日本の EC サイトでは、不正利用対策の一環として、「リスクベース認証」の重要性が高まっています。日本クレジット協会の公表によれば、2025 年のクレジットカード不正利用被害額は約 510 億円と依然として高い水準にあり、前年から減少したものの、引き続き対策が必要とされています。クレジットカード不正利用の多くはカード番号の盗用によるもので、EC サイトなどの非対面決済を中心に被害が発生している点に注意が必要です。

こうした状況の中で、セキュリティを確保しながらユーザー体験を損なわない対策として、リスクベース認証が注目されています。

本記事では、日本の EC 環境を踏まえ、リスクベース認証の仕組みや種類、多要素認証 (MFA) との違い、導入のメリットや注意点をわかりやすく解説します。

この記事でわかること

• リスクベース認証は、ユーザーの行動やアクセス状況をもとにリスクを評価し、必要な場合にのみ追加認証を求めます。
  
• 多要素認証 (MFA) はログインや取引の度に追加認証を求めるのに対し、リスクベース認証はリスクの程度に応じて、認証の有無や強度を動的に調整します。
  
• アクティブ認証はユーザーに操作を求める認証であり、パッシブ認証はユーザーの操作を伴わず、裏側で行動を分析する認証です。
  
• リスクベース認証はセキュリティとユーザー体験のバランスを取りやすい一方で、その効果は設計や実装の仕方に左右されます。
  
• 日本の EC 市場では不正利用対策の重要性が高まっており、リスクベース認証はその対策のひとつとして活用が進んでいます。
  

リスクベース認証とは

リスクベース認証とは、ユーザーの行動やアクセス環境を分析してリスクを評価し、その結果に応じて追加認証が必要かどうかを判断する仕組みです。

たとえば、通常と違う IP アドレス、デバイス、ブラウザ、時間帯からのアクセスなど、普段と異なる行動パターンが検知された場合にのみ、追加の認証が求められます。こうした仕組みにより、不正アクセスを未然に防ぐことが可能になります。

リスクベース認証と多要素認証の違い

多要素認証とは、パスワードや PIN などの「知識情報」セキュリティトークンなどの「所持情報」指紋認証などの「生体情報」から 2 つ以上の認証要素を組み合わせて本人確認を行う仕組みです。

リスクベース認証が状況に応じて認証の有無や強度を動的に変更するのに対し、多要素認証は原則としてログインの度に追加の認証が行われます。多要素認証は、セキュリティを強化できる反面、ユーザーの操作負担が増える傾向があります。

リスクベース認証の種類と仕組み

リスクベース認証には、ユーザーに明示的な操作を求める「アクティブ認証」と、ユーザーには操作を求めず裏側で処理を行う「パッシブ認証」があります。

アクティブ認証

アクティブ認証とは、ユーザーに対して明示的な認証操作を求める方法です。

たとえば、通常とは異なる環境からネットバンキングにログインした場合や、EC サイトで高額な決済を行った場合には、ワンタイムパスワードの入力や 3D セキュア 2 による追加認証が求められることがあります。

このように、リスクが高いと判断された場面でのみ追加の確認を行うことで、不正利用を防ぎつつ、通常時の利便性を損なわない点が特徴です。

パッシブ認証

パッシブ認証とは、ユーザーに特別な操作を求めることなく、行動やアクセス環境の情報を基にリスクを評価する方法です。

たとえば、EC サイトでは、IP アドレスやデバイス情報、ブラウザ、アクセス時間、購入履歴、操作の傾向などが裏側で分析されており、普段と異なる挙動がないかが継続的にチェックされています。こうした仕組みにより、ユーザーにセキュリティ対策を意識させずに不正の兆候を検知することが可能です。

また、短時間に大量の注文が行われる、あるいは操作速度が不自然に速いといった挙動も検知対象となり、ボットによる不正注文やいたずら注文のリスクを抑制する役割も担っています。

利便性を損なわずにセキュリティを高められますが、判断が難しいケースでは、アクティブ認証と組み合わせて利用されることが一般的です。

リスクベース認証のメリット

リスクベース認証は、セキュリティとユーザー体験のバランスを最適化することが可能です。EC サイトでは、売上の維持・向上という点でも重要な役割を果たしています。

不正アクセスや不正利用の防止

リスクベース認証は、ログイン環境や取引状況を基に不審な挙動を検知した場合にのみ追加認証が行われます。これにより、なりすましログインや不正注文などのリスクを効果的に抑制できます。

特に EC サイトでは、盗難カード情報を利用した不正注文やアカウント乗っ取り、いたずら注文といった被害の軽減につながります。

ユーザーの利便性を損なわない

すべてのユーザーに一律で追加認証を求めるのではなく、リスクが低いと判断された場合には認証を省略できるため、スムーズなログインや決済が可能です。

これにより、正規ユーザーにとってのストレスを最小限に抑えつつ、安全性を確保できます。

カゴ落ち防止とコンバージョン率の維持

EC サイトにおいては、認証プロセスの煩雑さがカゴ落ちの原因となることがあります。リスクベース認証では、高リスクの取引にのみ追加認証を求めるため、不要な認証による顧客の離脱を抑制することができます。

リスクベース認証を上手く活用すれば、高いセキュリティを確保しながら、コンバージョン率を維持することが可能になります。

リスクベース認証の注意点

リスクベース認証は、セキュリティと利便性のバランスがとれる一方で、一歩間違えるとユーザー体験や売上に影響を及ぼす可能性があります。

認証の強化が裏目にでる可能性

リスクベース認証では、リスクが高いと判断された場合に追加認証が行われますが、その頻度が高い場合、ユーザーの負担は少なくありません。

特に、決済時に何度も認証が求められると、購入する意欲が失せるケースも考えられます。EC サイトを運営するにあたってセキュリティを重視することは欠かせませんが、必要以上に強化してユーザー体験を損なってしまうと本末転倒になる可能性があります。

誤検知による正規ユーザーへの影響

リスク判定の精度によっては、正規ユーザーの動向が不審と判断され、誤認が発生することがあります。

たとえば、出張先や旅行先からのアクセスや端末を変更した時など、正当な利用であっても通常と異なる環境とみなされる場合があります。こうした誤検知は、ユーザーの不満につながりやすいため注意が必要です。

リスクベース認証は、設計や運用によって効果が左右されます。ユーザー体験とのバランスを十分に考慮した活用が求められます。

リスクベース認証を導入する際のポイント

リスクベース認証を効果的に導入するポイントは次の通りです。

自社のリスク特性に応じて設計する

リスクベース認証の最適な設計は、サービスの特性やユーザーの利用状況によって異なります。

たとえば、EC サイトでは、高額注文や不正利用が発生しやすいタイミングを踏まえた設計が重要です。一方で、会員サービスではログイン時の不正アクセス対策に重点をおくべきだと言えるでしょう。

継続的な改善を行う

リスクベース認証は、一度導入すれば終わりではありません。リスク判定の基準は、サービスの特性や不正の傾向に応じて適宜見直しが必要です。不正の手口やユーザーの行動は時間とともに変化します。

導入後も認証の発生率や離脱率、不正検知の精度などを確認しながら、リスク判定の調整や運用の改善を継続的に行うことが求められます。

Stripe Radar でできること

Stripe Radar は不正利用対策のためのツールです。Stripe のグローバルネットワークから得たデータを活用して訓練された AI モデルを使い、不正利用を検知・防止します。最新の不正傾向に応じてモデルを常に更新し、不正利用の手口が進化してもビジネスを守ります。

Stripe はこのほか、Radar for Fraud Teamsも提供しています。ユーザーは自社ビジネス特有の不正シナリオに対応するカスタムルールを追加でき、高度な不正分析情報にアクセスできます。

Radar は、以下の場面でお客様を対応します

• 不正利用による損失防止: Stripe は年間 1 兆ドル以上の決済額を処理しています。この規模だからこそ、Radar は不正利用を正確に検知・防止し、お客様の損失を防ぎます。

• 収益の向上: Radar の AI モデルは、実際の不審請求の申し立てデータ、顧客情報、閲覧データなどに基づいて訓練されています。そのため Radar は、リスクの高い取引を特定し、誤検知を減らし、収益を増加させることに貢献します。

• 時間の節約: Radar は Stripe に組み込まれており、設定にコードは一切必要ありません。また、単一のプラットフォームで不正利用の動きをモニターしたり、ルールを作成することができるため、業務効率も向上します。

Stripe Radar について詳しくはこちらをご覧ください。あるいは、今すぐ始める場合はこちら。