---
title: 送金先の変更
lede: 振込先や受取口座を変える操作は、乗っ取られたセッションで狙われやすい操作です。変更の直前に利用者が署名すれば、誰が・どの口座に・いつ変えたかが記録に残ります。
shelf: operations
desk: security
legal: true
use_case: generic.sign
edition: 1
source: Commission Delegated Regulation (EU) 2018/389（強い顧客認証の技術基準）第5条・第13条 | https://eur-lex.europa.eu/eli/reg_del/2018/389/oj | 2026-10-10
source: Directive (EU) 2015/2366（PSD2）第97条 | https://eur-lex.europa.eu/eli/dir/2015/2366/oj | 2026-10-10
source: EBA Single Rulebook Q&A 2018_4120（信頼できる受取人の一覧） | https://www.eba.europa.eu/single-rule-book-qa/qna/view/publicId/2018_4120 | 2026-10-10
source: Regulation (EU) 2018/389 英国版 第13条 | https://www.legislation.gov.uk/eur/2018/389/article/13 | 2026-10-10
source: Regulation (EU) No 910/2014（eIDAS）第25条 | https://eur-lex.europa.eu/eli/reg/2014/910/oj | 2026-10-10
source: Electronic Communications Act 2000 第7条 | https://www.legislation.gov.uk/ukpga/2000/7/section/7 | 2026-10-10
source: 電子署名及び認証業務に関する法律 第3条 | https://laws.e-gov.go.jp/law/412AC0000000102 | 2026-10-10
source: 15 U.S.C. §7001（ESIGN） | https://uscode.house.gov/view.xhtml?req=granuleid:USC-prelim-title15-section7001&num=0&edition=prelim | 2026-10-10
source: MITRE ATT&CK T1557 Adversary-in-the-Middle | https://attack.mitre.org/techniques/T1557/ | 2026-10-10
---

## 起きること

送金先の変更は、それだけではお金を動かしません。そのため多くのサービスで、ログインしていれば通る操作になっています。けれども、変えた先へ次の振込が流れるので、乗っ取りの到達点になりやすい操作です。

- 盗まれたセッションで、送金先が攻撃者の口座に変えられます。セッションの記録には、本人が操作したように残ります。
- 偽のログイン画面が正規のサイトとのあいだに入り、本人の認証を中継して変更を通します[^9]。
- 確認画面に出した口座と、実際に登録される口座が差し替えられます。
- サポートの窓口からアカウントが回復され、新しい端末で変更されます。

どの場合も、あとで「変更したのは本人か」と問われたとき、セッションの記録では答えられません。

## 問われること

EEA と英国では、決済の規則がこの操作を名指ししています。日本と米国では、一般の法令よりも、それぞれの業の規制と、争いになったときの証拠の扱いが中心になります。

| 法域 | 求められること | 争いになったとき |
|---|---|---|
| EEA | 信頼できる受取人の一覧を作る・改めるときは、強い顧客認証が求められます[^1][^3]。遠隔の操作で不正のおそれがあるときも同じです[^2]。送金そのものでは、認証の結果を金額と受取人に結び付けます[^1]。 | 電子的であることだけを理由に、電子署名の証拠としての扱いを拒めません[^5]。 |
| UK | 同じ規定を、英国の規則が引き継いでいます[^4]。 | 電子署名は、証拠として認められます[^6]。 |
| JP | 送金先の変更に認証の方式を定めた一般の法令は、調べた範囲では見当たりません。銀行や資金移動業者には、それぞれの監督の指針があります。 | 本人による電子署名があるとき、真正に成立したものと推定されます[^7]。パスキーの署名にこの推定が及ぶかは、一次資料では決まっていません。 |
| US | 送金先の変更に認証の方式を定めた連邦の一般法は、調べた範囲では見当たりません。 | 電子的であることだけを理由に、署名の効力は否定されません[^8]。 |

## 残す記録

署名の対象（ハッシュ）に、変更後の口座と、その変更の依頼の番号を含めます。Clavis に届くのはハッシュだけで、口座番号そのものは渡りません。

```json
"payload": {
  "purpose": "generic.sign",
  "message_digest": "<変更後の口座と依頼番号の SHA-256>",
  "display_hint": "送金先の変更"
}
```

利用者が Connect で読むのは、プロダクトの名前、確認済みのホスト、操作名「送金先の変更」の一行です。この一行も署名に含まれます。口座の下四桁などを操作名に入れるかは、自社の画面の設計で決めます。

変更を確定するときは、手元の変更内容からハッシュを計算し直し、署名のハッシュと一致することを確かめます。一致しなければ、利用者が確かめた内容と、これから登録する内容が食い違っています。

署名の結果（sub・messageDigest・signedAt）は、変更の記録と一緒に保管します。あとで変更が争われたとき、誰の Passkey がどの内容に、いつ署名したかを示せます。

## 署名だけでは足りないこと

- 署名が示すのは、その Passkey で署名したことです。その Passkey を持っていたのが誰かは、口座の名義の確認など、自社の手続で埋めます。
- 変更の直後の高額な振込に、さらに確認を挟むかどうかは、自社で決めます。
- 端末の中で正規の画面として動くマルウェアは、この仕組みだけでは止められません。

## 次の一手

- [署名の手順](https://docs.clavis.nexus/signature)：依頼の登録から結果の受け取りまで
- [署名を始める](https://developers.clavis.nexus/developers/new)：Org の作成