米国大手ネオバンク、3,000以上のアカウントにまたがるマネーロンダリング組織を摘発
米国の大手銀行は、決済チャネル内で疑われるマネーロンダリング組織により、財務・レピュテーション両面でのリスクが高まっていました。犯罪者はACH、電信送金、RTP、デジタルバンキングにまたがる断片化された監視システムを悪用し、不正な活動を何千ものアカウントに分散させることで、個々のプロファイルを検知しきい値以下に保っていました。その結果、数百万ドル規模の不正な資金の流れが管理をすり抜け、コンプライアンスチームは誤検知に圧倒される一方で、真のマネーロンダリングネットワークは検知されないままとなっていました。
この銀行は、このサイクルから脱却するためにSardineのデータコンソーシアムを活用しました。単一のエンティティや取引だけに焦点を絞る旧来のシステムとは異なり、Sardineのグラフを活用したアプローチは、マネーロンダリングのエコシステム全体をマッピングし、サイロを越えてアカウント、デバイス、IP、取引相手をつなぎ合わせました。かつては時間のかかる手作業だった、なりすましアカウントや不審なデバイス活動の発見も、ワンクリックで対応できるようになりました。数百件の低価値アラートを単一のコミュニティアラートに統合することで、調査担当者はネットワーク全体への即時の可視性を獲得し、マネーミュール活動のより迅速な阻止、より質の高いSAR(疑わしい取引の届出)、そしてより強固な規制対応を実現しました。
課題: 断片化されたサイロが数百万ドル規模の不正な資金の流れを覆い隠していた
組織犯罪グループは、米国の銀行システムを通じて資金洗浄を行うために高度な手口を使います。その手口には、何千ものマネーミュールアカウントを使い、一見普通に見えるアカウントを通じて大規模に資金を移動させることが含まれます。ある米国の銀行は、旧来のシステムに依存していたため、これらのミュールネットワークとの戦いで深刻な問題に直面していました。同行のシステムは、1種類の決済のみに焦点を当てた、扱いにくいデータサイロを生み出していました。ACH、電信送金、RTP、デジタル決済それぞれに個別の監視ツールが存在していたため、活動を全体的に把握することが不可能となり、数百万ドルが管理をすり抜けていました。この銀行には、全体像を把握する方法が必要でした。
犯罪者たちは、個々の取引で大金を洗浄しようとすれば、いずれ発覚することを理解していました。そこで代わりに、検知される可能性がはるかに低い少額を移動させるために、何千もの「低リスク」アカウントを利用しました。これらの取引を積み重ねることで合計数百万ドルに達し、「千の切り傷による死」ともいえる戦略によって、実質的に巨額の資金を洗浄していました。
銀行のシステムが断片化しており、エンティティ中心のルールに依存していたため、多くの不正取引がすり抜けていました。コンプライアンスチームは、正規顧客による無害な取引による誤検知に圧倒される一方で、マネーロンダリング業者は検知されずに送金を行っていました。ペーパーカンパニーが実際の口座運用者を隠蔽し、犯罪者たちはこうした死角を悪用していました。この銀行には、この問題に取り組むための新しいソリューションが必要でした。
解決策: Sardineのコミュニティリスクインテリジェンス
Sardineは、グラフインテリジェンスとデバイスインテリジェンスソリューションを組み合わせて、マネーロンダリング組織を解体し、旧来のシステムでは見逃されていた危険信号を明らかにしました。Community Detection、Risk Intelligence、Device Intelligenceを迅速に導入することで、Sardineはマネーロンダリングのパターンを阻止し、このネオバンクの環境内で発生していたサイバー犯罪を明らかにしました。
Sardineでホップを追跡する
マネーロンダリング業者は検知を逃れるために、可能な限り操作を複雑にします。そのため、限られた取引情報しか表示できない旧来のツールでは、そのパターンを見抜くことは不可能です。このネオバンクには、Community Risk Intelligenceを活用してマネーミュールネットワークを発見し、抑止できるプラットフォームが必要でした。
例えば、マネーミュールネットワークは資金洗浄のために仲介口座を利用することがよくあります。資金を移動させたいときはいつも、複数の口座間で「ホップ」して資金を転送します。Sardineのリスクインテリジェンスツールを使うことで、この小売銀行は1,000万人を超える顧客にまたがる6ホップ以上のつながりを追跡し、層状のマネーロンダリング構造を明らかにすることができました。
このネオバンクはまた、Community Detectionを活用して、資金移動に使われていたマネーミュールネットワークやフロント企業を発見することもできました。Sardineにより、このネオバンクは疑わしい可能性のある取引を見つけるためのカスタムルールとリスク条件を作成できるようになりました。このネオバンクは、孤立した挙動ではなく、エンティティ間のつながり(例えば、1つの企業に多数の少額入金が送られるなど)に基づいてリスクを引き上げるNetwork-Based Risk Scoringを導入しました。
このネオバンクをさらに支援するため、Sardineは数百件のアラートをコミュニティアラートシステムに統合し、調査担当者の労力を集中させる助けとなりました。Sardineはまた、複雑な所有関係をマッピングし、アカウント、デバイス、決済間の隠れたつながりを明らかにしました。
国際的なデバイスインテリジェンス
マネーロンダリングは国境で止まったことはこれまで一度もなく、オンラインバンキングの台頭により、サイバー犯罪者にとって国際的な活動はより儲かるものとなっています。この米国のネオバンクは、国境を越えて活動するマネーロンダリングネットワークを見つけるために、SardineのDevice Intelligenceを活用しました。
Device Intelligenceを使用することで、このネオバンクは、スマートフォンやパソコンの位置情報がIPアドレスと一致しない取引にフラグを立てることができ、この不整合は明確な不正意図を示すものでした。Sardineはまた、活動を隠蔽し不正対策を回避するために使われるジェイルブレイクされたデバイスも検知できます。現地時間の午前1時から6時の間、通常誰も起きていないはずの時間帯に大量のピアツーピア取引が見られるアカウントについても、Sardineはボットまたはマネーミュールの可能性がある挙動としてフラグを立てることができました。
海外のサイバー犯罪者は、VPNやプロキシによる難読化を利用して資金を洗浄します。以下のチャートに示すように、1つの国内アカウントが、他国にある何百ものアカウントのフロントとして使われていることがよくあります。このネオバンクは、Sardineを使って「本当のデバイスの位置情報」を突き止めることができ、それはしばしばバングラデシュやインドネシアにありました。
成果: 3,000ノードの摘発
SardineのLink AnalysisとCommunity Detectionの統合により、それまで断片化されていた調査が、マネーミュールネットワークの大規模な解体へと転換しました。この突破口は複雑なルール変更からではなく、機械規模の作戦における人的ミスを捉えたことから生まれました。
決定的なミス
どんな詐欺師にも、必ず何らかの「クセ」があります。今回のネットワークの場合、それは1台の共有デバイスでした。
初期のグラフ分析により、単一のデバイスIDに紐づく100件のマネーミュールアカウントが特定されました。このネットワークの運営者は、アカウント管理のために一時的に2台目の「バックアップ」デバイスにログインするという、致命的なミスを犯しました。この一度限りのログインを追跡することで、SardineのLink Analysisは、その「孤立した」2台目のデバイスに紐づく、100件の追加マネーミュールアカウントからなる隠れた第2のクラスターを明らかにしました。
この詐欺師のハードウェアとの近接性により、銀行は、他に危険信号のなかった少なくとも100件の「クリーンな」アカウントをブラックリストに登録するのに十分な証拠を得ました。これらのアカウントは実質的に「スリーパー」ノードであり、標準的なKYCフィルターに捕捉される前に、高額な送金が行われるのを待っていました。
ハブをマッピングする
モバイルユーザーID(MUID)の集約がグラフに組み込まれると、調査は急速に拡大しました。データからは、検知を逃れるために意図的に設計された「ハブ・アンド・スポーク」型の構造が明らかになりました。
- ハブ: 調査担当者は、一見無関係に見える何百ものアカウントの中心的な固定点として機能する特定のモバイルユーザーIDを発見しました。
- 2つのIDによる戦略: 上位の運営者たちは「マルチホーミング」を行っていました。大量のトラフィックには1つの大規模なハブIDを使用し、ごく少数の他ユーザーとしか共有しない、より限定的な2つ目のIDを併用していました。
- 3,000ユーザーのコミュニティ: これらの重なり合うハブ間のホップを追跡することで、Community Detectionアルゴリズムは、約3,000人のユーザーからなる大規模で組織的なネットワークを特定しました。
結果
3,000件の個別プロファイルを相手に「モグラ叩き」をするのではなく、この銀行はグラフを使って不正インフラ全体を一度に把握しました。個々の取引を追いかける方式から、わずか数件の的を絞ったブロックで3,000ノードのコミュニティ全体を無力化する方式へと転換したのです。
Sardineの効果: 検知から解体へ
この調査の成功は、この銀行のリスクへの取り組み方における根本的な転換を浮き彫りにしています。個々の取引を追いかけることをやめ、それを支えるインフラを無力化することへと舵を切ったのです。データのサイロを解消し、グラフを活用した単一のビューに統合することで、Sardineは、たった一人の運営者のミスをネットワーク全体の解体へとつなげるために必要な技術的なレバレッジを提供しました。
機械学習とハイパースケールな不正の時代において、現状に満足している余地はありません。マネーミュールネットワークがより高度化するにつれて、成長とセキュリティの間の繊細なバランスを保つ鍵となるのは、深く適応的なパートナーシップです。Sardineのテクノロジーにより、銀行は画一的な旧来のロジックに頼るのではなく、独自の環境に合わせてルールとリスク条件を調整し、サービスを自分たちのものにすることができます。
円滑な成長と揺るぎないセキュリティとの間の繊細なバランスを保つには、全体像を見渡せるパートナーが必要です。Sardineは、現代の金融において、1件の取引を止めることは良いことだが、本当に取り組むべきはネットワークを解体することだと理解しているイノベーターたちと共に歩めることを誇りに思います。