ソフトウェア製品の大半は、新規顧客向けに無料トライアルを提供しています。無料トライアルとは、登録した人なら誰でも実際の製品価値を利用できるようにすることです。しかし、登録する人がすべて本当の見込み客とは限りません。中には、偽の ID を次々と使ってトライアル期間を何度もリセットし、無料トライアルを悪用する不正行為者もいます。これを無料トライアルの悪用と呼びます。つまり、有料顧客になる意思がない人物が、トライアル特典を繰り返し不正利用することです。

以下では、無料トライアルの悪用を早期に見つけるシグナル、偽の登録にとどまらないビジネスへの影響、それを阻止する多層的な防止フレームワークについて説明します。

ハイライト

• 無料トライアルの悪用は、解約とは異なる不正利用の問題です。料金を支払わずに継続的な価値を引き出すために、意図的に別の本人情報を次々と使う行為が含まれます。

• 無料トライアルの悪用によるビジネスへの影響には、製品分析のゆがみ、コンピューティングコストの増加、さらにその先の決済不正リスクの高まりが含まれます。

• 効果的な防止には、登録、デバイスインテリジェンス、有効化後の監視にわたる多層防御が必要です。

無料トライアルの悪用とは

無料トライアルの悪用とは、ユーザーが新しいアカウントを作成してトライアル期間を継続的にリセットすることです。新しいメールアドレス、電話番号、その他の認証情報といった偽造 ID や合成 ID を使って新規ユーザーを装い、トライアル期間を最初からやり直します。

一般的な無料トライアルの悪用戦術

不正使用には通常、認識しやすいパターンがあります。具体的な手法はさまざまですが、一般的には次のカテゴリーに分類されます。

• マルチアカウンティング: 最も単純な手口は、異なるメールアドレスを使って複数のアカウントを作成することです。トライアルシステムがそのメールアドレスの過去の使用有無しか確認しない場合、この方法は有効です。

• 使い捨てメールアドレスと合成メールアドレス: 一時的な受信ボックスサービスは、必要に応じて有効なアドレスを生成します。より巧妙な攻撃者は独自ドメインを登録し、基本的な検証を通過するアドレスを無制限に生成します。

• 本人情報の使い分け: 検出を避けるため、ユーザーは名前、電話番号 (VoIP サービスを使う場合もあります)、請求先住所などの本人情報を使い分けます。実在するデータの一部を組み合わせて、自動チェックでは正当とみなされる合成 ID を作成するケースもあります。

• 自動登録ボット: スクリプトは、登録フローを自動的に完了し、簡単な CAPTCHA を解いて、トライアルを有効化できます。各登録がレジデンシャルプロキシネットワークを経由すると、別のデバイスや場所からのアクセスであるように見えます。

• 確認の回避: メール確認は一時的な受信トレイを使って回避でき、SMS 確認は仮想番号サービスを使って突破されることがよくあります。

• 登録後の API の直接利用: API 主導の製品では、トライアルアカウントは API キーを生成するためだけに必要な場合があります。いったん発行されると、そのキーは失効するかレート制限が適用されるまで、お客様のエンドポイントに対して直接使用できます。

無料トライアル悪用の初期兆候

悪用を証明できる単一のシグナルはありません。通常、検出はリスク指標を積み重ねて行います。シグナルが多いほど、そのアカウントが悪用目的である可能性は高くなります。

特に注意すべきポイントは次のとおりです。

• 共有インフラストラクチャからの登録の集中: 同じインターネットプロトコル (IP) アドレス、IP 範囲、またはネットワークプロバイダーから短時間に複数の登録がある場合、共有インフラストラクチャの強い兆候です。データセンターやバーチャルプライベートネットワーク (VPN) の出口ノードは、特によく見られる発信元です。

• 不審なメールドメイン: 使い捨てメールのプロバイダーは、ドメインブロックリストを使えば簡単に検出できます。ドメインの経過年数も手がかりになります。登録から数日しか経っていないドメインで作成されたアドレスは、合成 ID を示していることがよくあります。

• デバイスフィンガープリントの再利用: 無関係だとされる 2 つのアカウントが、同じブラウザフィンガープリントを共有することはめったにありません。キャンバスシグネチャ、インストール済みフォント、プラグイン、デバイス特性の組み合わせが繰り返し現れる場合、別々に見えるアカウント同士を関連付けられることがあります。

• 初期セッションにおける異常な行動: 正当なユーザーは通常、まず製品を試します。一方、不正行為者は、トライアルを有効化してから数秒以内に、最も価値の高い機能や API エンドポイントに直接向かうことがよくあります。

• 期限切れアカウントにひも付くトライアルパターン: あるトライアルの終了直後に新しいトライアルが始まり、両方のアカウントがインフラストラクチャ、デバイス、または ID シグナルを共有している場合は、トライアルの繰り返し利用の強い兆候です。

• 決済関連のシグナル: 登録時に決済情報を収集する場合、プリペイドカードの利用、カードの国と IP 位置情報の不一致、または複数の登録で同じカードが短期間に再利用されていることなどは、リスクを示す可能性があります。

偽の登録以外で無料トライアルの悪用がビジネスに及ぼす影響

トライアルの悪用による被害はさまざまな形で積み重なります。ここでは、トライアルコホートに偽のユーザーが含まれている場合の実際のビジネスへの影響を紹介します。

インフラストラクチャと API コスト

トライアルにリソースを大量に消費する機能、特にコンピューティング、ストレージ、AI 推論が含まれている場合、不正行為者はそれらを集中的に利用します。AI 企業は、トライアルの悪用に直接起因するインフラコストの急増を報告しており、場合によってはクラウド支出が予想外に跳ね上がって初めて問題に気付くこともあります。

ゆがめられたプロダクト分析

トライアルの悪用により、プロダクト指標がゆがめられます。ユーザーの大半が本当の評価目的ではない場合、アクティベーション率、機能採用率、価値実感までの時間は、いずれも実際より悪く見えます。チームは誤解を招くデータに基づいてプロダクトの意思決定をしてしまう可能性があります。

サポート負荷

悪用は、登録の失敗、不正利用アラート、調査が必要な請求の問題などにより、サポート体制を混乱させることがよくあります。

決済不正利用リスクの増加

トライアルの悪用は、決済不正利用に先行することがよくあります。トライアルアカウントでシステムを試した不正行為者は、登録フローの挙動を把握した後、盗んだ決済認証情報を使って取引を試みる可能性があります。

効果的な無料トライアル不正防止フレームワークの構成要素

無料トライアルの悪用を防ぐ効果的なアプローチは、多層防御です。それぞれの対策によってシステムを回避するコストを引き上げ、最終的に悪用する価値がなくなるようにする必要があります。

効果的な防止フレームワークの構成要素は次のとおりです。

登録時のリスクスコアリング

トライアルを有効化する前に、メールレピュテーション、IP リスク、デバイス特性、行動パターンなど、複数のシグナルを組み合わせて評価します。最新の不正検知 API は、正当なユーザーの負担を最小限に抑えながら、これらのスコアをミリ秒単位で返すことができます。

デバイスインテリジェンス

デバイスフィンガープリントは、メールアドレス、IP、本人情報が変わっても、同じブラウザやデバイスから作成されたアカウント同士を関連付けるのに役立ちます。

段階的な摩擦の導入

すべてのユーザーにハードルを追加するのではなく、リスクシグナルがしきい値を超えた場合にのみ、追加の確認を導入します。たとえば、実在するモバイルキャリアの番号による確認を求めれば、多くの自動登録を防ぐことができます。

レート制限

1 つのトライアルアカウントが引き起こせる被害を制限します。API のレート制限と利用上限により、悪用に成功したアカウントであっても、無制限に価値を引き出すことはできません。

トライアル中の行動監視

登録後の分析により、疑わしい使用状況パターンを特定し、トライアル期間を完全に悪用する前にアカウントを一時停止できます。

Stripe Radar による決済リスクシグナル分析

トライアル登録時に決済情報を収集する場合、Stripe Radar の機械学習モデルが、その取引を Stripe のネットワーク全体から得られるシグナルと照らし合わせて評価します。ほかの場所で不正行為に関連付けられたカードは、初めて確認するものであっても、登録フローでは高いリスクを伴います。

無料トライアル悪用と他の登録不正やサブスクリプション不正リスクとの関連

無料トライアルの悪用が単独で発生することはほとんどありません。同じインフラストラクチャや手口は、他の不正の類型にもよく見られます。

無料トライアルの悪用との関連は以下のとおりです。

• 新規アカウント不正利用: トライアルでの悪用に使用される使い捨てメール、仮想番号、住宅プロキシネットワークは、より広範な偽アカウント作成やアカウント乗っ取りの準備でもよく見られます。

• プロモーションの悪用: クレジット、紹介ボーナス、割引など、登録にひも付くインセンティブは、トライアルの悪用で使われるのと同じ複数アカウントの手口に対して脆弱です。トライアルの悪用に対処している企業は、多くの場合、プロモーションの引き換えフローも同時に強化しています。

• API の悪用: トライアルアカウントを通じて API 認証情報を取得すると、監視や失効のプロセスがない場合、トライアル期間終了後も引き続き使用される可能性があります。

Stripe Radar でできること

Stripe Radar は、Stripe のグローバルネットワークのデータを基に学習した AI モデルを活用し、不正利用を検知・防止します。最新の不正利用の傾向に応じてモデルを常に更新し、不正利用の進化から事業を守ります。

Stripe はこのほか、Radar for Fraud Teams も提供しています。自社ビジネス特有の不正利用シナリオに対応するカスタムルールを追加でき、高度な不正利用分析情報にアクセスできます。

Radar はビジネスを次のように支援します。

• 不正利用による損失の防止: Stripe は年間 1 兆ドルを超える決済を処理しています。この規模により、Radar は不正利用を正確に検知・防止し、コスト削減に貢献します。

• 収入の向上: Radar の AI モデルは、実際の不審請求の申し立てデータ、顧客情報、閲覧データなどに基づいて学習されます。これにより、Radar はリスクの高い取引を特定し、誤検知を減らして、収入の増加につながります。

• 業務効率化: Radar は Stripe に組み込まれており、設定のためのコーディングは一切不要です。1 つのプラットフォームで不正利用への対応状況の監視やルールの作成などができるため、業務効率が向上します。

Stripe Radar について詳しくはこちら。または今すぐ始める。