三菱UFJ新銀行がキャッシュカード全廃、スマホATMの安全性

カード全廃が銀行取引の前提を変える理由

三菱UFJフィナンシャル・グループが、2027年に始めるデジタル銀行「エムットバンク」でキャッシュカードを発行せず、スマートフォンによるATM入出金へ移行する方針です。セブン銀行との提携やQRコードの利用が報じられています。

重要なのは、単なるプラスチックカードの削減ではない点です。預金へアクセスするための「鍵」が、物理カードと暗証番号から、端末、アプリ、本人認証を組み合わせたデジタル証明へ変わります。盗難やスキミングを抑えられる半面、フィッシングや端末乗っ取りへの防御が一段と重要になります。

なお、対象は新設される三菱UFJエムット銀行です。既存の三菱UFJ銀行のキャッシュカードが一斉に廃止されるという公式発表ではありません。

エムットバンクとスマホATMの設計思想

免許取得で確定した別銀行の位置付け

三菱UFJ銀行の子会社は2026年9月24日、金融庁から銀行業の営業免許を取得し、三菱UFJエムット銀行へ商号を変更しました。三菱UFJ銀行が全額出資し、資本金は474億5,000万円です。サービス名称を「エムットバンク」とし、2027年1～3月ごろの提供開始を予定しています。

既存の三菱UFJ銀行とは別法人で、新たに口座とシステムを構築するデジタル銀行です。このため、今回のカードレス設計は既存口座の利用方法を強制的に変更するものではなく、新銀行を最初からスマホ中心に設計する取り組みと理解する必要があります。

MUFGは2025年のリテール戦略で、新銀行を一般的なネット専業銀行とも区別しました。新銀行自体はデジタルを軸とする一方、三菱UFJ銀行の店舗網や専門家の助言も利用できる「デジタルとリアルの融合」を掲げています。カード廃止は店舗や現金を全面的に切り離す施策ではなく、日常取引をスマホへ集約するための選択です。

QRコードを介したカードレス入出金

報道されている方式では、利用者がセブン銀行ATMの画面に表示されるQRコードを銀行アプリで読み取り、認証を経て現金を出し入れします。エムットバンクの詳しい操作手順は未公表ですが、セブン銀行はすでに自社口座などで「スマホATM」を提供しています。

既存のスマホATMでは、アプリを起動して取引内容を指定し、ATMとの間で取引情報を受け渡します。セブン銀行は不正利用防止策として、スマートフォンの位置情報とATMの位置情報も照合しています。QRコードはカード番号の代用品というより、その場のATMとアプリを結び付けるインターフェースです。

ただし、QRコードを採用するだけで安全になるわけではありません。安全性を決めるのは、コードの有効時間、端末とのひも付け、アプリの改ざん検知、本人認証、異常取引の監視を一体で設計できるかです。エムットバンクがどの認証要素を組み合わせるかは、利用規約や正式な技術説明を待つ必要があります。

全国ATM網を共有するコスト構造

セブン銀行の開示によると、同行のATMは全国に2万8,536台あり、年間利用件数は11億2,200万件、稼働率は99.98％です。新銀行は独自のATM網を構築せず、この既存インフラへ接続することで、開業時から広範な現金アクセスを確保できます。

自前のATMには、機器の購入だけでなく、現金補充、警備、保守、通信、障害対応などの費用がかかります。キャッシュカードにも製造、郵送、更新、紛失時の再発行といった継続コストがあります。カードレス化と共用ATMの組み合わせは、こうした固定費を圧縮し、金利や手数料、アプリ開発へ経営資源を振り向けやすくする構造です。

これは「現金を使わない銀行」ではありません。現金との接点は残しながら、本人確認の媒体だけをカードからスマホへ移します。キャッシュレス化というより、現金アクセスのデジタル化と捉える方が実態に近いでしょう。

多要素認証で変わるサイバー防御の重心

物理カード廃止で縮小する攻撃面

キャッシュカードを発行しなければ、カードの盗難、すり替え、磁気情報のスキミング、郵送中の不正取得といった攻撃経路を減らせます。カードと暗証番号を同時に奪われ、ATMで不正に引き出されるリスクも抑えやすくなります。

金融庁の2025年度集計では、盗難キャッシュカードによる被害は5,496件、平均被害額は91万円でした。一方、インターネットバンキングの被害は3,946件で、平均被害額は360万円です。集計区分が異なるため単純比較はできませんが、オンライン口座の乗っ取りは、1件当たりの影響が大きくなりやすいことを示しています。

警察庁によると、2025年のフィッシング報告は245万4,297件で、前年から42.9％増加しました。インターネットバンキングの不正送金は4,677件、被害額は約102億4,000万円に達しています。カードをなくせば犯罪が消えるのではなく、守るべき攻撃面がアプリや認証情報へ移ります。

フィッシング耐性を決める認証方式

報道では、エムットバンクが複数の認証方法を採用するとされています。ただし、操作が複数段階に分かれていることと、多要素認証は同じではありません。多要素認証には、パスコードなどの「知識」、登録スマホなどの「所持」、指紋や顔などの「生体」のうち、独立した二つ以上の要素が必要です。

例えば、登録端末と生体認証を組み合わせ、さらにATMの場所や取引額を基にリスク判定を行えば、カードと暗証番号だけの方式より不正利用の難度を上げられます。普段と異なる端末や地域、大口の引き出しでは追加認証を求めるといった制御も可能です。

有力な選択肢が、公開鍵暗号を使うパスキーです。パスワードそのものをサーバーへ送らず、正規のアプリやサイトに対してのみ認証を成立させるため、一般的なフィッシングへの耐性があります。金融庁もパスキーの普及や、フィッシング耐性のある多要素認証を金融機関へ求めています。

一方、SMSで届くワンタイムパスワードは、偽サイトへ即座に入力させる「リアルタイムフィッシング」で突破される場合があります。銀行を装った遠隔操作の案内に従えば、スマホ上の承認操作まで犯罪者に見られる恐れもあります。認証の数だけでなく、偽サイトで再利用できない方式かどうかが重要です。

クラウド勘定系とAI活用の表裏

エムットバンクは、預金残高や取引を管理する勘定系を含め、Google Cloudをシステム基盤に採用します。従来型の銀行システムから分離して構築することで、サービス追加の速度を上げ、障害に強い分散構成やリアルタイムのデータ処理を取り入れやすくなります。

MUFGは、グループが持つ約6,000万人の顧客データやAIを活用し、一人ひとりに合わせた金融提案を行う構想も掲げています。スマホATMで得られる端末、場所、時間、取引履歴などの情報は、不正検知モデルの精度向上にも利用できます。カードレス化は、AIを使った継続認証やリスク判定と相性のよい設計です。

ただし、クラウドとAIへの集約は新しい集中リスクも生みます。クラウド障害、設定ミス、外部サービスとのAPI連携、AIによる誤検知が起きた場合、利用者が正当な取引をできなくなる可能性があります。データを提案や広告にどこまで使うのか、利用者の同意をどう管理するのかも重要な論点です。

スマホ依存が生む新たな障害と包摂課題

カードを持たなくてよい利便性は、スマホが使えない瞬間には弱点へ反転します。紛失、盗難、故障、電池切れ、通信障害、OS更新の不具合が起きれば、現金へアクセスできない恐れがあります。機種変更時の本人確認や、古い端末を安全に無効化する手順も欠かせません。

犯罪者がエムットバンクを名乗る偽アプリ、SMS、QRコードを作る可能性にも注意が必要です。IPAは、メールなどに掲載したQRコードから偽サイトへ誘導する「クイッシング」や、ワンタイムパスワードをリアルタイムで盗む手口を警告しています。ATM画面の正規QRコードと、メールや郵便物で送られてくる不審なコードを利用者が区別できる案内が必要です。

三菱UFJ銀行も免許取得の発表と同時に、エムットバンクの名称をかたる不審な連絡への注意を呼びかけました。正式サービス前から便乗詐欺が想定される状況です。銀行側には、公式アプリの配布経路を明確にし、電話やSMSで認証情報を求めないことを繰り返し伝える責任があります。

スマホを持たない人や操作が難しい人への対応も未公表です。店舗での復旧支援、家族による代理手続きの範囲、障害時の代替出金などを整えなければ、セキュリティー向上が金融アクセスの制限につながります。安全性は不正利用の少なさだけでなく、正当な利用者が必要なときに預金へ到達できる可用性も含めて評価すべきです。

利用者が開業前に確認すべき三つの条件

第一に確認すべきなのは、スマホを失った場合の口座停止と復旧方法です。別端末から即時に利用を止められるか、本人確認後にどの程度の時間で再開できるかが重要です。電池切れや通信障害に備え、別の決済手段や少額の現金も残しておくと安心です。

第二は認証方式です。パスキーや端末認証、生体認証が用意される場合は積極的に利用し、SMSだけに依存しない設定を選ぶ必要があります。取引通知と出金上限も有効にし、身に覚えのない操作を早期に検知できる状態を整えましょう。

第三は公式情報の確認です。アプリは銀行公式サイトから案内された正規ストアで入手し、メールやSMSに記載されたリンクやQRコードからログインしてはいけません。ATM手数料、利用時間、入出金限度額、対応端末、障害時の代替策が正式発表されてから、既存口座との使い分けを判断するのが適切です。

カード全廃は、半世紀続いた物理媒体中心の預金アクセスを改める転機です。その成否はカードをなくした事実ではなく、フィッシングに強い認証、障害からの迅速な復旧、誰も取り残さない支援を同時に実現できるかで決まります。

参考資料:

• 三菱UFJ、2027年開業予定の新銀行でキャッシュカードを発行しない方針
• 三菱UFJ新銀行、キャッシュカード廃止でセキュリティー強化
• 子会社の銀行業の営業免許取得と三菱UFJエムット銀行への商号変更
• 銀行業の免許について
• 三菱UFJエムット銀行のサービス開始に向けた安心・安全への取り組み
• MUFGリテール戦略の進捗と今後の方向性
• Google Cloudを新デジタルバンクの勘定系システム基盤に採用
• MUFGとGoogleのリテール領域における戦略的提携
• セブン銀行口座のスマホATM
• 数字で見るセブン銀行
• 令和7年の犯罪情勢
• 預貯金の不正送金被害等の発生状況
• パスキーによるウェブサービス認証の強化
• リアルタイムフィッシングとQRコード悪用への注意