51 min
フランク・マッケナとマット・ベガ
これを分かりやすく説明していきましょう。
今日は、急増するAI詐欺と、詐欺対策チームが単に「より高速な詐欺」への対応にとどまらず、攻撃経路そのものが自動化・大規模化され、リアルタイムで洗練されていくときに何が起きるのかを掘り下げていきます。私はフランク・マッケナ氏とマット・ベガ氏にお話を伺い、ディープフェイク詐欺やAI生成のフィッシングサイト、認証情報を悪用した攻撃、そして詐欺とサイバーセキュリティのより広範な融合について、彼らが現場で何を目にしているのかを詳しく聞きました。
そうですね、これは以前は理論上の話に聞こえていた多くのことが、もはやそうではなくなっている、そんな会話のひとつなんです。
一見すると、これらの話はサイバーセキュリティの問題のように聞こえるかもしれません。しかし、よく見てみると、その本質は不正対策の現場にあります。大規模なアカウント乗っ取り。AI を使ったフィッシングサイトのクローン作成。対策に応じて手口を変えてくる適応型の不正攻撃。ディープフェイクを用いたなりすまし。多くの手動審査フローでは到底追いつけないスピードで動く、AI 駆動の詐欺オペレーション。
それこそが、不正対策チームが注目すべき点です。
AIによる詐欺の急増は、犯罪者のための新しいツールが登場しているというだけの話ではありません。これらのツールによって、従来からある詐欺の手口が、より拡大しやすく、より信じやすくなり、1～2年前までは有効だった対策では止めにくくなってしまう、という点も問題なのです。
それが実際にはどういうことなのか、具体的に説明します。
- AI 生成のフィッシングサイトは、これまでよりも速く、安く、しかも目立ったミスを減らして作成できるようになりました
- AI を用いたクレデンシャルスタッフィングにより、大規模なアカウント乗っ取りがより適応的になり、防御が難しくなっている
- なりすましがより本物らしくなる中、ディープフェイク詐欺の検知は不可欠になりつつある
- 不正対策チームには、静的な管理だけでなく、AIによる不正に対応するための行動生体認証が必要です
- AIによる脅威に対応する最新の不正対策スタックは、不正行為の自動化リスクとサイバーセキュリティとの重なりの両方を考慮しなければなりません
このエピソードでお届けする内容
- AI詐欺の急増が、不正行為のスピードと規模をどのように変えているか
- なぜ今、ディープフェイク詐欺の検知とデジタルID保護がこれまで以上に重要なのか
- AIが生成したフィッシングサイトや、AIを使ったフィッシングサイトのクローン作成がブランドと消費者にとって何を意味するのか
- なぜAIを用いたクレデンシャルスタッフィングが、より適応的な不正攻撃を生み出しているのか
- より高度なインテリジェンス、自動化、そして多層的なコントロールを活用して、いま不正対策のリーダーが取るべき行動
このエピソードは次のような方におすすめです
- 不正対策、リスク管理、トラスト＆セーフティ、またはセキュリティチームを率いており、AIによる脅威に対して、不正対策リーダーとしてどのように対応すべきかをより明確に知りたい方
- 2025年以降を見据えたフィンテック向け不正防止戦略を構築している
- サイバーセキュリティと不正対策の融合が、検知と対応をどのように変化させているのかを理解する必要がある
- AI を悪用したアカウント乱用やデジタルアイデンティティ攻撃に対する不正防止のための、実践的な対策アイデアが欲しい
- AIによる脅威やAIを悪用した不正をリアルタイムで検知するために、最新の不正対策スタックを再検討している
もしこのエピソードを気に入っていただけたら、ぜひ購読していただき、iTunes、Spotify、YouTube、または普段お使いのポッドキャストアプリでレビューをお願いします。番組を多くの方に知ってもらううえで本当に助けになります。
エピソードノートと主なポイント
なぜAIによる詐欺の急増はこれまでと違って感じられるのか
これを分かりやすく説明しましょう。
不正対策チームは、変化には慣れています。新しい詐欺の手口、新しい攻撃ツール、新しいチャネル。それ自体は目新しいことではありません。今これまでと違って感じられるのは、その変化のスピードです。
AIによる不正行為の急増が加速しているのは、AIのおかげで犯罪者が同じレベルのスキルや時間、コストをかけなくても、攻撃を構築・テスト・改良しやすくなっているからです。だからといって、すべての攻撃者が突然高度になったという意味ではありません。ツールが高性能になり、参入障壁が下がったということです。
それは重要です。
それが一度起きてしまうと、低スキルの詐欺と高スキルの詐欺との従来の境界はあいまいになり始めます。AIが生成したフィッシングサイトが作業の大半をこなせるのであれば、犯罪者は一から説得力のある偽サイトを作る必要はありません。AIを活用した詐欺オペレーションが無数のバリエーションを自動生成できるのであれば、大人数のチームを抱えて詐欺文面を書かせる必要もありません。そして、AIを使ったクレデンシャルスタッフィングが状況に応じて自動的に調整できるのであれば、あらゆる認証情報セットを手作業で試す必要もなくなるのです。
ここでそれが実務面にどのように現れるかを説明します。
- 攻撃の準備と反復をより迅速に行える
- AI を使った低コストのフィッシングサイト複製
- よりスケーラブルなボットおよび不正行為のオーケストレーション
- 静的な検知ロジックに依存しているチームへのさらなる負担
AI はどのようにフィッシングとアカウント乗っ取りを拡大させているのか
これは、この問題を最も明確に示す例の一つです。
フィッシングがこれまで常に効果的だったのは、信頼を借りているからです。コピーされたブランド。見慣れたログイン画面。正規のものと十分よく似ていて、人々が立ち止まって疑おうとしないメッセージ。AIによって、それを再現することがより簡単になり、攻撃を開始するまでの時間も短くなっています。
一見すると、クローンサイトはこれまでと同じ古い手口に見えるかもしれません。しかし、AIがよりクリーンなコードや優れたデザイン、より自然な文章、そしてより高速なバリエーションを生成できるようになると、その規模は一変します。さらに、そうしたサイトがAIを使ったクレデンシャルスタッフィングやリアルタイムのアカウント乗っ取りワークフローと連携すると、被害はあっという間に雪だるま式に膨れ上がります。
それはたいてい、良い結果にはなりません。
だからこそ、AI を悪用したアカウント不正の防止は、支払いの前、ログインが成功する前、顧客がアカウントロックされる前から始めなければなりません。詐欺対策チームは、アカウント乗っ取りを単なるパスワードの問題ではなく、スケールに応じた多層的な課題として捉える必要があります。
それには次のようなものが含まれます。
- 不審なデバイスやセッションの挙動を早期に検知すること
- AI不正行為に対して行動バイオメトリクスを活用し、自動化や異常なパターンを特定すること
- AI を用いたフィッシングサイトのクローン化および類似ドメイン悪用の監視
- 個別に確認するのではなく、本人確認・ログイン・支払いに関するリスクシグナルを相互に関連付けて把握すること
なぜディープフェイク詐欺の検知がいま詐欺対策戦略の一部となっているのか
長い間、ディープフェイクは評判リスクの問題、あるいは将来的に本人確認チームが直面するかもしれない課題のように感じられていました。しかし、今の私たちはもはやその段階にはいません。
ディープフェイクは今や、実際の不正による損失にずっと近いところに位置するようになっています。オンボーディング、サポート対応、社内承認、アカウント復旧、さらにはソーシャルエンジニアリングにも影響を及ぼしています。そして場合によっては、単独で使われるのではなく、より大規模な不正スキームの一部として組み込まれています。
ここからが本当に面白くなってきます。
ディープフェイク詐欺の検知は、単に偽の動画や合成音声を見抜くだけの話ではありません。犯罪者が外見や声、態度、そして状況までも巧みに真似して、不十分な対策をすり抜けられるようになったとき、デジタルアイデンティティへの攻撃がどのように進化するのかを理解することが重要なのです。
そして、まさにそのような脆弱性こそが、犯罪者たちの狙いなのです。
デジタルアイデンティティを狙った不正行為の防止対策では、今や次の点を考慮する必要があります。
- 本人確認やサポート対応の通話中に使用される合成メディア
- アカウント復旧や支払い内容の変更に組み込まれたなりすまし行為
- 十分な証拠がないまま、迅速な判断を下すようチームにプレッシャーがかかること
- 不正審査、本人確認、セキュリティ運用の連携がより密接になること
なぜ不正対策チームに攻撃的な脅威インテリジェンスが必要なのか
この議論の中で最も重要なポイントの一つは、防御だけでは不十分だということです。詐欺対策チームは、攻撃が本番環境を直撃してから対応を考える、というわけにはいきません。犯罪者たちが何を構築し、共有し、テストし、販売しているのかを可視化する必要があります。
そこで、不正対策チームのための攻撃的な脅威インテリジェンスが役立ちます。
簡単に言えば、攻撃者側から学ぶということです。ツールやフォーラム、ワークフロー、そして不正行為があなたのプラットフォームに本格的に現れる前に、その進化を示すシグナルを監視することを指します。誰かがそれを称賛したいからではありません。むしろその逆です。優れたチームには状況を理解するための文脈が必要だからです。
この手口はこれまでも何度も見てきました。攻撃者の手口を早い段階で理解すればするほど、防御策はより効果的になります。
そのインテリジェンスは次のことを支援できます。
- 新たなフィッシングやなりすまし手法へのより迅速な対応
- 既知の不正自動化リスクに対するルール設定の最適化
- AI を活用した不正をリアルタイムで検知するための、よりスマートな優先順位付け
- 損失が急増する前にAI脅威へ迅速かつ的確に対応できる不正対策リーダー体制の強化
現代の不正対策スタックに今求められているもの
一度立ち止まって考えてみましょう。
どんなツールも、それひとつでAI不正の急増を解決することはできません。正直なところ、たいていこのあたりからマーケティング文句が怪しくなってきます。だからこそ、ここでは現実的な話をしましょう。
うまく対応できるチームというのは、たいてい強固な基盤と柔軟なレイヤーを持っています。1つのモデルだけではない。1つのルールエンジンだけでもない。1つの本人確認だけでもないのです。
AIによる脅威に対応するための最新の不正対策スタックは、次の要素を組み合わせる必要があります。
- AI不正対策のための行動バイオメトリクス
- ログイン、オンボーディング、支払いフロー全体にわたるAIを悪用した不正行為のリアルタイム検知
- 強力な本人確認およびデバイスのシグナル
- ボット対策と不正行為のオーケストレーションに対応するアダプティブ制御
- 優れたインテリジェンスに基づき、単なる件数ではなく質を重視した人による審査ワークフロー
そして、AI 対 AI の不正検知は今後ますます一般的になっていきます。不正対策チームは、自動化に対抗するために自動化を活用するようになるでしょう。それは理にかなっています。ただし、うまく機能するのは、その根底にある戦略がしっかりしている場合だけです。そうでなければ、単に混乱が速くなるだけです。
不正対策のリーダーが次に取るべき行動
不正対策チームを率いているのであれば、この議論の本質は「どれだけ備えができているか」という点にあります。
慌てる必要も、騒ぎ立てる必要もない。ただ備えることだ。
銀行詐欺の動向は、AIの活用や、より広範なフィンテックにおける不正防止戦略に関する課題とともに、すでに「議論の段階」から「実行の段階」へと移行しつつあります。攻撃を仕掛けるコストはどんどん下がり、検知に使うシグナルはどんどんノイズが増えています。そして、サイバー悪用と不正悪用の境界線は、ますます曖昧になっています。
では、今チームは何に注力すべきでしょうか？
まずは、今もなお重要であり続ける基本から取り組みましょう。強固で多層的なコントロールを整備し、可視性を高め、社内でのデータ共有を改善し、不正対策とセキュリティ部門の連携を強化することです。そのうえで、そうしたコントロールが、巧妙に変化する不正攻撃やAIを駆使した詐欺行為に対して本当に通用するのか、ストレステストで検証してください。
ここでのポイントはとてもシンプルです。
AIを悪用した不正行為の急増は、新しいツールが出てきたという話だけではありません。これは、新しい前提で動く環境そのものの変化です。よく知られた不正パターンが、これまで以上のスピードで拡大し、より巧妙に隠れ、より速いペースで進化していく──そして多くのチームが、その変化にまだ十分に備えられていない、そんな環境なのです。
だからといって、不正対策チームが無力というわけではありません。むしろ、対応をより鋭くしていく必要があるということです。
そして、それは重要なことです。
