GMOあおぞらの銀行APIが一晩に2回停止 夜間の自動処理は結果を確認

11月10日の夜から11日の朝にかけて、GMOあおぞらネット銀行では銀行APIが2回止まり、銀行が示した時刻で数えると、使えなかった時間は合わせて7時間11分です。銀行は外からの不正な通信を見つけたための予防の措置で、個人情報の漏えいや不正な資金の流出はないと説明しました。

ただ、夜のあいだもAPIで振込や入金の確認を自動で回している会社では、その時間に動いた処理が通っていない可能性があります。止まったのが、そうした処理の通る入口だからです。

22時30分に戻し、1時02分にまた止めた

経過は1つのお知らせに、時刻つきで4つ並びます。最初は10日「20:30現在」の知らせで、銀行API接続基盤の一部への「外部からの不正な通信」を検知し、APIサービスを止めているという内容でした。再開の見通しは、この時点では未定。APIでつなぐ事業者には、担当者から個別に連絡し、一斉にメールも送ったといいます。

22時30分の更新では、20時42分から止めていたAPIを、不正な通信が収まったことを確認して22時30分に再開したと伝えました。ところが、日付が変わった11日1時02分に、再び不正な通信を検知して止めました。最後の更新は6時30分で、安全性が確認できたため6時25分に再開したという知らせでした。

22時30分の更新が示す時刻で数えると、1回目は1時間48分、2回目は5時間23分です。ただ、最初の知らせは「20:30現在」の時点で「停止しております」と書いていて、「20:42から」と合いません。どちらが正しいかを、銀行は説明していません。自社のログは20時30分より前から見ておくと取りこぼしません。

22時30分の更新には、次の一文もあります。「今後も同様に予防的措置のために一部サービスを停止する可能性がございます」。銀行が前もって、また止めることがあると断っているわけです。

APIの先で、夜も動く仕組み

GMOあおぞらの銀行APIを使うと、法人口座の残高や入出金の明細を調べたり、振込や振替を自動にしたりできます。銀行の案内では、給与振込や仕入先への一括支払い、ECの返金を「24時間×365日」システムから回せます。同じ案内には「システムメンテナンス時は除く」の注もあります。契約企業はBaaSも含めて1,000件（2025年12月16日時点）。

つまり、今回の停止は夜から明け方に動く処理に当たりました。昼間の業務中に画面で振込をしている会社なら、7時間のうちに困る場面はほとんどなかったでしょう。反対に、夜のうちに入金を確かめて朝一番に出荷を決めるEC事業者や、未明に返金を流す仕組みがある会社は、朝のうちに処理の結果を見ておく必要がありました。

なお、GMOあおぞらは10月27日と11月4日に、株主のGMOインターネットグループに属する会社が受けたサイバー攻撃について、自社のシステムは独立していると説明してきました。今回の通信の相手や、その件とつながりがあるかは、10日のお知らせには書かれていません。

同じ週、Big Advanceは3日止めた

同じ週には、ココペリも予防のためにサービスを止めていました。金融機関と組んで中小企業に提供する「Big Advance」と「BAポータル」で、停止は11月7日17時から。理由は外部から「サービス情報の収集や脆弱性を探るアクセス」が断続的に続いたことです。再開は10日18時25分ごろで、情報漏洩は確認されていないといいます。

ココペリは10月21日にも、PHPの脆弱性への対応で同じサービスを予防のために止めました。同じ日は、コドモンが全サービスを予防のために止めた日でもあります。4つの停止は戻すまでの時間に大きな差があります。

GMOあおぞらの再開の決め手は、1回目が「不正な通信が収まった」、2回目が「安全性が確認できた」で、同じ夜のうちに言い方が変わりました。ココペリは2回とも、作業と安全性の確認を終えてから戻しました。止まる長さは、何を確かめてから戻すかで、時間の単位にも日の単位にもなるとみています。

Big Advanceには、ビジネスチャットや、緊急時に従業員の安否を確かめる機能があり、有料で勤怠や請求書の機能も付けられます。地震や台風がこの3日間に来ていたら、安否確認を別の手段で回すことになったはずです。名簿と届け先の分け方は、夜中の安否確認の記事でご覧いただけます。

対象になる会社は、止まった時間に処理を入れていた会社

今回の2つの停止で、影響を受ける会社は次のとおりです。

• GMOあおぞらの法人口座を、自社のシステムからAPIで直接使っている会社。10日20時台から22時30分と、11日1時02分から6時25分に動く予定だった処理が対象です。
• 会計ソフトなど、APIでつながるサービスで明細を取り込んでいる会社。取り込みが遅れた可能性があり、詳しくはそのサービスの事業者に問い合わせることになります。
• BaaSで自社サービスに銀行の機能を組み込んでいる会社。自社の顧客から問い合わせが来る側です。
• Big Advanceを使っている会社。7日夕方から10日夕方まで、すべての機能が使えませんでした。

お知らせが止めたと書いているサービスは、銀行APIだけです。画面から手で振込をしている会社なら、今回の停止で見直す処理はほとんどないでしょう。

次の予防停止までに決めておく段取り

1. GMOあおぞらの口座が、APIで何につながっているかを書き出します。会計ソフト、自社の基幹システム、決済や返金の仕組みのどれか。経理と、仕組みを作った開発会社の両方に聞くと漏れが少なくなります。
2. 10日20時台から11日朝までに、APIで動く予定だった処理の結果を見ます。振込の依頼が失敗していたら、やり直す前に振込状況照会で、二重にならないかを確かめます。
3. APIが止まったとき、画面から手で振込や入金の確認をする人と、その人に持たせる権限を決めておきます。夜や早朝に動く処理があるなら、その時間帯に連絡がつく人も。
4. 銀行から届く個別の連絡と一斉メールの宛先が、今の担当者になっているかを確かめます。
5. 金融機関とのやりとりのために入れたサービスも、IT資産台帳に載せます。Big Advanceのように、安否確認や、有料で付けた勤怠まで入っていることがあります。

GMOあおぞらの停止はどちらも夜に始まりましたが、次も夜とは限りません。止める時刻は銀行が決めます。APIでつないだ処理の一覧に、止まったときに手で回す人の名前まで書いておけば、次の朝はその一覧を上から見るだけで済みます。