電子商取引の犯罪被害を減らす、「オンライン詐欺検出システム」の仕組み

電子商取引が増えるとともに、サイバー犯罪の件数も増加の一途をたどっている。企業は「オンライン詐欺検出システム」を導入することで、犯罪の検出と阻止に取り組んでいる。

公開 2016年11月01日 15時00分

更新 2016年11月01日 16時40分

著者

Ed Tittel

[TechTarget]

印刷する連載新着通知を受け取る

2014 Online Fraud Report（出典：EMC）《クリックで拡大》

　本稿では前後編にわたって、効果的なオンライン詐欺検出システムの仕組みと重要な機能について説明する。オンライン詐欺検出システムとは、Web経由で行われる不正な取引や活動を検出する一連のサービスまたはソフトウェア製品のことだ。オンライン詐欺検出システムの評価と、最適な製品選びの一助となれば幸いだ。

　平均的な米国の消費者は、1人につき少なくとも1枚のクレジットカードと2枚のキャッシュカードを持っている。そして、これらのカードを店舗やオンラインでの購入、請求書の支払い、他者への送金に使用している。米国の消費者が現金以外を使って取引を行う回数を合計すると年間で何十億回にも及ぶ。こうした取引は、できるだけ多くの金額を盗み取ろうとするサイバー犯罪で真っ先に標的にされる。

　サイバー犯罪と未遂に終わった詐欺の件数は増加の一途をたどっている。にもかかわらず、CyberSourceの「2014 Online Fraud Report」（2014年オンライン詐欺報告書）によれば、北米の小売業者が電子商取引で失った収益は1％に満たないという。この数字は2010年から、ほぼ横ばいだ。オンライン詐欺に効果的に対処していることが、その主な要因だと専門家は指摘する。だが決済詐欺が、消費者にとって大きな懸念事項となっていることに変わりはない。また小売業者と金融機関が痛手を負っている収益消失の大部分は、返金と支払拒否という形で行われた詐欺によるものだ。

併せて読みたいお薦めの記事

サイバー攻撃の手口

事例で分かる、中堅・中小企業のセキュリティ対策

オンライン詐欺検出とは

　Web経由でのペイメントカード（非対面取引）の受け入れや、そうした支払いに対する返金を行う企業は、オンライン詐欺検出ソフトウェアやサービスを導入することで、詐欺を検出および阻止している。

　通常、オンライン詐欺検出システムは新しいアカウントの作成、アカウントの乗っ取り、決済詐欺に重点を置く。アカウントの乗っ取りや新しいアカウントの作成による詐欺の検出により、企業は正規ユーザーを装う未承認または不正ユーザーを一掃しようとしている。決済詐欺の検出では、盗難に遭ったペイメントカードを利用して購入がなされていないかどうかを特定する。ベンダーによっては、詐欺インテリジェンスサービス、認証、マルウェア検出（コンピュータやモバイルデバイスでのマンインザブラウザ感染など）、セキュアクライアントなども提供している。また詐欺の事象に対する監視と措置にベンダーが最終的な責任を負う管理サービスを提供しているベンダーもある。

　オンライン詐欺検出システムベンダーは、一般的にオンプレミスのソフトウェア製品またはプラットフォームか、Web経由またはモバイルデバイスで金融取引を精査するクラウドベースのSaaS（Software as a Service）を提供している。

オンライン詐欺検出の仕組み

　オンライン詐欺検出用のソフトウェアやクラウドサービスでは、取引を精査して詐欺である可能性に応じて点数を付けるバックグラウンドプロセスが実行されている。その点数を決める際に検討対象となるデータポイントは多岐にわたる。例えばユーザーの行動、デバイスID、デバイスの他の特徴、位置情報、注文の関連性などだ。次に、そのデータは「通常」の性質と比較される。取引が適正と見なされた場合、取引は許可されて処理される。だが、取引が許容範囲内に収まらない場合は、警告され、その取引は自動的に一時停止または拒否される可能性がある。

　ベンダーが詐欺を検出するために通常使用しているのは、アカウント所有者の行動を最重要基準とする行動予測スコアリングモデルまたはパターン認識を用いたルールベースシステムのいずれかだ。製品やサービスによっては、両方のスコアリングモデルが採用されていることもある。

　自動システムを利用できる場合でも、一部の取引については、手動での分析が依然として必要になる。自動ツールが詐欺として警告を発した取引などが、その一例だ。

　誰がオンライン詐欺検出サービスを必要としているのだろうか。非対面取引は、人の手では対応できないほど調査に多くの手間とまとまった時間がかかる。そのため、非対面取引を少しでも取り扱う企業なら、その規模を問わず何らかの詐欺検出を導入する必要があるだろう。具体的な顧客を数例挙げると、銀行や金融サービス機関、電子商取引小売業、人事および給与サービス、ソーシャルネットワークサイトなどがある。オンライン詐欺検出サービスは、PCIデータセキュリティ標準（PCI DSS）要件を満たさなければならない企業にとっては特に有益だ。

　オンライン詐欺検出は、どのように販売されるのだろうか。オンライン詐欺検出に対するアプローチとして最も明快なのはSaaSだろう。顧客側で必要な対応は、サービスを契約し、予測取引数または同様の指標に基づいた月額料金の支払いに同意するだけだ。顧客は必要に応じて詐欺検出サービスの規模を拡張または縮小できる。

　オンプレミスソフトウェアの場合は、先行コストを避けることができない。ソフトウェア自体のコストに加え、ソフトウェアをサポートするためにハードウェアまたはインフラのアップグレードが必要になる。また中小企業ではよくあることだが、常勤のセキュリティサポートチームが存在しない場合は、ソフトウェアを導入して適切に運用するには初期セットアップ費用をベンダーに支払わなければならない可能性がある。さらにスタッフに対して最小限のトレーニングの実施も必要になるだろう。

印刷する

ペイメントカードを狙ったサイバー犯罪への処方せん

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

Ed Tittel

ITのテクニカルライター、ITトレーナー、ネットワークのコンサルタント、ITに関する専門家証人（米国の法廷で専門的な立場から意見を述べる証人）など、IT分野のさまざまな立場で30年以上のキャリアを積む。IT関連の試験対策書である『Exam Cram』シリーズ（Pearson Education）の著者として、情報セキュリティ、MicrosoftのOS「Windows」、HTMLなど、コンピュータ関連で100冊以上を執筆。ビジネス情報サイト「Business News Daily」とIT関連クイズサイト「GoCertify」で記事を定期的に執筆している。