クウェート中央銀行のCORF：お客様が使うモバイルバンキングアプリをテストしましょう。

1. 01

   CBK CORF、第4章、5.8.2.2および8.3.1.14

   脆弱性評価とペネトレーションテストでアプリをテストする

   条文の内容

   すべてのアプリケーションは、種類を問わず、脆弱性評価とペネトレーションテストを含む包括的なセキュリティ評価を定期的に受けなければなりません。各機関は、オンラインバンキングのプラットフォームとモバイルバンキングアプリケーションの脆弱性を特定して修正するため、定期的なセキュリティ評価も実施しなければなりません。

   出典：CBK CORF、第4章、5.8.2.2および8.3.1.14

   モバイルアプリにとっての意味

   モバイルバンキングアプリは明示的に名指しされています。定期的な脆弱性評価とペネトレーションテストが必要であり、それらで見つかった不備は修正する必要があります。

   Ostorlabによる支援

   Mobile SASTは組み込まれたSDKを含めてバイナリを解析し、Mobile DASTは実行中のアプリをテストします。いずれもCI/CDで実行できます。AIエージェントによるペネトレーションテストはログイン後までさらに深くテストし、AIエージェントによる各検出結果に再実行できる実際のエクスプロイトを提供します。

   お客様が担うこと

   テスト間隔の設定、手動テストの範囲の決定、修正の承認。

2. 02

   CBK CORF、第4章、8.3.1.7、8.1.3.3および8.3.3.3

   root化・脱獄されたデバイスをブロックする

   条文の内容

   各機関は、脱獄またはroot化されたデバイスへのモバイルバンキングアプリケーションのインストールを防止し、その使用をブロックする管理策を導入しなければなりません。デジタルバンキングに使用するデバイスは、OSのバージョン、パッチレベル、デバイスの完全性を含むセキュリティポリシーに照らして継続的に検証されなければならず、基準を満たさないデバイスはアクセスを制限または取り消さなければなりません。デジタルウォレットも、脱獄またはroot化されたデバイスでの使用をブロックしなければなりません。

   出典：CBK CORF、第4章、8.3.1.7、8.1.3.3および8.3.3.3

   モバイルアプリにとっての意味

   root・脱獄検知は選択肢ではなく要件です。攻撃者がデバイスの状態を隠そうとしても、検知が作動し、アプリが対応しなければなりません。

   Ostorlabによる支援

   Mobile Shielding Scanはroot化・脱獄済みの環境でアプリを実行し、root・脱獄検知、改ざん防止、アンチインストルメンテーション、TLSピンニングの回避を試み、アプリがワークフローをブロックするのか、起動を拒否するのか、動作を続けるのかを示します。ハードニングスコアとバイパスの証拠が得られます。

   お客様が担うこと

   シールドや実行時保護の製品の選定と設定、およびデバイスのコンプライアンスポリシー。

3. 03

   CBK CORF、第4章、8.3.1.3および8.1.3.5

   重要な操作には強固なMFAを使用する

   条文の内容

   各機関は、口座の有効化、資金の送金、請求書の支払い、受取人の追加などの重要な操作を承認するため、強固な多要素認証とアウトオブバンドの検証を導入しなければなりません。その手段は、サードパーティの認証アプリによるOTP、生体認証またはPINによる承認を伴うアプリ内プッシュ通知、FIDO2などのデバイスベースの承認です。携帯電話番号やメールアドレスなど、顧客の機微な情報の変更にはMFAが必要です。

   出典：CBK CORF、第4章、8.3.1.3および8.1.3.5

   モバイルアプリにとっての意味

   アプリのすべての重要な操作には、それぞれ強固な確認が必要です。そしてその確認は、アプリから何が送られてきても、サーバー側で機能しなければなりません。

   Ostorlabによる支援

   Ostorlabはテスト用アカウントでSMS、メール、TOTPによるワンタイムコードを入力し、攻撃者による操作の試みも含めて、MFAの強制とステップアップ認証のフローを、口座情報の変更の背後にあるAPI呼び出しとあわせてテストします。

   お客様が担うこと

   認証方式の選定と、OTPの送信方法に関する顧客の同意の取得。

4. 04

   CBK CORF、第4章、8.3.1.1、8.3.1.2および8.1.3.1

   セッション、ワンタイムパスワード、ログイン失敗を制限する

   条文の内容

   モバイルバンキングのセッションは、最長5分間操作がなければ自動的に終了しなければならず、同時セッションは認められません。ワンタイムパスワードの有効期間は最長2分であり、セッションは一定の間隔で、またはセッションのコンテキストが変化したときに再検証されなければなりません。ログインまたは認証の試行に最大3回失敗した後は、アクセスをブロックしなければなりません。

   出典：CBK CORF、第4章、8.3.1.1、8.3.1.2および8.1.3.1

   モバイルアプリにとっての意味

   これらは具体的でテスト可能な設定です。無操作時のタイムアウト、同時セッションの禁止、OTPの有効期間、ロックアウトのしきい値です。

   Ostorlabによる支援

   認証後のテストでは、ログインとログアウト、トークンの更新、タイムアウト、セッションの無効化、MFAの強制を確認し、通信の解析によって認証情報がアプリからバックエンドへどのように送られるかを示します。

   お客様が担うこと

   ブロックされたユーザーの再有効化の手続きと、お客様が選ぶ再検証のトリガー。

5. 05

   CBK CORF、第4章、8.3.1.8～8.3.1.10

   ローカルデータを暗号化し、アプリをデバイスに紐付ける

   条文の内容

   モバイルバンキングアプリケーションは、顧客のデバイスにローカルに保存するすべてのデータを暗号化しなければなりません。初回利用時には、顧客の携帯電話番号を確認し、デバイスフィンガープリントや証明書ベースの認証などのデバイス認証を使用しなければなりません。顧客は最大3台の検証済みデバイスからアプリを利用でき、強固なリスク軽減策がある場合は最大6台まで利用できます。

   出典：CBK CORF、第4章、8.3.1.8～8.3.1.10

   モバイルアプリにとっての意味

   アプリがデバイスに何を書き込むか、そして新しいデバイスをどのように識別するかは、いずれも対象範囲です。

   Ostorlabによる支援

   Ostorlabは、ローカルストレージ、キャッシュ、ログ、スクリーンショットにセッショントークンや個人データがないかを調べ、通信とセッションの保護を弱める設定ミスを確認します。認証後のテストでは、テスト用アカウントの背後にあるログインとデバイスのフローを対象とします。

   お客様が担うこと

   デバイス登録の上限、登録済みデバイスの再検証、顧客への通知。

6. 06

   CBK CORF、第4章、5.8.3.1～5.8.3.8および8.3.2.7

   APIを保護し、大きな変更の後に評価する

   条文の内容

   APIは、OWASP API Security Top 10などのセキュアコーディングのプラクティスに従い、強固な認証とロールベースのアクセス制御を適用し、すべての入力を検証し、レート制限とスロットリングを適用し、通信を暗号化しなければなりません。APIは、定期的に、また大きな変更の後に、ペネトレーションテスト、ファジング、DAST/SAST、実行時テスト、設定ミスのテストなどのセキュリティ評価を受けなければなりません。オープンバンキングのAPIは、ペネトレーションテストと脆弱性評価によって定期的に評価されなければなりません。

   出典：CBK CORF、第4章、5.8.3.1～5.8.3.8および8.3.2.7

   モバイルアプリにとっての意味

   アプリの背後にあるAPIにも、アプリと同じ精査が必要です。定期的に、そして大きな変更のたびに改めて行います。

   Ostorlabによる支援

   OstorlabはTLSピンニングがあってもアプリの通信を傍受し、認可の不備（BOLA、BFLA、IDOR）、トークンとセッションの悪用、列挙、リプレイ、自動化などの不正利用についてAPIをテストし、各検出結果にリクエストとレスポンスの証拠を付けます。

   お客様が担うこと

   APIゲートウェイ、APIのインベントリ、ログ記録と監視、APIのライフサイクル管理。

7. 07

   CBK CORF、第4章、5.8.1.3、5.8.1.6、5.8.1.7および5.9.1.6

   開発とリリースにセキュリティを組み込む

   条文の内容

   各機関は、DevSecOpsのアプローチに従い、CWE Top 25などの一般的な弱点に対処するためOWASPなどのセキュアコーディングのプラクティスを採用し、サードパーティのサプライヤーによるソフトウェアを含むすべてのソフトウェアについて最新のソフトウェア部品表（SBOM）を維持しなければなりません。変更が本番環境に到達する前のテストでは、セキュリティテスト、該当する場合はソースコードレビュー、ペネトレーションテスト、脆弱性評価を対象としなければなりません。

   出典：CBK CORF、第4章、5.8.1.3、5.8.1.6、5.8.1.7および5.9.1.6

   モバイルアプリにとっての意味

   アプリの各リリースは、ストアに公開される前にセキュリティテストを通過すべきであり、どのサードパーティのコンポーネントが含まれているかを把握しておくべきです。

   Ostorlabによる支援

   自動スキャンは、ビルドごとにCI/CDパイプラインから実行されます。SCAは各リリースに含まれるSDKとネイティブライブラリをバージョンとともに一覧化し、既知の脆弱性と照合して、リリースごとにそのクローズを追跡します。

   お客様が担うこと

   セキュアな設計のレビュー、手動のコードレビュー、職務の分離、大きな変更に対するCBKの承認を含む変更の承認。

8. 08

   CBK CORF、第4章、5.13.1.2、5.13.1.5～5.13.1.7

   脆弱性をクローズまで追跡し、修正を検証する

   条文の内容

   ネットワーク、システム、アプリケーションの脆弱性評価は、定期的に、または重要な変更が生じるたびに実施しなければなりません。検出結果は文書化してクローズまで追跡しなければならず、各機関は修正を検証して不備が解消されたことを確認しなければなりません。各機関は、公開されている資産に対して外部アタックサーフェス管理を使用しなければなりません。

   出典：CBK CORF、第4章、5.13.1.2、5.13.1.5～5.13.1.7

   モバイルアプリにとっての意味

   問題を見つけるだけでは不十分です。各問題が修正され再テストされた記録と、外部に公開しているアプリの把握が必要です。

   Ostorlabによる支援

   検出結果はクリティカル、高、中、低で評価され、プラットフォーム内またはJiraやServiceNowでチケットとして追跡され、修正のリリース後に再テストされます。アタックサーフェスの検出により、外部に公開しているアプリや資産を把握できます。

   お客様が担うこと

   修正の期限、パッチ管理、取締役会への四半期報告。

9. 09

   CBK通達第(2/BS, IBS/534/2023)号

   電子的な不正から顧客を保護する

   条文の内容

   顧客がインターネットバンキングまたはモバイルバンキングで新しい受取人を追加する場合、OTPのSMSを送信し、顧客に通知しなければならず、顧客が確認しない限り、受取人は少なくとも12時間は有効化されてはなりません。認識されていないデバイスは、取引の前に電話で確認しなければなりません。銀行は、AnyDeskなどのリモート操作アプリがインストールされている場合にアプリの使用を防止し、別のデバイスから取引できないようセキュリティコードを生成しなければなりません。

   出典：CBK通達第(2/BS, IBS/534/2023)号

   モバイルアプリにとっての意味

   受取人の待機時間、新しいデバイスの確認、デバイスに紐付いたセキュリティコードはビジネスロジックです。アプリの画面だけでなく、サーバー側で機能しなければなりません。

   Ostorlabによる支援

   Ostorlabは、アプリとそのAPIにある不正対策に関わる管理策をテストします。認証、ステップアップ認証、セッション管理、デバイスの保護、そして決済の背後にあるビジネスロジックです。

   お客様が担うこと

   リモート操作アプリの検知、電話による確認、取引モニタリング、顧客への啓発。

公開されているCBKの文書の要約です（2026年9月27日時点で確認）。電子決済に関する通達は、CBKが参考として公開している英訳であり、法的に有効なのはアラビア語の原文です。本ページは法的助言ではありません。