不正防止とセキュリティに関するポリシー
「銀行水準の暗号化」といった標語ではなく、具体的な仕組み、誰が何を保管しているか、そしてそれらがカバーしない範囲を説明します。
1. 目的と適用範囲
1.1 目的。本ポリシーは、Nelvoi Ltd が不正を防止し、アカウントを保護し、プラットフォームの安全を確保するために維持している措置と、お客様ご自身が身を守るためにできることを説明するものです。
1.2 適用範囲。本ポリシーはプラットフォームのすべての利用者に適用され、不正防止、セキュリティ管理策、本人確認、インシデント管理、ならびに当社とお客様のあいだの責任の所在を対象とします。
1.3 現在の段階について。NELVOI はローンチ前です。以下の管理策は、構築中のプログラムと、その運用予定を説明しています。現時点ですでに実施されているのは、このウェブサイト自体を対象とするものです。
法定通貨の残高は、ライセンスを持つ発行・銀行パートナーのもとで、当社の運営資金とは分けた口座に保管されます。
Apple Pay と Google Pay は加盟店に一回限りのトークンを渡します。店舗が侵害されてもカード番号は漏れません。
暗号資産は、世界のどこでも預金保護制度の対象ではありません。誤解されたままにするより、ここに明記しておきます。
2. 残高は実際にどう保管されているか
「お客様の資金は安全です」は、この業界で最も役に立たない一文です。重要なのは、誰が実際にお金を保管しているか、会社自身の資金と混ざっていないか、会社が消えたらどうなるかです。この 3 つは別々の問いであり、残高が法定通貨か暗号資産かによって答えも 3 通りに分かれます。
法定通貨の残高。カードにチャージされたお金は、カードプログラムを運営するライセンスを持つ発行・銀行パートナーのもとで、分別管理された口座に保管されます。NELVOI の運営資金とは分けられ、顧客に帰属するものとして識別されます。分別管理があるからこそ、その残高は会社の債権者の手に渡るのではなく顧客に返還できます。これは預金保険とは別の仕組みで、防ぐ失敗の種類も異なり、当社は両者を混同しません。銀行の預金保護は銀行が破綻したときに払い戻すものであり、分別管理はそのお金が最初から会社の失いうる資産ではなかったことを保証するものです。
暗号資産の残高。お客様が送った暗号資産は、投資ポジションとして保有されるのではなく、使える法定通貨の残高に換算されます。カードが使うのは法定通貨で、換算は入金の過程で行われます。その過程で一時的に保有される暗号資産は、当社のノートパソコンに置かれた鍵ではなく、規制を受けたカストディパートナーのもとにあります。この部分は世界のどこでも預金保護制度の対象ではありません。暗号資産を対象とする制度は存在しないからです。そうでないと言う人は、勘違いしているか、何かを売ろうとしています。
破産した場合。分別管理された顧客資金は会社の資産ではなく、それこそが分別管理の目的です。破産手続きでは顧客のお金として識別され、カード発行会社の法域で適用される手続きを通じて返還されます。その手続きには時間がかかります。数時間ではなく数週間から数か月です。最悪の瞬間に知るより、今知っておいていただきたいと考えています。
率直な注記。NELVOI はローンチ前であり、上記はプログラムの構造を説明したもので、今日お客様のお金を預かっている稼働中のサービスを説明したものではありません。具体的な発行パートナー、法域、資金保全の取り決めは、口座開設の受付開始前にこのページと利用規約に明記します。
3. 当社の管理策
4 つの層があります。いずれも当社にとってコストがかかるもので、だからこそ本物だと判断できます。
本人確認
政府発行の身分証明書の真正性の確認、顔が一致することを確かめる生体検知、居住地の確認、制裁対象および重要な公的地位を有する者のリストとの照合を行います。リスクの高い関係には強化されたデューデリジェンスを適用し、リストは変わるため、オンボーディング後もスクリーニングを続けます。
アカウントのセキュリティ
二要素認証は、出金、セキュリティ設定の変更、端末の追加で必須です。通信中も保存時も暗号化されます。セッションは自動的に期限切れになり、サインイン中の端末の一覧から遠隔で終了できます。スタッフのアクセスはロールに基づく最小権限で、記録されます。
取引モニタリング
リアルタイムのスクリーニング、アカウントの通常の使い方と一致しないパターンを検出する行動分析、頻度チェックと上限、取引相手の制裁対象スクリーニング、そして自動で閉じられるのではなく人が確認する自動アラートです。
インフラ
ファイアウォールと侵入検知、脆弱性管理とパッチ適用、安全な開発手法、継続的な監視、そしてローンチ前プログラムの一環としての独立したペネトレーションテスト。これに加えて、すべてのカードプログラムが稼働前に通過しなければならない発行パートナー自身のセキュリティ審査があります。
4. アカウントのセキュリティ
カードや残高より重要なのは、それらが属するアカウントです。消費者金融における損失の大半は、技術的な侵害ではなく、他人がアカウントに入り込むことから始まります。
二要素認証
すべてのアカウントで利用でき、出金、セキュリティ設定の変更、新しい端末の追加といった重要な操作では必須です。パスワードだけを手に入れた攻撃者は何もできません。
端末とセッションの管理
サインイン中のすべての端末が最終アクティビティとともに一覧表示され、どれでも遠隔でサインアウトできます。おかしいと思うセッションがあれば、サポートを待たずに終了できます。
重要な操作には通知
すべての支払いと、セキュリティ設定、登録メールアドレス、電話番号の変更について通知します。何も知らされないことが、アカウント乗っ取りが何日も気づかれない原因です。
重要な変更には待機期間
アカウントのメールアドレスや電話番号を変更すると、一時的に出金が制限されます。お客様には一度だけの不便ですが、認証情報を盗んだばかりの者には大きな障害になります。
5. 不正から身を守るには
実際に成功している攻撃を止めるのは、以下の対策です。どれも技術的なものではありません。
使い回さないパスワードと二要素認証
使い回さなければ、他のサイトの漏えいがこのサイトの漏えいにはなりません。二要素認証があれば、盗まれたパスワードだけでは足りません。SMS より認証アプリを使ってください。SIM は乗っ取られることがあります。
コードは誰にも教えない
パスワード、二要素認証コード、カード番号の全桁、リカバリーフレーズを当社が必要とすることはなく、尋ねることもありません。それらを求める相手は、送信者アドレスがどう見えても当社ではありません。
アドレスを自分で入力してアクセスする
予期しないメッセージのリンクはたどらないでください。nelvoi.com を自分で開いてください。メールの中で本物らしく見えるリンクは、フィッシングキットの中で最も安上がりな部分です。
急がせる相手を疑う
今すぐ行動するよう迫ることは、成功するほぼすべての詐欺に共通する特徴です。正当な依頼なら、1 時間かけて確認しても問題は起きません。
端末とメールアカウントを守る
メールはほかのすべてのリセット経路です。少なくともお金と同じ程度に守ってください。ソフトウェアを最新に保ち、公共のネットワークで金融操作をしないでください。
確定する前に確認する
受取先、ネットワーク、金額、通貨。ブロックチェーンではここでの誤りは取り消せません。第 7 節を参照してください。
6. 問題が起きたら
この順番で行ってください。最初の 2 つはお客様ご自身で行うもので、被害の拡大を止めるのはこの 2 つです。
カードを一時停止する
ダッシュボードでワンタップ、またはサインインできる任意の端末から。新しい支払いは即座に拒否され、残高はそのまま残ります。何よりも先にこれを行ってください。数秒で終わり、取り消せます。
パスワードを変更し、ほかの端末からサインアウトする
カードだけでなくアカウントに他人が入り込んでいると思われる場合、相手を締め出すのはこの手順です。どちらもセキュリティ設定にあります。
サポートに連絡する
[email protected] 宛てに、可能であればアカウントに登録したアドレスから送ってください。何がいつ起きたかを書いてください。1 営業日以内に回答し、アカウント乗っ取りの報告は優先して処理されます。
当社が調査し、対処する
当社はカードの一時停止、端末のブロック、カード番号の再発行、異議申し立てに備えた取引記録の保全ができます。できないのは、完了したブロックチェーン送金を取り消すことです。これは誰にもできません。
7. 責任の所在
7.1 当社の責任。第 3 節の管理策を維持すること。報告を速やかに調査すること。停止すべきものを停止すること。取引記録を保全すること。侵害が生じた場合に必要に応じてお客様と当局に通知すること。
7.2 お客様の責任。認証情報と端末を安全に保つこと。当社が提供するセキュリティ機能を有効にすること。確定する前に取引内容を確認すること。承認していない事象を速やかに報告すること。
7.3 当社が取り消せないもの。利用規約に定めるとおり、当社は、お客様が開示した認証情報に起因する損失、侵害された認証手段を通じた不正アクセスによる損失、お客様が情報を提供したフィッシングやソーシャルエンジニアリングによる損失、およびお客様が承認した取引（だまされて承認した場合を含む）による損失について責任を負いません。これは隠しておく免責事項ではありません。第 5 節が存在する理由であり、承認済みプッシュ送金詐欺が金融のあらゆる分野で最も救済の難しい手口である理由です。
7.4 誰にも取り消せないもの。完了したブロックチェーン送金は、当社にも、当社のパートナーにも、ほかの誰にも取り消せません。技術的に回復が可能な場合は当社が試み、その試みに料金は請求しません。
8. インシデント管理
8.1 手続き。当社は、インシデントの検知と封じ込め、根本原因の調査、是正措置の実施、影響を受けた方への通知のために、文書化されたインシデント対応手続きを維持しています。
8.2 通知。インシデントがお客様の個人情報やアカウントに影響する場合、適用される法律の定めに従い、不当な遅れなく、当社が把握している内容と推奨する対応をお知らせします。より聞こえのよい文面を仕上げるために通知を遅らせることはありません。
8.3 法執行機関。当社は、不正やサイバー犯罪を調査する法執行機関および規制当局に協力し、法律が許容または要求する場合にはお客様に通知することなく疑わしい取引を報告することがあります。なぜ場合によってお知らせできないのかは、マネーロンダリング防止ポリシーを参照してください。
9. 管理の主導権はお客様にあり、申請は不要
アカウントの被害の大半は、誰かがサポートにたどり着く前の 1 時間で起きます。だからそれを止める手段は、電話の待ち行列の向こうではなくアプリの中にあります。
- ワンタップで一時停止 — 新しい支払いは即座に拒否され、残高はそのまま残ります
- 番号の再発行 — 無料で、アカウントも資金も移動せずに行えます
- スマートフォンでの確認 — リスクの高い支払いには 3-D Secure を適用するため、盗まれた番号だけでは足りません
- カード情報は再認証の先に — 番号の全桁は、求めたときにだけ表示されます
10. 本ポリシーがカバーしないもの
限界を率直に示すことは、安心させる言葉を並べるより重要です。
暗号資産は預金保護の対象ではありません。政府の預金保護制度が守るのは銀行預金であって、暗号資産の残高ではありません。暗号資産として保有する資産には市場リスクがあり、それに対する保険はありません。
ブロックチェーン送金は取り消せません。誤ったアドレスや誤ったネットワークに資金を送った場合、誰にも取り消せません。送る前に必ずネットワークを確認してください。これはお金を失う最も多い原因であり、当社のセキュリティとは無関係です。
NELVOI の者がパスワード、2FA コード、カード番号の全桁を尋ねることは決してありません。尋ねる者は当社になりすましています。当社のサポート窓口は [email protected] だけです。
11. セキュリティに関する質問
顧客資金は、規制を受けたパートナーのもとで会社の資金とは分別された口座に保管されています。そのため会社の資産として扱われるのではなく、顧客に返還できます。これは預金保険と同じものではなく、当社がそのように説明することもありません。
書類は、確認を実施する規制を受けた本人確認プロバイダーに提出されます。当社が受け取るのは結果と法律上必要なデータであり、アップロードされたすべての複製ではありません。
別の端末からサインインしてカードを一時停止するか、[email protected] に連絡してください。当社で停止します。残高はそのまま残ります。残高は端末ではなく、本人確認済みのアカウントに紐づいています。
独立したペネトレーションテストはローンチ前プログラムの一部です。これに加えて、すべてのカードプログラムが稼働前に通過しなければならない発行パートナー自身のセキュリティ審査があります。
いいえ。その理由を正確に説明しておきます。預金保護制度（英国の FSCS、米国の FDIC、EU の預金保護指令）が対象とするのは、ライセンスを持つ銀行への預金です。規制を受けた電子マネー事業者や発行パートナーに置かれたカード残高は、代わりに分別管理によって保全されます。お客様のお金は会社のお金と分けて保管されるため、事業の資産になるのではなくお客様のものであり続けます。暗号資産の残高は、世界のどこでも何の対象にもなりません。暗号資産の残高が保険で守られていると主張する事業者は、預金保険とは別のものを説明しています。
当社はアカウントを凍結することができ、状況によっては法律上そうする義務があります。マネーロンダリング防止法は、規制を受けた事業者とそのパートナーに対し、定められた状況で取引を保留または拒否することを義務付けており、法域によってはその時点で理由を伝えることも禁じています。当社がお客様のお金を自らのために取り上げることはできません。分別管理された資金は当社のものではないからです。何が審査のきっかけになり、何をお伝えできて何をお伝えできないかは、マネーロンダリング防止ポリシーに定めています。
ほとんどの場合、回復できません。これは暗号資産でお金を失う最も多い原因であり、どの事業者のセキュリティとも無関係です。USDT を誤ったチェーンで送ったり、別の資産用のアドレスに送ったりすると、通常は資金が失われます。確定する前にネットワークを確認してください。技術的に回復が可能な場合は当社が試みますが、お約束はできません。その試みに料金は請求しません。
当社がパスワード、二要素認証コード、カード番号の全桁、リカバリーフレーズを尋ねることは、メールでも電話でもチャットでも決してありません。当社のサポート窓口は [email protected] だけ、ウェブサイトは nelvoi.com だけです。それらを求めるメッセージは、送信者アドレスがどう見えても当社ではありません。[email protected] に転送して削除してください。
個人データを販売することはありません。データはサービスの運営に必要な相手とだけ共有します。本人確認を実施する本人確認プロバイダー、残高を保管し支払いを処理する発行・銀行パートナー、取引を経由させる国際ブランド、そして法律で求められる場合の当局です。プライバシーポリシーに区分と理由を記載しています。
独立したペネトレーションテストはローンチ前プログラムの一部です。これに加えて、すべてのカードプログラムが稼働前に通過しなければならない発行パートナー自身のセキュリティ審査があります。カードプログラムにはカードデータの取り扱いに適用される PCI DSS の要件も引き継がれており、カード番号の全桁を当社が保存するのではなく発行プラットフォームが取り扱う理由のひとつです。
この文書は複数の言語で提供されています。各版の間に相違がある場合は、英語版が優先します。
