今回、ゆうちょダイレクトの利用停止してログアウトを利用し、再利用開始できない事態に陥りました。その対策と対策過程で気づいた怖い点について記事にしました。パスワード管理関係なのですが、人によっては気になるレベルじゃないかもしれません。
利用開始できなかった要因
ゆうちょダイレクトのログアウト時に『利用停止してログアウト』を選択。次回の利用開始時には、ワンタイムパスワードを受信し、入力することでOK。
という状況下、ワンタイムパスワード受信メルアドを変更せず、携帯の機種変更。キャリアも変えたので、当然メルアドも変わる・・・
このメルアドの変更を忘れたのが利用開始できなかった要因。メルアド1個しか登録していなかったし・・・全くの個人的ミス・・・
再発防止対策
ワンタイムパスワード送付先メルアド複数登録
この複数登録、登録するメルアドに制限があります。これって気づかない方、多いかも。
Q&A他、サイト記載情報だけではわからなかったです。この件は、行きつけの郵便局窓口ではわからず、0120サポートへ・・・
ワンタイムパスワード送付先アドレスで複数選択できるのは、携帯メールのみ。複数登録すれば、選択できるだろうと思っていたのですが、パソコン用のメルアドではワンタイムパスワードは送信してきません。ここ気づかないの私だけだったりして・・・
ここに複数アドレスが出てこない・・・
ワンタイムパスワードの意味合いからして、当然、携帯のみって理解している方もおいでるでしょう。でも、これって、携帯が2台必要ってなりません？
ワンタイムパスワードが届かないと利用開始できないのだから、この時点で複数アドレスから選択できなければ、私の考える今回のミスの再発防止最終策にはなりません・・・
結局、家内の携帯メルアドを登録しました。
これで、複数のメルアドが表示され、選択できるようになりました。
最良の再発防止策は、携帯機種変更の前に利用停止してログアウトでなく、通常のログアウトをしておけばいいのですが・・・忘れっぽい私には・・・
意思疎通の難しさ
今回、意思疎通面で苦労しました。まずは、ゆうちょダイレクトのワンタイムパスワード送付先アドレスの変更を含め、再利用開始の手続き・・・
メールアドレスの初期化だけでは利用開始できず、ログインパスワードの照会が必要・・・これは担当者が知らなかっただけなのですが、ログインパスワードの照会？、こちらが気になりました。
で、2回目の申請、ログインパスワードの照会処理を実施すると利用開始はできるようになりましたが、「メールアドレスの設定をされておりませんでしたので、初期化請求は該当いたしませんので・・・云々・・・」
何を言いたいのかな？ また、何か申請ミス？
結局、何もなく、利用開始できたのですが・・・
次にワンタイムパスワード送付先アドレスを複数登録したのにもかかわらず、選択できない件。なかなか解決できませんでした。
単純にワンタイムパスワード送付先アドレスを複数選択できるようにしたい、ということなのですが、これが伝わらない・・・
何度も言い直し、処理の手順までお伝えし・・・やっと、利用停止してログアウト時のワンタイムパスワード送付先アドレスの複数選択まで辿り着きました。
この間10分ほど要したような・・・えらく長く感じてしまった。
ゆうちょ側には、こういう使い方であってしかるべき、ってのがあり、当方はゆうちょ担当者の思いと異なる使い方をしていた？ために意思の疎通が十分に図れない、って状況でしょうか・・・
推察ですが、ワンタイムパスワードには、再利用開始と通常の振込や振替時に使用するのと複数の役割があるので、わかりづらかったのでしょう。
いずれにしても思い込みってほんと意思疎通の邪魔ですね。
怖いと感じたパスワード管理
これ、とても驚いた。2回目の書類申請のログインパスワード照会、その処理結果が郵送で届きました。
文面にログインパスワード欄が・・・なんと、パスワードが印字されていました！！！
何人のシステム管理者が個人のパスワードを見ることができるのか、わかりません。文書には貯金事務センターって記載がありました。まさか、この部署の誰もが見れるとか・・・
申請書類を見たとき、まさか？、と思っていましたが、悪い予感は当たってしまいました。
申請書類記載文字の意味、そのまんま・・・
この通知は、封書で受領印が必要な書留なので他人に見られる可能性は低いとは思いますが、、、これも・・・
- 印刷してから封をするまでの間、コピー機や机上に放置されてる時間
- この処理を実施した記録を文書で残すってなってたら
- 封をした後、開封がわかりにくい開封方法があったら
- 配達者が不慮の事故に遭遇したら
って考えると怖いです。
個人的には、パスワードは管理者でも見えないようにしておくべきだと思います。で、初期化したパスワード（ランダム発生文字列）の連絡にし、到着後パスワード変更を促すようにすべきと感じました。
また、今回の一連の流れの中で、当方はパスワードや関係するセキュリティ情報は忘れていないし、利用開始できればいいだけでした。なのに、ログインパスワードの照会手続きが必須、って？？？です。
この辺の考え方、セキュリティ上弱いように感じてしまいました。
怖いと気づいたこと、0120サポートへ・・・と思いましたが、また意思を伝えるのに苦労することを予想してしまい、やめました。
ひょっと担当者がこのページを訪問することがあれば・・・。そして、いい方向に進めばいいなって思います。
まとめ
とにかく、利用停止してログアウトすることを選択している間は、今回と同じミスをしないようにすることが重要。
そして、ワンタイムパスワード送付先アドレスは複数選択できるようにしておく。
パスワードは、ゆうちょダイレクトのパスワード照会処理担当者が見ることができます。（2016年1月時点）
担当者不信ってわけではないのですが、何が起こるかわかりません。なので、パスワードの定期的な変更は必須だと感じました。
個人的所感ですが、ゆうちょダイレクトで処理できる口座への多額の預け入れは・・・考えます。
システム的には、ゆうちょダイレクト推奨のブラウザ攻撃対策機能を持つ不正送金対策ソフト『PhishWall』と振替・振込等に活用できるトークンの利用は必須ですね。
トークンはこれ、
今回もいろいろと勉強になりました。特に考え方や感じ方の世代間格差には多少の驚きを感じましたが、いい経験をした、ということで ^^
コメント