THE THREAT
ログインを破られなくても、資産は奪われる。
認証をどれだけ強化しても、認証“後”の取引を守る仕組みがなければ、被害は止まりません。
2024年、日本の銀行口座で発生した不正送金の被害額（出典: 警察庁）
2025年、日本の証券口座で発生した不正売買の総額（出典: 金融庁 2026年1月発表／SBI・楽天・マネックス等17社）
$2.9B／年（約4,300億円）
グローバルのアカウント乗っ取り被害（Javelin Strategy & Research 2025）
10,112件
日本で同様の被害に遭った証券口座の数（2025年）
「保有していた株がすべて売却され、見知らぬ中国株が大量に買い付けられていた。残高は数百万円のマイナス。自分では何もしていないのに。」
WHY MFA ISN'T ENOUGH
MFAを必須化しても、被害は止まらなかった。
2025年6月、全証券会社がログインに多要素認証（生体認証を含む）を必須化。それでも被害は減少しませんでした。攻撃者はログイン認証を“突破”するのではなく、認証後のセッションごと盗むからです。
攻撃者は“認証後”を盗む — 3つの手口
偽サイトに誘導
本物そっくりのサイトでID・パスワード・ワンタイムパスワードをリアルタイムに盗む。
※AiTM = Adversary-in-the-Middle（中間者攻撃の一種）
例えると…ATMの前に偽の窓口を置いて、暗証番号を聞き出す。
端末にマルウェア感染
ブラウザに保存されたパスワードやログイン済みセッションを丸ごと盗む。
例えると…合鍵を作られて、留守中に家に入られる。
ブラウザ内で取引内容を改ざん
ユーザーが入力した送金先・金額を、マルウェアが裏で書き換えて送信する。
※MITB = Man-in-the-Browser（ブラウザ内に潜む攻撃）
例えると…送金用紙を窓口に出す直前に、宛先だけすり替えられる。
🏠 家の鍵 ＝ ログイン認証
MFAで玄関の鍵を強化した。でも、金庫には別の鍵がない。家に入られたら、金庫の中身は取り放題。
🔐 金庫の鍵 ＝ 取引承認
金庫を開けるには、“何を持ち出すか”申請書を書き、別の鍵で承認する。家に侵入されても、金庫室では止められる。
今の証券・銀行システムには、「金庫の鍵」がありません。
GENERATIVE AI
生成AIが、攻撃を“安い・速い・精巧”にした。
「怪しいメールを見抜く」「不審な電話に気をつける」という人間側の防御は、すでに限界です。認証後の“取引そのもの”を守る層が必須になりました。
ChatGPT登場以降のフィッシング攻撃増加率
出典：SlashNext (2024)
現在のフィッシングメールのAI生成比率
出典：2025年 脅威分析
ディープフェイク事件数（2025年Q1 vs 2024年通年）
出典：DeepStrike (2025)
金融セクターが占めるAI詐欺試行の比率
出典：Sumsub Fraud Report
米国 生成AI起因の詐欺被害予測（2023→2027）
出典：Deloitte
ディープフェイク会議で送金された被害額（約37億円・Arup社／香港）
出典：2024年2月・実例
AIによって攻撃は「安い・速い・精巧」に。人間の注意力に頼るセキュリティは、もう通用しません。
THE SOLUTION
IntentGate ＝ 金庫室の承認プロセス。
ログイン認証の“上”に、取引内容と紐づいた承認レイヤーを載せる。何を承認したかをサーバーが固定し、改ざんできない証拠として残します。
従来（入館記録だけ）
- ログインした
- 何でも実行できる
- 記録は「入館した」だけ
IntentGate（持ち出し伝票あり）
- ログインした
- 高リスク取引を入力
- 取引内容をサーバーに固定
- 内容を確認して承認
- 記録：「この取引を承認した」
同一デバイスで完結
別デバイスを強制しない。普段使う端末でFace ID／指紋承認するだけ。
強力な承認エビデンス
“誰が・何を・いつ”承認したかを、改ざん不可能な形で記録。
監査可能性・コンプライアンス
規制対応や事後検証に耐える、取引単位の証跡を提供。
HOW IT WORKS
取引内容を“固定”してから、承認する。
IntentGateは取引のたびに内容をサーバーに固定し、生体認証で承認します。実行は常にサーバーに保存された正本から。最新のフォーム入力からは実行しません。
-
1
取引内容を入力
高リスク取引（高額送金・全株売却など）の内容を入力。
-
2
サーバーに固定
内容を正規化し、サーバーに保存（canonical payload）。
-
3
ハッシュ化
SHA-256でpayload_hashを計算・保存（改ざん検知用）。
-
4
確認画面
『A社株 100株を売却しますか？』と内容を提示。
-
5
生体認証
Face ID／指紋で承認（userVerification必須）。
-
6
承認を記録
アサーションを検証し、intentをauthorizedに（短命TTL）。
-
7
正本から実行
サーバー保存の正本のみを実行し、監査ログに記録。
RULE
鉄則：最新のフォーム送信からは実行しない。常に“承認済みの正本”から実行する。
PATENTED TECHNOLOGY
“誰が認証したか”ではなく、“何を承認したか”まで残す。
業界の現状（再認証なし／ID・パスワード再認証）は、いずれも根本的に脆弱。当社の特許技術だけが、取引内容そのものを守れます。
攻撃耐性の比較
| 攻撃 | 再認証なし | ID/PW再認証 | FIDO2取引承認 | IntentGate |
|---|---|---|---|---|
| 偽サイト誘導 | ✗ | ✗ | ◎ | ◎ |
| セッション窃取 | ✗ | △ | ◎ | ◎ |
| 取引内容の改ざん | ✗ | ✗ | △ | ◯ |
証跡の違い ―「入館記録」と「持ち出し伝票」
| 証跡項目 | 再認証なし | ID/PW再認証 | FIDO2取引承認 | IntentGate |
|---|---|---|---|---|
| ＜認証証跡（入館記録）＞ | ||||
| 本人認証の記録 | ✗ | △ | ◎ | ◎ |
| 認証タイムスタンプ | ✗ | ◯ | ◎ | ◎ |
| ＜取引意図の証跡（持ち出し伝票）＞ | ||||
| 承認した取引内容の記録 | ✗ | ✗ | ✗ | ◎ |
| 承認内容の改ざん検知 | ✗ | ✗ | ✗ | ◎ |
| 承認の有効期限管理 | ✗ | ✗ | ✗ | ◎ |
FIDO2取引承認は「誰が認証したか」を記録できる。IntentGateだけが「何を承認したか」まで記録できます。
この技術は当社の特許で保護されています。同じアプローチの実装にはライセンスが必要です。
AUDIT EVIDENCE
「この取引を、この人が、この時刻に承認した」という証拠。
IntentGateの監査ログには、ログインの記録ではなく“承認の中身”が自動で残ります。
- 承認者
- 田中太郎 （credential ID: …x4f2a）
- 承認日時
- 2026-04-06 14:32:15 JST
- 承認内容
- A社株 100株 売却
- 内容ハッシュ
- sha256: 8a3f… （改ざん検知用）
- 本人確認
- 生体認証（UV: true）
- RP ID
- intentgate.id
- 有効期限
- 承認から5分以内に実行
改ざん検知
承認内容のハッシュを記録。1文字でも書き換われば即座に検知できます。
タイムスタンプ
「いつ承認したか」を秒単位で固定。短い有効期限と組み合わせます。
本人確認（UV）
生体認証による本人確認（UV: true）を、承認ごとに証跡として残します。
「何を承認したか」まで残るから、改ざんできない“承認の証拠”になります。
IMPACT & COMPLIANCE
桁違いのリスク削減と、規制対応を同時に。
導入コストに対して、防止できる被害は桁違い。さらにグローバル規制への整合も同時に実現します。
導入効果（試算）
IntentGate導入時の防止率。被害額の大半を、未然に防げます。
銀行
2024年 国内不正送金 被害額
銀行・防止可能額
推定 防止可能額（国内送金）
証券
2025年 証券業界 不正売買総額
証券・防止可能額
推定 防止可能額（証券）
防止可能額は、各被害額に防止率90%以上を乗じた試算値です。御社の取引規模に応じた個別試算もお出しできます。SIMスワップ攻撃による暗号資産盗難（T-Mobile: $33M賠償）も防止可能です。
グローバル規制との整合
EU PSD2 SCA
高リスク取引の強力な認証（SCA）を義務化。
NIST SP 800-63B
transaction confirmation（取引確認）を推奨。
金融庁
日本でも認証強化を継続的に指導。
規制対応としても、IntentGateは将来を見据えた選択です。
ADOPTION ROADMAP
一括入替えなし。高リスク取引だけに、段階的に。
既存の認証基盤を活かしたまま、PoCから段階的に導入できます。
PoC（概念実証）
検証環境で動作確認。
パイロット
限定ユーザーで実運用。
本番展開
全ユーザーへ展開。
GOAL- 既存の認証基盤と統合可能（API連携）
- 段階導入でき、一括入替えは不要
- 高リスク取引だけに適用（全取引ではない）
FAQ
よくあるご質問
ユーザー体験（UX）に影響はありますか？
生体認証（Face ID／指紋）なので、追加の手間は1〜2秒です。高額取引のみに適用するため、日常取引には影響しません。
既存の認証システムとの統合は可能ですか？
API連携で既存システムに組み込めます。認証基盤の入替えは不要です。
すべての取引に必要ですか？
いいえ。高リスク取引（高額送金・全株売却等）のみに適用します。リスクレベルに応じた柔軟な設定が可能です。
同一デバイスでの承認で十分ですか？
同一デバイスでの“取引内容つき”確認は、単なる再認証より格段に強力です。別デバイスを強制せず、UXと安全性を両立します。
デモを見ることはできますか？
はい。ライブデモをご用意しています。下のフォームよりお問い合わせください。
CONTACT
IntentGateを、御社の環境で。
PoC（概念実証）のご相談、デモのご依頼、お見積りなど、お気軽にお問い合わせください。
送信いただいた内容は、お問い合わせ対応の目的にのみ利用します。