51 min
やあ、フロードファイターのみんな。Fraudologyへようこそ。
今回のエピソードは、マイアミのホテルの一室で、Mastercard Risk X Summit に参加している最中に収録しました。扱っているテーマを考えると、この場所は正直かなりしっくりきます。というのも、このエピソードでは、不正がこれからどこへ向かうのか、犯罪者たちがどれだけのスピードでそれを“プロダクト化”しているのか、そして消費者保護やKYC、小売における不正・悪用対策の仕組みが、なぜ今同時にプレッシャーを受けているのかについて、深く掘り下げているからです。
そこで今日は、サービスとしての不正（fraud-as-a-service）、世界的な詐欺リスクのトレンド、英国におけるAPP詐欺の補償制度、そしてTargetの返品ポリシー変更について掘り下げていきます。一見すると、これらはまったく別々の3つの話に聞こえるかもしれません。しかし、よく見てみると、どれも本質的には同じテーマを扱っています。不正行為は、仕組み化しやすくなり、スケールさせやすくなり、その後始末をしなければならない人たちにとっては、どんどん高くつくものになっているのです。
それこそが重要な部分です。
一見すると「サービスとしての不正行為」というのは、サイバー犯罪が実際よりも組織立っているように聞こえる、よくある決まり文句のひとつに思えるかもしれません。しかし詳しく見ていくと、これは今起きていることをかなり正確に言い表しています。犯罪者たちはサービスレイヤーを構築し、アクセスを販売し、ツールを共有し、身元情報パッケージを提供し、KYCや銀行の防御策、小売業者のポリシーの隙を突く方法を互いに教え合っています。かなりあからさまな動きです。
それが実際にはどういうことかというと、次のとおりです。
- Fraud-as-a-service によって、Telegram の詐欺グループやその他のデジタル詐欺マーケットプレイスを通じて、高度な不正行為がより容易に行えるようになっています
- 真正な身分証明書の不正利用により、深刻なKYC書類詐欺と身分証明書の悪用問題が発生しています
- 英国のAPP詐欺返金ルールは被害者の救済には役立つ可能性がある一方で、第一者不正リスクに関する懸念も引き起こしています
- ターゲットの返品ポリシーの変更は、小売業者が返金悪用の防止にこれまで以上に積極的に対応せざるを得なくなっていることを示している
- 国ごとの詐欺リスクは、犯罪行為の状況と、消費者保護がどれだけ弱いか強いかによって左右される
このエピソードでお届けする内容
- Telegram の詐欺グループやサイバー犯罪サービスの内部で、Fraud-as-a-Service がどのように機能しているのか
- なぜ本物の身分証明書の不正利用がKYCおよびオンボーディング担当チームにとって大きな問題となっているのか
- 英国のAPP詐欺の被害者、銀行、不正対策チームに影響を与え得る補償ルールの変更点
- ターゲットの返品ポリシーの変更が、小売業者の返品詐欺対策をめぐるより大きな議論の中でどのような位置づけになるのか
- 世界的な詐欺リスクの動向が、なぜ米国が消費者詐欺による損失の不均衡な負担を負っていることを示しているのか
このエピソードは次のような方におすすめです
- 不正対策、リスク管理、トラスト＆セーフティ、またはコンプライアンスの分野で働いており、fraud-as-a-service についてより明確で深い理解を得たい方
- KYC書類の不正利用や本人確認書類の悪用がどのように進化しているのかを理解する必要がある
- 銀行詐欺の補償ルールと、それが詐欺のインセンティブにどのような変化をもたらすかに関心がある
- 加盟店の不正防止を支援し、返品ポリシーが不正に与える影響についての見解を求めている
- eコマースにおける不正行為のニュースを追いかけ、実際の見出しと結びついた実践的な不正トレンド分析を求めている
このエピソードを気に入っていただけたら、ぜひiTunes、Spotify、YouTube、またはお使いのポッドキャストアプリで購読とレビューをお願いします。番組を多くの方に知ってもらううえで本当に助けになります。
エピソードの概要と主なポイント
なぜ「サービスとしての不正行為」がこれほど大きな問題なのか
これを分かりやすく説明しましょう。
かつて詐欺を行うには、多くの場合、より高度な個人のスキルが必要でした。もちろん、いつもそうだったわけではありませんが、たいていはもっと摩擦があり、試行錯誤も多く、技術的な知識もより求められ、物事を理解するのにもっと時間がかかっていました。
それは変わりつつあります。
Fraud-as-a-service は、不正行為のプロセスの一部を商品やサービスに変えることで、参入障壁を下げています。ある者は盗まれたデータを販売し、別の者はアカウントへのアクセスを提供します。さらに別の者は KYC 回避の手口を教え、別のグループはスクリプトやインフラ、資金洗浄ルートの構築を専門としています。こうして、すべてを一人の高度な犯罪者がこなす必要はなくなり、犯行マニュアルの一部を売る、半ば専門特化した人々のネットワークさえあればよくなるのです。
それは問題です。
なぜなら、一度不正行為がモジュール化されると、その拡大スピードははるかに速くなるからです。そして、Telegram のようなプラットフォームは、Telegram 上のサイバー犯罪サービスや詐欺グループが、宣伝や人材募集、連携を行うことを容易にし、多くの人が認めたがらないほど「本物の市場」に近い形で活動できるようにしてしまいました。
ここからが本当に面白くなってきます。
- デジタル詐欺のマーケットプレイスの動きにより、専門的な不正行為がより簡単に売買できるようになっている
- 戦術が急速に広まるため、オンライン詐欺に関するインテリジェンスの重要性が高まっている
- 新たな不正行為者は、自分で開発しなくても高度なツールにアクセスできるようになっている
- 不正対策チームは、もはや即興で動く単独の詐欺師だけを相手にしているわけではありません
本物の身分証明書の不正利用がKYCの前提を崩す仕組み
このエピソードで最も重要な話のひとつは、本物の身分証明書がKYCをすり抜けるために悪用されているという点です。これは、多くのチームがいまだにイメージしている「一目で偽物と分かる書類」の問題とは、まったく性質の異なる課題です。
一見すると、KYC書類の不正といえば偽造された身分証や雑な改ざん、偽物のテンプレートを思い浮かべます。そうしたものは今も存在します。しかし、本物の身分証明書が悪用されると、話はまったく別の次元になります。
実際に起きているのはこういうことです。
犯罪者は、実在の人物に紐づいた本物の書類を使うことがあります。盗まれたものだったり、強要されて提供されたものだったり、闇ルートで入手されたものだったりします。つまり、その書類自体は目視の確認を通過してしまうかもしれません。本物である可能性もあります。不正は、書類そのものではなく、その文脈や所有権、意図、あるいはそれを提示している人物の側に潜んでいるのです。
それが重要なのです。
本人確認書類の不正利用は、書類が本物かどうかの確認を中心にワークフローが組まれていて、人物や行動、その周辺のシグナルが整合しているかを十分にチェックできていない場合、発見するのがはるかに難しくなります。
不正対策チームは次の点を検討すべきです：
- 私たちは所有権まで検証しているのか、それとも書類の真正性だけを確認しているのか
- 本人確認において、ライフネス（生体存在確認）、デバイス、行動はどのような役割を果たしますか
- 本物の書類が再利用されたり、不正に悪用されたりする可能性はどの程度あるか
- KYC管理とより広範な不正の兆候との間に、どこにギャップがありますか
これはまさに犯罪者が狙う種類の脆弱性です。書類上では機能していても、現実の運用では十分に機能していない管理体制なのです。
英国で変更される可能性のある払い戻し規則
英国におけるAPP詐欺の補償をめぐる動向は、特に注目に値するもう一つの事例です。
一方で、被害者に対して一定額までの返金を義務づける銀行詐欺の補償ルールは、明らかに消費者保護の強化を目的としたものです。これはとても重要です。なぜなら、詐欺被害者はあまりにも多くの仕組みにおいて、あまりにも長い間、損失の大部分を負わされてきたからです。
一方で、払い戻しの仕組みがより体系的になると、インセンティブに関する議論も変わってきます。
そこで問題となるのが、一次不正のリスクです。
もし消費者が返金の枠組みがあることを知っている場合、銀行は、誇張したり事実をねじ曲げたり、便乗して損失を主張する人々と、本当に詐欺被害にあった人々とをどのように見分ければよいのでしょうか。その問いは不都合で居心地の悪いものですが、現実の問題です。そして、詐欺対策チームはその問題に向き合わざるを得ません。
だからといって、払い戻し自体が悪いというわけではありません。払い戻しには、強力なオペレーション面での支援が必要だということです。
銀行が必要とするものは次のとおりです。
- より優れた詐欺調査ワークフロー
- より効果的な顧客への警告と介入
- より明確な証拠基準
- 実際の被害と補償制度の不正悪用をより明確に区別するための、より強力な手段
なぜなら、仕組みが一方にだけ甘くなると、犯罪者や悪用しようとする人たちはそれに気づきやすいからです。
なぜターゲットの返品ルールの変更が重要なのか
ターゲットの返品ポリシーの変更は、KYC の悪用や詐欺被害の補償ルールほど劇的には聞こえないかもしれません。しかし、小売業者たちはその重要性をよく理解しています。
返金悪用の防止は、損失が無視できないほど大きくなるまで軽視されがちな問題の一つです。そしてある日突然、返品や返金、ポリシーの抜け穴、カスタマーサービスのグレーゾーンが、いかに莫大なコストになり得るかを皆が思い出すのです。
この手口は以前にも見てきました。
小売業者は顧客体験をスムーズに保とうとします。その裏で不正行為がどんどん増えていきます。社内では不満や摩擦が高まっていき、やがて方針が変更されると、人々はまるで突然降って湧いた話のように受け止めるのです。
たいていは、そうではありませんでした。
ターゲットの返品ポリシーの変更が重要なのは、小売業者の返品詐欺対策が「任意」ではなく「必須」になりつつあることを示しているからです。そしてそれは、1社の事業者をはるかに超えた影響を持ちます。他の小売業者も同じ傾向を注視しています。ポリシーの悪用。着用してからの返品（ワードロービング）。虚偽の申告。常習的な返品者。返金操作。すべてが問題になっているのです。
ここでの重要なポイントはシンプルです。
- 返品ポリシーを悪用した不正の影響は現実的であり、積み重なっていきます
- 小売業者は、業務上のコストとして不正行為を受け入れることに、これまでほど前向きではなくなってきている
- マーチャント向けの不正防止対策では、決済管理だけでなく、ポリシー管理もますます重視されるようになっている
- 顧客に優しいということは、際限なく悪用されてよいという意味ではありません
なぜ米国は世界で最も詐欺リスクが高いのか
これは、このエピソード全体を結びつけている本質的なつながりです。
なぜアメリカは国別の詐欺リスクでこれほど上位にランクされるのでしょうか？ いくつか理由がありますが、どれもあまり褒められたものではありません。巨大な消費者市場、高いデジタル普及率、膨大な金融取引量、不均一な保護制度、一貫性に欠けるプラットフォームの責任体制。標的となる人は多く、お金の動きも多い。犯罪者が「何が有効か」を試す手段も豊富にそろっているのです。
それは重要なことです。
世界的な詐欺リスクの傾向は、犯罪者がどこにいるかという点だけの問題ではありません。詐欺が成功しやすい条件がどこにそろっているかという点も重要です。米国は、強力なインセンティブが存在し、保護策がしばしば分断されているため、依然として詐欺にとって非常に魅力的な環境となっています。
それは次のような形で表れています。
- 消費者の詐欺被害額が依然として非常に高い
- プラットフォームが不正行為への対応で一貫性を欠いている
- 異なる基準や対応モデルを採用している金融機関
- 数年前に解消されているはずのギャップに対処し続けている不正対策チーム
そうですね。その部分にはすぐにうんざりしてしまいます。
不正対策チームがここから学ぶべきこと
では、詐欺対策担当者はこれらすべてを踏まえて何をすべきなのでしょうか？
まず、「サービスとしての不正行為」を単なる流行語ではなく、ひとつのオペレーティングモデルとして捉えてください。犯罪者が不正行為の専門的な要素を売買しているのであれば、防御側は、より高いスピード、多様性、そして高度な手口へのアクセスが拡大していることを前提に対策を講じる必要があります。
次に、KYC に関する前提をストレステストしてください。正規の書類であっても、悪意のある人間の手に渡れば依然として不正です。もしあなたの管理が「身分証が本物に見えるかどうか」だけで止まっているなら、より大きな問題を見落としている可能性があります。
第三に、払い戻しやポリシーの変更が行動にどのような影響を与えるかに注目してください。銀行の不正行為に対する払い戻しルールや返品ポリシーの更新は、より強力な保護を生み出す一方で、慎重に設計されていない場合には、新たな不正行為の誘因を生み出してしまう可能性もあります。
そして最後に、常にカテゴリーをまたいで目を配り続けてください。詐欺による損失、KYC の悪用、返金詐欺、プラットフォーム間の連携。これらはもはや別々の世界ではありません。互いに影響し合っています。
なぜなら、犯罪者たちはすでにそれを理解しているからです。
このエピソードが重要である理由
このエピソードの本質は、不正行為がより組織化され、より産業化され、それを食い止めようとする仕組みにとってますます大きなコストとなっている、という点にあります。
はい、これはサービスとしての不正行為も対象としています。
はい、英国での払い戻しの変更も対象に含まれます。
はい、Target の返品ポリシーの変更も対象です。
しかし、より大きなテーマは、不正行為がより成熟したビジネスモデルへと進化し続けている一方で、それに対する多くの防御策はいまだに分断され、後手に回っていたり、対象範囲が狭すぎたりするという点です。
それが問題です。
より良い結果を得るためには、犯罪者がどのように連携しているのか、保護策がどのようにインセンティブを変化させているのか、そして企業が依然として利便性の名のもとにどこに明らかな隙を残しているのかを、より明確に把握する必要があります。
なぜなら、便利さは素晴らしいからです。
犯罪者たちがそれを手口として組織的に産業化するまでは。
