不十分な本人確認（IDV）は、現在の金融機関にとって最大級の課題の一つです。KYC プログラムに何年も投資してきたにもかかわらず、不正の9割以上が完全に本人確認されたIDから発生しており、一方で正当な顧客は、摩擦の多いオンボーディングプロセスに巻き込まれがちです。
その結果は深刻です。
- コンプライアンス担当チームは不要な疑わしい取引報告書（SAR）の対応に追われており、その多くが詐欺犯ではなく被害者を標的にしています。
- 静的なKYCチェックでは、合成IDや盗まれた認証情報、その他の高度な不正手口を検知できません。
FinCEN の分析によると、SAR の 42％ は身元（アイデンティティ）に関連しており、攻撃者は主になりすまし（69％）と侵害された認証情報（18％）を悪用して被害者をだましています。
解決策は？段階的なKYCフレームワークであり、ユーザーのリスクに応じて動的に適応し、セキュリティと顧客体験のバランスを取ります。
プログレッシブKYCとは何か、なぜ必要とされているのか？
プログレッシブKYCとは、ユーザーのリスクレベルに応じて適切な摩擦（フリクション）を加える、多層的かつリスクベースのアプローチです。オンボーディング前には受動的な事前スクリーニングによって不審な兆候を検知し、オンボーディング中には動的な本人確認を行い、そして何よりも重要なのは、ユーザーのライフサイクル全体を通じて継続的にモニタリングし、進化する脅威を検知することです。
- 事前スクリーニング：不審なデバイス属性や行動パターンに対するパッシブチェックを用いて、ユーザーがデータを入力する前の段階で悪意のある行為者をふるい落とす、低摩擦な方法。
- 本人確認：を使って、本人確認情報を機械学習で分析し、盗用または架空の本人情報が使われている可能性をリスクスコアで判定できます。
- 追加認証：リスクが検知された場合は、DocKYC などのツールを使って書類を確認し、セルフィー・ライヴネスで実在の人物がその場にいることを確認し、ディープフェイク検知によってGenAIを悪用したなりすましを防いだり、追加の安全対策として人による目視審査を行うことができます。
- 継続的KYC：これはオンボーディング後に行われ、不正ユーザーが正規の手続きを通じて入り込んだ場合でも、地理的な位置情報の変化、決済情報、連携された銀行口座、取引パターンなどのリスクイベントを監視することで、そうしたユーザーを阻止するための重要なプロセスです。
SARに関するFinCENのデータは、目を覆いたくなるような内容だ
FinCENは最近、身元情報に関連する動向に関する分析を公表し、提出された届出を精査しました。この分析によると、約380万件のBSA報告書のうち約160万件、すなわち42％が身元情報に関連するものでした。
主な調査結果は次のとおりです： 多くの攻撃者は、被害者をだますために他人になりすましていました。
- 身元に関するBSA報告書の69％で、攻撃者が被害者をだまして金銭などを詐取する目的で他人になりすましていたことが示されています。
- アイデンティティ関連のBSA報告書の18％は、攻撃者が侵害された認証情報を使用して、正当な顧客アカウントへ不正アクセスしている事例を記述しています。
- ID に関連する BSA レポートの 13% は、攻撃者が不十分な本人確認プロセスを悪用して犯行計画を進めていると報告しています
預金取扱金融機関は、最も多くの身元関連BSA報告書を提出しています。
- アイデンティティ関連のBSA報告書の54％は、預金取扱金融機関によって提出されました
- マネーサービス事業者は、身元確認に関連するBSA報告書の21％を提出している、次に大きな申告者のカテゴリーです。
不正行為が最も多く報告された類型でした。
- 14件の一般的に報告された類型のうち、最も多く報告されたのは一般的な詐欺でした
BSA報告件数および報告で言及される米ドル金額に基づく、身元（アイデンティティ）関連の不正利用の影響は大きく、その規模は種類によって異なります。
- 攻撃者は最も頻繁になりすましの手口を用い、その次に認証時のアカウント侵害を行い、最後に検知を逃れるために本人確認をすり抜けます。
不十分な本人確認とKYC管理により、次のような仕組みが生まれています。
- 金融犯罪の専門家は、実際の加害者ではなく、被害者の方を不正行為の当事者として報告してしまっている
- 本来作成されるべきではなかった報告書に、膨大な時間とリソースが割かれている
問題の解決策
静的な本人確認情報を復唱させるだけでは、もはや単独の手段としては不十分です。データ侵害や合成アイデンティティの増加に加え、AI の登場により、多層的なアプローチが求められています。
フェーズ1（最小限の摩擦）:
- デバイスシグナルを収集する（例：位置情報、デバイスタイプ、エミュレーター、SSID情報など）
- 行動シグナルを収集します（例：タイピング速度、スマートフォンの向き、短期／長期記憶など）
フェーズ2（中程度の摩擦）：
- ユーザーがOTPまたはリンク認証を通じて保有を証明できる要素：いくつかのテキスト電話：最近番号ポータビリティが行われましたか？ 回線の利用期間はどのくらいですか？ ユーザーは連絡先リストへのアクセスを許可していますか？ 許可している場合、その内容は正当なものに見えますか？メール：次の点を確認します。 メールアドレスの文字列に紐づく名前は、ユーザー本人の身元と一致していますか？ 使い捨てメールアドレスを使用していませんか？
- 本人確認チェック - 氏名、住所、生年月日（DOB）、および社会保障番号（SSN）（例：提供された情報の正確性の検証、ユーザーが現在いる場所と本人確認記録上の所在地との比較、生年月日に対するSSN発行日の妥当性確認、SSN発行州と住所履歴の不一致確認、他の不正申請に紐づく個人情報（PII）の有無の確認など）
- ID盗難に関する機械学習スコア（例：特定の本人確認情報パッケージに対する利用速度、属性の関連付けなど）
- コンソーシアムデータで、既知の良質・不正な情報を共有するもの
- 合成IDに関する機械学習スコア（例：生年月日と比較したSSNの発行状況、VoIP検知を含む電話番号の特性）に関するテキストです。重要な点として、2011年6月まではSSNの最初の5桁は出生地域と、整理を容易にするために割り当てられたグループ番号に基づいていました。最後の4桁は個人ごとに一意で、複数のパラメータに基づいて割り当てられていました。2011年以降、社会保障局（Social Security Administration）は、従来の方式ではいくつかの基本的なデータポイントが分かれば個人のSSNを推測しやすかったため、SSNのランダム生成方式へと移行しました。こうした仕組みや本人確認のプロセスにより、金融機関が誤検知（偽陽性）の疑わしい取引報告書（SAR: Suspicious Activity Report）を作成したり、加害者ではなく被害者を誤って標的にしてしまうことがあります。これは、オペレーションチームに過剰な報告業務の負担をかけるだけでなく、正当なユーザーに対しても不要な摩擦を生じさせます。
フェーズ3（高い摩擦があり、本来はリスクベースであるべき段階）：
- eCBSV - 社会保障局（Social Security Administration）は、有料の社会保障番号（SSN）照合サービスである eCBSV を創設しました。eCBSV により、認可された事業者は、個人の SSN、氏名、生年月日の組み合わせが社会保障局の記録と一致しているかどうかを確認できます。
- 本人確認書類＋セルフィー＋生体検知（Liveness detection）— ここでの目的は、政府発行の本人確認書類の真正性を検証し、端末の利用者が本人確認書類上の写真の人物と一致していることを確認することです。この課題を解決するソリューションは数多く存在しますが、Sardine は当社の高度な DI/BB シグナル を活用してディープフェイクを検知します。
フェーズ4（アカウント作成後）：
本人確認は、ファネルの入り口だけで終わらせるべきではありません。
- 支払い情報：次の情報に紐づく本人情報を照合します：銀行口座連携イベント と、ユーザーの本人確認済み情報およびデビット／クレジットカードのAVS情報です。住所はユーザーの実際の居住地と一致しているか？プリペイドカードまたは高リスクBINではないか？
- 取引パターン：ユーザーの取引活動が異常かどうかを、より広いユーザー母集団やその属性情報、またはこれまでのパターンと比較して判断します。ユーザーは、高度マネーロンダリングおよび関連金融犯罪多発地域（HIFCA）から取引を行っていないか？
- 不正行為者はミスをしたりデバイスや位置情報を変更することがあるため、オンボーディング時だけでなくユーザーの利用全体を通して継続的にデバイスをチェックし、そうした変化を異常として検知できるようにします。
概要
強力なKYCプロセスを整えることは、企業がコンプライアンスプログラムを改善するためにできる最も重要な取り組みです。入り口の段階でより多くの不正行為者をブロックすることで、支払い詐欺や取引モニタリングのアラートが減少し、その結果、SARの提出件数やケース管理業務がコンプライアンスチームにとって少なくなります。
さらに、ユーザーとそのプラットフォーム上での行動データは、アカウントの引き渡しを特定するのに役立ちます。これは、マネーミュールや詐欺師が休眠アカウントを乗っ取り、あなたのプラットフォーム上で資金洗浄を行うのを防ぐうえで極めて重要です。
進歩的なKYCプログラムの構築についてご不明な点がある場合や、より優れたツール導入の支援が必要な場合は、ぜひ当社のコンプライアンス専門家までお問い合わせください。私たちは大手フィンテック企業でプログラムを構築・運用してきた実績があり、複数の金融機関においてリスク管理体制の強化を支援してきました。皆さまからのご質問には喜んでお答えいたします。