アカウント乗っ取り（ATO）は金融サービス全体で急増しており、不正行為者は銀行や信用組合をますます標的にしています。2024年には、ATO攻撃は前年比457％も急増し、地域銀行や地方銀行では、信用組合では285％の増加となりました。
AI を悪用した詐欺、ボット攻撃、ソーシャルエンジニアリングによって、ATO（アカウント乗っ取り）は単に増加しているだけでなく、従来型の不正検知システムでは追いつけないスピードで進化しています。これは、不正行為への参入障壁が崩壊してしまったためです。かつては高度な技術的知識が必要だったことが、今では無料の AI ツールを使うか、週 10 ドル程度で Fraud-as-a-Service プラットフォームに外注するだけで実行できてしまいます。私たちは、この変化を加速させているツールを、大規模な不正を可能にしている AI ツールの内訳の中で整理しました。
多くの銀行は、従来型ベンダーに存在する3つの重大なギャップにより、これらの攻撃のスピード、規模、そして複雑さに対応できていません。
- 顧客ジャーニー全体ではなく、個々の部門ごとにリスクを分析している
- マッチ率が低く、データが古くなった静的なデータベースを使用すること
- 比較対象となるベースラインがない状況で過去の分析結果に頼ってしまうこと
これらのギャップの一つひとつが、詐欺師にとって貴重な顧客アカウントを乗っ取るために悪用できる脆弱性となります。これは銀行とその顧客に対する金銭的なリスクをもたらすだけでなく、顧客離れを招きかねない評判の失墜にもつながります。
そのため、主要な金融機関は、ユーザーが最初に利用する瞬間であっても、不正行為をリアルタイムで検知・阻止できるゼロデイ保護へとシフトしつつあります。
ゼロデイシグナル：過去のデータに頼らず不正を検知する
従来の不正防止システムは、リスクを特定するために過去のユーザー行動に依存しています。しかし、攻撃者がゼロデイの状況、つまり事前のユーザーベースラインが存在しない状況を悪用すると、このアプローチは機能しなくなります。これには、休眠アカウントの乗っ取り、新規または再利用デバイスからの初回ログイン、自動化されたボット攻撃、複数のアカウントやチャネルにまたがる組織的な不正などが含まれます。このようなケースでは、過去のパターンや静的なルールのみに依存することは不十分です。
ゼロデイシグナルは、その瞬間に実際に何が起きているかを見ることで、このギャップを埋めます。たとえば、ユーザーはパスワードを入力するのではなくコピー＆ペーストしていないか？TeamViewer で誰かがリモート操作していないか？デバイスが机の上で裏返しになっているのに、その端末から銀行口座へログインしようとしていないか？といった点です。これらのシグナルはリアルタイムのデバイス属性やユーザー行動を分析し、ユーザーに関する事前の知識を必要としません。
最新のATO保護ソフトウェアの主要コンポーネント
大手金融機関はゼロデイシグナルをどのように活用してアカウント乗っ取りを阻止しているのか
ここでは、従来の不正検知システムでは見逃されてしまうアカウント乗っ取りを、Sardine のゼロデイシグナルがどのように検知・防止してきたかを示す実例をご紹介します。
不正アカウントを利用した初回のアカウント乗っ取り
課題：詐欺師は、長期間利用されていない口座やデジタル上で非アクティブな口座を狙います。こうした口座では、直近の利用履歴や行動パターンの基準が乏しいため、従来型の検知手法が有効に機能しません。その結果、顧客が不正アクセスにすぐ気づきにくく、これらの口座は特にリスクが高くなります。
検知シグナル：
- デバイスの利用速度（複数アカウント間での再利用）
- エミュレーターまたはスクリプトの使用
- プロキシまたはVPN（KYC登録地域との位置情報の不一致）
- リスクの高いIP／デバイスの評判
- SIMスワップ状況とeSIMの利用状況
- リモート画面共有の兆候（TeamViewer、AnyDesk）
- Sardine のゼロデイシグナル（
login_zero_day_signalsチェックポイント）
顧客の成果：世界最大級の暗号資産取引所は、Sardine を活用して、ユーザー操作、プロキシの利用状況、リモートアクセスソフトの検知、正確なIPジオロケーションなど、サインアップ時の行動シグナルを分析しました。これにより、新規登録時の不正とアカウント乗っ取りの両方を防止し、年間65万ドルの不正被害を阻止すると同時に、最大1,000万ドル相当の盗難被害から顧客を保護しました。
アカウント乗っ取り保護（ベースライン＋ゼロデイ）
課題：攻撃者はアカウント認証情報を侵害し、リスク管理が過去に観測されたパターンのみに依存している場合には検知をすり抜ける可能性があります。正当なユーザーのアクセスを遅らせることなく異常を特定するためには、既知のベースラインとゼロデイの兆候の両方を考慮した保護が必要です。
検知シグナル：
- 新規または未確認のログイン属性
- 信頼されていないデバイスまたはIP
- ユーザーに対して既知の信頼できるデバイス/IPのベースライン
- ワークフロー：
ato_baseline_user_and_zero_day_attacker
導入効果：大手日本ネオバンクは、Sardine のデバイスおよび行動シグナルを活用し、異常なコピー＆ペースト動作、不明なデバイス、新しい IP アドレスなどの不審なアクティビティを検知することで、アカウント乗っ取り（ATO）を未然に防ぎました。これらのリアルタイムシグナルにより、ログイン時やカード連携時の高リスクなセッションが即座に特定され、オンボーディング、ログイン、ウォレットへのチャージといった各プロセスにおける不正が大幅に削減されました。
クロスチャネル近接チェック
課題：不正行為はしばしば複数のチャネルにまたがって発生します。例えば、攻撃者はスクリプトを使ってインターネットバンキングにアクセスし、その一方で正規ユーザーはモバイルから操作している場合があります。チャネル間の関連付けが行われていないと、連携した不審な行動や異常な挙動を見落とすリスクが高まります。
検知シグナル：
- インターネットバンキングとモバイルバンキング間の位置情報の不一致
- IP レピュテーションとトラストスコア
- MCC、MNC、SIM の国情報の不整合
- ログイン位置情報（
login_geolocation）チェックポイントによる不可能な移動シナリオ
導入効果：欧州で2番目に大きいネオバンクは、Sardine のデバイスインテリジェンスとグラフ分析を活用し、複数のチャネルで複数のアカウントを作成する不正利用者を検知しました。66億台を超えるデバイスから成るグローバルネットワーク上でアカウントを関連付けることで、大規模な不正グループをリアルタイムで特定・阻止すると同時に、電話番号を悪用されかけていた潜在的な被害者にも警告を行いました。
新しいデバイスでログインする既存顧客
課題： 不正利用者は、これまでユーザーと関連付けられていない新規または再利用されたデバイスを使ってアカウントへのアクセスを試みます。強力なデバイス・フィンガープリンティングと信頼性評価がなければ、これらのログインは正当なものに見え、不正検知をすり抜けてしまう可能性があります。
検知シグナル：
- ユーザーで確認されていない新しいデバイスのフィンガープリント
- 複数のアカウント間で共有されているデバイスID／フィンガープリント
- 信頼できる住宅用IPのチェック
- 次の項目を使用して評価：
login_new_attributesおよびlogin_zero_day_signalsチェックポイント
導入効果：メキシコを代表する「後払い（Buy Now, Pay Later）」プラットフォームは、タイピング速度やログインフローに要した時間、IPアドレスの変化といったゼロデイシグナルを活用して、ログイン時に高リスクユーザーを検知・ブロックし、アカウント乗っ取りを大幅に削減するとともに、投資対効果2.8倍を実現しました。
ボットおよび自動化された攻撃の防止
課題：銀行やフィンテック企業は、顧客アカウントに対してクレデンシャルスタッフィングや総当たりログインを試みる自動化攻撃を頻繁に受けています。これらの攻撃は基本的なレート制限をすり抜ける可能性があり、行動パターンやデバイス特性に基づく検知が必要となります。
検知シグナル：
- 稀少な画面解像度
- マウスの動きがない、または不自然なパターンが見られる
- 不審なスマートフォンの向き
- リモート操作の兆候
- アカウント間におけるアクセスパターンの変化速度
導入事例：米国の大手商業ネオバンクは、Sardine の Device and Behavior SDK を導入した結果、アカウント乗っ取りを 35％削減しました。パスワードのコピー＆ペースト、プロキシや VPN の利用、リモートアクセスツールといったシグナルを検知することで、フィッシング、ボットによるクレデンシャルスタッフィング、ソーシャルエンジニアリング攻撃にまたがる ATO（アカウント乗っ取り）試行を阻止しました。自動化されたログイン攻撃の検知については、当社のガイド「リアルタイムボット検知」で詳しく解説しています。
複数アカウントの不正検知
課題：不正行為のオペレーションでは、多くの場合、複数の偽アカウントや乗っ取られたアカウントに対して、同じインフラストラクチャ（デバイス、IP、セッションパターンなど）が使い回されます。これらのパターンを特定することは、オンボーディングやログインプロセスを悪用する大規模な攻撃を防ぐうえで極めて重要です。
検知シグナル：
- 複数のアカウントで確認されたデバイスIDまたはフィンガープリント
- 異常なアクセスパターンやログイン試行
- ログインおよび取引のクラスタリング
顧客の成果：大手ファッションマーケットプレイスは、Sardine を活用して、出品者のオンボーディング時におけるデバイス共有や複数アカウントの不正利用を検知し、同一デバイスから重複アカウントを作成する不正グループを阻止しました。Sardine のネットワークリンク分析と行動シグナルにより、リスクの高い出品者がリアルタイムで特定され、プラットフォームの健全性を守るとともに、正当なユーザーの安全を確保することができました。
SIMスワップ検知
概要：当社は最近、新しいSIMスワップ検知機能をリリースし、この重大なATOベクターに対応しました。SIMスワップ詐欺はATOの既知の前兆であり、通信事業者との連携を欠くシステムでは、通常検知されません。SIMスワップのシグナルがなければ、銀行は2要素認証やアカウント復旧に使用される電話番号が侵害されているかどうかを判断できません。
検知シグナル：
- SIMカード交換イベント
- eSIM識別
- Sardineのエンジンを通じてこれらのイベントに紐づけられたリスクルール
アカウント乗っ取り対策：銀行がSardineを信頼する理由
Sardine のアプローチは、リスクを個別に分析したり、過去のパターンのみに依存したりする従来型システムをはるかに超えるものです。私たちは顧客のジャーニー全体にわたってリスクを監視し、自社独自のゼロデイシグナルと、40社以上の完全統合されたベンダーからのデータを組み合わせることで、比較対象となる行動ベースラインが存在しない場合でも、不正行為をリアルタイムで検知・阻止します。
当社のプラットフォームは、135か国で66億台以上のデバイスをプロファイルした、世界で最も急成長しているグローバルなデバイスインテリジェンスネットワークを活用し、デバイスの評価や不正パターンを世界規模で他に類を見ない可視性で把握します。アカウント乗っ取りやボット、詐欺を検知するために特化して学習されたカスタム機械学習モデルが、このデータを分析し、高リスクなイベントを高精度で特定します。これらすべてを、インライン認証の判断に必要な100ミリ秒未満のレイテンシで実現します。
初回接触時の不正検知や、侵害されたデバイスからの不審な活動の特定、ログインチャネル全体での異常検知など、さまざまな場面で、Sardine は大手銀行やフィンテック企業を支援し、正当なユーザーに影響を与えることなくアカウント乗っ取りを阻止します。
お問い合わせデモのご予約や、ゼロデイ攻撃対策ソリューションの詳細についてはお問い合わせください。
よくある質問
ゼロデイ不正防止とは何ですか？
ゼロデイ不正防止とは、特定のアカウントに関する過去の履歴データに依存せずに、アカウント乗っ取りの試行をスコアリングできる能力を指します。スコアリングに使われるシグナルは、このセッションを前回のセッションと比較するのではなく、デバイスインテリジェンス、行動バイオメトリクス、そして Sonar コンソーシアムから得られる情報に基づいています。
ゼロデイ不正防止は、ベースラインに基づくアカウント乗っ取り（ATO）検知とどのように違うのですか？
ベースライン型の検知では、アカウントごとに十分なセッション履歴がたまるまで異常を検出できず、その間の最初の侵害リスク期間が手つかずのまま残ってしまいます。ゼロデイ型では、デバイスフィンガープリントの照合、行動バイオメトリクス、コンソーシアム指標といったアカウント横断のシグナルを用いることで、最初のセッションから機能します。
ゼロデイ不正防止対策は、どのような攻撃を検知しますか？
休眠アカウントに対するアカウント乗っ取りの試行、漏えいした認証情報を使った初回ログイン、既知のATOパターンに一致する新しいデバイスからのログイン、そしてSMSワンタイムパスワードを回避するSIMスワップ攻撃などです。これらのシグナルは、ベースライン確立後ではなく、最初のセッションから発火します。
ゼロデイ不正防止対策は、SR 11-7 のモデルリスク管理要件に適合していますか？
はい。Sardine は、すべてのゼロデイモデルに対して、SR 11-7 のモデルリスク文書、NIST AI RMF に基づく系譜情報、そして完全な意思決定監査証跡を添えて提供します。検査官は、なぜ各セッションがそのスコアになったのかを、最初の確認時点で把握できます。
ゼロデイ不正防止機能は、ログイン時にどの程度のレイテンシーを追加しますか？
95パーセンタイルで50ミリ秒未満です。スコアがリスク閾値を超えない限り、顧客は一切の摩擦を感じませんが、閾値を超えた時点でシステムは認証を強化するか、セッションを保留して審査を行います。