新規アカウント不正利用は、最初は不正利用に見えないことが多いため、最も検知が難しい不正利用のひとつです。盗まれた ID や合成 ID、検証スタックの抜け穴が見つかるまで探る自動サインアップキャンペーンを使って、アカウント登録フローを標的にします。以下では、新規アカウント不正利用の仕組み、アカウント乗っ取りやプロモーションの悪用などの関連する脅威との違い、そして正規ユーザーを妨げることなく予防策を構築する方法について説明します。
主なポイント
新規アカウント不正利用では、盗まれた ID シグナル、合成 ID シグナル、または偽造された ID シグナルを使って、プラットフォームから価値を引き出せるだけの期間、正規に見えるアカウントを作成します。
効果的な検知には、デバイスインテリジェンス、行動分析、ID エンリッチメント、異常検知にわたるシグナルの多層化が必要です。
防止策は、アカウント登録時に段階的に適用し、リスクに比例したフリクションを設け、サインアップ後もアカウントを継続的に監視することで最大の効果を発揮します。
新規アカウント不正利用とは
新規アカウント不正利用とは、盗まれた ID、合成 ID、または捏造された本人確認情報を使ってアカウントを作成し、価値のあるものにアクセスした後に姿を消す行為です。こうした手口は、顧客の本人確認システムをすり抜けることがあり、事業者が攻撃を受けやすくなります。標的になるのは、ウェルカムボーナス、与信枠、決済手段が紐付けられた無料トライアル、または自社のプラットフォームを通じて資金を移動させる機能です。
新規アカウント不正利用の仕組み
新規アカウント不正利用は、いくつかの典型的なパターンのいずれかに従って行われます。いずれも、不正利用行為者が価値を引き出す前に、プラットフォーム上で一見正規に見える存在を確立するように設計されています。
ここでは、新規アカウント不正利用の一般的な種類を紹介します。
合成 ID 不正利用: 実在する納税者番号に架空の名前と生年月日を組み合わせてプロフィールを作成し、価値を引き出す前に時間をかけて信頼性を積み上げる手口です。
盗難 ID 不正利用: データ侵害や認証情報の売買市場から実在する人物の認証情報が入手され、本人が知らない間にアカウントが開設されて価値が引き出されます。被害者が気づくのは、回収通知が届いたり信用スコアが下がったりしてからです。
マネーミュールアカウント: 実在する人物が虚偽の口実のもとで勧誘され、不正利用な資金を受け取って転送するアカウントを開設することがあります。これにより、不正利用行為者による資金の流れが隠蔽されます。
ボットによるサインアップ: 自動化されたキャンペーンにより、アカウント登録フローに対して数千もの認証情報がテストされ、不正利用アカウントを通過させる組み合わせが探索されます。サインアップ失敗件数の急増は、成功件数の急増に先行することが多いです。
新規アカウント不正利用がアカウント乗っ取りやその他の脅威とどう関連するか
新規アカウント不正利用は、アカウント乗っ取りやその他の脅威とは異なり、それぞれの不正利用に応じた固有の対策が必要です。以下に、把握しておくべきアカウント関連の不正利用リスクを示します。
アカウント乗っ取り: フィッシング、クレデンシャルスタッフィング、不正利用マーケットを通じて認証情報を入手し、既存のアカウントを標的にする手口です。
クレデンシャルスタッフィング: 無関係なデータ侵害から収集したユーザー名とパスワードの組み合わせをログインページに対して自動的にテストする手口です。不正利用されたアカウントは、合成 ID 構築のテンプレートとして使用されることがあります。
無料トライアルおよびプロモーションの悪用: ウェルカムボーナスを繰り返し請求するために複数のアカウントを作成する行為を指します。不正利用行為者が実在する別々の ID を使用することもあります。
チャージバック不正利用: チャージバック不正利用とは、正規の顧客が実際には承認した決済について不審請求の申し立てを行うことです。
こうした不正利用の脅威は、金銭的利益を最大化するために新規アカウント不正利用と組み合わさって使われることがよくあります。
新規アカウント不正利用の警告サイン
新規アカウント不正利用を特定するには、複数のシグナルをまとめて確認する必要があります。以下の警告サインは、スタック内のどこで検知されるかごとに整理されています。
デバイスおよびネットワーク層
IP アドレスの不一致: 申告された所在地がインターネットプロトコル (IP) アドレスと一致しない、または接続が仮想プライベートネットワーク (VPN)、プロキシ、データセンターを経由しています。
デバイスフィンガープリントの再利用: 同じフィンガープリントが、最近作成された複数のアカウントで使われています。
自動化の兆候: ブラウザまたはデバイスの設定から、スクリプトによる処理が示唆されます。たとえば、画面解像度の不一致、想定されるブラウザ API の欠落、タイムゾーンの不一致などです。
サインアップの速度: 短時間のうちに、同じデバイスまたは IP 範囲から大量の新規アカウントが作成されています。
ID の層
使い捨てメールアドレス: サインアップの数時間前に作成されたアドレス、または既知の使い捨てドメインに属するアドレスである。
本人確認情報の不整合: 氏名、住所、生年月日が外部データソース間で一貫して一致していない。
住所の異常: 提出された住所が郵便転送サービス、空き地、または過去の不正利用に関連する場所である。
行動層
フォーム入力のほぼ瞬時の完了: 人間では入力できないほどの速さでフィールドが埋められ、ためらいや修正の動きが見られない。
自然なセッション履歴がない: サインアップが通常とは異なるリファラル経路から行われ、それ以前の閲覧パターンも見られない。
即座の高額アクション: 通常のウォームアップ行動を経る前に、アカウントが決済手段の追加や送金の開始を試みる。
集計レベル
作成速度: 特定の地域やデバイス群で作成される新規アカウント数が急増している。
失敗後に成功するパターンの増加: 本人確認の失敗率が高く、その後にわずかな変更を加えた再試行が続く。
新規アカウント不正利用の検出方法
新規アカウント不正利用の検出は、複数のシグナルを組み合わせることで精度が高まります。以下の手法が検出精度の向上に役立ちます。
デバイスインテリジェンス: デバイスフィンガープリントは、ブラウザ、ハードウェア、オペレーティングシステム、ネットワーク属性の組み合わせを捉え、各デバイスを識別します。自動化された攻撃のほとんどは検出できます。
行動分析: 実際のユーザーとボットでは、フォームへの操作方法が異なります。キー入力のタイミング、マウスの動きのパターン、フィールドへのコピー＆ペースト操作などのシグナルは、大規模に偽装することが困難です。
本人確認情報の補強: 提出された本人確認情報を外部シグナルと照合することで、その組み合わせが実在する人物のものらしいかどうかを評価しやすくなります。
異常検知: 一見すると合法的に見える登録も、類似した登録が大量に発生しているという文脈では明らかな不正利用となる場合があります。アクセス数の急増、地理的なクラスター、デバイスコホートの異常をリアルタイムで監視することで、悪用キャンペーンを検出できます。
リスクスコア: 登録時に単純な合否判定を下すのではなく、リスクスコアを活用することでアカウントをさまざまなフローに振り分けられます。
正規のサインアップを止めることなく新規アカウント不正利用を防止する方法
目標は、不正利用のコストを攻撃者が他に移るほど高くすることです。ここでは、実際のユーザーに負担をかけずに新規アカウント不正利用を防止する方法を紹介します。
レート制限とボット対策: CAPTCHA (コンピューターと人間を識別するための完全自動公開チューリングテスト)、非表示のボット検知、IP アドレスやデバイスごとのサインアップのレート制限により、自動化された攻撃が検証スタックに関する有用なデータを得る前に阻止できます。
段階的なフリクション: リスクスコアに応じて確認の深さを調整します。既知のデバイスからで、ID プロフィールにも一貫性がある低リスクのサインアップはそのまま通し、高リスクのサインアップは電話番号の確認や本人確認書類のアップロードに回します。
ステップアップ確認: アカウント作成直後の行動に応じて、追加の本人確認を行う必要があります。初期アカウント登録を通過した直後に、3 つの決済手段を追加し、出金を開始しようとするアカウントには、確認を求めるべきでしょう。
アカウント作成後のモニタリング: 不正利用は必ずしもすぐに表面化するとは限りません。特定のアクションの順序、異常なセッションのタイミング、直後のプロフィール変更など、後の不正利用と相関する行動パターンがないか、新規アカウントを監視してください。
Stripe Radar でできること
Stripe Radar は、Stripe のグローバルネットワークのデータで学習した AI モデルを使用して不正利用を検知・防止するツールです。最新の不正利用傾向に応じてモデルを常に更新し、不正利用の手口が進化してもビジネスを守ります。
Stripe はこのほか、Radar for Teams も提供しています。ユーザーは自社ビジネス特有の不正利用シナリオに対応するカスタムルールを追加でき、高度な不正利用分析情報にアクセスできます。
Radar で可能なこと
不正利用による損失の防止: Stripe は年間 1 兆ドルを超える決済を処理しています。この規模だからこそ、Radar は不正利用を正確に検知・防止し、コスト削減に貢献します。
収入の向上: Radar の AI モデルは、実際の不審請求の申し立てデータ、顧客情報、閲覧データなどをもとに学習しています。これにより、Radar はリスクの高い取引を特定し、誤検知を減らして、収入向上に貢献します。
業務効率化: Radar は Stripe に組み込まれており、設定のためのコーディングは一切不要です。1 つのプラットフォームで不正利用への対応状況の監視やルールの作成などができるため、業務効率が向上します。
この記事の内容は、一般的な情報および教育のみを目的としており、法律上または税務上のアドバイスとして解釈されるべきではありません。Stripe は、記事内の情報の正確性、完全性、妥当性、または最新性を保証または請け合うものではありません。特定の状況については、管轄区域で活動する資格のある有能な弁護士または会計士に助言を求める必要があります。