利用者に負担をかけずに安全性を高めるだけでなく、犯罪者の操作方法を分析することで不正な口座開設や疑わしい送金などを未然に防ぐことも可能です。公表され、マネーロンダリングを防止する必要性がより高まってきました。実際にどのように活用されているのでしょうか。実業務への活用や効果が解説されました。急増する不正送金被害まず冒頭、本セッションの講師を務めたSCSKの硲(はざま)氏より、インターネットバンキング不正送金被害の現状について語られました。「こちら金融庁が公開しているインターネットバンキング不正送金被害額をグラフ化したものになります。」(硲氏)みせられたのは​2017年から2020年までの被害額の推移で、​その被害額は2019年には24億円にものぼり近年増加傾向にあるといいます。https://www.fsa.go.jp/news/r2/ginkou/20210629_1.html「近年の日本でも大手企業が不正送金の被害者になるというニュースが増えています。現在日本ではどのような手法が流行っているのでしょうか。」(硲氏)硲氏は不正送金の手口として、フィッシング、クラウドサービスへの不正アクセス、ウイルス感染の3つを挙げ、各手口の攻撃例と、その巧妙かつ高度な手法について警鐘をならしました。増えてきているのが、利用者を騙して利用者自身の口座を操作させる手口です。宝くじが当選しました。調査にご協力ください。』というような案内をして口座にアクセスを促します。いった手口の不正の検出が難しくなっているのは、利用者自身が本人の端末を使って自分の口座にアクセスしているだけなので、いたって普通の行動であり、そこに不正を疑う余地が発生しないという点です。」(硲氏)​ログイン完了後、犯罪者は何らかの理由を作り、利用者をパソコンの前から離れさせ、リモートアクセスツールを使い、振込手続きを勝手に進めるというパターンの他、直接利用者に指示を出し、犯罪者が利用する口座に振り込みを行わせるという手口もあるといいます。収集による認証をもってしても、防ぐことが非常に難しいということがおわかりいただけると思います。続いて語られたのはマネーミュールの現状でした。​マネーミュールとは、犯罪と知らずに不正資金の送金を代行し資金洗浄に加担してしまう手法のことで、海外を中心に非常に増加傾向にあるといいます。​「インターネット上で、アルバイト募集というような形で協力者を募ります。割の良い仕事に見えますので、マネーロンダリングに自分が加担していることを認識せず、お金欲しさに応募してしまうという人が多いです。コロナ禍で失業する人が増えている背景も伴い、それに比例するようにこのタイプの手法が使われるケースが増加傾向にあります。​「BioCatch社によると、ミュールアカウントの90%以上が直接犯罪者に利用されており、2021年そのアカウントの活動は昨対比で78%増加したというレポートが出ております。FATFの第四次審査のレポートでも対応方針を公表しているように、マネーミュールへの日本の対策も、今後一つのキーワードになっていくでしょう。人の動作を分析し特徴点(クセ)を用いて本人確認を行う手法です。皆さん驚かれるかもしれませんが、パスワードや、静脈、顔認証など、静的な認証情報はコピーができてしまいます。IPアドレスや端末情報を使って認証をおこなわせるようなものも、端末が盗まれてしまえばその影響は大きいでしょう。行動的生体認証は人の動作を総合的に分析しておりますので認証情報をコピーされるリスクは非常に少ないといえます。既存の認証との比較としてもう一つ挙げられたのは、フリクションレスというキーワードでした。取り入れても、利用者は認証を意識することはありません。パスワードの入力が必要ないのですから。よってサービスの利便性向上につながるでしょう。今後、新たな本人認証として急速に広まるであろう行動的生体認証ですが、具体的にどのような仕組みにおいてそれを実現させているのでしょうか。ついての紹介が行われました。利用者の『クセ』を分析してなりすましを見抜く行動的生体AI認証を用いたソリューションです。利用者がインターネットバンキングにログインしてからログアウトするまでのワンセッション間の操作情報を収集して、分析エンジンにかけてプロファイルを作成します。このプロファイルと実際にアクセスしている操作情報とのマッチングから乖離があれば、リスクスコアいうもので、0点~1000点内でスコアリングして、犯罪者が利用者本人になりすまして操作を行っているかどうかを判定します。分析では47もの特許技術を取り込んだ高度なエンジンを利用しているといいます。「実装方法もシンプルでWebページの各画面に、Javascriptを埋め込みます。スマートフォンであれば、SDK採用されておりますので、金融機関様のアプリに取り込んでいただくのみです。存在を意識することなく、いつも通り変わりない環境でお使いいただけます。分析エンジンはSaaSで提供されておりクラウド上にありますが、ご契約会社様ごとに専用のテナントが準備されており、収集した情報が一元的に保管されるのではなく、各社個別に保管される設計となっているのもポイントの一つだといいます。提供機能は大きく4つあります。(※以下図参照)どの機能に関しても、先に触れた「利用者の『クセ』」を利用していくものですが、実際どのようなポイントを見分けているのでしょうか。機能では、利用者本人の操作情報をもとにプロファイルを作成し、形成されたプロファイルとの比較により個人の特定を行うことができるといいます。「例えば、普段右手を使っている人が左手で操作をしている。マウスの操作情報が普段の利用者の操作傾向から乖離している。通常使っているブラウザと違うブラウザでアクセスが確認されたなどの操作情報を収集していきます。図のリスク判定要素にもあるような、様々なものをスコアリングし分析しています。※RATは、管理者権限を保持しコンピュータを遠隔操作できるようにするツール。バックドア型のマルウェア(リモートアクセス型トロイの木馬)を指すことが多い。機能を見ていきましょう。こちらは不正な新規アカウント開設を検知する機能で、ウェブの申し込みページに必要項目を記入する際の操作情報を犯罪者ペルソナとの比較によって分析しています。短期間に複数端末でセッションを張っている、個人情報を入力するのに、コピー&ペーストで対応しているなど、犯罪者は犯罪者らしい行動特性をもっていますので、そういったペルソナに当てはめてスコアリングし分析しています。「皆さんオレオレ詐欺をイメージしてみてください。海外ではATMではなく、インターネットバンキング使って振込を行わせるケースが多いようです。利用者を騙したり、強要して操作をさせるというものですね。「例えば操作者が口座契約者本人であって、信頼できるデバイス、ロケーションからアクセスしてきていて、かつ普段行動パターンも本人らしい。仮にこの条件が揃っていたとしても、第三者からの指示待ちの間、目的のないマウスの動きが多いことや、スマートフォンの場合、電話をしながら操作をしていますので、第三者から電話口で指示を受けて操作をしているというような兆候を捉えることができます。検出してスコアリングに役立てるというような機能になります。いうマネーミュールを検出する機能の紹介も行われました。犯人に口座を貸した際、パスワードが短期間で何回も変更されるなどの特徴の他、取引の前後で頻繁に残高確認が入るなど、マネーミュールによくみられる動きの検知が可能だといいます。はこうした4つの機能を通して、金融犯罪への対策を強固なものにしています。続いていくつかのケーススタディが紹介される中、オーストラリアの大手銀行がBioCatchを使った実際の活用例について聞くことができました。2019年、日本円で約3100億という被害があり、事態が非常に深刻化しております。このような被害の背景には、国民の8割程がオンラインショッピングを利用していたり、1/3がインターネットバンキングを利用しているという、インターネットを用いた金融サービスの提供が進んでいるということが考えられます。アカウント乗っ取り、ミュールアカウントの特定を挙げていたといいます。いった課題に対して、既存でネットワーク情報を収集した不正ログイン対策をおこなってはいたものの効果は十分に得られなかったといいます。そこで従来のリスクベース認証と行動的生体認証の両機能をあわせ持つBioCatchが評価を得たといいます。「犯罪者が盗んだ認証情報を使って、顧客の口座に不正アクセスして不正送金を行う、口座の乗っ取りが多発していました。犯罪者がマネーロンダリングを目的にミュールアカウントを開設しようとしているとも認識していました。この課題の解決によって、不正ログインによる被害額の軽減だけでなく、ミュールアカウントがマネーロンダリングに利用されて銀行のブランド、評判、そういったものが損なわれるのを防ぐという目的もありました。」(硲氏)​こちらの大手銀行は、さらにBioCatch社と共同でミュールアカウントについての調査を実施しました。その結果、大部分のミュールアカウントは犯罪者が新規で開設しているものの、一部は一般の正規利用者が自身の口座を売却して、それがミュールアカウントとして使われているというような傾向まで確認することができました。コロナで帰国した留学生が自分の口座を犯罪者に売却していたというケースもあったようです。「BioCatchを導入後、90%以上のアカウント乗っ取りを防止できるようになりました。マネーミュール検出機能のミュールアカウントディテクションによって、一年間で2000個のミュールアカウントを特定することができ、BioCatch導入前と比べてその被害額をなんと70%削減することができました。」(硲氏)増加する金融犯罪にどう立ち向かうか最後に、今後より巧妙な手口が増えてくるであろう金融犯罪への対策について、BioCatchが提供できる価値ついて話されました。「利用者の端末を乗っ取って不正送金を行う行動、利用者をだましてワンタイムパスワードなどの認証を突破するソーシャルエンジニアリング詐欺、これらの攻撃を従来の多要素認証やリスクベース認証のみに頼ることには限界があります。今後は既存の対策を補完しセキュリティを向上させる必要性が出てきます。マネーロンダリングの対策を検討する上で、まずはミュールアカウントを特定することが非常に重要であり、これによりAML対応力を向上させることができます。これらの対策の強化をもってもなお利用者のサービス利便性を損なわないこと。これらすべて、BioCatchだからこそ提供できる価値だと言えるでしょう。硲氏に続き、同じくSCSKの瀧島氏よりBioCatchを使ってどのようなことができるのかデモによって再現されました。デモの中ではインターネットバンキングを模したデモサイトを利用し、正規ユーザーとしてアクセスした場合の挙動とブルートフォース攻撃でアクセスされた場合の比較などをはじめ、具体的なスコア、検出時の管理画面なども紹介されました。​デモについては、以下製品サイトより動画のご視聴が可能となっております。​是非この機会にご覧ください。無料公開中/※動画視聴の公開はデモセッションのみとなります。ダウンロードもございます。