無料トライアルは、新しいユーザーが AI 製品や SaaS (Software-as-a-Service) 製品をテストするのに役立ちます。しかし、悪意のある者がそれを悪用する可能性があり、企業に実質的な影響を及ぼします。SaaS 製品の場合、無料トライアルの悪用はファネル指標の歪みやサポート負荷の増大につながります。AI 製品の場合、コンバージョンに至らないアカウントが、コンピューティング、トークン、API クレジットなどの実際のインフラストラクチャーの費用を消費することを意味します。

以下では、登録時の防止レイヤーを使用して無料トライアルの悪用と戦う方法、悪用の可能性を示す動作を認識する方法、コンバージョンを失うことなく無料トライアルの悪用を防止するその他の方法について説明します。

主なポイント

• AI 製品の無料トライアルの悪用は、インフラストラクチャーコストに直接影響します。入力を補完したり出力を生成したりするトライアルセッションごとに、コンピューティングが使用されます。

• 登録時の段階的な管理 (ボット検出、メール検証、決済手段の収集など) により、悪用が始まる前に防止できます。

• すべてを一度に行うのではなく、段階的に管理を展開することで、コストの発生を抑えながらコンバージョン率を保護できます。

無料トライアルの悪用とは

無料トライアルの悪用とは、コンバージョンする意図がないにもかかわらずトライアルにアクセスすることです。従来の SaaS において、悪用には通常、1 人のユーザーや組織が複数のアカウントを作成して、トライアル期間を過ぎてもアクセスを延長したり、支払いの要件を回避したり、有料枠の背後にある機能にアクセスしたりすることが含まれます。大規模な場合、この種の悪用は有料ユーザーのパフォーマンスを低下させ、ファネル指標を歪めます。

AI 製品の場合、無料トライアルの悪用によって企業にコストがかかるインフラストラクチャーが消費されます。トライアルセッションごとに実際のコンピューティングが消費されます。トライアルで 1 万トークンが提供され、誰かが 200 個のアカウントを作成した場合、その人は 200 万トークンの費用を支払わずに使用していることになります。

他の種類の悪用も考えられます。無料トライアルの悪用者の中には、アカウントの循環、認証情報の共有、トライアル管理システムのリセットロジックの悪用によって、トライアルへのアクセスを無期限に延長する人もいます。出力 (モデルのレスポンス、生成されたコンテンツ、構造化データなど) を大規模にスクレイピングし、再販や再利用を行う人もいます。

登録時の防止レイヤーにより、SaaS 製品と AI 製品の無料トライアルの悪用をどのように軽減できるか？

登録フローに無料トライアルの不正利用防止レイヤーを追加するのは、困難な作業です。目標は、正当な顧客の速度を低下させることなく、悪用者にとってアカウントの循環にコストがかかるようにすることです。

以下が効果的です:

• 行動検出: マウスの動き、入力のペース、イベントのタイミングを分析することで、余分な手順を追加することなく、標準の CAPTCHA よりも多くの不正利用を捕捉できます。決済に Stripe を使用している場合、Stripe Radar は決済プロセス中に同様の行動シグナルを追跡し、より広範なリスク評価に組み込むことができます。

• メールの検証: 使い捨てのメールドメイン (Mailinator、Guerrilla Mail など) の登場により、従来のメール検証では不十分になりました。既知の使い捨てドメインのブロックリストや、メールの品質をリアルタイムでスコアリングするサービスを使用します。

• 決済手段の収集: トライアルを開始するために有効なカードを要求すると、そのトライアルが実際の財務 ID に結び付けられるため、アカウントの循環が減少します。

• デバイスフィンガープリント: デバイスのフィンガープリントは、アカウントがリセットされても変化しないハードウェアとブラウザーの属性をキャプチャします。デバイスのフィンガープリントにすでにフラグが立てられている場合、新しいメールアドレスを使用しても不正利用者にとっては役に立ちません。

SaaS 製品と AI 製品の無料トライアルの悪用を検出するには、どのような検出シグナルを使用すべきか？

一部の不正利用は、製品内で発生して初めて明らかになります。適切なシグナルを把握することで、根本的な原因を排除できます。

次の点を確認してください。

• インターネットプロトコル (IP)、サブネット、自律システム番号による登録速度 (ASN): 短期間に同じ IP から複数のアカウントが登録された場合、無料トライアルが悪用されている可能性があります。サブネットワーク (サブネット) や ASN によるクラスタリングも同様です。悪用を行う者は多くの場合、同じホスティングプロバイダーや仮想プライベートネットワーク (VPN) の出口ノードの IP 範囲を使用します。

• ID の再利用: 同じ電話番号、決済手段のフィンガープリント、デバイス ID が複数のアカウントで使用されていないか監視します。Stripe は、決済手段の再利用を自動的に検出します。

• 使い捨てや一時的なメールのパターン: メールの古さ、ドメインの登録時期、MX (Mail Exchange) レコードのパターンを確認します。主要なメールプロバイダーはプライバシー上の理由から、API 経由でアカウントの作成日を公開することはできませんが、専門のインテリジェンスツールを使用すると、メールが世界のデータベースに初めて登場した時期に基づいてアカウントの古さを推定できます。

• デバイスのクラスター化: 5 つのアカウントで同じブラウザーのフィンガープリント、キャンバスのハッシュ、インストールされているフォントセットが共有されている場合、無料トライアルが悪用されている可能性があります。デバイスインテリジェンスツールを使用すると、これらのシグナルをユーザーベース全体でリアルタイムに集約できます。

• セッション初期の動作: 正当なユーザーは製品を探索します。不正利用者は、最も価値の高いエンドポイントに直接アクセスし、UI に触れずに API を即座に呼び出したり、複数のアカウントで同じアクションシーケンスを繰り返し実行したりする傾向があります。

無料トライアルの悪用は AI 企業にどのような影響を与えるか？

AI 製品には、従来の SaaS には存在しない、無料トライアルを悪用する攻撃対象領域が存在します。これについては詳細を理解しておく価値があります。

ここでは 3 つの例と、その影響を軽減する方法を紹介します。

• トークンの変動性: 悪用者は、最もコストのかかる操作 (長いコンテキストウィンドウ、最高解像度での画像生成、大きなドキュメントバッチの埋め込みなど) を標的にします。セッションごとのトークン上限を厳格に設定することで、この可能性を排除できます。

• スクリプトによる自動化: 高度な不正利用者は、アカウント登録のプレゼンテーションをクリックして進めることはありません。代わりに、各トライアルアカウントの認証情報を使用して直接 API を呼び出します。多くの場合、IP やユーザーエージェントをローテーションするインフラストラクチャーから呼び出されます。API レイヤーの管理では、IP ではなく認証情報によるレート制限が実行されます。これは、UI レイヤーのボット検出と併用することが重要です。

• エージェント型の機能: 無料トライアルアカウントでエージェント型のワークフローを開始する不正利用者は、発覚するまでに膨大な価値を引き出す可能性があります。複数ステップの推論、ツールの呼び出し、または実行に時間がかかるバックグラウンドジョブをサポートする製品は、コンピューティング要件を飛躍的に高めます。エージェント機能のロックを解除するために決済手段や確認ステップを要求することで、これを回避します。

SaaS 製品や AI 製品の無料トライアルの悪用防止ソフトウェアをどのように評価すべきか？

ベンダーの状況には、不正利用プラットフォーム、デバイスインテリジェンスツール、本人確認サービス、ボット検出プロバイダーなどが含まれます。ユースケースに適しているものもあれば、そうでないものもあります。

選択肢を評価する方法は次のとおりです。

• デバイスインテリジェンスの品質: ベンダーに対し、VPN やプロキシの検出をどのように処理しているか、住宅用プロキシでの誤検知率はどのくらいか、ブラウザーをリセットしたりシークレットモードにしたりしてもフィンガープリントが保持されるかどうかを尋ねます。

• API ファーストの連携: リスクスコアリングエンジンは、アカウント作成時とセッション開始時にリアルタイムで呼び出される必要があります。クリーンな REST (Representational State Transfer) API と、実際のユーザーの速度を低下させることなくオーソリフローに連携できる低レイテンシのスコアリングを備えたベンダーを探します。

• 誤検知の管理: 悪用をブロックできるシステムは、一部の正当なユーザーもブロックしてしまう可能性があります。ベンダーにユーザータイプ別の誤検知率を尋ね、製品にしきい値の調整、フラグが立てられたアカウントの確認、決定に対する異議申し立てを行うためのツールが含まれているかどうかを判断します。

• 拡張性とレポート機能: 時間の経過とともに悪用傾向を追跡し、悪用が増加しているか、減少しているか、手口が変化しているかを判断できるようにします。この情報を活用して、将来の管理に関する意思決定を行います。

コンバージョンを損なわずに SaaS 製品と AI 製品に無料トライアルの悪用管理を展開するにはどうすればよいか？

すべての悪用管理を一度にオンラインにしないでください。代わりに、コンバージョンデータを常に視野に入れた段階的な導入を試みてください。

ここでは、そのアプローチをご紹介します。

• まずは監視から始める: 登録フローとセッション初期のフローに上記の検出シグナルを実装しますが、まだ対処は行いません。データを 2 ～ 4 週間蓄積させます。実際の悪用率がどのくらいか、どのシグナルが予測に役立つか、どの管理を行った場合にトライアル登録の何割が影響を受けるかがわかります。

• リスクの高いコホートの速度のみを低下させる: リスクスコアリングにより、登録の 8% がリスクが高いと特定されたとします。その 8% にのみ電話による認証を要求することは、すべてのユーザーに要求するよりも、全体的なコンバージョンへの影響がはるかに小さくなります。A/B テストでは、グループ間でコンバージョン率、トライアルから有料への移行率、インフラストラクチャーコストを比較できます。

• コンバージョンとコストを一緒に測定する: 変更を加える前と後のトライアルアカウントあたりのコストを追跡します。トライアル登録が 3% 減少し、トライアルあたりのインフラストラクチャーコストが 40% 削減されるのであれば正味の利益となりますが、3% 減少して何も削減されないのであればそうではありません。

• 徐々に厳しくする: 管理を追加する場合は、ユーザーへの影響が最も少ないもの (ボット検出、次に使い捨てメールのブロック、デバイスフィンガープリント、その後に段階的な検証と決済手段の要件) から始めます。各ステップで悪用は減少しますが、コンバージョンの速度は低下します。どこで止めるかは技術的な決定ではなくビジネス上の決定であり、各ステップを個別に測定することで判断を下すのに役立ちます。

Stripe Radar でできること

Stripe Radar は、Stripe のグローバルネットワークのデータで学習した AI モデルを使用して不正利用を検知・防止するツールです。最新の不正傾向に応じてモデルを常に更新し、不正利用の手口が進化してもビジネスを守ります。

Stripe は、その他にも、Radar for Teams を提供しています。自社ビジネス特有の不正利用シナリオに対応するカスタムルールを追加でき、高度な不正利用分析情報にアクセスできます。
Radar で可能なこと

• 不正利用による損失の防止: Stripe は年間 1 兆ドルを超える決済を処理しています。この規模だからこそ、Radar は不正利用を正確に検知・防止し、コスト削減に貢献します。

• 収入の向上: Radar の AI モデルは、実際の不審請求の申し立てデータ、顧客情報、閲覧データなどをもとに学習しています。これにより、Radar はリスクの高い取引を特定し、誤検知を減らして、収入向上に貢献します。

• 業務効率化: Radar は Stripe に組み込まれており、設定のためのコーディングは一切不要です。1 つのプラットフォームで不正利用への対応状況の監視やルールの作成などができるため、業務効率が向上します。

Stripe Radar の詳細を見る、または今すぐ始める