アソビューが妥協することなく顧客体験を守る道を選んだ理由
Asoviewは、日本全国のレジャー・アウトドア体験を予約できる消費者向けプラットフォーム「アソビュー！」と、施設運営者向け予約管理SaaS「ウラカタ」の2つのプロダクトを展開しています。両サービスを合わせて、約6,000のパートナー事業者と1,600万人の登録会員に利用されています。人気チケットの発売時には、わずか数秒で取引量が急増するため、決済フローに少しでも滞りがあれば、直接的な損失につながります。こうした運用上の実情を背景に、Asoviewは決済事業者に依存しない独自の不正検知機能を構築しました。
課題：誤った判断に左右される不正対策
Asoviewは、決済サービスプロバイダーに付帯する不正対策ツールを利用していました。この仕組みは、上席執行役員兼CIOの江部淳也氏が、長期的に見てそれが実際に何を意味するのかを検討するまでは、問題なく機能していました。AsoviewがPSPを切り替えるたびに、不正対策の体制はリセットされてしまいます。蓄積したデータ、学習したパターン、調整したルールのいずれも引き継ぐことができませんでした。江部氏は、「当社のセキュリティ体制が決済事業者の商業上の判断に左右される状態は、中長期的に構造的なリスクを生むと判断しました」と述べています。
安全性を運営上の基本原則として掲げるプラットフォームにとって、こうした依存関係は構造的な問題でした。Asoviewでは「安全性」を、情報セキュリティとデータ管理、高負荷時のシステム可用性、そして消費者と施設運営者の双方にとってシームレスな体験という、3つの具体的な領域で定義しています。
また、パフォーマンス面でも具体的な懸念がありました。アソビューの取引量には波があります。人気のチケットや体験プランが発売されると、需要はほぼ瞬時に急増します。そのタイミングで不正検知による遅延が少しでも加われば、決済処理に直接影響します。既存のバンドル型ツールでは、こうした状況下で十分なパフォーマンス保証がありませんでした。江部氏は次のように述べています。「需要の高いチケットの発売時にアクセスが急増しても、取引を滞りなく処理し続ける必要があります。」
解決策：決済スピードを損なわない行動シグナル
Asoviewは、検知手法、レイテンシとスループット、導入負荷、商品カテゴリー別の選択的な適用範囲、コスト構造、長期的な製品ロードマップという6つの観点からベンダーを評価しました。中でも、処理速度を最も重視しました。
高負荷時の処理速度
Sardineは平均応答時間が0.2秒未満で、ピーク負荷時にも毎秒数百件のリクエストを処理できるため、この要件をクリアしました。またSardineでは、すべての取引を一律に対象とするのではなく、商品カテゴリーごとに選択的に検知を適用できます。Asoviewにとってこれは、他のカテゴリーに余計な負荷をかけることなく、リスクの高いカテゴリーに検知を集中できることを意味し、全面的に適用する場合よりも合理的なコスト構造を実現しました。
行動バイオメトリクスとデバイスインテリジェンス
特に際立っていた検知手法は、行動バイオメトリクスとデバイスインテリジェンスを組み合わせたものです。Sardineは、マウスの動き、タイピングのリズム、スマートフォンの傾きなど、わずかな行動シグナルを分析し、自動化された操作と実際のユーザーによる操作を見分けます。Ebe氏は、「生成AIによって個人情報の捏造がますます容易になる時代において、無意識に現れる行動パターンを偽装することははるかに困難です」と述べています。「まさにそこに、この検知手法の強みがあります。」
IPアドレスが操作され、海外からのアクセスが国内からのものに見せかけられている場合でも、実際の接続元を特定できるSardineの機能は、実用面で大きな差別化要因となりました。Asoviewでは、取引データ上でこの種の偽装が日常的に確認されており、江部氏は導入初期から明確な効果が得られたと述べています。
AIとルールベースのロジックを組み合わせたハイブリッドアーキテクチャにより、どちらか一方のアプローチだけでは埋められないギャップを解消しました。AIだけでは、新たなパターンに対して信頼できる精度に達するまでに時間がかかります。一方、ルールだけでは、手口の変化に十分な速さで対応できません。この2つのレイヤーが互いの弱点を補完し合うことこそ、本番環境において重要です。
導入と継続的な運用
Asoviewの社内開発チームが連携作業を担当し、想定よりも早い1か月未満で本番稼働を開始しました。初期設定ではルールを中心に運用し、取引データの蓄積に伴ってAIモデルの精度を高めていきました。ルールの変更は、Sardineの日本における販売パートナーであるDGBTが担当しています。Asoviewが不正データとフィードバックを共有し、DGBTが社内のエンジニアリング工数を必要とせずにチューニングを行います。特定のパターンを即座にブロックする必要がある場合は、DGBTのコンサルティングチームがその要件を直接ルールロジックに落とし込みます。
導入効果：不正利用は減少、誤検知は増加せず
Asoviewは夏の繁忙期にあたる8月に本番稼働を開始しました。システムへの負荷が最も高まる状況下でも、導入後わずか1か月で不正取引率が大幅に低下しました。
「現在では、OSや画面サイズ、行動シグナルといった詳細なパラメータを活用し、正規のお客様の購入体験を損なうことなく、極めて高い精度で不正をブロックできるようになりました。」
Sardineは、OS、画面サイズ、行動パターンなどの詳細なシグナルを活用し、正規の顧客の決済体験を損なうことなく不正を防止しています。誤検知が増えることもありませんでした。不正関連の問い合わせが減少したことで、サポート部門はインシデント対応に割いていたリソースを、サービスの中核的な課題への対応に振り向けられるようになりました。
今後の展望：攻撃対象領域の拡大に対応したスケーリング
Asoviewは、アクティビティやレジャー分野からイベントや旅行関連分野へと事業領域を広げ、海外展開も加速しています。進出地域の拡大とプロダクト領域の多様化に伴い、攻撃対象領域も拡大しています。
アソビューが蓄積する不正データはSardineのモデルにフィードバックされ、時間の経過とともに検知精度の向上につながります。今後は、データの蓄積に伴ってこのAIモデルをさらに活用し、手動ルールへの依存を減らしながら、より高精度な検知へと移行していく方針です。江部氏は次のように述べています。「当社が蓄積した不正データがSardineのモデル改善に活用され、その結果、当社の検知精度も向上します。効果が積み重なり、互いを強化し合う関係です。私たちは、このような持続的で双方にメリットのある関係を維持していきたいと考えています。」