でも、最終的には銀行へのウェブアクセスも制限されると思う。イギリスのHMRCみたいに、企業がウェブサイトを通じて税金を提出できなくなったように。未来では、すべてが「アプリ」が必要になるんじゃないかな。

銀行のアプリには、ウェブサイトにはない機能があると思う。例えば、タップして支払いができるとかね。ルート化された電話だと詐欺がしやすくなるかもしれないし。そうじゃないなら、ほんとに意味がわからない。

ハンガリーでは、中央銀行が「非公式」なデバイスでの銀行アプリを許可しないというルールを作ったけど、実際にはアプリかSMSでの2FAが必要なんだって。どうやらSMSは安全だと考えてるみたい…

そうだね。ウェブサイトでは（ルート化されてない？）電話で取引を確認する必要がある。一方で、電話ではPCで確認する必要がないから、電話の中にアクセスできない安全な場所がない限り、セカンドファクターがないんだよね。面白いことに、その2FA用に使ってる電話で直接そのウェブサイトを使えるかもしれないから、2FAのアイデアを回避できるかも（少なくともアプリがルートをチェックする代わりにSMS 2FAを使う限りは）。

オンラインバンクがアプリの使用を強制する傾向があるね。去年から、ある銀行のウェブサイトにはQRコードをアプリから使わないとログインできないんだ。もちろん、アプリにはトラッキングや「セキュリティ」、分析SDKが盛り込まれてるから、ルート化されたデバイスは拒否される。あの変更があった後、ログインする方法がなくなっちゃって、ほんとに素晴らしいよ。とりあえず、まだサーバーサイドでチェックすることを学んでないみたい。今のところは、ルート画面をスキップするための一行のパッチで済むけど、Play Integrity APIは正しく設計されてるから、もし彼らがそれを使うことを学べば、どこかにハードウェアの脆弱性を見つけない限り、回避策はなくなるだろうね。

ちょっとした違いかもしれないけど、スマホは一日中動かされるし、周りにいろんな人がいて触られたりすることも多いよね。ノートパソコンはちょっと大きいし、デスクトップは…まあ、ドアの後ろにあるし。だけど、結局銀行は電話のOSにセキュリティを頼るべきじゃないよね。

TDカナダはアプリを使わせようとしてる。オンライン取引をするとき、彼らが「大きすぎる」とか「怪しい」と思うと、必ずスマホのアプリにログインして取引を承認しないといけない。それが唯一の方法なんだ。

タイの銀行は、1回の取引で5万バーツ以上、または1日に累計でその金額を超える場合、顔認識を導入することが規制で求められてるんだ。ほとんどの銀行は、ユーザーが少ないからウェブベースの安全な顔認識を実装する価値がないってことで、インターネットバンキングを停止してると思う。私が使ってる銀行の一つは、取引を確認するためにモバイルアプリにプッシュ通知を送ってくれるんだよね。以前のインターネットバンキング、モバイルバンキングが始まる前でも、1日に追加できる送金先の数に制限があったと思う。QR決済が普及してきたから、ウェブベースのバンキングを使うとその制限にすぐ達しちゃうかも。タイ銀行は、技術的には多くのことをブロックしてないって言ってるけど（モバイルバンキングの技術要件ではルートをブロックする必要があるみたいだけど、インターネットバンキングは禁止されてない）、既存の銀行を disrupt する新しい銀行が出てきてほしいな。でも最新の「支店なし」バンキングライセンスは既存の銀行グループが取得しただけだから、APIファーストの個人バンキングはまだ無理そうだね。

この10年間でこの傾向は減ってきてるよ。一部の銀行は、いくつかのやり取りや全てのやり取りにモバイルアプリを必要とするようになってきた。ウェブサイトで全部できる銀行は、レガシーでアメリカ中心の傾向があるね。

いくつかの国では、銀行のアプリなしではオンライン決済が不可能になってる。すべての銀行取引がスマホに制限されるのも時間の問題だね。