みずほダイレクト・インターネットバンキングの“セキュリティ強化”はおかしい

security

みずほダイレクト[インターネットバンキング]のログイン時のセキュリティ強化について


みずほダイレクト［インターネットバンキング］では、お客さまにより安全にお取り引きいただくため、2008年6月15日 日曜日から順次（*1）、ログインの際のセキュリティ強化を実施します。


今回のセキュリティ強化は、それぞれのお客さまがみずほダイレクト［インターネットバンキング］にアクセスされるパソコン環境やネットワーク環境などを分析し、普段と環境が異なると判断された場合、従来のログインパスワードによる認証にくわえて、「合言葉」による追加認証を行うものです。
また、ログインパスワードの入力画面にお客さまご自身で「画像」を登録していただくことで、ログインするサイトが正規のみずほダイレクト[インターネットバンキング]であることを画面上でご確認いただけます。
これらの対策により、第三者のなりすましによる不正アクセスや偽のサイトへの誘導を防止します。


みずほダイレクト[インターネットバンキング]をご利用のすべてのお客さまにおかれましては、サービス変更日以降の初回ログイン時に、必ず「合言葉」と「画像」の登録を行っていただくことになりますので、お手数ですがよろしくお願いいたします。


*1サービスの変更日については、後記「サービスの変更日」をご覧ください。

http://www.mizuhobank.co.jp/direct/info/aikotobasettei_0805.html より一部を引用


なんだよ、「合言葉」ってのは。そんなので“セキュリティ”とやらの強化ができるのか。あと、画像の登録により偽のサイトへの誘導を防止するんじゃなくて、サイトのトップページ以下全部を https でしかアクセスできないようにしておくのが先だろうが。
それに、ID(お客様番号)を入力して一旦 [次へ] ボタンを押し、次のパスワードを入力する画面に遷移したときに、パスワード入力欄といっしょにその画像が表示される設計になっているじゃないか。これだと、デタラメなIDを順番に入力してみることで、たまたま画像が見えてしまうだろうが。ブラウザで見えるってことは、そのIDに紐付いた画像ファイルは誰でも入手できることになるわけだ。どうしてこれで偽のサイトへの誘導が防止できるって思えるんだよ。
なんかへんだぞ。