送金先の変更

振込先や受取口座を変える操作は、乗っ取られたセッションで狙われやすい操作です。変更の直前に利用者が署名すれば、誰が・どの口座に・いつ変えたかが記録に残ります。

起きること

送金先の変更は、それだけではお金を動かしません。そのため多くのサービスで、ログインしていれば通る操作になっています。けれども、変えた先へ次の振込が流れるので、乗っ取りの到達点になりやすい操作です。

どの場合も、あとで「変更したのは本人か」と問われたとき、セッションの記録では答えられません。

EEA と英国では、決済の規則がこの操作を名指ししています。日本と米国では、一般の法令よりも、それぞれの業の規制と、争いになったときの証拠の扱いが中心になります。

法域	求められること	争いになったとき
EEA	信頼できる受取人の一覧を作る・改めるときは、強い顧客認証が求められます¹^,3。遠隔の操作で不正のおそれがあるときも同じです²。送金そのものでは、認証の結果を金額と受取人に結び付けます¹。	電子的であることだけを理由に、電子署名の証拠としての扱いを拒めません⁵。
UK	同じ規定を、英国の規則が引き継いでいます⁴。	電子署名は、証拠として認められます⁶。
JP	送金先の変更に認証の方式を定めた一般の法令は、調べた範囲では見当たりません。銀行や資金移動業者には、それぞれの監督の指針があります。	本人による電子署名があるとき、真正に成立したものと推定されます⁷。パスキーの署名にこの推定が及ぶかは、一次資料では決まっていません。
US	送金先の変更に認証の方式を定めた連邦の一般法は、調べた範囲では見当たりません。	電子的であることだけを理由に、署名の効力は否定されません⁸。

署名の対象（ハッシュ）に、変更後の口座と、その変更の依頼の番号を含めます。Clavis に届くのはハッシュだけで、口座番号そのものは渡りません。

"payload": {
  "purpose": "generic.sign",
  "message_digest": "<変更後の口座と依頼番号の SHA-256>",
  "display_hint": "送金先の変更"
}

利用者が Connect で読むのは、プロダクトの名前、確認済みのホスト、操作名「送金先の変更」の一行です。この一行も署名に含まれます。口座の下四桁などを操作名に入れるかは、自社の画面の設計で決めます。

変更を確定するときは、手元の変更内容からハッシュを計算し直し、署名のハッシュと一致することを確かめます。一致しなければ、利用者が確かめた内容と、これから登録する内容が食い違っています。

署名の結果（sub・messageDigest・signedAt）は、変更の記録と一緒に保管します。あとで変更が争われたとき、誰の Passkey がどの内容に、いつ署名したかを示せます。

署名が示すのは、この版に責任を持つ人と、署名のあとに原稿が改められていないことです。内容が正しいことは示しません。

法的助言ではありません。適用は、事実と管轄によって変わります。