マーケットプレイスには、従来の電子商取引とは異なる独自の不正の特徴があります。買い手と売り手を結びつけ、しばしば両者を引きつけるインセンティブを提供することで、この両面市場を形成しています。その買い手と売り手、あるいはその両方の間の隙間に潜り込むことで、不正行為者はマーケットプレイスを、対処が最も難しい不正課題の一つへと変えてしまいました。
マーケットプレイスにおける不正行為は、収益の取りこぼしや顧客離れ、そしてチャージバック件数の急増といった形で損失を生み出します。ある調査では、Facebookマーケットプレイスの広告の最大3分の1が詐欺である可能性があることが判明しました。マーケットプレイス事業者は、優良なユーザーを遠ざけることなく、不正利用者だけをプラットフォームから排除する新たな方法を見つけなければなりません。
この特集シリーズでは、主要な詐欺の種類と、その最適な対処方法について解説します。
マーケットプレイスにおける購入者と販売者の不正行為
マーケットプレイスにおける不正行為は、大きく分けて3つのタイプに分類できます：販売者による不正、購入者による不正、そして購入者と販売者の共謀による不正です。
- 販売者による不正の例：詐欺師が偽の出品を作成し、偽物の商品を販売して出品だけしておき、代金を受け取ったあとも商品を一切発送しないケースです。
- 購入者による不正行為の例： 不正な購入者は、盗まれたクレジットカードやギフトカード番号を使って商品を購入しようとしたり、チャージバック詐欺を行ったり、プロモーション特典を不正に悪用したりする可能性があります。
- 購入者と販売者の共謀の例：両者が協力して虚偽のレビューを投稿したり、盗まれたカードで商品を購入したりします。共謀による不正行為は、多くの場合マネーロンダリングの一形態でもあります。
購入者と販売者は、技術的には協力し合う別々の人物である場合もあれば、同一人物が両方のアカウントを運用している場合もあります。
このような詐欺行為はオンラインマーケットプレイスへの信頼を損ない、警戒心を持ったセキュリティ対策と消費者の意識向上が継続的に必要であることを浮き彫りにしています。
マーケットプレイスにおける8種類の不正行為
ここでは、不正防止の担当者が把握しておくべき代表的なマーケットプレイス不正の例を8つ紹介します。
#1．アカウント乗っ取り（ATO）
マーケットプレイスでは、詐欺師が個人情報を狙う理由の一つは、アカウント乗っ取りをうまく仕組むためです。彼らは入手した情報を使って被害者名義で新しいアカウントを開設したり、そのクレジットカードで商品を購入したりすることができます。
近年、アカウント乗っ取り（ATO）の試行回数は急増しています。ある調査によると、ATOのは、不正全体に占める割合として見ると、2021年から2022年の間に79％増加しました。詐欺師は、ATOを仕掛けるためにボットを使うケースをますます増やしており、その結果、このプロセスが加速しています。
私たちの「アカウント乗っ取り対策」ガイドでは、ATO を検知するためのさまざまな手法を紹介しています。
- 異常なログイン活動、アカウント変更、不審なユーザー行動を監視すること。 Selenium のような自動化プログラムや BlueStacks のようなエミュレーターから発生するログインを特定するために、専用のボット検知ツールを活用してください。また、既知のプロキシや VPN、評判の悪い IP からの不審なログイン試行を監視するために、ネットワークベースの検知も活用しましょう。
- リスクの高いリファラーURLを監視する： これらはログイン情報を盗むことを目的としたフィッシングサイトへ誘導する可能性があります。投資すべきなのは、デバイスインテリジェンスソリューション であり、そのような不正な試みを検知してブロックできます。
#2. 新規アカウント詐欺（オンボーディング詐欺）
ダークウェブで入手した盗まれた個人情報や、protonmail のようなプライバシー重視のメールドメインを使えば、新規アカウントの作成は簡単です。攻撃者は、事前の本人確認が限定的な場合には、単に偽名を使って正当な購入者や販売者を装い、新しいアカウントを作成することさえあります。
不正アカウントは、クレジットカード番号のテストや偽の出品作成、模倣品の販売などに利用される可能性があります。これにより、「商品未着」（INR）によるチャージバックの発生率が高まるおそれがあります。さらに詐欺行為を拡大するために、詐欺師がボットを使う場合もあります。
- データの信頼性： 提供されたメールアドレスや電話番号の信頼性を確認してください。最近作成されたものであれば、高リスクの兆候となる可能性があります。
- デバイスの評判： デバイスがVPNやプロキシの使用、エミュレーターの実行などの高リスクな兆候を示していないか確認します。
- リスクベースのユーザー審査を追加する：データやデバイスなどのより受動的な検知から高リスクの兆候が見られる場合は、その顧客が正当な購入者または販売者であることを確認するために、追加の書類提出を求めてください。
#3. チャージバック詐欺（フレンドリーフラウド）
購入者が購入者によるチャージバック詐欺（フレンドリーフラウド）を行うとき、有効な支払い情報を使って商品やサービスを購入します。その後、商品やサービスを受け取ったにもかかわらず、返金を得るためにクレジットカード会社に対して取引に異議を申し立てます。
多くの正当なチャージバックは一般的な消費者保護手段として機能していますが、多くの購入者がこの仕組みを悪用し、商品を無料で手に入れています。この種の不正行為の規模は驚くべきものになることがあります。例えば、4,000人のユーザーが割引コードを悪用するために13万7,000件の偽アカウントを作成し、その結果、年間1,400万ドルの損失が発生しました。
「ファーストパーティ不正への対処」では、小売業者間で頻繁に請求を異議申し立てる顧客や、同一顧客からのチャージバック件数が非常に多いといった警告サインについて説明しています。
- カードまたは口座の評判： このカードに関して、他の金融機関や加盟店で過去に悪い評判がなかったかを特定するために、データコンソーシアムを活用しましょう。
- ベロシティチェック： 配送完了の直後に起こる異議申し立てや、短期間に複数の取引に対して行われる異議申し立てに注意してください
#4. 未配達詐欺
この種類の販売者による詐欺は、パンデミック中に人々がマスク、手指消毒剤、トイレットペーパー、体温計、手袋など、切実に必要としていた品物が届かないという報告を記録的な数で行ったことで、大きな問題として浮上しました。
未配達詐欺では、購入者が代金を支払っても商品が自宅に届きません。これは現在も大きな問題であり、特に生成AIによって、詐欺師が誤字脱字のないもっともらしい偽の商品説明を簡単に作成できるようになっていることが一因となっています。
注意すべき主な警告サインには、高額商品なのに写真や画像がほとんど掲載されていないこと、レビュー数が急に増えていること、配送期間が（例：2週間など）異常に長いこと、または需要の高い商品なのに価格が不自然に安すぎることなどがあります。
- デバイスデータ：1台のデバイスが、複数のアカウントにわたって類似した特徴を持つ複数の商品を作成しています。
- 行動データ：ユーザーは、情報が乏しい出品を素早く作成したり、頻繁にコピー＆ペーストを行ったりするパターンを示しています。
#5. 偽の出品
出品内容があまりにも良すぎて本当とは思えない場合、多くはそのとおりです。高額な商品が異常に安く出品されているときは、重要な警告サインです。偽の出品は大きな問題となっています。実際、その数は2倍に増えました 2022年にはFacebook Marketplace上で。
一例として、アパートの敷金詐欺があります。詐欺師はアパートなど高額な物件の写真を掲載し、借りたいという人が現れると、その物件を確保する名目で一部の敷金の支払いを求めます。お金が支払われると、その掲載情報（そして詐欺師）も姿を消してしまいます。
- リスクベースのユーザー審査： 最近作成されたアカウントや、相場より安い高額商品を掲載するために最近作成されたメールアドレスを使用しているなど、いずれかの高リスク指標を示す販売者は、重要な警告サインとなり得ます
- 商品のレビュー活動を監視する：同じ端末から複数のユーザー名で急激にレビューが増えた場合、偽の商品に対する偽レビューの兆候である可能性があります。
#6. 偽のレビュー
詐欺師たちは、評価を不正に上げるために偽の高評価レビューを作成したり、偽の低評価レビューを書いて、人々を偽造品のマルウェアサイトへ誘導したりします。彼らはボットを使い、テンプレートから大量の偽レビューを自動生成することで、商品掲載詐欺を行います。こうしたレビューによって、オンラインマーケットプレイスにおける偽の商品掲載の露出度が高まってしまいます。
- ボット検知： 次の点を確認してください：人間らしくない行動、ユーザー端末上で動作しているスクリプトやエミュレーター
- 同一ユーザーの特定： レビュアーが足跡を隠そうとしており、実際には同一人物である可能性を示すシグナルを探します。たとえば、プロキシやVPNの検知、または類似したデバイス行動パターンなどです。
#7. 三角詐欺
三角詐欺とは、顧客がマーケットプレイスで正規の購入をしているにもかかわらず、その顧客に届く商品自体は不正に購入されたものであるという手口で、別の小売業者のウェブサイトから仕入れられます。詐欺師は、その取引の間にひそかに入り込む仲介役として振る舞います。
- 購入者は、不正な販売者から本物のクレジットカードを使って商品を購入します。
- その後、不正な販売者は盗まれたカードを使って正規のウェブサイトで商品を購入します。
- 購入者は商品を受け取りますが、マーケットプレイス上の「販売者」は実際には商品を発送していないにもかかわらず、詐欺師はマーケットプレイス利用者から代金を手に入れてしまいます。
探してください
- デバイス、メール、モバイルの評価：多くの悪質な販売者の兆候がここにも当てはまります。また、同じメールアドレスが複数のアカウントで使われていないかなどにも注意してください。詐欺師はこうしたデータを使い回すことがよくあります。
- 出品者の追加認証（ステップアップ認証）：出品者に高リスクの兆候が見られる場合は、出品を許可する前に、その事業の正当性に関する追加情報の提出を求めてください。
#8. フィッシング詐欺
フィッシング詐欺はオンラインマーケットプレイスでよく見られ、さまざまな手口があります。被害を受けるのは購入者だけでなく、出品者も同様です。たとえば、オーストラリアのあるフリーライターは、機密情報を渡してしまったために1,000ドルを失いました。フィッシングリンクを通じてブーツを1足売ろうとしていたときに。
- 危険なリファラーURLを監視する： これらはログイン情報を盗むことを目的としたフィッシングサイトへ誘導する可能性があります。投資すべきなのは、デバイスインテリジェンスソリューションであり、そのような不正な試みを検知してブロックできます。
進化する不正の脅威
詐欺師たちは、安価でありながらますます高度化したテクノロジーツールを利用して、個人情報や資産を盗むことができます。
- 高度なボット： たとえば、APB（高度持続型ボット）は、不正行為者に対して 人間の行動を模倣し、攻撃を複数のIPアドレスに分散させることで、組織的な不正行為を正規のユーザー取引であるかのように偽装することを可能にします。
- 生成AI： 詐欺師たちは、ソーシャルメディアサイト上で本物らしく、かつプロフェッショナルに見える広告を作成するために、生成AIも活用しています。ディープフェイクは、将来的に不正防止の専門家にとって大きな頭痛の種になることは間違いありません。
- 新しい支払い方法：即時に資金が利用可能になるという期待を生み出す高速決済の革新により、詐欺師が人々から気づかれずに資金をだまし取る機会が増えています。
マーケットプレイスの不正対策担当者は、取引が始まる前、ログイン時点でアカウント乗っ取り（ATO）のような不審な行為を検知する必要があります。しかし現状では、多くの場合、手作業のプロセスや画一的なルール、バッチ処理に頼らざるを得ず、誤検知への対応に多くの時間を費やしています。
リスクを積極的に管理し、詐欺師の行動を未然に食い止めるためには、行動を全体的かつ包括的に把握する必要があります。詐欺師の行動に関する適切なインサイトがあれば、リスクを軽減し、オンラインマーケットプレイスを不正から守ることが可能になります。
Sardine が不正行為の防止にどのように役立つか
- デバイスおよび行動リスクのスクリーニング：Sardine はデバイスインテリジェンスと行動バイオメトリクスを、導入が容易な単一の SDK に統合し、複数のタッチポイントやインタラクションを分析して不審な行動を検知することで、より多くの不正を捕捉し、進行中の詐欺を未然に防ぎます。これにより、誰がアカウントを作成し、ログインし、あなたのプラットフォーム上で取引しているのかを特定でき、最も信頼できるユーザーを見極めて保護する一方で、盗難カードや侵害されたアカウントを識別し、正当な取引を妨げることなく不正な支払いと不審なトランザクションを阻止することが可能になります。
- 本人確認（アイデンティティ・ベリフィケーション）：ユーザーのオンボーディング時に、当社のツールは書類認証、生体認証、リアルタイムのデータ検証、必要に応じたより高度なKYCを通じてユーザーを認証します。私たちは段階的な本人確認アプローチを採用しており、まずは良質なユーザーにより良い体験を提供するため、摩擦の少ないチェックから開始し、より高いリスクパターンや異常が検知された場合にのみ、追加のステップアップ認証を導入します。
- トランザクションモニタリング：当社は、ルールベースのシステム、カスタム機械学習モデル、リアルタイムの異常検知を用いて取引を継続的に分析し、不審な活動を検知します。これにより、不正の可能性が検出された際には即時の対応が可能になります。また、コンプライアンス担当者がAMLプログラムの要件を管理できるよう、従来型のバッチモニタリングやキューにも対応しています。
- データエンリッチメント：Sardine は、電話、メール、ネットワーク、位置情報、銀行、カード、信用情報機関など、40社以上の主要なデータプロバイダーと完全に統合されています。これにより、開発および統合にかかる工数を大幅に削減できるほか、すべてのデータを 1 つのダッシュボードで確認できるため調査が容易になり、ユーザーおよび取引リスクを最も包括的に把握することができます。
デバイスや行動シグナルを取り入れた高度なカスタマーデューデリジェンスと本人確認により、Sardine はオンボーディング時点で不正ユーザーを阻止し、ダークウェブを悪用しようとする者を監視します。あらゆるインタラクションにおけるリアルタイムデータは、リスク管理や自動化による不正削減にとって極めて重要です。
最終的な結果はどうなるのでしょうか？誤検知の減少、不正調査件数の削減と迅速化、そして審査が必要な案件数の減少です。これにより、正当な顧客がよりスムーズに口座を開設できるようになり、御社の組織にも一層の価値をもたらします。
不正防止の戦略についてもっと知りたい方は、ぜひこちらをご覧ください：不正防止マスタークラス（講師：カリッセ・ヘンドリック）