セキュリティと詐欺を連携させてサイバー犯罪者の先手を打つ

詐欺は、猫とネズミのゲームのように見えることもあります。 犯罪者は通常、攻撃的であり、攻撃に転じますが、企業は自らを守るために奮闘し、防御に転じます。 企業にとって、ゲームはますます難しくなってきています。 犯罪組織のツールはより洗練され、攻撃はより複雑になっています。 金融サービス企業や小売業者は、急速に進化する攻撃に対応するために、セキュリティと詐欺対策を継続的に適応させることが困難であると感じています。 そして、ついていけなかったら、遅れを取ってしまうことになります。 危険なのは、損失の増加、取引の放棄、顧客の不満です。 お金と顧客を失うことは、良い組み合わせではありません。

詐欺防止へのアプローチを再考する時期が来ています。 でも今は聞こえます。 「人員も資金も不足しています。 より機敏で資金力のある犯罪組織にどうやって対抗できると思っているのですか？」 この困難な環境においては、より一生懸命働くのではなく、より賢く働く必要があります。 この問題を解決した商人や金融サービス企業は、内と外の両方に目を向けることでそれを達成しました。

内省する

内部を振り返ると、成功している企業はセキュリティと詐欺対策の非効率性を認めています。 侵入、エクスプロイト、サービス拒否攻撃からコンピューティング ネットワークと外部向けapplicationsを保護するサイバー セキュリティ部門と、オンライン/デジタル トランザクション、イベント相関、インシデント対応に重点を置く詐欺対策部門を設けるのが一般的です。 これにより、責任が分離され、異なるツール、データ セット、パフォーマンス指標、スタッフ、予算を持つ 2 つの部門が作成されます。 これが企業にどのような損害を与えるかを見てみましょう。

データ侵害や認証情報の漏洩により、ユーザー名とパスワードのペアを含む、何十億もの個人識別情報レコードが公開されました。 一般的な攻撃では、攻撃者は高度に分散されたボットネットを使用してクレデンシャル スタッフィングを実行し、これらのペアを大規模にテストして、どのユーザー名/パスワード ペアがまだ有効であるかを識別します。 有効なペアがあれば、攻撃者は顧客のオンライン アカウントを乗っ取って簡単にサイバー犯罪者となり、金銭を引き出したり、ポイントを洗浄したり、不正な購入を行ったりすることができます。 遭遇したセキュリティ対策に応じて、サイバー犯罪者は、ネットワーク スクリプトやボットネットから、人間の行動をエミュレートするもの、または人間のクリック ファームに API 呼び出しを行って CAPTCHA を解くことができるフレームワークまで、さまざまなツールを使用して攻撃を変更する可能性があります。

このタイプの攻撃は、セキュリティ チームと詐欺チームの両方の責任に及びます。 セキュリティ チームと詐欺対策チーム、またはそのツールが通信していない場合、脅威インテリジェンスとコンテキストが失われ、攻撃の全体を把握することが困難 (場合によっては不可能) になります。 その結果、詐欺師が抜け穴をすり抜け、企業とその顧客は経済的損失を被ることになります。

組織のサイロを解体する時が来ました。 チームやテクノロジー間のコラボレーションは、統合、収益の増加、そして最終的には企業の成功への手段となります。 さらに、リソースとデータをプールすることで可視性が向上し、犯罪組織の侵入を防ぎながら、優良な顧客を問題なく通過させることが可能になります。 Aite-Novarica Group が最近 110 社のフィンテック企業を対象に行った調査によると、統合された不正防止システムを持つ企業は、別個の独立した不正防止システムを持つ企業と比較して、不正管理が多少または非常に簡単であると回答する割合が 2 倍高いことが分かりました。

統合プラットフォームには、データのプールと継続的な分析を通じて、不正行為の状況をより詳しく把握できるという利点があります。 データセットが大きくなれば、不正行為のシグナルも増えるため、より予測力が高く、より正確な機械学習モデルを作成できます。 これにより、よりプロアクティブで実用的なインテリジェンスが得られるだけでなく、精度の向上により認証が高速化され、顧客が不正行為を増やすことなくシームレスに取引できるようになるため、ユーザー エクスペリエンスも向上します。

外に目を向ける

効果的な詐欺エコシステムを構築するには、外部に目を向けることも重要です。 金融サービス企業や小売業者がツールを購入し、社内で不正行為を管理し、スタッフが不正行為を防止するためのツールを設定するのは一般的な慣行です。 詐欺攻撃は時間の経過とともに変化するため、企業は詐欺に対抗するために詐欺戦略を調整し、認証ルールを調整し、誤検知を調査する必要があります。 言い換えれば、企業は将来の詐欺行為を防ぐ前に、新たな詐欺行為（および金銭的損失）を経験する必要があるのです。 この事後対応型の戦略では、社内部門がセキュリティギャップを調査して修正する間、会社は危険にさらされることになります。

積極的に行動してみませんか? 商用ソリューションを提供するベンダーは、幅広い経験と知名度を活用して、個々のクライアントが自らを保護するよりも効果的にクライアントを保護します。 どうやって？ 複数の地域や業界にわたる大規模な顧客基盤を持つベンダーは、特に脅威インテリジェンスが集合的な防御ネットワーク全体で共有されている場合、詐欺行為について非常に広い視野を持っています。 新たな詐欺攻撃ベクトルが出現した場合、ベンダーは詐欺防御を迅速に変更してすべてのクライアントを保護することができます。

三方良しのソリューション

犯罪組織とその攻撃の高度化が進む中、人員とリソースが不足している状況では、その対策を講じるのは困難です。 内面と外面を見つめる時が来ました。 サイバーセキュリティと不正管理を統合チームにまとめ、外部の専門知識を活用することで、主に 3 つのメリットが得られます。 サイバーセキュリティ/詐欺管理が簡素化され、損失が低減し、顧客のオンライン エクスペリエンスが向上します。 三方共に利益のある解決策です。

デビッド・マッテイ、Aite-Novarica Group戦略顧問

_____

さらなる視点を得るには、 Aite レポートを読んで、詐欺による損失を最小限に抑える新しい戦略を学んでください。