顧客向けの認証方式には、3つの種類があります。
- 知識 — 顧客だけが知っている情報（例：パスワード、暗証番号（PIN）、秘密の答えなど）
- 所持物 — 顧客だけが所持しているもの、例えば携帯電話（OTP など）
- 生体要素 — たとえば行動パターンによる指紋や顔認証など、顧客そのものの特性を利用するもの
本記事では、行動バイオメトリクスがインヒアランスの課題をどのように解決できるかに焦点を当てるとともに、行動バイオメトリクス（デバイス）ベンダーに求められるその他の機能についても簡潔にまとめます。
行動生体認証とは何か？
行動バイオメトリクスとは、人間の行動における測定可能なパターンのうち、個人を一意に識別できるものを計測・研究する分野です。行動は、デバイスの使い方、声、身体動作（キネスティック）などに基づくものがあります。本記事では、デバイスベースのバイオメトリクスに焦点を当てて解説します。
デバイスに基づく行動バイオメトリクスの目的は、ユーザーのあらゆるデバイス操作を利用して、通常と異なる／不審な行動を特定することです。行動バイオメトリクスによる認証手法には、キーストローク解析、タッチ／マウス操作、スマートフォンの持ち方などのセンサー情報が含まれます。不審な行動としては、ボットやリモートデスクトップの利用、同じまたは類似したデバイスを使う別のユーザーなどが考えられます。そのため、アカウント乗っ取り（Account Take Over: ATO）の防止は、行動バイオメトリクスの有効なユースケースと言えます。
なぜ行動バイオメトリクスなのか？
マーチャントは、アカウント乗っ取り（ATO）を防ぐために、知識（パスワード）に加えて、固有性（バイオメトリクス）または所持（OTP）を利用する必要があります。なぜなら、LastPass のような新たな情報漏えいが定期的に報告され、流出したアカウントが120億件にも上っているからです。固有性は所持（OTP）と比べて摩擦が少ない手法と見なされており、そのため一般的に中リスクの取引で好んで利用されます。
また、高齢者を狙った多くの不正行為が存在しており、行動バイオメトリクスによって検知することができます。
「行動バイオメトリクスの優れている点は、バックグラウンドで受動的に機能し、顧客体験を損なうことなく企業が不正を検知できるところです。セキュリティと利便性のバランスは非常に重要であり、とりわけアカウント乗っ取りのような現代的な脅威に対処する際には欠かせません。」 — ジェフリー・ジョシュア（Sardine ソフトウェアエンジニアリングリード）
行動バイオメトリクスとインヒアランス
固有性の問題を解決するために、「Same User Score」と呼ばれる行動生体認証機能は、キーボード、マウス、各種センサーから収集したユーザーデータを用いて、再度データを入力している人物が同一人物かどうかを検証します。
この機能を利用するには、顧客が同じ、またはよく似た情報を、同じもしくは類似したデバイス上で複数回入力する必要があります。これは、ログイン画面でユーザー名やパスワードなど同じ情報を繰り返し入力する場面で発生します。試行のたびに類似度スコアが付与され、そのスコアは試行を重ねるごとに精度が高まっていきます。一般的に企業は、同一人物であると自信を持って予測できるようになるまでに、同じ人物から少なくとも3回分のデータを必要とします。例えば4回目の試行で別の人がそのスマートフォンを使用した場合、そのページやデバイス上での行動パターンが変化するため、行動バイオメトリクスによって同一人物ではないことが検知されます。
タイピングのリズムの一例は、次の図のようになります。
Same User Score が効果的な理由は、タイピングのリズムや、顧客がスマートフォンをどのように使うかといった特徴が、同じ端末や似た機種を使う別の人とは異なるためです。
「ユーザーがデバイスをどのように操作しているか、たとえばタイピングのリズムやマウスの動きといったパターンを分析することで、本人性を継続的に確認するための『Same User Score（同一ユーザースコア）』を作成できます。これにより、たとえ正しい認証情報を持っていたとしても、不正利用者が正規ユーザーになりすますことは非常に困難になります」と説明するのは、ジェフリー・ジョシュアである。
ユースケース
1. 盗難デバイス
その端末は盗まれました。詐欺犯が顧客の携帯電話の暗証番号を入力する様子を見ていた後のことです。この場合、詐欺犯は携帯電話に完全にアクセスできるため、2要素認証（2FA）などを容易に利用して送金や買い物を行うことができます。この端末が不正に利用されていることを検知する唯一の方法は、「Same User Score（同一ユーザースコア）」と取引の異常検知を組み合わせることです。
2. 携帯電話の不正利用
親族（例：子ども）や知人がスマートフォンを不正に利用しているケースです。この場合、その親族は同じ配送先住所宛てに購入を行うことができます。そのため、このようなケースでは、取引の異常検知に加えて行動バイオメトリクスを用いることで、取引を拒否したり、セルフィー認証のような多要素認証（MFA）を必須にすることができます。
「行動バイオメトリクスは、他人がデバイスを使用していることを検知できるだけでなく、異常の種類に応じて不正検知の精度を調整することもできます。たとえば、親族がスマートフォンを不正利用した場合、取引を進める前にセルフィー認証などの追加認証を求めるようシステムを作動させることができます」と語るのは、ジェフリー・ジョシュア、Sardine社のソフトウェアエンジニアリングリードだ。
3. 強力な顧客認証
Same User Score は、SCA における固有要素（インヘレンス要素）として利用できます。Strong Customer Authentication（SCA、強力な顧客認証）は、不正行為を減らすための欧州の規制要件です。SCA では、3 つの認証要素のうち少なくとも 2 つを用いた認証が求められます。SCA は、行動バイオメトリクス、つまり Same User Score をインヘレンス要素として有効な認証要素とみなします。SCA は、ベンダーが少なくともキーボードおよびジャイロスコープのデータを利用することを想定しています。
SCA は不正を減らす一方で、加盟店にとっては、明らかに優良な顧客や取引に対する摩擦（フリクション）と見なされる場合があります。そのため、30ユーロ未満の取引は「低額取引」と見なされ、SCA が免除されることがあります。免除額は、利用している決済プロバイダー全体の不正発生率によって変動します。例えば、不正発生率が 0.01％（1bps）の場合、免除額は最大 500ユーロまで認められる可能性があります。とはいえ、カード名義人の銀行が免除を拒否することもあり、その場合は依然として SCA を実施する必要があります。イシュア（発行銀行）が、アクワイアラ（加盟店側の決済事業者）からの要請に基づいて免除を承認した場合、その取引が不正であれば責任を負うのはアクワイアラ／加盟店側です。また、イシュアはアクワイアラからの要請がなくても、独自の判断で取引を SCA の対象外とすることができ、その場合の不正に対する責任はイシュアが負うことになります。
行動生体認証の機能
行動生体認証ソリューションで実現できる、その他の機能についても簡単にまとめてご紹介します。
年齢検出
ユーザーの内在的な行動やデバイスの向きに関するデータをモデルの入力として解析することで、例えば50歳以上といったユーザーの年齢層を推定できる可能性があります。これは、高齢者層が高齢者を狙った詐欺の被害を受けやすく、その結果、本人の意図しないうちに「受け子」や「運び役」として利用されてしまうおそれがあるため、重要です。
行動バイオメトリクスを用いて年齢に関連したパターンを検出することで、詐欺被害に遭いやすい高齢ユーザーを特定できます。これにより、追加の保護策を講じ、このリスクの高い層が詐欺師に悪用されないようにすることができます」と説明するのは、サーディン社 ソフトウェアエンジニアリングリードのジェフリー・ジョシュアです。
FTCによると、FTCによれば、高齢者はテクニカルサポート詐欺に遭う可能性が400％高いとされています。
リモートデスクトップ
デバイスインテリジェンスと行動バイオメトリクスを組み合わせたソリューションは、リモートデスクトップの検知に役立ちます。
AnyDesk／TeamViewer／Microsoft RDP を悪用したリモート詐欺の詳細についてはこちらをご覧ください。
ボット検知
以前勤めていた会社のひとつで、セキュリティ部門が、デバイスファームでボット攻撃が行われている最中に、そこにあるスマートフォンが逆さ向きになっていることに気付きました。スマートフォンの向きは、ボットを検知するうえで重要なシグナルであることが分かりました。センサーからの信号に加え、「ページの高速スクロール」のような他のシグナルも組み合わせることで、ボットを予測することができます。
録画と再生
Record and Play 機能は、通常は分析ツールで見られる機能です。これにより、マーチャントは自社サイト上で顧客が実際に行った操作を確認できます。不正対策担当者は、不審な取引に対する行動を確認し、その行動が不審かどうかを判断できます。
長期記憶
顧客が「名」のような長期記憶に基づく項目にデータを入力する際のタイピングの仕方は、クレジットカード番号のような項目とはおそらく異なります。LTM（長期記憶）に関わる項目では、顧客が入力中にためらったり、別のウィンドウに切り替えたりする可能性は低いでしょう。一方、クレジットカード番号のような項目では、顧客は財布に目を向けることが多く、そのため入力が区切られたパターンとして現れます。もしLTM項目でこのような分割されたタイピングパターンが見られる場合、詐欺者がどこかのシートに書かれた情報を見ながら入力している可能性が高いと考えられます。
「名前のように、長期記憶から文字を入力しているときには、入力は滑らかで自然な動きになります。もし不自然な間やウィンドウの切り替えが見られる場合、それは盗まれたデータを不正利用者が手作業で入力している可能性があります。こうした微妙な違いを捉えられることこそが、行動バイオメトリクスの強みの一つなのです」と語るのは、ジェフリー・ジョシュアである。
異常な行動
オートフィルやコピー＆ペースト、注意散漫の有無に加え、ページやフォームの入力方法を分析することで、それが通常のユーザーの行動パターンなのか、詐欺者やボットによるパターンなのかを見分けるのに役立ちます。
概要
ビヘイビアラル・バイオメトリクスは、摩擦を生じさせることなく、不正を受動的に削減することができます。ビヘイビアラル・バイオメトリクスは、年齢やボット、異常検知などに関するシグナルを提供するだけでなく、固有性要素としても利用できます。そのため、ビヘイビアラル・バイオメトリクスはDevice Intelligenceと組み合わせることで、不正対策に欠かせない必須ツールとなります。Sardine は、顧客における ATO を34.8%削減すると同時に、誤検知も減らすことに成功しました。
ご興味のある方は、Sardineまでお問い合わせください。行動バイオメトリクスとデバイスインテリジェンスを組み合わせたソリューションをご提供しています。