02 資金はどこにあるか
当社ではありません。
このページで最も重要な点であり、業界で最も誤解されている点でもあります。
分別管理
お客さまの残高は、発行する電子マネー機関が保有する分別管理口座に置かれ、当社の自己資金とは切り離されています。仮に BuyVirtualCards が明日事業を停止しても、その資金は当社の資産には含まれません。お客さまのものとして残ります。
暗号資産は保管しません
チャージは受領時に換金されます。顧客のビットコインが眠る BuyVirtualCards のウォレットは存在せず、したがって盗まれるべき資金の集中もありません。財宝を盗まれない最善の方法は、そもそも財宝を作らないことです。
市場リスクなし
残高は電子マネー建てです。チャージ後にビットコインが下落しても影響しません。逆に上昇しても利益にはなりません。これは投資商品ではなく、そうであるかのように装うこともしません。
03 お客さまの口座
第二要素は必須
認証アプリ（TOTP）または物理セキュリティキー（WebAuthn）。SMS を単独の要素として提供することはありません。SIM スワップはあまりに一般的で、守れるふりはできないからです。
パスワードは scrypt でハッシュ化
OWASP の推奨に沿ったパラメータ、口座ごとのランダムなソルト、一定時間での比較。当社はお客さまのパスワードを読めませんし、社内の誰にも読めません。
署名付きセッション
HttpOnly、SameSite=Lax、本番環境では Secure、HMAC-SHA256 で署名した Cookie。ページの JavaScript からは触れられず、スクリプト混入の射程外にあります。
重要な操作の通知
見知らぬ端末からのログイン、パスワード変更、銀行口座の追加。いずれの場合もメールが届き、即座にロックできるリンクが付いています。
04 カード情報
番号は保存しません。
完全な番号、有効期限、セキュリティコードは、発行機関の PCI-DSS 認証環境で保持されています。会員ページで表示するときは都度取得され、隔離されたフレーム内に描画されます。当社のアプリケーションサーバーを通ることも、ログに書き込まれることもありません。
当社が保持するのは、下 4 桁、ネットワーク、有効期限、カードの状態です。一覧に表示するには十分ですが、それで支払うことはできません。
それぞれが見ているもの
- BuyVirtualCards
- 残高、取引履歴、各カードの下4桁。
- 発行機関
- PCI-DSS 環境における完全なカード情報。それがこの機関の職務であり、規制上の責任です。
- 決済事業者
- 請求金額と入金アドレス。カード情報はなく、残高へのアクセスもありません。
- 加盟店
- どのカードでも支払い時に渡る情報。使い捨てカードなら、二度と通らない番号です。
05 脆弱性の報告
責任ある開示
脆弱性を見つけた場合は [email protected] までご連絡ください。48 時間以内に受領をお知らせし、修正まで報告者に経過をお伝えします。右の枠組みを守る研究者を訴追することはありません。公表までに 90 日をいただけると助かります。
枠組み
- テストはご自身の口座に限ること
- サービス妨害攻撃を行わないこと
- 他人のデータへのアクセスや持ち出しを行わないこと
- 当社の従業員や顧客に対するソーシャルエンジニアリングを行わないこと
- 脆弱性を確認した時点で止め、報告すること
06 疑ってください。当社のことも
詐欺の見分け方。
「暗号資産からカードへ」という領域には、詐欺師が数多く集まります。以下は、その場を離れるべき兆候です。当社にも同じ物差しを当ててください。
代理権を持たない銀行の名義でカードを発行できる者はいません。Revolut や BNP Paribas、Bank of America のカードを注文に応じて「生成」すると謳うサイトは、売っているものについて嘘をついています。暗号資産で支払い、取り戻す手立てもなく、使えるものは何も届きません。
まともな決済サービスは、カードを発行する機関の名称を示し、その免許番号を公開します。その情報が見つからないなら、背後に機関が存在しないということです。
ひとりでに増える顧客カウンター、同じ週にまとめて投稿された絶賛レビュー、対応する記事が存在しない報道機関のロゴ、3 か月前に取得したドメインに書かれた「2018 年から」。こうした演出は 1 時間で作れ、獲得していない信頼を借りるためだけに使われます。whois でドメインの取得時期を確認してください。
当社から Telegram や WhatsApp、Discord で先に連絡することは決してありません。パスワードやワンタイムコードを尋ねることも、口座の「ロック解除」のための入金を求めることもありません。この種の依頼はすべて詐欺です。差出人の表示名が何であれ変わりません。