ほぼ4人に1人の成人が米国では詐欺師にアカウントを乗っ取られています。2019年以降、攻撃件数は3倍に増加し、2021年には被害額が90％増加しました。
この問題をさらに深刻にしているのは、アカウント乗っ取り（ATO）は効果的に検知することが非常に難しいという点です。
ATO を検知することは、多くの場合、フィンテックのウォレットや加盟店が顧客に対して本人確認などの追加ステップを求め、利用体験に摩擦を生じさせることを意味します。これによりコストが発生し、収益が減少し、消費者の不満を招きます。
しかし、もっと良い方法があります。
アカウント乗っ取りとは？
アカウント乗っ取りとは、不正利用者が正規の顧客アカウントに不正アクセスすることを指します。この攻撃は、メールアカウント、SNS、サブスクリプション、銀行口座、クレジットカードなど、あらゆるアカウントで発生し得ます。
一度アカウントにアクセスされてしまうと、不正な取引を行ったり、ロイヤルティポイントを利用したり、販売目的で顧客データを収集したり、さらにはパスワードを変更して正当な利用者を締め出したりすることができます。
加盟店やフィンテックウォレット側から見ると、これらの攻撃はしばしば正規のログインのように見えます。
なぜアカウント乗っ取り（ATO）は悪化しているのか？
パンデミック中の一連のデータ侵害と、デジタル化や電子商取引への急速な移行を受けて、不正行為者はこれまで以上に巧妙になりました。彼らは大規模に活動するようになり、従来型のATO（アカウント乗っ取り）検知手法では太刀打ちできない状況を生み出しました。
サービスプロバイダーから見ると、そのアカウントは正当なユーザー名とパスワードでログインしたように見えます。この認証済みユーザーは、加盟店やフィンテックウォレット側が意図的に通常と異なる挙動を探していない限り、不正検知の制御を発動させない可能性があります。
オンライン上の利用者にとって、より安全な環境を早急に整える必要があります。
犯罪者はどのようにしてあなたのアカウント情報を手に入れるのか？
ステップ1：パスワードを入手する
ユーザー名とパスワードがいずれかの情報漏えいで流出しており、多くの被害者が他のサイトでも同じパスワードを再利用している可能性が高い。
ステップ2：OTP（ワンタイムパスワード）を取得する
詐欺師の次の手口は、あなたのサービスプロバイダーから送られてくる可能性のある、あらゆる種類のセキュリティ用PINコード（たとえば、ワンタイムSMSコードやメールなど）を入手することです。
彼らは、これらのパスコード（OTP）にアクセスするために、いくつもの手口を使います。
- SIMスワップ攻撃攻撃者は、AT&T、Verizon、Vodafone などの携帯電話会社をだまして、電話番号を新しい端末に「移行（ポート）」させます。そうすると、OTP（ワンタイムパスコード）が送信されたとき、そのコードは被害者ではなく攻撃者の端末に届いてしまいます。
- フィッシング攻撃顧客をだましてワンタイムパスワード（OTP）を渡させる手口で、次の2通りの方法があります。
- 偽のウェブサイトやメール：詐欺師は、顧客が取引している正規の企業からのものや、口座に問題があるかのように見えるウェブサイト、メール、請求書を作成します。
- b) 脅迫： 顧客にワンタイムパスワード（OTP）を教えさせるために、プレッシャーや脅しの手口を使うこと。
- 盗まれたデバイス詐欺師が被害者の携帯電話のPINやコードを見てから、そのデバイスを盗み取る手口です。デバイスを盗むことで、詐欺師は被害者宛てのOTP（ワンタイムパスワード）メールやSMSを受信できるようになり、それを使って銀行やフィンテック企業などのサービス提供者のアカウントに簡単にログインできてしまいます。
- マルウェアマルウェアとは、インストールされると端末を危険にさらすソフトウェアやアプリのことです。フィッシングのような不正なリンクをクリックしたり、スパムやその他の広告を通じて配布されたりすることでインストールされる場合があります。
ステップ3：詐欺を実行する
詐欺師がアカウントにアクセスできるようになると、口座の中身を空にしたり、不正な活動に利用したり、あたかも正規の利用者であるかのように買い物をしたりすることができます。そして、フィンテックのウォレット事業者や加盟店がそれに気づくのは、利用者から連絡があったときだけです。
従来の手法ではアカウント乗っ取りを防げていない
1つの解決策は、デバイスフィンガープリンティングを利用することです。多くの加盟店やサービスプロバイダーは、ブラウザ設定や携帯電話固有のIMEI番号など、デバイスから得られるシグナルを用いて、ユーザーが以前に使用していたデバイスからログインしていることを確認します。デバイスが変わった場合、サービスプロバイダーは、しばしば「ステップアップ」と呼ばれる、追加のセキュリティレイヤーを求めるようになります。
フィンテックのウォレットのユースケースでは、新しいデバイスからログインするユーザーに対して、追加の認証（例：メールやSMSで送信されたコードによる確認）を求める場合があります。この2つ目の認証要素によって、サービス提供者はそのユーザーが正当な利用者であるという確信を得ることができます。
アカウント乗っ取り攻撃とその件数が急増する中で、より多くの優良顧客が、追加の二要素認証（ステップアップ認証）に引っかかってしまっています。
これらの誤検知はユーザーに摩擦と不満を生み出し、フィンテックウォレットや加盟店にコストと解約・離脱をもたらします。
きめ細かな検知の必要性
デバイスやログインイベントだけを個別に見ていては、全体像を見失ってしまいます。より多くのATO（アカウント乗っ取り）詐欺を防ぐために、組織は次の点に取り組む必要があります。
- デバイスのシグナルを行動データと組み合わせる。すべてのデバイスシグナルが同じ価値を持つわけではなく、不正者たちは位置情報などの主要なデバイスシグナルを偽装する方法をすでに身につけています。しかし、普段あまり重視されないような細かなデバイス特性と、そのデバイスがどのように使われているか（ユーザーの行動）を組み合わせて分析することで、より不審な行動を検知できるようになります。
- データソースを組み合わせて、より優れたインサイトを得ましょう。サードパーティのデータベースには、過去に侵害されたことが判明している認証情報や、他所で歴史的に不正に使われてきた携帯電話番号などが含まれています。これらをデバイス情報や行動データと組み合わせることで、全体像を把握できます。
- リモートソフトウェアを検知する。ごく一部の正当なユーザーしか、リモート画面共有ソフトウェア経由で自分のアカウントにログインしません。その少数のユーザーに対しては、追加のステップアップ認証によるわずかな負荷をかけることで、問題なくログインできるようにします。
- エミュレーターを検知します。ほとんどの正当なユーザーは、ノートパソコンや他のデバイス上で自分のモバイル端末をエミュレートすることはありません。
- 顧客全体にわたる異常を監視しましょう。きめ細かなデバイスシグナルを用いることで、複数のユーザーやログイン試行において、不審に思える共通のパターンがないかを確認することができます。
- 「Same User Score（同一ユーザースコア）」を導入する。携帯電話が盗難に遭ったりマルウェアに感染した場合でも、同一ユーザースコアによって、同じデバイス上でのリスクの高い行動を加盟店が検知できるようになります。
- データ侵害。お客様に関係する他のデータ侵害を積極的に監視しましょう。
- SIMスワップ。データフィードと異常検知を通じて、潜在的なSIMスワップを特定します。
なぜSardineは他と違うのか
Sardine は、ATO 攻撃で詐欺師が残す隠れた手がかりやシグナルを検知し、ATO を大幅に削減することができます。
当社のクライアント全体で、Sardine の持つ力を最大限に活用した際に、驚くべき成果が得られています。あるクライアントでは、Sardine を導入した最初の1か月で ATO を34.8％削減したと報告しており（現在も引き続き最適化を進めています）。
しかし、本当の成果は、誤検知を63.9％も削減できたことでした！
摩擦は減らし、不正検知はさらに強化。
Sardine は、デバイスと行動のデータセットを統合するために構築されました。私たちは競合他社よりもきめ細かいシグナルを持っており、それによって不正を検知し、誤検知を減らすことができます。
もちろん、私たちがそれをどのように行っているのかを正確にお伝えすることはできません（分かる人には分かります）。
私たちが重視しているのは結果です。
そして、その成果を手にしていただくお手伝いができればと願っています。
デモをご希望でしたら、お問い合わせください。