Sardineがカナダの大手銀行における不正アカウント乗っ取りグループを摘発
カナダの6大システム上重要銀行の一つが、アカウント乗っ取り(ATO)による不正に対するより強固な防御を必要としていました。サイバー犯罪者はアカウント乗っ取りやクレデンシャルスタッフィングの手口を大規模に仕掛けることができ、この銀行は正規の顧客活動と不正行為を区別しようと苦心していました。
コンプライアンス上の課題と顧客の損失が増加する中、この銀行はリスク要因を特定し、より広範な不正ネットワークを明らかにするためにSardineとパートナーシップを結びました。Sardineはデバイスインテリジェンスと行動生体認証を提供し、スピアフィッシング攻撃をブロックするとともに、数百のアカウントからなる不正ネットワークを摘発しました。
課題: 大量のログインと「摩擦」という代償
オンラインバンキングは、より大きな利便性と同時に、より大きな不正リスクをもたらします。不正グループが能力を高めるにつれて、アカウントはATO(アカウント乗っ取り)の手口による脅威にさらされています。頻発するデータ漏えいにより、消費者のログイン情報がTelegramやダークウェブ上でオンライン購入できるようになり、悪意ある行為者が大規模なクレデンシャルスタッフィング攻撃に利用できるようになっています。このカナダの銀行は、これがもたらす混乱を身をもって経験しました。
実際のところ、統一されたデバイス・行動ソリューションがなかったことで調査は遅れ、銀行の対応能力は損なわれていました。これは具体的に3つの形で表れていました。
- 手動調査の罠: 自動検知がなければ、アナリストは盗まれた資金の回収や事後対応型のサポートに時間を費やさざるを得ません。これにより、不正防止は主体的な戦略ではなく、コストのかかる事務作業へと変わってしまいます。
- 可視性のギャップ: システムが断片化していたため、侵害されたアカウントをリアルタイムで特定することは不可能でした。ユーザーが位置情報を偽装しているか、乗っ取られたデバイスを使用しているかを確認するための一元化されたハブがなければ、銀行は悪意ある行為者と正規の顧客を見分けることに苦労していました。
- 摩擦と損失のジレンマ: 年間4億件を超えるログインを抱えるこの銀行は、セキュリティとユーザー体験のバランスを取ることに常に苦心していました。ATOの試みを阻止するためにルールを厳格化すると、しばしば誤検知率が高くなり、忠実なユーザーを苛立たせ、サポートチームの負担を増加させていました。
解決策: 高リスクと低リスクのトラフィックを分離する
手動調査の繰り返しから脱却するために、このティア1銀行はSardineとパートナーシップを結び、単純なログインシグナルを超えて、ユーザー行動を総合的に捉える視点を採用しました。これにより、戦略は事後対応型の防御から、アカウント乗っ取りへの体系的な対応へと転換しました。
Sardineのデバイス・行動生体認証スイートを統合することで、銀行はあらゆるログインの背後にある「どのように」を見抜く力を得ました。このプラットフォームは、新しいデバイスID、IPの変化、行動の変化といったリアルタイムのシグナルを使ってトラフィックを分割し、チームが高リスクな試みを正規の顧客から即座に切り分けられるようにします。
ログインを超えたインテリジェンス
Sardineは、旧来のツールでは到達できない技術的な洞察を提供します。詳細なセッションレベルのテレメトリにより、銀行は今やATOの試みが成功する前に、自動化された活動や組織的な不正インフラを検知できるようになりました。チームは、「顧客」が実際には自然な間隔を置かずに特定の操作へ一直線に進むボットスクリプトなのか、あるいはデバイスIDがダークウェブ上の何千もの他のアカウントと結びついているのかを見抜くことができます。これにより、銀行は1ドルも動く前にボットによる攻撃を阻止できます。
迅速なルール展開
Sardineのルールエンジンにより、銀行は長いエンジニアリングサイクルを待つことなく、独自のロジックを構築・展開できます。この機動力は、それまで見過ごされていた大規模なスピアフィッシング攻撃を発見するうえで重要な役割を果たしました。銀行は、ログインシグナルだけでは対処できなかった状態から、過去データに対して仮説を検証し、新しい保護策を即座に本番展開できる主体的な姿勢へと転換しました。
組織的なネットワークを無力化する
Community Risk Intelligenceを活用することで、銀行は孤立したインシデントの調査から、不正インフラ全体を無力化する取り組みへと移行しました。最初のデータバッチを受け取った後、システムは共有IPアドレスやメールドメインからの協調的なログインを含む、ボットネットワークによる高度なクレデンシャルスタッフィングを特定しました。これらの結びつきを追跡することで、銀行は今や何千ものアカウントを使ってシステムを悪用する組織的なネットワークを特定・ブロックできるようになっています。
成果: 80万ドルの損失防止と誤検知の削減
導入からわずか数日のうちに、銀行は検知シグナルをプラットフォーム全体の保護へと変えるために必要な技術的なレバレッジを手に入れました。データのサイロを解消し、グラフを活用した単一のビューにまとめることで、不正対策チームは事後対応型の調査から、脅威の主体的な無力化へと移行しました。この転換により、この金融機関は80万ドルの潜在的損失を防ぐことができました。
手作業のワークフローから自動化されたインテリジェンスへの移行により、銀行の不正対策チームは事務的な維持管理ではなく、高次の戦略に集中できるようになりました。これは3つの中核的な運用上の改善として表れています。
- 分散型戦略: 手動によるデータ取得とエンジニアリングに大きく依存したラベリングの必要性をなくすことで、アナリストは今や数分で新しい検知ロジックを展開できます。この機動力により、銀行は148件の侵害されたアカウントに即座に対応し、733件のアカウントからなる不正ネットワークを解体することができました。
- コンバージョン精度の向上: 検知精度が向上したことで、誤検知率が16%から26%削減されました。これは顧客体験を直接保護し、過度にチューニングされたルールが正規の銀行取引をブロックしたときに通常急増する膨大なサポート対応量を削減します。
- ネットワークレベルの可視性: 銀行は今や、不正グループを支えるインフラを侵入の入口で無力化しています。不正な取引が問題を知らせるのを待つのではなく、チームは国際的なデバイスの引き継ぎやボットによるクレデンシャルスタッフィングといった脅威を、それが現れた瞬間に特定します。
国際的な不正クラスターを無力化する
Sardineのインテリジェンスは、旧来のシステムでは見逃されていた高度なパターンを明らかにしました。ある事例では、システムはカナダからの正規のセッションの直後にルーマニアのIPアドレスからのアクセスがあったことを発見しました。これは、明確なデバイスの引き継ぎとアカウント転売の手口を示すものでした。これらの結びつきを追跡することで、銀行は約3,000件のセッションにまたがる94台の共有デバイスを介してつながる370件の顧客IDからなる不正クラスターを特定しました。
銀行はこれらの知見を活用し、受益者の変更や大口送金といった高リスクな操作の際に、的を絞った介入を開始しました。この粒度の細かさにより、この金融機関は149人の顧客を即座にアカウント保護の対象とし、追加の損失が発生する前に脅威について通知することができました。
自動化されグラフを活用した検知により、銀行は持続的な防止のモデルへと移行しました。高い検知率と運用負荷の軽減は、大きな投資対効果をもたらしています。
今後の展望: 主体的な防御をスケールする
この成功を受けて、クライアントとSardineは、訪問者フィンガープリンティングやクレデンシャルスタッフィング検知といった、カスタマイズされた統合戦略へと分析を拡大しています。今後の取り組みには、防いだ不正損失の定量化、モバイル不正検知の改善、そしてより広範な不正ネットワークの分断のためのコネクテッドコンポーネント分析の活用が含まれます。Sardineは、新たな攻撃ベクトルを阻止し、より深く反復的なROI分析を通じてコストを最適化するために、このティア1銀行との協力を継続しています。