数年前、私は世界中の銀行に不正検知とAMLソリューションを提供しているある企業のユーザーフォーラムに参加しました。当時、私は約5年間AMLテクノロジーの分野で働いていましたが、リアルタイムの不正防止の世界についてはほとんど知識がありませんでした。ラウンドテーブルセッションの一つで、私はデバイスインテリジェンスベンダーの担当者の隣に座りました。
当時その技術についてほとんど何も知らなかった私は、彼に次々と質問を投げかけ、最後にはこう尋ねました。「マネーロンダリングの検知にデバイスインテリジェンスを使っているところはありますか？」彼は、そのような使い方をしているところは自分の知る限りないと答え、テーブルについていた他の人たち――主に上級レベルのAML担当者たち――もその考えには懐疑的でした。私が、この会社が大手金融機関と組んで概念実証を行い、どのような結果が得られるか試してみてはどうかと提案したところ、その案は軽く受け流され、話題は別のテーマへと移っていきました。
それから数年が経ち、私たちは COVID や PPP によって引き起こされた合成ID詐欺のブーム、ソーシャルメディア上での「詐欺-as-a-service」の台頭、そしてごく最近では AI を悪用した詐欺の爆発的な増加を経験してきました。状況は完全に一変しました。今の私は、シード期のフィンテック・スタートアップからフォーチュン500企業まで、あらゆる企業向けに不正対策ソリューションを構築しています。こうした企業の多くは、不正防止のために Device Intelligence や Behavioral Biometrics（DIBB）といった製品を利用していますが、そうした企業と仕事をする中で、かつての考えがふとよみがえってきました：デバイス間のつながりを、AML（アンチマネーロンダリング）の視点から見てみたらどうだろうか？
私は、素晴らしいデータサイエンティストたちと一緒に仕事ができるという恵まれた環境にいます。彼らに対して、デバイスの接続情報を用いてAML（アンチマネーロンダリング）のタイポロジーを見つけるよう依頼したところ、この課題にとても意欲的に取り組んでくれました。しかし、その話に入る前に、ここ数年で不正行為のエコシステムに起きたさまざまな変化を振り返り、不正からマネーロンダリングに至るライフサイクルを構成する要素を整理しておきましょう。
不正行為者のライフサイクルは次のようになります。
チャンスを見つける：「一番の弱点はどこか？」それが人間であれシステムであれ、彼らは最も簡単に悪用できる道を探します。必要以上に苦労する理由はありません。
犯罪の手口：ダークウェブでの「フルズ（fullz）」と呼ばれる個人情報一式やカード情報のダンプ、SIMスワップサービス、マネーミュールの手配などは簡単に手に入ります。こうしたものには一大アンダーグラウンド市場が存在します。
テストと調整：詐欺師たちは、どの対策が有効かを見極めるために、ターゲットの不正対策をテストします。彼らは少額の取引を使って、盗難カードや再利用されたデバイスを拒否するか、あるいは回数制限（ベロシティチェック）で警告が出るかを確認します。つまり、あなたの不正対策を逆解析しているのです。
スケーリング： 何が有効かを見つけたら、彼らはすぐに動き出します。あなたの上限が500ドルなら、495ドルの取引が現れ始めるでしょう。1分あたり50件まで取引が許されるなら、彼らは49件にとどめます。必ずしも電光石火というわけではありませんが、あらゆる制限のほんの少し下を狙い、可能な限り素早く最大の被害を与えようとしてきます。
キャッシュアウト：ここからが複雑になります。商品であれ現金であれ、最終的には資金の出所を分かりにくくするために、それらを移動させなければなりません。これは多くの場合、暗号資産取引所、P2Pネットワーク、ギフトカード、マネーミュールのネットワークなどを通じて行われます。
私たちは、これらのマネーミュールネットワークやレイヤリングスキームがモニタリングにどのように現れるのかを、古典的なものから進化し続けるものまで含めたマネーロンダリング手口の解説の中で詳しく説明しています。
イテレーション：不正な手口が通用しなくなると、彼らはすぐに次の標的を見つけます。成人の約80％がパスワードを使い回しているので、それはとても簡単です。さっき触れたアンダーグラウンドマーケットを覚えていますか？そこでは、特定の企業の脆弱性をどう突くかという「メソッド」や手順書が売られているのです。
現金化の段階こそ、私たちが本格的に掘り下げた部分です。複数のフィンテック企業、ネオバンク、金融機関を横断して可視化し、それらの間でお金がどのように動いているかを見られるとどうなるでしょうか？ 個々のクライアントを単独で見る場合よりも、はるかに多くのつながりが見えてきます。ここでは、私たちが実際に発見した事例をいくつかご紹介します。
例1 - 米国の大手ネオバンク1社で、1つのユーザーIDを共有する1,200件のユニークな口座を発見
当社のネットワークグラフ機能を用いて、Sardine はあるネオバンクの顧客で、1 つのモバイルユーザー ID を共有している 1,200 を超えるユニークなアカウントを特定しました。本来このデバイスレベルの属性は各 Android デバイスごとに一意であるべきものですが、実際には何百台ものデバイスで使われていました。これが起こり得る理由は 1 つだけです――意図的に変更されていたということです。
「なぜそんなことをするのか？」という疑問が湧くかもしれません。私たちの考える最も妥当な説明は、Sardine 導入前の管理環境では特定の属性に基づいて許可リスト化（アロウリスティング）しており、その属性の一つがおそらくこれだったということです。当時使われていた不正対策ソリューションにはネットワークグラフや異常検知の機能がなかったため、警告が上がることは一度もありませんでした。各デバイス ID はすべて異なっていたので、誰も不審に思わなかったのです。
この組織は東南アジアを拠点に活動し、伝統的な金融機関へ資金を抜き取る前に、数十万ドルもの資金を口座間で動かしていました。いわゆるマネーミュール、そのものです。
例2 - 1つの国際送金業者で、5万の連結口座が国境を越えて資金を移動
国境を越える送金は、まったく別物です。テストを始める前から、何かは見つかるだろうとは思っていましたが、実際に明らかになった事実の規模は、私の想像をはるかに超えていました。クロスボーダー送金を扱うときはいつでも、たとえば地域の銀行を相手にしている場合と比べて、マネーロンダリングが行われている可能性は桁違いに高くなります。従来型の金融機関を介さずに、ある国から別の国へ数千ドルを簡単に送金できてしまうことが、資金の出所を隠すことをそれだけ容易にしているのです。
1週間も経たないうちに、私たちは数百もの相互に接続されたアカウントのネットワークを発見しました。1か月後には、その数は2万件を超えていました。2か月後には、5万件近い接続アカウントが、途方もない額の資金を動かしていたのです。仕組みは単純でした。ネオバンクや暗号資産取引所から資金を受け入れ、それを数百のアカウント間でかき回し、いくつかの受け取り用アカウントに集約し、最後にすべての資金を伝統的な銀行へと出金する。洗浄して、すすいで、また繰り返す。
「きっとこれらのフィンテック企業は顧客に対してKYCをしていたはずだろう？」と、あなたは思うかもしれません。ええ、実際にしていました。では、どうやってこれほど多くの不正なアカウントが作られてしまったのでしょうか？
例3 - ギグエコノミーの抜け道を封じる
答えは思いがけない場所、つまりギグエコノミーのプラットフォームからもたらされた。
このクライアントが最初に私たちと契約したのは、他国の労働者たちが位置情報を偽装して、より高い地域別報酬を得ようとしていたためでした。彼らは、架空の人物をオンボーディングしていないことを確認するための本人確認ツールを導入していましたが、不正行為者たちはその抜け道を見つけ続けていたのです。
クライアントから、バングラデシュで発見した不正グループについて連絡がありましたが、その手口は彼らが想定していた典型的なパターンには当てはまりませんでした。私たちが詳しく調査してみると、何かがおかしいことに気づきました。すべての所在地が、いくつかの小さな町に集中していたのです。そこで、当社のデータサイエンティストの一人が、オンボーディングの発生地点を地図上にプロットし、時間の経過とともにそのグループがどのように拡大していったかを可視化したところ、はっきりとしたパターンが浮かび上がりました。不正行為者たちは一軒一軒家を回り、情報提供に応じてくれる人を片っ端から登録していたのです。
米国では、犯罪者がホームレスや大学生などを狙い、彼らの身元情報や銀行口座を利用して詐欺を行うという話を耳にしたことはありましたが、今回の規模はそれまで見たどんなものとも比べものになりませんでした。新規口座が次々と作られている地域一帯には何十本ものルートが張り巡らされており、それぞれが北から南へと伸び、次の通りでは出発地点へと折り返すように走っていたのです。
犯罪者たちは人々に報酬を支払って口座を開設させ、その同じ口座を使ってプラットフォームを悪用し、金銭的利益を得ていました。
これは、例1と2がどのように作られたかという仕組みと同じです。実在の人々、実際のKYC、そして本物の身元情報が、少し形を変えて犯罪者の手に渡っているのです。
デバイスを追え、金を追うな
これら3社のクライアント全体で判明したことは、本来それほど驚くべきことではなかったはずですが、誰もそこに目を向けていなかったために見過ごされていました。AML（アンチマネーロンダリング）プログラムは取引を中心に構築され、詐欺対策プログラムはイベントを中心に構築されています。そして、不正行為者たちが構築したパイプラインは、そのどちらの下でも密かに機能しているのです。
私はこれまで、この問題の両側に関わってきましたが、率直に言えば、このギャップを埋めるためのツールはすでに存在しています。つまり、デバイスインテリジェンスから行動バイオメトリクスまで、そしてネットワークグラフに至るまで、これらはいずれももはや実験的なものではありません。私たちはそれらを使って、数百万ドルを動かしている5万件の相互に関連する口座を特定しました。ですから、問題は「それらがAMLに有効かどうか」ではありません。有効であることは、すでに分かっているのです。
今日私たちが行っている多くのこと、たとえばトランザクションモニタリングなどは、今でも有効です。しかし、不正からマネーロンダリングに至るパイプラインはコンプライアンスツールよりも速いペースで進化しており、そのギャップは大きく開いたままです。このギャップを埋めるには、まず次のような問いを立てることから始まります。
- このアカウントはどのように作成されましたか？
- その背後にあったデバイスは何ですか？
- 他にその指紋を共有しているのは誰ですか？
この問題を真剣に捉えた現代的なAML（アンチマネーロンダリング）プログラムは、多くのコンプライアンスチームが現在運用しているものとは大きく異なります。デバイスのフィンガープリントは、取引時だけでなくライフサイクル全体を通してチェックされます。ネットワークグラフによって、単一の顧客の履歴にとどまらず、ポートフォリオ全体にわたる口座間の関係性が可視化されます。また、取引速度、デバイスの再利用、行動の異常値といった不正検知シグナルは、コンプライアンス部門が目にすることのない別システムに閉じ込められるのではなく、直接AMLワークフローに取り込まれます。こうしたシグナルをつなぎ合わせるAI支援型モニタリングの重要性については、当社の記事「AIはどのようにトランザクションモニタリングのパフォーマンスを向上させるか」の中で詳しく説明しています。
あなたのプログラムが、ポートフォリオ内のどのアカウントについてもその3つの問いに答えられないのであれば、まさにそこが不正者たちの侵入経路になっています。詐欺師たちは何年も前からその抜け穴を見抜いていました。いま問われているのは、コンプライアンスプログラムがいつそれに追いつくのかということです。