51 min
本日は、不正対策システムをすり抜けるために犯罪者が利用している不正回避ツールや、その一部のインフラについてお話しします。
詐欺師たちは、もはやシステムの脆弱性を悪用しているだけではありません。本人確認、電話番号認証、メールアドレス認証といった各種認証プロセスをすり抜けることを目的とした専用ツールを開発し、利用するようにもなっています。
このエピソードでは、詐欺調査で以前より頻繁に見られるようになっている2つのツールを詳しく解説します。
1つ目は、本人確認を通過できるほど正当なものに見える電話番号に関するものです。もう1つは、不正なアカウントを作成するために必要な間だけ存在し、その後完全に消えてしまうメールドメインに関するものです。
どちらも、現代の詐欺師たちのインフラが進化し、従来型の認証システムをすり抜けようとしていることを示す例です。
このエピソードでお届けする内容
- 不正アクセス回避ツールが、犯罪者による本人確認システムのすり抜けをどのように助長しているか
- なぜTextVerifiedによる電話認証の回避が銀行やフィンテック企業にとって課題となっているのか
- 詐欺師がクリーンな後払い制の電話番号を使って正当な利用者に見せかける手口
- ハイパー使い捨てメールドメインとは何か、そしてそれらをブロックすることがなぜ難しいのか
- 一時的なメールドメインの悪用が、大規模なアカウント作成用不正ツールを可能にする仕組み
- 電話認証ベンダーやメール認証ベンダーと連携することが重要である理由
このエピソードは次のような方におすすめです
- 不正防止に携わっており、不正対策システムの回避手口について理解したい方
- 電話認証やメール認証における不正対策システムを管理する
- アカウント作成詐欺ツールからeコマースプラットフォームを保護する
- 認証回避の試みに対応するフィンテックや銀行のチームを支援する
- 現代の詐欺師のインフラや進化する不正ツールについての洞察が欲しい
このエピソードを気に入っていただけたら、ぜひiTunes、Spotify、YouTube、またはお使いのポッドキャストアプリで購読とレビューをお願いします。番組を多くの方に知ってもらううえで本当に助けになります。
エピソードノートと主なポイント
なぜ不正検知回避ツールはますます高度化しているのか
これを分かりやすく説明していきましょう。
詐欺師たちは常に、認証システムをすり抜けようとしてきました。
しかし、現代の不正検知回避ツールの規模と高度化によって、状況は一変しつつあります。
犯罪者たちは、偽アカウントを手作業で作成したり盗まれた身元情報を使い回したりする代わりに、検知を回避するために設計された専用のインフラを利用するようになっています。
これらのツールは、電話番号やメールアドレス、そして不正検知システムにとって正当なものに見える身元情報を生成します。
それが重要なのです。
なぜなら、ほとんどの認証システムは、正規ユーザーを装うために特別に設計されたインフラではなく、明らかな不正の兆候を検知することを前提に作られているからです。
TextVerified と電話認証詐欺
このエピソードで取り上げられている例の一つが、TextVerified を使った電話認証の回避です。
TextVerified は、アカウント作成や本人確認の際に使用される認証コードを受信できる電話番号を提供します。
問題は、これらの番号が不正検知システムには正当なものとして見えてしまうことです。
場合によっては、在籍期間があり、通常のキャリアシグナルも示している、健全な後払い契約のアカウントのように見えることがあります。
つまり、詐欺に使われる偽の電話番号であっても、銀行やフィンテック企業、オンラインプラットフォームが行う電話番号認証をすり抜けることができてしまうということです。
これらの番号を検知するには、多くの場合、TextVerified のインフラに関連するパターンを特定できる電話番号認証ベンダーとの、より深い連携が必要になります。
超使い捨て型のメールドメイン
もう一つの大きな不正行為の手口として、超使い捨て型のメールドメインがあります。
使い捨てメールアドレスは何年も前から存在していますが、ハイパー使い捨てメールドメインはそのさらに進化した形です。
これらのドメインは、数日間だけ存在してその後完全に消滅してしまう場合があります。
その短い期間のうちに、犯罪者はそのドメインに紐づいた数千件、場合によっては数百万件ものメールアドレスを作成することができます。
この大量生成された不正メールドメインを使う手法により、攻撃者は従来のメールブラックリストを気にすることなく、大量のアカウントを作成できます。
ドメインが消滅すると、そのメールアドレスは追跡やブロックが困難になります。
なぜ認証ベンダーが重要な役割を果たすのか
これらの不正回避ツールに対抗するには、認証プロバイダーとの緊密な連携が不可欠です。
電話認証ベンダーは、不審な番号パターンや通信事業者の異常、既知の不正インフラに関連するシグナルを特定するのに役立ちます。
メール認証ベンダーは、一時的なメールドメインの悪用を検知し、突然出現して大量のアカウントを生成するドメインを特定することができます。
検証ベンダーに定期的に相談することで、企業はこうした急速に進化する不正手口を先回りして対策することができます。
不正対策チームが次に注目すべきポイント
詐欺師たちは、対策をすり抜けることを目的とした新たなインフラを常に試行錯誤しています。
TextVerified の番号や超使い捨てのメールドメインのようなツールは、ほんの始まりにすぎません。
不正対策チームは、新たな迂回手口を特定するために、アカウント作成パターンや本人確認のシグナル、検証結果を継続的に監視する必要があります。
現代の詐欺師が利用するインフラについて常に情報を把握している組織は、こうしたツールの進化に合わせて不正対策を適応させるうえで、はるかに有利な立場に立つことができます。
このエピソードの重要なポイントはシンプルです。
不正アクセスをすり抜けるツールは急速に進化しており、認証システムも同じスピードで進化しなければなりません。
認証ベンダーと連携し、新たに出現する不正インフラを継続的に監視している不正対策チームは、こうした攻撃を検知して阻止する準備をより万全に整えることができます。
常に警戒を怠らず、情報をアップデートし、詐欺対策を前進させ続けましょう。
