---
title: "トランザクション署名とは？MITBによる不正送金を防ぐ判断軸【SG試験】"
description: "トランザクション署名を送金先や金額など取引内容に結び付けた署名として整理し、ワンタイムパスワードやクライアント認証では防ぎにくい改ざん対策を見分けます。 取引内容の途中改ざんに気付ける点を押さえ、本人確認だけを強化する対策を正解にするひっかけを避けます。"
last_modified_at: "2026-06-24"
canonical_url: "https://stemtazoo.github.io/sg/transaction-signing/"
section: "sg"
---

## まず結論

- トランザクション署名は、**送金先口座や金額などの取引内容にひもづけて署名値を作り、改ざんを検知する対策**です。
- SG試験では、**ログイン時の本人認証（OTPやクライアント証明書）と、送金時の取引内容保護（トランザクション署名）を切り分ける**ことが重要です。

## 直感的な説明

インターネットバンキングで、利用者がPC画面で「A社へ10万円」と入力したとします。

MITBでは、送信直前にマルウェアが内容を「攻撃者口座へ50万円」に書き換えることがあります。

トランザクション署名は、このとき**別デバイス側で取引内容を確認して署名値を作る**考え方です。

- PC画面上の入力内容だけを信じない
- 別デバイスで取引情報を確認する
- その内容に対応した署名値を送る

このため、途中で内容がすり替わると、署名検証で不一致になり不正送金を止めやすくなります。

## 定義・仕組み

トランザクション署名（transaction signing）は、取引データ（振込先・金額・時刻など）に基づいて署名値を作り、サーバ側でその整合性を確認する方式です。

基本の流れは次のとおりです。

1. 利用者が送金内容を入力する
2. 別デバイスやトークンに、送金先口座・金額などを入力または表示確認する
3. デバイスが取引内容に対応する署名値を生成する
4. 署名値と取引要求をサーバへ送信する
5. サーバが「取引内容」と「署名値」の対応を検証する

ポイントは、**本人がログイン済みかどうか**ではなく、**送る取引内容そのものが正しいか**を確認することです。

SG試験の公式な出題範囲は、IPAの試験要綱でも確認できます。  
[情報セキュリティマネジメント試験の試験内容｜IPA](https://www.ipa.go.jp/shiken/kubun/sg/outline.html)

## どんな場面で使う？

- インターネットバンキングの振込・送金
- 送金先口座変更など高リスク操作
- 送信内容の改ざんが重大事故につながる業務システム

SG試験では、次の見分け方が有効です。

- 「ログイン時に使う認証情報」の説明なら、MFAやOTPの論点
- 「送金内容に対応する値を計算して送る」の説明なら、トランザクション署名の論点

つまり、**認証のタイミング（ログイン時か、取引確定時か）**を見ると選択肢を切りやすくなります。

## よくある誤解・混同

### 誤解1：ワンタイムパスワードを使えば、MITBによる不正送金を防げる

ワンタイムパスワードは、主にログイン時の本人確認を強化する方式です。  
一方、MITBは**ログイン後の送信データ改ざん**が中心です。

そのため、SG試験では「OTPを使っている」だけで、トランザクション署名の説明だと判断しないようにします。

### 誤解2：クライアント証明書認証があれば、取引内容改ざん対策として十分

クライアント証明書認証は、利用者端末や利用者の正当性確認の論点です。  
取引内容（振込先・金額）の改ざん検知を直接担う説明ではありません。

「認証局が発行した証明書で本人確認する」は、トランザクション署名の定義ではなく、クライアント認証側の説明です。

### 誤解3：トークンを使っていれば、すべてトランザクション署名である

トークンは用途が複数あります。

- ログイン用OTPトークン
- 取引内容署名用トークン

SG試験では、**トークンという単語ではなく、何に対して値を生成しているか**（ログイン情報か、取引内容か）で判断します。

## まとめ（試験直前用）

- トランザクション署名は、**取引内容にひもづく署名値で改ざんを検知する対策**。
- OTPやクライアント証明書は、主にログイン時の本人確認を強化する論点。
- MITBはログイン後の送信内容改ざんが本質なので、ログイン強化だけでは不十分な場合がある。
- SG試験では「何を守る方式か（本人確認か、取引内容保護か）」で切り分ける。