みんなの銀行、Auth0でパスキー認証を導入　物理キーの配送・管理をなくす

　スマホ専業銀行のみんなの銀行は、2026年4月に提供を始めた「みんなの銀行法人口座」の認証基盤にOktaのIDaaS（Identity as a Service）「Auth0」を採用し、端末の顔認証や指紋認証、PINなどを利用するパスキー認証を導入した。従来の物理的なセキュリティキーの配送や管理が不要になり、フィッシングに強い認証と利用者の使いやすさを両立した。本格的な開発開始から約10カ月で、認証を専門とする専任の技術者を置かずに認証基盤を刷新した。従来の利用者のパスキーへの移行も完了した。11月10日にOktaが導入事例として公開した。

　みんなの銀行はふくおかフィナンシャルグループ（FFG）傘下のスマホ専業銀行で、2021年5月にサービスを始めた。個人向けの銀行サービスに加え、銀行機能をAPI経由でパートナー企業に提供するBaaS（Banking as a Service）を展開している。2026年4月には、一部のBaaS提携事業者向けに提供していた法人向けインターネットバンキングを「みんなの銀行法人口座」として一般に開放した。

　従来の法人向けインターネットバンキングでは、IDとパスワードに加えて、利用者ごとに物理的なセキュリティキーを配って本人確認していた。キーは利用者とひも付けて郵送し、配布後も利用状況を定期的に確認する必要があった。利用者を追加するたびに新たなキーを用意して送る手間や、キーの調達費用、紛失時の対応も発生していた。利用者にとってもキーは使い慣れたものではなく、届くまで使い始められないうえ、手元での管理も負担になる。一般開放後の利用規模を考えると、同じ運用を続けるのは現実的ではなかった。フィッシングサイトによる被害の増加を受け、金融庁がフィッシングに耐性のある多要素認証を求めていることもあり、パスキーの導入を前提に認証基盤の刷新を進めた。

　同行はこれまで認証基盤を自社で構築していたが、パスキーへの対応や変化の速いセキュリティ動向に合わせた更新まで担うと開発・運用の負担が大きくなる。銀行サービスの開発に注力するためにIDaaSを採用することにした。複数のIDaaSを比較し、必要な機能や災害対策の構成、ライセンス費用、構築コストを総合的に判断してAuth0を選んだ。ログイン画面や認証フローを柔軟にカスタマイズできる点、ログイン時のリスクに応じて追加認証を求められる点、銀行側のシステムからユーザーの利用停止などを操作できるAPIが豊富な点を評価した。開発者向けのドキュメントが充実し、導入コストを事前に見通せたことも決め手になった。初めてのパスキー導入だったため、Oktaの導入支援サービスも活用した。

　2025年5月にAuth0の採用を決め、6～7月に開発を本格化し、予定どおり2026年4月にサービスを始めた。現在は利用者がWebブラウザ上でパスキーを使って認証でき、振込などの重要な取引でもパスキーで追加認証する。従来、銀行側が担っていたキーの配布・管理やユーザー登録の作業、それに伴う問い合わせがなくなった。端末の紛失時も、利用企業側でパスキーをリセットできる。利用者が増えても事務作業が増えにくい運用になった。同行は、物理キーという口座開設のハードルを取り除いたことが、新規顧客の獲得にもプラスに働いているとみている。今後は法人口座の対象を個人事業主に広げるほか、利用者自身がパスキーを管理できる機能の拡充も検討する。

ニュースソース