不正トレンドセキュリティとニュース不正利用者の思考回路とはクレジットカード不正利用による、チャージバック被害は年々増加しております。不正利用者からすると、それが「金」になるからやっている訳で、うまみがあるということです。そんなことは分かりきっています。「このサイトなら悪さできる!」もしくは「できない!」と考えるのか。不正利用者の頭の中を考えることで、より効果的な対策を構築しようというのが、今回の趣旨です。いくつかのケースを想定し、その場合の不正利用者の思考回路を考えてみます。(一部アクル仮説に基づく解説もありますのでご了承ください)怪しい取引にしつこく本人確認するサイトこれは不正利用者にとって、もっとも嫌なサイトでしょう。彼らからすれば、「四の五の言わず早く配送しろよ!」となるはずです。メールや電話などで本人確認などされた日には、不正利用者としても効率が悪いわけです。現在では、カード不正利用の犯罪者たちは組織化されており、階層化の中で役割が分担されています。効率が重視され、その加盟店で必ず不正注文する必要がなければ、同じ商材を扱う他のサイトに逃げていくわけです。アナログではありますが、実際にこういった運用をしている加盟店でのカード不正利用の被害はかなり低く抑えられている印象です。3-Dセキュアを実装しているサイト「3-Dセキュアを実装していれば、安全だ!」といった考えはありませんか?不正利用者からしても、本人認証による牽制があり、厄介に思っているかもしれません。2019年以降は不正利用者の思考回路に変化が起こっているようです。クレジットカード関連の業界関係者と情報交換をした際に出てきた現実は、「3-Dセキュアを実装している加盟店ほどチャージバックが起きている」ということでした。不正利用者は以下のような思考回路を持っていると推測されます。3-Dセキュアのパスワードも購入でき、本人認証もすり抜けができる3-Dセキュアを実装している加盟店はチャージバックのリスク・負担がなく、ノーガードになっている3-Dセキュアのパスワードを入手するにはコストもかかりますが、それさえクリアできれば不正購入できるのであれば、効率を求める不正利用者にとっては恰好の餌食になるでしょう。セキュリティレベルを否定するものではありませんが、3-Dセキュアを実装している加盟店は、実は不正利用者にターゲットとされる傾向がより高くなっていると考えています。(従来型の)不正検知システムを実装しているサイトここでいう不正検知システムは、注文情報の項目内容に基づいてリスクスコアリングをし、〇×△の結果を返す、いわゆる「従来型の不正検知システム」です。不正利用者からすると、オーソリゼーション(与信確認)までは特に違和感なく通過します。(もちろん、ブラックデータに登録されていて弾かれる場合はあるかもしれませんが)不正利用者として嫌なのは、加盟店側がスコアリング結果に基づいて本人確認や発送停止にするといった牽制です。不正検知システムを導入することで、目に見えないリスクを炙り出し、それに基づいて牽制されることは不正利用者にとっても効率が悪くなります。オーソリゼーション・売上承認が同時に行われる商材については、不正利用者からしても全く怖くないといった思考回路になると考えています。デジタルコンテンツや旅行商材、寄付サイト、もしくは配送までのリードタイムが非常に短く、実質的にオーソリ・売上が同時処理されるような商材が一例です。ASUKAを実装しているサイト当社アクルで提供している不正検知・認証システム「ASUKA」は、従来型の不正検知システムとはコンセプトが全く違うものになります。ASUKAの場合は、オーソリゼーションに至る前に不正利用者に牽制をかけます。怪しい取引に対しては、オーソリゼーションの電文さえも走らせないのです。早い段階で牽制がかかるので、それなら他のサイトを狙おうとなり、従来型の不正検知システムに比べ抑止効果も高く、不正利用者は嫌がります。オーソリゼーションと売上処理が同時に行われるサイトでも問題なく不正利用を牽制できることも特徴です。直近では3-Dセキュアによるコンバージョン・売上への影響を懸念し、3-Dセキュアの実装に踏み切れない加盟店が以下の機能を利用するケースが増えてきています。不正利用のリスクがある取引にのみ、3-DセキュアをONとする機能です。参考:「クレジットカード不正対策ソリューションASUKA、リスクベース認証機能の提供を開始」このASUKAの3-Dセキュア連携は、リスクベース認証を実施しているものと言えるため、3-Dセキュア2.0のコンセプトに近いものですが、よりセキュリティは強固なものになると考えています。真正な利用者は、これまで通り3-Dセキュアの本人認証パスワードを求められることなく決済へ進めますが、不正利用者からすると非常に面倒なサイトだと認識されます。実際に、不正利用者が徐々に不正を諦め、アクセス件数が減少していく経過なども数値をもとに可視化することができています。まとめカード加盟店の不正対策の思考と、不正利用者の思考との間に、齟齬が出てきているというのが昨今の特徴になります。「3-Dセキュアを実装していれば問題ない」といった認識は、不正利用者の観点では全く逆の思考となっているのがご理解いただけたと思います。重要なのは、不正利用者のモチベーションを断ち、システムとアナログによる運用をバランスよく継続的に構築していくことです。アクルでは、加盟店に最良な不正対策運用をご提案しております。ご相談いただけますと幸いです。