1. 当社が保持するもの、そしてその期間
本サービスを通過する機微な情報は四種類あります。バウチャーコード、本人確認書類とそこから読み取られた記載事項、注文記録、そして誰が何に触れたかを記録する監査ログです。注文記録には、バウチャーのブランド、額面、お客様からお伝えいただいた支払先、確認の結果、およびそれに伴うタイムスタンプが含まれます。
それぞれ寿命が異なります。バウチャーコードは四つのうち最も短命です。お客様が送信した瞬間から注文が決済されるまで存在し、その後破棄されます。それ以外はすべて記録であり、記録は五年間保存されます。この業種の事業者は、自らが何を、なぜ行ったのかを再構成できなければならないからです。
当社は、お客様の口座から資金を動かせるようなものは一切保持しません。支払先とは宛先であって、認証情報ではありません。ウォレットアドレス、IBAN、PayPal のアドレスです。当社がカード番号、インターネットバンキングのパスワード、暗証番号、あるいは銀行からお客様に送られるワンタイムコードをお尋ねすることはありません。当社の名においてそれらを求める者は、当社ではありません。
2. バウチャーコードが、送信から破棄までたどる道
コードがたどる道は一本だけで、しかも短いものです。
- お客様が送信します。 コードは、暗号化された接続を通じてお客様のブラウザから当社のサーバーへ送られます。入力するのは本サイトの注文フォームのみで、ほかのどこでもありません。
- 到着した時点で暗号化されます。 コードは保管領域に書き込まれる前に暗号化されます。アプリケーションのログ、エラーレポート、ログのバックアップ、電子メールに書き込まれることはありません。
- 一名のオペレーターがその注文を担当します。 コードを読めるのは、その注文を担当しているオペレーターだけであり、しかも注文が処理中である間に限られます。ほかの職員には見えず、お客様が到達できるいかなる画面にも表示されません。
- 読み取りはすべて記録されます。 コードが復号されて表示されるたびに、監査ログに記録が残ります。どのオペレーターが、どの注文について、いつ行ったかです。
- オペレーターが発行会社に照会して確認します。 確認は人が行います。電話または発行会社自身の窓口を通じて、資金が動く前に行われます。バウチャーの確認方法 がこの手順を詳しく説明しています。
- 決済にかかわるのは一人ではなく二人です。 注文を承認したオペレーターが、支払いを実行するオペレーターになることはできません。
- コードは破棄されます。 注文が決済されると、コードは保管領域から削除されます。残るのは注文の記録であって、その資金の元となったコードではありません。
ここで一つ、率直に申し上げるべきことがあります。お客様のコードは人間が読みます。確認とは発行会社にコードを読み上げることですから、そうならざるを得ません。問題は、誰かが見るかどうかではありません。問題は、何人が、どれだけの時間、どのような記録のもとで見るのかです。その答えは、一人、決済まで、そしてアクセスはすべて記録される、というものです。
3. 保存時の暗号化と、それが果たさない役割
保存時の暗号化とは、保管領域に置かれているものが暗号文であるということです。データベースの複製、バックアップファイル、機械から抜き取られたディスクは、鍵がなければ読めません。そして鍵は、それが守るデータとは切り離して保管されているため、一方を手に入れることは他方を手に入れることにはなりません。
それがこの仕組みの果たす役割のすべてであり、何が手つかずのまま残るのかを明確にしておく価値があります。
保存時の暗号化は、使用中のデータを守りません。稼働中のアプリケーションは、確認を行うオペレーターにコードを表示するために、それを復号できなければなりません。したがって、稼働中のアプリケーションを掌握した攻撃者は、アプリケーションと同じ境界の内側にいることになります。また、正当なアクセス権を持つ者がその権限を濫用することを防ぎもしません。そして、コードが当社に届く前に何が起きたのかについては、まったく何もしません。
これらの隙間があるからこそ、ほかの管理策が存在します。アクセスの限定、読み取りの記録、短い寿命、そして資金に二人の人間を要すること。これらは暗号化の周りに置かれた装飾ではありません。暗号化にできないことを埋める部品です。
4. 書類番号そのものではなく、そのフィンガープリントを保持する理由
その書類を特定する番号を保持することなく、同じ書類を再び認識する必要があるからです。
フィンガープリントとは、一方向の計算の出力です。同じ書類番号からは常に同じフィンガープリントが得られ、フィンガープリントを番号に戻すことはできません。それで、当社が実際に必要とする仕事には十分です。すなわち、同じパスポートが二つの異なるアカウントで提示されたことを把握すること、以前に受け付けなかった書類が再び出てきたことを把握すること、保管中の書類が目の前の書類と同一であることを確かめることです。
この考え方には明白な攻撃があり、それは名指ししておくべきです。書類番号は短く、予測可能な形式に従っているため、素のフィンガープリントの一覧を持つ者は、あり得るすべての番号を順に試し、それぞれのフィンガープリントを計算して、一致を探すことができます。だからこそ、この計算にはデータベースとは別に保管された秘密の値が組み込まれています。それがなければ、盗まれたフィンガープリントの一覧は、何の意味も持たない値の一覧です。
フィンガープリントで話が終わるわけではありません。書類の画像そのものは依然として存在するからです。それが次の節の主題です。
5. 本人確認書類の保管方法と配信方法
書類はウェブルートの外に保管されています。それがこの答えの実務的な部分です。
ウェブサーバーは一つのディレクトリからファイルを公開します。そのディレクトリの中にあるものは、意図がどうであれ、URL が推測されるか漏れれば、その一歩先で公開されてしまいます。本人確認書類はそのディレクトリにはありません。書類を指すウェブアドレスは存在しないため、共有されることも、転送されることも、索引付けされることも、総当たりで探し当てられることもありません。
書類を閲覧するには、職員はサインインしていなければならず、リクエストは、セッションを検証し、その人物がその書類を閲覧する資格を有するかを確認し、監査ログに記録を書き込み、そのうえで初めて画像を返す経路を通ります。この記録は、誰かがそのログを読むかどうかにかかわらず書き込まれます。ファイルは保存時にも暗号化されています。
当社は、書類に推測不可能なリンクを用いません。それを持つ誰にでも機能するリンクは、偶然も含めて転送された先の誰にでも機能するリンクです。閲覧はすべて、認証され監査される経路を通るか、さもなくば行われません。
そもそもなぜ書類が必要なのかは別の問題であり、本人確認方針 で答えています。書類を保管するのは、直近12か月の累計が EUR 1,000 に達したお客様についてです。それを下回るお客様は、申告いただいた氏名と居住国で取引していただき、保管すべき書類はありません。
6. 監査ログと、それが追記専用かつハッシュチェーン化されている理由
監査ログは誰が何を見たかを記録するものであり、記録が密かに削除されたり書き換えられたりしないように作られています。
追記専用とは、記録は追加されるだけで、更新も削除もされないということです。過去の一行を編集する通常の経路はアプリケーションに存在しません。ログの価値は、誰かがそうであってほしかったことではなく、実際に起きたことを述べる点にあるからです。
ハッシュチェーン化とは、各記録が、自らの内容と直前の記録のフィンガープリントとを合わせて計算されたフィンガープリントを持つということです。記録は鎖を成します。一行を書き換えれば、その行のフィンガープリントは一致しなくなり、それ以降のフィンガープリントもすべて一致しなくなります。鎖は端から端まで再計算し、検証することができます。
これは改ざんを不可能にするものではありません。十分に深いアクセス権を持つ者であれば、書き換えた地点から先の鎖全体を作り直すことができます。難しくなるのは 密かな 改ざんです。痕跡を残さない一箇所の静かな編集は、被害の形としてあり得なくなるからです。
ログに記録されるものには、バウチャーコードへのすべてのアクセス、本人確認書類のすべての閲覧、すべての承認、すべての資金の実行、セッションに関する事象、そしてコンプライアンス上の判断が含まれます。ログは五年間の記録の一部です。
7. 決済における四つの目
注文を承認したオペレーターが、その資金を実行するオペレーターになることはできません。二人の人間、二つのアカウント、二件の監査記録です。
理由は狭く、実務的なものです。侵害された職員アカウントが一つあったとしても、あるいは不正直な職員が一人いたとしても、それだけで資金を動かすことはできません。注文を決済の手前まで進めることはできますが、そこで止まります。目の前には、それを検分しなければならない別の人間がいます。
その隣にもう一つの規則が置かれています。コンプライアンス案件が開いている間、決済は凍結されます。案件が開いている間、その注文について実行されるものは何もありません。案件を提起した本人によってもなく、ほかの誰によってもです。凍結することは容易であり、解除するには案件がそれ自体の条件で終結する必要があります。
一人で動かせるお金は、一つの過ちで動いてしまうお金です。
8. セッションと、それを無効化できる理由
ここでいうセッションは、当社のサーバー上の記録であって、お客様のブラウザが持ち運ぶ自己完結した証票ではありません。ブラウザの中のクッキーが保持しているのは、それ自体では何の意味も持たない無作為な識別子です。意味は当社の側にあり、その識別子に結び付けられています。
この設計には、ほかの何よりも重要な性質が一つあります。記録が当社のものであるがゆえに、当社はそれを終わらせることができます。ログアウトは、ブラウザに何かを忘れるよう頼むのではなく、セッションを終わらせます。パスワードの変更は、そのアカウントのほかのセッションを終わらせます。職員がアクセス権を失えば、その時点でセッションは終わります。トークンの有効期限が切れるのを待つのではありません。自己完結したトークンは、いったん発行されると回収できません。時計が尽きるまで有効なままであり、それを消したい日には誤った振る舞いです。
セッションクッキーには、ページのスクリプトが読み取れないこと、暗号化された接続でのみ送信されること、ほかのサイトがお客様のブラウザにそれを送信させられないことを示す設定が施されています。セッションは、一定時間操作がなければ終了し、また操作の有無にかかわらず絶対的な上限でも終了します。職員のセッションはお客様のセッションより厳しい制限のもとに置かれ、注文に対する職員のアクセスはその注文の終了とともに終わります。
9. お客様が守るべきこと
一部の仕組みは、お客様がご自身の役割を果たされて初めて機能します。
- ほかのどこでも使っていないパスワードをお使いください。ほかで使い回されたパスワードは、それを保持する最も弱いサイトと同じ安全性しかありません。そして当社側のいかなる管理策も、正しいパスワードと盗まれたパスワードを見分けることはできません。
- ここのアカウントに紐付いた電子メールのアカウントを守ってください。それは復旧の経路であり、それゆえ最も柔らかい侵入口になります。メール事業者が提供する二段階目の認証があれば有効にしてください。
- コードの送信は一度だけ、本サイトの注文フォームでお願いします。電子メール、チャットメッセージ、スクリーンショット、電話では決して行わないでください。当社に対してもです。
- コードを入力する前にアドレスバーを確認し、誰かから送られたリンクではなく、ご自身のブックマークからサイトにお越しください。
- ここの者がお客様のパスワードを尋ねることはありません。ここの者がバウチャーを買ってコードを読み上げるよう求めることはありません。ここの者がお電話をして、お金を守るために資金を移すよう求めることはありません。バウチャーを求めることのない相手 は、必要になる前に読んでおく価値があります。
- 誰かがお客様のアカウントに到達したと思われる場合は、直ちに [email protected] までご連絡ください。詐欺の被害に遭われたと思われる場合は、[email protected] までご連絡ください。
10. これらが守れないもの
すでにお客様の手を離れたコード。 バウチャーコードは、それを読んだ者なら誰でも使えます。ここへお越しになる前に誰かに渡してしまわれたのであれば、当社側の暗号化がそれを呼び戻すことはできず、確認の結果、価値がすでに失われていることが判明する場合もあります。すでにバウチャーコードを送ってしまった場合 が、なお何ができるかを説明しています。
騙されて自らコードを送信してしまったお客様。 上記のあらゆる管理策は、この場合に正しく動作します。だからこそ厄介なのです。正しい本人が、自分のアカウントで、自分の書類を用いてサインインしており、自分で買ったバウチャーを持っています。確認によってバウチャーが有効であることも裏付けられます。確認できないのは、なぜお客様がそれを売却しようとしているのかです。詐欺師はまさにこの通りに人を誘導します。今日中に納めなければならない税金、ウイルスを見つけたというサポート技術者、何週間も話してきた相手が外国で緊急事態に陥ったという話。当社の質問と確認は、その一部を捕まえます。すべてを捕まえるわけではありません。オペレーターが売却の理由をお尋ねするのは詮索ではなく、短く正直にお答えいただくことが最も早く進む道です。バウチャー詐欺 がその類型を整理しています。
お客様ご自身の端末。 お客様のパソコンや携帯電話に潜むマルウェアは、お客様が見ているものを見ます。入力中のコードも含めてです。
本サイトのよくできた偽物。 暗号化された接続は、その接続が第三者に見られていないことを示します。その向こう側にいるのが誰かは示しません。
当社。 自社のシステムが決して侵害されないと正直に約束できる事業者はおらず、当社がその最初の例になるつもりもありません。当社にできるのは、侵害がどこまで及ぶかを限定することです。短時間しか存在しないコード、一人に絞られ記録されるアクセス、データと切り離して保管される鍵、静かな編集に抵抗するログ、そして資金の実行に二人を要すること。
11. 当社が主張しないこと
当社はいかなるセキュリティ認証も保有しておらず、本ページのどこにおいてもそれを主張していません。これらのシステムについて、独立した監査は完了していません。ペネトレーションテストの結果を報告しているわけでもありません。ここでの表現によって、いかなる規格をも暗示していません。それが変われば、本ページに認証、規格または実施した会社の名称と、その日付を記載します。
本事業は許認可の対象ではなく、当社はいかなる認可も主張していません。
本ページは、本サービスがどのように動くよう作られているかを説明するものです。実績を説明するものではありません。実績はまだ存在しないからです。ここに書かれたいかなる内容も、取扱高、防止した詐欺、対応したお客様の数についての主張と読まれるべきではありません。
当社は、フランス、FATF による行動要請の対象となる法域、包括的な制裁下にある法域、および当社が現地の認可を保有しない市場には、サービスを提供しません。
12. 不具合をお知らせいただく方法
本サイトに欠陥を見つけられた場合は、再現に足る詳細を添えて [email protected] までご連絡ください。当社は有償のバグバウンティを実施しておらず、そうでないふりをするつもりもありません。当社が行うのは、お送りいただいた内容を読み、それに対処し、誠実に報告してくださった方に弁護士を差し向けたりしないことです。
注文に関する詐欺の疑いは [email protected] までご連絡ください。当社がお客様について何を保持し、それについて何を求められるかについてのご質問は、プライバシー をご覧いただくか、[email protected] までご連絡ください。対応のしかたについて苦情を申し立てるには、[email protected] までご連絡ください。一般的なご質問は [email protected] へお願いします。
VoucherPay LLC は、1801 Peninsula Verde Dr を拠点として米国から事業を運営しています。