CBUAE Notice 2176：モバイルバンキングアプリが不正に耐えられることを証明しましょう。

1. 01

   2025年連邦政令法第6号第149条

   堅牢な不正防止・検知を実施する

   条文の内容

   認可金融機関は、不正取引、ソーシャルエンジニアリング、なりすまし、その他の不正から顧客を保護するため、堅牢な不正防止・検知の仕組みを導入しなければなりません。CBUAEは、認証プロトコルを含むデジタルバンキングの最低限のセキュリティ基準を定めることができ、金融機関はCBUAEが定める予防措置を、CBUAEが設定する期限内に実施しなければなりません。

   出典：2025年連邦政令法第6号第149条

   モバイルアプリにとっての意味

   不正防止は法的義務であり、最低限の管理策はCBUAEが定めます。多くの銀行にとって、顧客が認証と支払いを行う場所はモバイルアプリであり、それらの管理策の多くもアプリにあります。

   Ostorlabによる支援

   Ostorlabは、アプリとそのAPIにある不正対策に関わる管理策をテストします。認証、ステップアップ認証、セッション管理、デバイスの保護、そして決済の背後にあるビジネスロジックです。

   お客様が担うこと

   取引モニタリング、不正対策業務、CBUAEが定める期限の遵守。

2. 02

   Consumer Protection Standards、第6.1.1.4条および第6.1.1.8条

   すべての提供チャネルの安全を確保する

   条文の内容

   すべての提供チャネルにおいて、安全でセキュアかつ機密性の高い環境を提供します。デジタル取引の処理と管理策の安全を確保し、詳細なアクティビティ監視を実施し、デジタルチャネルの強化に関する中央銀行の要件に沿って顧客の本人確認方法を強化します。

   出典：Consumer Protection Standards、第6.1.1.4条および第6.1.1.8条

   モバイルアプリにとっての意味

   モバイルアプリは提供チャネルの1つです。アプリが保存・送信するデータと、アプリが開始する取引には、デバイスからバックエンドまで保護が必要です。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットにセッショントークンや個人データがないかを調べ、通信とセッションの保護を弱める設定ミスを確認し、取引の背後にあるAPIをテストします。

   お客様が担うこと

   アクティビティ監視と、採用する本人確認方法。

3. 03

   Consumer Protection Standards、第6.1.1.7条、Retail Payment Services and Card Schemes Regulation、第13条

   強固に認証し、高リスクの操作では再認証する

   条文の内容

   電子サービスでは、複数の本人確認の証拠を適用します。決済サービスプロバイダーについては、高リスク取引に多要素認証が必須であり、事前に定めた上限を超える支払いや個人の連絡先情報の変更を含め、各取引の前に二要素認証などによる再認証が求められます。

   出典：Consumer Protection Standards、第6.1.1.7条、Retail Payment Services and Card Schemes Regulation、第13条

   モバイルアプリにとっての意味

   受取人の変更、上限の引き上げ、連絡先情報の変更時のステップアップ認証は、不正を行う者が回避しようとする管理策です。アプリから何が送られてきても、サーバー側で機能しなければなりません。

   Ostorlabによる支援

   Ostorlabはテスト用アカウントでSMS、メール、TOTPによるワンタイムコードを入力し、攻撃者による操作の試みも含めて、MFAの強制とステップアップ認証のフローを、口座情報の変更の背後にあるAPI呼び出しとあわせてテストします。

   お客様が担うこと

   認証方式の選定と取引上限の設定。

4. 04

   Retail Payment Services and Card Schemes Regulation、第13条

   ログイン試行回数、セッション、ワンタイムパスワードの有効期間を制限する

   条文の内容

   ログインと認証の試行回数を制限し、タイムアウト制御と認証の有効期間の制限を実装し、ワンタイムパスワードの有効期間を必要最小限にとどめ、モバイルアプリとパスワードを検証するシステムの間でパスワードをエンドツーエンドで暗号化します。

   出典：Retail Payment Services and Card Schemes Regulation、第13条

   モバイルアプリにとっての意味

   これらは具体的でテスト可能な設定です。試行失敗後のロックアウト、セッションの有効期限、ワンタイムパスワードの有効期間と再利用、通信中のパスワードの保護です。

   Ostorlabによる支援

   認証後のテストでは、ログインとログアウト、トークンの更新、タイムアウト、セッションの無効化、MFAの強制を確認し、通信の解析によって認証情報がアプリからバックエンドへどのように送られるかを示します。

   お客様が担うこと

   ロックアウトのしきい値やワンタイムパスワードの有効期間など、ポリシーの値そのもの。

5. 05

   Retail Payment Services and Card Schemes Regulation、附属書II

   顧客のデバイスは危険にさらされている前提で扱う

   条文の内容

   決済サービスプロバイダー向けのCBUAEのガイダンスでは、顧客のデバイスはセキュリティ上の脆弱性にさらされているものと想定し、デバイスへの不正アクセス、マルウェア、侵害された、または安全でないモバイルデバイス、許可されていないモバイルアプリへの対策を講じるべきとしています。

   出典：Retail Payment Services and Card Schemes Regulation、附属書II

   モバイルアプリにとっての意味

   root化されたスマートフォン、再パッケージされたアプリ、実行時のフッキングツールは、バンキングマルウェアが活動する環境です。保護は検知するだけでなく、対応すべきです。

   Ostorlabによる支援

   Mobile Shielding Scanはroot化・脱獄済みの環境でアプリを実行し、root・脱獄検知、改ざん防止、アンチインストルメンテーション、TLSピンニングの回避を試み、アプリがワークフローをブロックするのか、起動を拒否するのか、動作を続けるのかを示します。ハードニングスコアとバイパスの証拠が得られます。

   お客様が担うこと

   シールドや実行時保護の製品の選定と設定。

6. 06

   Guidelines for Financial Institutions Adopting Enabling Technologies、APIs: Design、3.11～3.18

   APIを保護し、毎年独立したテストを行う

   条文の内容

   アクセス管理と認証を用いて、許可された者だけがAPIリソースにアクセスできるようにし、攻撃者がトークンを侵害したり他のユーザーになりすましたりできないよう認証を実装します。顧客がAPIを使用するオンラインサービスに初めてアクセスする際には多要素認証を使用し、管理者とユーザーの役割を分離し、ユーザーが要求できるリソースのサイズや数を制限します。独立した部門または外部の専門家が、少なくとも年1回、脆弱性評価とペネトレーションテストを実施すべきです。

   出典：Guidelines for Financial Institutions Adopting Enabling Technologies、APIs: Design、3.11～3.18

   モバイルアプリにとっての意味

   アプリの背後にあるAPIにも、アプリと同じ精査が必要です。少なくとも年1回は独立した者が行い、理想的にはリリースごとに行います。

   Ostorlabによる支援

   OstorlabはTLSピンニングがあってもアプリの通信を傍受し、認可の不備（BOLA、BFLA、IDOR）、トークンとセッションの悪用、列挙、リプレイ、自動化などの不正利用についてAPIをテストし、各検出結果にリクエストとレスポンスの証拠を付けます。

   お客様が担うこと

   独立した年次評価の実施者の選定と、APIの設計。

7. 07

   SVF Regulation、第12条、Retail Payment Services and Card Schemes Regulation、附属書II

   リリース前にコードをレビューし、テストする

   条文の内容

   セキュアな開発標準と、自動解析を含むリスクベースのソースコードレビューを採用します。本番環境に移行するのは適切にテストされ承認されたシステムのみとすべきであり、テストはビジネスロジックとセキュリティ管理策を対象とします。定期的な脆弱性評価には自動ツールと手動の手法を用い、ペネトレーションテストとサイバー攻撃シミュレーションテストの必要性を定期的に評価します。

   出典：SVF Regulation、第12条、Retail Payment Services and Card Schemes Regulation、附属書II

   モバイルアプリにとっての意味

   アプリの各リリースは、ストアに公開される前に自動セキュリティテストを通過すべきであり、高リスクの変更にはより詳細なテストを行うべきです。

   Ostorlabによる支援

   Mobile SASTは組み込まれたSDKを含めてバイナリを解析し、Mobile DASTは実行中のアプリをテストします。いずれもCI/CDで実行できます。AIエージェントによるペネトレーションテストは、決済と口座のフローのビジネスロジックをテストします。

   お客様が担うこと

   手動レビュー、ユーザー受け入れテスト、職務の分離、リリースの承認。

8. 08

   Consumer Protection Standards、第5.1.1.45条、第6.2.1.11条、第6.2.3.3条

   管理策が安全であったことを示せるようにする

   条文の内容

   適切かつ安全な検証手続きが適用されていれば、消費者が合理的な疑いを示さない限り、取引は承認されたものとみなされます。金融機関は、自らのセキュリティ管理策の侵害によって生じた直接損失について責任を負う場合があり、セキュリティおよびオンラインシステムで明らかになった脆弱性を四半期ごとに中央銀行に報告しなければなりません。

   出典：Consumer Protection Standards、第5.1.1.45条、第6.2.1.11条、第6.2.3.3条

   モバイルアプリにとっての意味

   取引に異議が申し立てられたり、損失の請求を受けたりした場合、検証手続きが安全でテスト済みであったことを示せることが重要です。

   Ostorlabによる支援

   スキャン結果、再現手順付きの検出結果、再テストの結果により、アプリの管理策がリリースごとにどのようにテストされ修正されたかを、日付入りの記録として残せます。

   お客様が担うこと

   異議申し立ての手続き、四半期報告、法的評価。

9. 09

   CBUAE Notice 2176（非公開）

   Notice 2176：モバイルバンキングの不正に対処する

   条文の内容

   Notice 2176は、CBUAEが監督する金融機関に向けて、モバイルバンキングの不正に関する対応を定めています。公開版のCBUAE Rulebookには掲載されていないため、本ページでは引用していません。

   出典：CBUAE Notice 2176（非公開）

   モバイルアプリにとっての意味

   Noticeの各項目を上記の公開規則と同様に扱い、アプリまたはバックエンドの管理策、テスト、担当者に結び付けてください。

   Ostorlabによる支援

   Noticeとの対応関係を整理した後、Ostorlabはその対象となるアプリとAPIの管理策をテストし、それぞれの証拠を提供できます。

   お客様が担うこと

   Noticeの確認、自社の管理策との対応付け、CBUAEへの報告。

公開されているCBUAEの文書の要約です（2026年9月27日時点で確認）。一部の文書は、記載のとおり特定のライセンスの種類に適用されます。本ページは法的助言ではありません。