51 min
今日は、なりすましと実在の情報を組み合わせて作られる「シンセティックID（合成ID）詐欺」について、そしてそれがなぜ金融機関にとって、早期発見と継続的な防止が最も難しい課題の一つであり続けているのかについてお話しします。
今回のエピソードでは、SentiLink の不正インサイト部門の責任者であり、この分野で詐欺師の手口を直接詳しく観察している人物の一人であるデイビッド・マイモン氏との「Banking on Fraudology」での対談を振り返ります。これは重要なテーマです。というのも、合成ID詐欺は一見すると単純そうに聞こえるものの、実際の仕組みに踏み込むと途端に複雑で厄介になる問題だからです。
一見すると、シンセティックIDは、よくある「偽の申込者」の問題に見えるかもしれません。しかし、深く掘り下げてみると、話はそれほど単純ではありません。詐欺師たちは本物と偽物の情報を組み合わせ、時間をかけて架空の人物像を作り上げ、多くの金融機関がいまだに塞ぎ切れていない本人確認の抜け穴を悪用しています。場合によっては、そのプロフィールは情報が薄いものの、もっともらしく見えます。別の場合には、ファイルの一部に使われている本物の人物が、自分の情報が悪用されていることにまったく気づいていないため、一見とてもクリーンに見えてしまうのです。
そして、それは重要なことです。
なりすましによるシンセティックID詐欺は、単に貸倒損失を生むだけではありません。混乱を生み、見落としを生み、本人確認を通過して履歴を積み上げ、後になって異議を唱えるほど高くつくような「本物らしく見える」ケースを生み出します。今回のエピソードでは、ファーストパーティ型シンセティックID、サードパーティ型シンセティックID、ダークウェブ上のIDマーケットプレイス、架空企業を使ったシンセティック詐欺、そしてAI生成のID詐欺が本当にゲームチェンジャーになる部分と、そうではない部分についても取り上げます。
銀行の不正防止、オンボーディング、本人確認（アイデンティティ）、あるいはリスク管理に携わっているなら、これは「本人を確認して終わり」という従来のやり方ではもはや不十分である理由を理解するのに役立つ、そうした会話のひとつです。
このエピソードでお届けする内容：
- なりすまし型の身元詐欺が、他の種類の個人情報悪用と異なる点
- 一次当事者型のシンセティックIDと第三者型のシンセティックIDが、金融機関に対してどのように異なるリスクを生み出すのか
- ダークウェブの身元マーケットプレイスから見える、犯罪者がどのように盗まれたデータを入手し、偽の人物像を作り上げているのか
- なりすまし検知（ライフネスチェック）の回避やAI生成による本人確認詐欺が注目を集めているものの、依然として大きな制約がある理由
- 不正対策アナリストによる脅威リサーチとダークウェブの不正インテリジェンスが、チームの最新手口へのキャッチアップをどのように支援するか
このエピソードは次のような方におすすめです。
- 銀行の不正防止、オンボーディング、アイデンティティリスク、または金融機関の不正管理に携わっている
- 合成IDの検知と合成口座開設詐欺について、より明確に理解したい方
- 損失が拡大する前に、合成IDを検知するためのより効果的な方法が必要です
- 本人確認の抜け漏れやシンセティックプロフィールのリスクシグナル、そして新たに台頭するシンセティック詐欺のトレンドを重視している
- 不正対策チームは現場感を失わず、犯罪者が実際にどのように行動しているかに常に密着している必要があると考えている
このエピソードを気に入っていただけたら、ぜひiTunes、Spotify、YouTube、またはお使いのポッドキャストアプリで購読とレビューをお願いします。番組を多くの方に知ってもらううえで本当に助けになります。
エピソードノートと主なポイント
メモの内容に踏み込む前に一つだけお伝えしたいのですが、マーケティングチームから「人がこのポッドキャストを見つけやすくするには、メモをある程度決まった形で構成する必要がある」と言われました。以下は、そのための要素が少し入っています。
なぜシンセティックID詐欺は依然として銀行業界で最も難しい問題の一つなのか
これを分かりやすく説明しましょう。
シンセティックID詐欺が厄介なのは、完全な偽物にも、完全に盗まれたものにも見えないことが多いからです。本人情報の一部は審査を通るほど本物らしく見える一方で、他の部分は作り物だったり、改ざんされていたり、つぎはぎされていたりして、時間の経過とともに全体のプロフィールが本物のように見えるように仕立てられているのです。
それこそが、チームが重視すべき点です。
なりすまし犯は、完璧な身元情報を作る必要はありません。最初のいくつかの審査を通過できる身元さえ作れればよいのです。一度それを通過してしまうと、金融機関などの側が気づかないうちに、そのファイルを強化する手助けをしてしまうことがあります。口座が開設され、取引履歴（トレードライン）が作られ、少しずつ履歴が積み上がっていきます。そうしているうちに、その合成されたプロフィールは、まるでシステム自体が信頼性を与えたかのように、より信用できるものに見えてしまうのです。
それはたいてい、良い結果にはなりません。
これは、多くの機関がシンセティックID詐欺に悩まされ続けている理由の一つです。従来の管理手法は、多くの場合「この人物は本物か偽物か」という、より単純な問いに答えるために作られています。しかし、シンセティックIDはその枠組みを壊すために作られています。本物と偽物のあいだのグレーゾーンに居座るよう、意図的に設計されているのです。
それが業務上重要となる理由は次のとおりです。
- シンセティックID詐欺は、本人確認のリスクが「明らかに正当」か「明らかに不正」かのどちらかであることを前提とした仕組みの隙を突きます
- 合成アカウント開設による不正は、プロフィールが完璧だからではなく、十分にもっともらしく見えるために成功することが多い。
- 合成IDが金融機関での利用履歴を積み始めると、本人確認の抜け穴によるコストはさらに高くつくようになります
- 金融機関自体が意図せずシンセティックファイルを強化してしまうと、不正防止対策は一層困難になる
一次当事者型と第三者型のシンセティックIDの違い
実際にはこのようなことが起きています。
この会話で最も有益な点の一つは、デイビッド・マイモンが、ファーストパーティのシンセティックIDとサードパーティのシンセティックIDの違いを丁寧に解きほぐして説明しているところです。両者は互換的に使える概念ではなく、その区別には重要な意味があるからです。
第三者によるシンセティックIDは、多くの不正対策チームがすでにイメージしているものに近い存在です。詐欺師は、本物の情報と偽の情報を組み合わせて、他人のデータを全部または一部利用したシンセティックなプロフィールを作り上げます。そこには、正規の社会保障番号、でっち上げられた氏名、改ざんされた住所履歴、あるいは盗まれた個人情報マーケットから寄せ集めた要素などが含まれる場合があります。
ファーストパーティのシンセティックIDは性質が異なります。
それらにはしばしば、実在の人物が自分自身のアイデンティティの一部を偽ったり作り替えたりして、意図や所有権、責任の所在について混乱を生じさせることが含まれます。プロフィール自体は引き続き操作される可能性がありますが、その人物とアイデンティティとの関係性は異なります。そして、その違いが対応方針の判断をはるかに複雑なものにし得ます。
そうですね。
意図の分類が難しくなると、その案件自体の判断も同じように難しくなります。
- ファーストパーティの合成IDは、従来のサードパーティ不正とは異なる調査および責任の課題を生み出します
- 第三者によるシンセティックIDは、多くの場合、盗まれた個人情報の闇市場や、本人情報の改ざんにより直接的に依存しています
- チームがこれらのカテゴリーを分けて扱い、すべてのシンセティックを同じものとして扱わないようにすると、シンセティックIDの検知精度は向上します
- 実際に確認している合成的な行動の種類に合わせて管理策を調整することで、合成ID詐欺をより効果的に防止できます
ダークウェブ上の身元マーケットから見える供給側の実態
ここからが本当に面白くなってきます。
デイビッドはダークウェブ上の身元売買マーケットと、盗まれたデータを取り巻くより広範な犯罪経済について掘り下げていきます。これは重要なポイントです。なぜなら、合成ID詐欺は真空状態で起こるものではないからです。その土台となる情報は広く出回っています。氏名、生年月日、社会保障番号、身元情報の断片。完全なデータセットが出回ることもあれば、使い物になる偽の身元を作るのに十分な断片的データが出回ることもあります。
それは問題です。
なぜなら、不正行為者が正当な企業がツールを購入するのと同じ感覚で、身元情報の要素を「買い物」できるようになると、合成不正ははるかに拡大しやすくなるからです。さらに、状況に合わせてカスタマイズすることも容易になります。不正行為者は、必ずしも一人分の完全な盗まれた身元情報を必要としません。信頼できる要素を一つ据えて、その周りに偽のペルソナを作り上げるのに足りるだけの、現実のデータがあればよいのです。
それが、ダークウェブ上の不正行為に関するインテリジェンスが非常に重要とされる理由の一つです。これは、玄関先に現れている攻撃そのものだけでなく、その背後にあるサプライチェーンを理解するのに役立ちます。データがどこから来ているのか、どのように束ねられているのか、金融機関に対するどのような不正手口について犯罪者たちが公然と議論しているのか、そしてどの手法が内部統制よりも速いペースで進化しているように見えるのかを把握する助けとなるのです。
- ダークウェブ上の身元マーケットプレイスにより、合成プロフィールの作成はより容易かつ大規模に行えるようになっています
- 盗まれた個人情報の闇市場は、犯罪者に偽の人物像を作り出すための原材料を提供している
- ダークウェブ上の不正行為に関するインテリジェンスは、実際にどのように合成IDが作り上げられているのかをチームが理解するのに役立ちます
- 不正対策アナリストによる脅威リサーチは、不正行為者がどのように本人情報の要素を入手し、テストしているかを含めて調査することで、より強力なものになります
なぜAIとライブネス回避が重要なのか、しかしそれだけが全てではないのか
現在、AIによって生成されたなりすまし（ID詐欺）や、ライブネスチェックの回避について多く語られています。その懸念の一部は正当なものですが、中には行き過ぎているものもあります。
ここでデイビッドが指摘している点はとても重要です。AI は、不正行為者がプロセスの特定の部分を行うのを手助けすることができます。書類を体裁よく整えることもできますし、合成的に見える証拠物を作り出すこともできます。プレゼンテーションをもっとそれらしく見せることもできますし、オンボーディングのフローをストレステストするのにも役立つかもしれません。しかし AI には今なお、金融機関などが確認するあらゆるシグナルに対して破綻しない、完全な現実世界の履歴を魔法のようにでっち上げることはできません。
それが重要なのです。
なぜなら、チームが「AI」という言葉を聞くと、あらゆる管理策がすぐに時代遅れになったと考えてしまうことがあるからです。ですが、それは正しい受け取り方ではありません。より適切な理解は、AIは詐欺師が一部のシンセティックスキームを加速させるのに役立つかもしれないものの、本質的な課題は依然として、その金融機関が提示されているストーリーに疑問を投げかけられるほど、そのプロファイルを深く理解しているかどうかにかかっている、という点です。
ライブネスチェックの回避も、その議論の一部です。確かに、本人確認をすり抜けるために生成系ツールを使おうとする試みがありますし、その手口はますます巧妙になっています。しかし、それでも最終的なファイル全体として筋が通っていなければなりません。機関が適切なポイントを確認しているのであれば、そのプロフィールはより広範な審査を乗り越えられる必要があります。
- AI生成によるなりすまし詐欺は、詐欺師の見せ方を向上させることはできても、実際の履歴を置き換えることはできない
- 機関が1つの認証レイヤーに過度に依存している場合、なりすましによるライブネスチェックの回避試行が最も重要な問題となる
- シンセティックプロファイルに関するリスクシグナルは、単一のチェックポイントではなく、本人確認の全体的なストーリーを通して評価する必要があります
- 金融機関の不正対策は、AIが不正行為を高度化させる可能性を想定すべきだが、そのすべてをAIで説明できると決めつけるべきではない。
なぜ不正対策の現場では、今もなお泥臭い作業が重要なのか
この会話で最も重要なテーマの一つは、不正対策チームは現場に深く関わり続けなければならないという考え方です。そして正直なところ、それはまさにその通りです。
なりすましの一種であるシンセティックID詐欺は変化のスピードが非常に速く、チームは古いプレイブックや四半期ごとのサマリー、きれいに整えられたベンダー資料だけに頼るわけにはいきません。戦術の最前線に張り付き続ける必要があります。ダークウェブでのやり取りに近い位置にいること。IDがどのように作られ、テストされているのかという変化に近い位置にいること。現場のアナリストたちが実際に目にしているシグナルに近い位置にいることが重要です。
それが仕事です。
そしてそれは、受動的なプログラムと適応的なプログラムを分ける要素でもあります。学び続ける組織は、新たに現れつつある合成不正のトレンドが大きな損失へと完全に成熟してしまう前に、それを見抜ける可能性がはるかに高くなります。一方で、学ぶことをやめた組織は、多くの場合、安定性と安全性を取り違えてしまうのです。
それらは同じものではありません。
このエピソードは、不正対策の戦略が単により強力なコントロールを購入することだけではないという、良い思い出させてくれるものです。重要なのは、常に好奇心を持ち、最新の情報を把握し、現場で実際に使われている手口に十分近いところにいて、環境の変化に気づけるチームを築くことです。
- 不正アナリストによる脅威リサーチは、最新の犯罪行動と結びついているときに最も有用です
- 現場から学び続けるチームほど、新たに台頭する合成不正の傾向を見抜きやすくなります
- 金融機関の不正対策は、アナリストが不正が実際にどのように構築されているかを理解していると、より効果的に機能します
- シンセティックID詐欺への対策には、一度きりのポリシー更新ではなく、継続的な探究心が求められます
このエピソードから得られる最大のポイントは、きわめてシンプルです。シンセティックID（合成ID）詐欺は、本人性・意図・認証のグレーゾーンを突くため、金融機関が直面する最も複雑な課題の一つであり続けています。ファーストパーティ型シンセティック、サードパーティ型シンセティック、ダークウェブ上のIDマーケットプレイス、そしてAIを活用した手口などが、さらに複雑さを増しています。しかし、実際に詐欺がどのような仕組みで構築されているのか、そのメカニズムに常に近いところで向き合っているチームは、はるかに早い段階で不正を検知し、的確に対応できるようになります。
