、第３者がキャッシュカードを偽造してＡＴＭで取引する場合にも、本人の所有する携帯端末に確実に通知されるようになり、不正取引の抑止効果を高めることができる。
【００９８】
−−−実施例３−−−
第１実施例における前記第１認証情報５２２は、前記キャッシュカード２０が保持し、前記第２認証情報５４４は前記携帯端末４０の前記セキュリティチップ４１３が保持する構成とした。第３実施例では、これらの認証情報の格納場所として前記ホスト５０を利用する方法について説明する。
【００９９】
図１１に示すように、前記第１実施例での前記第１認証情報５２２および前記第２認証情報５４４の格納場所は、同図において示す“（ａ）”欄１１０１の構成をとる。しかし、前記キャッシュカード２０は携帯可能であるため盗難や紛失の機会が大きく、また前記キャッシュカード２０が磁気カードの場合にはスキミングの被害に会いやすく、前記キャッシュカード２０の中に前記第１認証情報を５２２保持しておくことは、前記第１認証情報５２２が漏洩する一因にもなりえる。
【０１００】
そこで図１１の“（ｂ）”欄１１０２に示すように、前記第１認証情報５２２を前記ホスト５０に保持する方法がある。前記（ｂ）の構成では、前記認証情報入力端末切替部３２が前記第１認証情報入力部３１に切り替えた時には、前記第１認証情報入力部３１から入力された第１認証情報を前記ホスト５０に転送し、前記ホスト５０で前記第１認証情報５２２と照合することで本人確認を行う。また前記認証情報入力端末切替部３２が前記第２認証情報入力部４１に切り替えた時には、前記第２認証情報入力部４１から入力された第１認証情報を前記ホスト５０に転送し、前記ホスト５０で前記第１認証情報５２２と照合することで本人確認を行う。
【０１０１】
以上述べてきた第３実施例により、紛失や盗難の発生可能性の高いキャッシュカードに前記第１認証情報を置かずにホストに前記第１認証情報を置く構成とすることで、紛失や盗難による前記第１認証情報の漏洩を防止することができる。
【０１０２】
以上、本発明の実施の形態について、その実施の形態に基づき具体的に説明したが、これに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。
【図面の簡単な説明】
【０１０３】
【図１】本実施形態における不正取引防止システムのシステム構成図である。
【図２】本実施形態におけるＡＴＭのブロック図と外観を説明した図である。
【図３】本実施形態における携帯端末のブロック図と外観を説明した図である。
【図４】本実施形態における不正取引防止システムの各装置が保持するデータの説明図である。
【図５】本実施形態における不正取引防止システム導入後のＡＴＭ利用ライフサイクルを示す図である。
【図６】本実施形態における不正取引防止システムのＡＴＭ取引のフローチャート図である。
【図７】本実施形態における本人による承認手続きのフローチャート図である。
【図８】本実施形態の不正取引防止システムにおけるＡＴＭでの表示例を示す図である。
【図９】本実施形態の不正取引防止システムにおける携帯端末での表示例を示す図である。
【図１０】第２実施例における認証情報入力端末切替部のフローチャート図である。
【図１１】本実施形態における認証情報を格納する場所の変形例を説明する図である。
【符号の説明】
【０１０４】
１０ 本人 １１ 本人以外
２０ キャッシュカード（媒体） ３０ ＡＴＭ（第１端末もしくは端末装置）
３１ 第１認証情報入力部 ３２ 認証情報入力端末切替部
４０ 携帯端末（第２端末） ４１ 第２認証情報入力部
５０ ホスト ５１ 処理プログラム
６０ ＧＰＳ衛星 １００ 不正取引防止システム
３０１ ＣＰＵ ３０２ メモリ
３０３ 記憶装置 ３０４ ホスト通信部
３０５ バス ３１０ カメラ
３１１ カード読み書き部 ３１２ 表示部
３１３ 操作部 ３１４ キャッシュモジュール部
４０１ 制御部 ４０２ ＧＰＳ受信部
４０３ 携帯通信部 ４０４ メモリ
４０５ 記憶装置 ４０６ バス
４１１ 表示部 ４１２ 操作部
４１３ セキュリティチップ ５２１ 口座ＩＤ
５２２ 第１認証情報 ５２３ リトライ用データ
５４１ メール署名検証データ ５４２ クライアント証明書
５４３ サーバ証明書検証データ ５４４ 第２認証情報
５５１ サーバ証明書 ５５２ メール署名検証データ
５５３ 口座ＩＤ ５５４ 携帯端末アドレス
５５５ クライアント証明書検証データ ５５６ 凍結フラグ
５５７ 届出印データ ５５８ ＡＴＭ端末ＩＤ
５５９ 端末設置データ ５６０ 取引日時
５６１ 口座ＩＤ ５６２ 取引データ
５６３ 承認データ
【特許請求の範囲】
【請求項１】
第１認証情報の入力を受付ける第１認証情報入力手段を備え、前記第１認証情報と利用者認証用の媒体が記録する情報とに基づく利用者の本人確認を行い、当該本人確認の結果に応じて所定サービスを提供する第１端末と、第２認証情報の入力を受付ける第２認証情報入力手段を備え、前記第１端末と通信可能な前記第２端末とを備えるシステムにおいて、
前記第１端末が、認証情報の入力を受付けるに際し前記第１認証情報入力手段または前記第２認証情報入力手段のいずれかを使用すべく、認証情報入力用の端末を前記第１端末と第２端末とで切り替える、認証情報入力端末切替手段を有することを特徴とする不正取引防止システム。
【請求項２】
請求項１において、
前記第１端末が、利用者からの入力を受け付ける第１入力手段を備え、
前記第１入力手段が、前記第１認証情報入力手段または前記第２認証情報入力手段のいずれかを認証情報入力に用いる旨の選択を受け付け、
前記認証情報入力端末切替手段が、前記選択に応じて認証情報入力用の端末を前記第１端末または前記第２端末のいずれかに切り替えるものであることを特徴とする不正取引防止システム。
【請求項３】
請求項１において、
前記認証情報入力端末切替手段が、前記第２端末について取得した位置情報と、前記第１端末の設置場所と比較して、前記第１端末と前記第２端末との距離が所定範囲内である場合に前記第１認証情報入力手段を利用し、前記距離が所定範囲を超える場合に前記第２認証情報入力手段を利用すべく、認証情報入力用の端末を前記第１端末または前記第２端末のいずれかに切り替えるものであることを特徴とする不正取引防止システム。
【請求項４】
請求項２または３において、
前記第２端末が前記第２端末の所有者への所定通知を行うための第２通知手段を備え、
前記第２通知手段が、認証情報入力用の端末として前記第１認証情報入力手段から前記第２認証情報入力手段への切り替えが前記認証情報入力端末切替手段により実行された場合に、前記第１端末の利用者に関して入力インターフェイスより取得した、利用時刻情報、利用場所情報、利用者の身体的な情報、利用取引情報のいずれか１つ以上の情報を通知するものであることを特徴とする不正取引防止システム。
【請求項５】
請求項４において、
前記第２通知手段が、前記第１端末と前記第２端末とを接続する通信路において、盗聴、改ざん、なりすましに対する所定の防止対策が施された通信路が確立された後、前記通知を行うものであることを特徴とする不正取引防止システム。
【請求項６】
請求項４において、
前記第２端末が、前記第２端末の所有者からの入力を受け付ける第２入力手段を備え、
前記第２入力手段が、前記第１端末で処理中の前記サービスの提供承認指示を受付ける承認手段と、前記サービスの提供中止指示を受付ける第１中止手段と、次機会以降も前記サービスの提供を中止する指示を受け付ける第２中止手段と、前記サービスの提供中止に伴って所定の連絡先に所定内容の通報をする旨の指示を受け付ける第３中止手段のいずれか１つ以上の選択受付手段を備えることを特徴とする不正取引防止システム。
【請求項７】
請求項６において、
前記第２入力手段は、前記第２認証情報入力部から入力された第２認証情報に基づく本人確認により本人確認ができた場合に、前記選択受付手段を通じた指示受付を実施するものであることを特徴する不正取引防止システム。
【請求項８】
請求項７において、
前記第１端末が、利用者への通知を行うための第１通知手段を備え、
前記第１通知手段は、前記第２入力手段において前記第１中止手段、前記第２中止手段、前記第３中止手段のいずれかに指示がなされたかを問わず、同一内容の所定通知を行うものであることを特徴とする前記不正取引防止システム。
【請求項９】
請求項６において、
前記第１端末は、前記第２入力手段を通して所定時間内に入力がなかった場合に、前記第１入力手段で入力された取引情報を前記媒体に記憶し、当該媒体に基づく次の利用機会において、前記媒体に記憶された前記取引情報を読み出して、前記第１入力手段において前回の利用機会と同じ取引情報を入力済みとするものであることを特徴とする不正取引防止システム。
【請求項１０】
請求項１において、
前記第１認証情報入力手段で入力された第１認証情報を照合するための登録済み第１認証情報を格納し、前記第１端末および前記第２端末と通信可能な第１端末管理装置を備え、 前記第１端末管理装置が、前記第２端末より転送される、前記第２認証情報入力手段で入力された第１認証情報を受信し、当該第１認証情報と前記登録済み第１認証情報とを照合するものであることを特徴とする不正取引防止システム。
【請求項１１】
請求項１０において、
前記第２端末および第１端末管理装置が、前記第２端末と前記第１端末管理装置とを接続する通信路において、盗聴、改ざん、なりすましに対する所定の防止対策が施された通信路が確立された後、データ通信を行うものであることを特徴とする不正取引防止システム。
【請求項１２】
認証情報の入力を受付ける第１認証情報入力手段を備え、前記認証情報と利用者認証用の媒体が記録する情報とに基づく利用者の本人確認を行い、当該本人確認の結果に応じて所定サービスを提供する端末装置であって、
認証情報の入力を受付けるに際し前記第１認証情報入力手段、または当該端末装置と通信可能な第２端末が備える第２認証情報入力手段のいずれかを使用すべく、認証情報入力用の端末を当該端末装置と前記第２端末とで切り替え可能な、認証情報入力端末切替手段を有することを特徴とする端末装置。
【請求項１】
第１認証情報の入力を受付ける第１認証情報入力手段を備え、前記第１認証情報と利用者認証用の媒体が記録する情報とに基づく利用者の本人確認を行い、当該本人確認の結果に応じて所定サービスを提供する第１端末と、第２認証情報の入力を受付ける第２認証情報入力手段を備え、前記第１端末と通信可能な前記第２端末とを備えるシステムにおいて、
前記第１端末が、認証情報の入力を受付けるに際し前記第１認証情報入力手段または前記第２認証情報入力手段のいずれかを使用すべく、認証情報入力用の端末を前記第１端末と第２端末とで切り替える、認証情報入力端末切替手段を有することを特徴とする不正取引防止システム。
【請求項２】
請求項１において、
前記第１端末が、利用者からの入力を受け付ける第１入力手段を備え、
前記第１入力手段が、前記第１認証情報入力手段または前記第２認証情報入力手段のいずれかを認証情報入力に用いる旨の選択を受け付け、
前記認証情報入力端末切替手段が、前記選択に応じて認証情報入力用の端末を前記第１端末または前記第２端末のいずれかに切り替えるものであることを特徴とする不正取引防止システム。
【請求項３】
請求項１において、
前記認証情報入力端末切替手段が、前記第２端末について取得した位置情報と、前記第１端末の設置場所と比較して、前記第１端末と前記第２端末との距離が所定範囲内である場合に前記第１認証情報入力手段を利用し、前記距離が所定範囲を超える場合に前記第２認証情報入力手段を利用すべく、認証情報入力用の端末を前記第１端末または前記第２端末のいずれかに切り替えるものであることを特徴とする不正取引防止システム。
【請求項４】
請求項２または３において、
前記第２端末が前記第２端末の所有者への所定通知を行うための第２通知手段を備え、
前記第２通知手段が、認証情報入力用の端末として前記第１認証情報入力手段から前記第２認証情報入力手段への切り替えが前記認証情報入力端末切替手段により実行された場合に、前記第１端末の利用者に関して入力インターフェイスより取得した、利用時刻情報、利用場所情報、利用者の身体的な情報、利用取引情報のいずれか１つ以上の情報を通知するものであることを特徴とする不正取引防止システム。
【請求項５】
請求項４において、
前記第２通知手段が、前記第１端末と前記第２端末とを接続する通信路において、盗聴、改ざん、なりすましに対する所定の防止対策が施された通信路が確立された後、前記通知を行うものであることを特徴とする不正取引防止システム。
【請求項６】
請求項４において、
前記第２端末が、前記第２端末の所有者からの入力を受け付ける第２入力手段を備え、
前記第２入力手段が、前記第１端末で処理中の前記サービスの提供承認指示を受付ける承認手段と、前記サービスの提供中止指示を受付ける第１中止手段と、次機会以降も前記サービスの提供を中止する指示を受け付ける第２中止手段と、前記サービスの提供中止に伴って所定の連絡先に所定内容の通報をする旨の指示を受け付ける第３中止手段のいずれか１つ以上の選択受付手段を備えることを特徴とする不正取引防止システム。
【請求項７】
請求項６において、
前記第２入力手段は、前記第２認証情報入力部から入力された第２認証情報に基づく本人確認により本人確認ができた場合に、前記選択受付手段を通じた指示受付を実施するものであることを特徴する不正取引防止システム。
【請求項８】
請求項７において、
前記第１端末が、利用者への通知を行うための第１通知手段を備え、
前記第１通知手段は、前記第２入力手段において前記第１中止手段、前記第２中止手段、前記第３中止手段のいずれかに指示がなされたかを問わず、同一内容の所定通知を行うものであることを特徴とする前記不正取引防止システム。
【請求項９】
請求項６において、
前記第１端末は、前記第２入力手段を通して所定時間内に入力がなかった場合に、前記第１入力手段で入力された取引情報を前記媒体に記憶し、当該媒体に基づく次の利用機会において、前記媒体に記憶された前記取引情報を読み出して、前記第１入力手段において前回の利用機会と同じ取引情報を入力済みとするものであることを特徴とする不正取引防止システム。
【請求項１０】
請求項１において、
前記第１認証情報入力手段で入力された第１認証情報を照合するための登録済み第１認証情報を格納し、前記第１端末および前記第２端末と通信可能な第１端末管理装置を備え、 前記第１端末管理装置が、前記第２端末より転送される、前記第２認証情報入力手段で入力された第１認証情報を受信し、当該第１認証情報と前記登録済み第１認証情報とを照合するものであることを特徴とする不正取引防止システム。
【請求項１１】
請求項１０において、
前記第２端末および第１端末管理装置が、前記第２端末と前記第１端末管理装置とを接続する通信路において、盗聴、改ざん、なりすましに対する所定の防止対策が施された通信路が確立された後、データ通信を行うものであることを特徴とする不正取引防止システム。
【請求項１２】
認証情報の入力を受付ける第１認証情報入力手段を備え、前記認証情報と利用者認証用の媒体が記録する情報とに基づく利用者の本人確認を行い、当該本人確認の結果に応じて所定サービスを提供する端末装置であって、
認証情報の入力を受付けるに際し前記第１認証情報入力手段、または当該端末装置と通信可能な第２端末が備える第２認証情報入力手段のいずれかを使用すべく、認証情報入力用の端末を当該端末装置と前記第２端末とで切り替え可能な、認証情報入力端末切替手段を有することを特徴とする端末装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公開番号】特開２００６−３０２２１０（Ｐ２００６−３０２２１０Ａ）
【公開日】平成１８年１１月２日（２００６．１１．２）
【国際特許分類】
【出願番号】特願２００５−１２６９３６（Ｐ２００５−１２６９３６）
【出願日】平成１７年４月２５日（２００５．４．２５）
【出願人】（５０４３７３０９３）日立オムロンターミナルソリューションズ株式会社 (1,225)
【Ｆターム（参考）】
【公開日】平成１８年１１月２日（２００６．１１．２）
【国際特許分類】
【出願日】平成１７年４月２５日（２００５．４．２５）
【出願人】（５０４３７３０９３）日立オムロンターミナルソリューションズ株式会社 (1,225)
【Ｆターム（参考）】
[ Back to top ]