割引はオンラインショッピングに深く浸透しており、アメリカの消費者のほぼ 60% がデジタルクーポンを利用しています。しかし、プロモーションが成功するのは、インセンティブのコストを顧客生涯価値で回収できる場合に限られます。プロモーションの不正利用では、割引だけが取られ、顧客獲得につながるどころか、偽アカウント、自己紹介、自動化された特典引き換えキャンペーンが生み出され、予算が圧迫され、獲得指標が水増しされます。

以下では、アカウントレベルでのプロモーション不正利用の仕組み、その検出方法、そして正当なユーザーのコンバージョンを損なうことなく不正利用を阻止する管理体制の構築方法について説明します。

主なポイント

• プロモーションの不正利用は通常、サインアップ時の本人確認の甘さを突いて行われます。そのため、新規アカウントの不正利用とプロモーションの不正利用は、多くの場合、同じ問題の一部です。

• 検出は、デバイスのクラスタリング、使い捨てメールのパターン、異常な引き換えのタイミングなどのシグナルを組み合わせることで行われます。

• 効果的な防止策では、階層的な管理策とリスクベースのフリクションを用いて、不正利用の検出精度を高めながら、正規の顧客にとってサインアップフローを妨げないようにします。

プロモーションの不正利用

プロモーションの不正利用とは、割引、紹介ボーナス、または登録インセンティブを、本来の条件を超えて悪用することです。これは通常、偽アカウント、自動化、または身元の偽装によって発生します。たとえば、初回注文割引を 5 回利用するためにアカウントを 5 つ作成したり、2 つ目のメールアドレスを使って自分自身を紹介し、紹介クレジットを受け取ったり、プロセス全体をスクリプト化して数時間でキャンペーンを使い尽くしたりするケースが考えられます。

プロモーションの不正利用がプロモーション費用の投資対効果に与える影響

プロモーションを通じて獲得した顧客からの増分売上は、割引コストとキャンペーン運用コストの合計を上回る必要があります。不正利用は、その両方を悪化させます。

プロモーション不正利用の影響を測定する方法を以下に示します。

• 引き換えから購入への転換率: プロモーションを引き換えたアカウントのうち、実際に 1 回以上購入した割合を確認します。不正利用の多いコホートでは、実際の取引への転換率が低くなります。

• 30 日、60 日、90 日時点のリピート購入率: 実在する顧客は再び購入しに戻ってきますが、偽アカウントは姿を消します。

• 紹介グラフの密度: 紹介プログラムでは、紹介されたアカウントのうち、さらに他者を紹介するアカウントがどれだけあるかを追跡します。自然な紹介ツリーは時間の経過とともに深くなりますが、不正利用によって作られたものは横ばいのままです。

• プロモーションコホート内のデバイスと IP の重複率: 重複率が高い場合、組織的な作成のシグナルとなる可能性があります。

プロモーションの不正利用と新規アカウント不正および無料トライアル不正利用の関係

プロモーションの不正利用は、同じ弱点を悪用する、より広範な行動群の一部です。目的がプロモーションの引き換え、マネーロンダリング、またはアカウント乗っ取りの準備であるかどうかにかかわらず、偽造または盗まれた身元を使ってアカウントを開設する手口は、いずれも新規アカウント不正に該当し、プロモーションの不正利用はその一般的な現れの 1 つです。同様に、無料トライアルの不正利用は、トライアルが期限切れになるたびに有料へ移行せず、新しいアカウントを作成する行為として現れる場合があります。プロモーションの不正利用者とは動機が異なるかもしれませんが、使っている仕組みは同じです。

紹介クレジットを不正取得できてしまうインフラは、無料トライアルの不正取得や、さらに悪質な目的のための偽アカウント作成も同じように許してしまいます。プロモーションの不正利用の問題は、多くの場合、プロモーションにとどまらないアカウント作成フローの弱点を示すシグナルです。プロモーションの不正利用だけを個別に対処しても、回避攻撃にさらされたままになる可能性があります。プロモーションのエンドポイントだけでなく、その根底にある本人確認上のギャップをふさぐ必要があります。

アカウント登録時によく見られるプロモーション不正利用の手口

サインアップ時のプロモーション不正利用には、一般的に一定の定型パターンがあります。

以下の手口に注意が必要です。

複数アカウントの作成

これはプロモーション不正利用の最も単純な形態です。1 人の人物が異なるメールアドレスを使って複数のアカウントを作成し、新規ユーザー向けオファーを何度も利用します。これは、新規アカウントの対象資格がメールアドレスとの照合だけで確認され、より踏み込んだ本人確認が行われない場合に成立します。

自己紹介

紹介者にボーナスを支払う紹介プログラムは、自己紹介を行う直接的な金銭的インセンティブを生み出します。攻撃者は 2 つ目のアカウントを作成し、自分のメインアカウントからそのアカウントを紹介して報酬を回収します。紹介した側と紹介された側の双方にボーナスが付くプログラムでは、作成した偽アカウント 1 つあたりの利得が 2 倍になる可能性があります。

プロモーションの重ねがけ

事業者は、1 回の注文で複数のコードを許可する場合があります。攻撃者は、コードの列挙や漏えいまたは共有されたコードリストを通じてコードを見つけて組み合わせ、取引のコストをゼロに近づけたり、システムがストアクレジットを発行する場合はマイナスにしたりします。

自動化された引き換え

より高度な攻撃者は、サインアップと引き換えのフローをスクリプト化する場合があります。1 週間実施される予定だったキャンペーンが数時間で枯渇する可能性があります。

コードの共有と公開漏えい

クーポン集約サイトに投稿されたり、ソーシャルチャネルで共有されたりしたプロモーションコードは、本来の対象者を大きく超えて利用されます。これは必ずしも悪意があるとは限りませんが、ターゲティングを損ない、特定のコホート向けの予算を使い果たす可能性があります。

プロモーションの不正利用を示す検出シグナル

検出では、人工的に作られた身元や使い回しの身元を、本物の新規ユーザーと見分けるシグナルを組み合わせます。

単一のシグナルで決定的なものはありませんが、以下のシグナルが複合して見られる場合、不正利用の可能性を示していることがよくあります。

デバイスとネットワークのクラスタリング

短期間に同じデバイス、IP アドレス、またはサブネットワークから複数のアカウントが作成された場合は、強いシグナルです。同じ家庭の IP から 2 つのアカウントが作成されるのは珍しくありませんが、48 時間で同じ IP から 15 個のアカウントが作成された場合は調査対象になります。

エイリアスと使い捨てメールのパターン

一部のメールプロバイダーではアドレスエイリアス (例: user+tag@domain.com) が利用できるため、攻撃者は見た目は異なっていても、すべて同じ受信トレイに届くアドレスを生成できます。使い捨てメールドメインは、自然な登録と比べて、不正な登録で不釣り合いに多く見られることがあります。

不審な紹介グラフ

自然な紹介ツリーには枝分かれがあります。1 人のユーザーが数人の友人を紹介し、そのうちの何人かがさらに別の人を紹介します。不正利用では星形のグラフが生まれます。1 つのアカウントが多数を紹介しますが、紹介されたそれらのアカウントにはその後の活動が見られず、作成後すぐに特典を利用します。

異常な引き換えのタイミング

作成後数秒以内にプロモーションを引き換えるアカウント、または組織的なバッチで作成されたアカウントは、本物の顧客とは異なる行動をとります。本物のユーザーは、サインアップから最初の購入までの間に、調べたり、迷ったり、数日かけたりする可能性があります。

プロモーション開始前後の急増

プロモーションが発表された直後のアカウント作成の急増は、より詳細な調査を必要とします。

デバイスフィンガープリントの不整合

報告されたユーザーエージェント、画面解像度、インストール済みフォントの不一致は、自動化やフィンガープリントの偽装を示している可能性があります。実際のユーザーには、通常このような不整合はありません。

正規ユーザーをブロックせずにプロモーションの不正利用を防止する方法

不正利用をすべて排除することは難しく、多くの場合は不可能です。目標は、不正利用のコストを十分に高め、投資収益率 (ROI) が見合わない状態にすることです。

引き換え回数の制限と利用条件

プロモーションコードはメールアドレスではなく、確認済みの本人につき 1 件に制限します。「確認済み」の基準はリスク許容度によって異なります。確認済みの電話番号、決済手段の確認、または確認済みの住所などが該当します。

登録時のデバイスと本人確認のリスクスコアリング

デバイスフィンガープリント、IP レピュテーション、メールドメインのリスク、行動シグナルに基づいて新規アカウントを作成時にスコアリングするツールを使うと、リスクに応じた対応が可能になります。リスクの低いアカウントはプロモーションを簡単に利用でき、リスクの高いアカウントはプロモーションが有効になる前に追加の確認が必要になる場合があります。Stripe Radar のようなツールは決済フロー内でこの種のスコアリングを適用でき、ルールエンジンを使って引き換えイベントに関するカスタムロジックを記述できます。

リスクの高いコホートに対するプログレッシブチャレンジ

不審なアカウントを即座にブロックするのではなく、プロモーションクレジットが付与される前に実際の購入を必須にします。これにより、不正目的の登録を実際の顧客に転換するか、コストをかけずに離脱させることができます。

プロモーションエンドポイントのレート制限

プロモーションコードの検証が API 呼コールで行われる場合、そのエンドポイントにはレート制限と異常検知が必要です。

より明確な規約を技術的に適用

システム内で「顧客」が何を意味するかを定義し、それを適用しなければ、「1 顧客につき 1 件」という条件には意味がありません。対象条件のルールを組み込めば、事後に手動で確認するのではなく、自動的にチェックできるようになります。

Stripe Radar でできること

Stripe Radar は不正利用対策のためのツールです。Stripe のグローバルネットワークから得たデータを活用して訓練された AI モデルを使い、不正利用を検知・防止します。最新の不正傾向に応じてモデルを常に更新し、不正利用の手口が進化してもビジネスを守ります。

Stripe はこのほか、Radar for Fraud Teamsも提供しています。ユーザーは自社ビジネス特有の不正シナリオに対応するカスタムルールを追加でき、高度な不正分析情報にアクセスできます。

Radar は、以下の場面でお客様を対応します

• 不正利用による損失防止: Stripe は年間 1 兆ドル以上の決済額を処理しています。この規模だからこそ、Radar は不正利用を正確に検知・防止し、お客様の損失を防ぎます。

• 収益の向上: Radar の AI モデルは、実際の不審請求の申し立てデータ、顧客情報、閲覧データなどに基づいて訓練されています。そのため Radar は、リスクの高い取引を特定し、誤検知を減らし、収益を増加させることに貢献します。

• 時間の節約: Radar は Stripe に組み込まれており、設定にコードは一切必要ありません。また、単一のプラットフォームで不正利用の動きをモニターしたり、ルールを作成することができるため、業務効率も向上します。

Stripe Radar について詳しくはこちらをご覧ください。あるいは、今すぐ始める場合はこちら。