CDRとスクリーンスクレイピングの比較
オーストラリアのConsumer Data Rightが、第三者アプリが銀行データを取得する方法としてパスワード共有にどう取って代わったのか、そしてBankSyncのすべての接続がスクレイピングではなくCDRを使う理由を説明します
スクリーンスクレイピング
CommBankのログイン情報を入力
アプリがこれらを保存し、本人として銀行にログインします。
お客様番号
8312 4471
パスワード
••••••••••••
- 範囲の制限なし：見えるものすべて
- 期限なし
- 銀行に記録が残らない
Consumer Data Right
BankSyncとデータを共有
Fiskil（ADRBNK000246）が認定データ受領者で、BankSyncはそのCDR代理人（CDR Representative）です。
共有するデータ
- 口座名、種類、残高（共有する）
- 取引の詳細（共有する）
- 口座振替と予定された支払い（共有しない）
共有期間
CDRは、スクリーンスクレイピングに代わる規制された仕組みです。CDRでは銀行のパスワードを共有することはありません。同意は範囲と期間が限定され、取り消しも可能で、すべてのアクセスは銀行側で監査されます。スクリーンスクレイピングにはこうした保証が一切なく、オーストラリア全体で段階的に廃止されつつあります。
並べて比較
- ログイン情報
- スクリーンスクレイピング第三者に銀行のパスワードを渡す
- CDR銀行で本人認証し、第三者がパスワードを見ることはない
- 範囲
- スクリーンスクレイピングログイン後に見えるものすべて
- CDR明示的に許可したデータの範囲のみ
- 期間
- スクリーンスクレイピングパスワードを変更するまで
- CDR期間限定：7日、90日、または最長12か月
- 取り消し
- スクリーンスクレイピングパスワードを変更する
- CDR銀行アプリか受領者のダッシュボードでワンクリック
- 銀行側の監査証跡
- スクリーンスクレイピングなし。銀行は自動化と本人を区別できない
- CDRすべてのアクセスが同意IDとひも付けて記録される
- 規制当局
- スクリーンスクレイピングなし
- CDRACCCとオーストラリア財務省、プライバシーはOAICが監督
- 銀行の利用規約
- スクリーンスクレイピング通常はログイン情報の共有を禁止
- CDR法律で義務付けられ、明確に認められている
- データ漏えい時の責任
- スクリーンスクレイピング不正アクセスの責任を自分で負う可能性がある
- CDR責任は認定データ受領者が負う
スクリーンスクレイピングが廃れつつある理由
2022年のConsumer Data Rightの法定見直しでは、CDRが実用的な代替手段となった時点でスクリーンスクレイピングを禁止するよう勧告されました。ASICはログイン情報を共有するツールを消費者被害のリスクとして指摘しており、主要な銀行の多くは第三者とパスワードを共有しないよう警告を表示しています。CDRは、同意に基づくデータアクセスを正式なインフラにすることで、規制の空白を埋めます。
CDRの同意が実際に機能するしくみ
- BankSyncで「Connect bank」をクリックします。
- 銀行の安全なCDR承認ページに移動します。
- そこでログインします（BankSyncがログイン情報を見ることはありません）。
- 範囲（取引、残高）と期間（7日／90日／12か月）を選びます。
- 銀行が認定データ受領者（ADRBNK000246）であるFiskilにトークンを発行し、Fiskilが同意済みのデータをBankSyncに渡します。
- 銀行アプリやBankSyncから、いつでも取り消せます。
認定プロバイダーの登録簿全体はcdr.gov.auで確認できます。
よくある質問
オーストラリアの銀行におけるスクリーンスクレイピングとは？
スクリーンスクレイピングとは、第三者のアプリがインターネットバンキングのユーザー名とパスワードを求め、本人としてログインし、表示されたページを読み取る方法です。規制がなく、銀行に監査証跡が残らず、ほとんどの銀行の利用規約に違反します。CDRはこれに代わるものとして2020年に導入されました。
オーストラリアでスクリーンスクレイピングは違法ですか？
全面的に違法ではありませんが、段階的に廃止されつつあります。オーストラリア財務省によるCDRの法定見直し（2022年）とASICは、CDRの対象範囲が十分に広がった時点でスクリーンスクレイピングを禁止すべきだとの考えを示しており、正式な禁止が勧告されています。ほとんどの銀行はすでに利用規約で控えるよう求めています。
CDRはスクリーンスクレイピングを完全に置き換えますか？
CDRの対象データ（銀行、エネルギー、通信）については、はい。認定受領者は規制されたAPIを通じて、同等以上のデータを取得できます。CDRの範囲には、口座情報、残高、取引、定期的な支払い、口座名義人の情報が含まれます。
CDRがスクリーンスクレイピングより安全なのはなぜですか？
理由は4つあります。（1）CDRがパスワードを見ることはありません。認証するのは第三者ではなく銀行です。（2）CDRの同意は特定のデータの種類と期間に限定されます。（3）同意は銀行または受領者からいつでも取り消せます。（4）CDRはACCCとオーストラリア財務省が監督し、漏えい時の通知義務と監査義務があります。
BankSyncはオーストラリアでスクリーンスクレイピングを使っていますか？
いいえ。BankSyncのオーストラリアでの接続はすべて、Fiskil（認定データ受領者 ADRBNK000246）を通じて、規制されたConsumer Data Rightの枠組みで行われます。
従来のスクリーンスクレイピングのツールはどうなりますか？
多くはCDRに移行したか、ADRと提携したか、サービスを終了しました。スクリーンスクレイピングを使っていた、オーストラリアで最も愛された無料のPFM（家計管理アプリ）Pocketbookは、CDRへの移行コストも一因となり、2024年3月にサービスを終了しました。ログイン情報に依存し続けるツールには注意が必要です。