

webサービスを作っているとき、ユーザーの銀行口座情報をもたないといけないとき、みなさんはどこに保存されていますか？  
知見がなかったので、困っています。ぜひご意見いただきたいです。

クレジットカード決済であれば、paypalやwebpayなど外部サービスを使い、自身で口座情報をもつ必要はないと思いますが、受け取り口座情報など、決済サービスと関わりない場合、自身で口座情報をもたないといけない気がしています。  
情報漏えいの可能性を考えると自身でもつのはとてもリスクがあり、みなさんは、どのように対処されてるか、ぜひ教えていただきたいです。

もし、口座情報保存のおすすめサービスなどあれば、教えていただきたいです。  
どうぞよろしくお願いします。


CC BY-SA 3.0
2016-02-24T03:23:03.333
22461
2016-03-05T18:45:38.933
2016-02-24T03:53:46.023
76
14527
question
security
webサービスの銀行口座情報はどこに保存していますか


クレジットカード情報は、漏洩した場合直ちに悪用され、金銭被害に直結しますが、銀行口座情報は仮に漏洩しても金銭被害に直接つながるわけではないので、そこまで神経質にならなくてもよいように思います。もちろん、心理的には被害甚大というところはあるでしょうが。  
普通に考えれば、暗号化してデータベースに保存というのが落とし所ですが、銀行口座情報をサイトから閲覧できなくて良いのであれば、バックオフィスのサーバーに転送してしまうという方法も考えられます。例えば、銀行名と支店名はオンライン参照を許すが、口座番号までは閲覧できないようにして、変更の場合は口座番号は入力しなおしてもらう方法が考えられます。  
ただし、ウェブサーバーとバックオフィスサーバーの通信時に漏洩する可能性もあるので、転送時の漏洩対策はしっかり行う必要があります。


CC BY-SA 3.0
2016-02-28T07:36:30.737
22625
2016-02-28T07:36:30.737
781
22461
answer


現在、クレジットカード決済と売上の口座振り込みが必須なC2Cの中古品売買アプリを構想しており  
質問者さんとおなじことが心配になっていたところなので調べました。

一般的にECサイトやフリーマーケットアプリなどのサービス側でクレジットカード情報および口座情報を管理することはありません。  
漏洩のリスクを回避するために[決済代理業者](http://www.card-kessai.com/)を利用します。

たとえば [LINE株式会社](http://line.me/ja/)が出している [LINE MALL](https://mall.line.me/)
というフリーマーケットアプリのヘルプセンターにはいかのような記述があります

> Q. 決済事業者および収納代行業者について
>
> LINE MALLでの商品代金のお支払い、商品代金の受取りは、[GMOペイメントゲートウェイ株式会社](https://www.gmo-
> pg.com/)の収納代行サービスを利用して行われます。  
>  GMOペイメントゲートウェイ株式会社は商品代金を購入者に代わって代理受領し、出品者の指定した預金口座に振り込みます。

たしかに自社サービスでクレジットカード情報および口座情報を保管すると決済手数料が数％安くすみます  
機密情報の保持のためにデータベースを暗号化するなどの対策も考えられるでしょう  
しかし、ハッカーなどに侵入されデータベースをローカルにコピーされてしまうといくら暗号化されていたとしてもブルートフォースアタック（パスワードの総当り）やレインボーハッシュ（よく使われるハッシュデータを闇市場で購入してハッシュ値と照合してパスワードを割り出す）などを使用されれば暗号の解読は時間の問題です

クレジットカード情報や口座情報を入力する際の通信方式に関してはサーバーとの通信方式を暗号化(https)しておけば問題ないかと思います

また、 [LINE Q](http://lineq.jp) と呼ばれる
QAアプリにも質問に貢献すると付与されるポイントを現金化するシステムがありますが支払いについては[プライバシポリシー](http://lineq.jp/guide)に以下のような記述があります

> • お支払い情報
>
>
> 商品購入や有料サービス利用時等、お客様にご利用代金をお支払いいただくためにクレジットカード情報等を取得する場合がございます。なお、決済は決済代行会社が行い、当社はクレジットカード情報を保有いたしません。

つまり  
**機密情報は可能な限り自社で管理せず、代行業者に依頼するのが安全だと考えられます**


CC BY-SA 3.0
2016-03-05T18:37:10.750
22839
2016-03-05T18:45:38.933
2016-03-05T18:45:38.933
5505
5505
22461
answer