「まさか、そんな昔からMFAなんて考えているわけないじゃん？」
多くの人がそう感じるはず。しかし歴史を丁寧にたどると、銀行のキャッシュカードは誕生当初から結果的にMFA（多要素認証）として成立していたという事実に行き着く。もちろん当時の銀行が「MFAを設計しよう」と意図していたわけではないと思う。それでも、構造を見れば現代のMFAと同じ要素が組み込まれていたのが事実。
キャッシュカードは所有＋知識のMFAだった
キャッシュカードの認証は、次の二要素で成立していた。
- 所有要素：カードそのもの
- 知識要素：PIN（暗証番号）
これは現代のMFAの定義そのものである。セキュリティ理論が体系化される前から、銀行は自然に多要素構造を採用していたと言える。
ATM時代のPINはローカル鍵でありインターネットには出ない
ATMでPINを入力するとATM内部でカード情報と照合され、銀行側のシステムとも閉域網で通信する。しかし一般的なインターネットには一切出ない。PINはインターネットを流れない知識要素＝ローカル鍵として機能。
対照的に一般的なパスワードはインターネットをケースがある。パスワードは入力するとインターネット経由でサーバーに送られ、サーバー側で照合される。そのためフィッシングや中間者攻撃の対象になりやすく、攻撃面が大きく広がる。見た目は短くシンプルなPINでも、インターネットに出ないという構造的な強さがあるため、パスワードより安全だった。
磁気カード時代は所有要素が弱点
初期のキャッシュカードは磁気ストライプ方式。磁気ストライプは複製が容易で、スキミング被害が多発。
- カードが複製される
- PINを盗み見られる
- ATMで不正利用される
このように、所有要素が弱かったためMFAとしての強度は十分ではなかった。どれだけPINが強くても、所有要素が破られれば意味がない。
ICカード化は所有要素の強化という進化
銀行は磁気カードの弱点を補うためICカードへ移行。
- 複製困難
- 改ざん困難
- 秘密情報が外に出ない
これにより所有要素が劇的に強化され、MFAとしての安全性が向上。これは現代の passkey（所有＋生体またはPIN） と同じ思想であり、銀行は結果的に「所有要素を強化することでMFAの安全性を高める」という進化を遂げていた。
ネット銀行の登場でPINがパスワード化した
ATM時代のPINはローカル鍵であったが、ネット銀行の登場で状況が変わった。
- PINをオンラインで入力するようになる
- PINがインターネットを流れる情報になる
サーバー側で照合され、フィッシングの対象になる。
PINがパスワードに変質してしまったのである。ATM時代の「所有（カード）＋知識（PIN）」という強固なMFA構造が、ネット銀行の普及によって崩れた瞬間であった。
新しい所有要素の導入でMFAを再構築した
ネット銀行ではカードを使わないため所有要素が消失する。その穴を埋めるために銀行は新しい所有要素を導入。
- ワンタイムパスワード（OTP）
- ハードウェアトークン
- SMSコード
- 生体認証
これらはすべて、失われた所有要素を補うための追加MFAであり、認証の強度を再構築する流れを生んだ。
まとめ
キャッシュカードは登場当初から所有＋PINのMFA構造を持っていた。
- PINはインターネットに出ないローカル鍵であり、パスワードとは構造が異なる
- 磁気カードは所有要素が弱くスキミング被害が多発
- ICカード化は所有要素の強化であり、passkeyと同じ思想
- ネット銀行の登場でPINがパスワード化し、追加の所有要素が必要に
- passkeyの「所有＋生体（またはPIN）」は、この歴史の延長線上にある
銀行は意図してMFAを設計したわけではないが、結果として現代のMFAの原型を数十年前から運用していたと言えると思う。