Block社は著名な空売り投資家であるHindenburg Researchから、同社が「ユーザー指標を水増しし」「摩擦のない不正行為の助長」を行っていると告発されている。
これらの疑惑の真偽はまだ証明されていないものの、株価は本日（2023年3月23日）すでに13％下落しています。
十分な情報に基づいた判断を下す前に、Block に回答する時間を与えることが重要です。
真実かどうかは別として、大きな教訓は「不正とコンプライアンスは、それだけが唯一の問題になったときに初めて問題になる」ということだ。
After carefully reading the Hindenburg report, it's clear that fraud and compliance are critical considerations for fintech and financial institutions. The Hindenburg report highlights several red flags. In our report below, we offer solutions to help our clients counter them.
1. 制裁スクリーニングを実施する ― OFAC、PEP（外国公務員等）、SDN（特別指定国民） ― に加えて、ネガティブニューススクリーニングも行う 口座開設時にこれらを実施してください。コンプライアンスの観点からは、本来必要とされるのは制裁スクリーニングのみです。ネガティブニューススクリーニングは、通常コンプライアンスプログラムでは後回しにされがちですが、リスク管理プログラムにおいて重要なレイヤーとなり得ます。私たちは多くのフィンテック系ネオバンクにおいて、ネガティブニュース／犯罪報告に基づき、不正なPPP入金を阻止するうえで大きな成果を上げてきました。
Sardine は不正防止とコンプライアンスを 1 つの API で提供しており、一度統合すれば、設定スイッチを切り替えるだけで制裁リスト／ネガティブニュースのスクリーニングを有効化できます。たとえば、ある人物の氏名・住所・生年月日が、過去に収監歴のある人物と一致した場合に、ファジーマッチングロジックに基づく自動スコアを提供します。
不正対策、コンプライアンス、あるいはデータサイエンスに携わる方なら誰でもご存じのとおり、氏名や住所を扱う際には、しばしば乱雑なデータや不完全な真実データを相手にすることになります。そこで当社では、お客様が各種リストに記載された人物と一致するかどうかを示すファジーマッチスコアを提供しており、疑わしい場合にはリスクベースで判断していただくことができます。
あなたの金融機関のリスク許容度に応じて、中程度のファジーマッチスコア（80〜90）の人をオンボーディングさせることは認めつつも、預け入れ限度額は小さく設定し、その後の取引モニタリング行動を時間をかけて厳重に監視する、という判断も可能です。たとえば、ある口座について性的人身売買への関与が疑われるネガティブニュースが出たものの、その顧客が本当にその疑わしい人物かどうかデータ上ははっきりしない場合、その人物を継続的に観察し続けることができます。例えば、「現地時間の午前1時〜6時の間にしか支出が発生していないか」「IPロケーションが常にホテル付近に現れていないか」といった点を確認するといった具合です。
図1：PEP（要人）アラートを表示しているSardineダッシュボード
出典：Cash App を麻薬取引に利用していたギャングに関するヒンデンブルグの報告書
2. 取引をリアルタイムでモニタリングする そして、麻薬取引、人身売買、テロ資金供与、または一般的なマネーロンダリングに関する疑わしい類型に該当すると判断されるユーザーはオフボーディングすること。多くのフィンテック企業にとって、これはしばしばアキレス腱となっており、その理由は、よく知られたアンチ・マネーロンダリング（AML）の類型を網羅したオープンソースのデータベースが存在しないためである。
これは、業界全体のコンプライアンス担当者の頭の中に閉じ込められているこの種の情報へ、簡単にアクセスできるようにするために、私たちがSardineを立ち上げた理由の一つです。私たちは200社以上のフィンテック企業と提携しており、創業メンバーや法務・コンプライアンス・不正対策（fraud-ops）などの責任者は、BofA、Wells Fargo、Chase、Coinbase、Step、Revolutなど、あらゆる規模・形態の金融機関で不正対策およびコンプライアンスチームを率いてきた経験を持っています。
この分野での豊富な経験を活かし、私たちは500種類以上の典型的なマネーロンダリング（AML）および不正の類型を網羅した包括的なルールバンクを構築しました。すべてのお客様は、これらの類型を活用することで、すぐに高度な対策をスタートできます。
出典：マネーロンダリング手口に関するヒンデンブルク報告書
図2：Sardine は、オンボーディング、口座入金、ログイン、支払い、カード決済、その他の資金移動など、さまざまなチェックポイントにおいて利用できる、500件以上のあらかじめ作成された不正検知およびマネーロンダリング対策（AML）ルールから成る包括的なルールバンクを提供しています。上記は、当社が事前に作成したルールのごく一部のサンプルです。
3. 顧客リスク評価：顧客をオンボーディングする際に、顧客リスクスコアを作成します。ユーザーが静的な個人情報（氏名、住所、生年月日、SSN）を暗唱できることと、自分が保有していると主張する本人になりすましていないことを証明できることは、まったく別の話です。Sardine は、本人性の所有権を確認するためのさまざまな方法を提供しています。
- 本人性の確認方法の一つとして、SSN チェックの後に、中〜高リスクのユーザーに対して、パスポート、国民IDカード、運転免許証などの書類による本人確認を追加で求めるやり方があります。Sardine では、SSN による確認と書類ベースの KYC チェックの両方を提供しており、ローコードのポリシーエンジンを使って、その二つのレベルをスムーズに切り替えることができます。このポリシーエンジンは、エンジニアリングチームによるコード変更なしで、コンプライアンスチームが簡単に設定・調整できるようになっています。
- 誰かが本当に自分のSSNを知っているかどうかを確認する別の方法として、行動バイオメトリクスによるプロファイリングがあります。SSNを入力する速度が、長期記憶から入力している（そのSSNを本当に知っていることを示す）のか、それともコピー＆ペーストしている（情報を盗んだ可能性がある）のかを示しているかどうかを確認するのです。
- 3つ目の方法は、本人確認情報のパッケージを認証済みの電話番号と照合することです。通信事業者側の情報が、オンボーディング時に提供されている本人情報と一致しているかを確認します。Sardine は、複数のデータパートナーとの提携を通じて、通信事業者の契約者情報データへのアクセスを提供しています。また、この照合を設定・確立するためのファジーマッチングルールも提供しています。
4. 顧客リスク評価とトランザクションモニタリングの組み合わせ：これは、英国のネオバンクや銀行が米国よりもはるかに先行していると私が感じている分野の一つです。
英国でFCAとやり取りをしてきた中で、彼らは常に、取引モニタリングの閾値が顧客のリスク評価に基づいて適切に設定されているかどうかを、ネオバンクに確認していました。
例えば、英国には多くのロシア人駐在員がおり、その結果として、制裁対象となっている個人や政治家と密接な関係を持つ可能性のある多数の外国PEPs（要人）も存在します。そのため、英国のネオバンクや金融機関は、PEPの子女が留学や生活費など学生として妥当な範囲で支出しているのか、それとも何千個ものグッチのバッグを購入するような（マネーロンダリングの可能性がある）支出をしているのかを、きちんと見分けられるようにしておかなければなりません。
同様に、米国では、個人の入金や支出のパターンが、その資金源（収入、不動産の売却など）と一致していることを確認することが極めて重要です。例えば、ある人が10万ドル超を入金しているにもかかわらず、オンボーディング時には職業を学生と申告していたとします。その場合、その入金を一時的に保留し、資金の出所について質問したほうがよいかもしれません。
5. ネットワークグラフを用いた関連ユーザー分析：顧客をオンボーディングする際には、同一人物によって作成された、あるいは同一人物に関連している可能性が高い既存アカウントを考慮に入れられるネットワークグラフツールを活用することが非常に有効です。
Sardine ではネットワークグラフツールを提供しており、どの共有属性が強い関係性を示し、どれが弱い関係性を示すのかを重視しています。たとえば、2つのアカウントが同じ SSN、同じデバイス ID、または同じメールアドレスを共有している場合、それらが同一人物に属している可能性は非常に高くなります。一方で、同じ IP アドレスを共有しているだけであれば、とくにその IP アドレスが商用 IP アドレスやモバイル IP アドレス（住宅用ではない）の場合は、別々の人物である可能性も十分にあります。さらに、当社では IP アドレスの種類（商用か住宅用か）を判別するためのシグナルも提供しています。
出典：ヒンデンブルク報告書
図3：Sardine のネットワークグラフ可視化ツール。SSN、メールアドレス、IPアドレス、電話番号、カード番号ハッシュ、口座番号とルーティング番号の組み合わせなど、10種類以上の属性を通じて、あるユーザーとつながりのある他のユーザーを特定することができます。
6. 接続しているユーザーの自動検出：Sardine は 5,000 以上の特徴量（シグナル）を備えたフィーチャーストアで、不正行為やマネーロンダリングの防止に活用できます。同一のデバイス ID、同一のメールアドレス、同一の電話番号を使用しているユーザー数を集計する特徴量などを提供しています。
また、特定のユーザーと強い属性によって強く結びついているユーザーを、複数ホップ先まで数え上げる機能もあります。私たちはこの機能を「リンクユーザー数」と呼んでいます。例えば、あるお客様のデータ全体でこのシグナルの分布を見ることができます。もし、あるユーザーが強い属性を通じて3人を超える他のユーザーとつながっている場合、それは不正行為グループ（フラウドリング）の兆候である可能性があります。
図4：Sardine のルールエディター。ある顧客における全ユーザーの「LinkedUser count（リンクされたユーザー数）」の分布を示しています。この顧客では、ユーザーの 87％以上が 3 人以下の他ユーザーとしかリンクされていません。したがって、この顧客に対しては、他のレッドフラグ条件と組み合わせて、任意のユーザーが 3 人を超えるユーザーと接続されている場合にフラグを立てるルールを作成するのが妥当だと考えられます。
7. 住所確認チェック：カードをお客様に発送する前に、次の確認を行ってください。
- 住所は住宅用（発送してよい）ですか、それとも商業用または私書箱（発送不可）ですか？
- カードの発送先となる物理的な住所は、CIP（顧客識別プログラム）で入力された最新の顧客住所と一致していますか？
- その住所の変動性はどの程度ありますか？異なる名前と関連付けられて使用されたことはありますか？
- アドレスの頻度はどの程度か――過去90日間にあまりにも頻繁に確認されていないか？
Sardineは複数のデータパートナーから住所データを取得し、カードが発送される前に、フィンテック企業向けにリアルタイムで数百項目のチェックを実行しています。
図5：ネオバンクが利用するSardineのケース管理システム。物理カードの発送先が不審な住所である場合に、そのカード発送リクエストを検証するために使用されます。
8. 名義確認：口座名義が送金先（受取人）の氏名と一致していることを確認してください。
Sardineは複数の銀行データコンソーシアムと提携し、資金が入金される相手方銀行における名義、住所、口座番号およびルーティング番号を検証しています。
ACHクレジット多くのネオバンクは当座預金口座番号とルーティング番号を提供しており、州の失業保険サイトからネオバンク口座へACHクレジットで資金を送金することができます。Sardineはローコードのルールエディタを提供しており、ACHクレジットファイル上の受取人名と口座名義人名とのあいまい一致（ファジーマッチング）ルールを素早く作成できるようにします。
ACH引き落とし：誰かがネオバンクのアプリにログインして、別の銀行から資金を引き出す場合でも、口座名義と、口座開設時にネオバンクに登録された名前とをあいまい一致で照合するためのルールを提供しています。
出典：ヒンデンブルク・レポート
概要：
不正対策とコンプライアンスについて、多くの組織は事業運営を妨げる厄介な規制要件だと見なしているかもしれません。しかし、適切に取り組めば、不正対策とコンプライアンスは、企業の評判を高め、顧客からの信頼を向上させる強みになり得ます。
Sardine では、不正対策とコンプライアンスの重要性を深く理解し、組織がこれらのリスクを効果的に管理・軽減できるよう支援する、包括的かつ統合されたプラットフォームを提供しています。私たちのエキスパートチームは、BofA、Wells Fargo、Chase、Zelle、Revolut、PayPal、Step、Coinbase など、さまざまな業界で不正対策およびコンプライアンス施策を主導してきた豊富な経験を有しており、お客様が新たな脅威や規制変更を先取りできるよう支援することをお約束します。
不正対策とコンプライアンスを優先することで、企業は金銭的損失や法的制裁から身を守れるだけでなく、持続的な成長と成功のためのより強固な基盤を築くことができます。貴社の不正対策・コンプライアンス体制の強化においてお役に立てることがあれば、ぜひ私たちにご相談ください。