ロイヤルカスタマーと詐欺行為をする人の違いは何でしょうか？ プロモーションマーケティングの世界では、その答えは多くの場合「規模」の問題です。
プロモーション悪用とは、割引、クーポン、紹介プログラム、サインアップ特典などに関する加盟店の利用規約に違反するあらゆる行為を指します。最も一般的な形は「マルチアカウント」であり、ユーザーが新しいプロフィールを次々と作成して、本来は一度きりのオファーを何度も不正に利用することです。
ジュニパー・リサーチによると、不正行為は2025年の104億ドルから2030年には270億ドルへと162％増加すると予測されており、その主な要因の一つとしてプロモーション悪用が挙げられており、合成IDの利用やフレンドリーフラウドと並ぶ三大要因とされています。
従来のクレジットカード詐欺とは異なり、プロモーション悪用はファーストパーティ詐欺の一種です。ごく基本的なレベルでは、この行為は機会主義的なものです。一般のユーザーが、別のメールアドレスや配偶者の電話番号を使って、2回目の「初回限定」割引を手に入れてしまうこともあります。望ましい行動とは言えませんが、その人が特別な犯罪の天才というわけでもありません。
しかし、このような機会主義的な行動にはグラデーションがあり、その反対側の端には、プロモーション悪用を意図的かつ大規模なビジネスとして成立させている、プロの詐欺集団というはるかに計画的な脅威が存在します。
プロモーション悪用は、プロモ詐欺とはまったく別物です。プロモ詐欺には、盗まれた個人情報や支払い手段が関わります。これは明確に犯罪行為です。一方でプロモーション悪用は契約上のグレーゾーンに存在しており、まさにその曖昧さゆえに、組織的な不正グループに好まれているのです。
戦略もまったく別物です。プロモーション悪用にはインフラ面でのインテリジェンスが効きますが、プロモ詐欺には決済手段のコントロールが効きます。ほとんどの組織にはその両方が必要です。両者を同じものとして扱うのはやめましょう。
行き当たりばったりのクーポン利用から組織的なプロモ悪用グループまで
場当たり的な「クーポン利用」は厄介な存在ではあるものの、ここ数年で状況は大きく変化しています。組織的な不正集団は、計画的なプロモーション悪用が、従来型の窃盗に比べてリスクが大幅に低いにもかかわらず、非常に大きな成果をもたらすことに気づいています。
詐欺師にとって、その利点は大きく二つあります。
- 投資を抑えて高いROIを得られる：盗まれたクレジットカードを使った不正はコストが高く、以前の記事でも述べたようにダークウェブから情報を仕入れる必要があります。一方で、プロモーションの悪用は、多くの場合、大量の偽の身元情報さえあれば足りることが多いのです。
- 法的リスクの低減多くの法域では、加盟店の利用規約に違反しても刑事犯罪ではなく契約上の問題とみなされます。そのため、不正行為者は重大な刑事捜査に発展するリスクをそれほど恐れず、比較的公然と活動することができます。
これらの攻撃が大規模に行われると、マーケティング予算を消耗させ、顧客獲得データを歪めてしまい、事業者がキャンペーンの真の価値を正確に算出することがほぼ不可能になります。
機会主義的なユーザー | プロの詐欺組織 | |
スケール | 個人 | 数十万件のアカウント |
方法 | 代替のメールアドレス、電話番号 | 合成IDとデバイスファーム |
検出 | ハード（意図が不明） | インフラストラクチャのパターンから検出可能 |
堅牢なプロモーション不正防止対策を支える3つの柱
単発の機会主義的なユーザーを検知するのは、その行動前の意図を見極めることが難しいため困難です。しかし、組織的な不正集団は、規模を拡大する必要性によって特徴づけられます。この成長過程で生じるパターンを捉えることで、それらを一つの戦略的な対策で特定し、封じ込めることが可能になります。
使い捨てが容易なメールアドレスなどの識別子に頼るのではなく、堅牢な防御は攻撃の基盤となるインフラに注目し、3つの特定の観点からそれを捉えます。
1. 詳細なインテリジェンスと行動バイオメトリクス
ほとんどの加盟店は、特定のメールアドレスや基本的なデバイスIDをブロックすることでプロモーション悪用を止めようとします。しかし、プロの不正利用者はすでにその対策を理解しています。彼らは、デバイスのシグネチャを更新し、クッキーを削除し、IPアドレスをローテーションさせるツールを使って、「新規」ユーザーのように見せかけるのです。
加盟店にとって、こうした表面的な指標に頼ることは、いたちごっこのブロックサイクルを生み出してしまいます。メールアドレスが不正と判定される頃には、詐欺師はすでに次の一連の認証情報へと乗り換えています。このサイクルを断ち切るには、「粘着性」が高く、かつ堅牢なデバイス・フィンガープリントが必要です。デバイスインテリジェンスと行動バイオメトリクス（DIBB）は、単純なIDよりもはるかに偽装が難しい何千ものシグナルを分析します。
このインテリジェンスにより、加盟店は2つの重要な警戒サインを特定できるようになります。
- リセット行動：デバイスが頻繁なリフレッシュや中途半端な構成変更を行うことで、本来の識別情報を隠そうとしている状況を特定すること。
- デバイスファーム：デバイスのシグネチャが、数千ものアカウント作成を自動化するために使われるファームの既知のパターンと一致しているかを検知します。
「指紋」だけでなく、その「指」まで特定できれば、キャンペーンが本格的に動き出す前に、まとめてブロックすることができます。
2. シンセティックID検知：個々のアカウントではなくクラスターを見抜く
大規模なプロモーション悪用攻撃では、詐欺師が実在の人物の盗まれた個人情報を使うことはほとんどありません。合成IDで同じことができるのであれば、盗まれたデータを使うのは不必要なコストだからです。また、合成IDの利用は、リスクプロファイルを低く保つのにも役立ちます。なぜなら、なりすましによる個人情報の窃盗は重大な犯罪行為である一方で、合成IDの作成はしばしば法的なグレーゾーンにとどまるからです。
ここで、シンセティックID検知が重要なフィルターとなります。サインアップ時に使用される属性を分析することで、加盟店はプロの不正グループに特有の兆候を見抜くことができます。
- メールパターンの異常：不正利用者はしばしばスクリプトを使ってメールアドレスを大量生成します。その結果、「firstname.lastname.digits@gmail.com」のような予測しやすいパターンや、評価の低いニッチなドメインからの登録が急増するといった現象が見られます。
- アイデンティティの再利用：同じ物理的な住所や電話番号が、ネットワーク上で数十もの異なる「ユーザー」に紐づけられている状況を検知すること。
- 資産の類似性：組織的なキャンペーンでは、特定の連番ルールなどに従う、よく似た電話番号や住所のクラスターが使われることがよくあります。
これらの関連するアーティファクトをリアルタイムで結びつけることは、防御を個々のアカウントに対する「モグラ叩き」状態から脱却させるうえで極めて重要です。合成されたクラスターを一体化したインフラとして特定できれば、加盟店はネットワーク全体でプロモーションコードを無効化したり、その特徴を共有するあらゆるIDに対して高い摩擦を伴う認証プロセスを発動したりすることができます。
3. コンソーシアム型不正インテリジェンス：分散したブロックリストを共有の不正マップへと変える
多くのマーチャントは、プロモーション悪用と個別に戦っています。怪しいメールを見つけると、それにフラグを立ててブロックします。しかし残念ながら、それでは自社の中だけに限られた視点にとどまってしまいます。プロの不正業者もそのことをよく理解しています。彼らは何十ものプラットフォームで新しいアカウントを次々と使い回し、1つのキャンペーンの痕跡を、互いに情報共有をしないマーチャント、決済ネットワーク、金融機関にまたがって広げていくのです。
その結果、生じるのは連携の問題です。加盟店が不正利用者を捕まえる頃には、その同じ人物はすでに3社の競合他社でプロモーションを獲得しています。1社だけでは、全体像を把握することはできません。
コンソーシアム型インテリジェンスは状況を一変させます。各機関がそれぞれ孤立したブロックリストを構築するのではなく、銀行、フィンテック、マーケットプレイス、決済プロセッサーにまたがる共有インテリジェンスネットワークによって、デバイスやアカウント、行動パターンに関するリアルタイムのリスクシグナルがエコシステム全体に伝播できるようになります。あるメンバーが不正の疑いでデバイスや本人情報にフラグを立てると、そのシグナルは即座に他のすべてのメンバーにも共有されます。
このような機関横断的な可視性によって、バラバラだったデータポイントがつながった不正マップへと変わり、個々の事業者が単独で行動しているだけでは見えない2つのパターンが浮かび上がります。
- 複数のプラットフォームにまたがる常習犯：ネットワーク内の他の機関ですでにプロモーション悪用としてマークされているユーザーを、あなたにとってはまったくの新規ユーザーに見える場合でも特定します。
- 組織的な不正グループ：複数のアカウントが、デバイスや行動、本人確認情報などの根底にあるシグナルを共有し、単一のプロモーションが利用される前から同じ不正キャンペーンに関与していることを検知します。
加盟店同士が情報を囲い込まずに共有すれば、不正者は最大の強みである「金融機関のあいだを渡り歩いて姿を消す能力」を失います。Sardine では、これはまさに Sonar consortium が実現していることです。加盟銀行、フィンテック企業、マーケットプレイス、決済プロセッサーが、GLBA と 314(b) に基づき、デバイスや本人情報、行動パターンに関するエンティティレベルのリスクシグナルをリアルタイムで共有します。不正グループがある加盟店でウェルカムボーナスを獲得した瞬間、その痕跡は、2 回目の不正利用が処理される前に、他のすべてのメンバーのダッシュボード上に現れます。お金が消える前に、不正の連鎖を断ち切りましょう。
今すぐ導入できる6つのプロモーション不正対策
上で述べた3つの柱はアーキテクチャですが、これから紹介する6つは、いま皆さんの不正対策チームがすぐに導入できる施策です。必ず組み合わせて使ってください。どれも単体では十分に機能しません。
- 粘着性の高いデバイス・フィンガープリンティング。47個ものデバイスIDを切り替えている同じ物理デバイスは、47人の新規顧客ではなく、1人の不正利用者です。2つ目の口座が承認される前に検知しましょう。
- シンセティックIDとリンク分析。ネットワークグラフ分析によって、住所、電話番号のパターン、連番のメールアドレスロジック、あるいは支払い手段を共有するクラスターが浮かび上がります。個々のアカウントではなく、クラスター全体を狙い撃ちします。
- コンソーシアムによるシグナル共有。すでに不正グループがあなたの競合他社2社を攻撃しているのであれば、次に自社が狙われる前にその事実を把握しておきたいはずです。Sardine の Sonar コンソーシアムは、GLBA と 314(b) の枠組みの下で、まさにそれを実現します。
- リスク階層型KYCとステップアップ認証。高リスクなトラフィックの一部に対してのみ、段階的な本人確認、3DS、SCAを実施します。本物の顧客には新たな摩擦は一切ありません。不正集団はそこで行き止まりになるはずです。
- プロモコード設計の規律。BRAND10 や NEWUSER20 のようなコードは、不正利用への招待状になりかねません。厳格な利用上限、IP アドレスやデバイスごとの利用制限、そして紹介されたユーザーが実際のアクションを完了するまで紹介者への報酬を支払わない仕組みが必要です。これらは新しい技術を必要とせず、より良いデフォルト設定だけで実現できます。
- アフィリエイトおよびインフルエンサーの審査。 コードを拡散できるパートナーには必ずKYB（事業者確認）を行うこと。コードのマネーロンダリングが有料トラフィック経由で行われていないか、アトリビューションの急増を監視すること。小規模なアフィリエイトが突然全体の30％もの利用を生み出しているようなら、それは不正のサインです。
顧客を疎外させずにキャンペーンを中止する
堅牢なプロモーション悪用防止戦略の目的は、不正行為を経済的に成り立たないものにすることです。プロの詐欺師にとって、時間と身元情報などの資産は、ビジネスを行ううえでの主なコストとなります。クリーンなアカウントを作成するための手間や障壁を増やすことで、彼らの投資収益率を事実上ゼロにすることができます。
攻撃の根底にあるインフラストラクチャー、特にデバイスの挙動や合成IDの兆候に注目することで、実際のユーザー層に摩擦を与えることなく、プロフェッショナルな不正グループを切り分けることができます。このような技術的な切り分けにより、防御策は個々の顧客行動ではなく、組織的に仕組まれたパターンによってのみ発動されるようになります。
攻撃の規模をインフラレベルで抑え込むことで、マーチャントはマーケティング費用を守り、獲得データの完全性を維持できます。
よくある質問（FAQ）
どのようにプロモーションの不正利用を検知しますか？
個々の「本人」を見るのではなく、その背後にあるインフラを見るべきです。粘着性の高いデバイスフィンガープリントは、同じ端末がメールアドレスやIPアドレスを入れ替えて新規ユーザーのように装う動きを捉えます。シンセティックID検知は、住所の共有、電話番号パターン、連番ロジックのメールアドレスなどを手がかりに、関連するアカウント群をひとつのクラスターとして結び付けます。コンソーシアムシグナルは、他の加盟店ですでに不正フラグが立っているユーザーをあぶり出します。これらはそれぞれ単独では回避される可能性がありますが、3つをレイヤーとして組み合わせることで、不正グループのユニットエコノミクスを崩壊させることができます。
プロモーション悪用は、ファーストパーティ不正と同じものですか？
プロモーション悪用は、支払い構造が少し異なるだけで、本質的にはファーストパーティ詐欺です。オペレーターは盗まれた名前ではなく、自分自身の名前か、でっち上げた名前を使っています。そのため、多くの法域では契約上のグレーゾーンに位置づけられており、まさにそれが詐欺グループに好まれる理由です。法的リスクは低いのに、得られる現金は同程度だからです。
デバイスファームとは何ですか？
デバイスファームとは、いわば不正行為の工場です。何百台ものスマートフォンや仮想デバイスを使い、1人のオペレーターがノートPC上でスクリプトを動かしながら、1日に何千件ものアカウント作成やプロモーションの不正利用を量産します。もし火曜日に新規登録数が通常の4倍に跳ね上がっているのに、リテンションカーブがまったく伸びていないなら、その攻撃を受けている可能性があります。メールアドレス、電話番号、IPアドレスが次々と切り替えられても、デバイスインテリジェンスならそれを検知できます。
Sardine の Sonar コンソーシアムは、プロモーション悪用対策にどのように役立ちますか？
Sonar を使えば、コミットする前に照会ができます。加盟金融機関は、サインアップボーナス、クーポンの利用、紹介報酬を承認する前に、メールアドレス、電話番号、または取引に対してエンティティレベルのリスクスコアをリクエストします。このスコアは、ネットワーク全体からデバイス情報、行動データ、過去の不正利用データを収集して算出されます。先週あなたの競合他社を攻撃した不正グループも、今はあなたのダッシュボード上に表示されます。不正対策については GLBA、マネーロンダリング対策についてはセクション 314(b) の枠組みで運用されます。