やあ、詐欺対策＆コンプライアンスオタクのみんな👋
今月のニュースレターでは、少し趣向を変えて新しい形式に挑戦します。
正直に言うと、前回のニュースレターはプロダクトアップデートの内容が少し長く感じられたので、もう少しコンパクトにして、まずは価値の部分を前面に出しつつ、プロダクトアップデートへのリンクを載せる形にしたいと考えました。
そこで本日のニュースレターは、3つのパートに分けてお届けします。ひとつ目はちょっとした愚痴、ふたつ目は新しい不正パターンの紹介、そして三つ目は仕事でのアウトプットをレベルアップさせるための実践的なアドバイスです。
- 愚痴： 詐欺に生成AI（ChatGPTなど）を悪用する詐欺師たち
- パターン：アカウント乗っ取りにおける音声クローン
- 戦術的なポイント：不正行為と戦うための5つの思考モデル
本題に入る前に、先月のプロダクトアップデートへのリンクをご紹介します：Risk と Sponsor OS です。要約すると、私たちは はるかに多くの KYB の深度に加え、より多くのバッチ処理や SQL スタイルのルールクエリ・生成機能をリリースしました。さらに、もしあなたがスポンサー銀行であれば、プログラムを監督するためのルールとキューが 大幅に改善されました。
新しいフォーマットについてのご意見をお聞かせください！
追伸：fintech_devcon に行く予定はありますか？私はフィンテックで誰もがやりがちな失敗についてプレゼンをします。ぜひ立ち寄って声をかけてください。鋭いインサイトを聞きに来て、辛口トークを楽しんでいってください。
さて、不正行為について話しましょう。
📣 生成AIが詐欺を加速させている
生成AIは、「デュアルユース」技術の典型的な例です。良い面と悪い面の両方を持っています。
マンハッタン計画の科学者たちは、世界に無尽蔵で安価なエネルギーをもたらしたいと考えていました。彼らは、原子を分裂させることが軍事と民生の両方に利用される二重用途になるとは予見していませんでした。
映画『オッペンハイマー』の公開は、一部の技術的なブレイクスルーが善にも悪にも利用され得ることを、今あらためて思い起こさせる出来事です。
生成AI（GenAI）は、私たちを超人的な存在にし、生産性を10倍に高め、思慮深く無限の忍耐力を持つアシスタントの軍隊を、呼べばすぐに応えてくれる存在として提供できる可能性を秘めています。同時に、児童搾取の画像や致死性の高い化学兵器の作り方、そして今では大規模な詐欺を生み出すことも可能にしてしまいます。
今や詐欺師たちはGenAIを利用しています。
ここ2週間で、詐欺師たちが攻撃を大規模化するのに役立つ DarkBERT、WormGPT、FraudGPT といったツールがリリースされました。これまで詐欺師には「広く攻めるか、深く攻めるか」という選択肢がありました。広く攻める場合は、いくつか引っかかればよいという前提で汎用的な詐欺をばらまき、深く攻める場合は、より高い成功率を狙って、対象を絞り込み、非常に具体的で緻密な詐欺を仕掛けるのです。
これらの新しいツールによって、すでに高度にパーソナライズされ、地域に最適化され、形式も整った詐欺が自動生成されるようになっています。こうした詐欺は非常にもっともらしく見え、従来の「ばらまいて当たればラッキー」という手法の詐欺よりもはるかに効果的です。
一部の金融機関は社内でのChatGPTのような大規模言語モデルの利用を禁止していますが、それでは私たちを守ることはできません。ランプの精霊が大人しく瓶の中に戻ることはないのです。こうしたツールを利用して素早く金儲けができる人たちこそが、真っ先に飛びつく早期採用者なのです。
今、問われているのは、それに対してあなたがどう行動するかです。
これが私のプレイブックです
- 常に最新情報を把握しましょう。知らないことはあなたを傷つけます。より多くの情報を拾えるようアンテナを高く張り、インテリジェンス収集や社内でのナレッジシェアの仕組みを構築してください。ACAMS や MRC のような不正対策・コンプライアンス関連のカンファレンスやコミュニティイベントに参加しましょう。同業の仲間と食事会を開き、情報交換の場を設け、Fraudology のようなポッドキャストを聞き、LinkedIn で Soups Ranjan という人物をフォローしてみてください。
- より多くのデータを手に入れましょう。Soups はいつも「すべてのリスクの問題はデータサイエンスの問題だ」と言っています。その通りで、あらゆるデータサイエンスの問題には、より多くのデータと、より高いデータ品質が必要です。この分野への投資を惜しんではいけません。取引そのものだけでなく、デバイス、ユーザー行動、メール履歴、オープンバンキング、そしてコンソーシアムデータ（EWS や SardineX など）まで視野を広げてください。
- 仲間を増やしましょう。不正行為者たちは、ダークウェブ上で何が効果的かという情報を共有しています。一方で正当な業界である私たちは、データプライバシーのルールを厳守しなければなりません。しかし、私たちには共有のための枠組みがあります。インサイトやデータです。また私たちは「Fraud Squad」というコミュニティも立ち上げており、参加や先行アクセスに興味があれば、ぜひご連絡ください。
分かち合うことは思いやりです。
だからこそ、SardineX にとてもワクワクしたのです。SardineX は、あらゆる決済ネットワークと決済手段における「信頼のアンカー」になろうとする、本物の取り組みです。あなたが決済を扱う SaaS 企業であれ、金融機関であれ、暗号資産取引所であれ、同じことが言えます。
モアナの歌にもあるように「どういたしまして…」――さあ、SardineX に参加しましょう
（そう、その曲に夢中な幼児がいるんです。どういたしまして）。
ST.
🕵️ アカウント乗っ取り（ATO）におけるボイスクローン
新たな詐欺が現れました
アカウント乗っ取りにおける音声クローン攻撃 🏴☠️
音声による認証は、銀行や金融サービス業界への認証手段としては、もはや信頼できるものではありません。
今では、誰かの声を数秒録音するだけでGenAIモデルを学習させ、銀行のログイン手続き中に行われるあらゆる質問に答えさせることが容易にできてしまいます。
従来のユーザー認証方法は、信頼性が低くなっています。
ユーザーが本当に本人であると確信するためには、ますます多くの要素や行動パターンが必要になっています。
だからこそ、私はデバイス、特に行動こそが非常に強力なシグナルだと確信しています。あなたの声や顔、さらには「生体認証」を示す短い動画でさえも偽造されうるのです。
しかし、あなたが文字を入力し、スワイプし、タップするその方法は、あなたのDNAの一本一本の鎖と同じくらい唯一無二なのです。
🔑 予防のカギ
- すべてのログインと認証で、ユーザーのデバイスや行動の変化も必ず確認するようにしてください
- 異なるデバイス、IP、ボット、または位置情報が確認された場合は、PINコードの入力を求めるなど、追加のフリクションを設けてください
- ユーザーの行動にも変化が見られる場合は、担当者が顧客を確認できるまで、アカウントを24時間保留にするなど、さらに強い摩擦を加えてください
認証時に監視するシグナルが多ければ多いほど、あなたのチーム（または当社のAI）は、不正行為者が使っているパターンや攻撃手法をより正確に特定できます。これらのパターンは、あなたが提供するプロダクトや事業を展開している市場に固有であることが多いのです。
万能な解決策なんてありません。たいてい「万人向け」は、誰にも本当に合いません。社内チームが5年と$XXmかけて作り込んだような、あなた専用の仕組みが欲しいなら、ぜひご連絡ください。私たちはそれを提供しています。
外でも気をつけてね、Fraud Squad 🐟🐟
スープ。
➕ フロード・スクワッド：進化からの教訓
不正行為は典型的な敵対的な問題であり、不正行為者と商品・サービス提供者との対立構造になっています。
それぞれの側の戦略が進化するたびに、もう一方もそれに合わせて調整し続ける――終わりなく。
まるで捕食者と獲物の関係のように。
それはとても示唆に富んでいます。私は自然からメンタルモデルを導き出し、あなたが不正と戦うのに役立てられるようにしました。ここでは、成功のために活用できるいくつかの特性を紹介します。
- 多様で高度な感覚システムを構築しましょう。音・視覚・嗅覚といった単一の感覚だけに頼るのではなく、それらを組み合わせることで最大の力を発揮します。より多くのデータを集め、状況全体をより正確に把握することで、ユーザーをより強力に守ることができます。私たちは機械学習を用いて、新たな異常やパターン、つまり干し草の山の中の針を見つけ出しています。
- パターン認識は危険を見抜くうえで重要です。 獲物の耳は長い草むらのかすかなざわめきに気づき、それはたいてい危険を意味すると察知します。 同じように、不正対策チームはパターンを見つけ出し、「Email Doesn’t Have History + IP is a VPN + Browser is in Incognito Mode + VOIP Phone」のようなルールを作成します。
- 捕食による期待損失を下げるために「毒」を使う。フグやスカンクは、攻撃を思いとどまらせる抑止力を持っています。同じように、不正対策チームは「ステップアップ認証」や、攻撃者の負担を増やすための追加の摩擦を設けることで、攻撃をしにくくします。
- 待ち伏せ攻撃から身を守りましょう。詐欺の世界でも、夜間の攻撃や草むらからの不意打ちのようなことが起こります。詐欺対策チームは、危険を察知するアラートと常時稼働の機械学習モデルを活用しています。あなたのチームが勤務時間外だったり、まさかと思うタイミングでも、アラートがあれば素早い対応が可能になります。
- ネットワーク型の「警報システム」を構築する。犬が危険を察知して吠えるように、不正対策チームも善良な関係者同士で情報を共有できます。金融機関、加盟店、決済事業者が互いに危険を知らせ合うことができるのです。
以上です、皆さん 👋
まだ見てくれていますか？よかったら Twitter や LinkedIn で声をかけてください。
私たちに、あなたが抱えている最も難しい不正対策の課題を送ってみませんか？今、どんなことで行き詰まっていますか？サーディンは仲間と一緒に泳ぎます。私たちもチームとして、あなたを全力でサポートします。