概要
リアルタイム決済レールの上に構築された新しい即時決済サービスが急速に登場しており、これは資金移動の未来を示しています。これらのレールには多くの利点がある一方で、不正行為、特にソーシャルエンジニアリング攻撃が大幅に増加しています。
従来の不正防止策は、このリアルタイム環境ではもはや有効ではありません。リアルタイムの不正検知技術によって、消費者を保護することができます。
金融サービス業界は、即時決済の拡大とそれに伴う不正行為から生じるシステミックリスクに対処するため、金融機関、フィンテック企業、暗号資産関連企業を含むすべての関係者間の連携を強化する必要があります。
リアルタイム決済の台頭
お金の動かし方は急速に変化しています。消費者も企業も、資金が口座に入金されたり請求書の支払いが完了したりするのを3〜5日も待ちたくありません。
国際的には、イギリス、オーストラリア、シンガポール、インド、スウェーデンなどの国々では、すでに口座間送金、支払い依頼、即時払いなど、複数のユースケースにわたって、国民がリアルタイム決済を利用できる環境が整っています。
一方、アメリカでは、Zelle、Cash App、Venmo などのピアツーピア（P2P）決済アプリの利用拡大が、リアルタイム決済基盤の上に構築されたイノベーションの最初の事例となっています。Insider Intelligenceによると、米国のP2Pサービスによる決済取引額は、2022年にはほぼ1兆ドルに達すると見込まれています。
米国のP2P取引量の一部は、すでにリアルタイム決済レール上で処理されています。2021年2月、Zelle を運営する Early Warning Services と The Clearing House（TCH）は、Zelle の取引をTCHのRTPネットワーク経由で実行すると発表しました。このネットワークは、米国の預金口座の60％以上をカバーしています。
TCHに加えて、連邦準備制度理事会（FRB）は、試験運用しており、200を超える金融機関とともにリアルタイム決済インフラ「FedNow」を導入し、2023年中のサービス開始を予定しています。コミュニティバンクと信用組合のコンソーシアムであるAlloy Labs Allianceも、まもなく独自のリアルタイム決済インフラ「CHUCK」を立ち上げる予定です。
ソーシャルエンジニアリング攻撃と認証済み送金詐欺
決済の専門家たちが即時送金の利点を強調する一方で、これらのP2P決済アプリにおける不正行為の増加が大きな問題となっています。従来型のサイバー犯罪、たとえば アカウント乗っ取り やクレデンシャルスタッフィング攻撃とは異なり、詐欺師たちは電話番号のなりすまし、ロボコール、個別に作成されたテキストメッセージなどのソーシャルエンジニアリング攻撃を用いて、これらのアプリを通じた送金を仕掛けてきます。
高齢者はソーシャルエンジニアリング攻撃の特に大きな標的となりやすい層です。米連邦捜査局（FBI）の「インターネット犯罪レポート」によると、詐欺師はこの層を狙う可能性が他の層の2倍に上るとされています。また、連邦取引委員会（FTC）の報告では、70歳以上の消費者は1人あたり平均1,500ドルの損失を被っているとされています。
詐欺師はしばしば、自分たちを被害者の銀行や証券会社の担当者であるかのように装い、P2P決済アプリを使って特定の口座に送金するよう被害者に求めます。さらに、支払い手続きを完了させるために、Zoom や TeamViewer などのリモートデスクトップソフトを使って「案内」しようとします。
これは「承認済みプッシュ決済（APP）詐欺」です。被害者自身が口座情報を提供し、自分の端末を使って送金してしまうため、防止が難しい場合があります。
しかし、この課題を克服するために私たちができることもあります。
1. リアルタイムのアプリ不正検知と防止
新たに発生する不正パターンを特定するために、過去の取引だけに頼るのはもはや不十分です。ソーシャルエンジニアリングによる攻撃を防ぐには、不正検知をリアルタイムで行う必要があります。
P2Pアプリを悪用したソーシャルエンジニアリング攻撃と同様に、暗号資産における代表的なAPP詐欺の一つが「投資アドバイザー」詐欺です。この手口では、詐欺師がアドバイザーを装い、ユーザーに投資用アカウントの開設を勧めます。詐欺師はリモートデスクトップソフトを使いながら、被害者にアカウント開設手続きを進めさせ、その際に被害者自身の本人確認（KYC）情報を入力させます。こうして詐欺師はアカウントへのアクセス権を得て、送金された資金を盗み取ります。
この種の詐欺は、取引開始時点でリアルタイムに、不審なデバイスやエミュレーター、スクリプト、さらにプロキシやVPN、画面共有、リモートデスクトップを介して行われるセッションを的確に検知・フラグ付けすることで防ぐことができます。銀行、フィンテック企業、暗号資産関連企業は、ログインページでデバイスおよびネットワークのデータを収集することで、こうした攻撃を未然に防止できます。
不正行為者を見抜くもう一つの方法は、デバイス上での独特な行動パターンに注目することです。通常のユーザーは、オンボーディングフォームを自動入力し、マウス操作やスクロールの動きにも変化があります。一方で、不正行為者はコピー＆ペーストを多用し、慣れによって動きがより反復的になる傾向があります。ショートカットキーの使用状況やページ・ウィンドウの切り替えといったその他の行動シグナルも、企業が不正を検知するうえで重要な役割を果たします。
Sardine では、デバイスインテリジェンスと行動データを活用し、フィンテック企業や暗号資産関連企業の不正防止に成功してきました。リアルタイムデータを用いてソーシャルエンジニアリングを検知・警告することで、資金が動く前に不正な取引を止めることができます。
2. 不正防止のデータギャップを解消するための業界連携
リアルタイム決済におけるAPP詐欺を効果的に防止するためには、金融サービス業界内のあらゆる関係者が連携し、データを共有・協力する体制が必要です。現在のデータ共有コンソーシアムのモデルには、フィンテック企業や暗号資産関連企業、地域銀行、信用組合が含まれていません。その結果、既知の詐欺グループや悪質な行為者が、金融機関を渡り歩きながら、消費者や加盟店を標的にし続けることを許してしまっています。
Sardineは、これらの課題に取り組むため、業界全体を対象としたコンソーシアムを立ち上げています。このワーキンググループには、金融機関、フィンテック企業や暗号資産関連企業、規制当局、消費者保護団体など、あらゆる関係者が参加します。
3. グローバルなベストプラクティスを採用する
長年にわたり即時決済インフラを運用してきた国々では、規制によって推進された重要な取り組みも見られており、その例としては次のようなものがあります。
- リアルタイム決済における二要素認証またはトークンベース認証の義務化— たとえば欧州の強力な顧客認証（Strong Customer Authentication）規制では、銀行、フィンテック企業、加盟店に対し、送金型決済や高リスク取引において二要素認証を導入することを求めています。
- 受取人の確認 —イギリスでは、業界団体である Pay.Uk が、送金先として指定された受取人の氏名が銀行口座名義と一致していることを確認するためのサービスを開始しました。たとえば Coinbase に送金しようとしている場合、口座名義はデータベース上の既知の Coinbase 口座名義と一致している必要があります。ユーザーは支払いを完了する前に、警告や確認画面が表示されます。
- 損失補填のための基金を積み立てる — 英国の主要銀行9行は、英国決済システム規制機関（PSR）が策定した、自国のリアルタイム決済ネットワークにおけるAPP詐欺被害者へ補償を行うための自主的なコードに参加しています。さらにPSRは、補償を義務化する制度の導入も提案しています。
特に国境を越えた決済がより便利になるにつれて、単独の主体や一国だけで不正行為を解決することはできません。私たちは、これらの規制の導入と執行の状況、そして民間セクターがその本来の目的達成を支援するうえでどのような役割を果たせるかに細心の注意を払っています。私たちは、APP詐欺の削減に意欲的な金融機関の皆さまと、この対話を今後も続けていきたいと考えています。
今こそリアルタイム決済における不正対策に取り組むべき時です
連邦準備制度理事会（FRB）は最近、Federal Reserve は「即時決済の取り消し不能かつリアルタイムという性質は、不正行為の検知と防止において業界にとって課題となり得る」と述べました。そして、規制当局もこの問題に注目しています。
米連邦取引委員会（FTC）は最近ウォルマートを提訴し、同社の送金サービスが詐欺師に悪用されることを許していたと主張しました。消費者金融保護局（CFPB）は、APP詐欺を「無権限取引」と再分類することを検討しており、そうなれば、銀行はレギュレーションEに基づき、ソーシャルエンジニアリング攻撃の被害者に対して返金する必要が生じます。
規制当局が解決策を提示するのを待つのではなく、自ら主体的に不正リスクを管理し、ソーシャルエンジニアリング攻撃やAPP詐欺を今すぐ防ぎましょう。リアルタイム決済には、リアルタイムの不正検知が実現可能であり、かつ不可欠です。