銀行不正の現状

銀行業界は、ボット攻撃、新規口座不正、アカウント乗っ取り（ATO）などの従来型手法によって不正を企てる悪意ある攻撃者からの広範なリスクに引き続き直面しています。同時に、人工知能（AI）の急速な進化やFraud-as-a-Service（FaaS）エコシステムの拡大により、AIを活用したなりすまし攻撃、ディープフェイク詐欺、Authorized Push Payment（APP）詐欺など、より高度な不正手法が急増しています。さらに、デジタルバンキングの世界的な普及拡大や、銀行業界内外での組み込み型金融の浸透に伴い、不正攻撃の対象領域は拡大を続けており、状況は一層複雑化しています。

世界各地で厳格な規制および監督体制が敷かれていることから、銀行は不正損失を補填するための財務的引当金を確保するとともに、不正を検知、対応、予防するための対策を講じています。しかしながら、銀行における不正対策戦略は依然として断片化しています。拡大を続けるITおよびアイデンティティとアクセス管理（IAM）チームは「上流」の不正対策に注力する一方、不正対策チームは「下流」の不正対応に集中しているためです。こうした取り組みは、戦略面および運用面の双方で分断されたままとなることが多く、その結果、連携不足や、ますます大胆化する不正者に悪用される潜在的な脆弱性が生じています。

IAM市場における統合、融合、イノベーションの進展により、銀行にとって初めて大きな機会が生まれています。複数の脅威検知、アクセス管理、本人確認、検証済みクレデンシャル、ポリシーベースのアクセス制御機能を、統合されたノーコードのオーケストレーションエンジンに集約することで、あらゆる導入環境、デバイス、インタラクションチャネルにおいてリアルタイムのアクセス判定を実現できます。業界をリードするPing Identity Platformによって実現される統合型の銀行不正対策は、すでに現実のものとなりつつあります。

Ping Identityで不正の予防・検知・対応を統合

1. 「上流」における銀行不正対策の強化

「上流」の銀行不正とは、カスタマージャーニーの初期段階、通常は口座登録、本人確認、オンボーディング、認証の過程で発生する不正行為を指します。ここで多く見られる不正手法には、自動化スクリプトを用いて大量の偽アカウントを作成しようとするボット攻撃や、盗難または合成アイデンティティを使用して不正目的で口座を開設する新規口座不正が含まれます。さらに、脆弱なクレデンシャルに起因する脆弱性により、正規アカウントへの不正アクセスを行い、顧客データや資産にアクセスするATO不正が世界的に急増しています。

これらの不正は、顧客の信頼に回復困難な損害を与え、銀行に多大な財務的損失をもたらす可能性があります。ボット攻撃は運用コストを増大させるだけでなく、正規ユーザーが口座登録、本人確認、オンボーディングの過程で不要な摩擦を強いられることで、顧客の信頼を損ないます。一方、アカウント乗っ取りは、顧客がプロバイダーの機密情報保護能力に不信感を抱く原因となり、直接的な金銭的被害や評判の低下につながることが少なくありません。

Ping Identity Platformは、世界中の銀行がボット攻撃の試みを検知・対応し、ATO不正を低減し、本人確認を強化するとともに、ファーストパーティおよびサードパーティのリスクシグナルを活用して、あらゆる顧客接点チャネルでアクセスをブロック、追加認証（ステップアップ）、または許可できるよう支援します。

Ping Identityが主要銀行の「上流」不正防止をどのように支援してきたか

詳細はこちら Ping Identityのオンライン不正防止機能について。

Ping Identity Platformは、ローコード／ノーコードのオーケストレーションツールを通じて完全に拡張可能であり、数千に及ぶサードパーティのリスク管理、生体認証、脅威防止機能とすぐに統合できます。

2. 「下流」における銀行不正対策の強化

「ダウンストリーム」銀行不正とは、顧客が取引の実行、アクセスの委任、または第三者へのデータ共有への同意を行おうとするなど、通常は認証イベントの後の顧客ジャーニー後半で発生する不正行為を指します。ここで歴史的に最も一般的に用いられてきた不正手法にはATO不正があり、これは弱い認証情報が悪意ある攻撃者に悪用され、不正取引の開始や不正ユーザーへのアクセス許可を目的としてアカウントへのアクセスを取得されるものです。

AI、FaaS、そして従来型IAMの制約の進展により、APP不正、AI主導のなりすまし攻撃、ディープフェイク不正といった新たな「ダウンストリーム」銀行不正が急増しています。これらの高度な手法は、顧客に対して正規の金融機関、コールセンター担当者、チャットボットと取引しているかのように思い込ませるため、肉眼ではほとんど見分けがつきません。ディープフェイクがさらに高度化するにつれ、これらの不正手法の検知および防止は一層困難になるでしょう。

Ping Identity Platformは、動的かつきめ細かな認可を実現することで、世界有数の銀行が顧客データ、アプリケーション、そしてミッションクリティカルなインフラストラクチャを不正から保護できるよう支援します。

Ping Identityが主要銀行の「ダウンストリーム」不正対策をどのように支援してきたか

詳細はこちら Ping Identityの動的認可機能について。

Ping Identityは、包括的な動的認可機能が評価され、2024年のKuppingerCole Policy-Based Access Management Leadership CompassにおいてOverall Leaderに選出されました。

3. 認証リスクスコアと取引リスクスコアの統合

銀行業界における「アップストリーム」と「ダウンストリーム」の両方の不正に効果的に対抗するには、顧客ジャーニー全体にわたる統合的な不正対策戦略が不可欠です。これには、アカウント登録、本人確認／KYC、オンボーディング、認証など各段階でのリスクシグナルとスコアの統合に加え、取引認可、第三者APIアクセス、委任アクセスへの同意といったログイン後のイベントにも拡張することが求められます。

しかし現実には、ほとんどの銀行がこれらすべてのリスクシグナルとスコアを統合して統一的なアクセス判断を実現することに苦労しており、仮に実現できていたとしても、リアルタイムでオーケストレーションされているケースは稀です。これは、悪意ある攻撃者に悪用され続ける不正の脆弱性を温存するだけでなく、複数の不正ベンダーの管理および統合に伴う回避可能なオーバーヘッドも生み出します。

コンシューマー向けアプリケーションにハードコードされたロールベース、属性ベース、関係性ベースの認可ロジックに依存していては、新たに出現する不正リスクや手法に迅速に対応するために必要な俊敏性は得られません。ポリシーベースのアクセスロジックを外部化し、これをファーストパーティおよびサードパーティのリスクシグナルとスコア、コンテキストデータ、そしてノーコード／ローコードのオーケストレーションツールと組み合わせることで、銀行はすべての顧客接点チャネルにわたり、リアルタイムでアクセス判断を監視、進化、実行できるようになります。

詳細はこちら Ping Identityの不正検知、対応、防止機能について。

Ping Identity Platformは、ファーストパーティおよびサードパーティのリスクシグナル、動的多要素認証（MFA）、および外部化されたポリシーベースのアクセスロジックをアクセスジャーニーに統合し、不正の検知、対応、防止を支援します。このソリューションの中核には強力なノーコード／ローコードのオーケストレーションエンジンがあり、銀行がこれらのロジックを迅速に統合し、リアルタイムのアクセス判断を実現できるよう支援します。

金融サービス向けPing Identity Platform

Ping Identityの市場をリードする統合型IAMソリューションは、単一の統合プラットフォーム内でコンシューマー、従業員、サードパーティのあらゆるアイデンティティニーズに対応できるよう設計されています。金融サービス業界では、この機能は特に重要であり、顧客だけでなく、ミッションクリティカルなインフラストラクチャや急速に拡大するデジタルエコシステムも保護する必要があります。

Ping Identityは、金融サービスプロバイダーが最先端のIAMイノベーションを活用し、デジタルトランスフォーメーションの取り組みを加速できるよう支援します。Ping Identity Platformは、アイデンティティライフサイクル全体にわたるあらゆるタイプのアイデンティティをサポートし、1,800を超えるサードパーティの生体認証、リスク管理、本人確認技術との拡張性を提供します。この柔軟性により、金融サービスプロバイダーはセルフマネージド、ハイブリッド、SaaS環境から選択でき、すべてを強力なローコード／ノーコードエンジンでオーケストレーションできます。このアプローチは俊敏性を加速し、コストを削減し、新たに出現する不正脅威に先んじながらデジタルロードマップの達成を支援します。

詳細はこちら Ping Identity Platformについて。

Ping Identityは主要な金融サービスプロバイダーと連携しています

1. Cyberedge Group: https://cyberedgegroup.com/cyberthreat-defense-report-2022/

2. iProov: https://www.iproov.com/wp-content/uploads/2020/09/iProov-deepfakes-FS-report.pdf 3. Nasdaq: https://www.nasdaq.com/global-financial-crime-report

4. Nilson: https://nilsonreport.com/

5. LexisNexis: https://risk.lexisnexis.com/global/en/insights-resources/research/cybercrime-report

6. LexisNexis: https://risk.lexisnexis.com/global/en/insights-resources/research/cybercrime-report

7. ACI Worldwide: https://www.aciworldwide.com/wp-content/uploads/2023/11/ACI-SCAMSCOPE-Fraud-Report.pdf

8. Experian: https://www.experian.co.uk/blogs/latest-thinking/fraud-prevention/restore-customer-trust-in-the-deepfake-era/

9. Fraud.net: https://fraud.net/n/the-growing-threat-of-generative-ai-fraud-in-banking-finance

10. The Financial Brand

11. Forrester: https://www.forrester.com/blogs/the-low-code-market-could-approach-50-billion-by-2028/

12. Seon: https://seon.io/resources/global-banking-fraud-index