リスクの時代におけるカード詐欺対策の強化

カード詐欺のリスク環境は、これまで以上に著しく困難になっており、オンライン決済詐欺とカード詐欺の両方において、世界的にカード詐欺による損失が増加している。犯罪者による買い手と売り手が存在する、堅牢なサイバー犯罪サービス（CaaS）経済は、10年前にはほとんど存在しなかったが、現在では効果的に機能している。不正対策責任者の将来に対する見通しは悲観的だ。Datos Insightsが第3四半期に実施した調査によると、米国の金融機関の不正対策担当幹部の53%が、今後3年間で不正による損失が10ポイント以上増加すると考えている。不正対策担当幹部たちは、消費者や組織のために正義のために戦い続けているが、それは困難な上り坂の戦いである。Datos Insightsの最新調査を詳しく見てみると、重大な課題、逆風、そして複雑な状況が明確に浮かび上がってくる。私が話をする機会に恵まれた不正対策担当幹部の方々は、これらの課題が深刻であることを認識しています。彼らの言葉遣いからそれが伝わってくるし、声のトーンからもそれが感じられる。彼らの中には、この戦いに勝利できるのかどうか疑問に思っている者もいる。サイバーリスクと不正リスクが高まっている状況において、カード不正対策を強化するには、新たな組織的なリスク管理の取り組み、新たな前進の道が必要だと私は考えています。

Mastercardが委託したDatos Insightsの最近のグローバル調査研究において、カード不正防止担当幹部が直面する課題や逆風は、主にシステム的な要因によるものであることが明らかになりました。これらは、特殊なケースに対する改善策ではなかった。これらは、発行体の不正対策ソリューションおよび対策エコシステムにおける根本的な問題であった。

主な知見は以下のとおりです。

金融機関の不正対策およびリスク管理の専門家が最も懸念しているのは、機敏性とスピードの欠如である。参加者の78％が、自社の金融機関における不正防止チームの対応が遅く、市場の変化や非常に機敏な犯罪者への対応に俊敏性が欠けていると指摘した。AI対応ツールの市場投入と、攻撃者向けCaaS（サイバー攻撃サービス）の買い手と売り手の経済成長に伴い、犯罪チームはますます勢いを増している。業務の迅速化は、金融機関の不正対策チームにとって組織的な課題であり、金融機関の不正対策担当幹部にとっては大きなストレス源となっている。

不正対策担当幹部にとって次に懸念される分野は、サイバー脅威インテリジェンス（CTI）機能に関するものである。CTIは極めて重要であると同時に、しばしば誤解されている。私たちの調査では、参加者の74%がCTI（コンピュータ情報分析）機能を保有しているものの、このデータをカード詐欺対策の改善に活用するための統合が不足していることが明らかになりました。また、不正対策責任者はCTIデータの有効性について非常に楽観的であり、参加者の57%がCTIデータによって確認済みのカード不正の50%以上を軽減または防止できると考えていることも明らかになった。CTIデータはカード詐欺対策の向上に高い価値があるとされているが、従来はシステム的な統合が不足していた。差し迫ったニーズに直面した際のこうした不満は、このニーズを解決するための統合的なソリューションを求めているグローバルな不正対策担当幹部にとって非常に憂慮すべき事態である。

最後に、世界の不正対策担当幹部の66%が、組織内の統制が分断されていることを懸念している。北米およびアジア太平洋地域の発行体については、経営陣の72%がこの根深い問題を指摘している。経験豊富な読者であれば、従来の不正防止ソリューションがサイバーセキュリティ対策とは切り離された、独立した運用上のサイロとして機能していることを知っているだろう。組織内の縦割り構造は、チーム間でリスクデータを共有する能力を阻害し、部門横断型チームが協力して作業しようとする際に、重荷として作用する。金融サービス業界における30年間のセキュリティ業務の経験から言えるのは、私たちはしばしば、組織内の縦割り構造がもたらす深刻な弊害を十分に認識しておらず、特にチーム間のデータ共有におけるリスクの縦割り構造の解消を、本来求められる緊急性をもって優先的に取り組んでいない傾向があるということです。

この調査は、発行体が直面する主な不正対策の課題はシステム的な性質のものであり、防御の俊敏性を高め、CTIデータを統合し、業務上の縦割り構造を打破する技術的な枠組みが必要であることを明確に示している。

カード事業は、発行会社にとって戦略的かつ競争の激しい分野である。複数のビジネス推進要因が存在し、それらは時に互いに矛盾することがある。三本足の椅子は、経営幹部が最も重視する問題点を考える上で、良いイメージモデルとなる。Datos Insightsの最近の調査によると、経営幹部は消費者の信頼の喪失を最大の懸念事項と捉えており、回答者の76%が経営陣の対応に最も注力していると回答している。消費者の信頼喪失は、時に消費者が経験したカード詐欺事件によって引き起こされ、影響を受けたカードが財布の底に埋もれてしまうことで、消費者からの収益損失につながる。消費者の強い信頼は、継続的なカード取引と高いネットプロモータースコアに反映されている。

次に経営幹部が抱える大きな問題点は、偽陽性率の高さであり、調査参加者の69%がこれを指摘している。金融機関におけるカード不正利用対策は、消費者にとってのカードセキュリティの価値を高める。しかし、消費者が選択肢を持つ競争の激しい市場では、過剰なカード不正利用対策は、消費者にとって煩わしい摩擦とみなされ、一部の消費者は他の発行会社のカードに乗り換える原因となる可能性がある。

3つ目の柱は、高額な不正損失であり、参加者の53%が経営陣にとってこれが大きな問題点だと指摘した。カード詐欺による損失を事業運営上のコストとして計上することは、一部の金融機関にとって従来からの手法である。そうした時代は終わりを迎えつつあるようだ。私の見解では、世界中でカード詐欺による損失が増加しているため、企業の経営幹部はそれを単に損失として計上することに消極的になっている。また、不正利用事件は消費者の信頼失墜にもつながるため、経営陣はカード詐欺の検出と防止を強化する分析手法にも注目している。

消費者にシームレスなカード利用体験を提供すると同時に、不正行為者を阻止するには、より質の高い、よりタイムリーなリスクデータが不可欠です。経営陣の懸念に真に対処するためには、不正対策の責任者は、対応時間の遅さ、統合されたサイバー脅威インテリジェンスの欠如、根強いリスクの分断といった、組織的な課題を克服しなければならない。この課題がこれほど難しいのは当然のことだ。

カードテストの具体的な例を見てみましょう。

カードテストは悪意のある行為であり、その後のカード詐欺攻撃の可能性が高いことを示しています。世界的な調査プロジェクトにおいて、不正対策の責任者たちは、カードテストがカード詐欺につながる攻撃手法として3番目に多く見られると指摘し、参加者の48%がこの手法を挙げた。

カード検査は、成熟しつつある犯罪サプライチェーンの中で機能する。犯罪組織は資金援助を受け、大規模に活動し、CaaS（サイバー攻撃サービス）の買い手と売り手からなるサプライチェーンを活用して、攻撃者経済を支えている。多少の差異はあるものの、攻撃者のサプライチェーンは、顧客データとカードデータが段階的に洗練され、サイバー犯罪者にとってより価値のあるものへと変化していく漏斗のようなものだと、読者は概ね理解できるだろう。

• ファネルの最上部は、世界中で依然として猛威を振るっているデータ侵害によって盗まれた顧客データである。2025年上半期には、約^1億6600万人に影響を与えた1,732件のデータ侵害が報告されました。カード情報は、データ漏洩事件においてしばしば含まれる。終わりが見えないこのファネル最上部の「プール」は、攻撃者経済の中で売買される膨大な量の顧客データを表している。
• 盗まれた顧客データを入手した後、次の段階は、生成型AIによってますます可能になるツールを使用して、このデータを充実させることである。犯罪者は、ログイン情報、カード情報、オンライン詐欺を目的として、オンラインチャネルを利用して消費者を標的としたフィッシングやソーシャルエンジニアリングのキャンペーンを展開する。Datos Insightsの最近の調査によると、2026年を迎えるにあたり、顧客対応の金融サービスにとって、フィッシングによるアカウント乗っ取り（ATO）が依然として最大のサイバー上の懸念事項であることが明らかになりました² 。こうした精緻化された顧客データとカードデータは、次の段階に進むために犯罪組織内で売買される。
• 顧客データとカードデータが提供されると、ファネルの次の段階ではカードのテストが行われます。犯罪チームは、少額の購入（多くの場合1ドル程度）を通じてカードの有効性を確認し、カードが次の段階で悪用できることを確認する。この一連の行為は、不正行為を露呈させたり、疑念を抱かせたりすることなく行われる。有効性が確認されたこれらの顧客とカードのセットは、他の犯罪組織に売却されたり、高額商品を購入（転売目的）したり、カードで現金を引き出すために直接使用されたりする可能性があります。

前述のとおり、不正対策責任者の57%は、サイバー指標（カードテストなど）が、確認されたカード不正の50%以上に関係していると考えており、これは大きな改善の余地があることを示しています。カードテストの検出機能は、カード不正防止の責任者にとって非常に重要な成果をもたらします。システム上の課題とは？このカテゴリーのCTIデータに関して、リスクのサイロ化を克服できないこと、および統合が不足していること。

不正防止チームとサイバーセキュリティチームは、従来、互いに大きく隔絶された、独立したリスク管理部門として運営されてきた。不正対策とサイバーセキュリティは、それぞれ異なる目標、ツール、スキルセット、そして主要業績評価指標（KPI）に反映された成功の定義に基づいて機能する。攻撃者は、サイバー領域と不正領域を自然に横断できるようなエコシステムの中で活動しているが、従来の金融機関の防御チームは、しばしば固定化された業務上の縦割り構造の中で活動しており、それが進歩を遅らせ、チームが把握できる範囲を実質的に制限している。多くの場合、データが分断されていることが、ビジネスにおけるより迅速かつ高品質な防御を阻害する最大の要因となる。調査によると、世界の金融機関における不正対策責任者の73%が、リアルタイムまたは日々のサイバー脅威情報にアクセスできていないことが明らかになった。これは、より迅速なデータ共有を通じて改善を図る大きな機会となる。

リスク報告書を月次または四半期ごとに共有することは重要だが、真の戦略的進歩を目指す金融機関のリーダーにとってはそれだけでは不十分だ。このことは、調査で明らかになったように、不正対策責任者の60％が、不正による損失が発生し始めて初めてサイバー侵害に気づくという事実からも裏付けられる。このギャップは、ラテンアメリカとアジア太平洋地域の発行体において最も深刻であり、これらの地域では不正対策およびリスク管理責任者の67%がこの可視性の問題を指摘している。

サイバーセキュリティチームと不正防止チームの統合または連携は、多くのグローバル金融機関にとって効果的であることが証明されている。従来のように不正リスクとサイバーリスクを個別に分析するのではなく、金融機関が連携して業務を行うことで、より質の高い、より迅速なリスク対応を実現できる。Datos Insightsが最近実施した調査によると、サイバー詐欺対策の統合に投資している金融機関の81%がリスク対応の迅速化を報告しており、ヨーロッパとアジア太平洋地域の金融機関では89%がスピードアップを実現していることが明らかになりました。さらに、サイバー詐欺対策に投資している金融機関の68%が、詐欺による損失の減少に加え、カードセキュリティの向上、脅威インテリジェンスの強化、インシデント対応の迅速化、不正利用の早期発見を実現していると報告している。これは発行体にとって非常に必要な素晴らしい結果です！

カードテスト活動に関するCTIデータのフラグ付けは、カード詐欺攻撃の早期兆候を示す上で特に有用であるため、非常に優先的に実施されます。不審なカードテスト活動を早期に把握することで、金融機関の防御チームは、カード取引要求前に著しく有利な立場を確保できる。

私の提言は、FI（金融情報）の防衛チームが犯罪者の手口を参考に、リスクデータの収集パイプラインを構築することです。犯罪組織は、攻撃者のエコシステム内で売買される消費者データの新たなパイプラインを活用して詐欺行為を成功させている一方で、金融機関の防御チームは、CTIリスクフィードを通じて悪意のある行動データの「防御パイプライン」を構築することで、より効果的な対策を講じる必要がある。金融機関は、これらのデータフレームワークを自社で構築することも、代わりに構築してくれるプロバイダーと提携することもできる。金融機関の不正防止チームは、悪意のある活動を早期に検知することで、過去の盲点を明らかにし、悪質な行為者の摘発率を高め、正当な消費者の防御を強化し、企業が必要とするより積極的な防御戦略へと移行することができる。これは、新たなタイプのCTI（サイバー脅威インテリジェンス）悪意のある行動データによって実現される、リスクの時代においても揺るぎない堅牢性を備えた、厳格なリスク対策ソリューションの一例です。

カード決済やオンライン決済における不正防止対策を強化するための改善策は、喫緊の課題となっている。リスクの時代は到来しており、今後さらに厳しくなるだろう。金融機関のカード発行会社では、以下の対策が推奨されます。

1. サイバー詐欺対策の統合に投資しましょう。サイバー攻撃による不正リスクは、企業にとって重大な脅威である。不正防止チームとサイバーセキュリティチーム間の連携強化と共同所有の推進に取り組む金融機関は、重要な成果を上げている。
2. カードテストの挙動、そして購入者、販売者、攻撃者からなるCaaSエコシステムについてより深く理解する。これは始めるのに良い資料です。
3. 堅牢なCTIソリューションを求めましょう。最も優れたシステムには、カードテスト活動をカード詐欺攻撃の前兆行動として特定し、リアルタイムおよびほぼリアルタイム（翌日）のメカニズムを通じてこのデータを共有する機能が含まれている。

Datos Insightsの調査レポートをダウンロードしてください。このグローバル調査では、金融機関の不正対策担当幹部およびリスクリーダー90名を対象に、リスクに関する課題、事業における統合の成果、そして今後の取り組みにおける優先事項について検証しています。金融機関の発行会社や決済処理業者が新たなリスクの時代において事業を展開する中で、これらのソリューションは、金融サービス業界における勝者、生き残り、敗者を決定する上で大きな役割を果たすことになるでしょう。