顧客確認（KYC）は、度重なるデータ侵害の重圧で軋み始めています。
2024年には、ベライゾンの調査によると、金融業界が医療業界を抜いて最もハッキング被害を受けた業界となり、全データ侵害件数の10分の1（約1億5,220万件）を占めました。
KYCデータを信頼できない場合、コンプライアンスチームの業務負荷は実質的に3倍になります。彼らは顧客の資金源が正当であることを確認するだけでなく、その人物が実在するかどうか、そしてその人物のデータが盗まれていないか（あるいは実在の盗まれた認証情報に基づく合成IDではないか）も検証しなければなりません。
ダークウェブで売買される個人情報でも、KYC審査を通過してしまう
2024年の第3四半期だけでも、データ侵害により世界中で4億2200万件を超える記録が流出し、その数は今も増え続けています。
- ハッカー集団BlackCatは、2023年6月のMOVEitハッキングで、60の銀行を含む2,000社からのデータ窃取を行ったと主張しました。
- これは、推定285万件（9,500万件のうち3％）のKYC情報の記録が犯罪者の手に渡ったことを意味していました。
- ベライゾンの調査により、MOVEIt攻撃で盗まれたデータがさらに悪用され、2024年に発生した全金融システム侵入の8％に関与するなど、さらなる犯罪の実行に利用されていたことが明らかになりました。
組織化された犯罪者は、機密データをランサムウェアで金銭化したり、ほかの悪意ある人物に売却したりしています。2024年第2四半期には、シンガポールの調査で、盗まれたデータがダークウェブ上で販売される件数が前年比230％増加したことが明らかになりました。また、本物の身分証明書のコピーだけでなく、指紋や顔データ、さらには自撮り写真といった生体情報までもが、わずか8ドルで購入できてしまいます。
盗まれたデータはさまざまな形で悪用されていますが、金融分野では主に口座開設に使われており（クレジット詐欺の90％の事例）、犯罪者は自動車ローンを組んで車を購入したり、複数のクレジット口座を開設して限度額まで使い切ったりしています。
2023年以降、アカウント乗っ取りの件数も13％増加しました。さらに、30万件以上の既存口座からのクレジット窃盗が、2024年第3四半期だけでFTCに報告されました。
コンプライアンス担当者に押し寄せる新たなKYCリスクの波
6割以上のコンプライアンス担当者がデータ侵害を最大のストレス要因として挙げています。ハッキングから守るためのコストも無視できません。現在、米国の中堅規模の商業銀行の大半（60％）は、コンプライアンス予算の3分の1以上をKYCだけに費やしています。さらに、個々の案件を精査するコストも積み重なっており、1件あたり平均2,598ドルに達しています。
データ侵害がますます頻発する中、規制当局が追いつくのは時間の問題です。
昨年、バンク・オブ・アメリカは責任を問われました。インフォシスがデータを保有していたにもかかわらず、です。ある記者が述べたように、「規制当局にとって、サードパーティのサイバーセキュリティリスクに関する責任の所在は白黒はっきりしており、責任を負うのは銀行なのです。」
英国では、FCA（金融行為監督機構）が、第三者によって行われた不正行為について銀行に責任を負わせるべきかどうかを巡る新たな規則について、すでに議論を進めています。これには、絶え間なく発生するデータハッキングに対して十分な耐性を持たないテクノロジー関連の規制パートナーが含まれる可能性もあります。
十分な備えがないことは、金融サービス業界が許容できるリスクではありません。
手作業のプロセスでは、盗まれた認証情報や架空の身元を見逃してしまう可能性があります
2023年末の調査では、「KYC は依然として大部分が手作業のプロセスである」と判明しました。この問題は何年も前から続いており、犯罪者たちもそれをよく理解しています。2022年には、トムソン・ロイターは次のように報告しています、「…銀行が依然としてスプレッドシートやその他の手作業プロセスに頼り続けているため、金融犯罪コンプライアンスおよび検知への取り組みには一貫性と整合性が欠けている」と。
リスクには次のようなものがあります
- 静的なデータポイントへの依存：社会保障番号や国民IDなどに依存している場合、盗まれた認証情報であってもKYC審査を通過してしまう可能性が高くなります。
- 写真付き身分証明書を信用できないことについて：現在では、もっともらしい写真付き身分証明書を作成することは容易になっています。このデータが広く流出してしまうと、データベースとの照合や写真付き身分証明書との比較だけでは、もはや正当性を保証できません。
手作業のプロセス、書類の真正性への過度な依存、そして限られたコンテキスト情報に基づく判断は、KYC に深刻なリスクをもたらします。
解決策：データ、機械学習、そしてAIエージェント
- ディープフェイクはライブネスチェックをすり抜けることはできますが、人間の行動チェックはすり抜けられません：ディープフェイクによる攻撃を受けているデバイスと、人間が通常どおりに使っているデバイスとでは、利用のされ方が異なります。キーストロークの動きやタイピングのリズム、マウスの動き、モバイル端末の扱い方など、ユーザー特有のさりげない特徴を観察し、異常があればフラグを立てましょう。
- 良好な行動のベースライン: 「一般的なユーザー」と「このユーザーにとっての通常状態」を基準として設定すれば、機械学習とAI主導の行動分析によって異常を検知できるようになります。学術研究によると、その成功率は92％とされています。Sardineの行動バイオメトリクスは、当社の「同一ユーザースコア」によって、これと同等かそれ以上の精度を定期的に達成しています。
- 異常検知：標準機能として、行動ベースライン分析は取引活動の急激な変化や、通常と異なるログイン場所も検知できる必要があります。また、ある口座名義人が既知のマネーミュールや詐欺師と取引してきた履歴がある場合など、口座間の関係性についてコンプライアンス担当者に警告を出すべきです。
- 書類向けLLM搭載光学文字認識（OCR）：LLMは書類の真正性確認において非常に高い性能を発揮するようになっており、フォントやホログラム、マイクロテキストの不整合を見抜くことができます。これにより偽造書類の検知精度が向上するだけでなく、トランザクションモニタリングやユーザー行動分析と組み合わせることで、信頼性はさらに高まります。ブリーチインテリジェンスソフトウェアは、犯罪が実行される前の段階で、潜在的な不正や脆弱なアカウントについて企業に警告することができます。
- ステップアップ型KYC AIエージェント： データ侵害によってKYC システムから生成されるアラートの件数が増加する中、AIエージェントはステップアップKYC案件を迅速にトリアージするのに役立ちます。SardineのAIエージェントは、安全なSardineプラットフォームにアクセスでき、KYC書類データ、信頼できる第三者データソース、そして独自のデバイスおよび行動シグナルを利用できます。テストでは、KYCキューに滞留している誤検知（フォルス・ポジティブ）を100％の精度で特定できることが分かっており、コンプライアンス担当者はより難易度の高い案件の調査に集中できるようになります。
KYCには引き続き防御層を重ねていかなければなりません
機微な個人情報が闇市場で容易に入手できるようになっている今、従来型のKYC手法はますます脆弱になっています。重要なのは、追加の認証レイヤー、継続的なモニタリング、そしてコンテキストに基づくインサイトを重ねて強化することです。Sardineはあらゆる段階で多面的なセキュリティを構築するために、新たな防御シールドを継続的に追加しています。
金融機関は、行動分析、リアルタイムのインテリジェンス、そして異常検知のために設計されたLLM OCR機能を活用することで、顧客確認プロセスへの信頼を取り戻すことができます。実際のところ、KYCという業務は終わることのない継続的な取り組みなのです。
私たちは共に、KYC の結果に対する信頼性を着実に高め続け、規制当局と正当な顧客の双方がその絶えず進化し続けるセーフガードに依拠できるようにしなければなりません。
よくある質問（FAQ）
基盤となる個人データが広く流出している場合、強化されたKYCだけで十分と言えるのでしょうか？
銀行のシステムに取り込まれたデータが侵害されているリスクがあるケースを扱う場合、それを検知して排除するために取れる戦略はいくつかあります。御社に最適な方法を見つけるには、まずお話を伺い、固有の状況を理解する必要があります。私たちは、デバイスインテリジェンス、行動バイオメトリクス、データエンリッチメントを組み合わせて、不審なアカウントをふるい分けます。当社のテクノロジーは、ボットの活動、プロキシやVPNの利用、リモートアクセスツール、改ざんされたアプリ、ルート化されたデバイス、位置情報コンプライアンスなどを迅速に特定できます。同時に、タイピング、マウスの動き、スクロール、スワイプ、長期記憶フィールドへの入力、ためらい、注意散漫といった行動も追跡し、ユーザーの真正性を測定します。データを深く掘り下げることで、SardineはIPアドレス、信用情報、社会保障番号、郵送先住所、位置情報などを精査し、異常を探し出します。新規口座開設時に強化されたKYCを導入することは不可欠です。予防は治療に勝ります。私たちは常に、組織化された犯罪者よりも速く、より迅速に機能を改善することに努めています。
継続的なモニタリングを行いながら、どのようにして顧客体験を損なわないようにできますか？
高度な分析機能は多くの場合バックグラウンドで動作し、本当に追加の確認が必要なケースだけをエスカレーションします。適切に調整された動的モニタリングは、正当な顧客に不要な負担をかけることなく、セキュリティを強化することができます。
規制当局は、従来型からより高度なKYCツールへの移行をどのように見ていますか？
金融サービス業界には、たとえば米国の「公正かつ正確な信用取引法（FACT Act）」のように、顧客をなりすまし被害から保護することが義務付けられています。規制当局は、企業が強固な保護策を導入し、進化するリスクに積極的に対処することを期待しています。
英国では、FCA（金融行為監督機構）が金融機関に対し、データ保護の分野でのイノベーションを積極的に促し、協業を推奨しています。同機構が述べているように、「消費者、企業、市場を守るために行動を起こすのは、私たち一人ひとりの責任です。力を合わせれば、金融犯罪を減らし、防止する方向へと、決定的に舵を切ることができます」。
私たちは、KYC（顧客確認）プロトコルの強化を望まない規制当局を、いまだ見つけていません。世界各地でデータ侵害が深刻化するなか、銀行は信頼を回復するために、安全対策を一層強化しなければなりません。
これらの新しい技術を導入し始める最適な方法は何ですか？
Sardine なら、この対応を喜んでお引き受けします。クリックかお電話をいただくだけで結構です。あまりおすすめはしませんが、もし社内で自前対応（DIY）をされたい場合は、小規模なパイロットから始めるとよいでしょう。たとえば、一部のアカウントに対して行動バイオメトリクスを試験導入したり、オンボーディング時にデバイスレピュテーションチェックを追加したり、侵害インテリジェンスデータを統合したりする方法があります。その効果を測定し、パラメータを調整し、リスク指標の改善が確認できてから段階的に拡大していってください。
この新しい状況でも、KYCプロセスに手動での審査を組み込むことはできますか？
もちろんです。人間の判断は依然として極めて重要です。これらのツールは、熟練したアナリストが最も必要とされる複雑で高リスクな案件に集中できるようにし、日常的な取引の選別に時間を取られないよう支援します。人間の専門知識と高度な分析技術の相乗効果こそが、最も強力な防御を生み出します。私たちは、犯罪行為に立ち向かうために、持てるすべての能力を結集しなければなりません。