今日作成された不正アカウントは、紹介プログラムの悪用、ギフトカードの換金、合成 ID を使った取引の隠蔽に使われるまで、数週間休眠状態のままになることがあります。パターンが明らかになった頃には、正確な帰属はすでに失われ、被害も発生しています。事業者は毎年、総 EC 収益の 3% を不正利用によって失っていると推定しています。新規アカウント不正利用防止ツールは、サインアップ時に偽アカウントを検出するためのソフトウェアシステムであり、シグナルの質、適応性、攻撃への耐性に違いがあります。

以下では、これらのツールの機能、優れたツールと標準的なツールの違い、そして新規アカウントの不正利用防止ツールを比較するための公正な評価方法について説明します。

主なポイント

• 新規アカウントの不正利用防止ツールは、デバイスインテリジェンス、行動バイオメトリクス、ネットワークシグナルを組み合わせ、アカウント作成前に各サインアップ試行をスコアリングします。

• ツールを評価する際は、誤検知の処理、透明性、適応型の攻撃者に対するモデルのパフォーマンスに注目します。

• 厳格な価値実証では、両方のツールを同一のトラフィックに対して同時に実行し、検出率、誤検知率、コンバージョンへの影響をまとめて測定します。

新規アカウント不正利用防止ツール

新規アカウント不正利用防止ツールは、アカウントが作成される前に登録の試行をリアルタイムで評価し、リスクシグナルを返すソフトウェアシステムです。通常、このツールは登録フローとユーザーデータベースの間に位置し、デバイスデータ、行動シグナル、ID 属性、ネットワークレベルのインテリジェンスに基づいて各試行を評価します。

これらのツールは、偽造、盗用、または合成された ID データを使って誰かがアカウントを作成する新規アカウント不正利用への対策を目的としています。既存のアカウントを乗っ取るのではなく、事業者のプラットフォームを初日から悪用します。不正行為者はウェルカムボーナスを請求したり、支出上限を回避したり、複数のアカウントを使って資金洗浄を行ったり、将来の悪用に向けた足がかりを築いたりする可能性があります。

新規アカウントの不正利用防止ツールの仕組み

これらのツールは、複数の検出メカニズムを組み合わせて、各サインアップの試みを分析します。主な手法は以下のとおりです。

デバイスインテリジェンス

ユーザーが登録ページにアクセスすると、JavaScript スニペットまたはモバイル向けソフトウェア開発キット (SDK) がデバイスのフィンガープリントを取得し、ブラウザのバージョン、画面解像度、インストール済みフォント、そのほか数十の属性を収集します。ツールはこの情報に基づいて安定した識別子を生成します。目的は、ユーザーがクッキーを削除したりブラウザを切り替えたりした後でも、同じ物理デバイスで複数のアカウントが作成されていることを特定することです。

行動バイオメトリクス

これは、タイピングのリズム、マウス移動のパターン、各フィールドでの停止時間、入力欄間の移動に Tab キーを使うかクリックするかなど、ユーザーによるフォーム操作を記録するものです。人間のフォーム入力には、個人ごとの固有性があり、一貫しない傾向があります。

ネットワークと速度の分析

これは、インターネットプロトコル (IP) アドレス、接続タイプ、シグナルが不審な形で集中していないかを確認するものです。たとえば、同じ /24 サブネット (一般的なネットワーク設定) から 20 分間で 1,000 件の登録がある場合は明らかなシグナルです。一方、より高度なツールでは、顧客間でデバイスのフィンガープリントを相関させることで、他の 3 つのプラットフォームですでに不正アカウントを作成したデバイスを、自社のプラットフォームに現れる前に特定できます。

ID シグナルの補強

メールアドレス、電話番号、住所などの提出データを、既知の不正利用パターンのデータベースと照合します。メールドメインの取得時期や、電話番号が過去の不正利用グループに使用されていたかどうかなどのデータポイントを確認します。

リアルタイムスコアリング

これらのシグナルはモデルに入力され、アカウントがデータベースに書き込まれる前に、通常 0 〜 100 または 0 〜 1 のリスクスコアが返されます。プラットフォームはそのスコアをもとに、承認するか、レビュー対象としてフラグを付けるか、追加の確認を求めるかを判断します。

新規アカウントの不正利用防止ツールを評価する際のポイント

新規アカウントの不正利用防止ツールを提供する企業は多数あります。優れたツールと標準的なツールの違いは以下のとおりです。

シグナルの質とネットワークの広さ

自社のトラフィックのみを対象とするツールは、脅威の全体像を把握できません。一方、多くのプラットフォームにまたがって運用されるツールはコンソーシアムシグナルを蓄積しており、自社が初めて遭遇するデバイスやメールパターンであっても、過去に検出している可能性があります。ベンダーに対しては、ネットワークの規模、対象業界、コンソーシアムデータへの参加がオプトインか自動かを確認できます。

誤検知率と対処方法

サインアップ時に正規ユーザーをブロックするとコストが発生します。その顧客を失うことになり、カテゴリによっては取り戻せない場合もあります。トラフィックの種類別 (例: モバイル、海外、VPN [仮想プライベートネットワーク] ユーザー) の誤検知率を確認し、集計値だけでなく詳細なデータを把握できます。また、ツールがエッジケースをどう処理するか、除外ルールの設定が可能か、モデルがブラックボックスかどうかも確認できます。

透明性

アカウントがフラグ付けされた場合、チームはその理由を把握できる必要があります。「高リスクスコア」というだけでは不十分です。効果的なツールは主要なシグナルを明確に示すため、アナリストは十分な情報に基づいて判断でき、ルールも時間の経過とともに改善されます。

ステップアップ連携

ツールは、ワンタイムパスコード (OTP) フロー、本人確認書類の確認プロバイダー、手動レビューキューなど、ステップアップ認証のスタックとスムーズに連携できる必要があります。この引き継ぎがどのように機能するのか、誰が管理するのか、ステップアッププロバイダーがダウンした場合にどうなるのかを確認する必要があります。

レポートとフィードバックループ

確認済みの不正利用や誤検知をマークしてモデルに反映させるフィードバック機能がない場合、モデルの精度は低下していきます。

実装と導入の判断が新規アカウント不正利用防止ツールの選定に与える影響

実装方法の選択は、タイムライン、カバー範囲、継続的なメンテナンスに、ほぼ他のどの要因よりも大きな影響を与えます。ツールには 2 つの方法が用意されていることがあります。1 つはクライアントサイド SDK で、ウェブ向けの JavaScript や iOS、Android 向けのネイティブライブラリなどです。もう 1 つはサーバーサイドのアプリケーションプログラミングインターフェイス (API) 呼び出しです。効果的な構成では、その両方を使用します。

確認すべきポイントは以下のとおりです。

• レイテンシ:95 パーセンタイルから 99 パーセンタイルのレイテンシ数値を確認してください。平均値は最も遅いリクエストの処理時間を隠す可能性があるため、平均値だけを見ないようにしてください。これにより、平均だけでなく実際の最悪ケースのパフォーマンスを把握できます。

• モバイル対応範囲: サインアップの多くがモバイルアプリ経由で行われる場合は、モバイル SDK が継続的に保守され、定期的に更新されており、ウェブ版と同等のシグナル品質を維持していることを確認してください。

• ステップアップしきい値: ステップアップ認証にいつエスカレーションするかを決めるロジックを誰が制御するかを確認してください。それがベンダーのプラットフォーム内に存在する場合、利便性と引き換えに柔軟性を失っています。しかし、リスクスコアの上に独自のルールを定義できるなら、制御を維持できます。

• フォールバック動作: リスクスコアリングサービスが利用できない場合のバックアッププランが必要です。サインアップフローがフェイルオープン (全員が通過) になるか、フェイルクローズ (全員がブロック) になるかは、リスク許容度によって異なります。デフォルトの動作と設定可能かどうかを把握しておいてください。

新規アカウント不正利用防止ツールの実際の攻撃下での性能

通常のトラフィック下で不正利用防止ツールを評価するのは簡単です。難しいのは、誰かがそれを突破しようとしているときに、ツールがどのように振る舞うかを把握することです。

変化する攻撃から保護するために、以下の機能を確認してください。

適応型攻撃者の検知

巧妙な不正利用グループは、大規模な攻撃を仕掛ける前に防御を試します。少数のアカウントを作成して弱点を探り、その結果に応じてデバイスフィンガープリントの切り替え、プロキシのローテーション、人間のタイミングを模した完了速度の調整などを行う可能性があります。攻撃者が適応した場合にモデルがどう反応し、どのくらいの速さで再調整されるかをベンダーに確認してください。

ヘッドレスブラウザおよびエミュレーターの検出

ヘッドレスブラウザとエミュレートされたモバイルデバイスは、現代の不正利用ツールキットの標準的な構成要素です。ベンダーのデバイスインテリジェンスがこれらをどのように処理するか、また Playwright、Puppeteer、Android エミュレーターなどのツールに対して検出率が維持されるかどうかを確認してください。

スパイク時のスループット

サインアップエンドポイントに 5 分間で 5 万件のリクエストが集中した場合でもスコアリングサービスが対応できるか、または可視性が失われるほどレイテンシが低下するかどうかを確認してください。

攻撃時の運用対応

攻撃を受けている際に専任の対応チームを提供するベンダーもありますが、そうでないベンダーもあります。必要になる前に、どちらを選んでいるか確認しておいてください。

信頼性 SLA

稼働時間 99.9% の保証は強固に聞こえますが、年間約 8.7 時間のダウンタイムに相当します。信頼性の高いサービスレベル契約 (SLA) には通常、計画メンテナンス枠や過去のインシデント頻度の詳細、および契約上のコミットメントが明記されています。

新規アカウント不正利用防止ツールが満たすべきセキュリティ要件とプライバシー要件

不正利用防止ツールは大量の機密データを処理するため、コンプライアンス上のリスクが生じます。コンプライアンス対応の負担と全体的なリスクを最小化するために確認すべき点は以下のとおりです:

データ最小化

ツールは必要なデータのみを回収し、それ以上は扱うべきではありません。どの属性が回収されるのか、どこに保存されるのか、どれくらいの期間保持されるのかを記載したデータディクショナリを求めてください。保持期間はさまざまで、本人確認に関連するデータを扱う場合は、短いほど望ましいといえます。

地理的なデータ保管場所

EU で事業を行う場合は、データがどこで処理され、保存されるのかを把握しておく必要があります。すべてのシグナルを米国のインフラ経由でルーティングするベンダーもあれば、地域内での処理を提供するベンダーもあります。これは、一般データ保護規則 (GDPR) への準拠体制に影響します。

監査ログ

すべてのリスク判断について、どのようなシグナルが存在し、どのスコアが返され、どのようなアクションが実行されたかを含む完全な記録が必要です。これは社内調査、規制当局への照会、モデル監査において重要です。

ベンダーのセキュリティ体制

システムおよび組織統制 (SOC) 2 の Type II 認証は、差別化要因ではなく、最低限の基準です。ペネトレーションテストの実施頻度、脆弱性開示ポリシー、顧客データが関係するセキュリティインシデントにベンダーがどのように対応するかを確認してください。

新規アカウント不正利用防止ツールを比較するための価値実証の進め方

ベンダーを招く前に、検出したい不正利用パターンを書き出します。可能であれば、並行テストを実施します。両方のツールが同じトラフィックを同時にスコアリングするシャドーモード評価を行えば、分析に使える直接比較データを得られます。ベンダー A を 30 日間テストしてからベンダー B を 30 日間テストする方法では、同じ不正利用環境を比較できません。

次の指標を確認します。

確認済み不正利用の検出率

ラベル付きデータセットまたは遡及的なレビュー期間が必要です。これがない場合は、評価開始前に準備してください。準備なしに進めると、ベンダーの精度ではなくベンダーの信頼度を測定することになります。

正規のサインアップに対する誤検知率

集計値ではなく、トラフィックセグメントごとに測定してください。全体としては高いパフォーマンスを示すツールでも、国際的なモバイルサインアップでは誤検知率が高い場合があります。そうしたセグメントが自社にとって成長市場であれば、その影響は大きくなります。

コンバージョンへの影響

実際のユーザーのうち、ステップアップフローに進んだ割合と、その後に離脱した割合を追跡してください。摩擦にはコストが伴うため、事業者によっては、検出率がわずかに低くてもコンバージョンが大幅に高いツールのほうが適切な選択となる場合があります。

この評価プロセスには運用チームも関与させます。そのチームは、インターフェースが負荷に耐えられるか、判断根拠が迅速な意思決定に十分なほど明確か、フィードバックループが実際に機能するかといった、技術的な評価では見落とされがちな点を明らかにしてくれます。

Stripe Radar でできること

Stripe Radar は、Stripe のグローバルネットワークのデータで学習した AI モデルを使用して不正利用を検知・防止するツールです。最新の不正傾向に応じてモデルを常に更新し、不正利用の手口が進化してもビジネスを守ります。

Stripe は、その他にも、Radar for Teams を提供しています。自社ビジネス特有の不正利用シナリオに対応するカスタムルールを追加でき、高度な不正利用分析情報にアクセスできます。
Radar で可能なこと

• 不正利用による損失の防止: Stripe は年間 1 兆ドルを超える決済を処理しています。この規模だからこそ、Radar は不正利用を正確に検知・防止し、コスト削減に貢献します。

• 収入の向上: Radar の AI モデルは、実際の不審請求の申し立てデータ、顧客情報、閲覧データなどをもとに学習しています。これにより、Radar はリスクの高い取引を特定し、誤検知を減らして、収入向上に貢献します。

• 業務効率化: Radar は Stripe に組み込まれており、設定のためのコーディングは一切不要です。1 つのプラットフォームで不正利用への対応状況の監視やルールの作成などができるため、業務効率が向上します。

Stripe Radar の詳細を見る、または今すぐ始める