決済システムを中国に丸投げ｜あなたはそのネットサービスを信用できますか

「開発費が安いから」という理由だけで、お金と個人情報を扱うシステムを国外に丸投げする――現役エンジニアとして、この判断を見過ごすことができません。今回のブラック時事放談は「決済システムの開発を中国国内に委ねているネットサービスを、あなたは信用できますか?」というテーマです。ある企業(仮にD社とします)から入ってきた話を入り口に、法制度まで踏み込んで整理します。

なお、D社に関する話は取材ベースで入ってきた情報であり、当方で独立に裏取りができたものではありません。ここは事実として断定せず「そういう構造の会社が実在する」という前提で読み進めてください。構造そのものが持つリスクは、法制度と過去事例から十分に説明できます。

発端: 決済システムを南京で開発・保守するという話

入ってきた情報はこうです。企業本体は国内にあるものの、決済(キャリア決済やクレジット決済)の開発拠点は中国国内にあり、実働部隊は南京で作業している。プロジェクト管理者は日本の担当者だが、開発と保守は現地チームが担い、日本語を話さないメンバーが中心だという内容でした。

開発である以上、現地チームはデータベースの中身に触れられるし、決済の仕組みそのものも把握しています。現役エンジニアの視点で言えば、ここで本当に危ないのはデータベースの閲覧よりも「決済ロジックを開示していること」です。仕組みさえ分かれば、不正取引の設計は理屈のうえで可能になります。データベースまで覗ける状態なら、操作の自由度はさらに上がります。

なぜ「決済 + 個人情報」の国外丸投げが構造的に危険なのか

金融系のシステム設計で叩き込まれる原則が3つあります。障害の切り分け、最小権限、監査証跡です。この3つを国外の委託先に当てはめると、丸投げの何が問題なのかがはっきりします。

最小権限が守れない

本来、決済の要である仕組みと、個人データの中身は、触れる人を極限まで絞るべき領域です。開発と保守を同一チームが国外で丸ごと握る体制は、この原則と真っ向から衝突します。「開発だから全部見えて当たり前」という状態そのものが設計上の欠陥です。

監査証跡が追いにくい

国内拠点なら、端末のアクセス履歴を追い、誰が何をしたのかを事後に検証できます。ところが作業実態が国外にあると、ログの取得や保全、そして現地担当者への実効的な統制が届きにくくなります。「不正が起きても後から追えない」状態は、金融系では致命的です。

怖いのはクレジットよりキャリア決済

クレジットカードは明細を確認する人が比較的多く、最悪の場合は補償の枠組みもあります。一方でキャリア決済は、毎月の中身を細かく見る人が少ない。少額を毎月そっと引かれ続けても気づかないケースは十分あり得ます。気づかなければ、契約を止めるまで引かれ続けるわけです。ここが見落とされがちな急所です。

大手メッセージ基盤で起きたこと(最新状況)

「国外委託のリスク」は絵空事ではありません。国内最大級のメッセージ基盤を運営するLINEヤフーで、現実に大きな問題が続いています。時系列で整理します。

2021年、システム開発を委託していた中国の関連会社の技術者が、日本国内の利用者データにアクセスできる状態だったことが報じられました。画像や動画が韓国のデータセンターに保存されていた点も併せて問題視されています。

この件では第三者による特別委員会が最終報告をまとめ、「中国子会社によるデータ漏洩の事実は認められなかった」としています。ここは公平に書いておきます。一方で委員会は、国外委託で想定されるリスクを検討せず、事後に見直す体制も整っていなかった点、そして中国で国家情報法が施行された後も体制を再考する議論が起きなかった点を厳しく指摘しました。

続いて不正アクセスによる情報流出が起きます。委託先の従業員端末がマルウェアに感染したことを契機に、韓国側の社内システムが侵害され、ネットワーク接続を通じて日本側の社内システムへ不正アクセスが及びました。発生時期は2023年秋。当初は約44万件と発表されましたが、その後の調査で流出規模は約52万件へと拡大しています。

総務省はこの事案について、2024年3月5日に「通信の秘密」の漏洩に当たるとして行政指導を実施。提出された再発防止策が不十分だとして、同年4月16日に異例の2度目の行政指導を行いました。指摘の柱は、韓国側との委託関係の縮小・終了に具体策がないこと、ネットワークの完全分離が2年以上先であること、資本関係の見直しが「要請」にとどまることの3点でした。

その後、委託関係は段階的に整理されています。サービス企画や開発の委託は2025年末、韓国側のシステム利用は2026年3月末に終了し、残存データの削除完了は2026年6月末とされています。最終報告は2026年7月に予定されています。指摘され続けてきた問題が、ようやく体制側から解かれていく局面に入った、という状況です。

中国の法制度が「丸投げ」を特別なリスクにする理由

ここが今回いちばん伝えたい核心です。中国が特別なのは「中国人だから」ではありません。国家体制として、当局が国内のデータへ広範にアクセスできる法制度を持っているからです。差別の話ではなく、制度設計の話です。主要な条文を並べます。

要するに、中国国内のサーバーやデータは、当局が「必要とあれば求められる」制度の下に置かれています。ここへ決済の仕組みと個人情報を差し出すということは、平時はともかく、有事にどう扱われるかの保証が持てない、ということです。これは体制の問題であって、個々の技術者の善悪の話ではありません。

反スパイ法と電子機器の検査: 端末を持ち込む経営者

中国への入国では、事前の申告や必要な手続きが求められます。そのうえで警戒すべきなのが、国家安全当局が身分証などを示せば電子機器を検査できるという運用です。企業情報の入った端末の持ち込みは控えるのが賢明、というのが実務上の共通見解になりつつあります。

それにもかかわらず、会社の情報や個人情報が入った自分のスマートフォンを、そのまま持って入国しようとする経営者がいます。現役エンジニアの立場から率直に言えば、これは相当に危うい。持ち込む端末は業務データを分離した最小構成にする、というのが最低限のリスク管理です。

本当に怖いのはこれから: 有事のデータ

個人情報は、すでに多くのネット企業が保有済みで「いまさら」と感じる人もいるでしょう。ですが、その保有先が国外で、しかも当局アクセスの制度下にあるとなると話が変わります。国家間に軋轢が生じたとき、蓄積された個人情報が何に使われるかの見通しが立たないからです。ここがいちばん怖いところです。

クレジットカード情報が漏れれば換金は容易です。より厄介なのは、キャリア決済を通じて少額をこっそり抜かれ、気づかないまま引かれ続けるパターンです。もっとも「解約を忘れてほしい」ことを前提にしたビジネスは国内にも残っているので、これは中国に限った話ではありません。ただし、当局アクセスの制度が背後にある場合、危険度の桁が変わります。

まとめ

冒頭のD社について、入ってきた情報では、指摘されたデータの修正が進んでおらず、現在は社員が主導で手直ししているとのことでした。理由は「仕様が分からないのでやらない」と言われている、という話です。言葉も通じず、統制も効かない。これがまさに、丸投げ体制の行き着く先を象徴しています(この部分は取材ベースで、裏取りはできていません)。

整理します。オフショア開発は問題ではない。問題は、決済と個人情報という急所を、当局アクセスの制度下へ、監査も権限分離も効かないまま差し出すことです。過去の事例と法制度は、そのリスクが空想ではないことを示しています。

それでもあなたは、決済と個人情報を扱うシステムを、統制の効かない国外へ発注できますか?