セキュリティは製品の中核：Novoが中小企業の資金を守る方法
「中小企業のお客様の口座と資金を守ることは、私たちにとって何よりも大切な使命です。」
Sardineがアカウント保護に関するデータを分析
Sardineは、増加する不正行為やAIを悪用した脅威に直面する金融機関と連携し、顧客企業の対策の効果を定期的に追跡しています。顧客基盤を分析した結果、中小企業向け金融プラットフォームNovoでは、アカウントの乗っ取りが月平均1件未満で、所有者の許可なくアクセスされたアカウントの割合は0.0004%未満、つまり100万件あたり約4件であることがわかりました。
アカウント乗っ取り（ATO）の発生率は、業界やプラットフォームによって大きく異なります。大規模なデジタルプラットフォーム（ユーザー数500万～3億人）におけるアカウント乗っ取りの被害率の中央値は1.4%である一方、eコマースやデジタルメディアなどのリスクの高い分野では、攻撃の発生率が業界全体の平均の2.9～3.4倍に達しています。
アカウント乗っ取り（ATO）の発生率が全アカウントの0.0004%未満という実績により、Novoは業界トップ1%に位置しています。私たちはNovoのCEOであるジャクソン・バーンズ氏に話を伺い、同社がこの問題をどのように捉えているのかを探りました。
なぜこれが重要なのか
利益率が極めて低い小規模事業者にとって、手元資金で事業を継続できる期間の中央値は、わずか28営業日です。経済的な備えは、事業の成長と成功に不可欠なだけでなく、経営者自身の生活にも直結することが少なくありません。
Novoは、口座の保護をプロダクトの重要な要素と位置づけています。これは、フィンテック業界の多くとは一線を画す姿勢です。「当社のお客様が口座に預けているのは、ほとんどの場合、事業主自身のお金です。事業で得た利益か、創業資金なのです」とバーンズ氏は述べています。
フィンテック業界はいかにして不正を容認するようになったのか
フィンテック業界の多くは、ソフトウェアや電子商取引の分野からその発想や行動様式を受け継いでおり、ジャクソンは、業界が抱える不正問題のかなりの部分が、そこに根ざしていると見ている。
こうした経歴を持つチームは、決済の迅速化や利用開始手続きの簡素化を重視するため、確認するリスクの兆候が少なくなります。多くの場合、取引にはリスクがまったくないかのように扱います。不正侵入が起きても体面を損なう程度で済む、影響の小さいアプリであれば、こうしたやり方でも通用します。しかし銀行業務では、その水準のリスクは許容できません。
こうした傾向をさらに強めたのが、事業上のインセンティブです。フィンテック企業は収益の拡大とともに成長し、損失は後から補填されるコストとして扱われます。しかし、補填されたからといって、顧客が味わった体験が帳消しになるわけではありません。顧客は口座残高が減っているのを目にしてパニックに陥り、しかもお金がすぐに戻ってくるわけではないのです。残念ながら、多くのフィンテック企業は、顧客にリスクを転嫁し、その犠牲の上に事業を拡大しています。
Novoがセキュリティを戦略の中核に据えた理由
Novoが目指すのは、顧客、自社、取引相手の三者に損害が及ぶのを防ぐことです。多くのフィンテック企業が、自社さえ損失を被らなければよいと考えるこの業界では、取引相手の損失を防ぐことまで成功の基準に含める考え方は、広く浸透していません。
競争力の面でも理由があります。銀行業務のソフトウェア面ではコモディティ化が進む兆しがあり、AIによって口座の乗っ取りや個人情報の盗用、なりすましを低コストで実行できるようになるにつれ、セキュリティの重要性はますます高まっていきます。現在、小規模事業者は銀行を選ぶ際、必ずしもセキュリティを重視しているわけではありません。しかし、詐欺電話を受けたり、家族がなりすましの対象になったり、セキュリティ上の被害を自ら経験したりする人が増えれば、その意識も変わるかもしれません。
Novoが口座を保護する仕組み
Novoの顧客の枠を超えた脅威情報の共有
Novoは、Sardineのコンソーシアムデータ、行動生体認証、そして機械学習と意思決定エンジンを相乗的に組み合わせた戦略により、データの不足を補っています。他の金融機関がすでにデバイスや個人を要注意と判定している場合、Novoのチームもその履歴を確認できるため、取引を避けるべき相手を把握できます。
Sardineが提供する最大のメリットの一つが、コンソーシアムで共有されるデータです。ルールだけでは、チームが過去に遭遇したことのある脅威しか検知できないからです。このデータを活用すれば、チームは「脅威だと気づく前に、その脅威を阻止する」ことが可能になります。データコンソーシアムへの参加は、共通の利益のために他の機関と協力することを意味します。
すべてのシステムを横断する一度の初期チェック
Novoは複数のシステムを運用しており、どのシステムでも処理はまずSardineを経由します。NovoはSardine内で、どのシグナルに基づいてアクションを各脅威レベルに分類するか、また各レベルでシステムがどう対応するかを設定しています。初期判定の深刻度レベルだけで実行が許可されるアクションもあれば、その場でブロックされるアクションもあります。
不正対策チームが管理するルール
Sardineを導入する前、Novoでは不正対策ルールの多くがサービス自体に直接コードとして組み込まれていたため、調整のたびにエンジニアの工数が必要でした。しかし、不正を最もよく理解しているリスク管理チームの調査担当者は、コードを読み書きしません。そこに課題がありました。エンジニアのリソースが限られていると、既存顧客を守るための対応と新規顧客を獲得するための施策が競合し、通常は収益につながる施策を推す声のほうが強くなります。
Sardineのルール管理インターフェースにより、こうした作業を担当チーム自身で行えるようになりました。エンジニアは引き続きコマンドラインを利用できますが、一貫性があり分かりやすいインターフェースのおかげで、ルールを変更するたびに関与する必要はなくなりました。
追加認証と意図的な手間
Novoの管理システムは、顧客一人ひとりの通常の行動を学習します。事業主が日常的に出張している場合、時間の経過とともにその行動パターンが定着し、システムは通常の行動として扱います。一方、これまで海外出張をしたことがない事業主が、突然海外から2万ドルを送金しようとすると、追加の確認が行われます。
こうした確認には、通常15〜20秒、場合によっては最大2分ほど、お客様の時間を要します。Novoは、ログインしているのが本人かどうか疑わしい場合、この時間的な負担はやむを得ないと考えています。数分の手間に不満を感じるお客様もいるかもしれませんが、口座から全額を不正に引き出されてしまえば、別の銀行に乗り換えてしまうでしょう。
成長とリスク管理のバランスを考えるリーダーへのアドバイス
管理体制の緩和を迫られるフィンテック企業のCEOに対し、ジャクソンはまず、いずれその代償を払うことになると助言する。
「リスク管理全般について言えば、ただで得られるものなどありません。そう見えることはあっても、必ず誰かが代償を払っています。対応がずさんだったり、組織としてリスク管理や不正対策を後回しにしていたりすれば、いずれそのツケが回ってきて、深刻な問題になります。」
彼は、その代償が及ぶ先として、顧客との信頼関係、提携銀行との信頼関係、そして規制当局との関係の3つを挙げています。なかでも最後が最も危険だと考えています。マネーロンダリング対策や銀行秘密法に基づく義務は、「実際には国家安全保障のための手段」だと彼は言います。規制当局はこれらを頼りに、資金洗浄された資金や制裁対象者を米国の金融システムから排除しているからです。こうした義務を果たさない企業は、「責任を問われることになります。すぐにではないかもしれませんが、いずれ必ず」と警告しています。
今後の展望：顧客自身で設定できるセキュリティセンター
Novoは、必要最低限の保護水準を確保しつつ、それを上回る保護レベルをお客様一人ひとりが選べるセキュリティセンターを構築しています。セキュリティ対策には必ず手間が伴いますが、どこまで許容できるかは人それぞれです。確認の手順を減らして、よりスムーズにアクセスしたいと考える事業主もいます。一方、詐欺被害に遭いやすい高齢のお客様などは、口座へのアクセス時に月に一度の顔認証を求めるといった、より厳格な管理を望む場合もあります。
こう考えてみてください。住んでいる場所によっては、玄関に鍵をかけない人もいます。頑丈な錠を取り付ける人もいれば、さらに監視カメラを設置し、警備員を配置する人もいます。Novoは、どの程度のセキュリティ対策を講じるかを顧客自身が選べるようにする方針です。その実現には、Sardineのセキュリティ制御機能との連携を深め、ユーザーごとによりきめ細かく設定を調整できるようにする必要があります。
製品要件定義書はすでに完成しており、担当エンジニアは取材の翌週にプロジェクトに着手する予定だった。ジャクソン氏は、難易度の高いプロジェクトであるため年内のリリースは確約しなかったが、2027年初頭を目標としている。セキュリティ以外では、Novoは11月に、組み込み型の給与計算機能、中小企業向けの税務申告機能、最大500万ドルのFDIC預金保険の提供を開始したばかりだ。
出典
- Flare、アカウントとセッションの乗っ取りをめぐる経済圏（2025年）、The Hacker News経由、2025年4月、thehackernews.com/2025/04/customer-account-takeovers-multi.html。
- Security Boulevard、「2026年のアカウント乗っ取り統計：EC企業とメディア企業に対策の猶予がない理由」、2026年5月。