詐欺師たちはもはや単発の攻撃を仕掛けているわけではありません。彼らは組織的なオペレーションを展開しています。
何年もの間、不正対策チームはおなじみのモデルに基づいて防御を構築してきました。すなわち、不正な取引を捕捉し、怪しい口座にフラグを立て、アラートを調査するというやり方です。このアプローチは、不正が時間上のある一点で発生する個別の事象であり、よく知られた異常パターンを探すことで容易に特定できるという前提に依存していました。
その前提はもはや成り立ちません。
2025年を通じて私たちが目にしたのは、不正行為のあり方が根本的に変化しているという事実でした。もはや、単独の不正者が運試しをする時代ではありません。現代の攻撃は、継続的かつ組織的に行われ、その最中は正当な取引に見えることが非常に多いのです。ここからが、不正対策の責任者たちを夜も眠れなくさせるポイントです。本人確認を通過し、取引内容にも不自然さがない場合、その行動はお金が消えて初めて不正として姿を現すのです。
AI は現在、適応型の不正対策ワークフローを可能にしています
最大の加速要因は何か？それは、リアルタイムで学習し適応するAI搭載の不正対策ワークフローです。
この最近のスピード感について、Sardine社のチーフ・フロード・ストラテジストであるMatt Vega氏が私たちの「Fraud and AML Trends」ウェビナーの中で語っていたことを考えてみてください。Sardineは最近、Google reCAPTCHA v3 を使った攻撃を受けた企業と話をしました。reCAPTCHA v3 は、セッションをブロックするための信頼度しきい値に依存する、摩擦のないボット検知レイヤーです。その企業が攻撃を止めるためにブロックのしきい値を下げたところ、その背後にいたAIエージェントは即座に対応してきました。
「そのエージェントによる攻撃は、リアルタイムで完全に方向転換してきます……新しいしきい値を回避するためにスコアを下げてくるのです。その後、彼ら（その企業）はさらにしきい値を下げますが、攻撃側はまたそれに合わせて 400〜500 ミリ秒以内に切り替えてくる……そのスピードと勢いは本当に容赦がありません。」
これらのポリモーフィック攻撃は、防御側の対策に応じて姿を変えることで、まったく新しい種類の脅威となっています。この能力はすでに現実に起きており、もはや理論上のリスクにとどまるものではありません。
参入障壁は崩壊しました。かつては中間者攻撃、クレデンシャルスタッフィング、OTP（ワンタイムパスワード）の傍受といった高度なサイバーセキュリティの専門知識を必要としていた攻撃も、今では技術的な背景のない人でも5分足らずで組み立てて実行できるようになっています。Fraud-as-a-service（サービスとしての不正行為）のパッケージは、ダークウェブのマーケットプレイスでわずか150ドルから販売されており、多くの場合、特定の金融機関などを標的としたセットとして提供されています。Sardineの不正対策責任者であるChen Zamir氏の言葉を借りれば、次のとおりです。
「購入者は技術的な知識を持っている必要はなく、必要なのはTor VPNだけです。」
詐欺が新たな主要な手口となっている
詐欺は2025年には件数・被害額の両面で従来型の不正行為を上回りました。これは主に、AIによって詐欺が非常に効率的にスケールするようになったためです。より洗練された台本、ディープフェイクを用いたKYC（本人確認）のすり抜け、そして標的を精密に絞り込む手法により、詐欺オペレーションはこれまで以上に高速化し、信憑性を増し、正当な取引との見分けがつきにくくなっています。
詐欺の影響は、最初の被害者だけにとどまりません。詐欺が一度成功するたびに、その裏では必ずマネーロンダリングの問題が発生するからです。不正な資金が動く過程で、AIが主導する「ダスティング」と呼ばれる手法の台頭が見られるようになっています。
「マネーロンダリングのネットワークを見ると、出どころとなる口座が1つと、最終的な出口となる口座が1つあるのですが、その間には資金を迂回させる口座が何十、場合によっては何百も存在し、ときには数円レベルの少額取引さえ行われています。こうした構造が、詐欺対策チームの動きを明らかに遅らせてしまうのです。」
チェン氏は、かつてマネーロンダリングのネットワークには多大な人的労力が必要だったが、今ではAIエージェントがそのプロセスを自動化していると指摘した。これらの仲介口座は、ごく小さな金額を分散して送金することで、資金の流れを見えにくくしている。この多層構造は、詐欺師たちがまったく別の組織を経由して資金を引き出すことで、プラットフォームをまたいだ課題にもなっており、決済の照合を飛躍的に困難にしている。
旧来のモデルは崩壊している
従来型の不正防止アプローチでは、もはや対応しきれません。一般的な方法では、アカウント作成時とチェックアウト時に厳格なコントロールを行いますが、その2つのポイントの間には大きな可視性のギャップが残されたままです。
マット・ベガは、この「境界」重視の考え方では、現代の攻撃者が実際にどのように動くのかを十分に考慮できていないと主張している。
「アカウント作成という玄関にはたくさんの防犯カメラを付けて、チェックアウトという裏口にもたくさんの防犯カメラを付けている。でも問題は、不正利用者が一度家の中に入り込んでしまうと、どの引き出しを開けられているのか、実際に何を盗まれたのか、どんな経路をたどったのかが分からないということなんです。」
不正利用者がチェックアウト段階に到達する前にリスクを特定するためには、その内部の行動経路を理解することが今や不可欠になっています。先行している機関は、信頼は継続的に評価されなければならないという原則を軸に再編成を進めています。信頼は一度の本人確認で成立したまま維持されるものだとみなすべきではありません。
この変化には、オンボーディングからあらゆるセッションや口座変更に至るまで、顧客の全行程にわたるリスクシグナルを追跡する、360度の包括的な視点が求められます。行動の微妙な違いを分析することで、チームは健全な顧客行動と自動化された攻撃とを見分けることができます。この戦略を機能させるには、インサイトがフュージョンチーム全体で常に共有され、詐欺対策、AML（アンチマネーロンダリング）、オペレーションを結束させて、資金が失われる前に攻撃の連鎖を断ち切ることが不可欠です。
2026年に向けた意味
不正対策の戦略がいまだに「検知」を最優先の目的としているのであれば、時代に追いつくために見直しが必要です。
サブセカンド単位でAIが方向転換するような環境では、リアルタイムに行動できない検知は、コストのかかる記録作業にすぎません。2026年に本当に重要なのは、検知から「遮断」へのシフトです。そのためには、連携した不正行為を特定し、キャッシュアウトが行われる前にその連鎖を断ち切ることができるシステムが必要です。
このギャップを埋めるには、多くの機関にいまだ欠けている3つの要素が必要です。
- 統合された可視性：アイデンティティと決済のシグナルをサイロ化せず、一元的なビューでまとめて評価できること。
- 持続的なインテリジェンス：初回のオンボーディングをはるかに超えて、顧客ライフサイクル全体を通じて継続的に行われる行動分析。
- 運用速度：現代のAIエージェントの400ミリ秒という応答時間に匹敵する防御スピード。
詐欺師たちはすでにシステムとして動いています。2026年に問われるのは、あなたの防御も同じように機能できるかどうかです。これらのトピックについてさらに詳しく知りたい方は、私たちの2026年版 不正・マネーロンダリング対策トレンドウェビナーをこちらからご覧ください。