三和東海東京三菱銀行が誕生した。
インターネット・バンキングである「東京三菱ダイレクト」と「UFJダイレクト」が、今年2006年から同じポータル・ページから入る仕組みになった。システムは合併前に作った別々のものだから、クリック回数が増えたのは仕方がない。ただし、疑問点を2つばかり述べておく。
- 「ご利用時に真正なサーバーであることを確認する方法について」というタイトルでhttp://direct.bk.mufg.jp/info/0601_phissing/index.htmlまたはhttp://direct.bk.mufg.jp/info/0601_phissing/ufj.htmlというページがあるが、このページがSSLではない。このページのURL冒頭をhttpからhttpsに書き換えてみるとエラー画面になるが、このとき使われている証明書はAkamai Technologyのもの。なぜdirect.bk.mufg.jpのサーバーには三菱東京UFJ銀行の証明書が入っていないのだろう。
- ログインページでは、三菱東京UFJ銀行*1の証明書が使われているが、旧東京三菱と旧UFJとでは使われている証明書が別のもの*2である。
特に後者の方が気になる。ドメインも違うから2枚になってしまうことは仕方がないのかと思う*3が、いずれも取得日が2005年7月である。当時予定されていた合併期日(2005年10月1日)の2箇月以上前だ。その当時は持ち株会社は存在していたものの、銀行としてはまだ存在していなかったわけで、金融庁の合併認可もまだ下りていなかった。「別々の法人(旧東京三菱、旧UFJ)から」「同じ名前」かつ「発足前の」法人名で申請があったのに、証明書発行業者(Verisign社)は2枚とも発行してしまうのだな、と思った。
悪い会社が2社結託すれば、Verisignに嘘の合併話を持ちかけさえすれば架空会社の証明書を2枚もらえるのだろうか。
Verisignのサイトを読んでも未来に誕生する合併会社の取扱いがよくわからなかった。http://www.verisign.co.jp/codesign/help/faq/200002/ 合併後も旧社名の証明書が使われるのは問題で、合併と同時に証明書を切り替えるには未来の会社の名前を取得する必要があることの意義自体は理解できる。ただし、証明書発行者側は、架空話に対する対策を取っているのだろうか。
ところで、http://www.sanwabank.co.jp/が2006年初現在まだWeb上で生き残っていて、ブラウザでアクセスすると10秒後にUFJに自動転送され、さらに10秒後に三菱東京UFJに自動転送される。
*1:証明書には英文名で書いてあるので「The Bank of Tokyo-Mitsubishi UFJ,Ltd.」UFJ,の後には空白が入らない
*2:旧東京三菱のOU名はSystems Devision 5-1で、旧UFJのOU名はMUFG_Global_IDs5。報道もされているから、2つのシステムが併存することは公知の事実だが、オンライン・バンキングという同じ業務の証明書を管理する部門が2つに分かれているのはどこかで説明が必要ではないか
*3:と、ここでは書いておくけれど、銀行は自分の顧客の口座開設のときに名寄せをするけれど、他人に対しては統一で申請しないし、その申請を受けた証明書発行業者は名寄せをしていないのだな、と思った
