決済詐欺の検出：種類、方法、および予防策
不正行為の問題は収まる気配を見せていません。昨年、オンラインマーケットプレイスの79%が前年よりも多くの不正行為に対処しました。攻撃はより速く、より自動化されており、加盟店が何年も前に構築したルールセットでは検出が困難になっています。決済不正検出は、後から追加できる機能ではなく、今や必須条件となっています。
この記事では、オンライン販売業者を襲う主な詐欺の種類、最新の検出システムが実際にどのように機能するのか、どのような詐欺防止ツールがリスクを軽減するのか、そして防御策が不十分な場合にどのような数字になるのかを解説します。
決済詐欺とは何か、そしてなぜそれが起こるのか
簡単に言えば、決済詐欺とは、他人の所有物ではない決済情報、アカウント、または身元情報を使用して金銭や物品を盗む行為を指します。これは、加盟店、金融機関、カード所有者など、あらゆる関係者に影響を与え、取引前、承認時、決済後など、様々な段階で発生する可能性があります。
詐欺は産業化している。ボットが盗まれたカード情報を大量にテストし、合成身分証明書キットがダークウェブの市場で取引されている。問題の規模は、ほとんどの企業が5年前に構築したルールセットを完全に凌駕している。
数字を見れば、状況がいかに急速に変化しているかがわかる。正当な購入者が実際に行った購入を否定する「ファーストパーティ詐欺」は、2024年には詐欺攻撃全体の36%を占めるようになった。2023年にはその割合は15%だった。これは緩やかな傾向ではなく、わずか1年で2倍以上に増加したカテゴリーである。
従来のルールベースのシステムでは、この変化に対応できません。見慣れないIPアドレスからの500ドルを超える取引をブロックする静的なルールは、一部の不正行為は防げますが、正規の顧客も拒否してしまう可能性があります。リアルタイムで適応型の決済不正検出は、このトレードオフに直接対処し、コンバージョン率を低下させることなく、真のリスクを特定します。
ここで重要なのは、3つのカテゴリーです。決済詐欺（他人の認証情報を不正に使用すること）、フレンドリー詐欺（実際に購入した後、購入者が紛争解決システムを悪用すること）、そして加盟店側のミス（重複請求、金額の間違い）です。加盟店側のミスは、データ上は詐欺のように見えるチャージバックを引き起こしますが、全く異なる解決策が必要です。どのカテゴリーに着目しているかを把握することで、技術的なレベルで詐欺を防止するか、プロセス上の問題を修正するかが決まります。
最も一般的な決済詐欺の種類
防御対象を把握することで、選択する対策が決まります。オンライン販売業者に影響を与える主な決済詐欺の種類は以下のとおりです。
- カード非提示型詐欺（CNP詐欺）とは、詐欺師が盗んだカード情報を使って、カードを実際に提示することなくオンラインで商品を購入する手口です。これは電子商取引において最も一般的な詐欺の手口です。
- 承認済みプッシュ決済（APP）詐欺― 被害者は、ソーシャルエンジニアリングなどの手口で騙され、詐欺師の口座に直接送金してしまう。一度送金してしまうと、取り戻すのは困難である。
- アカウント乗っ取り詐欺― 盗まれた認証情報を使って、詐欺師が既存の顧客アカウントにアクセスし、資金を抜き取ったり、高額な注文を行ったりする。
- カードテスト詐欺― 盗まれたカードが実際に使用できることを確認するために、少額のテスト請求を行い、その後、より高額な不正取引に利用する手口。多くの場合、短時間に多数の少額取引として現れる。
- 合成身元詐欺― 実際の個人情報と偽造された個人情報を組み合わせて、新たな偽の身元を作成する手口。身元の一部が本物であるため、摘発がより困難になる。
- 友好的詐欺／第一者詐欺― 正当な顧客が、実際に行われた購入について銀行に異議を申し立て、商品が届かなかった、または請求が不正だったと主張する。
- フィッシングとソーシャルエンジニアリング― 詐欺師は金融機関、販売業者、決済サービス提供者になりすまし、被害者から直接カード情報、ログイン認証情報、ワンタイムコードなどを抜き取ります。
自社で発生する不正行為は、最も急速に増加しているカテゴリーです。標準的な不正検出ツールでは、このような不正行為を検出することは困難です。なぜなら、取引自体が完全に正当なものに見えるからです。この種の不正行為を防止するには、技術的なセキュリティ対策とは異なる制御が必要となります。
決済詐欺検出の仕組み
不正検出は、単一のチェックではなく、複数の段階を経て行われます。取引前に本人確認が行われ、承認時にリスクスコアリングが行われ、決済後にパターン監視が実行されます。
各段階では、異なる入力情報が使用されます。取引前：デバイスの指紋認証、アカウント開設期間、ログイン履歴。承認時：取引金額、加盟店カテゴリ、位置情報、過去の購入履歴との比較。決済後：3分間に5つの異なる加盟店でカードが使用されたなど、取引間のパターン（集計データを見るまで見えない）
機械学習がリアルタイムのスコアリングを実行します。数百万件の過去の記録でトレーニングされたモデルは、手書きのルールブックでは到底及ばない精度で不正取引を検出します。AIベースの不正検出は、ルールのみのシステムと比較して、精度を92%向上させ、誤検出を40%削減します。この2つ目の数字が重要です。つまり、拒否される実際の注文が少なくなるということです。
検出手順を段階的に説明します。
- 取引開始時— チェックアウト時にデバイスの指紋、IPアドレス、ブラウザデータ、および行動シグナルが取得されます
- リスクエンジンはリアルタイムでスコアを算出します。数百ものシグナルが数ミリ秒以内に機械学習モデルと照合されます。
- 自動承認またはフラグ付け— 低リスクの取引は即座に承認されます。高リスクの取引はブロックされるか、3Dセキュア認証に送られます。
- 手動レビューキュー— 人間のアナリストが評価するためにフラグが立てられた、境界線上の取引。
- 取引後のモニタリング― 決済データがモデルにフィードバックされ、遅延した不正パターンを検出し、将来のスコアリングを改善します。
静的なルールセットとは異なり、このモデルは学習します。承認、フラグ付け、または取り消しされたすべての取引がトレーニングデータになります。これが、適応型不正検出を常に最新の状態に保つフィードバックループです。ルールのみのシステムでは、このような更新は行われません。
決済詐欺の検出方法とツール
単一の方法ですべての不正行為を検出することはできません。効果的な決済不正検出には、それぞれ異なる攻撃経路に対応する複数の対策を組み合わせる必要があります。現在、加盟店は平均して1事業あたり5つの不正対策ツールを導入しており、これは2022年の4つから増加しています。
不正検出ソフトウェアで使用される主な手法：
- 3Dセキュア（3DS2）とは、決済時にカード所有者に認証を求めるカードネットワーク認証方式です。正しく実装されていれば、不正取引に対する責任は加盟店からカード発行会社に移ります。
- 住所確認システム（AVS） — チェックアウト時に入力された請求先住所を、カード発行会社が保有するカード記録と照合します。不正利用者が実際の請求先住所を知らない場合に、盗難カードを検出できます。
- CVV/CVC認証― セキュリティコードの入力を要求することで、カードの現物所有を確認します。データ漏洩が多発した場合は機能しなくなりますが、基本的なカード非提示詐欺の試みの多くは阻止できます。
- 速度チェック— 異常な取引頻度を検出します。例えば、同じカードが10分間に5つの加盟店で使用されたり、1つのIPアドレスから1時間以内に50回の支払いが試みられたりする場合などです。
- デバイスフィンガープリンティング― 使用されたデバイスのプロファイルを作成し、セッション間で追跡することで、新しいカード情報を使用した場合でも、繰り返し不正利用を行う人物を特定します。
- 位置情報認証― 取引場所をカード所有者の居住地域と照合します。位置情報認証により、モバイル決済における不正利用を28%削減できます。
- 機械学習によるリスクスコアリング― 処理される取引ごとに精度が向上する適応型スコアリングで、手動ルールでは捉えきれない微妙なパターンも検出します。
- 行動分析― マウスの動き、タイピング速度、スクロール動作、ページ滞在時間などを監視し、ボットの活動やアカウント乗っ取りの試みを検出します。
これらの手法を不正の種類別に比較すると以下のようになります。
| 方法 | 検出するもの | 主な制限事項 |
|---|---|---|
| AVS | 盗難されたカード情報（請求先住所の誤り） | デジタル商品には適用できません。請求先住所がありません。 |
| CVV認証 | 基本的なCNP詐欺 | カード情報が完全に漏洩した場合、役に立たない |
| 3Dセキュア | カード非提示詐欺、盗難カードの使用 | チェックアウト時の摩擦が増え、わずかな離脱率 |
| 速度チェック | カードテスト、自動ボット攻撃 | ミスは数日間かけてゆっくりと進行する詐欺を見逃した |
| MLリスクスコアリング | あらゆる種類の不正行為に共通するパターン | トレーニングには大量のトランザクションデータが必要です |
| 行動分析 | アカウント乗っ取り、ボットによる詐欺 | ルールベースのツールよりも実装が複雑 |
| 位置情報 | 国境を越えたカード利用の異常 | VPNとプロキシは実際の場所を隠すことができる |
複数の対策を重ねる必要がある。単一の対策では不十分だ。AVSを回避した不正行為者でも、行動分析や速度チェックによって摘発される可能性がある。
加盟店にとっての決済詐欺の真のコスト
不正行為による損失額は、表面的な数字だけでは表せないことがほとんどです。不正行為1ドルにつき、加盟店はチャージバック手数料、商品の紛失、クレーム対応の人件費、管理費などを加算すると、合計で4.61ドルの損失を被ります。この乗数効果により、損害額は取引金額をはるかに超えて膨らんでしまうのです。
チャージバックだけでも、2026年には加盟店に281億ドルの損失が発生すると予測されている。異議申し立てのあった取引1件につき、結果に関わらず15ドルから100ドルの手数料がかかり、異議申し立てにスタッフの時間を費やすだけでなく、加盟店のチャージバック率（カードネットワークが高リスクアカウントを特定するために使用する指標）にも影響する。
1%を超えると、決済処理業者が監視を開始します。その状態が続くと、加盟店はカード決済サービスを完全に失うリスクを負います。
不正検出ソフトウェア市場は、企業がこの問題をいかに深刻に捉えているかを反映している。決済不正検出への世界的な投資額は2026年に137億ドルに達し、2035年には475億ドルに達すると予測されており、年平均成長率（CAGR）は14.78%となっている。
不正利用による損失は、直接的な金銭的損失だけにとどまりません。高いチャージバック率は決済処理業者との関係を損ない、繰り返される不正利用は顧客の信頼を失墜させます。
決済詐欺に関連するデータ漏洩は、加盟店を金融機関やカードネットワークからの規制上の罰則にさらすことになる。詐欺の防止は、事後対応よりも費用対効果が高い。不正取引を阻止するコストと、チャージバックを処理するコストの差は非常に大きい。
加盟店として決済詐欺を防止する方法
不正防止は、複数の段階からなる対策です。技術的な対策は組織的な攻撃に対処し、プロセス的な対策は人為的な攻撃に対処します。以下に、実用的なチェックリストを示します。
- カード非提示取引すべてに3Dセキュアを導入してください。3Dセキュアが正しく作動した場合、責任はカード発行会社に移ります。これだけで、認証済み取引におけるチャージバックリスクを排除できます。
- 静的なルールを機械学習による不正スコアリングに置き換えましょう。ルールはすぐに古くなり、不正行為者はそれを学習します。機械学習は新しいパターンに継続的に適応します。
- カード、IPアドレス、デバイスごとに速度制限を設定しましょう。カードテスト攻撃は高頻度アクセスに依存しています。速度チェックを行うことで、不正行為者が有効なカードを確認する前に攻撃を検知できます。
- すべてのカード注文において、AVS（承認済み請求先住所確認サービス）を通じて請求先住所を確認します。これにより、不正利用犯がカード番号のみを入手し、請求先情報を完全に把握していないような、基本的なカード不正利用の大部分を防止できます。
- デバイスフィンガープリンティングを導入してください。カードを不正利用して新しいカードで再び利用しようとする詐欺師は、依然として同じデバイス署名を保持しています。
- 従業員にソーシャルエンジニアリングを見抜くための研修を実施しましょう。承認済みのプッシュ決済詐欺やフィッシングは、システムではなく人を標的にします。新しい銀行口座への通常とは異なる返金を承認するカスタマーサービス担当者は、詐欺の標的になりやすい存在です。
- 返金・返品ポリシーは、簡単に見つけやすく、使いやすいものにしましょう。正当な返金を受けられる顧客は、チャージバックを申請する必要がありません。こうした手間を減らすことは、顧客を騙すような不正行為を防ぐ最も簡単な方法の一つです。
- 支払い方法別にチャージバック率を監視しましょう。支払い方法によって不正利用の傾向は異なります。あるデジタル決済チャネルで他のチャネルの3倍の紛争が発生している場合、それは単なるノイズではなく、重要な兆候です。画一的な設定ではなく、チャネルごとにコントロールを調整しましょう。
- 詳細な取引記録を保管してください。注文確認書、配送データ、IPログ、通信記録は、チャージバック請求を棄却するための重要な証拠となります。証拠書類がなければ、弁護は不可能です。
不正防止に優れた代替手段としての暗号通貨決済
不正行為の中には、根本的な解決策が存在しないものもあります。カード非提示型詐欺は、カードが物理的な使用を想定して設計され、オンライン決済に転用されたことが原因で発生します。カード番号は、盗まれたり、試用されたり、悪用されたりする可能性のある認証情報です。この設計上の欠陥は、検出レイヤーを増やすことで解決できるものではなく、別の決済構造に移行することで回避されるのです。
仮想通貨取引は、設計上、取り消し不可能です。盗まれる可能性のあるカード情報も、フィッシングで悪用される可能性のある認証情報も、詐欺師が事後に悪用できるチャージバックメカニズムもありません。仮想通貨による支払いはブロックチェーン上で決済され、そのまま確定します。これにより、チャージバック攻撃の可能性は完全に排除されます。
USDTやUSDCのようなステーブルコインは、暗号資産決済に価格安定性をもたらします。USDCを受け取った加盟店は、市場の変動に関わらず、ドル相当額を受け取ることができます。不正利用に対する耐性も維持されます。デジタル商品、サブスクリプション、国境を越えた取引など、CNP詐欺やフレンドリー詐欺の発生率が最も高い分野においては、暗号資産の導入は構造的に理にかなっています。
仮想通貨はすべての不正リスクを排除するわけではありません。本人確認（KYC）やマネーロンダリング対策（AML）のチェックは依然として必要であり、ソーシャルエンジニアリング攻撃はあらゆる決済システムに存在します。しかし、盗まれたカード情報やチャージバックプロセスに依存する不正取引というカテゴリー全体を排除することができます。
Plisioを利用すれば、加盟店は単一のシステム統合で20種類以上の仮想通貨を受け入れることができ、月額料金やチャージバックのリスクは一切ありません。決済詐欺の検出コストが大きな負担となる企業にとって、これは不正リスクを大幅に軽減する有効な手段となります。
