このシリーズの最初の3回では、誤検知をトップダウンの視点から扱いました：それらを計測し、, それらを分類し、, and 誤動作しているシステムの部分を修正する、というものです。
しかし、それらをすべて完璧にこなしたとしても、まだもう一つ問題があります。あなたの不正検知システムは迷路のようなものなのです。
ルール、モデル、AIエージェント、手動審査キュー、パートナーからの応答、支払いルーティングの判断、KYCチェック、デバイスインテリジェンスなど、ユーザーをブロックし得るコンポーネントが何十種類も存在しています。
それぞれのコンポーネントが単体では「妥当」に見えたとしても、それらが相互に作用することで、想定していなかった場所で誤検知が発生することがあります。ユーザーはシステムのある部分をすり抜けても、別の部分で引っかかってしまうかもしれません。
そのため、成熟した不正対策チームは最終的に、まったく別の仕組みを導入します。つまり、スタック全体の上位に位置し、すでに信頼する理由のあるユーザーがシステムによって不利益を被るのを防ぐ、高レベルのオーバーライドレイヤーです。
これは、不正防止セーフティネットの鏡像だと考えてください。ルール、モデル、エージェント、人間のいずれであっても、システム内のどんな主体がユーザーをブロックしようとしたときに、このセーフティネットが、そのユーザーが実際には優良なユーザーであるという強い証拠があるかどうかを確認します。もしそうであれば、その却下を取り消します。
このアイデアは正しく実装されれば非常に強力ですが、そのためには慎重に考え抜かれた設計が必要です。
どのように機能するのか、順を追って見ていきましょう。
オーバーライドシステムの設計方法
オーバーライドロジックを設計する前に、必ず答えなければならない質問が2つあります。
1つ目は、あなたのシステムのうち、上書きすべきではない部分――特にデフォルトでは絶対に上書きすべきでない部分――に関わるものです。
重要なのは、すべての解決策を同じように扱うべきではないということです。
盗難カードのブラックリストで「このカードは不正利用されている」と判定された場合、IPアドレスが無害そうに見えるという理由だけで、その判断を自動的に覆すべきではありません。結局のところ、データインテリジェンスの提供元が間違っている可能性もあるのです。
複雑にする必要はありませんし、不正検知ロジックと誤検知（フォルス・ポジティブ）検知ロジックを組み合わせる必要もありません。あなたのシステムの中で、精度がほぼ完璧で決して上書きされるべきではないソリューションにだけ印を付けておけばよいのです。
次に当然考えるべきなのは、どのヒューリスティックが誤検知を見つけるのに十分強力かという点です。
それだけでも達成するのはかなりハードルが高いのですが、あなたが行っているのは単に誤検知を見つけることではありません。すでに不正率が大幅に高い、却下済みの母集団の中からそれらを特定しているのです。そのような高リスクのセグメントに対して運用するのであれば、用いるヒューリスティクスは一切の抜け漏れがないほど堅牢である必要があります。
では、どこから始めればよいのでしょうか。
私は、高い不正率の集団をふるいにかけ、その中から誤検知（偽陽性）を見つけ出すのに、たいてい有効だと考えられる4つの主要なヒューリスティック、つまり論理パターンの系統を提案したいと思います。
どれを採用するか、そして具体的にどのように実装するかは、あなたのビジネスの状況次第です。
ファミリー1：信頼できる既知のユーザー
これは最もシンプルで直感的なカテゴリで、すでに知っていて信頼しているユーザーです。
これらのシグナルには、クリーンな行動履歴を持つ長期利用アカウントや、高いハードルの本人確認プロセスを通過したユーザーなどが含まれるかもしれません。ここで言っているのは、よくある一般的なKYCではなく、本人性を実質的に裏付けるような、意味のある確認手段のことです。
「ちょっと待ってくれよ」って、きっとあなたは思っているでしょう。「こんなの、今までで一番どうでもいい情報じゃないか！ まさかこんなことで時間を無駄にしたなんてことは…ないよな？！」
問題は、既存アカウントにフラグを立てるのは簡単でも、新規アカウントや一度きりのユーザーを評価しようとすると、ロジックがまったく変わってしまう点にあります。多くの場合、こうした「新規」ユーザーは実はリピーターであり、もし彼らを過去の行動と結び付けることができれば、高い摩擦を伴うリスク対策の対象から外せるかもしれません。
例えば、私自身もこれまで3つの国に住んだため、3つのPayPalアカウントを持っています。PayPalでは、引っ越した先の新しい国ごとに新規アカウントを開設する必要があるからです。
これは理想的なユーザー体験とは言えませんが、彼らが順守しなければならないコンプライアンス要件については理解しています。同時に、私が新しいアカウントを開設するたびに、それがすぐに以前のアカウントと紐づけられることも分かっています。
なぜかって？それは、すでに自分が持っている口座と同じ名義で、新しい口座を同じデバイスから開設しているからです。つまり、それは全部この私なんです。
重要なポイントは、信頼は「蓄積される」だけでなく「推測できる」ということです。誰かが1つのアカウントで長い履歴を築くのを待つ必要はありません。もし複数のアカウントの背後にいる人間が同一人物であり、そのうち1つの正当性をすでに確認できているなら、新しいアカウントはその信頼の一部を受け継ぐことができるのです。
同じ端末と名前を使って新しいアカウントを開くというのは、画期的なヒューリスティックというわけではありません（そもそもそれすら導入できていないチームもありますが）。しかし、同じ端末に依存せず、それと同等に強力な類似のロジックはいくらでも見つけることができます。
いくつかの例を挙げます。
- カード + IPアドレス
- メール + 同じ商品を購入
- 姓 + 正確な位置情報（そう、家族間でも推測できてしまいます！）
忘れないでください。大事なのは、適当なつながりを見つけることではなく、新しい出来事を、確実で実証された良い出来事と結びつけることです。
ファミリー2：高リスク環境
詐欺師は、自分の本当の身元や所属が明らかになる可能性のある環境を避けます。
一方で、正当な利用者はそうした環境から自然に行動することが多い。
ここから非常に強力な経験則が導かれます。つまり、ユーザーが高度に管理された、あるいは高い追跡性を持つネットワーク環境から取引している場合、そのユーザーが不正行為者である可能性は大きく下がるということです。
例としては、次のようなものがあります。
- ユーザーがおそらく従業員である、厳格なアクセス制御を備えた企業、政府、軍事のIPネットワーク。
- 利用者が職員または学生である大学のIPネットワーク。
- 大規模な非営利団体（.org）のIPネットワークで、利用者は従業員である可能性が高い。
そのようなネットワークから不正行為を行う可能性は極めて低いです。なぜなら、セキュリティ侵害の監視が行われており、比較的容易に個々のユーザーまで追跡できるためです。
同様に、厳重に管理された配送先住所（例えば軍事基地など）に荷物を送っている場合も、そのユーザーが詐欺行為を行っている可能性は極めて低いことを示す要因となります。
忘れないでほしいのは、不正行為者を特定して起訴することだけが重要なのではないという点です。彼らの多くはそれ自体をあまり恐れていません。むしろ、自分の勤め先から処分を受けることへの恐れこそが、これらの資産を悪用して不正を働くことを思いとどまらせるのです。
ファミリー3：地理的な連鎖
地理的な不一致は、誤検知が発生する最も一般的な原因の一つです。第3部では、米国とカナダの例を使ってこの点について説明しましたが、この不一致を利用して誤検知を見つけ出すこともできます。
具体的には、2種類のジオチェーンについて取り上げたいと思います。
1. 非常に限定された地域における地理的近接性
IPアドレスが正規の請求先住所と極めて近い場所に解決されたとしても、それ自体は必ずしも信用できる要素とは限りません。
たとえば、住所がNYCにある場合、その場所から10マイル以内にあるオープンプロキシIPを見つけることは、それほど難しくないかもしれません。
しかし、その住所が小さな町や地方の地域にある場合はどうでしょうか？ IP の位置情報と 10 マイル未満という強い一致が得られたとき、それは多くの人が思っている以上に「正当なユーザー」であることを示す強力な指標になり得ます。詐欺師は大都市を偽装することは簡単ですが、同じような手軽さで無名の村を偽装することはできません。
2. 国籍と一貫した不一致（旅行者）
今回も自分自身の経験からの例を挙げるのが一番わかりやすいでしょう。イスラエルでスペイン発行のカードを使うと、よく決済がブロックされてしまいます。なぜかというと、ESのBINとILのIPアドレスが一致しない（ミスマッチが起きている）からです。
しかし、本来これは起こるべきではありません。私の名前を解析すればイスラエル人だと判定できるはずです（その技術はすでに存在しますし）、イスラエルのIPアドレスと照合するのも簡単なはずです。とはいえ、名前とIPアドレスの国籍が一致しているからといって、それだけで良い取引（良いイベント）だという意味にはなりません。
しかし、カードとIPが一致しない一方で名前とIPが一致するという、非常に特定のパターンが見られる場合、詐欺師には真似しづらいほど巧妙な相関関係があることが分かります。
詐欺師がスペインのカードを見つけたら？単純にスペインのIPを使うだけです。わざわざ複雑なことをする理由なんてありません。
これは微妙で文脈依存の話ですが、ロジックが適切に検証されていれば、地理情報に基づく誤検知のかなりの数を、追加の不正リスクを最小限に抑えつつ覆すことができます。
ファミリー4：転売不可または低リスクの商品
この最後のヒューリスティックは、主にトランザクション型のビジネスに当てはまります。
詐欺師は盗んだものを転売することで利益を得ます。彼らのビジネスモデルは、盗品をデジタルか物理的な形かを問わず、別の誰かに渡すことに依存しています。購入されている商品に転売市場がまったくない、あるいはごく弱い場合、その取引を「不正リスク」を理由に拒否することは、しばしば逆効果になります。
例えば、次のようなものがあります。
- 教育関連の商品やサービス
- ニッチまたは高度にパーソナライズされた商品
- 個人的な消費を伴うサービス
これらの取引は、汎用性が高くどこでも同じように扱われる商品（電子機器、ギフトカード、デジタル通貨など）と同じ疑いの目で見るべきではありません。よく設計されたオーバーライドシステムでは、「転売価値が低い」という属性がブレーキとして機能し、不正利用者がそもそも欲しがらないものに対してシステムが無駄にエネルギーを費やすことを防ぐことができます。
ファミリー1：既知の良好なユーザー | 家族2：高リスク環境 | ファミリー3：地理的チェーン | ファミリー4：低リスク品目 | |
コアシグナル | ユーザーは、以前に確認された正当な本人情報と紐付けられています | ユーザーは追跡および監視されているネットワークから取引を行う | 地理データは、一貫した「旅行者」または「地元の人」のストーリーを語ってくれる | この商品には実質的な再販市場がありません |
シグナルの例 | 複数アカウントで同一デバイスと同一名義を使用し、カード情報とIPアドレスが過去の正常な取引と一致しており、家族アカウントとしての関連性が確認できる | 企業、政府機関、軍事関連のIPアドレス、大学ネットワーク、制限付き配送先住所 | 地方のIPと請求先住所の距離が近い（10マイル未満）；氏名と国籍はIPと一致するがカード情報とは一致しない（旅行者によく見られるパターン） | 教育サービス、ハイパーパーソナライズされた商品、個人向け消費サービス |
なぜ効果があるのか | 信頼は、単に収集するものではなく、推測することもできます――同じ人物がすでに別の場所で検証されているのです | 詐欺師は、自分の正体が明らかになったり、雇用主にたどり着くような環境を避ける | これらのパターンは不正行為者が意図的に作り出すにはあまりにも分かりにくく、文脈依存すぎるため、彼らはもっと単純な方法を選ぶのです | 詐欺師には転売価値が必要であり、転売市場がなければ盗む経済的な動機は生まれない |
気をつけて | 詐欺行為者が模倣しやすい弱い連携シグナル（例：メールアドレスだけでは不十分） | 企業ネットワークを偽装するVPN、共有の組織用IPアドレス | このロジックは特定の地域コンテキストでのみ有効であり、市場ごとに検証する必要があります | 一部の「ニッチ」な商品は、いまだに二次流通市場で転売価値があります |
おすすめ | リピーターの多いビジネス、複数アカウントのフロー、またはデバイスをまたいだユーザージャーニーを持つビジネス | 法人向け取引や企業・団体などの組織内で利用されるユーザーを抱えるビジネス | 国際的なユーザーベースを持ち、地域間の不一致ルールを運用している企業 | 電子商取引およびデジタル商品ビジネス |
オーバーライドロジックを安全に導入する方法
簡単に言いましょう。初日からトラフィックの100％に対してオーバーライドロジックを有効にしてはいけません。まずテストします。徹底的に。
一般的なロールアウトは次のような形になるでしょう。
- オーバーライドルールはシャドウモードでのみデプロイしてください。
- ヒット数を測定し、事前の予測分析と比較してください。想定どおりにヒットしていますか？
- シャドーモードのルールを全体の80％まで引き下げ、残りの20％については実際に却下を覆すチャレンジャールールを導入してください（これらの数値はあくまで一例として扱い、自社のリスク許容度に基づいてどのように母集団を分割するかを決定してください）。
- 30〜60日間にわたって結果を観察してください。これにより、承認されたままの集団の中で不正がどれくらいの速さで成熟していくかが分かるはずです。
- 良さそうですか？ 50％まで増やして同じことを繰り返しましょう。はっきりしませんか？ さらに30日待ちます。不正が急増しましたか？ 影モードを100％に戻して（最初からやり直しです）。
- 完全導入に到達するまで、段階的に増やしていきましょう。
この慎重な段階的導入を進める中で気づくかもしれないことの一つは、これらのルールをすり抜けて実際に発生する不正の多くが、限られた数の不正検知ソリューションから生じている場合がある、という点です。
これはよくあることで、そのような場合には、これらの不正検知ソリューションを上書きされない階層に移すべきです。除外ロジックに対してさらに除外ロジックを構築できるようになれば、あなたが業界をリードしている証拠だと言えるでしょう。
現時点で備えておくべきもの
これで、誤検知を減らすための完全なフレームワークが整いました。
- 第1部では、誤検知をどのように測定するかを学びましたたとえシステムがそれらを隠していても。
- 第2部では、それらをどのように分類するかを説明し、実際に影響を与えられるものを見極めました。
- 第3部では、不具合を起こしている部分をどのように修正するかを学びました。ルールの見直し、しきい値の調整、データ品質のトラブルシューティングを通じて、不正検知スタックを改善していきます。
- そして今では、たとえ一部のロジックが誤作動しても、優良なユーザーが不利益を被らないようにするシステムレベルのオーバーライド機構を備えています。
4つの要素すべてを組み合わせると、次のようになります。
「どこかに誤検知がいくつかあると思うんだ……」
…へ：
「私たちは、誤検知がどこから生じているのか、どのように測定すべきか、基盤となるシステムでどのようにそれらを減らし、アーキテクチャレベルでどのようにそれらから身を守るかを、完全に把握しています。」
これが高いパフォーマンスを発揮する不正対策組織の姿です。単に不正を検知するだけではなく、ビジネスの安全な成長を実現することが重要なのです。
そして、まさにそこに本当の大きな可能性があるのです。
